SV    SV SV 
SV    SV  EUROPEISKA GEMENSKAPERNAS KOMMISSION 
Bryssel den 30.3.2009 
SEK(2009) 400 
  
ARBETSDOKUMENT FRÅN KOMMISSIONENS AVDELNINGAR 
Följedokument till 
   
MEDDELANDE FRÅN KOMMISSIONEN TILL RÅDET, 
EUROPAPARLAMENTET, EUROPEISKA EKONOMISKA OCH SOCIALA 
KOMMITTÉN SAMT REGIONKOMMITTÉN 
 
om skydd av kritisk infrastruktur 
"Skydd mot storskaliga it-a ttacker och avbrott:  
förbättrad beredskap, säkerhet oc h motståndskraft i Europa"  
   
SAMMANFATTNING AV KONSEKVENSBEDÖMNINGEN 
 
{KOM(2009) 149} 
{SEK(2009) 399} 
SV 2   SV SAMMANFATTNING AV KONSEKVENSBEDÖMNINGEN  
1. BAKGRUND  
Sektorn för informations- och kommunikationsteknik är oumbärlig för EU:s ekonomi och 
samhälle 
Informations- och kommunikati onsteknik har blivit hörnstenen i EU:s ekonomi och för 
samhället som helhet. Tekniken är viktig fö r alla samhällssegment . Företagen förlitar sig 
på den , både när det gäller direktförsäljning och de interna systemens effektivitet. 
Informations- och kommunikationstekniken får även allt större betydelse för den offentliga 
förvaltningen . E-tjänster har införts på alla nivåer inom den offentliga förvaltningen. Detta 
innebär en effektivisering, men gör även de n offentliga sektorn starkt beroende av 
informations- och kommunikationsteknik för må nga verksamheter. Sist men inte minst 
förlitar sig invånarna alltmer på info rmationssamhällets tjänster och använder 
informations- och kommunikationstek nik i sina dagliga aktiviteter . Utöver de negativa 
effekter ett it-avbrot t skulle ha på dessa aktivitete r skickas och överförs allt mer 
personuppgifter elektroniskt. Otillr äckliga säkerhetsåtgär der skulle kunna leda  till förluster av 
känsliga personuppgifter och utgöra en risk fö r identitetsstöld och andra bedrägerier1. Det är 
därför absolut nödvändigt för skyddet av medborgarnas personuppgifter och för rätten 
till personlig integritet att stärka sä kerheten och motståndskraften i denna 
infrastruktur.  
Systemen och tjänsterna inom informa tions- och kommunikationstekniken utgör en 
nödvändig infrastruktur i sig, men är även  en plattform för annan viktig teknik- och 
samhällsinfrastruktur. Detta bekräftades i Europeiska kommissionens grönbok om ett 
europeiskt program för skydd av kr itisk infrastruktur som i konceptet kritisk  
informationsinfrastruktur (CII, Critical Information Infrastructure) innefattar  alla system 
inom informations- och kommunikationstekniken so m är kritiska infrastrukturer i sig eller 
som är nödvändiga för att kritisk infrastr uktur ska fungera (t elekommunikation, 
datorer/programvara, Internet, satelliter, osv.)2, i likhet med OECD:s synsätt3. 
Trots de terminologiska skillnaderna är huvudsaken att begreppet kritisk informations-
infrastruktur  leder till ett systemperspektiv på po litiken för säker och kontinuerlig drift 
av system, tjänster, nätverk och infrastruktur  som bygger på informations- och 
kommunikationstekniken , där Internet är mycket viktigt  på grund av sin utbredning och 
den tekniska konvergensen. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece. 
2 KOM(2005) 576 slutlig. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf. 
SV 3   SV Vad står på spel? 
Den kritiska informationsinfras trukturens stora genomslagskraft medför att it-avbrott kan få 
