o Agenciji EU za kibernetsko varnost ENISA in razveljavitvi Uredbe (EU) št. 526/2013 ter certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti (uredba o kibernetski varnosti)

Ker sta digitalizacija in medsebojna povezanost gospodarstva in družbe razširjeni po vsem svetu, razsežnost problemov precej presega meje ozemlja posamezne države članice. Zato je potrebno ukrepanje na ravni Unije. Glede na sedanje razmere in prihodnje scenarije se zdi, da ukrepi posameznih držav članic in razdrobljen pristop h kibernetski varnosti, zlasti pa njena čezmejna razsežnost, ne morejo povečati kolektivne kibernetske odpornosti Unije.

6.preprečevanje razdrobljenosti certifikacijskih shem v EU ter povezanih varnostnih zahtev in meril za ocenjevanje v različnih državah članicah in sektorjih.

5.povečanje splošne preglednosti zagotovil kibernetske varnosti izdelkov in storitev IKT za krepitev zaupanja v enotni digitalni trg in digitalne inovacije;

2.izboljšanje sodelovanja in usklajevanja med državami članicami ter institucijami, agencijami in organi EU;

1.povečanje zmožnosti in pripravljenosti držav članic in podjetij, zlasti glede kritičnih infrastruktur;

•nezadostna ozaveščenost državljanov in podjetij o kibernetskih grožnjah ter nezadostne informacije o varnostnih lastnostih izdelkov in storitev IKT, ki jih kupujejo, kot tudi naraščanje števila različnih nacionalnih in sektorskih certifikacijskih shem.

•razpršenost virov in razdrobljenost pristopov h kibernetski varnosti v institucijah, agencijah in organih EU;

Digitalne tehnologije in internet so temelj gospodarstva in družbe EU. Ključni gospodarski sektorji, npr. promet, energetika, zdravstvo ali finance, so vse bolj odvisni od omrežij in informacijskih sistemov za opravljanje svojih temeljnih dejavnosti. Internet stvari povezuje predmete in ljudi prek komunikacijskih omrežij. Te nove razmere prinašajo priložnosti brez primere, pa tudi šibke točke. Kibernetski incidenti se vrstijo. Njihova kompleksnost in pogostost ter obseg njihovih posledic – od dostopa do bistvenih storitev do demokratičnih procesov – se bodo le še povečevali.

V čem je problem in zakaj je to problem?

Na strani industrije to rešitev za certificiranje podpirajo podjetja, za katera že veljajo zahteve glede certificiranja in ki bi jim vseevropski mehanizem, ki bi temeljil na vzajemnem priznavanju certifikatov, prinesel koristi. Podpirajo jo tudi mala in srednja podjetja, ki bi utrpela največjo škodo, če že morajo ali bi morala opraviti več različnih certifikacijskih postopkov v različnih državah članicah. Nekatere države članice, zlasti tiste z manj sredstvi, kot tudi nekateri predstavniki industrije in institucij EU so izrazili pozitivno stališče tudi glede možnosti 3 za agencijo ENISA.

Zlasti obstaja soglasje o tem, da bi morali imeti (najmanj) dobro delujočo agencijo EU s stalnim mandatom, ki ima ustrezne vire in pooblastila, da lahko rešuje sedanje in prihodnje izzive na področju kibernetske varnosti. Med zainteresiranimi stranmi obstaja tudi široko soglasje glede vzpostavitve prostovoljnega, stopnjevalnega evropskega okvira.

Velika večina zainteresiranih strani v vseh kategorijah (države članice, industrija, institucije EU in raziskovalna skupnost), ki so sodelovale v posvetovanjih, se strinja s prednostno možnostjo, saj podpirajo okrepitev vloge agencije ENISA in vzpostavitev evropskega okvira za varnostno certificiranje IKT.

Možnost 1 – nezakonodajni ukrepi (ukrepi „mehkega prava“). Komisija bi pri tej možnosti uporabila mehke instrumente politike (npr. razlagalna sporočila, podporo vseevropskim samoregulativnim pobudam in dejavnosti standardizacije), da bi izboljšala preglednost in zmanjšala razdrobljenost.

Možnost 3 – Agencija EU za kibernetsko varnost s polnimi operativnimi zmožnostmi. Ta možnost pomeni reformo agencije ENISA z združitvijo treh glavnih nalog: 1. naloga oblikovanja politike / svetovalna naloga, 2. center informacij in strokovnega znanja ter 3. skupina za odzivanje na računalniške grožnje (CERT). Ta možnost bi v veliki meri pomenila enako spremembo obsega mandata kot možnost 2. Dodane pa bi bile dodatne naloge na področju odzivanja na incidente in kriznega upravljanja, tako da bi Agencija pokrivala celotni kibernetski življenjski cikel ter se ukvarjala s preprečevanjem in odkrivanjem kibernetskih incidentov ter odzivanjem nanje.

