[pic] | EUROPEISKA KOMMISSIONEN |

Bryssel den 31.3.2011

KOM(2011) 163 slutlig

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET, RÅDET, EUROPEISKA EKONOMISKA OCH SOCIALA KOMMITTÉN OCH REGIONKOMMITTÉN

om skydd av kritisk infrastruktur”Resultat och kommande åtgärder: vägen mot global it-säkerhet”

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET, RÅDET, EUROPEISKA EKONOMISKA OCH SOCIALA KOMMITTÉN OCH REGIONKOMMITTÉN

om skydd av kritisk infrastruktur ”Resultat och kommande åtgärder: vägen mot global it-säkerhet”

INLEDNING

Den 30 mars 2009 antog kommissionen ett meddelande om skydd av kritisk informationsinfrastruktur – ”Skydd mot storskaliga it-attacker och avbrott: förbättrad beredskap, säkerhet och motståndskraft i Europa”[1] som innehåller en plan (handlingsplan för skydd av kritisk informationsinfrastruktur) för att stärka viktig IKT-infrastrukturs säkerhet och motståndskraft. Syftet var att främja och stödja utvecklingen av en hög nivå vad gäller beredskap, säkerhet och motståndskraft på både nationell och europeisk nivå. Strategin fick brett stöd av rådet 2009[2].

Handlingsplanen för skydd av kritisk informationsinfrastruktur (nedan kallad handlingsplanen) bygger på följande fem åtgärdsområden: Beredskap och förebyggande åtgärder, upptäckt och insatser, begränsning av verkningar och återställning, internationellt samarbete och kriterier för europeisk kritisk infrastruktur för sektorn för informations- och kommunikationsteknik. I planen beskrivs vad kommissionen, medlemsstaterna och/eller industrin, med stöd av Europeiska byrån för nät- och informationssäkerhet (Enisa), ska göra inom varje område.

Den digitala agendan för Europa[3] som antogs i maj 2010 och rådets slutsatser om denna[4], framhävde att det råder samsyn om att säkerhet och förtroende är grundläggande förutsättningar för allmän användning av IKT-teknik och därmed för att nå målen för smart tillväxt enligt strategin EU 2020[5]. I den digitala agendan betonas vikten av att alla intressenter förenar sina krafter i ett helhetsgrepp för att göra IKT-infrastrukturen säker och motståndskraftig, genom att koncentrera sig på beredskap, förebyggande åtgärder och ökad medvetenhet och för att utveckla effektiva och samordnade mekanismer för att klara nya allt mer avancerade former av it-attacker och it-brottslighet. Denna strategi säkerställer att både förebyggande och avhjälpande åtgärder vidtas.

Följande åtgärder, vilka nämns i den digitala agendan, har vidtagits under de senaste månaderna: I september 2010 antog kommissionen ett förslag till direktiv om angrepp mot informationssystem[6]. Förslaget syftar till att stärka kampen mot it-brottslighet genom tillnärmning av medlemsstaternas straffrättsliga bestämmelser och förbättrat samarbetet mellan rättsliga och andra behöriga myndigheter. Det inför också bestämmelser för att ta itu med nya former av it-attacker, i synnerhet botnät. Som ett komplement till detta lade kommissionen samtidigt fram ett förslag[7] om ett nytt mandat för att stärka och modernisera Europeiska byrån för nät- och informationssäkerhet (Enisa) i syfte att bygga upp förtroendet för nät och förbättra nätsäkerheten. Ett starkare och modernare Enisa kommer att kunna hjälpa EU, medlemsstaterna och privata intressenter att utveckla sin kapacitet och beredskap i syfte att förhindra, upptäcka och bemöta it-säkerhetsproblem.

Sist men inte minst visar den digitala agendan för Europa, Stockholmsprogrammet/handlingsplanen för att genomföra Stockholmsprogrammet[8] och EU:s strategi för den inre säkerheten[9] att kommissionen är fast besluten att skapa en digital miljö i vilken varje europé till fullo kan utnyttja sin ekonomiska och sociala potential.

Detta meddelande beskriver de resultat som uppnåtts sedan handlingsplanen för skydd av kritisk informationsinfrastruktur antogs 2009. Det beskriver vilka åtgärder som nu planeras för varje område, på både europeisk och internationell nivå. Meddelandet inriktar sig också på den globala dimensionen av problemen och vikten av att öka samarbetet mellan medlemsstaterna och den privata sektorn på nationell, europeisk och internationell nivå, med tanke på det ömsesidiga beroendet på global nivå.

ETT SCENARIO UNDER UTVECKLING

Den konsekvensanalys som åtföljer handlingsplanen för skydd av kritisk informationsinfrastruktur[10] och ett uppbåd av analyser och rapporter från privata och offentliga intressenter belyser inte bara Europas sociala, politiska och ekonomiska beroende av IKT, utan även det faktum att hoten växer, både till antal, räckvidd, komplexitet och potentiella följder – oavsett om de är naturliga eller skapade av människor.

Nya och tekniskt sätt mer avancerade hot har uppstått och den globala geopolitiska aspekten av hoten blir hela tiden tydligare. Vi bevittnar en utveckling där IKT utnyttjas för politiska, ekonomiska och militära intressen, inbegripet genom aggressiva handlingar. ”Cyber-krig” eller ”cyber-terrorism” nämns ibland i detta sammanhang.

