PRIPOROČILO KOMISIJE (EU) 2017/1584

z dne 13. septembra 2017

o usklajenem odzivu na velike kibernetske incidente in krize

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 292 Pogodbe,

ob upoštevanju naslednjega:

Uporaba in odvisnost od informacijskih in komunikacijskih tehnologij sta postali ključna vidika v vseh sektorjih gospodarstva, saj so naša podjetja in državljani tesneje medsebojno povezani in bolj odvisni drug od drugega prek različnih sektorjev in preko meja kot kdajkoli. Države članice in institucije EU morajo biti dobro pripravljene na možnost kibernetskega incidenta, ki bi prizadel organizacije v več kot eni državi članici ali celo po celotni Uniji ter lahko povzročil resne motnje na notranjem trgu, pa tudi širše na omrežjih in informacijskih sistemih, na katerih slonijo gospodarstvo, demokracija in družba Unije.

Kibernetski incident se lahko šteje za krizo na ravni Unije, kadar so motnje, ki jih povzroči, preobsežne, da bi jih lahko obvladala država članica sama, ali kadar prizadene vsaj dve državi članici s tako pomembnim tehničnim in političnim učinkom, da sta potrebna pravočasno usklajevanje in odziv na politični ravni Unije.

Kibernetski incidenti lahko sprožijo širšo krizo in vplivajo na sektorje dejavnosti, ki presegajo omrežja in informacijske sisteme ter komunikacijska omrežja; kakršen koli ustrezen odziv mora temeljiti tako na kibernetskih kot tudi nekibernetskih dejavnostih blaženja.

Kibernetskih incidentov ni možno predvideti; pogosto se pojavijo in razvijejo v zelo kratkem času, zato morajo prizadeti subjekti in subjekti, odgovorni za odziv na incidente in blaženje njihovih učinkov, hitro uskladiti svoje odzive. Poleg tega kibernetski incidenti pogosto niso omejeni na določeno geografsko območje in se lahko istočasno pojavijo v več državah ali bliskovito razširijo po njih.

Za učinkovit odziv na velike kibernetske incidente in krize na ravni EU sta nujna hitro in učinkovito sodelovanje med vsemi zadevnimi zainteresiranimi stranmi, ki temelji na pripravljenosti in zmogljivostih posameznih držav članic, in usklajeno skupno ukrepanje, ki ga podpirajo zmogljivosti Unije. Pravočasen in učinkovit odziv na incidente zato sloni na že obstoječih ter – kolikor je to možno – dobro utečenih postopkih sodelovanja in mehanizmih, pri čemer so jasno opredeljene vloge in odgovornosti ključnih akterjev na nacionalni ravni in na ravni Unije.

V svojih sklepih (1) o zaščiti kritične informacijske infrastrukture z dne 27. maja 2011 je Svet pozval države članice, naj „okrepijo sodelovanje med državami članicami ter na podlagi nacionalnih izkušenj in rezultatov na področju kriznega upravljanja in v sodelovanju z agencijo ENISA prispevajo k razvoju evropskih mehanizmov sodelovanja v primeru kibernetskih incidentov, ki bodo preskušeni v okviru naslednje vaje CyberEurope v letu 2012“.

V sporočilu z naslovom „Krepitev odpornosti evropskega sistema kibernetske varnosti ter spodbujanje konkurenčne in inovativne industrije kibernetske varnosti“ (2) iz leta 2016 so bile države članice spodbujene, naj čim bolj izkoristijo obstoječe mehanizme sodelovanja iz direktive VOI (3) ter okrepijo čezmejno sodelovanje v zvezi s pripravljenostjo na kibernetske incidente velikih razsežnosti. V njem je bilo navedeno tudi, da bi usklajen pristop h kriznemu sodelovanju med različnimi elementi kibernetskega ekosistema, ki bi bil določen v „načrtu“, izboljšal pripravljenost ter da bi ta načrt prav tako moral omogočiti sinergije in povezanost z obstoječimi mehanizmi kriznega upravljanja.

V sklepih Sveta (4) v zvezi z navedenim sporočilom so države članice pozvale Komisijo, naj takšen načrt predloži v obravnavo organom in drugim zadevnim deležnikom. Vendar direktiva VOI ne določa okvira Unije za sodelovanje v primeru velikih kibernetskih incidentov in kriz.

Komisija se je posvetovala z državami članicami na dveh ločenih posvetovalnih delavnicah, ki sta potekali 5. aprila in 4. julija 2017 v Bruslju, udeležili pa so se jih predstavniki skupin za odzivanje na incidente na področju računalniške varnosti (CSIRT) držav članic, skupine za sodelovanje, vzpostavljene z direktivo VOI, in Horizontalne delovne skupine Sveta za kibernetska vprašanja ter predstavniki Evropske službe za zunanje delovanje (ESZD), agencije ENISA, Europola/EC3 in generalnega sekretariata Sveta (GSS).

Sedanji načrt za usklajen odziv na velike kibernetske incidente in krize na ravni Unije, ki je priložen temu priporočilu, je rezultat omenjenih posvetovanj in dopolnjuje sporočilo o krepitvi odpornosti evropskega sistema kibernetske varnosti ter spodbujanju konkurenčne in inovativne industrije kibernetske varnosti.

Načrt opisuje in določa cilje in načine sodelovanja med državami članicami ter institucijami, organi, uradi in agencijami EU (v nadaljnjem besedilu: institucije EU) pri odzivanju na velike kibernetske incidente in krize ter prikazuje, kako lahko obstoječi mehanizmi za krizno upravljanje v celoti izkoristijo obstoječe subjekte za zagotavljanje kibernetske varnosti na ravni EU.

Sodelovanje v primeru kibernetskih incidentov ali kriz na nekaterih področjih urejajo sektorski mehanizmi za krizno upravljanje na ravni EU. Tako so na primer v okviru evropskega globalnega satelitskega navigacijskega sistema (GNSS) vloge Sveta, visokega predstavnika, Komisije, Agencije za evropski GNSS in držav članic določene že s Sklepom Sveta 2014/496/SVZP (7) , in sicer v okviru verige operativnih odgovornosti, vzpostavljene v odziv na grožnjo Uniji, državam članicam ali GNSS, tudi v primeru kibernetskega napada. Zato to priporočilo ne bi smelo posegati v take mehanizme.

Glavno odgovornost za odzivanje v primeru velikih kibernetskih incidentov ali kriz imajo prizadete države članice. Vendar imajo pomembno vlogo tudi Komisija, visoki predstavnik in druge institucije ali službe EU, ta vloga pa izhaja iz prava Unije ali iz dejstva, da lahko kibernetski incidenti in krize vplivajo na vsa področja gospodarske dejavnosti na enotnem trgu, varnost in mednarodne odnose Unije, pa tudi na same institucije EU.

Ključni akterji na ravni Unije, vključeni v odzivanje na kibernetske krize, vključujejo nove strukture in mehanizme, vzpostavljene na podlagi direktive VOI, tj. mrežo skupin za odzivanje na incidente na področju računalniške varnosti (CSIRT), pa tudi pristojne agencije in organe, ki so Agencija Evropske unije za varnost omrežij in informacij (ENISA), Evropski center za boj proti kibernetski kriminaliteti (Europol/EC3), Obveščevalni in situacijski center EU (INTCEN), Obveščevalni direktorat Vojaškega štaba EU (EUMS INT) in situacijska soba EU (SITROOM), ki skupaj delujejo kot SIAC (Enotna zmogljivost za analize obveščevalnih podatkov), Hibridna fuzijska celica EU (v okviru INTCEN), skupina za odzivanje na računalniške grožnje za evropske institucije (CERT-EU) in Center za usklajevanje nujnega odziva pri Evropski komisiji.

