Den här strategin syftar till att säkerställa ett globalt och öppet internet försett med kraftiga skyddsräcken för att hantera riskerna för EU-invånarnas säkerhet och grundläggande fri- och rättigheter. Efter framstegen med de tidigare strategierna innehåller den här strategin konkreta förslag på tre huvudinstrument – ett lagstiftningsinstrument, ett investeringsinstrument och ett politiskt instrument — som ska sättas in på tre områden för EU-insatser – 1) resiliens, teknisk suveränitet och ledarskap, 2) operativ kapacitet för att förebygga, motverka och bemöta, och (3) främjande av en global och öppen cyberrymd. EU är fast beslutet att stödja denna strategi genom en aldrig tidigare skådad investeringsnivå i EU:s digitala omställning under de kommande sju åren - potentiellt en fyrdubbling av tidigare nivåer - som en del av ny teknik- och industripolitik och återhämtningsagendan.

Att förbättra cybersäkerheten är därför avgörande för att människor ska kunna lita på, använda och dra nytta av innovation, konnektivitet och automatisering, och för att skydda de grundläggande fri- och rättigheterna, inbegripet rätten till integritet och skydd av personuppgifter och yttrande- och informationsfriheten. Cybersäkerheten är oumbärlig för den nätkonnektivitet och det globala och öppna internet som måste ligga till grund för omvandlingen av ekonomin och samhället under 2020-talet. Den bidrar till fler och bättre arbetstillfällen, flexiblare arbetsplatser, effektivare och hållbarare transporter och jordbruk samt enklare och rättvisare tillgång till hälso- och sjukvårdstjänster. Den är också viktig för omställningen till renare energi inom ramen för den europeiska gröna given, genom gränsöverskridande nät och smarta mätare och för att undvika onödig dubblering av datalagring. Slutligen är den viktig för den internationella säkerheten och stabiliteten och för utvecklingen av ekonomier, demokratier och samhällen i hela världen. Regeringarna, företagen och de enskilda måste därför använda de digitala verktygen på ett ansvarsfullt och säkerhetsmedvetet sätt. Medvetenhet och cybersäkerhet och cybersäkerhetshygien måste ligga till grund för den digitala omställningen av de vardagliga aktiviteterna.

Digitala tjänster och finanssektorn är de som oftast utsätts för cyberattacker, liksom den offentliga sektorn och tillverkningsindustrin, och ändå är beredskapen och medvetenheten bland företagen och enskilda fortfarande låg, och det råder en betydande kompetensbrist när det gäller cybersäkerhet bland arbetskraften. Under 2019 inträffade nästan 450 cybersäkerhetsincidenter som rörde europeisk kritisk infrastruktur såsom finans och energi. Hälso- och sjukvårdsorganisationerna och vårdpersonalen har drabbats särskilt hårt under pandemin. I takt med att tekniken och den fysiska världen blir oupplösligt sammankopplade äventyrar cyberattackerna de mest utsattas liv och välbefinnande. Mer än två tredjedelar av företagen, särskilt de små och medelstora företagen, anses vara ”amatörer” inom cybersäkerhet, och de europeiska företagen anses mindre väl förberedda än företagen i Asien och Amerika . Uppskattningsvis 291 000 tjänster för cybersäkerhetspersonal i Europa är fortfarande otillsatta. Att anställa och utbilda experter på cybersäkerhet är en långsam process som leder till större cybersäkerhetsrisker för organisationerna.

Säkerhetscentrumen är avgörande för att samla in loggar och isolera misstänkta händelser som inträffar i de kommunikationsnät som de övervakar. De gör detta genom signal- och mönsterigenkänning och kunskapsextraktion rörande brottet från de stora mängder data som behöver bedömas. De har bidragit till att upptäcka skadliga körbara filer och har i sin tur bidragit till att hålla cyberattackerna under kontroll. Det arbete som måste uträttas i dessa centraler är mycket krävande och sker i högt tempo, vilket är anledningen till att AI och i synnerhet maskininlärningstekniker kan ge ovärderligt stöd till de som verkar inom detta område.