stora verkningar för hela samhället .  
Man är ofta inte medveten om eller har inte  analyserat riskerna för mänskliga angrepp, 
naturkatastrofer eller tekniska fel. Följaktligen är aktörernas riskmedvetenhet otillräcklig för att de ska kunna utforma lämpliga skydd och motåtgärder.  
It-attackerna har blivit mer avancerade än någonsin och utförs ofta av individer eller 
kriminella grupper av ekonomi ska eller politiska orsaker. De storskaliga it-attackerna på 
Estland, Litauen och Georgien är  exempel på en allmän trend.  Det stora antalet virus, 
maskar och andra sabotageprogram, ökningen av botnät och den växande mängden skräppost 
bekräftar hur allvar ligt problemet är.
4 Infrastrukturen för informations- och 
kommunikationsteknik utsä tts för ständiga angrepp , och om Europa inte förbereder sig 
kommer angreppen att få en mycket allvarligare verkan.  
Det stora beroendet av kritisk informati onsinfrastruktur, dess gränsöverskridande 
sammankopplingar och beroende av annan infrastruktur skapar ett behov av att åtgärda 
säkerheten och motståndskraften i ett syst emperspektiv som det främsta försvaret mot 
fel och angrepp, utöver och som komplement till åtgärder för att förhindra, bekämpa och beivra 
brott och terroristhandlingar med kritisk informationsinfrastruktur som mål.  
Problemets natur 
För närvarande hanteras säkerhet och motståndskraft i kritisk informationsinfrastruktur 
oftast på nationell nivå, med obetydlig euro peisk samordning. Bris ten på systematiskt 
gränsöverskridande samarbete minskar i hög grad de inhemska motåtgärdernas 
effektivitet. Dessutom kan dålig säkerhet och motståndskraft i ett land öka sårbarheten 
och riskerna i andra länder.  
Eftersom den kritiska informationsinfrastr ukturen är global, tätt sammankopplad och 
beroende av annan infrastruktur kan säkerhet och motståndskraft inte uppnås med enbart 
nationella och okoordinerade metoder. Dessutom är det en vanlig uppfattning att  
marknadskrafterna inte ger tillräckliga in citament till den privata sektorn för att 
investera i skydd av kritisk informationsinfr astruktur på en nivå som normalt skulle 
krävas för den offentliga förvaltningen . 
De underliggande orsakerna till det allmänna problem som beskrivs  ovan är följande: 
• Medlemsstaternas olika metoder inom poli tiken för säkerhet och motståndskraft i 
kritisk informationsinfrastruktur . Det finns skillnader i medlemsstaternas politik för 
säkerhet och motståndskraft i kritisk informationsinfrastrukt ur. Dessutom verkar inte 
expertkunskap och beredskap vara jämnt fördel ade, vilket belyses i analysen av de 
nationella metoderna som utfördes av kommi ssionen och bekräfta des genom en rapport 
från Europeiska byrån för nät- och informationssäkerhet (Enisa)5. 
• Svårigheter att införa nya styrningsmodeller för hela EU . En förbättring av säkerheten 
och tillförlitligheten i kritisk inform ationsinfrastruktur innebär vissa styrningsproblem . 
Medlemsstaterna ansvarar för att utforma politiken för kritisk informationsinfrastruktur, 
men när dessa ska införas är det nödvändigt  att samarbeta med den privata sektorn . 
Offentlig-privata partnerskap har växt fram nationellt som referensmodell för att hantera 
                                                 
