SL    SL SL 
SL    SL  KOMISIJA EVROP SKIH SKUPNOSTI 
Bruselj, 30.3.2009 
SEC(2009) 400 
  
DELOVNI DOKUMENT SLUŽB KOMISIJE 
Spremni dokument 
   
SPOROČILA KOMISIJE SVETU, EVROPSKEMU PARLAMENTU, EVROPSKEMU 
EKONOMSKO-SOCIALNEMU OD BORU IN ODBORU REGIJ 
 
o zaščiti kritične informacijske infrastrukture 
„Kako zaš čititi Evropo pred obsežnimi kibernetskimi napadi in prekinitvami:  
izboljšati pripravljenost, varnost in odpornost“  
   
POVZETEK OCENE U ČINKA 
 
{COM(2009) 149} 
{SEC(2009) 399} 
SL 2   SL POVZETEK OCENE U ČINKA  
1. V ČEM JE TEŽAVA ? 
Sektor IKT je bistvenega pomen a za gospodarstvo in družbo EU. 
Informacijske in komunikacijske tehnologije (IKT) so temelj gospodarstva in družbe EU kot 
celote. Sektor IKT je pomemben za vse segmente družbe.  Podjetja so odvisna od 
sektorja IKT  tako pri sami prodaji kot tudi pri u činkovitosti/uspešnosti notranjih procesov. 
IKT imajo vedno pomembnejšo vlogo tudi pri delu vlad in javnih uprav : uvajanje storitev 
e-vlade na vseh ravneh zagotavlja u činkovitejše postopke, hkrati pa povzro ča veliko odvisnost 
javnega sektorja od IKT pri številni h operacijah. Nenazadnje pa so tudi državljani vedno 
bolj zanašajo na storitve informacijsk e družbe in IKT uporabljajo pri svojih 
vsakodnevnih aktivnostih : poleg negativnih u činkov, ki bi jih kibernetska prekinitev imela 
na te aktivnosti, se vedno ve č osebnih podatkov o državljanih sporo ča in prenaša elektronsko. 
Zaradi neustreznih varnostnih ukrepov bi se lahko izgubili ob čutljivi osebni podatki, obstajala 
pa bi tudi nevarnost kraje iden titete ali druge vrste goljufije1. Izboljšanje varnosti in 
odpornosti takih infrastruktur je zato iz redno pomembno za varstvo osebnih podatkov o 
državljanih in uveljavljanj e pravice do zasebnosti.  
Sistemi in storitve IKT so same po sebi izre dno pomembna infrastruktura kot tudi osnova za 
ostale kriti čne tehnološke in družbene infrastrukture.  S tem se je strinjala tudi Evropska 
komisija v Zeleni knjigi o evr opskem programu za varovanje kriti čne infrastrukture, v 
katerem je opredelila koncept kritičnih informacijskih infrastruktur  (KII): „…vsi sistemi 
IKT, ki so sami po sebi kriti čne infrastrukture ali so bistvene za delovanje kriti čnih 
infrastruktur (telekomunikacij, ra čunalnikov/programske opreme, interneta, satelitov itn.)“2, 
kar je podobno pristopu OECD3.  
Kljub obstoje čim terminološkim razlikam je pomembno to, da je koncept IKT skladen s 
sistemskim razumevanjem politik o varne m in neprekinjenem delovanju sistemov, 
storitev, omrežij in infrastruktur IKT  (v nadaljnjem besedilu: infrastrukture IKT), pri 
čemer je internet  zaradi svoje velike razširjenosti in procesov tehnološke konvergence zelo 
pomemben del. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece 
2 COM(2005)576 kon č. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf. 
SL 3   SL Za kaj pravzaprav gre? 
Zaradi razširjenosti KII u činke kibernetskih prekinitev v širšem obsegu ob čuti celotna 
družba .  
Tveganja, povezana z napadi, ki jih povzro či človek, naravnimi nesre čami ali tehni čnimi 
okvarami pogosto niso povsem jasna in/a li dovolj analizirana. Zato je ozaveš čenost 
zainteresiranih strani premajhna, da bi se lahko predlagali u činkoviti varstveni ukrepi in 
protiukrepi.  