Som de aktuella händelserna i södra Medelhavsområdet visat är en del regimer dessutom beredda, och har möjlighet, att av politiska skäl egenmäktigt beröva eller störa de egna medborgarnas tillgång till elektroniska kommunikationsmedel, framför allt Internet och mobil kommunikation. Sådana unilaterala inhemska interventioner kan i sin tur få allvarliga följder i andra delar av världen[11].

För att få fördjupade kunskaper om dessa olika hot kan man dela in dem i olika kategorier med utgångspunkt i deras syfte.

- Exploatering , t.ex. ”avancerade långvariga hot”[12] för ekonomiskt och politiskt spionage (t.ex. GhostNet[13]), identitetsstöld, de nyligen genomförda attackerna mot systemet för handel med utsläppsrätter[14] eller mot statliga it-system[15];

- Störning , t.ex. distribuerade överbelastningsattacker (Distributed Denial of Service attacks) eller spam som genereras via botnät (t.ex. nätet Conficker med 7 miljoner maskiner och det Spanienbaserade nätet Mariposa med 12,7 miljoner maskiner[16]), Stuxnet[17] och avstängning av kommunikationsmedel.

- Förstörelse . Detta är ett scenario som ännu inte har blivit verklighet, men med tanke på den allt större genomslagskraften för IKT i kritisk infrastruktur (t.ex. smarta elnät och vattensystem) går det inte att utesluta i framtiden[18].

EU OCH DET GLOBALA SAMMANHANGET

De problem som ligger framför oss är inte specifika för Europeiska unionen och kan inte heller lösas av unionen ensam. IKT:s och Internets stora genomslagskraft kan göra eventuella åtgärder för kommunikation, samordning och samarbete mellan intressenter mer ändamålsenliga, ekonomiska och effektiva och resultera i en dynamisk miljö för innovation på alla livets områden. Hoten kan emellertid uppstå var som helst i världen och, till följd av den globala sammankopplingen, få följder i alla delar av världen.

En rent europeisk strategi är alltså inte tillräckligt för att ta sig an de framtida utmaningarna. Även om det är lika viktigt som någonsin med en enhetlig och samarbetsinriktad strategi inom EU, måste en sådan strategi ingå i en global samordningsstrategi som engagerar centrala parter, oavsett om det är enskilda nationer eller berörda internationella organisationer.

Vi måste verka för global förståelse av de risker som den allmänt utbredda, massiva användningen av IKT i alla delar av samhället medför. Vi måste tänka ut strategier för att på ett lämpligt och effektivt sätt hantera – dvs. förhindra, motverka, mildra och bemöta – dessa risker. I den digitala agendan för Europa uppmanas till ” ett globalt samarbete mellan berörda aktörer organiseras om man ska kunna bekämpa och mildra säkerhetshot på ett effektivt sätt ” och anges som mål att ” [t]illsammans med globala aktörer verka för att stärka den globala riskhanteringen i den digitala och den fysiska sfären och genomföra samordnade och målinriktade internationella åtgärder mot datorbaserade brott och säkerhetsattacker ”.

GENOMFÖRANDE AV HANDLINGSPLANEN FÖR SKYDD AV KRITISK INFORMATIONSINFRASTRUKTUR DE VIKTIGASTE RESULTATEN

En fullständig rapport över de resultat som uppnåtts och kommande åtgärder vad gäller handlingsplanen återfinns i bilagan. Nedan görs en lägesrapport med några av de viktigaste punkterna.

Beredskap och förebyggande åtgärder

- EU-forumet för medlemsstaterna (EFMS) har bidragit väsentligt till att främja diskussion och utbyte av god praxis mellan berörda myndigheter avseende IKT-infrastrukturens säkerhet och motståndskraft. Medlemsstaterna har konstaterat att forumet är en viktig plattform för diskussioner och utbyte av god praxis[19]. Dess framtida verksamhet kommer att få fortsatt stöd från Enisa och kommer att vara inriktad på att främja samarbete mellan nationella/statliga organisationer för incidenthantering (Cert), på att ta fram ekonomiska och rättsliga incitament för säkerhet och motståndskraft (samtidigt som tillämpliga bestämmelser för konkurrens och statligt stöd respekteras), på att utvärdera läget vad gäller it-säkerheten i Europa, att verka för EU-omfattande övningar och på att diskutera prioriteringar för internationella insatser för säkerhet och motståndskraft.

- Det offentligt-privata EU-partnerskapet för motståndskraft (EP3R) lanserades som en europeisk ram för IKT-infrastrukturens motståndskraft. Dess syfte är att främja samarbete mellan offentlig och privat sektor i säkerhets- och motståndskraftsfrågor som är strategiska för EU. Enisa har främjat partnerskapets verksamhet och ska, i enlighet med kommissionens förslag från 2010 om att modernisera Enisa, tillhandahålla en långsiktig och hållbar ram för partnerskapet. Det offentligt-privata EU-partnerskapet för motståndskraft kommer också att fungera som plattform för internationella insatser vad gäller offentliga strategier, frågor kring ekonomi och marknad som är relevanta för säkerhet och motståndskraft, i synnerhet i syfte att stärka den globala riskhanteringen för IKT-infrastruktur.