4 KOM(2006) 688 slutlig.  
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_taki ng_final_report_2008.pdf. 
SV 4   SV denna kombination av ansvarsområden. Trots allmän enighet om att offentlig-privata 
partnerskap är önskvärda även på europeisk ni vå har de hittills inte förverkligats.  
• Begränsad europeisk kapacitet för tidig varning och incidenthantering . Vid samråden 
belystes skillnader mellan de nationella system en för tidig varning oc h incidenthantering. 
Vissa medlemsstater samlar inte rutinmässigt in rapporter om säkerhetsincidenter i nätverk 
(även om detta kan göras informellt av vissa operatörer) och/eller har inte inrättat en organisation som central rapportpunkt. Sama rbetet och informationsutbytet mellan organ 
på regeringsnivå  verkar vara underutvecklat och hämmat av bristen på tillförlitliga 
metoder för utbyte och samarb ete, och därför är det nödvändigt att alla 
nationella/statliga organisationer för in cidenthantering fungerar väl, dvs. har en 
gemensam grundkapacitet . Dessutom är övningar och praktiska simuleringar på EU-
nivå, ett huvudelement för att öka säkerh et och motståndskraft i kritisk 
informationsinfrastruktur, fortfarande i sin linda .
 
• Dålig medvetenhet om riskerna för In ternets säkerhet och motståndskraft . Internet 
har hittills visat sig vara en relativt robust och motståndskraftig infrastruktur tack vare 
sin decentraliserade och redundanta st ruktur. Det är dock lämpligt att ifrågasätta Internets 
förmåga att även fortsättningsvis stå emot det ökande antalet avbrott och it-attacker, med 
tanke på dess stora tillväxt , den ökande komplexiteten och framväxten av nya tjänster . 
Inget land är en ö . De kritiska informationsinfrastrukture rnas globala natur, särskilt Internet, 
kräver en gemensam global strategi  för säkerhet och motståndskraft. Det är genom en 
kraftfull EU-samordning som en  direkt effekt kan åstadk ommas på internationell nivå.   
2. MOTIVERING FÖR EU- ÅTGÄRDEN  
En nationell strategi för att hantera prob lemen ovan kanske inte är tillräckligt . På grund 
av sin gränsöverskridande natu r kan många hot mot nät- och informationssäkerheten orsaka 
negativa gränsöverskridande effekter som inte ka n hanteras på ett effektivt sätt nationellt och 
kan orsaka avbrott i andra länder.  
En samordnad EU-strategi för att förbättra säkerheten och motståndskraften i kritisk 
informationsinfrastruktur skulle komplettera  och stärka de nationella programmen för 
skydd av kritisk inform ationsinfrastruktur och det befintliga samarbetet mellan 
medlemsstaterna. Eftersom många svårigheter är  gemensamma, skulle en gemensam strategi 
gynna alla. 
Enligt diskussionerna efter att acken i Estland skulle effekterna av liknande händelser kunna 
begränsas genom förebyggande åtgärder , såsom ett mer strukturer at informationsutbyte på 
EU-nivå, och samordnade  åtgärder under själva krisen. Ko mmissionen, som följer 
subsidiaritetsprincipen , har en idealisk position för att samordna dessa åtgärder, i nära 
samarbete med medlemsstaterna och a ndra internationella  organisationer. 
Dessutom kan nationella säkerhetsfrå gor, trots att de spelar en vi ktig roll genom att fastställa 
politik och de förpliktelser för nät- och informa tionssäkerheten, leda till  en fragmentering av 
reglerna och påverka konkurrenskraften hos EU som helhet och möjligheten att skapa 
välstånd på EU:s inre marknad. År 2006 tillkännagav kommissionen
6 sin avsikt att utarbeta en specifik policy för sektorn för 
informations- och kommunikationsteknik i syfte a tt förbättra säkerheten och motståndskraften 
i nät och informationssystem under det euro peiska programmet för skydd av kritisk 
                                                 
