SKUPNO SPOROČILO EVROPSKEMU PARLAMENTU IN SVETU

Poročilo o izvajanju strategije EU za kibernetsko varnost v digitalnem desetletju

I.Kibernetska odpornost, operativna zmogljivost in odprtost so potrebne kot še nikoli

Kibernetska varnost je nepogrešljiva za uvajanje pametnejše in bolj zelene tehnologije v svetu po pandemiji. Nepogrešljiva je za varnost EU nasploh, je pa tudi steber varnostne unije. Za družbeni, politični in gospodarski razvoj sta potrebna tehnološka suverenost ter svetovni, odprt in varen kibernetski prostor, ki temelji na pravni državi in spoštovanju človekovih pravic in temeljnih svoboščin. To je bilo osnovno izhodišče skupnega sporočila Komisije in visokega predstavnika za zunanje zadeve in varnostno politiko z naslovom Strategija EU za kibernetsko varnost v digitalnem desetletju, sprejetega 16. decembra 2020. Vsi kritični subjekti so lahko žrtve kibernetskih napadov. Dogajanje v zadnjih šestih mesecih je pokazalo, da je strategija upravičeno osredotočena na pospešitev regulativnih reform, naložbe in skupinski operativni odziv.

Nedavni kibernetski napadi so zlasti pokazali, da so izsiljevalsko programje in operacije kibernetskega vohunjenja vse pogostejši in da predstavljajo vse večje tveganje za vse sektorje gospodarstva in širše družbe. Obseg incidentov je bil izredno velik: na stotisoče prizadetih strežnikov v napadih na Microsoft Exchange; 18 000 potencialno prizadetih organizacij v napadih na platformo Orion podjetja SolarWinds; ukradeni občutljivi podatki stotin bolnikov in motene zdravstvene storitve v napadu z izsiljevalskim programjem na irsko zdravstvo; izredne razmere pri oskrbi z gorivom in tatvine velike količine podatkov pri kibernetskem napadu na sistem za izdajanje računov družbe Colonial Pipeline ter prekinitev poslovanja največjega svetovnega dobavitelja govedine. Obseg celotne škode sicer še ni znan, vendar vsak od teh incidentov kaže, kako daljnosežne so lahko posledice zlonamernega izkoriščanja šibkih točk proizvodov, storitev, sistemov in omrežij informacijske in komunikacijske tehnologije. Pričakujemo lahko, da bodo taki kibernetski napadi še nevarnejši in pogostejši ter da bodo ogrožali našo varnost.

Zato je za Evropsko unijo bistvenega pomena, da v skladu s svojo strategijo pospeši napredek na vseh področjih: zakonodajnem, operativnem, naložbenem in diplomatskem. Čim prej bi bilo treba sprejeti predloge direktive o ukrepih za visoko skupno raven kibernetske varnosti v Uniji (direktiva NIS2), direktive o odpornosti kritičnih subjektov ter uredbe in direktive o digitalni operativni odpornosti. V zvezi s tem so bistvenega pomena ambiciozen pristop zlasti glede dobavne verige, saj se je izkazalo, da šibke točke v nedavnih kibernetskih napadih izvirajo od ponudnikov programske opreme, ter ukrepi za zagotovitev odpornosti javnih uprav in hitrega obveščanja o incidentih. Zato sta bolj kot kdaj koli prej potrebni ustanovitev mreže centrov za varnostne operacije (SOC) za zgodnje odkrivanje znamenj kibernetskih napadov in oblikovanje verodostojnega, učinkovitega in skupinskega odziva EU na večje incidente preko skupne kibernetske enote, tudi na operativni ravni. Glede na vse večje število kibernetskih napadov s strani držav ali akterjev, ki jih podpirajo države, je treba še naprej spodbujati odgovorno ravnanje držav tako v Združenih narodih kot tudi v dialogih o kibernetskih vprašanjih in strukturiranih izmenjavah z regionalnimi organizacijami, med drugim z Afriško unijo, regionalnim forumom ASEAN, Organizacijo ameriških držav ter Organizacijo za varnost in sodelovanje v Evropi (OSCE), hkrati z učinkovitim diplomatskim ukrepanjem za preprečevanje in preganjanje zlonamernega ravnanja v kibernetskem prostoru, odvračanje od njega ter odzivanje nanj. Posebno pomembno bo sodelovanje s podobno mislečimi tretjimi državami in prednostne naloge čezatlantske agende; razmisliti bi bilo treba zlasti o sodelovanju med EU in ZDA pri posebnih vidikih kibernetske varnosti vključno z izmenjavo informacij in bojem proti izsiljevalskemu programju.

II.Pregled prvih šestih mesecev izvajanja

Več strateških ukrepov je že v zreli fazi.