Možnost 2 – „reformirana agencija ENISA“. Ta možnost bi temeljila na sedanjem mandatu agencije ENISA, sprejete pa naj bi bile izbrane spremembe, ki bi upoštevale razvoj na področju kibernetske varnosti. Agencija bi dobila stalni mandat na podlagi naslednjih ključnih elementov: podpore oblikovanju in izvajanju politik EU, krepitve zmogljivosti, znanja in informacij, s trgom povezanih nalog, raziskav in inovacij ter operativnega sodelovanja in kriznega upravljanja.

Možnost 0 – osnovni scenarij. Ta možnost pomeni ohranitev sedanjega stanja. Mandat agencije ENISA bi se podaljšal ter cilji in naloge Agencije bi ostale večinoma nespremenjene, pri čemer bi se upoštevale naloge, ki jih agenciji ENISA dodeljuje poznejša zakonodaja EU (npr. direktiva o varnosti omrežij in informacij).

Kakšne so koristi prednostne možnosti (če obstaja, sicer glavnih možnosti)?

EU bi pri prednostni možnosti imela agencijo, katere glavna naloga bi bila podpirati države članice, institucije EU in podjetja na področjih, kjer bi to prineslo največjo dodano vrednost. Ta zajemajo: podpora izvajanju direktive o varnosti omrežij in informacij, oblikovanje in izvajanje politike, informacije, znanje in ozaveščenost, raziskave, operativno sodelovanje in krizno upravljanje ter trg. Agencija ENISA bi zlasti podpirala politiko EU na področju varnostnega certificiranja IKT, tako da bi zagotavljala upravno vzdrževanje in tehnično upravljanje evropskega okvira za varnostno certificiranje IKT. Takšen okvir bo praktično vzpostavil sklop pravil o upravljanju varnostnega certificiranja IKT v EU, ki bi spodbujal sistem vzajemnega priznavanja certifikatov, izdanih v različnih državah članicah. Rešitev, ki združuje te možnosti, velja za najučinkovitejšo in naj bi EU omogočila doseči opredeljene cilje: okrepiti zmogljivosti na področju kibernetske varnosti, pripravljenost, sodelovanje, ozaveščanje, preglednost in preprečevanje razdrobljenosti trga. Poleg tega je ta možnost najbolj skladna s prednostnimi nalogami politike, kot so opredeljene v strategiji za kibernetsko varnost in z njo povezanih politikah (npr. direktivi o varnosti omrežij in informacij), ter strategijo za enotni digitalni trg. Poleg tega bi s to možnostjo cilje dosegli z razumno uporabo virov.

Kakšni so stroški prednostne možnosti (če obstaja, sicer glavnih možnosti)?

„Reformirana agencija ENISA“ bi kljub novim vlogam ostala prilagodljiva. Zahtevani finančni prispevek iz proračuna EU bi bil višji, kot je sedaj, vendar še vedno precej nižji od drugih agencij, ki ravno tako delujejo na kritičnih področjih.

Vzpostavitev evropskega okvira za varnostno certificiranje IKT ne bi pomenila dodatnih začetnih stroškov za industrijo (vključno z malimi in srednjimi podjetji). Nasprotno, vodila bi k znatnim prihrankom za podjetja, ki že certificirajo svoje izdelke ali so pripravljena izvajati varnostno certificiranje, kar bi ugodno vplivalo na njihovo konkurenčnost na svetovni ravni. Na drugi strani pa bi bilo potrebnih nekaj proračunskih obveznosti, da bi zagotovili vzdrževanje okvira, ki bi jih zagotavljala predvsem „reformirana agencija ENISA“, kar zadeva tehnične in tajniške naloge.

Ali bo prišlo do znatnih učinkov na nacionalne proračune in uprave?

Ne. Stroški, povezani z okrepitvijo vloge agencije ENISA, bi se večinoma krili iz proračuna EU, države članice pa bi lahko še naprej zagotavljale prostovoljne finančne prispevke za Agencijo. Glede certificiranja bi na nacionalne proračune in uprave vplivala v glavnem vzpostavitev certifikacijskega organa, kadar bi bilo to primerno.

Bo imela pobuda druge pomembnejše učinke?

Ne.

Sorazmernost

Prednostna možnost vključuje uravnotežene ukrepe, ki se vsi zdijo potrebni za doseganje zadevnih ciljev brez nalaganja prevelikega bremena zadevnim zainteresiranim stranem. Ob upoštevanju navedenega se šteje, da je ta pobuda v skladu z načelom sorazmernosti.

D.Nadaljnji ukrepi

Kdaj bo politika pregledana?

Predlaga se, da se prva ocena pripravi pet let po začetku veljavnosti pravnega instrumenta. Komisija bo nato o svoji oceni poročala Evropskemu parlamentu in Svetu ter ji po potrebi priložila predlog za revizijo. Nadaljnja ocenjevanja bo Komisija izvajala vsakih pet let.