6 KOM(2006) 251. 
SV 5   SV infrastruktur 7.Detta tillkännagivande välkomna des av Europeiska rådet 20078. I initiativet tar 
man hänsyn till den internationella faktorn ge nom att bygga på erkända principer såsom G8-
principerna om skydd av kritisk informationsinfr astruktur, FN:s generalförsamlings resolution 
58/199 om inrättandet av en  global kultur för IT-säkerhet och skydd av kritisk 
informationsinfrastruktur och den nyligen offentliggjorda OECD -rekommendationen om 
skydd av kritisk informationsinfrastruktur. 
Slutligen tar det föreslagna pol itiska initiativet hänsyn till och överlappar inte Natos it-
säkerhetsarbete, som fokuserar på militärt försvar, dvs. den gemensamma politiken för it-försvar och arbetet inom CDMA (Cyber Defen ce Management Authorit y), liksom resultaten 
från Natos forskningscentrum CCD-COE (Cooperat ive Cyber Defence Centre of Excellence).  
3. V
ILKA ÄR MÅLEN ?  
Syftet med detta initiativ är att förbättra EU:s beredskap för och hantering av de beskrivna 
riskerna och hoten och därigenom undvika att medl emsstaternas strategier blir fragmenterade. 
Tyngdpunkten ligger på att fastställa gemensamma förfaranden för att på  ett flexibelt sätt 
kunna hantera kända och okända hot. Berörda offentliga och privata parter kommer att arbeta för att införa ändamålsenliga och samstämmiga åtgär der för förebyggande, upptäckt, 
nödsituationer och återställning för att uppnå en lämplig  nivå på säkerheten och 
motståndskraften i kritisk in formationsinfrastruktur och för att säkerställa att 
tjänsterna fortsätter att fungera . Den förbättrade säkerheten och motståndskraften kommer 
även att ha en positiv inverkan på skyddet av  personuppgifter och EU-medborgarnas 
integritet . 
Förslagets övergripande mål, dvs. att garantera säkerhet och mo tståndskraft i kritisk 
informationsinfrastruktur som den främsta försvarslinjen , kan uppnås genom fyra 
specifika mål: 
(1) Överbrygga klyftorna mellan medlemsstaternas politik för säkerhet och motståndskraft 
i kritisk informationsinfrastruktur. 
(2) Förbättra EU:s styrning av säkerh et och motståndskraft i kritisk 
informationsinfrastruktur. 
(3) Stärka EU:s kapacitet för tidig varning och incidenthantering. 
(4) Förbättra säkerheten och mo tståndskraften på Internet. 
4. V
ILKA ÄR DE POLITISKA ALTERNATIVEN ? 
Politiskt alternativ 1 : Ingen förändring  
Att inte föreslå någon y tterligare åtgärd är inte ett hållbart alternativ . Utan övergripande 
åtgärder på EU-nivå kommer medlemsstaterna a tt fortsätta arbeta på egen hand eller på 
bilateral eller begränsad multilateral basis. Det uppstår då en risk med att olika oförenliga 
nationella strategier utarbetas . Dessutom skulle det gränsövers kridande samarbetet ske på 
ad hoc-basis, vilket skulle bli ineffektivt med tanke på it-attackernas komplexitet och omfattning. 
Om medlemsstaterna fortsätter att hantera de ssa frågor i olika takt, kanske parterna avstår 
från att investera i säkerhet och motståndskraft , eftersom mängden st andarder och krav 
                                                
