CELEX: 32019H0553
Language: bg
Date: 2019-04-03 00:00:00
Title: Препоръка (ЕС) 2019/553 на Комисията от 3 април 2019 година относно киберсигурността в енергийния сектор (нотифицирано под номер С(2019) 2400)

5.4.2019   
            
            
               BG
            
            
               Официален вестник на Европейския съюз
            
            
               L 96/50
            
         
      ПРЕПОРЪКА (ЕС) 2019/553 НА КОМИСИЯТА
      от 3 април 2019 година
      относно киберсигурността в енергийния сектор
      
         
            (нотифицирано под номер С(2019) 2400)
         
      
      ЕВРОПЕЙСКАТА КОМИСИЯ,
      като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 292 от него,
      като има предвид, че:
      
                  (1)
               
               
                  Европейският енергиен сектор преминава през важна промяна в посока на декарбонизация на икономиката, като в същото време се гарантира сигурността на доставките и конкурентоспособността. Технологичният напредък, свързването на сектори и цифровизацията, като част от този енергиен преход и свързаната с него децентрализация на производството на електроенергия от възобновяеми източници, превръщат енергийната мрежа на Европа в една „интелигентна мрежа“. Същевременно това е свързано с нови рискове, тъй като цифровизацията във все по-голяма степен излага енергийната система на кибератаки и инциденти, които могат да застрашат сигурността на енергийните доставки.
               
            
                  (2)
               
               
                  Приемането на всичките осем законодателни предложения (1) от пакета „Чиста енергия за всички европейци“, включително по управлението на Енергийния съюз като важна стъпка, позволява да се създаде благоприятна среда за цифровата трансформация на енергийния сектор. То също така потвърждава значението на киберсигурността в енергийния сектор. По-специално в преработения текст на Регламента относно вътрешния пазар на електроенергия (2) е предвидено приемането на технически правила за електроенергията, като например мрежови кодекс относно специфични за сектора правила за киберсигурност на трансграничните потоци на електроенергия и относно общи минимални изисквания, планиране, мониторинг, докладване и управление на кризи. Регламентът за готовност за справяне с рискове в електроенергийния сектор (3) като цяло следва подхода, който е избран в Регламента за сигурността на доставките на газ (4), подчертава необходимостта от надлежна оценка на всички рискове, включително свързаните с киберсигурността, и предлага приемането на мерки за предотвратяване и смекчаване на установените рискове.
               
            
                  (3)
               
               
                  Когато Комисията прие стратегията на ЕС за киберсигурност (5) през 2013 г., тя набеляза като приоритет укрепването на устойчивостта на киберпространството в Съюза. Един от основните резултати от стратегията е Директивата относно сигурността на мрежите и информационните системи (6) (наричана по-долу „Директивата за МИС“), която беше приета през юли 2016 г. Директивата за МИС е първият хоризонтален законодателен акт на ЕС в областта на киберсигурността и с нея се повишава общото ниво на киберсигурността в Съюза чрез разработването на национален капацитет за киберсигурност, засилването на сътрудничеството на ниво ЕС и въвеждането на задължения за докладване на свързаните със сигурността инциденти от страна на дружества, наричани „оператори на основни услуги“. Докладването на инциденти е задължително в основните сектори, включително в енергийния.
               
            
                  (4)
               
               
                  Когато прилагат мерки за готовност във връзка с киберсигурността, съответните заинтересовани страни, включително операторите на основни услуги в енергетиката, както са определени в Директивата за МИС, следва да вземат предвид хоризонталните насоки, издадени от групата за сътрудничество за МИС, създадена по член 11 от Директивата за МИС. Тази група за сътрудничество, която включва представители от държавите членки, Европейската агенция за киберсигурност (наричана по-долу „ENISA“) и Комисията, прие насоки относно мерките за сигурност и уведомленията за инциденти. През юни 2018 г. в рамките на тази група беше създадено специално работно направление за областта на енергетиката.
               