- En förteckning över grundläggande kapacitet och tjänster [20] och tillhörande politiska rekommendationer [21] har utarbetats för att nationella/statliga organisationer för incidenthantering ska fungera effektivt och utgöra den centrala komponenten i den nationella kapaciteten för beredskap, informationsutbyte, samordning och insatser. Dessa resultat kommer att ligga till grund för att det med Enisas stöd kan inrättas ett nät av väl fungerande nationella/statliga organisationer för incidenthantering i alla medlemsstater senast 2012. Ett sådant nät kommer att utgöra ryggraden i EU-systemet för informationsutbyte och varningar (Eisas) för medborgare och små och medelstora företag som ska byggas upp med nationella resurser och kompetenser före utgången av 2013.

Upptäckt och insatser

- Enisa har utarbetat en färdplan på hög nivå för utformningen av ett EU-system för informationsutbyte och varningar ( Eisas ) senast 2013[22] baserat på genomförandet av grundläggande tjänster i de nationella/statliga organisationerna för incidenthantering och på integrering av interoperabilitetstjänster för nationella system för informationsutbyte och varning i Eisas. En central uppgift i samband med den här verksamheten blir att säkra ett fullgott skydd för personuppgifter.

Begränsning av verkningar och återställning

- Hittills har bara tolv medlemsstater organiserat övningar för insatser och katastrofåterställning efter storskaliga säkerhetsincidenter i nätverk[23]. Enisa har utarbetat en riktlinjer för bästa praxis för nationella övningar [24] liksom rekommendationer för utformningen av nationella strategier[25] för att stödja medlemsstaternas insatser, som bör intensifieras.

- Den första EU-omfattande övningen i storskaliga säkerhetsincidenter i nätverk (Cyber Europe 2010) genomfördes den 4 november 2010. Alla medlemsstater var involverade och 19 deltog aktivt i övningen, liksom Schweiz, Norge och Island. Framtida EU-omfattade it-övningar skulle utan tvivel vinna på en gemensam ram som är baserad på och förbinder nationella beredskapsplaner och således tillhandahåller grundläggande mekanismer och förfaranden för kommunikation och samarbete mellan medlemsstaterna.

Internationellt samarbete

- Europeiska principer och riktlinjer för ett motståndskraftigt och stabilt Internet [26] diskuterades och utformades inom ramen för EU-forumet för medlemsstaterna. Kommissionen kommer att utöka kunskapen om dessa principer och diskutera dem med berörda intressenter, i synnerhet den privata sektorn (genom EP3R), bilateralt med centrala internationella parter, i synnerhet Förenta staterna, och multilateralt. Inom ramen för sina befogenheter kommer den att göra detta i forum som G8, OECD, Nato (t.ex. på grundval av Natos nya strategiska koncept som antogs i november 2010 och verksamheten vid kunskapscentret för kooperativ it-säkerhet (Cooperative Cyber-defense Center of Excellence)), ITU (inom ramen för kapacitetsbyggande på området it-säkerhet), OSSE (genom dess forum för säkerhetssamarbete), Asean och Meridian[27] . Målet är att använda dessa principer och riktlinjer som en gemensam ram för ett internationellt kollektivt åtagande för ett motståndskraftigt och stabilt Internet på lång sikt.

Kriterier för europeisk kritisk infrastruktur i sektorn för informations- och kommunikationsteknik

- Den tekniska diskussionen inom EU-forumet för medlemsstater har resulterat i ett första utkast med sektorspecifika kriterier för informations- och kommunikationsteknik för att identifiera europeisk kritisk infrastruktur, med fokus på fast och mobil kommunikation och Internet . Diskussionen kommer att fortsätta och dra nytta av samråden om förslagen till kriterier, på nationell och europeisk (via EP3R) nivå, med den privata sektorn. Kommissionen kommer också att med medlemsstaterna diskutera vilka IKT-sektorspecifika inslag som bör beaktas i samband med översynen under 2012 av direktivet om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna[28].

DET FORTSATTA ARBETET

Genomförandet av handlingsplanen för skydd av kritisk informationsinfrastruktur kännetecknas av positiva resultat, inte minst erkännandet av behovet av samarbete, mellan alla intressenter, kring nät- och informationssäkerhet. Den följer också i stort de milstolpar och den tidsplan som fastställdes 2009. Vi får emellertid inte nöja oss med detta då det fortfarande finns mycket att göra, både på nationell och europeisk nivå för att dessa insatser ska bli framgångsrika.

Det är också särskilt viktigt att insatserna ingår i en global samordningsstrategi och att de därför förs ut till den internationella arenan, med alla berörda intressenter, och når andra regioner, länder och organisationer som ägnar sig åt liknande frågor. Man bör också bygga upp partnerskap för att ta fram gemensamma strategier och därmed relaterad verksamhet och för att undvika att insatserna överlappar varandra.

Vi måste främja en global riskhanteringskultur. Tyngdpunkten bör ligga på att främja samordnade åtgärder för att förhindra, upptäcka, mildra och bemöta alla typer av avbrott, oavsett om de är skapade av människor eller naturliga, liksom att lagligen beivra relaterade it-brott. Häri ingår att vidta riktade åtgärder mot säkerhetshot och datorbaserade brott.

Kommissionen kommer i detta syfte att göra följande :

- Främja principerna för ett motståndskraftigt och stabilt Internet. Det bör utarbetas internationella principer för ett motståndskraftigt och stabilt Internet tillsammans med andra länder, internationella organisationer och i tillämpliga fall med globala organisationer i den privata sektorn. Detta bör ske med hjälp av existerande forum och processer, så som de som avser förvaltning av Internet. Principerna ska fungera som ett verktyg för alla intressenter för att utforma åtgärder för ett motståndskraftigt och stabilt Internet. De internationella principerna skulle kunna grundas på de europeiska principerna och riktlinjerna.