 
7 KOM(2006) 786. 
8 Rådets resolution 2007/K 68/01. 
SV 6   SV minskar deras konkurrenskraft. Problemets grän söverskridande natur skulle förstärka 
skillnaderna inom säkerhet, motståndskraft och beredskap inom EU. Sårbarheten i EU:s kritiska informationsinfrastruktur skulle fö rbli hög och möjligen öka, trots individuella 
ansträngningar.  
Politiskt alternativ 2: Icke-bindande ram  
Kommissionen skulle upprätta en ram för samordning och samarbete  i form av ett 
meddelande och en handlingsplan för att involv era medlemsstaterna, de n privata sektorn och 
det civila samhället. Meddelandet skulle antas av Europeiska rådet, och Europaparlamentet 
skulle också kunna välja a tt bidra till diskussionen. 
Initiativet skulle fokusera på de mål so m anges ovan, och särskilt föreslå följande: 
(1) Främja samstämmighet mellan medlemss taternas politik för säkerhet och 
motståndskraft i kritisk in formationsinfrastruktur  genom att 
• fastställa överförbara exempel på allmän  praxis och gemensamma faktorer, och 
• inrätta ett EU-forum där me dlemsstaterna kan dela med sig av information om och 
god praxis inom säkerhet och motståndskr aft i kritisk informationsinfrastruktur. 
(2) Förbättra EU:s styrning av säkerhet och motståndskraft i kritisk 
informationsinfrastruktur genom att 
• starta ett europeiskt offentligt-privat partnerskap för motståndskraft (E3PR)  
för att främja samarbete mellan offentlig och privat sektor inom mål för säkerhet och motståndskraft, grundläggande kra v, god politisk praxis och åtgärder.  
(3) Stärka EU:s kapacitet för tidi g varning och incidenthantering  genom att 
• inrätta välfungerande nati onella organisationer för incidenthantering som 
huvudkomponent i den nationella kapaciteten för beredskap, informationsdelning, 
samordning och insatser, 
• komma överens om en miniminivå för de nationella/statliga 
incidenthanteringsorganisatione rnas kapacitet och tjänster, 
• främja europeiskt samarbete mellan nationella/statliga organisationer för 
incidenthantering, underlätta kontakt och sa marbete mellan nationella insatsorgan, 
ordna europeiska och/eller regionala övningar med simulerade storskaliga 
incidenter, 
• främja beredskapsplanering för hantering av nätverksincidenter och katastrofer, 
• finansiera utvecklingen av europeiska  övningar med simulerade storskaliga 
incidenter inom nätverkssäkerheten, och 
• stödja utveckling och genomförande av et t EU-system för informationsutbyte och 
varning (EISAS) som på ett likvärdigt och effektivt sätt når ut till privatpersoner 
och små och medelstora företag.  
(4) Förbättra säkerheten och motståndskraften på Internet  genom att  
• fastställa EU:s prioriteter för Internets långsiktiga stabilitet och motståndskraft, 
och 
• 
komma överens om ett antal europeiska respektive internationella principer för 
Internets säkerhet och motståndskraft.  
Politiskt alternativ 3: Bindande ram  
SV 7   SV De flesta av frågorna ovan skulle hanteras ge nom ett antal bindande åtgärder i form av ett 
direktiv, en förordning e ller ett beslut, beroende på omständigheterna. 
Kommissionen får föreslå bindande åtgärder för att (1) fastställa en referens för harmonisering av nationell politik . Sådana åtgärder kan 
fokuseras på ytterligare säkerhet och motstå ndskraft i kritisk informationsinfrastruktur 
utanför den marknadslagstiftning som redan föreslagits, 
(2) fastställa offentliga och privata parters roll och ansvar för säkerheten och 
motståndskraften i kritisk informationsinfrastruktur, och 
(3) förbättra den operativa beredskapen , t.ex. genom 
(a) minimikrav som harmoniserar funktione r och tjänster för nationella/statliga 
organisationer för incidenthantering, 
(b) en ram för nationell beredskapsplaneri ng i syfte att utveckla EU-omfattande 
beredskapsplaner. 
5. H
UR JÄMFÖRS ALTERNATIVEN ? 
Alternativet ”ingen förändring” har ingen tydlig fördel när det gäller att fö rbättra säkerheten 
och motståndskraften i kritisk informationsinfras truktur i Europa. Beslut et står därför mellan 
en icke-bindande och en bindande ram. Altern ativet med den bindande ramen verkar inte 
realistiskt, bland annat på grund av följande:  
• Den politiska realiteten med suveräna stater, som politiken för nät- och 
informationssäkerheten på gemenskapsnivå måste ta hänsyn till.  
• Behovet att ta hänsyn till de t vitt spridda operativ a ansvaret i den privata sektorn.  
• Bristen på ackumulerad erfarenhet inom in formationsdelning och politiskt samarbete 
mellan offentliga och privata sektorn om kritisk informationsinfrastruktur. 
Dessutom hämmas möjligheten att fastställa regler ingsåtgärder i ett samstämmigt perspektiv 
på ekonomi och politik av den låga kvaliteten på de data  om säkerhetsincidenter som för 
närvarande är tillgängliga, på grund av  asymmetrisk information och nationella 
säkerhetsaspekter. Detta medför även svårigheter att  följa  proportionalitetsprincipen , 
eftersom det är omöjligt att föreslå proportionerlig a åtgärder när problemets omfattning inte är 
känd. 
Slutligen skulle tidsramen för en bindande ram,  på grund av det långa antagningsförfarandet, 
vara oförenligt med samtliga parters behov av snabba insatser. 
Sammanfattningsvis föreslår konsekvensanalysen att alternativ 2 är at t föredra på kort och 
medellång sikt, eftersom de föreslagna åtgärder na omedelbart startas och att man efter en 
lämplig period ser över resultaten, även från den offentliga debatten om en förstärkt och 
moderniserad policy för nät- och informations säkerhet inom EU. Detta  skulle sedan utgöra 
grunden för en analys av behoven och alterna tiven om eventuella bindande åtgärder i 
framtiden. 
Det skulle sedan kunna vara möjligt att rekomme ndera åtgärder liknande dem i alternativ 3.