WSPÓLNY KOMUNIKAT DO PARLAMENTU EUROPEJSKIEGO I RADY

Sprawozdanie z wdrażania strategii UE w zakresie cyberbezpieczeństwa na cyfrową dekadę

I.Cyberodporność, zdolność operacyjna i otwartość ważniejsze niż kiedykolwiek wcześniej

Cyberbezpieczeństwo jest niezbędne do wprowadzenia inteligentniejszych i bardziej ekologicznych technologii w świecie po pandemii. Jest ogólnie niezbędne do zapewnienia bezpieczeństwa UE i stanowi filar unii bezpieczeństwa. Rozwój społeczny, polityczny i gospodarczy wymaga suwerenności technologicznej oraz globalnej, otwartej i bezpiecznej cyberprzestrzeni opartej na praworządności oraz poszanowaniu praw człowieka i podstawowych wolności. Takie były główne przesłanki przyjętego w dniu 16 grudnia 2020 r. wspólnego komunikatu Komisji i Wysokiego Przedstawiciela Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa pt. „Strategia UE w zakresie cyberbezpieczeństwa na cyfrową dekadę”. Wszystkie podmioty krytyczne mogą paść ofiarą cyberataku. Wydarzenia, jakie miały miejsce w ciągu ostatnich sześciu miesięcy, dowiodły słuszności ukierunkowania strategii na przyspieszenie reform regulacyjnych, na inwestycje i na zbiorowe reagowanie operacyjne.

Niedawne cyberataki potwierdziły wszechobecność operacji z wykorzystaniem oprogramowania typu ransomware i operacji w zakresie cyberszpiegostwa, a także ukazały rosnące ryzyko ich wystąpienia we wszystkich sektorach gospodarki i w społeczeństwie jako całości. Skala incydentów była wyjątkowa: setki tysięcy zaatakowanych serwerów Microsoft Exchange; 18 000 organizacji potencjalnie dotkniętych w wyniku kampanii SolarWinds Orion; wykradzione dane wrażliwe setek pacjentów i zakłócenia działania serwerów medycznych w wyniku ataku z wykorzystaniem oprogramowania typu ransomware na irlandzką służbę zdrowia; kryzys paliwowy i kradzież danych na masową skalę w wyniku cyberataku na systemy rachunkowe Colonial Pipeline oraz zakłócenia działania największego na świecie dostawcy wołowiny. Choć pełen zakres szkód pozostaje niejasny, każdy incydent uwypukla możliwe daleko idące konsekwencje szkodliwego wykorzystywania podatności na zagrożenia produktów, usług, systemów i sieci opartych na technologiach informacyjno-komunikacyjnych. Można oczekiwać, że takie cyberataki będą miały coraz większy wpływ i będą występować coraz częściej, osłabiając nasze bezpieczeństwo.

Dlatego tak niezwykle ważne jest, aby Unia Europejska przyspieszyła postępy na wszystkich frontach – legislacyjnym, operacyjnym, inwestycyjnym i dyplomatycznym – jak określono w strategii. Należy jak najszybciej przyjąć wnioski dotyczące dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii („dyrektywa NIS 2”), dyrektywy w sprawie odporności podmiotów krytycznych oraz rozporządzenia i dyrektywy w sprawie operacyjnej odporności cyfrowej. W tym kontekście kluczowe jest realizowanie ambitnego podejścia, szczególnie w odniesieniu do łańcuchów dostaw, w związku z tym, że w niedawnych cyberatakach za podatności na zagrożenia odpowiadali sprzedawcy oprogramowania, a także wprowadzanie środków zapewniających odporność administracji publicznej i szybkie powiadamianie o incydentach. Potrzeba ustanowienia sieci centrów monitorowania bezpieczeństwa w celu wczesnego wykrywania sygnałów dotyczących cyberataków jest teraz pilniejsza niż kiedykolwiek wcześniej, podobnie jak potrzeba opracowania wiarygodnej, skutecznej i zbiorowej reakcji UE, w tym na szczeblu operacyjnym, na największe incydenty za pośrednictwem wspólnej jednostki ds. cyberprzestrzeni. Biorąc pod uwagę rosnącą liczbę cyberataków przeprowadzanych przez podmioty państwowe lub sponsorowane przez państwo, należy w dalszym ciągu promować odpowiedzialne postępowanie państwa w ramach Organizacji Narodów Zjednoczonych, a także za pośrednictwem dialogów w sprawach cyberprzestrzeni i zorganizowanych wymian z organizacjami regionalnymi, takimi jak Unia Afrykańska, Forum Regionalne ASEAN, Organizacja Państw Amerykańskich (OPA) oraz Organizacja Bezpieczeństwa i Współpracy w Europie (OBWE), przy jednoczesnym podejmowaniu skutecznych działań dyplomatycznych w celu zapobiegania szkodliwym działaniom w cyberprzestrzeni, zniechęcania do nich, powstrzymywania przed nimi i reagowania na nie. Szczególnie istotne będą współpraca z mającymi podobne poglądy państwami trzecimi oraz priorytety agendy transatlantyckiej; w szczególności należy zbadać dalsze możliwości współpracy między UE a USA w zakresie konkretnych aspektów cyberbezpieczeństwa, w tym wymiany informacji i zwalczania ataków z wykorzystaniem oprogramowania typu ransomware.

