[pic] | EUROPEISKA GEMENSKAPERNAS KOMMISSION |

Bryssel den 30.3.2009

KOM(2009) 149 slutlig

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET, RÅDET, EUROPEISKA EKONOMISKA OCH SOCIALA KOMMITTÉN SAMT REGIONKOMMITTÉN om skydd av kritisk informationsinfrastruktur

"Skydd mot storskaliga it-attacker och avbrott: förbättrad beredskap, säkerhet och motståndskraft i Europa" {SEK(2009)399} {SEK(2009)400}

(FRAMLAGT AV KOMMISSIONEN)

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET, RÅDET, EUROPEISKA EKONOMISKA OCH SOCIALA KOMMITTÉN SAMT REGIONKOMMITTÉNom skydd av kritisk informationsinfrastruktur

"Skydd mot storskaliga it-attacker och avbrott: förbättrad beredskap, säkerhet och motståndskraft i Europa"

{SEK(2009)}{SEK(2009)}

MEDDELANDE FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET, RÅDET, EUROPEISKA EKONOMISKA OCH SOCIALA KOMMITTÉN SAMT REGIONKOMMITTÉN

om skydd av kritisk informationsinfrastruktur "Skydd mot storskaliga it-attacker och avbrott: förbättrad beredskap, säkerhet och motståndskraft i Europa"

1. INLEDNING

Informations- och kommunikationstekniken (IKT) blir allt närmare sammankopplad med vårt dagliga liv.

Vissa av dessa IKT-baserade system , tjänster, nätverk och infrastrukturer utgör en viktig del av EU:s ekonomi och samhälle, antingen genom att tillhandahålla nödvändiga varor och tjänster eller genom att utgöra en plattform för annan kritisk infrastruktur. De betraktas normalt som kritisk informationsinfrastruktur (CCI, critical information infrastructure)[1] eftersom det får allvarliga följder för viktiga samhällsfunktioner om de avbryts eller förstörs. Exempel från senare tid är bland annat de storskaliga it-attackerna på Estland 2007 och brotten på transkontinentala kablar 2008. Världsekonomiskt forum beräknade 2008 att det finns 10 till 20 procents risk för ett större haveri inom den kritiska informationsinfrastrukturen inom de kommande tio åren, med en potentiell global kostnad på cirka 250 miljarder US-dollar[2].

I det här meddelandet fokuserar man på förebyggande åtgärder, beredskap och medvetenhet, och lägger fram en plan för omedelbara åtgärder som ska stärka säkerheten och motståndskraften i kritisk informationsinfrastruktur. Detta stämmer överens med den debatt som inleddes på begäran av rådet och Europaparlamentet för att diskutera problem och prioriteter i politiken för nät- och informationssäkerhet och de lämpligaste instrumenten på EU-nivå för att hantera dessa problem. De föreslagna åtgärderna kompletterar även arbetet med att förebygga, bekämpa och beivra kriminella handlingar och terroristhandlingar med kritisk informationsinfrastruktur som mål, och samverkar med aktuell och framtida EU-forskning inom nät- och informationssäkerhet, liksom med internationella initiativ på området.

2. POLITISK BAKGRUND

I det här meddelandet diskuteras EU:s politik för att stärka säkerheten i och förtroendet för informationssamhället. Redan 2005 betonade kommissionen[3] det akuta behovet av samordnade åtgärder för att bygga upp berörda aktörers förtroende för elektronisk kommunikation och e-tjänster. För detta ändamål antogs 2006 en strategi för ett säkert informationssamhälle[4]. Huvuddragen, inklusive säkerhet och motståndskraft i kritisk informationsinfrastruktur, antogs genom rådets resolution 2007/068/01. De berörda aktörernas ansvarstagande och praktiska genomförande verkar dock vara otillräckligt. Strategin stärker även på en taktisk och operativ nivå Europeiska byrån för nät- och informationssäkerhet ( Enisa ). Enisa inrättades 2004 för att bidra till en hög och hållbar nät- och informationssäkerhetsnivå i gemenskapen och skapa en kultur av nät- och informationssäkerhet till gagn för privatpersoner, konsumenter, företag och administrationer.