EU har, med det ekonomiska stöd som EU planerar till cybersäker digital omvandling under den fleråriga budgetramen 2021–2027, en unik möjlighet att samla sina tillgångar för att driva på sin industristrategi och sin ledarroll inom digital teknik och cybersäkerhet i hela den digitala leveranskedjan (inklusive data och molntjänster, nästa generations processorteknik, ultrasäker konnektivitet och 6G-nät), i linje med sina värderingar och prioriteringar. Insatser från den offentliga sektorn bör bygga på de verktyg som tillhandahålls genom EU:s regelverk för offentlig upphandling och viktiga projekt av gemensamt europeiskt intresse. Utöver detta kan den frigöra privata investeringar genom offentlig-privata partnerskap (bland annat genom att bygga vidare på erfarenheterna från det avtalsbaserade offentlig-privata partnerskapet om cybersäkerhet och dess genomförande via Europeiska cybersäkerhetsorganisationen), riskkapital till stöd för små och medelstora företag eller industriallianser och strategier för teknisk kapacitet.

För att minska säkerhetsproblemen kopplade till en marknadskoncentrationen kommer kommissionen att uppmuntra berörda aktörer, däribland företagen i EU, internetleverantörerna och leverantörerna av webbläsare, att anta en strategi för diversifiering av DNS-uppslagningarna. Kommissionen har också för avsikt att bidra till en säker internetkonnektivitet genom att stödja utvecklingen av en publik DNS-resolver-tjänst på EU-nivå. Genom det här ”DNS4EU”-initiativet kommer det att erbjudas en alternativ tjänst, på EU-nivå, för tillgång till det globala internet. DNS4EU kommer att vara transparent, följa de senaste standarderna och reglerna för säkerhet, dataskydd och integritetsskydd, inbyggt och som standard, och utgöra en del av industrialliansen för data och molntjänster (European Industrial Alliance for Data and Cloud).

Kommissionen kommer att använda alla tillämpliga medel, inklusive överträdelseförfaranden, för att se till att 2013 års direktiv om angrepp mot informationssystem införlivas och genomförs fullt ut, inbegripet tillhandahållande från medlemsstaterna av statistik. Den kommer att bättre kunna förhindra missbruk av domännamn, och när så är lämpligt även missbruk av domännamn i syfte att distribuera olagligt innehåll, och eftersträva tillgång till korrekta registreringsuppgifter genom att även fortsättningsvis ha kontakt med ICANN (Internet Corporation for Assigned Names and Numbers) och andra intressenter i systemet för förvaltning av internet, särskilt genom arbetsgruppen för allmän säkerhet (Public Safety Working Group) inom ICANN:s mellanstatliga rådgivande kommitté. Enligt förslaget i det reviderade NIS-direktivet ska därför korrekta och fullständiga databaser över domännamn och registreringsuppgifter, så kallade WHOIS-data, bevaras och laglig tillgång ges till sådana uppgifter som är nödvändiga för att säkerställa DNS-systemets säkerhet, stabilitet och resiliens.

En snabb och effektiv gemensam diplomatisk respons från EU kräver en solid gemensam situationsmedvetenhet och förmåga att snabbt utarbeta en gemensam EU-ståndpunkt. Unionens höga representant för utrikes frågor och säkerhetspolitik kommer att uppmuntra och underlätta inrättandet av medlemsstaternas arbetsgrupp för cyberunderrättelser (Member States’ EU cyber intelligence working group) inom EU:s underrättelse- och lägescentral (EU Intcen) för att främja strategiskt underrättelsesamarbete om cyberhot och cyberaktiviteter. Detta arbete kommer att ytterligare bidra till EU:s situationsmedvetenhet och beslutsfattande om en gemensam diplomatisk respons. Arbetsgruppen ska samarbeta med befintliga strukturer, vid behov även sådana som täcker det bredare hotet från hybridinblandning och utländsk inblandning, för att samla in underrättelser och bedöma situationsmedvetenheten.