Sodelovanje med državami članicami pri odzivanju na kibernetske incidente na tehnični ravni zagotavlja mreža skupin CSIRT, vzpostavljena z direktivo VOI. ENISA opravlja naloge sekretariata za navedeno mrežo in dejavno podpira sodelovanje med skupinami CSIRT. Nacionalne skupine CSIRT in CERT-EU sodelujejo med seboj in si prostovoljno izmenjujejo informacije, med drugim po potrebi v odziv na kibernetske incidente, ki prizadenejo eno ali več držav članic. Na zahtevo predstavnika skupine CSIRT države članice lahko obravnavajo in po možnosti opredelijo usklajen odziv na incident, ki se je zgodil na ozemlju pod pristojnostjo te iste države članice. Zadevni protokoli bodo določeni v standardnih operativnih postopkih (8) mreže skupin CSIRT.

Mreža skupin CSIRT je zadolžena tudi za obravnavanje, iskanje in določanje nadaljnjih oblik operativnega sodelovanja, vključno s kategorijami tveganj in incidentov, zgodnjim opozarjanjem, medsebojno pomočjo ter načeli in načini usklajevanja pri odzivanju držav članic na čezmejna tveganja in incidente.

Skupina za sodelovanje, vzpostavljena s členom 11 direktive VOI, je zadolžena za strateško usmerjanje dejavnosti mreže skupin CSIRT, obravnavo zmogljivosti in pripravljenosti držav članic, prostovoljno ocenjevanje nacionalnih strategij za varnost omrežij in informacijskih sistemov ter učinkovitosti skupin CSIRT in določitev najboljših praks.

Zavedanje in razumevanje situacije v realnem času, položaja glede tveganja in groženj, pridobljena s pomočjo poročil, ocen, raziskav, preiskav in analiz, sta ključnega pomena za sprejemanje dobro premišljenih odločitev. Takšno „situacijsko zavedanje“ vseh zadevnih zainteresiranih strani je ključno za učinkovit in usklajen odziv. Situacijsko zavedanje vključuje tako elemente vzrokov za incident, kot tudi njegovih učinkov in izvora. Znano je, da je to odvisno od izmenjave in deljenja informacij med zadevnimi stranmi v ustrezni obliki, s skupno taksonomijo za opis incidenta in na ustrezno zaščiten način.

Na kibernetske incidente se je mogoče odzvati na različne načine, od izbire tehničnih ukrepov, ki lahko vključujejo dva ali več subjektov, ki skupaj preiskujejo tehnične vzroke incidenta (npr. analiza zlonamerne programske opreme) ali iščejo načine, kako bi organizacije ugotovile, ali je incident prizadel tudi njih (npr. kazalniki ogroženosti), pa do operativnih odločitev glede uporabe takšnih ukrepov in, na politični ravni, incidentu ustrezno odločitev glede uporabe drugih instrumentov, na primer okvira za skupen odziv na zlonamerne kibernetske dejavnosti (10) ali protokola EU za preprečevanje hibridnih groženj (11) .

Zaupanje evropskih državljanov in podjetij v digitalne storitve je bistvenega pomena za cvetoč enotni digitalni trg. Pomembno vlogo pri blaženju negativnih učinkov kibernetskih incidentov in kriz ima zato tudi krizno komuniciranje. Komuniciranje lahko poteka tudi v kontekstu okvira za skupen diplomatski odziv kot sredstvo za vplivanje na ravnanje (potencialnih) napadalcev, ki delujejo iz tretjih držav. Usklajevanje komuniciranja z javnostjo za blaženje negativnih učinkov kibernetskih incidentov in kriz ter komuniciranja z javnostjo za vplivanje na napadalca je nujno za učinkovit politični odziv.

Komisija prek infrastrukture digitalnih storitev za kibernetsko varnost instrumenta za povezovanje Evrope (IPE) razvija mehanizem za sodelovanje v okviru jedrne storitvene platforme, imenovan MeliCERTes, s katerim bodo skupine CSIRT držav članic lahko izboljšale svoje ravni pripravljenosti, sodelovanja in odzivanja v zvezi z novimi kibernetskimi grožnjami in incidenti. Komisija s konkurenčnimi razpisi za zbiranje predlogov za dodeljevanje nepovratnih sredstev v okviru IPE sofinancira skupine CSIRT v državah članicah, da bi se izboljšale njihove operativne zmogljivosti na nacionalni ravni.

Vaje na področju kibernetske varnosti na ravni EU so bistvenega pomena za spodbujanje in izboljšanje sodelovanja med državami članicami in zasebnim sektorjem. V ta namen ENISA že od leta 2010 organizira redne vseevropske vaje v zvezi s kibernetskimi incidenti („Cyber Europe“).

Svet v svojih sklepih (12) o izvajanju Skupne izjave predsednika Evropskega sveta, predsednika Evropske komisije in generalnega sekretarja Organizacije Severnoatlantske pogodbe poziva k okrepitvi sodelovanja pri kibernetskih vajah z vzajemnim sodelovanjem osebja v različnih vajah, zlasti v Cyber Coalition in Cyber Europe.

SPREJELA NASLEDNJE PRIPOROČILO:

Države članice in institucije EU bi morale vzpostaviti okvir EU za odzivanje na krize na področju kibernetske varnosti, ki bi v skladu z vodilnimi načeli, predstavljenimi v načrtu, vključeval v načrtu opisane cilje in načine sodelovanja.

Okvir EU za odzivanje na krize na področju kibernetske varnosti bi moral zlasti določiti ustrezne akterje, institucije EU in organe držav članic na vseh potrebnih ravneh – tehnični, operativni, strateško-politični – ter po potrebi tudi standardne operativne postopke, s katerimi bi bil določen način sodelovanja med navedenimi akterji v kontekstu mehanizmov EU za krizno upravljanje. Poudariti bi bilo treba omogočanje izmenjave informacij brez nepotrebnega odlašanja ter usklajevanje odziva med velikimi kibernetskimi incidenti in krizami.

V zvezi z obstoječimi mehanizmi EU za krizno upravljanje bi v skladu z načrtom morale države članice skupaj s službami Komisije in ESZD pripraviti smernice za izvajanje v praksi glede integracije svojih subjektov in postopkov za nacionalno krizno upravljanje in kibernetsko varnost v obstoječe mehanizme kriznega upravljanja na ravni EU, tj. tiste v okviru enotne ureditve za politično odzivanje in ESZD. Zlasti bi morale države članice zagotoviti, da so vzpostavljene ustrezne strukture, ki v kontekstu kriznih mehanizmov EU omogočajo učinkovit pretok informacij med njihovimi organi za nacionalno krizno upravljanje in njihovimi predstavniki na ravni EU.

Države članice bi morale v celoti izkoristiti možnosti, ki so ponujene v okviru programa infrastrukture digitalnih storitev za kibernetsko varnost instrumenta za povezovanje Evrope, in v sodelovanju s Komisijo zagotoviti, da bo mehanizem za sodelovanje v okviru jedrne storitvene platforme, ki je trenutno v razvoju, zagotovil potrebne funkcije in izpolnjeval njihove zahteve po sodelovanju tudi v času dejanskih kibernetskih kriz.