2008 utökades Enisas mandatperiod till och med mars 2012[5]. På samma gång efterlyste rådet och Europaparlamentet en vidare diskussion om Enisas framtid och om den allmänna inriktningen för EU:s arbete för en förbättrad nät- och informationssäkerhet. Som stöd för denna debatt inledde kommissionen i november förra året ett offentligt samråd online[6], och analysen av detta kommer att bli tillgänglig inom kort.

De aktiviteter som planerats enligt detta meddelande utförs inom och parallellt med det europeiska programmet för skydd av kritisk infrastruktur (EPCIP)[7]. Ett huvudelement i EPCIP är direktivet[8] om identifiering av, och klassificering som, europeisk kritisk infrastruktur[9], där sektorn för informations- och kommunikationsteknik fastställs vara en prioriterad sektor i framtiden. Ett annat huvudelement i EPCIP är Ciwin (nätverket för varningar om hot mot kritisk infrastruktur)[10].

På lagstiftningsområdet innehåller kommissionens förslag om att reformera den rättsliga ramen för elektroniska kommunikationsnät och kommunikationstjänster[11] nya bestämmelser om säkerhet och integritet, särskilt att stärka operatörernas skyldighet att se till att lämpliga åtgärder vidtas för att hantera fastställda risker, garantera att tjänsterna tillhandahålls kontinuerligt och meddela om säkerhetsöverträdelser[12]. Denna strategi bidrar till att förbättra säkerheten och motståndskraften i kritisk informationsinfrastruktur. Europaparlamentet och rådet stöder i huvudsak dessa bestämmelser.

De åtgärder som föreslås i det här meddelandet kompletterar befintliga och framtida åtgärder inom polissamarbete och rättsligt samarbete för att förebygga, bekämpa och beivra kriminella handlingar och terroristhandlingar med infrastruktur för informations- och kommunikationsteknik som mål, vilket bland annat anges i rådets rambeslut om angrepp mot informationssystem[13] och den planerade uppdateringen av rambeslutet[14].

I detta initiativ tar man hänsyn till Natos aktiviteter inom den gemensamma politiken för it-försvar, dvs. CDMA (Cyber Defence Management Authority) och forskningscentret CCD-COE (Cooperative Cyber Defence Centre of Excellence).

Slutligen har hänsyn tagits till den internationella politiska utvecklingen, särskilt till G8-principerna om skydd av kritisk informationsinfrastruktur[15], FN:s generalförsamlings resolution 58/199 om inrättandet av en global kultur för it-säkerhet och skydd av kritisk informationsinfrastruktur och den nyligen offentliggjorda OECD-rekommendationen om skydd av kritisk informationsinfrastruktur.

3. VAD STÅR PÅ SPEL?

3.1. Den kritiska informationsinfrastrukturen är avgörande för ekonomin och samhällsutvecklingen inom EU

Sektorn och infrastrukturen för informations- och kommunikationsteknik spelar en ekonomisk och samhällelig roll som betonas i senare tids rapporter om innovation och ekonomisk tillväxt. Exempel på detta är meddelandet om halvtidsöversynen av i2010[16], Aho-gruppens rapport[17] och EU:s årliga ekonomiska rapporter[18]. OECD understryker vikten av informations- och kommunikationsteknik och Internet för att främja den ekonomiska utvecklingen och det sociala välbefinnandet och stärka samhällenas förmåga att förbättra livskvaliteten för människor i hela världen[19]. De rekommenderar även en politik som stärker förtroendet för Internet-infrastrukturen.