II.Przegląd pierwszych sześciu miesięcy wdrażania

Postępy w realizacji szeregu działań strategicznych są już zaawansowane.

II.1 Odporność, suwerenność technologiczna i przywództwo

Na całym świecie łańcuchy dostaw i infrastruktura krytyczna, w tym szpitale zmagające się z pandemią COVID-19, są obecnie stale narażone na ryzyko cyberataku. Komisja wspiera współprawodawców w zapewnieniu szybkiego przyjęcia proponowanych zmian dyrektywy dotyczącej cyberbezpieczeństwa, obejmujących w szczególności rozszerzenie jej zakresu na sektor ochrony zdrowia, w tym laboratoria badawcze i produkcję wyrobów medycznych i produktów leczniczych o krytycznym znaczeniu, a także nową działalność w sektorze energetycznym, taką jak produkcja wodoru, systemy ciepłownicze, produkcja energii elektrycznej i krajowe centrale zapasów naftowych.

W dniu 20 maja 2021 r. przyjęto rozporządzenie ustanawiające centrum kompetencji w dziedzinie cyberbezpieczeństwa oraz sieć krajowych ośrodków koordynacji. Będzie ono skupiało zasoby pochodzące z UE, państw członkowskich i przemysłu w celu poprawy i wzmocnienia zdolności technologicznych i przemysłowych w dziedzinie cyberbezpieczeństwa, a przy tym wzmocni otwartą strategiczną autonomię UE i zapewni możliwość konsolidacji części działań związanych z cyberbezpieczeństwem finansowanych w ramach programu „Horyzont Europa”, programu „Cyfrowa Europa” i Instrumentu na rzecz Odbudowy i Zwiększania Odporności, a więc źródeł finansowania o łącznej kwocie 4,5 mld EUR przewidzianego na najbliższych sześć lat. Zapewni to wsparcie budowy europejskiej tarczy chroniącej przed zagrożeniami dla cyberbezpieczeństwa do 2023 r., umożliwiającej wczesne wykrywanie cyberataków, składającej się z sieci publicznych lub prywatnych centrów monitorowania bezpieczeństwa, które będą stosowały narzędzia wykorzystujące sztuczną inteligencję. Szereg państw członkowskich uwzględniło budowę takich krajowych centrów w swoich planach odbudowy i zwiększania odporności. Uzupełnieniem tych starań ze strony Komisji będzie przydzielenie środków finansowych z programu „Cyfrowa Europa” i wsparcie ich fazowego połączenia. Programy finansowe wesprą też inicjatywę EuroQCI, dotyczącą budowy bezpiecznej infrastruktury komunikacji kwantowej w całej UE, w tym na jej terytoriach zamorskich, z wykorzystaniem najlepszego połączenia naziemnych i kosmicznych technologii, a specjalna linia budżetowa przyczyni się do wsparcia cyberodporności w sektorze ochrony zdrowia.