- Skapa strategiska internationella partnerskap . De strategiska partnerskapen bör basera sig på pågående insatser på kritiska områden, så som förvaltning av it-incidenter, inbegripet övningar och samarbete mellan organisationer för incidenthantering. Det är av största vikt att den del av den privata sektorn som verkar på global nivå är engagerad. EU och Förenta staternas gemensamma arbetsgrupp för it-säkerhet och it-brottslighet, som inrättades vid toppmötet mellan EU och Förenta staterna i november 2010, är ett viktigt steg i den riktningen. Arbetsgruppen kommer att inrikta sig på förvaltning av it-incidenter, offentlig-privata partnerskap, åtgärder för att öka medvetenheten och it-brottslighet. Den kan också överväga möjligheterna att vidga samarbetet till andra regioner eller länder, i synnerhet genom att diskutera liknande problem i syfte att skapa gemensamma strategier och verksamheter, och se till att insatserna inte överlappar varandra. Man bör också eftersträva ytterligare samarbete och samordning i internationella forum, i synnerhet i G8. På den europeiska sidan är de centrala faktorerna för att lyckas god samordning mellan alla EU-institutioner, berörda byråer (i synnerhet Enisa och Europol) och medlemsstaterna.

- Skapa förtroende för moln . Det är nödvändigt att stärka diskussionerna om hur man bäst förvaltar ny teknik med globala effekter, så som datormoln. Diskussionerna bör under alla omständigheter omfatta, men inte begränsas till, lämplig förvaltningsram för skyddet av personuppgifter. Förtroende är av avgörande betydelse för att till fullo kunna ta del av den nya teknikens fördelar[29].

Eftersom säkerhet är ett ansvar som delas av alla måste alla medlemsstater se till att deras nationella åtgärder och insatser kollektivt bidrar till en samordnad europeisk strategi för att förhindra, upptäcka, mildra och bemöta alla typer av it-avbrott och attacker. Medlemsstaterna måste därför åta sig följande :

- Öka EU:s beredskap genom att inrätta ett nät av väl fungerande nationella/statliga organisationer för incidenthantering senast 2012 . EU-institutionerna ska likaledes inrätta en egen organisation för incidenthantering senast 2012. Alla dessa insatser bör grunda sig på den grundläggande kapacitet och de grundläggande tjänster och politiska rekommendationer som Enisa formulerat. Enisa kommer även fortsättningsvis att stödja dessa initiativ. Insatsen kommer också att främja utvecklingen av ett EU-system för informationsutbyte och varningar (Eisas) för allmänheten senast 2013.

- Införa en EU-omfattande beredskapsplan för it-incidenter senast 2012 och regelbundna EU-omfattande it-övningar . It-övningar utgör en viktig del i en samordnad strategi för beredskapsplanering och återställning i samband med it-incidenter, både på nationell och europeisk nivå. Framtida EU-omfattande it-övningar bör baseras på en europeisk beredskapsplan för it-incidenter som bygger på och är sammanlänkad med nationella beredskapsplaner. En sådan plan bör ange grundläggande mekanismer och förfaranden för meddelande mellan medlemsstaterna och sist, men inte minst, utgöra ett stöd i samband med fastställandet av framtida EU-omfattande övningars omfattning och organisation. Enisa vill tillsammans med medlemsstaterna senast 2012 utarbeta en sådan europeisk beredskapsplan för it-incidenter. Inom samma tidsperiod bör alla medlemsstater utarbeta nationella beredskapsplaner och regelbundna övningar för insatser och återställning.

- Verka för samordnade europeiska insatser i internationella forum och diskussioner om ökad säkerhet och motståndskraft för Internet . Medlemsstaterna bör samarbeta sinsemellan och med kommissionen för att främja utarbetandet av en strategi baserad på principer och normer för frågan om Internets globala stabilitet och motståndskraft. Syftet bör vara att främja beredskap och förebyggande åtgärder på alla nivåer och av alla intressenter, och således uppnå balans i den tendens som finns idag att fokusera diskussionerna på militära och/eller nationella säkerhetsaspekter.

SLUTSATS

Erfarenheten visar att det inte räcker med rent nationella eller regionala strategier för att åtgärda problemen när det gäller säkerhet och motståndskraft. Det europeiska samarbetet har utvecklats betydligt sedan 2009 med hoppingivande resultat, i synnerhet övningen Cyber Europe 2010. EU bör dock fortsätta sina ansträngningar för att bygga upp enhetlig och samarbetsinriktad strategi över hela EU. Ett moderniserat Enisa bör öka sitt stöd till medlemsstaterna, EU-institutionerna och den privata sektorn i denna långsiktiga strävan.

För att bli framgångsrika måste de europeiska insatserna integreras i en samordnad strategi på global nivå. Kommissionen kommer därför att främja diskussioner om it-säkerhet i alla lämpliga internationella forum.

Den 14–15 april organiserar det ungerska ordförandeskapet en konferens på ministernivå om skydd av kritisk informationsinfrastruktur. Konferensen är ett viktigt tillfälle att förstärka det åtagande som gjorts avseende förstärkt samarbete och samordning mellan medlemsstaterna, både på europeisk och internationell nivå.