Za še boljše tehnično in operativno sodelovanje med krizami bi morale države članice s pomočjo agencije ENISA in na podlagi preteklih prizadevanj na tem področju sodelovati pri razvoju in sprejemanju skupne taksonomije in predloge za poročila o razmerah, s katerimi bi se opisali tehnični vzroki in učinki kibernetskih incidentov. V zvezi s tem bi morale države članice upoštevati tekoče delo v okviru skupine za sodelovanje na področju smernic za priglasitev incidentov in zlasti posebnih vidikov glede oblike nacionalnih priglasitev.

Postopki, določeni v navedenem okviru, bi morali biti preskušeni in po potrebi pregledani na podlagi izkušenj, ki jih je država članica pridobila tako med sodelovanjem v diplomatskih prizadevanjih na nacionalni in regionalni ravni ter na ravni Unije, kot tudi med Natovimi vajami na področju kibernetske varnosti. Zlasti bi morale biti preskušene v kontekstu vaj CyberEurope, ki jih organizira agencija ENISA. Prva takšna priložnost bodo vaje CyberEurope v letu 2018.

Države članice in institucije EU bi morale redno vaditi svoj odziv na velike kibernetske incidente in krize na nacionalni in evropski ravni, po potrebi vključno s svojim političnim odzivom in z ustrezno vključenostjo subjektov iz zasebnega sektorja.

(1) Sklepi Sveta o zaščiti kritične informacijske infrastrukture „Dosežki in naslednji koraki: h globalni kibernetski varnosti“, dokument št. 10299/11, Bruselj, 27. maj 2011.

(2) COM(2016) 410 final, 5. julij 2016.

(3) Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta z dne 6. julija 2016 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (UL L 194, 19.7.2016, str. 1).

(4) Dokument št. 14540/16, 15. november 2016.

(5) Podrobnejše informacije so na voljo v oddelku 3.1 Dodatka o kriznem upravljanju, mehanizmih za sodelovanje in akterjih na ravni EU.

(6) Prav tam.

(7) Sklep Sveta 2014/496/SZVP z dne 22. julija 2014 o vidikih namestitve, delovanja in uporabe evropskega globalnega navigacijskega satelitskega sistema, ki vplivajo na varnost Evropske unije in razveljavitvi Skupnega ukrepa 2004/552/SZVP (UL L 219, 25.7.2014, str. 53).

(8) V pripravi; predvidoma bodo sprejeti do konca leta 2017.

(9) Smernice bodo predvidoma pripravljene do konca leta 2017.

(10) Sklepi Sveta o okviru za skupen diplomatski odziv EU na zlonamerne kibernetske dejavnosti („zbirka orodij za kibernetsko diplomacijo“), dokument št. 9916/17.

(11) Skupni dokument služb Komisije, Operativni protokol EU za preprečevanje hibridnih groženj (EU Playbook), SWD(2016) 227 final, 5. julij 2016.

(12) ST 15283/16, 6. december 2016.

PRILOGA

Načrt za usklajen odziv na velike čezmejne kibernetske incidente in krize

UVOD

Ta načrt se uporablja za kibernetske incidente, ki povzročijo prevelike motnje, da bi jih lahko prizadeta država članica obvladala sama, ali prizadenejo vsaj dve državi članici ali instituciji EU tako obsežno in s tako občutnim tehničnim ali političnim učinkom, da zahtevajo pravočasno politično usklajevanje in odziv na politični ravni Unije.

Tako veliki kibernetski incidenti se štejejo za kibernetsko „krizo“.

V primeru vseevropske krize, povezane s kibernetiko, usklajevanje odziva na politični ravni Unije vodi Svet z uporabo enotnih ureditev EU za politično odzivanje na krize (IPCR).

Znotraj komisije bo usklajevanje potekalo po sistemu hitrega obveščanja ARGUS.

Če bo imela kriza znaten vpliv na zunanjo ali skupno varnostno in obrambno politiko (SVOP), se aktivira mehanizem ESZD za krizno odzivanje.

V načrtu je opisano, kako bi morali ti uveljavljeni mehanizmi za krizno upravljanje polno izkoristiti obstoječe subjekte kibernetske varnosti na ravni EU in mehanizme za sodelovanje med državami članicami.

Pri tem načrt upošteva sklop vodilnih načel (sorazmernost, subsidiarnost, dopolnjevanje in zaupnost informacij) ter predstavlja glavne cilje sodelovanja (učinkovit odziv, skupno situacijsko zavedanje, sporočila za komuniciranje z javnostjo) na treh ravneh (strateško-politični, operativni in tehnični), mehanizme in vpletene akterje ter dejavnosti za doseganje navedenih glavnih ciljev.

Načrt ne zajema celotnega življenjskega cikla kriznega upravljanja (preprečevanje/blaženje, pripravljenost, odzivanje, obnova), temveč se osredotoča na odzivanje. Kljub temu obravnava tudi nekatere dejavnosti, zlasti dejavnosti, povezane s skupnim situacijskim zavedanjem.

Pomembno je tudi poudariti, da so lahko kibernetski incidenti vzrok ali del širše krize, ki vpliva tudi na druge sektorje. Ker bo verjetno večina kibernetskih kriz vplivala na fizični svet, mora vsak ustrezen odziv temeljiti tako na kibernetskih kot nekibernetskih blažilnih dejavnostih. Dejavnosti kibernetskega kriznega odzivanja bi morale biti usklajene z drugimi mehanizmi za krizno upravljanje na ravni EU ter na nacionalni ali sektorski ravni.

Načrt tudi ne nadomešča obstoječih mehanizmov, ureditev ali instrumentov v posameznih sektorjih ali posameznih politikah, kot na primer tisti, ki je bil vzpostavljen za evropski program globalnega satelitskega navigacijskega sistema (GNSS) (1), in ne bi smel posegati vanje.

Vodilna načela

Pri prizadevanju za cilje, opredeljevanju potrebnih dejavnosti ter dodeljevanju vlog in odgovornosti ustreznim akterjem ali mehanizmom so bila uporabljena naslednja vodilna načela, ki jih je treba upoštevati tudi pri pripravi prihodnjih izvedbenih smernic.

Sorazmernost: Velika večina kibernetskih incidentov, ki prizadene države članice, ne pomeni nacionalne „krize“, še manj pa evropske. Temelj za sodelovanje med državami članicami pri odzivanju na take incidente je mreža skupin za odzivanje na incidente na področju računalniške varnosti (skupin CSIRT), ki so bile vzpostavljene z direktivo o varnosti omrežij in informacij (2). Nacionalne skupine CSIRT prostovoljno, dnevno in v skladu s standardnimi operativnimi postopki (SOP) mreže skupin CSIRT sodelujejo in izmenjujejo informacije, med drugim po potrebi kot odziv na kibernetske incidente, ki prizadenejo eno ali več držav članic. Načrt bi moral zato te standardne operativne postopke popolnoma izkoristiti, v njih pa bi se morale odražati vse dodatne naloge, povezane s kibernetsko krizo.

Subsidiarnost: Načelo subsidiarnosti je ključno. Glavno odgovornost za odzivanje ob velikih kibernetskih incidentih ali krizah imajo prizadete države članice. Pomembno vlogo pa imajo tudi Komisija, Evropska služba za zunanje delovanje in druge institucije, uradi, agencije in organi EU. To vlogo jasno določajo ureditve IPCR, izhaja pa tudi iz prava Unije ali enostavno iz dejstva, da lahko kibernetski incidenti in krize prizadenejo vsa področja gospodarske dejavnosti znotraj enotnega trga, varnost in mednarodne odnose Unije, pa tudi same institucije EU.