För att stärka sin förmåga att förebygga, avskräcka, motverka och bemöta skadligt beteende i cyberrymden kommer den höga representanten, med deltagande av kommissionen i enlighet med dess befogenheter, lägga fram ett förslag om att EU ytterligare ska definiera sin cyberavskräckningskapacitet. Med utgångspunkt i det arbete som hittills utförts inom ramen för verktygslådan för cyberdiplomati bör kapaciteten bidra till staters ansvarsfulla agerande och samarbete i cyberrymden, och bör ge särskild vägledning när det gäller att motverka de cyberangrepp som har störst inverkan, särskilt de som påverkar vår kritiska infrastruktur, och våra demokratiska institutioner och processer, samt attacker på leveranskedjan och cyberbaserade stöld av immateriella rättigheter. I kapaciteten bör det beskrivas hur EU och medlemsstaterna kan utnyttja sina politiska, ekonomiska, diplomatiska, rättsliga och strategiska kommunikationsverktyg mot skadlig cyberverksamhet, samt tas upp hur EU och medlemsstaterna kan förbättra sin kapacitet att hitta de skyldiga till skadlig cyberverksamhet. Dessutom har den höga representanten för avsikt att tillsammans med rådet och kommissionen undersöka ytterligare åtgärder inom ramen för verktygslådan för cyberdiplomati, inbegripet möjligheten till ytterligare alternativ för restriktiva åtgärder inklusive genom att undersöka möjligheten till omröstning med kvalificerad majoritet om uppförande på förteckningen inom det övergripande systemet med sanktioner för att motverka cyberattacker. Dessutom bör EU göra ytterligare ansträngningar för att stärka samarbetet med internationella partner, däribland Nato, för att främja den gemensamma förståelsen av hotbilden, utveckla samarbetsmekanismer och identifiera en gemensam diplomatisk respons.

Den höga representanten kommer också, med kommissionens medverkan, att föreslå en uppdatering av riktlinjerna för genomförandet av verktygslådan för cyberdiplomati, bland annat för att öka effektiviteten i beslutsprocessen, och fortsätter regelbundet att organisera övningar och göra utvärderingar av verktygslådan. Dessutom bör EU ytterligare integrera verktygslådan för cyberdiplomati i EU:s krishanteringsmekanismer, eftersträva synergier med insatser för att motverka hybridhot, desinformation och utländsk inblandning inom den gemensamma ramen för att motverka hybridhot och den europeiska handlingsplanen för demokrati. I detta sammanhang bör EU reflektera över samspelet mellan verktygslådan för cyberdiplomati och en eventuell användning av artikel 42.7 i EU-fördraget och artikel 222 i EUF-fördraget.

2.4. Stärkt kapacitet i cyberförsvaret

EU och medlemsstaterna behöver stärka sin kapacitet att förebygga och motverka cyberhot i linje med EU:s ambitionsnivå enligt EU:s globala strategi från 2016. I detta syfte kommer den höga representanten, i samarbete med kommissionen, att lägga fram en översyn av ramen för EU:s politik för it-försvar för att ytterligare förbättra samordningen och samarbetet mellan EU-aktörerna samt med och mellan medlemsstaterna, bland annat när det gäller uppdrag och insatser inom ramen för den gemensamma säkerhets- och försvarspolitiken (GSFP). Ramen för EU:s politik för it-försvar bör ligga till underlag för den kommande strategiska kompassen och se till att cybersäkerhet och cyberförsvar integreras ytterligare i den bredare säkerhets- och försvarsagendan.

Under 2018 identifierade EU cyberrymden som ett verksamhetsområde. I det kommande dokumentet Military Vision and Strategy on Cyberspace as a Domain of Operations från Europeiska unionens militära kommitté bör ytterligare definieras hur cyberrymden som ett verksamhetsområde möjliggör militära uppdrag och insatser inom GSFP på EU-nivå. Det militära Cert-nätverket, som för närvarande inrättas av Europeiska försvarsbyrån (EDA), kommer att bidra ytterligare till att avsevärt öka samarbetet mellan medlemsstaterna. För att säkerställa cybersäkerheten i kritisk rymdinfrastruktur under rymdprogrammets ansvar kommer dessutom Europeiska unionens rymdprogrambyrå, i synnerhet Galileos säkerhetsövervakningscentrum, att förstärkas och dess mandat utvidgas till att omfatta andra kritiska tillgångar i rymdprogrammet.