BILAGA

Handlingsplanen för skydd av kritisk informationsinfrastruktur: Detaljerad översikt av resultat och kommande åtgärder

Resultaten av de insatser som gjorts inom ramen för handlingsplanen för skydd av kritisk informationsinfrastruktur är i stort i överensstämmelse med de milstolpar och den tidsplan som fastställdes av kommissionen 2009. Nedan beskrivs resultat och kommande åtgärder för handlingsplanens alla åtgärdsområden. Denna ögonblicksbild tar hänsyn till att en del åtgärder utarbetades vidare inom ramen för den digitala agendan för Europa och EU:s strategi för den inre säkerheten i praktiken.

1. Beredskap och förebyggande åtgärder

Grundläggande kapacitet och tjänster för ett europeiskt samarbete

Resultat

- Under 2009 utarbetade och enades Enisa och organisationerna för incidenthantering i Europa om en miniminivå för grundläggande kapacitet och tjänster som måste finnas vid nationella/statliga organisationer för incidenthantering för att de ska kunna fungera effektivt till stöd för ett EU-omfattande samarbete. Man enades om en förteckning över krav som måste finnas på områdena drift, teknisk kapacitet, mandat och samarbete[30].

- Under 2010 samarbetade Enisa med organisationerna för incidenthantering i Europa för att omvandla ovannämnda praktiskt orienterade krav till ett antal politiska rekommendationer[31] som ska säkerställa att de nationella/statliga organisationerna för incidenthantering fungerar som en central komponent i den nationella beredskapen och när det gäller informationsutbyte, samordning och insatser.

- Hittills har 20 medlemsstater[32] inrättat nationella/statliga organisationer för incidenthantering och nästan alla de övriga har planer på att inrätta en sådan. Såsom angavs i den digitala agendan för Europa och beskrevs mer i detalj i strategin för inre säkerhet i Europeiska unionen har kommissionen föreslagit att det upprättas en organisation för incidenthantering för EU-institutionerna senast 2012.

Kommande åtgärder

- Enisa kommer att fortsätta stödja de medlemsstater som ännu inte har upprättat nationella/statliga organisationer för incidenthantering som tillgodoser de överenskomna grundläggande kraven, för att säkerställa att målet att alla medlemsstater senast vid 2011 års utgång ska ha väl fungerande nationella/statliga organisationer för incidenthantering nås. Denna milstolpe kommer att bereda vägen för upprättandet av ett väl fungerande nät av organisationer för incidenthantering på nationell nivå senast 2012 i enlighet med planerna i den digitala agendan.

- Enisa kommer i samarbete med de nationella/statliga organisationerna för incidenthantering att diskutera om och hur den ”grundläggande kapaciteten” ska utvidgas för att anpassa dessa organisationers förmåga att hjälpa medlemsstaterna att säkerställa nödvändig IKT-infrastrukturs motståndskraft och stabilitet, och för att de ska kunna utgöra ryggraden i EU-systemet för informationsutbyte och varningar (Eisas) för medborgare och små och medelstora företag, som enligt strategin för inre säkerhet i Europeiska unionen ska byggas upp med nationella resurser och nationell kapacitet senast 2013 .

Europeiskt offentligt-privat partnerskap för motståndskraft (EP3R)

Resultat

- Under 2009 lanserades det europeiska offentligt-privata partnerskapet för motståndskraft (nedan kallat partnerskapet ) som en EU-omfattande ram för IKT-infrastrukturens motståndskraft. Det ska främja samarbetet mellan offentlig och privat sektor kring mål för säkerhet och motståndskraft, grundläggande kapacitet, god praxis och åtgärder. Så som fastställs i strategin för inre säkerhet kommer partnerskapet också att ”samarbeta med internationella partner för att stärka förvaltningen av it-nätverk på global nivå.” Enisa har stött partnerskapets verksamhet.

- Privata och offentliga intressenter konsulterades för att utarbeta partnerskapets mål, principer och struktur och fastställa incitament för att uppmuntra berörda intressenter att bli aktivt engagerade i partnerskapet[33]. I förslaget till modernisering av Enisa angavs vilka områden som är prioriterade för partnerskapet[34].

- Samtidigt som man utarbetade strukturen för partnerskapet lanserades i slutet av 2010 tre arbetsgrupper för a) centrala tillgångar, resurser och funktioner för kontinuerligt och säkert tillhandahållande av gränsöverskridande elektronisk kommunikation, b) grundläggande krav för säkerhet och motståndskraft för elektronisk kommunikation, c) samordnings- och samarbetsbehov och -mekanismer för att förbereda sig på och hantera storskaliga avbrott i elektronisk kommunikation.

- Kommissionens förslag till att modernisera Enisa gav 2010 en långsiktig och hållbar ram för partnerskapet. Enligt förslaget skulle Enisa ”[s]tödja samarbete mellan offentliga och privata aktörer på EU-nivå, bland annat genom att främja informationsutbyte och åtgärder för att öka medvetenheten, och underlätta deras insatser för att utveckla och använda standarder för riskhantering och för säkerheten för elektroniska produkter, nät och tjänster”.

Kommande åtgärder

- Under 2011 kommer det offentligt-privata EU-partnerskapet för motståndskraft att fortsätta att stärka samarbetet mellan intressenter från den privata och offentliga sektorn för att förbättra säkerhet och motståndskraft genom innovativa åtgärder och instrument, och för att fastställa vilket ansvar intressenterna har. Med stöd från Enisa, som kommer att ha förmedlande roll, kommer arbetsgrupperna inom partnerskapet att lägga fram sina inledande resultat. I framtiden kommer de också att ta sig an säkerhetsproblemen kring smarta elnät med utgångspunkt i det förberedande arbete kommissionen och Enisa har utfört.