Zapewnienie cyberbezpieczeństwa sieci 5G to ciągły proces towarzyszący stopniowemu wprowadzaniu sieci 5G i wdrażaniu unijnego zestawu narzędzi na potrzeby cyberbezpieczeństwa sieci 5G. Większość państw członkowskich już wprowadziła lub wkrótce wprowadzi ramy dotyczące nakładania odpowiednich ograniczeń na dostawców sieci 5G. Wymogi dotyczące operatorów sieci ruchomych zostaną wzmocnione dzięki transpozycji kodeksu łączności elektronicznej, a Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) przygotuje propozycję dotyczącą europejskiego programu certyfikacji cyberbezpieczeństwa sieci 5G. Biorąc pod uwagę nowe tendencje i zmiany zachodzące w łańcuchu dostaw sieci 5G, władze państw członkowskich zdecydowały się rozpocząć w ramach unijnego zestawu narzędzi wnikliwą analizę skutków otwartych, zdezagregowanych i interoperacyjnych sieciowych rozwiązań technologicznych („otwarta sieć dostępu radiowego”) dla bezpieczeństwa. Wyniki tych prac przyczynią się do dalszej realizacji unijnego wspólnego podejścia do bezpieczeństwa sieci 5G.

Niezbędne jest podejmowanie większych starań, szczególnie w ramach Planu działania w dziedzinie edukacji cyfrowej, aby zaradzić ogromnemu niedoborowi wykwalifikowanej siły roboczej, który zgodnie z przewidywaniami do 2022 r. przyniesie w sektorze cyberbezpieczeństwa niemal dwa miliony nieobsadzonych miejsc pracy na całym świecie, z czego 350 000 w samej Europie, a także poważnemu problemowi niedostatecznej liczby kobiet wśród pracowników tego sektora – kobiety stanowią zaledwie 11 % globalnej siły roboczej w sektorze cyberbezpieczeństwa, a w Europie jest ich jeszcze mniej – 7 %. Inne realizowane obecnie inicjatywy polityczne obejmują prace przygotowawcze nad przyszłymi inicjatywami na rzecz bezpieczeństwa internetu rzeczy oraz nad standardami internetowymi, opracowaniem niekomercyjnej usługi rozpoznawania nazw domeny („DNS4EU”).

II.2 Budowanie zdolności operacyjnej w zakresie zapobiegania, powstrzymywania i reagowania

Ze względu na rosnącą liczbę ataków ze strony państw i sponsorowanych przez państwa oraz ataków przestępczych na sieci i systemy informatyczne, a także z uwagi na coraz większą zależność od baz danych zawierających informacje szczególnie chronione, UE wymaga mocniejszego wzajemnego połączenia cyberspołeczności. Muszą one spójnie reagować na cywilne, przestępcze, dyplomatyczne i obronne aspekty cyberataków na dużą skalę, jakich w ostatnim czasie doświadczyło wiele wrażliwych sektorów gospodarki. W związku z tym wszystkie społeczności muszą podjąć starania w celu zrealizowania czterech etapów określonych w zaleceniu Komisji w sprawie utworzenia wspólnej jednostki ds. cyberprzestrzeni, przyjętym równocześnie z niniejszym sprawozdaniem, jako mechanizm umożliwiający dalszą koordynację i wyrównywanie różnic w unijnej reakcji na zagrożenia dla cyberbezpieczeństwa. W kontekście walki z cyberprzestępczością osiągnięto porozumienie polityczne w sprawie tymczasowego rozporządzenia w sprawie zwalczania niegodziwego traktowania dzieci w celach seksualnych w internecie, które wkrótce zostanie przyjęte, zaś opracowana przez Komisję nowa strategia zwalczania przestępczości zorganizowanej skupia się na potrzebie wyposażenia organów ścigania w niezbędne im narzędzia cyfrowe. W lutym 2020 r. Komisja przyjęła ponadto Plan działania na rzecz synergii między przemysłem cywilnym, obronnym i kosmicznym, w którym określiła nowy projekt przewodni dotyczący ustanowienia unijnego systemu globalnej bezpiecznej komunikacji satelitarnej. Dzięki niemu „każda osoba w Europie będzie miała dostęp do szybkiej łączności, a ponadto Europa zyska odporny system łączności zapewniający jej łączność w każdych okolicznościach”.