EU och medlemsstaterna bör ytterligare stimulera utvecklingen av förstklassig cyberförsvarskapacitet genom olika EU-strategier och -instrument, i synnerhet ramen för EU:s politik för it-försvar, och när så är lämpligt bygga vidare på Europeiska försvarsbyråns arbete. En stark tonvikt måste då läggas på utvecklingen och användningen av nyckelteknik som AI, kryptering och kvantdatorteknik. I enlighet med EU:s prioriteringar för förmågeutveckling från 2018 och baserat på rapporten från den första fullständiga samordnade årliga översynen om försvaret (Coordinated Annual Review on Defence, CARD) bör EU fortsätta att främja samarbete mellan medlemsstaterna när det gäller cyberförsvar, forskning, innovation och förmågeutveckling och i detta sammanhang uppmuntra medlemsstaterna att använda sig av permanent strukturerat samarbete (Pesco) och Europeiska försvarsfonden.

Kommissionens kommande handlingsplan om synergieffekter mellan den civila industrin, försvarsindustrin och rymdindustrin, som kommer att läggas fram under första kvartalet 2021,kommer att omfatta åtgärder för att ytterligare främja synergieffekter när det gäller program, teknik, innovation och uppstartsföretag, i enlighet med respektive programs styrelseformer.

Dessutom bör relevanta synergieffekter och gränssnitt utvecklas mellan cyberförsvarsinitiativ som utvecklas inom andra ramar, inklusive medlemsstaternas cyberrelaterade samverkansprojekt inom ramen för Pesco samt med EU:s cybersäkerhetsstrukturer, för att främja informationsutbyte och ömsesidigt stöd.

Strategiska initiativ EU bör göra följande: ·Färdigställa den europeiska ramen för hantering av cybersäkerhetskriser och fastställa processen, delmålen och tidsplanen för inrättande av den gemensamma cyberenheten. ·Fortsätta genomförandet av cybersäkerhetsagendan inom ramen för strategin för säkerhetsunionen. ·Uppmuntra och underlätta inrättandet av en medlemsstatsarbetsgrupp för cyberunderrättelseverksamhet inom ramen för EU INTCEN. ·Utveckla EU:s arbete med motverkande åtgärder på cyberområdet för att förebygga, avskräcka, motverka och bemöta fientlig cyberverksamhet. ·Se över cyberförsvarsramen. ·Främja utvecklingen av en ”militär vision och EU-strategi för cyberrymden som operativt område” för militära uppdrag och operationer inom ramen för den gemensamma säkerhets- och försvarspolitiken. ·Stödja synergieffekter mellan civil verksamhet, försvarsindustri och rymdindustri. ·Stärka cybersäkerheten för kritisk rymdinfrastruktur inom rymdprogrammet.

3. ARBETE FÖR EN GLOBAL OCH ÖPPEN CYBERRYMD

EU bör fortsätta sitt arbete med internationella partner för att främja en politisk modell och vision för cyberrymden som bygger på rättsstatsprincipen, mänskliga rättigheter, grundläggande friheter och demokratiska värderingar som bidrar till global social, ekonomisk och politisk utveckling och bidrar till en säkerhetsunion. Det är nödvändigt med internationellt samarbete för att bevara en global, öppen, stabil och säker cyberrymd. EU bör därför fortsätta att arbeta med tredjeländer, internationella organisationer och flerpartsgemenskapen för att utveckla och genomföra en sammanhängande internationell cyberpolitik som präglas av en helhetssyn, med beaktande av att de ekonomiska aspekterna av ny teknik, den inre säkerheten och utrikes-, säkerhets- och försvarspolitiken i allt högre grad hänger samman. Som ett starkt ekonomiskt block och handelsblock som bygger på grundläggande demokratiska värderingar, respekt för rättsstatsprincipen och grundläggande rättigheter har EU också en unik möjlighet att ta ledningen i arbetet med att fastställa och främja internationella normer och standarder.