Kibernetski napadi še nikoli ni so bili tako zelo kompleksni , pogosto pa jih izvajajo 
posamezniki ali kriminalne skupine zaradi dobi čka ali politi čnih razlogov. Obsežni 
kibernetski napadi na Estonij o, Litvo in Gruzijo so primeri, ki odražajo splošni trend.  
Veliko število virusov, črvov in drugih oblik zlonamerne pr ogramske opreme, širitev t.i. 
botnetov in vedno ve čja količina neželene elektronske pošte potrjujejo resnost problema4. 
Infrastrukture IKT so predmet stalnih napadov  in če se Evropa nanje ne bo pripravila, bo 
njihov vpliv še hujši.  
Zaradi velike odvisnosti od KII, njihove čezmejne medsebojne povezanosti in odvisnosti od 
drugih infrastruktur, je treba poleg  in dopolnilno k ukrepom za prepre čevanje, odpravljanje in 
preganjanje kriminalnih in teroristi čnih dejanj, usmerjenih v KII, obravnavati sistemati čno 
tudi njihovo varnost in odpornost ter se tako že v prvi obrambni vrsti  zavarovati pred 
napakami in napadi .  
Narava problema 
Do zdaj sta se varnost in odpornost KII ve činoma obravnavali na nacionalni ravni in z 
malo usklajevanja na vseevropski ravni. Zaradi preslabega sistemati čnega čezmejnega 
sodelovanja so doma či protiukrepi bistveno manj u činkoviti. Poleg tega lahko nizka 
stopnja varnosti in odpornosti KII v eni državi članici pove ča ranljivost in tveganje v 
drugih državah članicah.  
Ker so KII globalne, med sebo j tesno povezane in odvisne  od drugih infrastruktur, 
njihovega varovanja in odpornosti ni mogo če zagotoviti zgolj z nacionalnimi in 
neusklajenimi pristopi. Poleg tega je splošno znano, da tržne sile zasebnega sektorja 
dovolj, da bi ta investiral v zaš čito KII v taki meri, ki jo ponavadi zahteva država.  
Glavni vzroki za ta zgoraj opisani splošni problem  so: 
• neenoten pristop držav članic  pri javnih politikah o varn osti in odpornosti KII.  
Politike držav članic o varnosti in odpornosti KII se razlikujejo. Poleg tega strokovno 
znanje in pripravljenost nista povsod enako zastopana, kar je bilo ugotovljeno že v analizi 
nacionalnih pristopov, ki jo je opravil a Komisija in kar je potrdila tudi Evropska agencija 
za varnost omrežij in informacij (ENISA)5 v enem od poro čil; 
• težak prehod na nove sk upne evropske upravne modele . Krepitev varnosti in 
zanesljivosti KII je povezano s posebnimi izzivi na podro čju upravljanja ; vlade  so sicer 
pristojne  za določevanje politik o KII, vendar pa je za njihovo izvajanje  vanje nujno 
vključiti tudi zasebni sektor . Da bi bili kos tej zdru ženi odgovornosti, so bila na 
nacionalni ravni ustanovljena javno-zasebna partnerstva . Kljub splošnemu konsenzu, da 
bi bila takšna partnerstva zaželena tudi na ev ropski ravni, pa se še niso izoblikovala;  
                                                 
4 COM(2006) 688 kon č.  
5 http://www.enisa.europa.eu /doc/pdf/resilience/stock_ta king_final_report_2008.pdf 
SL 4   SL • omejena sposobnost Evrope na podro čju zgodnjega opozarjanja in odzivanja na 
incidente . Med posvetovanji so bile izpostavljene razlik e v nacionalnih sistemih zgodnjega 
opozarjanja in odzivanja na incidente. Nekatere države članice ne prejemajo redno poro čil 
o varnostnih incidentih na omrežjih ( čeprav jih nekateri operaterji pripravljajo neformalno) 
in/ali niso ustanovile organa, ki bi bil osrednja to čka javljanja. Sodelovanje in izmenjava 
informacij med vladnimi organi  sta premalo razvita , ovira pa jih tudi pomanjkanje 
zanesljivih mehanizmov za izmenj avo in usklajevanje, kar za dobro delovanje 
potrebujejo vse nacionalne/vladn e skupine za odzivanje na ra čunalniške grožnje  
(CERT), tj. potrebujejo skupne osnovne sposobnosti . Poleg tega so vaje in prakti čne 
simulacije na ravni EU , ki so bistven predpogoj za pove čanje varnosti in odpornosti KII, 
še vedno začetni fazi . 