            
                  (5)
               
               
                  В Съвместното съобщение относно киберсигурността от 2017 г. (7) се потвърждава значението на специфичните за отделните сектори аспекти и изисквания на ниво ЕС, включително за енергийния сектор. Киберсигурността и възможните последици за политиката бяха предмет на многостранно обсъждане в Съюза през последните години. Вследствие на това днес все повече се приема, че отделните икономически сектори се сблъскват със специфични проблеми, свързани с киберсигурността, и поради това те трябва да разработят свои собствени секторни подходи в по-широкия контекст на общите стратегии за киберсигурност.
               
            
                  (6)
               
               
                  Обменът на информация и доверието са ключови аспекти в киберсигурността. Целта на Комисията е да се засили обменът на информация между съответните заинтересовани страни, като се организират целеви мероприятия, например кръглата маса на високо равнище по въпросите на киберсигурността, организирана в Рим през март 2017 г., и конференцията на високо равнище по въпросите на киберсигурността в енергийния сектор в Брюксел през октомври 2018 г. Комисията би желала също така да засили сътрудничеството между съответните заинтересовани страни и специализирани икономически субекти като Европейския център за обмен и анализ на информация в енергетиката.
               
            
                  (7)
               
               
                  Регламентът относно ENISA — Агенцията на ЕС за киберсигурност, както и относно сертифицирането на киберсигурността на информационните и комуникационните технологии („Регламент относно киберсигурността“) (8) ще утвърди мандата на Агенцията на ЕС за киберсигурност с цел оказване на по-добра подкрепа на държавите членки в борбата срещу киберзаплахите и кибератаките. С него се създава също така европейска рамка за киберсигурност при сертифицирането на продукти, процеси и услуги, която да важи за целия ЕС и която е от особено значение за енергийния сектор.
               
            
                  (8)
               
               
                  Комисията представи препоръка (9) за отстраняване на рисковете за киберсигурността в мрежовите технологии от пето поколение (5G), чрез определяне на насоки за адекватен анализ на риска и мерки за управление на национално равнище, за разработване на европейски координиран анализ на риска и за установяване на процес за разработване на общ инструментариум от най-добрите мерки за управление на риска. След разгръщането им 5G мрежите ще образуват транспортния гръбнак на широк спектър от услуги, които са от съществено значение за функционирането на вътрешния пазар и на жизненоважни социални и икономически функции, като например енергетиката.
               
            
                  (9)
               
               
                  Настоящата препоръка следва да предостави необвързващи насоки на държавите членки и съответните заинтересовани страни, по-специално на мрежовите оператори и доставчиците на технологии, за постигане на по-високо ниво на киберсигурност в енергийния сектор предвид отправяните към него специфични изисквания, свързани с работата в реално време, каскадните ефекти и съчетаването на заварени и най-съвременни технологии. Целта е настоящите насоки да бъдат от полза за заинтересованите страни при съблюдаването на тези специфични изисквания към енергийния сектор, когато прилагат международно признати стандарти за киберсигурност (10).
               
            
                  (10)
               
               
                  Комисията предвижда редовно да преразглежда настоящата препоръка въз основа на постигнатия в Съюза напредък и в консултация с държавите членки и съответните заинтересовани страни. Комисията ще продължи своите усилия за укрепване на киберсигурността в енергийния сектор и по-специално чрез групата за сътрудничество за МИС, която осигурява стратегическо сътрудничество и обмен на информация между държавите членки в областта на киберсигурността,
               
            ПРИЕ НАСТОЯЩАТА ПРЕПОРЪКА:
      
         ПРЕДМЕТ
      
      
               
                  1)
               
               
                  В настоящата препоръка се набелязват основните проблемни области за киберсигурността в енергийния сектор, тоест изискванията за работа в реално време, каскадните ефекти и съчетаването на заварени и най-съвременни технологии, както и основните действия за прилагане на съответните мерки за готовност, които се отнасят до киберсигурността в енергийния сектор.
               