Sektorn för informations- och kommunikationsteknik är viktig för alla samhällssegment. Företagen förlitar sig på den, när det gäller både direktförsäljning och de interna systemens effektivitet. Den är av avgörande betydelse för innovation och bidrar med nästan 40 % av produktivitetstillväxten[20]. Informations- och kommunikationstekniken är även avgörande för den offentliga förvaltningen, där man har infört e-tjänster på alla nivåer. Man använder även nya tillämpningar, exempelvis innovativa lösningar inom hälsovård, energi och politiskt deltagande, vilket gör den offentliga sektorn starkt beroende av denna teknik. Sist men inte minst förlitar sig invånarna alltmer på informationssamhällets tjänster och använder informations- och kommunikationsteknik i sitt dagliga liv. Att stärka säkerheten i kritisk informationsinfrastruktur skulle därför leda till ett större förtroende för tekniken, inte minst tack vare ett bättre skydd av personuppgifter och personlig integritet.

3.2. Riskerna för kritisk informationsinfrastruktur

Man är ofta inte medveten om riskerna för mänskliga angrepp, naturkatastrofer eller tekniska fel, eller har inte analyserat dem i tillräcklig utsträckning. Följaktligen har aktörerna inte tillräckligt med kunskap för att kunna utforma lämpliga skydd och motåtgärder.

It-attackerna har blivit mer avancerade än någonsin. Det som tidigare var enkla experiment är nu avancerade aktiviteter som utförs av ekonomiska eller politiska orsaker. De nyligen genomförda storskaliga it-attackerna på Estland, Litauen och Georgien är de mest välkända exemplen i en allmän trend. Det stora antalet virus, maskar och andra sabotageprogram, ökningen av botnät och den växande mängden skräppost bekräftar hur allvarligt problemet är[21].

På grund av det stora beroendet av kritisk informationsinfrastruktur, dess gränsöverskridande sammankopplingar och dess beroende av annan infrastruktur liksom den sårbarhet och de hot den utsätts för, bör säkerhet och motståndskraft hanteras ur ett systemperspektiv som det främsta försvaret mot fel och angrepp.

3.3. Säkerhet och motståndskraft i kritisk informationsinfrastruktur ökar förtroendet för informationssamhället

En förutsättning för att infrastrukturen för informations- och kommunikationsteknik ska användas i maximal utsträckning så att informationssamhällets ekonomiska och sociala möjligheter fullt ut omsätts i praktiken är att alla berörda aktörer har ett stort förtroende för den. Den viktigaste faktorn i detta sammanhang är att se till att nivån på säkerheten och motståndskraften är hög. Mångfald, öppenhet, interoperabilitet, användbarhet, ansvar, möjlighet till granskning av olika komponenter och konkurrens bidrar till att driva på utvecklingen av säkerheten och stimulerar införandet av säkerhetshöjande produkter, förfaranden och tjänster. Som kommissionen redan har betonat[22] är detta ett delat ansvar. Ingen aktör kan ensam garantera säkerhet och motståndskraft i all sådan infrastruktur och bära allt ansvar som följer med det.

För att anta ett sådant ansvar krävs en riskhanteringsmetod som gör det möjligt att reagera på kända hot och förutse okända framtida hot utan att överreagera och hindra framväxten av innovativa tjänster och tillämpningar.

3.4. Utmaningarna för Europa

Som komplement till åtgärderna i samband med genomförandet av direktivet om identifiering av, och klassificering som, europeisk kritisk infrastruktur, särskilt identifieringen av sektorspecifika kriterier för informations- och kommunikationsteknik, behöver ett antal övergripande problem lösas för att stärka säkerheten och motståndskraften i den kritiska informationsinfrastrukturen.

3.4.1. Varierande nationella metoder och brist på samordning

Det finns gemensamma drag i de problem medlemsstaterna ställs inför, men trots detta har de olika åtgärder och system för säkerhet och motståndskraft i kritisk informationsinfrastruktur och en varierande nivå på expertkunskap och beredskap.

En enbart nationell strategi riskerar att skapa fragmentering och ineffektivitet inom EU. Bristen på systematiskt gränsöverskridande samarbete minskar i hög grad de inhemska motåtgärdernas effektivitet, bland annat eftersom dålig säkerhet och motståndskraft i ett land ökar sårbarheten och riskerna i andra länder på grund av den kritiska informationsinfrastrukturens sammankopplingar.