• majhna ozaveš čenost o tveganjih, ki sta jim iz postavljena varnost in odpornost 
interneta . Internet se je zaradi svoje distribuc ijske, redundantne zasnove izkazal za zelo 
trdno in odporno infrastrukturo . Vendar je upravi čeno dvomiti , da bo lahko še naprej 
prenesel vedno ve čje število prekinitev in kibernetskih napadov, če upoštevamo njegovo 
neverjetno rast , vedno večjo kompleksnost  in pojav novih storitev . 
Nobena država ni otok . Globalna narava KII, zl asti interneta, zahteva skupen globalni 
pristop  za varnost in odpornost. Dobro sodelovanje na ravni EU lahko neposredno vpliva 
na mednarodno raven.   
2. ZAKAJ MORA EU UKREPATI ? 
Pri reševanju zgoraj navedenih težav zgolj na cionalni pristop verjetno ne bo zadostoval . 
Zaradi velikih čezmejnih vplivov imajo lahko številna tveganja za varnost omrežij in 
informacij (VOI) pogosto negativne čezmejne zunanje u činke, ki jih ni mogo če obravnavati 
uspešno na nacionalni ravni, saj lahko povzro čijo prekinitve v drugih državah.  
Povezan pristop pri pove čevanju varnosti in odpornosti KII na ravni EU bi smiselno 
dopolnil nacionalne programe za zaš čito kritične informacijske strukture  in obstoje če 
sisteme sodelovanja med državami članicami ter jim dodal evropsko vrednost . Ker je veliko 
izzivov in vprašanj skupnih, bi od sk upnega pristopa imeli koristi vsi. 
Iz razprav po napadu na Eston ijo je razvidno, da je u činke podobnih dogodkov mogo če 
omejiti s preventivnimi ukrepi , npr. bolje strukturirano izme njavo informacij na evropski 
ravni, ter usklajenimi ukrepi  med dejansko krizo. Ob popolnem upoštevanju načela 
subsidiarnosti  lahko Komisija v tesnem sodelovanju z državami članicami in drugimi 
mednarodnimi organizacijami najbolje usklajuje taka prizadevanja. 
Poleg tega lahko pomisleki glede nacionalne va rnosti, ki so pomembni pri opredeljevanju 
politik in obveznosti VOI, povzro čijo normativno razdrobljenost ter vplivajo na 
konkuren čnost Evropske unije kot celote in s posobnost evropskega enotnega trga do 
ustvarjanja blaginje. 
Leta 2006 je Komisija6 napovedala, da namerava v okviru ev ropskega programa za varovanje 
kritične infrastrukture7 (v nadaljnjem besedilu: EPVKI) razviti sektorsko zna čilno politiko za 
IKT „ z namenom okrepitve varnosti in odporno sti omrežij in informacijskih sistemov “. To 
odločitev je leta 2007 podprl tudi Evropski svet8. 
                                                 
6 COM(2006) 251. 
7 COM(2006) 786. 
8 Resolucija Sveta 2007/C 68/01. 
SL 5   SL Pri tej pobudi bi se ustrezno upoštevala medn arodna razsežnost, ki temelji na priznanih 
načelih, kot so na čelo G8 o zaš čiti kritične informacijske infrastrukture, resolucija Generalne 
skupščine ZN 58/199 o ustanovitvi globalne kulture  kibernetske varnosti in varovanju 
kritičnih informacijskih infrastr uktur ter nedavno priporo čilo OECD o varovanju KII. 
Nenazadnje pa predlagana politi čna pobuda upošteva, vendar ne  podvaja dejavnosti NATO na 
področju kibernetske varnos ti, ki so osredoto čene na vojaško obrambo , tj. skupno politiko o 
kibernetski obrambi in dejavnostih Urada za upravljanje kibernetske obrambe (CDMA) ter 
prispevke Centra odli čnosti NATO za sodelovanje pri kibe rnetski obrambi (CCD-COE).  
3. KAKŠNI SO CILJI ?  
Namen te pobude je povečati stopnjo pripravljenost i in odzivnosti v Evropi  v primeru 
opisanih tveganj in nevarnosti ter se pr i tem izogniti razdrobljenemu pristopu držav članic. 