II.1 Odpornost, tehnološka suverenost in vodilna vloga

Povsod po svetu dobavnim verigam in kritični infrastrukturi, tudi bolnišnicam, ki se bojujejo s pandemijo COVID-19, ves čas grozi nevarnost kibernetskega napada. Komisija podpira sozakonodajalca, da bi zagotovila hitro sprejetje predlagane reforme direktive o varnosti omrežij in informacijskih sistemov, s katero bodo zlasti bolje pokriti zdravstveni sektor, vključno z raziskovalnimi laboratoriji ter proizvodnjo kritičnih medicinskih pripomočkov in zdravil, ter nove sektorske dejavnosti, kot so pridobivanje vodika, daljinsko ogrevanje, proizvodnja električne energije in centralno vzdrževanje zalog nafte.

Uredba o ustanovitvi strokovnega centra za kibernetsko varnost in mreže nacionalnih koordinacijskih centrov je bila sprejeta 20. maja 2021. Z njo se bodo združili viri iz EU, držav članic in industrije, s čimer se bodo izboljšale in okrepile tehnološke in industrijske zmogljivosti na področju kibernetske varnosti, izboljšala odprta strateška avtonomija EU in omogočilo delno združevanje dejavnosti v zvezi s kibernetsko varnostjo, ki se financirajo iz programov Obzorje Evropa, Digitalna Evropa ter mehanizma za okrevanje in odpornost, to pa so viri financiranja, ki bodo v naslednjih šestih letih skupno znašali do 4,5 milijarde EUR. To bo v pomoč pri razvoju kibernetskega ščita EU za zgodnje odkrivanje kibernetskih napadov do leta 2023, sestavljala pa ga bo mreža centrov za varnostne operacije, ki bodo lahko javni ali zasebni in bodo izkoriščali orodja na podlagi umetne inteligence. Več držav članic je razvoj takih nacionalnih centrov vključilo v svoje načrte za okrevanje in odpornost. Komisija bo ta prizadevanja dopolnila z dodelitvijo sredstev iz programa Digitalna Evropa in bo podpirala njihovo postopno povezovanje. Programi financiranja bodo podpirali tudi pobudo o evropski infrastrukturi za kvantno komunikacijo (EuroQCI), da bi ustvarili varno infrastrukturo za kvantno komunikacijo, ki bo obsegala celotno EU vključno s čezmorskimi ozemlji ter uporabljala najboljšo kombinacijo zemeljskih in vesoljskih tehnologij, in posebno proračunsko postavko za podporo kibernetski odpornosti v zdravstvenem sektorju.

Zagotavljanje kibernetske varnosti 5G je nepretrgan proces, ki bo spremljal postopno uvedbo omrežij 5G in izvajanje nabora orodij EU za tehnologijo 5G. Večina držav članic je že (ali bo v kratkem) vzpostavila okvire za naložitev primernih omejitev dobaviteljem tehnologije 5G. Zahteve za omrežne operaterje mobilne telefonije se krepijo s prenosom zakonika o elektronskih komunikacijah, Agencija EU za kibernetsko varnost (ENISA) pa pripravlja predlogo za evropsko certifikacijsko shemo EU za kibernetsko varnost omrežij 5G. Spričo novih gibanj in sprememb v dobavni verigi tehnologije 5G so se organi držav članic odločili, da bodo začeli izvajati poglobljeno analizo varnostnih posledic odprtih, ločenih in interoperabilnih rešitev omrežne tehnologije (Open RAN) v okviru nabora orodij EU. Rezultati tega dela bodo še prispevali k usklajenemu pristopu EU k varnosti omrežij 5G.

Potrebna so večja prizadevanja, predvsem preko akcijskega načrta EU za digitalno izobraževanje, za odpravo ogromnega pomanjkanja znanj in spretnosti, ki naj bi do leta 2022 po vsem svetu doseglo skoraj dva milijona nezasedenih delovnih mest na področju kibernetske varnosti, od tega samo v Evropi 350 000, in veliko prenizke zastopanosti žensk. V svetovnem merilu ženske na področju kibernetske varnosti predstavljajo samo 11 % delovne sile, v Evropi pa še manj, namreč 7 %. Med drugimi sedanjimi pobudami politike so priprave na prihodnje pobude za varnost interneta stvari ter na področju internetnih standardov razvoj neprofitne storitve razreševanja domenskih imen (DNS4EU).