För att lösa detta problem behövs en EU-åtgärd som förstärker den nationella politiken och de nationella programmen genom att öka medvetenheten om och förståelsen för svårigheterna och därigenom främjar gemensamma politiska mål och prioriteringar, vilket stärker samarbetet mellan medlemsstaterna och integrerar deras nationella politik på europeisk och global nivå.

3.4.2. Behov av en ny europeisk styrningsmodell för kritisk informationsinfrastruktur

Om säkerheten och tillförlitligheten i kritisk informationsinfrastruktur ska förbättras innebär det att vissa frågor om styrning uppstår. Medlemsstaterna ansvarar för att utforma sin politik för kritisk informationsinfrastruktur, men politikens genomförande är beroende av insatser från den privata sektorn, som äger eller styr en stor del av den kritiska informationsinfrastrukturen. Marknaden ger dock inte alltid tillräckliga incitament för den privata sektorn att investera i skydd av kritisk informationsinfrastruktur på den nivå som normalt skulle krävas för den offentliga förvaltningen.

För att åtgärda detta styrningsproblem har offentlig-privata partnerskap växt fram som referensmodell på nationell nivå. Trots allmän enighet om att offentlig-privata partnerskap är önskvärda även på EU-nivå har några sådana hittills inte förverkligats. Med hjälp av en flerpartsram för styrning för hela EU, som kan innefatta en utökad roll för Enisa, skulle den privata sektorn delta i arbetet med att fastställa strategiska mål för den allmänna politiken liksom operativa prioriteringar och åtgärder. Denna ram skulle överbrygga klyftan mellan nationell politik och den praktiska verkligheten.

3.4.3. Begränsad europeisk kapacitet för tidig varning och incidenthantering

Styrningsmekanismerna blir verkligt effektiva endast om alla deltagare har tillförlitlig information att utgå ifrån. Detta är särskilt relevant för medlemsstaterna, som har det slutliga ansvaret för att säkra invånarnas säkerhet och välbefinnande.

Förfaranden och praxis för övervakning och rapportering av säkerhetsincidenter i nätverk skiljer sig dock åt i hög grad mellan medlemsstaterna. Vissa har ingen referensorganisation för övervakningen. Än viktigare är att samarbetet och informationsutbytet mellan medlemsstaterna om tillförlitliga och bearbetningsbara data om säkerhetsincidenter verkar vara underutvecklat, eftersom det antingen är informellt eller begränsat till bilaterala eller begränsade multilaterala utbyten. Dessutom är det strategiskt att simulera incidenter och genomföra övningar för att testa incidenthanteringen i syfte att förbättra säkerhet och motståndskraft i kritisk informationsinfrastruktur, särskilt genom att fokusera på flexibla strategier och förfaranden för hantering av oförutsägbara potentiella kriser. Inom EU är it-säkerhetsövningarna fortfarande i sin linda. Antalet övningar över nationsgränserna är mycket begränsat. Som händelser på senare tid[23] har visat är ömsesidigt stöd nödvändigt för att man ska kunna hantera hot och angrepp mot kritisk informationsinfrastruktur på ett lämpligt sätt.

Ett kraftfullt EU-system för tidig varning och incidenthantering måste bygga på välfungerande nationella/statliga organisationer för incidenthantering, dvs. ha en gemensam grundkapacitet. Dessa organisationer måste fungera som nationella katalysatorer för de berörda aktörernas intresse och kapacitet för upprätthållandet av allmän ordning (även system för informationsutbyte och varning för privatpersoner och små och medelstora företag) och delta i ett effektivt gränsöverskridande samarbete och informationsutbyte, eventuellt genom att bygga vidare på befintliga organisationer såsom ECG-gruppen (European Government CERTs group)[24].