- Det offentligt-privata EU-partnerskapet för motståndskraft kommer att fungera som en plattform för ett globalt samarbete när det gäller offentlig politik och ekonomi- och marknadsfrågor som är relevanta för säkerhet och motståndskraft. Kommissionen har för avsikt att utnyttja partnerskapet till stöd för verksamheten i EU:s och Förenta staternas gemensamma arbetsgrupp för it-säkerhet och it-brottslighet i syfte att skapa en sammanhängande ram för samarbete mellan den offentliga och privata sektorn, samtidigt som tillämpliga bestämmelser för konkurrens och statligt stöd respekteras.

- På lång sikt och i överensstämmelse med förslaget till en ny Enisa-förordning är tanken att det offentlig-privata partnerskapet för motståndskraft blir en central verksamhet i ett moderniserat Enisa.

EU-forum för medlemsstaterna

Resultat

- EU-forumet för medlemsstaterna skapades 2009 för att främja diskussion och utbyte av god praxis mellan berörda (offentliga) myndigheter i syfte att fastställa gemensamma politiska mål och prioriteringar för IKT-infrastrukturens säkerhet och motståndskraft. Det drar direkt nytta av Enisas arbete och stöd. Forumet, som träffas varje kvartal, har sedan mitten av 2010 till stöd för sitt arbete en egen webbplats som förvaltas av Enisa.

- EU-forumet för medlemsstaterna har gjort betydande framsteg när det gäller att a) fastställa kriterier för att identifiera europeisk IKT-infrastruktur inom ramen för direktivet om kartläggning och klassificering av europeisk kritisk infrastruktur[35], b) fastställa europeiska prioriteringar, principer och riktlinjer för säkerhet och motståndskraft för Internet, c) verka för utbyte av god praxis, i synnerhet it-övningar.

- Medlemsstaterna har konstaterat att EU-forumet för medlemsstaterna är en viktig plattform för diskussioner och utbyte av god praxis[36].

Kommande åtgärder

- Under 2011 kommer EU-forumet för medlemsstater att avsluta de tekniska diskussionerna om IKT-kriterier för europeisk kritisk infrastruktur och ange inriktning och prioriteringar på lång sikt för EU-omfattande storskaliga övningar för nät- och informationssäkerhet.

- EU-forumet för medlemsstater kommer att engageras mer i diskussionerna kring prioriteringar för internationella insatser för säkerhet och motståndskraft, framför allt när det gäller verksamheten i EU och Förenta staternas gemensamma arbetsgrupp för it-säkerhet och it-brottslighet.

- I den framtida verksamheten i forumet, som kommer att få direkt stöd från Enisa, kommer bl.a. följande områden att prioriteras[37]: Utformning av metoder för effektivt samarbete mellan nationella/statliga organisationer för incidenthantering, främjande av minimikrav i samband med offentlig upphandling för att främja it-säkerheten, fastställa ekonomiska och rättsliga incitament för säkerhet och motståndskraft (samtidigt som tillämpliga bestämmelser för konkurrens och statligt stöd respekteras), bedöma nivån för it-säkerheten i Europa.

- Upptäckt och insatser

EU-system för informationsutbyte och varning (Eisas)

Resultat

- Kommissionen har finansierat två modellprojekt (FISHAS och NEISAS) vars slutresultat håller på att läggas fram.

- Mot bakgrund av sin egen genomförbarhetsrapport[38] och analysen av relevanta projekt på nationell och europeisk nivå utarbetade Enisa en färdplan på hög nivå för utvecklingen av Eisas senast 2013[39].

Kommande åtgärder

- Under 2011 kommer Enisa att bistå medlemsstaterna i arbetet med att genomföra Eisas färdplan genom att utforma de ”grundläggande” tjänster som medlemsstaterna behöver för att bygga upp sina nationella system för informationsutbyte och varningar på grundval av den kapacitet som deras nationella/statliga organisationer för incidenthantering har.

- Under 2012 kommer Enisa att utarbeta ”interoperabilitetstjänster” som ska göra det möjligt för varje enskilt nationellt system för informationsutbyte och varningar att bli funktionellt integrerat i EU-systemet för informationsutbyte och varning . Enisa kommer också att bistå medlemsstaterna med att prova sådana tjänster via en gradvis integrering av nationella system.

- Under 2011–2012 kommer Enisa att verka för att de nationella/statliga organisationerna för incidenthantering i sina tjänster integrerar kapaciteten i de nationella systemen för informationsutbyte och varning.

- Begränsning av verkningar och återställning

Nationell beredskapsplanering och övningar

Resultat

- I slutet av 2010 hade 12 medlemsstater utarbetat nationella beredskapsplaner och/eller organiserat övningar för insatser och katastrofåterställning efter storskaliga säkerhetsincidenter i nätverk[40].

- Med utgångspunkt i nationella och internationella erfarenheter har Enisa utvecklat riktlinjer för god praxis för nationella övningar[41], organiserat sammankomster med medlemsstaterna och organisationer för incidenthantering runt om i världen om nationella övningar, och lade nyligen fram politiska rekommendationer avseende utarbetandet av nationella strategier i vilka nationella/statliga organisationer för incidenthantering ges en central roll i att leda nationella övningar i beredskapsplanering och testning, med deltagande av intressenter från den privata och offentliga sektorn[42].