Dopolnjevanje: Načrt v celoti upošteva obstoječe mehanizme za krizno upravljanje na ravni EU (enotne ureditve EU za politično odzivanje na krize (IPCR), sistem ARGUS in mehanizem ESZD za krizno odzivanje), vanje vključuje nove strukture in mehanizme iz direktive o varnosti omrežij in informacij (mrežo skupin CSIRT) ter relevantne agencije in organe (Agencijo Evropske unije za varnost omrežij in informacij (ENISA), Evropski center za boj proti kibernetski kriminaliteti pri Europolu (Europol/EC3), Obveščevalni in situacijski center EU (INTCEN), Obveščevalni direktorat Vojaškega štaba EU (EUMS INT) ter situacijsko sobo (SITROOM) znotraj INTCEN, ki skupaj delujejo kot SIAC (enotna zmogljivost za analize obveščevalnih podatkov); hibridno fuzijsko celico EU (s sedežem v INTCEN) ter skupino za odzivanje na računalniške grožnje za evropske institucije, organe in agencije (CERT-EU)). Pri tem bi moral načrt zagotoviti tudi, da se pri interakciji in sodelovanju čim bolj dopolnjujejo, njihove naloge pa čim manj prekrivajo.

Zaupnost informacij: Vse izmenjave informacij v okviru načrta morajo spoštovati veljavna pravila o varnosti (3), varstvu osebnih podatkov in semaforski protokol (4). Za izmenjavo tajnih podatkov se ne glede na uporabljeno razvrstitveno shemo uporabijo razpoložljiva potrjena orodja (5). Pri obdelavi osebnih podatkov bodo upoštevani veljavni predpisi EU, zlasti Splošna uredba o varstvu podatkov (6), Direktiva o zasebnosti in elektronskih komunikacijah (7) ter uredba (8)„o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov“.

Glavni cilji

Sodelovanje na podlagi načrta sledi prej navedenemu pristopu na treh ravneh: politični, operativni in tehnični. Na vsaki ravni lahko sodelovanje vključuje izmenjavo informacij ter skupne ukrepe, njegov namen pa je doseči glavne cilje iz nadaljevanja.

— Omogočanje učinkovitega odziva: Odziv je lahko različen: od opredeljevanja tehničnih ukrepov, pri čemer morata vsaj dva subjekta skupaj preiskovati tehnične vzroke incidenta (npr. analiza zlonamerne programske opreme), ali načinov, kako lahko organizacije ocenijo, ali so bile prizadete (npr. kazalniki ogroženosti), do sprejemanja operativnih odločitev o uporabi takih tehničnih ukrepov ter odločanja na politični ravni o sprožitvi drugih instrumentov, kot so diplomatski odziv EU na zlonamerne kibernetske dejavnosti („orodje za kibernetsko diplomacijo“) ali operativni protokol EU za preprečevanje hibridnih groženj, odvisno od incidenta.

— Skupno situacijsko zavedanje: Za usklajen odziv je bistveno, da vse relevantne zainteresirane strani na vseh treh ravneh (tehnični, operativni in politični) dovolj dobro razumejo dogodke, ko ti potekajo. Situacijsko zavedanje lahko vključuje tehnološke elemente o vzrokih ter učinek in izvor incidenta. Ker lahko kibernetski incidenti prizadenejo vrsto različnih sektorjev (finančni, energetski, prometni, zdravstveni sektor in druge), je nujno, da ustrezne informacije v primerni obliki pravočasno dosežejo vse relevantne zainteresirane strani.

— Strinjanje o ključnih sporočilih za komuniciranje z javnostjo (9): Krizno komuniciranje ima pomembno vlogo pri blaženju negativnih učinkov kibernetskih incidentov in kriz, lahko pa se uporabi tudi za vplivanje na ravnanje (morebitnih) napadalcev. Z ustreznim sporočilom je mogoče tudi jasno sporočiti verjetne posledice diplomatskega odziva in s tem vplivati na ravnanje napadalcev. Usklajevanje komuniciranja z javnostjo za blaženje negativnih učinkov kibernetskih incidentov in kriz ter komuniciranje z javnostjo za vplivanje na napadalca je nujno za učinkovit politični odziv. Pri kibernetski varnosti je nadvse pomembno razširjanje pravilnih konkretnih informacij o tem, kako lahko javnost ublaži učinke incidenta (npr. z namestitvijo programskih popravkov, sprejetjem dopolnilnih ukrepov v izogib grožnji itd.).

SODELOVANJE MED DRžAVAMI ČLANICAMI TER MED DRžAVAMI ČLANICAMI IN AKTERJI EU NA TEHNIČNI, OPERATIVNI IN STRATEŠKO-POLITIČNI RAVNI

Učinkovit odziv na velike kibernetske incidente ali krize na ravni EU je odvisen od učinkovitega tehničnega, operativnega in strateško-političnega sodelovanja.

Na vsaki ravni bi morali vpleteni akterji izvajati posebne dejavnosti za doseganje treh glavnih ciljev:

— usklajen odziv,

— skupno situacijsko zavedanje in

— komuniciranje z javnostjo.

Ves čas incidenta ali krize se bo s sodelovanjem na nižjih ravneh opozarjalo, informiralo in podpiralo sodelovanje na višjih ravneh, višje ravni pa bodo za nižje ravni pripravile smernice (10) in sprejele odločitve, kakor bo primerno.

Sodelovanje na tehnični ravni

Področje dejavnosti:

— obvladovanje incidentov (11) med kibernetsko krizo;

— spremljanje in nadzor incidenta, vključno s stalno analizo nevarnosti in tveganja.

Potencialni akterji

Na tehnični ravni je v načrtu osrednji mehanizem za sodelovanje mreža skupin CSIRT, ki ji predseduje predsedstvo, za njen sekretariat pa skrbi ENISA.

— Države članice: — pristojni organi in enotne kontaktne točke, ustanovljene z direktivo o varnosti omrežij in informacij, — skupine CSIRT,

— organi/uradi/agencije EU: — ENISA, — Europol/EC3, — CERT-EU,

— Evropska komisija: — ERCC (24-urna operativna služba GD za humanitarno pomoč in civilno zaščito (ECHO)) in imenovana vodilna služba (ki se glede na naravo posameznega incidenta izbere med GD za komunikacijska omrežja, vsebine in tehnologijo (CNECT) ter GD za migracije in notranje zadeve (HOME)), Generalni sekretariat (sekretariat sistema ARGUS), GD za človeške vire in varnost (HR) (Direktorat za varnost), GD za informatiko (DIGIT) (Operacije za varnost IT); — za druge agencije EU (12) ustrezni matični GD pri Komisiji ali ESZD (prva kontaktna točka),

— ESZD: — SIAC (enotna zmogljivost za analize obveščevalnih podatkov: EU INTCEN in EUMS INT), — situacijska soba EU ter geografsko in tematsko določena služba, — hibridna fuzijska celica EU (del EU INTCEN – kibernetska varnost v hibridnih razmerah).

Skupno situacijsko zavedanje

— Kot del rednega sodelovanja na tehnični ravni za podporo situacijskemu zavedanju v Uniji bi morala ENISA redno pripravljati tehnično poročilo o stanju na področju kibernetske varnosti v EU glede incidentov in groženj, ki bi temeljilo na javno dostopnih informacijah, lastnih analizah ter poročilih, ki ji jih pošljejo skupine CSIRT držav članic (prostovoljno) ali enotne kontaktne točke iz direktive o varnosti omrežij in informacij, Evropski center za boj proti kibernetski kriminaliteti (EC3) pri Europolu in skupina CERT-EU ter, kjer je to ustrezno, Obveščevalni in situacijski center Evropske unije (INTCEN) pri Evropski službi za zunanje delovanje (ESZD). Poročilo bi moralo biti dostopno tudi ustreznim telesom Sveta, Komisiji, visokemu predstavniku in podpredsedniku ter mreži skupin CSIRT.