3.4.4. Internationellt samarbete

Internet har utvecklats till en central kritisk informationsinfrastruktur, och därför krävs särskild uppmärksamhet ägnas åt dess motståndskraft och stabilitet. Det har visat sig vara en mycket robust och motståndskraftig infrastruktur tack vare sin decentraliserade och redundanta uppbyggnad. Dess stora tillväxt ledde dock till en ökande fysisk och logisk komplexitet och framväxten av nya tjänster och användningsområden. Man kan därför ifrågasätta Internets förmåga att stå emot det ökande antalet störningar och it-attacker.

Medlemsstaterna har olika åsikter om hur kritiska de olika elementen som utgör Internet är. Detta förklarar delvis varför de uttrycker olika ståndpunkter i internationella forum och varför de ofta har motstridiga uppfattningar om frågans vikt. Det här kan förhindra ett lämpligt förebyggande av, beredskap för och förmåga att återhämta sig efter hot mot Internet. Exempelvis bör även följderna av övergången från IPv4 till IPv6 analyseras avseende säkerheten i kritisk informationsinfrastruktur.

Internet är ett globalt och mycket decentraliserat nätverk som är uppbyggt av olika nätverk, med kontrollcentrum som inte nödvändigtvis följer nationsgränser. Därför behövs en specifik, riktad strategi för att säkerställa dess motståndskraft och stabilitet, baserat på två samverkande åtgärder. För det första att uppnå samförstånd om EU:s prioriteringar för Internets motståndskraft och stabilitet när det gäller den allmänna politiken och Internets drift. För det andra att skapa ett globalt engagemang för att utarbeta ett antal principer för Internets motståndskraft och stabilitet som speglar europeiska grundvärderingar, inom ramen för den strategiska dialogen och samarbetet med tredjeländer och internationella organisationer. Dessa aktiviteter skulle bygga på att världstoppmötet om informationssamhället[25] erkände den avgörande betydelsen av Internets stabilitet.

4. DEN FRAMTIDA INRIKTNINGEN: MOT MER EU-SAMORDNING OCH SAMARBETE

På grund av problemets europeiska och internationella dimension skulle en samordnad EU-strategi för att förbättra säkerheten och motståndskraften i kritisk informationsinfrastruktur komplettera och stärka nationella program liksom befintliga bilaterala och multilaterala samarbeten mellan medlemsstater.

Diskussioner om den allmänna politiken i efterdyningarna av händelserna i Estland antyder att effekterna av liknande angrepp kan begränsas genom förebyggande och samordnade åtgärder under själva krisen. Ett mer strukturerat informationsutbyte och god praxis i hela EU skulle kunna underlätta bekämpningen av gränsöverskridande hot.

Det är nödvändigt att stärka de befintliga instrumenten för samarbete, inklusive Enisa, och vid behov skapa nya verktyg. Det behövs även en flerparts- och flernivåstrategi på EU-nivå, som fullt ut respekterar och är ett komplement till det nationella ansvaret.

En god förståelse för förhållanden och begränsningar krävs. Till exempel är decentraliseringen av Internet ett problem, med knutpunkter som kan användas för att sprida angrepp såsom botnät. Decentraliseringen är emellertid en viktig faktor för stabilitet och motståndskraft och kan ge en snabbare återhämtning än vad som skulle vara fallet vid starkt formaliserade toppstyrda processer. Därför krävs en försiktig analys av vilken allmän politik och vilka operativa lösningar som behövs i varje enskilt fall.

Tidsperspektivet är också viktigt. Det finns ett tydligt behov av att agera nu och snabbt utforma en ram som gör det möjligt att åtgärda aktuella problem och som bygger upp den framtida strategin för nät- och informationssäkerhet.

Fem åtgärder föreslås för att hantera dessa frågor:

1. Beredskap och insatser: så att det finns beredskap på alla nivåer.

2. Upptäckt och insatser: så att det finns ändamålsenliga system för tidig varning.

3. Begränsning av verkningar och återställning: för att stärka EU:s försvarsmekanismer för kritisk informationsinfrastruktur:

4. Internationellt samarbete: för att främja EU:s prioriteter internationellt.

5. Kriterier för sektorn för informations- och kommunikationsteknik: att stödja genomförandet av direktivet om identifiering av, och klassificering som, europeisk kritisk infrastruktur[26].