Kommande åtgärder

- Enisa kommer att fortsätta att bistå medlemsstaterna i arbetet med att utarbeta nationella beredskapsplaner och ordna regelbundna övningar för insatser och katastrofåterställning efter storskaliga säkerhetsincidenter i nätverk, som ett steg mot närmare europeisk samordning.

EU-omfattande övning i storskaliga säkerhetsincidenter i nätverk

Resultat

- Den första EU-omfattande övningen i storskaliga säkerhetsincidenter i nätverk (Cyber Europe 2010) genomfördes den 4 november 2010. Alla medlemsstater var involverade och 19 deltog i övningen, plus Schweiz, Norge och Island. Övningen organiserades och utvärderades[43] av Enisa, åtta medlemsstater deltog aktivt i planeringen och gemensamma forskningscentrumet bidrog med tekniskt stöd.

Kommande åtgärder

- Under 2011 kommer medlemsstaterna att delta i diskussionerna om mål och omfattning för nästa Europaomfattande I-övning som planeras inför 2012. Möjligheten att genomföra övningen i flera etapper, med mer djupgående övningar, i vilka en mindre grupp av medlemsstaterna och eventuellt internationella aktörer skulle delta kommer att beaktas. Enisa kommer att fortsätta att ge sitt stöd till denna process.

- Kommissionen ger ekonomiskt stöd till EuroCybex-projektet inom ramen för vilket det kommer att genomföras en skrivbordsövning under andra halvan av 2011.

- It-övningar utgör en viktig del i en sammanhängande strategi för beredskapsplanering för it-incidenter på både nationell och europeisk nivå. Framtida Europaomfattande it-övningar bör därför grunda sig på en europeisk beredskapsplan för it-incidenter som bygger på och förbinder nationella beredskapsplaner. En sådan plan bör ange grundläggande mekanismer och förfaranden för kommunikation mellan medlemsstaterna och sist, men inte minst, bidra till att fastställa framtida EU-omfattande övningars omfattning och organisation. Enisa ska tillsammans med medlemsstaterna senast 2012 utarbeta en sådan europeisk beredskapsplan för it-incidenter. Inom samma tidsperiod ska alla medlemsstater utarbeta nationella beredskapsplaner och ordna regelbundna övningar för insatser och återställning. EU-forumet för medlemsstater kommer att stå för den samordning som krävs för att nå detta resultat.

Förstärkt samarbete mellan nationella/statliga organisationer för incidenthantering

Resultat

- Samarbetet mellan nationella/statliga organisationer för incidenthantering har intensifierats. Enisas insatser vad gäller dessa organisationers grundläggande kapacitet, övningar och nationella övningar och förvaltning av it-incidenter har bidragit till att främja ett starkare Europaomfattande samarbete mellan nationella/statliga organisationer för incidenthantering.

Kommande åtgärder

- Enisa kommer att fortsätta att stödja samarbetet mellan nationella/statliga organisationer för incidenthantering. Under 2011 kommer Enisa därför att presentera en analys av kraven och tillhandahålla riktlinjer för en lämplig säker kanal för kommunikation med nationella/statliga organisationer för incidenthantering, inbegripet en färdplan för genomförandet och den framtida utvecklingen. Enisa kommer också att analysera operativa luckor på europeisk nivå och rapportera om hur det gränsöverskridande samarbetet mellan nationella/statliga organisationer för incidenthantering och berörda intressenter kan stärkas, i synnerhet när det gäller samordning av insatser i samband med incidenter.

- I den digitala agendan för Europa uppmanas medlemsstaterna att upprätta ett väl fungerande nät av organisationer för incidenthantering på nationell nivå senast 2012 .

- Internationellt samarbete

Internets motståndskraft och stabilitet

Resultat

- Det har utformats europeiska principer och riktlinjer för Internets motståndskraft och stabilitet[44] med utgångspunkt i verksamheten i EU-forumet för medlemsstaterna.

Kommande åtgärder

- Under 2011 kommer kommissionen att främja och diskutera principerna både i bilateralt samarbete med internationella partner, i synnerhet Förenta staterna, och i multilaterala diskussioner inom ramen för G8, OECD, Meridian och ITU. Den kommer dessutom att samråda med berörda intressenter, i synnerhet den privata sektorn, på europeisk (via det offentligt-privata EU-partnerskapet för motståndskraft) och internationell nivå (via forumet för förvaltning av Internet och andra lämpliga forum) och främja diskussioner med centrala Internetaktörer och Internetorganisationer.

- Under 2012 kommer internationella partner engageras att för att principerna och riktlinjerna ska användas som gemensam ram för ett gemensamt internationellt åtagande för ett motståndskraftigt och stabilt Internet på lång sikt.

Globala övningar om återställning och begränsning av verkningarna av storskaliga Internet-incidenter

Resultat

- Sju medlemsländer[45] deltog som internationella partners i Förenta staternas it-övning Cyber Storm III. Kommissionen och Enisa deltog som observatörer.

Kommande åtgärder

- Under 2011 kommer kommissionen att tillsammans med Förenta staterna, och inom ramen för EU och Förenta staternas gemensamma arbetsgrupp för it-säkerhet och it-brottslighet, utarbeta ett gemensamt program och en plan för gemensamma/synkroniserade transkontinentala it-övningar under 2012/2013. Möjligheterna att utvidga samarbetet till andra regioner eller länder som behandlar liknande frågor i syfte att dela strategier och åtgärder kommer också att tas under övervägande.