— V primeru večjih incidentov predsednik mreže skupin CSIRT ob pomoči agencije ENISA pripravi poročilo o stanju v zvezi s kibernetskim incidentom v EU (13), ki se prek skupine CSIRT šestmesečnega predsedstva predstavi predsedstvu, Komisiji in visokemu predstavniku Unije za zunanje zadeve in varnostno politiko ter podpredsedniku Komisije.

— Vse ostale agencije EU poročajo svojim matičnim generalnim direktoratom, ki potem poročajo vodilni službi Komisije.

— CERT-EU pripravlja tehnična poročila za mrežo skupin CSIRT, institucije in agencije EU (po potrebi) ter sistem ARGUS (če je aktiviran).

— Europol/EC3 (14) in CERT-EU za mrežo skupin CSIRT pripravlja strokovne forenzične analize tehničnih izdelkov in druge tehnične informacije.

— SIAC ESZD: hibridna fuzijska celica EU v imenu INTCEN poroča ustreznim oddelkom ESZD.

Odziv:

— Mreža skupin CSIRT izmenjuje tehnične podrobnosti in analize incidentov, kot so naslovi IP, kazalniki ogroženosti (15) itd. Te informacije bi morali biti agenciji ENISA na voljo brez nepotrebnega odlašanja in ne pozneje kot v 24 urah od takrat, ko je incident odkrit.

— V skladu s standardnimi operativnimi postopki mreže skupin CSIRT člani mreže sodelujejo pri svojih prizadevanjih za analizo razpoložljivih tehničnih elementov in drugih tehničnih informacij o incidentu, da bi ugotovili vzrok in možne tehnične blažilne ukrepe.

— Agencija ENISA skupinam CSIRT v skladu s svojim mandatom (16) pomaga pri njihovih tehničnih dejavnosti, pri čemer se opira na svoje strokovno znanje in izkušnje.

— Skupine CSIRT v državah članicah usklajujejo svoje tehnične odzivne dejavnosti ob pomoči agencije ENISA in Komisije.

— SIAC ESZD: hibridna fuzijska celica EU v imenu INTCEN sproži postopek zbiranja dokazov in zbere prve podatke.

Komuniciranje z javnostjo:

— Skupine CSIRT pripravljajo tehnična priporočila (17) in opozorila na ranljivost (18) ter jih razširjajo v ustreznih skupnostih in javnosti po postopkih za avtorizacijo, ki veljajo v posameznem primeru.

— ENISA olajšuje pripravo in razširjanje skupnih obvestil mreže skupin CSIRT.

— ENISA usklajuje svoje dejavnosti komuniciranja z javnostjo z mrežo skupin CSIRT in Službo Komisije za stike z javnostjo.

— ENISA in EC3 usklajujeta svoje dejavnosti komuniciranja z javnostjo na podlagi skupnega situacijskega zavedanja, o katerem so se dogovorile države članice. Oba usklajujeta svoje dejavnosti komuniciranja z javnostjo s Službo Komisije za stike z javnostjo.

— Če se kriza dotika zunanje ali skupne varnostne in obrambne politike (SVOP), bi bilo treba komuniciranje z javnostjo usklajevati s službo tiskovnega predstavnika ESZD ter visokega predstavnika in podpredsednika.

Sodelovanje na operativni ravni

Področje dejavnosti:

— Priprava odločanja na politični ravni.

— Usklajevanje upravljanja kibernetske krize (kot je primerno).

— Ocena posledic in vpliva na ravni EU in predlaganje možnih blažilnih ukrepov.

Potencialni akterji

— Države članice: — pristojni organi in enotne kontaktne točke, ustanovljene z direktivo o varnosti omrežij in informacij, — skupine CSIRT, agencije za kibernetsko varnost, — drugi nacionalni sektorski organi (v primeru večsektorskih incidentov ali krize),

— organi/uradi/agencije EU: — ENISA, — Europol/EC3, — CERT-EU,

— Evropska komisija: — (namestnik) generalnega sekretarja (SG) (sistem ARGUS), — GD CNECT/HOME, — Varnostni organ Komisije, — drugi generalni direktorati (v primeru večsektorskih incidentov ali krize),

— ESZD: — generalni sekretar (ali njegov namestnik) za krizno odzivanje in SIAC (EU INTCEN in EUMS INT), — hibridna fuzijska celica EU,

— Svet: — predsedstvo (predsednik Horizontalne delovne skupine za kibernetska vprašanja ali Coreper (19)) ob podpori generalnega sekretariata Sveta ali PVO (20) in ureditve IPCR, če je ta aktivirana.

Situacijsko zavedanje:

— Podpora izdelavi političnih/strateških poročil o stanju (npr. ISAA ob aktiviranju ureditve IPCR).

— Horizontalna delovna skupina Sveta za kibernetska vprašanja pripravlja seje Coreper ali PVO, kot je primerno.

— Ob aktivaciji IPCR: — predsedstvo lahko skliče okrogle mize v podporo pripravi za Coreper ali PVO, pri tem vključi ustrezne zainteresirane strani iz držav članic, institucij, agencij in tretjih strani, kot so države nečlanice EU in mednarodne organizacije. To so krizna srečanja za ugotovitev ozkih grl in pripravo predlogov ukrepov za medsektorska vprašanja; — vodilne službe Komisije ali ESZD, pod katerim vodstvom je ISAA, pripravi poročilo ISAA s prispevki ENISA, mreže skupin CSIRT, Europol/EC3, EUMS, INT, INTCEN in vseh drugih ustreznih akterjev. Poročilo ISAA je ocena na ravni vse EU, ki sloni na korelaciji med tehničnimi incidenti in oceno krize (analiza ogroženosti, ocena tveganja, netehnične posledice in učinki, nekibernetski vidiki incidenta ali krize itd.) in je prilagojena potrebam na operativni in politični ravni.

— Ob aktivaciji ARGUS: — CERT-EU in EC3 (21) neposredno prispevata k izmenjavi informacij znotraj Komisije.

— Ob aktivaciji mehanizma ESZD za krizno odzivanje: — bo SIAC okrepil zbiranje informacij in združevanje informacij iz vseh virov ter pripravil analizo in oceno incidenta.

Odziv (na zahtevo politične ravni):

— Čezmejno sodelovanje z enotno kontaktno točko in nacionalnimi pristojnimi organi (direktiva o varnosti omrežij in informacij) za zmanjšanje posledic in učinkov.

— Aktiviranje vseh tehničnih blažilnih ukrepov in usklajevanje tehničnih zmogljivosti, potrebnih za ustavitev ali zmanjšanje posledic napadov na ciljne informacijske sisteme.

— Sodelovanje, in če je bilo tako odločeno, usklajevanje tehničnih zmogljivosti za skupen ali sodelovalen odziv v skladu s standardnimi operativnimi postopki mreže skupin CSIRT .

— Ocena potrebe po sodelovanju z relevantnimi tretjimi stranmi.

— Odločanje v sistemu ARGUS (če je aktiviran).

— Priprava sklepov in usklajevanje na podlagi ureditve IPCR (če je aktivirana).

— Podpora odločanju ESZD prek mehanizma ESZD za krizno odzivanje (če je aktiviran), tudi za stike s tretjimi državami in mednarodnimi organizacijami ter kateri koli ukrep, katerega cilj je varovanje misij in operacij SVOP ter delegacij EU.