5. HANDLINGSPLANEN

5.1. Beredskap och insatser

Grundläggande kapacitet och tjänster för ett europeiskt samarbete . Kommissionen uppmanar medlemsstaterna och de berörda aktörerna att göra följande:

- Med stöd av Enisa fastställa en miniminivå för kapacitet och tjänster för nationella/statliga organisationer för incidenthantering som kan delta i EU-samarbetet.

- Se till att nationella/statliga organisationer för incidenthantering fungerar som huvudaktörer för den nationella kapaciteten för beredskap, informationsutbyte, samordning och insatser.

Mål: Slutet av 2010 för överenskommelsen om minimistandarder. Slutet av 2011 för fastställandet av välfungerande nationella/statliga organisationer för incidenthantering i alla medlemsstater.

Europeiskt offentligt-privat partnerskap för motståndskraft. Kommissionen ska

- främja samarbetet mellan den allmänna och den privata sektorn om målen för säkerhet och motståndskraft, grundläggande krav, god politisk praxis och åtgärder. Partnerskapet skulle primärt fokusera på EU-dimensionen från ett strategiskt (t.ex. god politisk praxis) och taktiskt/operativt (t.ex. industriell användning) perspektiv. Partnerskapet bör bygga på och komplettera befintliga nationella initiativ och Enisas operativa verksamhet.

Mål: Slutet av 2009 för en färdplan och plan för partnerskapet. Mitten av 2010 för inrättandet av partnerskapet. Slutet av 2010 för de första resultaten från partnerskapet.

Europeiskt forum för informationsutbyte mellan medlemsstaterna. Kommissionen ska

- inrätta ett EU-forum där medlemsstaterna kan utbyta information och god politisk praxis om säkerhet och motståndskraft i kritisk informationsinfrastruktur. Där skulle man ha nytta av resultaten av andra organisationers aktiviteter, i synnerhet Enisa.

Mål: Slutet av 2009 för inrättandet av forumet. Slutet av 2010 för de första resultaten.

5.2. Upptäckt och insatser

EU-system för informationsutbyte och varning (Eisas). Kommissionen stöder

utarbetande och införandet av Eisas så att det blir tillgängligt för privatpersoner och små och medelstora företag, baserat på nationella och privata system för informationsutbyte och varning. Kommissionen ger ekonomiskt stöd till två kompletterande prototypprojekt[27]. Enisa uppmanas att bedöma resultaten av dessa projekt och andra nationella initiativ, och utarbeta en färdplan för vidare utveckling och utnyttjande av Eisas.

Mål: Slutet av 2010 för att slutföra prototypprojekten. Slutet av 2010 för färdplanen för ett EU-system.

5.3. Begränsning av verkningar och återställning

Nationell beredskapsplanering och övningar. Kommissionen uppmanar medlemsstaterna att

- utarbeta nationella beredskapsplaner och ordna regelbundna övningar för insatser och katastrofåterställning efter storskaliga säkerhetsincidenter i nätverk, som ett steg mot närmare europeisk samordning. Nationella/statliga organisationer för incidenthantering kan få i uppdrag att leda övningar och tester av nationell beredskapsplanering, med hjälp av berörda aktörer från den privata och offentliga sektorn. Man uppmanar Enisa att stödja utbytet av god praxis mellan medlemsstaterna.

Mål: Slutet av 2010 för minst en nationell övning i varje medlemsstat.

EU-omfattande övningar i storskaliga säkerhetsincidenter i nätverk. Kommissionen ska

- ekonomiskt stödja utvecklingen av EU-omfattande övningar i Internet-säkerhetsincidenter, vilket även kan utgöra en plattform för EU-deltagande i internationella övningar i säkerhetsincidenter i nätverk[28], exempelvis US Cyber Storm.