- Kriterier för europeisk kritisk infrastruktur inom sektorn för informations- och kommunikationsteknik

Sektorspecifika kriterier för informations- och kommunikationsteknik för att identifiera europeisk kritisk infrastruktur

Resultat

- Den tekniska diskussionen om sektorsspecifika kriterier för IKT i EU-forumet för medlemsstater ledde till utarbetandet av förslag till kriterier för fast och mobil kommunikation och Internet.

Kommande åtgärder

- EU-forumet för medlemsstater kommer att fortsätta de tekniska diskussionerna om sektorsspecifika kriterier för IKT. Målsättningen är att de ska vara klara i slutet av 2011. Parallellt planerar en del medlemsstater samråd med den privata sektorn avseende förslagen till kriterier för IKT-sektorn. På europeisk nivå planeras detta samråd ske genom det offentligt-privata EU-partnerskapet för motståndskraft.

- Kommissionen kommer under 2012 att med medlemsstaterna diskutera de IKT-specifika frågor som måste beaktas i samband med översynen av direktiv 2008/114/EG om identifiering av, och klassificering som, europeisk kritisk infrastruktur.

-

[1] KOM(2009) 149.

[2] Rådets resolution av den 18 december 2009 om en europeisk samarbetsstrategi för nät- och informationssäkerhet, (2009/C 321/01).

[3] KOM(2010) 245.

[4] Rådets slutsatser av den 31 maj om en digital agenda för Europa (10130/10).

[5] KOM(2010) 2020 och slutsatser från europeiska rådets möte den 25–26 mars 2010 (EUCO 7/10).

[6] KOM(2010) 517 slutlig

[7] KOM(2010) 521.

[8] KOM(2010) 171.

[9] KOM(2010) 673.

[10] SEK(2009) 399.

[11] Gemensamt meddelande om ett partnerskap för demokrati och delat välstånd med södra Medelhavsområdet, KOM(2011) 200, av den 8.3.2011.

[12] Dvs. ihållande och samordnade attacker mot statliga byråer och den offentliga sektorn. Det börjar nu även bli ett problem för den privata sektorn (se RSA 2011 cybercrime trends report ).

[13] Se rapporterna från projektet Information Warfare Monitor: ” Tracking GhostNet: investigating a Cyber Espionage Network ” (2009) och ” Shadows in the Cloud: Investigating Cyber Espionage 2.0 ” (2010).

[14] Se frågorna och svaren på http://europa.eu/rapid/pressReleasesAction.do?reference=MEMO/11/34&format=HTML&aged=0&language=EN&guiLanguage=fr.

[15] T.ex. de nyligen genomförda attackerna mot den franska regeringen.

[16] Se OECD/IFP:s projekt om ” Future Global Shocks ”, ” Reducing systemic cyber-security risks ”, 14 januari 2011, på http://www.oecd.org/dataoecd/3/42/46894657.pdf.

[17] See http://www.enisa.europa.eu/media/press-releases/stuxnet-analysis

[18] Se Världsekonomiskt forum, Global Risks 2011.

[19] I den brittiska regeringens svar på den femte rapporten från överhusets kommitté för Europeiska unionen om handlingsplanen för skydd av kritisk informationsinfrastruktur fastställs att EFMS har varit framgångsrikt och fyllt ett tomrum vad gäller beslutsfattarnas möjlighet att utbyta erfarenheter.

[20] Se http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-for-national-governmental-certs.

[21] Se http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[22] http://www.enisa.europa.eu/act/cert/other-work/eisas_folder/eisas_roadmap.

[23] Källa: Enisa

[24] Se http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[25] Se http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[26] Se http://ec.europa.eu/information_society/policy/nis/index_en.htm

[27] Syftet med Meridian-processen är att förse regeringar över hela världen med en kanal för att diskutera hur de kan samarbeta på den politiska nivån när det gäller skydd av kritisk informationsinfrastruktur. Se http://meridianprocess.org/.

[28] Rådets direktiv 2008/114/EG.

[29] Se t.ex. Enisas rapporter ” Cloud Computing Information Assurance Framework ” (2009), http://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReport) och ” Security and resilience in governmental clouds ” (2011), http://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/).

[30] Se http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-for-national-governmental-certs.

[31] Se http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[32] Källa: Enisa.

[33] Se http://ec.europa.eu/information_society/policy/nis/strategy/activities/ciip/impl_activities/index_en.htm

[34] KOM(2010) 521.

[35] Rådets direktiv 2008/114/EG.

[36] I den brittiska regeringens svar på den femte rapporten från överhusets kommitté för Europeiska unionen om handlingsplanen för skydd av kritisk informationsinfrastruktur fastställs att EFMS har varit framgångsrikt och fyllt ett tomrum vad gäller beslutsfattarnas möjlighet att utbyta erfarenheter.

[37] KOM(2010) 251.

[38] Se http://www.enisa.europa.eu/act/cert/other-work/files/EISAS_finalreport.pdf

[39] http://www.enisa.europa.eu/act/cert/other-work/eisas_folder/eisas_roadmap.

[40] Se http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[41] Se http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[42] Se http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations..

[43] Se http://www.enisa.europa.eu/.

[44] Se http://ec.europa.eu/information_society/policy/nis/index_en.htm

[45] Frankrike, Tyskland, Ungern, Italien, Nederländerna, Sverige och Förenade kungariket.