Komuniciranje z javnostjo:

— Dogovor glede javnih sporočil o incidentu.

— Če se kriza dotika zunanje ali skupne varnostne in obrambne politike (SVOP), bi bilo treba komuniciranje z javnostjo uskladiti s službo tiskovnega predstavnika ESZD ter visokega predstavnika in podpredsednika.

Sodelovanje na strateški/politični ravni

Potencialni akterji:

— za države članice: ministri, pristojni za kibernetsko varnost,

— za Evropski svet: predsednik,

— za Svet: šestmesečno predsedstvo,

— za ukrepe iz „kibernetske diplomatske orodjarne“: PVO in Horizontalna delovna skupina,

— za Evropsko komisijo: predsednik ali pooblaščeni podpredsednik/komisar,

— visoki predstavnik Unije za zunanje zadeve in varnostno politiko ter podpredsednik Komisije.

Področje dejavnosti: Strateško in politično upravljanje kibernetskih in nekibernetskih vidikov krize, vključno z ukrepi iz okvira za skupni diplomatski odziv EU na zlonamerne kibernetske dejavnosti.

Skupno situacijsko zavedanje:

— Opredelitev učinkov motenj, ki jih je kriza povzročila na delovanje Unije.

Odziv:

— Aktiviranje dodatnih mehanizmov/instrumentov za krizno upravljanje je odvisno od vrste in učinka incidenta. Ti lahko na primer vključujejo mehanizem na področju civilne zaščite.

— Sprejemanje ukrepov iz okvira za skupni diplomatski odziv EU na zlonamerne kibernetske dejavnosti.

— Dajanje nujne pomoči prizadetim državam članicam, na primer aktiviranje sklada za nujno odzivanje na kibernetske grožnje (22), ko bo na voljo.

— Sodelovanje in usklajevanje z mednarodnimi organizacijami, kadar je to primerno, kot so Združeni narodi (ZN), Organizacija za varnost in sodelovanje v Evropi (OVSE) in zlasti Nato.

— Ocena posledic za nacionalno varnost in obrambo.

Komuniciranje z javnostjo:

Določitev skupne strategije komuniciranja z javnostjo.

ODZIV, USKLAJEVAN NA RAVNI EU Z DRŽAVAMI ČLANICAMI V OKVIRU UREDITVE IPCR

V skladu z načelom dopolnjevanja na ravni EU ta oddelek uvaja in obravnava zlasti glavni cilj ter odgovornosti in dejavnosti organov držav članic, mreže skupin CSIRT, ENISA, CERT-EU, Europola/EC3, INTCEN, hibridne fuzijske celice EU in Horizontalne delovne skupine Sveta o kibernetskih vprašanjih v postopku IPCR. Pričakuje se, da akterji ravnajo v skladu z uveljavljenimi postopki na ravni EU ali nacionalni ravni.

Bistveno je omeniti, da se, kot kaže slika 1, dejavnosti na nacionalni ravni in sodelovanje v mreži skupin CSIRT (kadar je to potrebno) izvajajo čez ves incident/krizo po načelih subsidiarnosti in sorazmernosti, ne glede na aktivacijo mehanizmov EU za krizno upravljanje.

Slika 1

Odziv na kibernetske incidente/krize na ravni EU

Vse dejavnosti, ki so opisane v nadaljevanju, se izvajajo v skladu s standardnimi operativnimi postopki/pravili pri zadevnih mehanizmih za sodelovanje ter v skladu z mandati in pristojnostmi posameznih akterjev in institucij. Navedeni postopki/pravila se po potrebi nekoliko dopolnijo ali spremenijo za dosego čim boljšega sodelovanja in učinkovitega odziva na velike kibernetske incidente ali krize.

Med posameznim incidentom morda ne bo treba ukrepati vsem akterjem, predstavljenim v nadaljevanju. Kljub temu bi bilo v načrtih in ustreznih standardnih operativnih postopkih mehanizmov za sodelovanje treba predvideti njihovo morebitno udeležbo.

Glede na različne stopnje vpliva na družbo, ki ga lahko ima kibernetski incident ali kriza, bosta velika prožnost pri udeležbi sektorskih akterjev na vseh ravneh in vsak ustrezen odziv slonela na kibernetskih in nekibernetskih blažilnih dejavnostih.

Krizno upravljanje kibernetske varnosti – vključevanje kibernetske varnosti v postopek IPCR

Ureditev IPCR iz standardnih operativnih postopkov za IPCR (23) sledi zaporedju korakov, opisanem v nadaljevanju (uporaba posameznega koraka bo odvisna od razmer).

Pri vsakem koraku so navedene dejavnosti in akterji, ki so specifični za kibernetsko varnost. Za lažje branje je pri vsakem koraku navedeno besedilo iz standardnih operativnih postopkov IPCR, ki mu sledijo dejavnosti, ki so specifične za načrt. Ta pristop po korakih omogoča tudi, da se pri potrebnih zmogljivostih in postopkih jasno opredelijo obstoječe vrzeli, ki ovirajo učinkovit odziv na kibernetske krize.

Slika 2 (spodaj (24)) je grafični prikaz postopka IPCR, pri čemer so novi uvedeni elementi označeni z modro.

Slika 2

Elementi v IPCR, specifični za kibernetsko varnost

Opomba: Zaradi narave hibridnih groženj na kibernetskem področju, ki so zasnovane tako, da ostanejo pod pragom prepoznavne krize, mora EU izvajati ukrepe za preprečevanje in pripravljenost. Hibridni fuzijski celici EU je dana naloga, da hitro analizira relevantne incidente in obvesti ustrezne usklajevalne strukture. Redno poročanje iz fuzijske celice lahko prispeva k obveščenosti pri sektorskem oblikovanju politik za izboljšanje pripravljenosti.

— Korak 1 – Redno sektorsko spremljanje in opozarjanje: obstoječa, redna sektorska poročila o stanju in opozorila predsedstvo Sveta oskrbujejo s podatki o razvijajoči se krizi in njenem mogočem poteku; — Opredeljene vrzeli: Trenutno ni rednih in usklajevanih poročil o stanju in opozoril na področju kibernetske varnosti v zvezi s kibernetskimi incidenti (in grožnjami) na ravni EU. — Načrt: Spremljanje stanja in poročanje o njem na področju kibernetske varnosti v EU — Redno tehnično poročilo o stanju na področju kibernetske varnosti v EU glede kibernetskih incidentov in groženj bo pripravila ENISA na podlagi javno dostopnih informacij, lastnih analiz ter poročil, ki ji jih pošljejo skupine CSIRT v državah članicah (prostovoljno) ali enotne kontaktne točke iz direktive o varnosti omrežij in informacij, Evropski center za boj proti kibernetski kriminaliteti (EC3) pri Europolu, CERT-EU ter Obveščevalni in situacijski center Evropske unije (INTCEN) pri Evropski službi za zunanje delovanje (ESZD). Poročilo bi moralo biti dostopno tudi ustreznim telesom Sveta, Komisije in mreže skupin CSIRT. — V imenu SIAC bi morala hibridna fuzijska celica EU sestaviti operativno poročilo o stanju na področju kibernetske varnosti v EU. Navedeno poročilo podpira tudi okvir za skupni diplomatski odziv EU na zlonamerne kibernetske dejavnosti. — Obe poročili se širita med zainteresiranimi stranmi v EU in na nacionalni ravni, kar prispeva k njihovemu situacijskemu zavedanju, omogoča ozaveščeno sprejemanje odločitev in olajšuje čezmejno regionalno sodelovanje.