            
               
                  2)
               
               
                  Когато прилагат настоящата препоръка, държавите членки следва да насърчават съответните заинтересовани страни да натрупват знания и умения, свързани с киберсигурността в енергийния сектор. Когато е целесъобразно, държавите членки следва да включват също така тези аспекти в своята национална мрежа за киберсигурност, по-специално чрез стратегии, закони, разпоредби и други административни актове.
               
            
         ИЗИСКВАНИЯ ЗА РАБОТА В РЕАЛНО ВРЕМЕ НА КОМПОНЕНТИТЕ НА ЕНЕРГИЙНАТА ИНФРАСТРУКТУРА
      
      
               
                  3)
               
               
                  Държавите членки следва да гарантират, че съответните заинтересовани страни, и по-специално операторите на енергийната мрежа и доставчиците на технологии, особено операторите на основни услуги, определени в съответствие с Директивата за МИС, прилагат подходящите мерки за готовност, свързани с киберсигурността и с изискванията за работа в реално време в енергийния сектор. Някои елементи от енергийната система трябва да работят в „реално време“, тоест да реагират на команди в рамките на няколко милисекунди, което прави въвеждането на мерки за киберсигурност трудно или дори невъзможно поради липсата на време.
               
            
               
                  4)
               
               
                  По-специално операторите на енергийната мрежа следва:
                  
                              а)
                           
                           
                              да прилагат последните стандарти за сигурност за нови инсталации, винаги когато това е подходящо, и да обмислят въвеждането на допълнителни физически мерки за сигурност, когато монтираната материална база от стари инсталации не може да бъде защитена в достатъчна степен със средствата за киберсигурност;
                           
                        
                              б)
                           
                           
                              да прилагат международни стандарти за киберсигурност и подходящи специфични технически стандарти за сигурна комуникация в реално време, непосредствено след като съответните продукти излизат на пазара;
                           
                        
                              в)
                           
                           
                              да имат предвид ограниченията за работа в реално време в цялостната концепция за сигурност на активите, и по-специално при класифицирането на активите;
                           
                        
                              г)
                           
                           
                              да имат предвид частните мрежи за системи за защита от разстояние с цел гарантиране на нивото на качество в обслужването, което се изисква предвид ограниченията за работа в реално време. Когато се използват публични комуникационни мрежи, операторите следва да преценяват възможността за осигуряване на специално разпределяне на честотните ленти, изискванията относно забавянето, както и мерките за сигурност на комуникациите;
                           
                        
                              д)
                           
                           
                              да разделят цялостната система на логически зони, а в рамките на всяка зона да дефинират времеви и технологични ограничения, за да се позволи прилагането на подходящи мерки за киберсигурност или да се разгледат алтернативни методи на защита.
                           
                        
            
               
                  5)
               
               
                  Операторите на енергийната мрежа следва също така в рамките на наличното:
                  
                              а)
                           
                           
                              да изберат сигурен протокол за комуникация, като вземат предвид изискванията за работа в реално време, например между дадена инсталация и нейните системи за управление (система за енергийно управление — СЕУ/система за управление на разпределението — СУР);
                           
                        
                              б)
                           
                           
                              да въведат подходящ механизъм на удостоверяване за комуникацията между машини, за да бъдат изпълнени изискванията за работа в реално време.
                           
                        
            
         КАСКАДНИ ЕФЕКТИ
      
      
               
                  6)
               
               
                  Държавите членки следва да гарантират, че съответните заинтересовани страни, тоест операторите на енергийната мрежа и доставчиците на технологии, и по-специално операторите на основни услуги, определени в съответствие с Директивата за МИС, прилагат подходящите мерки за готовност в областта на киберсигурността, които се отнасят до каскадните ефекти в енергийния сектор. Електроенергийните мрежи и газопроводите са силно взаимосвързани в цяла Европа и една кибератака, причиняваща изключване или прекъсване в част от енергийната система, може да задейства широкомащабни каскадни ефекти в други части на системата.
               