Pobuda bi bila osredoto čena na dolo čevanje skupnih postopkov, s kate rimi bi se lahko prožno 
odzvali na znane in neznane nevarnosti. Vklju čene bi bile tudi ustr ezne javne in zasebne 
zainteresirane strani, ki bi zagotavljale, da se izvajajo ustrezni in enotni preventivni, 
zaznavni, nujni in popravljalni ukrepi , s čimer bi se zagotovila ustrezna stopnja varnosti 
in odpornosti KII in neprekinjenost storitev . Izboljšana varnost in odpornost bi prav tako 
pozitivno vplivala na varstvo osebnih podatkov in zasebnosti državljanov EU . 
Splošni cilj tega predloga, tj. zagotoviti varnost in odpornost KII v prvi obrambni vrsti , se 
lahko doseže s štirimi posebnimi cilji: 
(1) odpraviti razlike med nacionalnimi polit ikami za varnost in odpornost KII, 
(2) povečati evropsko upravljanje varn osti in odpornosti KII, 
(3) okrepiti operativno sposobnost Evrope, da se odzove na incidente, 
(4) izboljšati varnosti in odpornost interneta. 
4. KATERE GLAVNE POLITI ČNE MOŽNOSTI SO NA VOLJO ? 
1. politična možnost: nadaljevanje trenutne politike  
Možnost, da se ne predlagajo nadalj nji ukrepi, ne bi bila sprejemljiva . Brez horizontalnih 
ukrepov na ravni EU bi države članice še naprej ukrepale posami čno ali na dvostranski ali 
omejeni ve čstranski ravni. Obstajala bi nevarnost, da se razvijejo razli čni nacionalni 
pristopi , ki pa morebiti ne bi bili zd ružljivi. Poleg tega bi bilo čezmejno sodelovanje ad hoc, 
ki bi bilo lahko neuspešn o zaradi kompleksnosti in razs ežnosti kibernetskih napadov. 
Ker bi države članice svoje težave reše vale še naprej razli čno hitro, bi to zainteresirane strani 
lahko odvrnilo od naložb v varnost in odpornost , številni standardi in obveznosti pa bi 
zmanjšali njihovo konkuren čnost. Zaradi čezmejne narave problema bi bile razlike v varnosti, 
odpornosti in pripravljenos ti v Evropi še bolj o čitne. Ranljivost KII v Ev ropi bi ostala visoka 
in bi se kljub posameznim prizadevanjem morebiti še pove čala.  
2. politična možnost: neobvezen pravni okvir  
Komisija bi zagotovila okvir za usklajevanje in sodelovanje  v obliki sporo čila in akcijskega 
načrta, v katerega bi bili vklju čeni države članice, zasebni sektor in civilna družba. Sporo čilo 
bi lahko podprl Svet EU, Evropski parlament pa bi se lahko odlo čil, da se udeleži razprave. 
Pobuda bi se osredoto čila na zgoraj navedene cilje, v nj ej pa bi bilo predlagano zlasti: 
(1) spodbujati usklajenost nacionalnih polit ik o varnosti in odpornosti KII  tako, da: 
SL 6   SL • se opredelijo prenosljivi primeri javno-politi čnih praks in skupne lastnosti, 
• se ustanovi evropski forum, prek katerega bi lahko države članice izmenjevale 
informacije in dobre politi čne prakse s podro čja varnosti in odpornosti KII. 
(2) povečati evropsko upravljanje varn osti in odpornosti KII  tako, da: 
• se ustanovi evropsko javno-zasebno partnerstvo za odpornost  (EJZPO) , s 
katerim bi okrepili sodelovanje med javnim in zasebnim sektorjem na podro čju 
varnostnih ciljev in ciljev v zvez i z odpornostjo, osnovnih zahtev, dobrih 
političnih praks in ukrepov.  