Mål: Slutet av 2010 för utformning och genomförande av den första EU-övningen. Slutet av 2010 för EU-deltagande i internationella övningar.

Förstärkt samarbete mellan nationella/statliga organisationer för incidenthantering. Kommissionen uppmanar medlemsstaterna att

- stärka samarbetet mellan nationella/statliga organisationerna för incidenthantering, även genom att bygga vidare på och utöka de befintliga samarbetsmekanismerna såsom EGC[29]. Enisa bör inta en aktiv roll och stimulera och stödja EU-samarbete mellan nationella/statliga organisationer för incidenthantering som bör leda till bättre beredskap. Stärka EU:s kapacitet att reagera på och hantera incidenter. Genomföra EU-omfattande (och/eller regionala) övningar.

Mål: Slutet av 2010 för att fördubbla antalet nationella organ som deltar i ECG. Slutet av 2010 för att Enisa ska utveckla referensmaterial som stöd för EU-samarbete.

5.4. Internationellt samarbete

Internets motståndskraft och stabilitet . Tre kompletterande aktiviteter förutses:

- EU-prioriteter om Internets långsiktiga motståndskraft och stabilitet . Kommissionen kommer att driva en debatt inom EU med deltagande av alla berörda offentliga och privata aktörer för att fastställa EU:s prioriteter för Internets långsiktiga motståndskraft och stabilitet.

Mål: Slutet av 2010 för EU-prioriteter om kritiska Internet-komponenter och problem.

- Principer och riktlinjer för Internets motståndskraft och stabilitet (EU-nivå) . Kommissionen kommer att samarbeta med medlemsstaterna för att fastställa riktlinjer för Internets motståndskraft och stabilitet genom att bland annat fokusera på regionala återställningsåtgärder, avtal om ömsesidig assistans, samordnade strategier för återställning och kontinuitet, geografisk spridning av kritiska Internet-resurser, tekniskt skydd i arkitektur och Internet-protokoll, replikation och diversifierade tjänster och data. Kommissionen finansierar redan en arbetsgrupp för DNS-stabilitet som, tillsammans med andra relevanta projekt kommer att skapa samsyn[30].

Mål: Slutet av 2009 för en EU-färdplan mot principer och riktlinjer för Internets motståndskraft och stabilitet. Slutet av 2010 för att komma överens om det första utkastet till sådana principer och riktlinjer.

- Principer och riktlinjer för Internets motståndskraft och stabilitet (globalt) . Kommissionen kommer att samarbeta med medlemsstaterna om en färdplan för att främja principer och riktlinjer på global nivå. Det strategiska samarbetet med tredjeländer kommer att utvecklas, särskilt genom dialoger om informationssamhället, som ett medel för att skapa globalt samförstånd[31].

Mål: Början av 2010 för en färdplan för internationellt samarbete om principer och riktlinjer för säkerhet och motståndskraft. Slutet av 2010 för det första utkastet till internationellt erkända principer och riktlinjer att diskutera med tredje länder och i relevanta forum, inklusive forumet för förvaltning av Internet.

Globala övningar om återställning och begränsning av verkningarna av storskaliga Internet-incidenter. Kommissionen uppmanar de berörda europeiska aktörerna att

- överväga ett praktiskt tillvägagångssätt för att utvidga övningarna som utförs under åtgärden för begränsning av verkningar och återställning till global nivå genom att bygga vidare på regionala beredskapsplaner och regional kapacitet.

Mål: Slutet av 2010 för kommissionens förslag om en ram och en färdplan som stöder EU:s deltagande i globala övningar i återställning och begränsning av storskaliga Internet-incidenter.

5.5. Kriterier för europeisk kritisk infrastruktur inom sektorn för informations- och kommunikationsteknik

Specifika kriterier för sektorn för informations- och kommunikationsteknik . Genom att bygga på den inledande verksamhet som genomfördes 2008 ska kommissionen

- fortsätta att i samarbete med medlemsstaterna och alla relevanta berörda aktörer utveckla kriterierna för att fastställa kritiska infrastrukturer för den sektorn inom EU. För detta ändamål kommer relevant information att hämtas från en specifik undersökning som inleds inom kort[32].