            
               
                  7)
               
               
                  Когато прилагат настоящата препоръка, държавите членки следва да оценяват взаимозависимостите и изключителната важност на производството на енергия, както и системите на гъвкаво търсене, подстанциите и линиите за пренос и разпространение и свързаните с тях засегнати страни (включително трансгранични ситуации) в случай на успешна кибератака или инцидент, свързан с киберсигурността. Държавите членки следва да гарантират също така, че операторите на енергийната мрежа разполагат с установена схема за обмен на информация с всички ключови заинтересовани страни за предаване на ранни предупредителни сигнали и за сътрудничество в управлението на кризи. Следва да има структурирани комуникационни канали и съгласувани формати, за да се обменя чувствителна информация с всички съответни заинтересовани страни, екипите за реагиране при инциденти с компютърната сигурност и съответните органи.
               
            
               
                  8)
               
               
                  По-специално операторите на енергийната мрежа следва:
                  
                              а)
                           
                           
                              да гарантират, че новите устройства, включително устройствата от типа „интернет на предметите“, притежават и ще поддържат ниво на киберсигурност, което съответства на важността на обекта;
                           
                        
                              б)
                           
                           
                              да вземат предвид по подходящ начин виртуалните и физическите ефекти, когато въвеждат и периодично преразглеждат плановете за непрекъснатост на дейността;
                           
                        
                              в)
                           
                           
                              да установят критериите за проектиране и за архитектурата за една устойчива мрежа чрез:
                              
                                          —
                                       
                                       
                                          въвеждане на персонализирани мерки за защита по обекти, специално съобразени със значението на всеки обект,
                                       
                                    
                                          —
                                       
                                       
                                          набелязване на възлите от критично значение както от гледна точка на капацитета за производство на електроенергия, така и на въздействието върху клиентите. Ключовите функции на една мрежа следва да се проектират с оглед на ограничаването на риска от каскадни ефекти и като се отделя нужното внимание на резервирането, устойчивостта спрямо колебанията на фазата и защитите срещу каскадно прекъсване вследствие претоварване;
                                       
                                    
                                          —
                                       
                                       
                                          сътрудничество с други оператори от значение и с доставчици на технологии с цел предотвратяване на каскадните ефекти чрез прилагане на подходящи мерки и услуги;
                                       
                                    
                                          —
                                       
                                       
                                          проектиране и изграждане на комуникационни и контролни мрежи с оглед на ограничаване на ефектите от физически и логически сривове в ограничени части на мрежите и осигуряване на подходящи и бързи мерки за смекчаване на последиците.
                                       
                                    
                        
            
         ЗАВАРЕНИ И НАЙ-СЪВРЕМЕННИ ТЕХНОЛОГИИ
      
      
               
                  9)
               
               
                  Държавите членки следва да гарантират, че съответните заинтересовани страни, тоест операторите на енергийната мрежа и доставчиците на технологии, и по-специално операторите на основни услуги, определени в съответствие с Директивата за МИС, прилагат подходящите мерки за готовност в областта на киберсигурността при съчетаването на заварени и най-съвременни технологии в енергийния сектор. В съвременната енергийна система съществуват съвместно два различни типа технологии: по-старите технологии с жизнен цикъл от 30 до 60 години, проектирани преди появата на фактора „киберсигурност“, и съвременното оборудване, в което намират отражение съвременната цифровизация и интелигентните устройства.
               
            
               
                  10)
               
               
                  При прилагането на настоящата препоръка, държавите членки следва да насърчават операторите на енергийната мрежа и доставчиците на технологии да спазват съответните международно приети стандарти за киберсигурност, в рамките на възможното. В същото време заинтересованите страни и ползвателите следва да прилагат подход, който отчита аспектите на киберсигурността при свързването на устройства към мрежата.
               
            
               
                  11)
               
               
                  По-специално доставчиците на технологии следва безплатно да осигуряват изпитани решения на проблемите със сигурността при заварените или новите технологии и то веднага, след като се установи проблем със сигурността.
               