3.1 EU:s ledarskap när det gäller standarder, normer och ramar på cyberområdet

Intensifiera det internationella standardiseringsarbetet

För att främja och försvara sin vision för cyberrymden på internationell nivå måste EU intensifiera sitt engagemang och ledarskap i internationella standardiseringsprocesser och öka sin närvaro i internationella och europeiska standardiseringsorgan och andra organisationer för utveckling av standarder . Den digitala teknikens snabba utveckling innebär att internationella standarder blir allt viktigare som ett komplement till regleringsarbetet på sådana områden som AI, molnteknik, kvantdatorteknik och kvantkommunikation. Internationell standardisering används allt oftare avtredjeländer som vill främja sin egen politiska och ideologiska agenda, som ofta inte motsvarar EU:s värderingar. Det finns också en ökande risk för konkurrerande internationella standardiseringsramar, vilket leder till fragmentering.

De internationella standarderna inom teknik som är ny eller under utveckling och internets kärnarkitektur måste utvecklas i linje med EU:s värderingar för att säkerställa att internet förblir globalt och öppet, att tekniken är människocentrerad och integritetsinriktad och att användningen är lagenlig, säker och etisk. Som ett led i den kommande standardiseringsstrategin bör EU fastställa sina mål för den internationella standardiseringen och bedriva ett aktivt och samordnat utåtriktat arbete för att främja dessa mål på internationell nivå. Stärkt samarbete och delade bördor bör sökas med likasinnade partner och europeiska intressenter.

Främja ett ansvarsfullt agerande från stater i cyberrymden

EU fortsätter att tillsammans med internationella partner arbeta för att främja en global, öppen, stabil och säker cyberrymd där internationell rätt (i synnerhet FN:s stadga) iakttasoch frivilliga icke-bindande normer och regler följs och stater agerar på ett ansvarsfullt sätt. I och med att effektiviteten försämrats i de multilaterala diskussionerna om internationell säkerhet i cyberrymden måste EU och medlemsstaterna inta en mer proaktiv hållning i diskussionerna i FN och andra berörda internationella forum. Det är EU som är bäst lämpat att främja, samordna och konsolidera medlemsstaternas ståndpunkter i internationella forum och man bör utarbeta en EU-ståndpunkt om tillämpningen av internationell rätt i cyberrymden. Den höga representanten avser också att tillsammans med medlemsstaterna fortsätta arbetet med sitt inkluderande och konsensusbaserade förslag till politiskt åtagande om ett handlingsprogram för staters ansvarsfulla agerande i cyberrymden. Baserat på det befintliga regelverk som godkänts av FN:s generalförsamling erbjuder handlingsprogrammet en plattform för bästa praxis inom FN och föreslår att det ska inrättas en mekanism för att omsätta normerna för staters ansvarsfulla agerande i praktiken och främja kapacitetsuppbyggnad. Den höga representanten vill också stärka och uppmuntra genomförandet av förtroendeskapande åtgärder mellan stater, såsom utbyte av bästa praxis på regional och multilateral nivå och bidrag till regionsöverskridande samarbete.

Ökad global konnektivitet bör inte leda till censur, massövervakning, brott mot dataskyddet eller repression mot civilsamhället, den akademiska världen och medborgarna. EU bör fortsätta att vara ledande i arbetet med att skydda och främja mänskliga rättigheter och grundläggande friheter online. Därför bör EU främja stärkt efterlevnad av internationell lagstiftning och internationella standarder när det gäller mänskliga rättigheter. EU bör också omsätta sin handlingsplan för mänskliga rättigheter och demokrati 2020–2024 i praktiska åtgärder och vidareutveckla sina riktlinjer om yttrandefrihet online och offline, för att öka EU-instrumentens praktiska tillämpning. EU bör göra uthålliga ansträngningar för att skydda människorättsförsvarare, civilsamhället och personer inom den akademiska världen som arbetar med sådana frågor som cybersäkerhet, dataskydd, övervakning och censur online. Därför bör EU utarbeta ytterligare praktiska vägledningar, främja bästa praxis och intensifiera sina insatser för att förhindra missbruk av ny teknik, bland annat genom diplomatiska åtgärder, vid behov, liksom exportkontroll av sådan teknik. EU bör också fortsätta kampen för att skydda samhällets mest utsatta online genom att lägga fram lagstiftning för att bättre skydda barn mot sexuella övergrepp och exploatering samt en strategi för barnens rättigheter.

Konventionen om it-brottslighet (Budapestkonventionen)