Mål: första halvåret 2010 för kommissionens fastställande av kriterierna för att fastställa kritiska infrastrukturer för den europeiska sektorn för informations- och kommunikationsteknik.

6. SLUTSATSER

Säkerhet och motståndskraft i kritisk informationsinfrastruktur är den främsta försvarslinjen mot fel och angrepp. Det är nödvändigt att detta förbättras i hela EU om man fullt ut ska kunna utnyttja fördelarna med informationssamhället. För att uppnå detta ambitiösa mål föreslås en handlingsplan för att stärka det taktiska och operativa samarbetet på EU-nivå. Dessa åtgärders framgång beror på deras effektivitet när det gäller att bygga på och främja aktiviteter i den offentliga och privata sektorn, och på engagemang och deltagande av medlemsstater, EU-institutioner och berörda aktörer.

I detta syfte kommer en ministerkonferens att hållas den 27–28 april 2009 för att diskutera de föreslagna initiativen med medlemsstaterna och markera deras engagemang i debatten om en moderniserad och förstärkt politik för nät- och informationssäkerhet i Europa.

Slutligen är det ett långsiktigt mål att förbättra säkerheten och motståndskraften i kritisk informationsinfrastruktur, och strategin och åtgärderna för detta kräver regelbundna utvärderingar. Eftersom detta mål stämmer överens med den allmänna debatten om den framtida politiken för nät- och informationssäkerhet inom EU efter 2012, kommer kommissionen att inleda en inventering mot slutet av 2010 för att utvärdera den första åtgärdsfasen och efter behov fastställa och föreslå ytterligare åtgärder.

[1] En definition av kritisk informationsinfrastruktur (CII) föreslogs i KOM(2005) 576 slutlig

[2] Global Risks 2008.

[3] KOM(2005) 229.

[4] KOM(2006) 251.

[5] Förordning (EG) nr 1007/2008.

[6] http://ec.europa.eu/information_society/newsroom/cf/itemlongdetail.cfm?item_id=4464

[7] KOM(2006) 786 slutlig.

[8] 2008/114/EG.

[9] http://www.consilium.europa.eu/ueDocs/cms_Data/docs/pressData/en/gena/104617.pdf

[10] KOM(2008) 676 slutlig.

[11] KOM(2007) 697, KOM(2007) 698, KOM(2007) 699.

[12] Artikel 13 i ramdirektivet.

[13] 2005/222/RIF.

[14] KOM(2008) 712.

[15] http://www.usdoj.gov/criminal/cybercrime/g82004/G8_CIIP_Principles.pdf

[16] KOM(2008) 199 slutlig.

[17] http://ec.europa.eu/invest-in-research/action/2006_ahogroup_en.htm

[18] EU Economy 2007 Review http://ec.europa.eu/economy_finance/publications/publication10130_en.pdf

[19] http://www.oecd.org/dataoecd/1/29/40821707.pdf

[20] http://epp.eurostat.ec.europa.eu/ – Science and Technology – Information Society.

[21] KOM(2006) 688 slutlig.

[22] KOM(2006) 251 slutlig.

[23] http://ec.europa.eu/information_society/policy/nis/strategy/activities/ciip/large_scale/

[24] http://www.egc-group.org/

[25] Tunisagendan för informationssamhället, http://www.itu.int/wsis/docs2/tunis/off/6rev1.html

[26] Rådets direktiv 2008/114/EG.

[27] Inom EG-programmet ”Förebyggande, beredskap och konsekvenshantering när det gäller terrorism och andra säkerhetsrelaterade risker” http://ec.europa.eu/justice_home/funding/cips/funding_cips_en.htm

[28] Se fotnot 27.

[29] Se fotnot 24.

[30] Se fotnot 27.

[31] KOM(2008) 588 slutlig.

[32] Se fotnot 27.