(3) okrepiti operativno sposobnost Evrope, da se odzove na incidente , tako, da: 
• se ustanovijo dobre nacionalne/vladne CERT9 kot klju čni element nacionalne 
zmogljivosti za pripravljenost, izmenjavo in formacij, usklajevanje in odzivanje, 
• da se dolo či najmanjša stopnja zmogljivosti in storitev za nacionalne/vladne 
CERT, 
• da se spodbuja evropsko sodelovanje n acionalnih/vladnih CERT, se olajša 
navezovanje stikov in sodelovanje med nacionalnimi odzivnimi zmogljivostmi, se 
organizira vseevropske in/ali regiona lne vaje o odzivanju na obsežnejše 
simulirane incidente, 
• se spodbuja krizno na črtovanje odzivnosti na inci dente na omrežje in ponovno 
vzpostavitev v primeru nesre če, 
• se sofinancira razvoj evr opskih vaj o simuliranih obsežn ih varnostnih incidentih 
na omrežje, 
• se spodbujata razvoj in uvedba Evropske ga sistema za souporabo informacij in 
opozarjanje (EISAS), ki je enako in u činkovito namenjen vsem državljanom in 
MSP.  
(4) izboljšati varnosti in odpornost interneta  tako, da:  
• se opredelijo prednostne naloge EU na podro čju dolgoro čne stabilnosti in 
odpornosti interneta,  
• se sprejme vrsta najprej evro pskih in nato mednarodnih na čel o varnosti in 
odpornosti interneta.  
3. politična možnost: zavezujo č okvir  
Večino zgoraj navedenih vpraš anj bi rešili z zavezujo čimi ukrepi, tj. po potrebi v obliki 
direktive, uredbe, odlo čbe. 
Komisija lahko predlaga zavezujo če ukrepe, s katerimi bi: 
(1) opredelila skupno osnovo, s katero bi se uskladile nacionalne politike . Taki ukrepi 
bi se lahko osredoto čili na dodatno varnost in odpornost KI I in ne bi bili zajeti v okvir 
že predlaganih tržnih predpisov, 
(2) opredelila vlogo in odgovornost javnih in zasebnih akterjev  na podro čju varnosti in 
odpornosti KII, 
(3) izboljšala operativno pripravljenost , npr. z: 
                                                 
9 Computer Emergency Response Teams – skupina za odzivanje na ra čunalniške grožnje 
SL 7   SL (a) minimalnimi standardi za enotno stopnjo funkcij in storitev 
nacionalnih/vladnih CERT,  
(b) okvirom za nacionalne na črte odzivnosti na incide nte z namenom priprave 
takih načrtov na ravni EU. 
5. PRIMERJAVA MOŽNOSTI  
Pri možnosti „nadaljeva nje trenutne politike“ ni dovolj jasno , kakšen potencial ima pri 
izboljšanju varnosti in odpornosti K II v Evropi. Zato se je treba odlo čiti za nezavezujo č ali 
zavezujoč pravni okvir. Trenutno „zavezujo č okvir“ ni primeren iz  naslednjih razlogov:  
• politične realnosti  suverenih držav, ki jo je treba upoš tevati pri vsaki politiki NIS na ravni 
Skupnosti,  
• treba je upoštevati zelo razdrobljeno operativno odgovornost zasebnega sektorja,  
• premalo izkušenj pri izmenjavi informac ij in sodelovanju med javnim in zasebnim 
sektorjem na podro čju KII. 
Poleg tega slaba kakovost trenutno razpoložljivih  podatkov  o varnostnih in cidentih zaradi 
informacijske asimetrije in pomisle kov glede nacionalne varnosti prepre čuje, da bi se 
normativni ukrepi opredelili koherent no na gospodarski in javnopoliti čni ravni in da bi se 
spoštovalo na čelo sorazmernosti , saj ni mogo če predlagati sorazmernih ukrepov, če ni 
dovolj razumevanja za razsežnost problematike. 
Navsezadnje zavezujo č pravni okvir zaradi zamudnega pos topka sprejemanja tudi ne bi 
ustrezal temu, da vse zainteresira ne strani potrebujejo hiter odziv. 
Če povzamemo, je iz te ocene u činke razvidno, da ima kratko- in srednjero čno druga možnost 
prednost, pri čemer je treba predlagane ukrepe za četi takoj izvajati in pravo časno pregledati 
rezultate, vklju čno z ukrepi iz javne razprave o okrepl jeni in posodobljeni politiki NIS v EU. 
Na podlagi tega bi se potem  lahko ocenile potrebe in možnosti za prihodnje zavezujo če 
ukrepe. 
Nato bi se lahko predlagalo izvajanje ukrepov, ki so primerljivi z ukrepi, predvidenimi s tretjo 
politično možnost.