Po odkritju incidenta

— Korak 2 – Analiza in svetovanje: na podlagi dostopnega spremljanja in opozarjanja se službe Komisije, ESZD in generalni sekretariat Sveta sproti medsebojno obveščajo o mogočem razvoju dogodkov, da so pripravljeni svetovati predsedstvu pri morebitni aktivaciji (v celoti ali v načinu izmenjave informaciji) IPCR; — Načrt: — Za Komisijo: GD CNECT, GD HOME, DG HR.DS in DG DIGIT s podporo ENISA, EC3 in CERT-EU. — ESZD. Na podlagi dela situacijske sobe in obveščevalnih virov hibridna fuzijska celica EU omogoča situacijsko zavedanje o dejanskih in morebitnih hibridnih grožnjah, ki zadevajo EU in njene partnerice, vključno s kibernetskimi grožnjami. Ko analiza in ocena hibridne fuzijske celice EU kažeta na obstoj morebitnih groženj, usmerjenih proti državi članici, partnerski državi ali organizaciji, bo zato INTCEN (na prvi stopnji) obvestil operativno raven po uveljavljenih postopkih. Operativna raven bo nato pripravila priporočila za politično strateško raven, vključno z morebitno aktivacijo ukrepov kriznega upravljanja v načinu spremljanja (npr. mehanizem za krizno odzivanje ESZD ali stran za spremljanje IPCR). — Predsednik mreže skupin CSIRT ob podpori ENISA pripravi poročilo o stanju v zvezi s kibernetskim incidentom v EU (25), ki se prek skupine CSIRT šestmesečnega predsedstva predloži predsedstvu, Komisiji in visokemu predstavniku Unije za zunanje zadeve in varnostno politiko.

— Korak 3 – Ocena/odločitev o aktivaciji IPCR: predsedstvo oceni potrebo po političnem usklajevanju, izmenjavi informacij ali odločanju na ravni EU. V ta namen lahko predsedstvo skliče neuradno okroglo mizo. Predsedstvo opravi začetno opredelitev področij, ki zahtevajo udeležbo Coreperja ali Sveta. Ta bo podlaga za smernice za izdelavo poročil o celovitem situacijskem zavedanju in analizi (ISAA). Predsedstvo bo glede na značilnosti krize, njene mogoče posledice in z njo povezane politične potrebe odločilo o primernosti sklicanja sej zadevnih delovnih skupin Sveta in/ali Coreperja in/ali PVO. — Načrt: — Udeleženci okrogle mize: — službe Komisije in ESZD bodo predsedstvu svetovale na svojih področjih pristojnosti; — predstavniki držav članic v Horizontalni delovni skupini za kibernetska vprašanja ob podpori strokovnjakov iz držav članic (skupine CSIRT, organi, pristojni za kibernetsko varnost, drugi); — politične/strateške smernice za poročila ISAA na podlagi najnovejšega poročila o stanju v zvezi s kibernetskim incidentom v EU in dodatnih informacij, ki so jih sporočili udeleženci okrogle mize; — ustrezne delovne skupine in odbori: — Horizontalna delovna skupina za kibernetska vprašanja. Komisija, ESZD in generalni sekretariat Sveta ob polnem soglasju in sodelovanju s predsedstvom lahko sklenejo aktivirati IPCR v načinu za izmenjavo informacij z ustvaritvijo krizne strani, tako da pripravijo teren za morebitno popolno aktiviranje.

— Korak 4 – Aktiviranje/zbiranje in izmenjava informacij IPCR: po aktiviranju (bodisi v načinu za izmenjavo informacij ali v celoti) se ustvari krizna stran na spletni platformi IPCR, da se omogočijo posebne izmenjave informacij, usmerjene v vidike, ki prispevajo k poročilom ISAA in pripravi razprave na politični ravni. Vodilna služba ISAA (ena od služb Komisije ali ESZD) bo izbrana glede na okoliščine v posameznem primeru.

— Korak 5 – oblikovanje ISAA: izdelava poročil ISAA se bo začela. Komisija/ESZD bo izdala poročila ISAA, kot je opisano v standardnih operativnih postopkih za ISAA, in bo lahko dodatno spodbujala izmenjavo informacij na spletni platformi IPCR ali izdala posebne zahteve po informacijah. Poročila ISAA bodo po meri potreb na politični ravni (tj. Coreperja ali Sveta), kot je opredelilo predsedstvo in je določeno v njegovih smernicah, s čimer bosta omogočena strateški pregled situacije in ozaveščena razprava o točkah dnevnega reda, ki ga določi predsedstvo. V skladu s standardnimi operativnimi postopki za ISAA narava kibernetske krize določi, ali poročilo ISAA pripravi ena od služb Komisije (GD CNECT, GD HOME) ali ESZD. Po aktiviranju IPCR bo predsedstvo začrtalo posebna področja pozornosti za ISAA, da bi to bilo v podporo političnemu usklajevanju in/ali postopku odločanja v Svetu. Predsedstvo bo določilo tudi rok za poročilo po posvetovanju s službama Komisije/ESZD. — Načrt: — Poročilo ISAA vsebuje prispevke iz relevantnih služb, vključno z: — mrežo skupin CSIRT v obliki poročila o stanju v zvezi s kibernetskim incidentom v EU; — EC3, situacijsko sobo, hibridno fuzijsko celico EU, CERT-EU. Hibridna fuzijska celica EU bo podpirala vodilno službo ISAA in okroglo mizo IPCR ter jima pošiljala prispevke, kot bo primerno; — sektorske agencije in organi EU, odvisno od prizadetih sektorjev; — organi držav članic (razen skupin CSIRT). — Zbiranje podatkov za ISAA (26): — Komisija in agencije EU: sistem IT ARGUS bo poskrbel za notranje hrbtenično omrežje za ISAA. Agencije EU bodo pošiljale prispevke svojim odgovornim generalnim direktoratom, ki nato vnašajo relevantne informacije v ARGUS. Službe Komisije in agencije bodo zbirale informacije iz obstoječih sektorskih omrežij z državami članicami in mednarodnimi organizacijami ter iz drugih relevantnih virov. — Za ESZD: situacijska soba EU, ki jo podpirajo drugi ustrezni oddelki ESZD, bo poskrbela za notranje hrbtenično omrežje in enotno kontaktno točko za ISAA. ESZD bo zbirala informacije iz tretjih držav in relevantnih mednarodnih organizacij.

— Korak 6 – Priprava neformalne okrogle mize predsedstva: predsedstvo bo ob podpori generalnega sekretariata Sveta določilo rok, dnevni red, udeležence in pričakovani izid (mogoče dosežke) neformalne okrogle mize predsedstva. Generalni sekretariat Sveta bo prenašal relevantne informacije na spletno platformo IPCR v imenu predsedstva in izdal obvestilo o okrogli mizi.

— Korak 7 – Okrogla miza predsedstva/pripravljalni ukrepi za politično usklajevanje/odločanje EU: predsedstvo bo sklicalo neformalno okroglo mizo za pregled stanja ter pripravo in pregled zadev, ki bodo predložene v pozornost Coreperja ali Sveta. Neformalna okrogla miza predsedstva bo tudi forum za razvoj, pregled in razpravo o vseh predlogih za ukrepanje, ki bodo predloženi Coreperju/Svetu. — Načrt: — Horizontalna delovna skupina Sveta za kibernetska vprašanja bi morala pripravljati PVO ali Coreper.