W perspektywie międzynarodowej, zgodnie z ambitnym celem określonym w ramach Strategicznego kompasu, Wysoki Przedstawiciel przygotowuje obecnie przegląd ram polityki UE w zakresie cyberobrony, którego wyniki przedstawi państwom członkowskim w drugiej połowie 2021 r. Wysoki Przedstawiciel pracuje nad poprawą zdolności UE do zapobiegania szkodliwym działaniom w cyberprzestrzeni, zniechęcania do nich, powstrzymywania przed nimi i reagowania na nie, między innymi przez wzmocnienie współpracy międzynarodowej. W dniu 17 maja 2021 r. Europejska Służba Działań Zewnętrznych (ESDZ), we współpracy z prezydencją portugalską i Instytutem Unii Europejskiej Studiów nad Bezpieczeństwem, zorganizowała opartą na scenariuszach dyskusję z udziałem państw członkowskich UE i partnerów międzynarodowych z myślą o poprawie wzajemnego zrozumienia ich odpowiednich podejść dyplomatycznych do zapobiegania szkodliwym działaniom w cyberprzestrzeni, zniechęcania do nich, powstrzymywania przed nimi i reagowania na nie, a także z myślą o określeniu możliwości dalszego umocnienia współpracy międzynarodowej w tym zakresie. Aby jeszcze bardziej wzmocnić unijny zestaw narzędzi dla dyplomacji cyfrowej, ESDZ gromadzi wyciągnięte wnioski i może przeprowadzić przegląd wytycznych dotyczących wdrażania ram wspólnej unijnej reakcji dyplomatycznej na szkodliwe działania w cyberprzestrzeni.

Jak zapowiedziano w strategii UE w zakresie cyberbezpieczeństwa na cyfrową dekadę, Komisja rozpoczyna badanie umożliwiające opracowanie narzędzi służących podnoszeniu świadomości mających na celu poprawę gotowości i odporności przedsiębiorstw UE na wykorzystujące cyberprzestrzeń kradzieże własności intelektualnej. Komisja zintensyfikowała także działania w zakresie egzekwowania przepisów dyrektywy 2013/40/UE dotyczącej ataków na systemy informatyczne, wszczynając w czerwcu 2021 r. dodatkowe postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko kilku państwom członkowskim. W miarę potrzeb Komisja rozważy podjęcie dalszych działań. Kluczowym zadaniem będzie też poprawa dostępności umiejętności w zakresie cyberbezpieczeństwa wśród unijnych pracowników; najważniejsze działania w tym zakresie, mające na celu zwiększenie wiedzy i zdolności oraz zachęcenie do rozwijania umiejętności interdyscyplinarnych w obszarze cyberbezpieczeństwa, zrealizuje Centrum kompetencji w dziedzinie cyberbezpieczeństwa.

II.3 Rozwijanie globalnej i otwartej cyberprzestrzeni

Krajobraz zagrożeń pogarszają napięcia geopolityczne dotyczące kwestii globalnego i otwartego internetu oraz technologii w całym łańcuchu dostaw. Ograniczenia dotyczące internetu i w internecie, wzrost liczby szkodliwych działań w cyberprzestrzeni oraz działań mających wpływ na bezpieczeństwo i integralność produktów i usług opartych na technologiach informacyjno-komunikacyjnych, zagrażają globalnemu i otwartemu charakterowi cyberprzestrzeni, a także praworządności, prawom człowieka, podstawowym wolnościom i wartościom demokratycznym. W związku z tym Wysoki Przedstawiciel, wraz z państwami członkowskimi, zajmuje się promowaniem odpowiedzialnego zachowania państw w cyberprzestrzeni, w szczególności poprzez ustanowienie we współpracy z 53 innymi współsponsorami programu działania na rzecz promocji odpowiedzialnego zachowania państw w cyberprzestrzeni na szczeblu ONZ, który opiera się na zaleceniu zawartym w sprawozdaniu konsensualnym z dnia 12 marca 2021 r. opracowanym przez działającą w ramach ONZ Otwartą Grupę Roboczą ds. Rozwoju Technologii Teleinformatycznych w kontekście Bezpieczeństwa Międzynarodowego. UE pracuje nad wzmocnieniem i rozszerzeniem kontaktów z państwami trzecimi, organizacjami międzynarodowymi i regionalnymi oraz społecznością obejmującą wiele zainteresowanych stron w ramach dialogów w sprawach cyberprzestrzeni, jak określono w strategii, poprzez ustanowienie unijnej sieci dyplomacji cyfrowej. Ponadto trwają prace nad powołaniem unijnej Rady ds. Budowania Zdolności Cyfrowych, która umożliwi instytucjom, organom i agencjom UE lepszą koordynację unijnych działań na rzecz budowania zewnętrznych zdolności cyfrowych oraz lepszą współpracę w tym zakresie.