II.2 Krepitev operativne zmogljivosti za preprečevanje, odvračanje in odzivanje

Z naraščanjem kibernetskih napadov s strani držav in s podporo držav ter hudodelskih napadov na omrežja in informacijske sisteme ter ob vse večji odvisnosti od podatkovnih zbirk z občutljivimi informacijami je v EU potrebna tesnejša medsebojna povezanost kibernetskih skupnosti. Usklajeno se morajo odzivati na civilne, kazenske, diplomatske in obrambne vidike kibernetskih napadov velikega obsega, ki so v zadnjem času prizadeli veliko občutljivih gospodarskih sektorjev. Zato si morajo vse skupnosti prizadevati, da bodo dokončale štiri faze, predstavljene v priporočilu Komisije za vzpostavitev skupne kibernetske enote, sprejetim hkrati s tem poročilom, kot mehanizem za nadaljnje usklajevanje in odpravljanje vrzeli pri odzivu EU na kibernetske grožnje. V boju proti kibernetski kriminaliteti je bil dosežen politični dogovor o začasnih pravilih za preprečevanje spolne zlorabe otrok na spletu, ki bodo sprejeta v kratkem, v ospredju nove strategije Komisije o organiziranem kriminalu pa je potreba po opremljanju organov preprečevanja, odkrivanja in preiskovanja kaznivih dejanj z digitalnimi orodji, ki jih potrebujejo. Poleg tega je Komisija februarja 2020 sprejela akcijski načrt o sinergijah med civilno, obrambno in vesoljsko industrijo, v katerem je določen nov vodilni projekt za vzpostavitev globalnega varnega vesoljskega komunikacijskega sistema EU. Njegov cilj je vsakomur v Evropi omogočiti dostop do povezljivosti visoke hitrosti in zagotoviti odporen sistem povezljivosti, s katerim bo lahko Evropa ostala povezana ne glede na to, kaj se zgodi.

Na mednarodnem področju trenutno visoki predstavnik v skladu s ciljem iz strateškega kompasa pripravlja pregled okvira politike za kibernetsko obrambo, ki bo državam članicam predstavljen v drugi polovici leta 2021. Visoki predstavnik si prizadeva izboljšati zmožnost EU za preprečevanje in preganjanje zlonamernih kibernetskih dejavnosti, odvračanje od njih in odziv nanje, tudi s krepitvijo mednarodnega sodelovanja. Evropska služba za zunanje delovanje je 17. maja 2021 v sodelovanju s portugalskim predsedstvom in Inštitutom Evropske unije za varnostne študije organizirala razpravo z državami članicami EU in mednarodnimi partnerji na podlagi scenarijev, da bi izboljšala vzajemno razumevanje ustreznih diplomatskih pristopov za preprečevanje in preganjanje zlonamernih kibernetskih dejavnosti, odvračanje od njih in odziv nanje in ugotovila, ali obstajajo možnosti za nadaljnjo krepitev mednarodnega sodelovanja v ta namen. Za nadaljnjo krepitev zbirke orodij EU za kibernetsko diplomacijo ESZD zbira dosedanje izkušnje in bo morda pregledala izvedbene smernice okvira za skupen diplomatski odziv EU na zlonamerne kibernetske dejavnosti.

Kot je bilo napovedano v kibernetski strategiji EU za digitalno desetletje, Komisija začenja izvajati študijo o razvoju orodij za ozaveščanje, namenjenih boljši pripravljenosti in večji odpornosti podjetij EU na kibernetsko omogočeno krajo intelektualne lastnine. Komisija je tudi okrepila dejavnosti v zvezi z Direktivo 2013/40/EU o napadih na informacijske sisteme, saj je junija 2021 začela dodatne postopke ugotavljanja kršitev proti več državam članicam. Komisija bo po potrebi razmislila o nadaljnjem ukrepanju. Ključnega pomena bo tudi boljša razpoložljivost znanj in spretnosti na področju kibernetske varnosti pri delovni sili v EU; strokovni center za kibernetsko varnost bo v zvezi s tem opravil ključne ukrepe, namenjene izboljšanju znanja in zmogljivosti ter spodbujanju interdisciplinarnih znanj in spretnosti, ki naj bi se razvijala na področju kibernetske varnosti.

II.3 Spodbujanje globalnega in odprtega kibernetskega prostora

Okolje groženj dopolnjujejo geopolitične napetosti v zvezi z globalnim in odprtim internetom ter tehnologijami v celotni dobavni verigi. Omejitve interneta in na internetu, porast zlonamernih kibernetskih dejavnosti in dejavnosti, ki vplivajo na varnost in celovitost proizvodov in storitev informacijske in komunikacijske tehnologije, ogrožajo globalen in odprt kibernetski prostor ter pravno državo, temeljne pravice, temeljno svobodo in demokratične vrednote. Visoki predstavnik si zato skupaj z državami članicami prizadeva za spodbujanje odgovornega ravnanja držav v kibernetskem prostoru, zlasti z vzpostavitvijo akcijskega programa na ravni Združenih narodov za odgovorno ravnanje držav v kibernetskem prostoru skupaj s še 53 sopredlagatelji na podlagi priporočila v poročilu o soglasju odprte delovne skupine Združenih narodov o spremembah na informacijsko-telekomunikacijskem področju v zvezi z mednarodno varnostjo z dne 12. marca 2021. EU si prizadeva za okrepitev in razširitev odnosov s tretjimi državami, mednarodnimi in regionalnimi organizacijami ter z večdeležniško skupnostjo s pomočjo kibernetskih dialogov, kot je določeno v strategiji, z ustanovitvijo mreže EU za kibernetsko diplomacijo. Poleg tega se ustanavlja odbor za krepitev kibernetske zmogljivosti EU, ki bo institucijam, organom in agencijam EU omogočal boljše usklajevanje in sodelovanje pri prizadevanjih za izgradnjo zunanjih kibernetskih zmogljivosti EU.