— Korak 8 – Politično usklajevanje in odločanje v Coreperju/Svetu: Rezultati sej Coreperja/Sveta vključujejo usklajevanje odzivnih dejavnosti na vseh ravneh, odločitve o izrednih ukrepih, politične izjave itd. Te odločitve pomenijo tudi posodobljene politične/strateške smernice za nadaljnjo izdelavo poročil ISAA. — Načrt: — Politična odločitev za usklajevanje odziva na kibernetsko krizo se uresniči z dejavnostmi (ki jih izvajajo ustrezni akterji), ki so že opisane v oddelku 1 „Sodelovanje na strateški/politični, operativni in tehnični ravni“ za Odziv in Komuniciranje z javnostjo. — Oblikovanje ISAA se nadaljuje na podlagi sodelovanja na tehnični, operativni in politični/strateški ravni za Situacijsko zavedanje, ki je tudi že opisano v oddelku 1.

— Korak 9 – Spremljanje učinka: vodilna služba ISAA bo ob podpori vseh, ki prispevajo k ISAA, priskrbela informacije o razvoju krize in učinku sprejete politične odločitve. Ta tok povratnih informacij bo podprl razvijajoči se potek ter odločitev predsedstva o nadaljnji udeležbi politične ravni EU ali postopnem zmanjšanju IPCR.

— Korak 10 – Postopna opustitev: z istim postopkom kot pri aktivaciji predsedstvo lahko skliče neformalno okroglo mizo za oceno primernosti za ohranitev IPCR v aktivnem stanju ali ne. Predsedstvo lahko odloči zapreti ali spustiti raven aktiviranosti. — Načrt: — ENISA se lahko pozove, naj v skladu z določbami svojega mandata prispeva k naknadni tehnični preiskavi incidenta ali jo izvede.

(1) Sklep 2014/496/SZVP.

(2) Direktiva (EU) 2016/1148.

(3) Sklep Komisije (EU, Euratom) 2015/443 z dne 13. marca 2015 o varnosti v Komisiji (UL L 72, 17.3.2015, str. 41) in Sklep Komisije (EU, Euratom) 2015/444 z dne 13. marca 2015 o varnostnih predpisih za varovanje tajnih podatkov EU (UL L 72, 17.3.2015, str. 53); Sklep visokega predstavnika Unije za zunanje zadeve in varnostno politiko z dne 19. aprila 2013 o varnostnih pravilih za Evropsko službo za zunanje delovanje (UL C 190, 29.6.2013, str. 1); Sklep Sveta 2013/488/EU z dne 23. septembra 2013 o varnostnih predpisih za varovanje tajnih podatkov EU (UL L 274, 15.10.2013, str. 1).

(4) https://www.first.org/tlp/.

(5) Junija 2016 so ti kanali prenosa vključevali CIMS (sistem za upravljanje tajnih podatkov), ACID (šifrirni algoritem), RUE (zaščiten sistem za ustvarjanje, izmenjavo in hrambo dokumentov z oznako RESTREINT UE/EU RESTRICTED) ter SOLAN. Drugi načini za prenašanje tajnih podatkov vključujejo PGP ali S/MIME.

(6) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

(7) Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, 31.7.2002, str. 37).

(8) Uredba (ES) št. 45/2001 evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL L 8, 12.1.2001, str. 1) – v reviziji.

(9) Na tem mestu je pomembno poudariti, da se komuniciranje z javnostjo lahko nanaša tako na obveščanje splošne javnosti o incidentu kot na sporočanje bolj tehničnih in operativnih informacij kritičnim sektorjem in/ali prizadetim subjektom. To lahko zahteva uporabo zaupnih načinov razširjanja informacij in posebnih tehničnih orodij/platform. V obeh primerih je komuniciranje z izvajalci in širšo javnostjo znotraj katere koli države članice v pristojnosti posamezne države članice in njena odgovornost. Zato imajo po načelu subsidiarnosti, ki je bilo že predstavljeno, države članice in nacionalne skupine CSIRT končno odgovornost za informacije, ki se razširjajo na njihovem ozemlju oziroma sporočajo njihovim partnerjem.

(10) „Dovoljenja za delovanje“ – med kibernetsko krizo je hiter odziv izjemno pomemben za določanje ustreznih blažilnih ukrepov. Da bi omogočili hiter odziv, lahko ena država članica drugi državi članici prostovoljno izda „dovoljenje za delovanje“, s čimer ji dovoli takojšnje ukrepanje brez posvetovanja z višjimi ravnmi ali institucijami EU ter brez uporabe vseh običajno zahtevanih uradnih poti, če tega posamezen incident ne zahteva (npr. skupini CSIRT bi moralo biti dovoljeno, da dragocene informacije posreduje skupini CSIRT v drugi državi članici tudi brez posvetovanja z višjimi ravnmi).

(11) „Obvladovanje incidentov“ pomeni vse postopke, ki podpirajo odkrivanje, analizo in zajezitev incidenta ter odzivanje nanj.

(12) Glede na naravo incidenta in njegov učinek na različne sektorje dejavnosti (finančni, prometni, energetski, zdravstveni itd. sektor) bodo sodelovale ustrezne agencije ali organi EU.

(13) Poročilo o stanju v zvezi s kibernetskim incidentom v EU je skupek nacionalnih poročil nacionalnih skupin CSIRT. Oblika poročila bi morala biti opisana v standardnih operativnih postopkih mreže skupin CSIRT.

(14) Pod pogoji in po postopkih iz pravnega okvira EC3.

(15) „Kazalnik ogroženosti“ (Indicator of Compromise (IOC)) je v računalniški forenziki element, zaznan na mreži ali v operacijskem sistemu, ki z veliko verjetnostjo kaže na računalniški vdor. Tipični kazalniki kompromitiranosti so virusni podpisi in naslovi IP, zgoščevalni algoritem MD5 datoteke z zlonamerno programsko opremo ali naslovi URL ali imena domen strežnikov za nadzor in vodenje botnetov.

(16) Predlog uredbe o evropski agenciji za kibernetsko varnost ENISA in razveljavitvi Uredbe (EU) 526/2013 ter certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti (uredba o kibernetski varnosti) z dne 13. septembra 2017.

(17) Tehnični nasveti v zvezi z vzroki za incident ter morebitnimi blažilnimi ukrepi.

(18) Informacije o tehnični ranljivosti, izrabljeni za negativno vplivanje na informacijske sisteme.

(19) Odbor stalnih predstavnikov ali Coreper (člen 240 Pogodbe o delovanju Evropske unije – PDEU) je odgovoren za pripravo dela Sveta Evropske unije.

(20) Politični in varnostni odbor je odbor Sveta Evropske unije, ki obravnava skupne zunanje in varnostne politike (SZVP) iz člena 38 Pogodbe o Evropski uniji.

(21) Pod pogoji in po postopkih iz pravnega okvira EC3.

(22) Sklad za nujno odzivanje na kibernetske grožnje je predlagan ukrep iz Sporočila Komisije: „Odpornost, odvračanje in obramba: okrepitev kibernetske varnosti za EU“ (Resilience, Deterrence and Defence: Building strong cybersecurity for the EU), JOIN(2017) 450/1.

(23) Iz dokumenta 12607/15 – „Standardni operativni postopki IPCR“, ki ga je sprejela Skupina prijateljev predsedstva in s katerim se je Coreper seznanil oktobra 2015.

(24) Večja različica slike je v Dodatku.

(25) Poročilo o stanju v zvezi s kibernetskim incidentom v EU je skupek nacionalnih poročil nacionalnih skupin CSIRT. Oblika poročila bi morala biti opisana v standardnih operativnih postopkih mreže skupin CSIRT.

(26) Standardni operativni postopki za ISAA