            
               
                  12)
               
               
                  По-специално операторите на енергийната мрежа следва:
                  
                              а)
                           
                           
                              да анализират рисковете от ползването на заварени технологии в проекти, които използват концепцията „интернет на предметите“ и да отделят специално внимание на вътрешните и външните интерфейси и техните уязвими страни;
                           
                        
                              б)
                           
                           
                              да предприемат подходящи мерки срещу зловредни атаки, произтичащи от голям брой зловредно контролирани потребителски устройства или приложения;
                           
                        
                              в)
                           
                           
                              да създадат автоматизирана функция за мониторинг и анализ на случаи, в които сигурността е поставена под въпрос, в среда със заварени технологии и в среда, използваща „интернет на предметите“, като например неуспешни опити за влизане в системата, сигнализации за отварянето на контролни табла или други случаи;
                           
                        
                              г)
                           
                           
                              да извършват редовно специален анализ на риска за киберсигурността на всички заварени инсталации, и по-специално когато се съчетават стари и нови технологии. Тъй като заварените инсталации често представляват много голям брой активи, анализът на риска може да се извършва по класове активи;
                           
                        
                              д)
                           
                           
                              да актуализират старите версии на софтуера и хардуера и системите, използващи „интернет на предметите“, до най-новата версия, когато е подходящо. Така операторите на енергийната мрежа следва да обмислят въвеждането на допълнителни мерки като отделяне на системи или добавяне на външни бариери за сигурност, когато въвеждането на софтуерни корекции или актуализации би било подходящо, но е невъзможно, например при неподдържани продукти;
                           
                        
                              е)
                           
                           
                              да изготвят тръжна документация, отчитайки аспектите на киберсигурността, тоест да изискват информация относно характеристиките за сигурност, да се придържат към съществуващите стандарти за киберсигурност, да гарантират непрекъснато сигнализиране, софтуерни корекции и предложения за ограничаване на последиците, ако бъдат установени уязвимости, както и да поясняват отговорността на търговците в случай на кибератаки или инциденти;
                           
                        
                              ж)
                           
                           
                              да си сътрудничат с доставчиците на технологии по подмяната на заварените системи, когато това е полезно от съображения за сигурност, но като вземат предвид критично важните функционални възможности на системата.
                           
                        
            
         НАБЛЮДЕНИЕ
      
      
               
                  13)
               
               
                  В рамките на дванайсет месеца след приемането на настоящата препоръка и на всеки две години след това държавите членки следва да предоставят на Комисията подробна информация относно изпълнението на настоящата препоръка чрез групата за сътрудничество за МИС.
               
            
         ПРЕГЛЕД
      
      
               
                  14)
               
               
                  На база на информацията, предоставена от държавите членки, Комисията ще извърши преглед на прилагането на настоящата препоръка и ще прецени дали е целесъобразно да бъдат приети допълнителни мерки след консултация с държавите членки и съответните заинтересовани страни.
               
            
         АДРЕСАТИ
      
      
               
                  15)
               
               
                  Адресати на настоящата препоръка са държавите членки.
               
            
         Съставено в Брюксел на 3 април 2019 година.
         
            
               За Комисията
            
            Miguel ARIAS CAÑETE
            
               Член на Комисията
            
         
      
      
         (1)  Директива (ЕС) 2018/2001 на Европейския парламент и на Съвета от 11 декември 2018 година за насърчаване използването на енергия от възобновяеми източници (ОВ L 328, 21.12.2018 г., стр. 82); Директива (ЕС) 2018/2002 на Европейския парламент и на Съвета от 11 декември 2018 година за изменение на Директива 2012/27/ЕС относно енергийната ефективност (ОВ L 328, 21.12.2018 г., стр. 210); Регламент (ЕС) 2018/1999 на Европейския парламент и на Съвета от 11 декември 2018 г. относно управлението на Енергийния съюз и на действията в областта на климата, за изменение на регламенти (ЕО) № 663/2009 и (ЕО) № 715/2009 на Европейския парламент и на Съвета, директиви 94/22/ЕО, 98/70/ЕО, 2009/31/ЕО, 2009/73/ЕО, 2010/31/ЕС, 2012/27/ЕС и 2013/30/ЕС на Европейския парламент и на Съвета, директиви 2009/119/ЕО и (ЕС) 2015/652 на Съвета и за отмяна на Регламент (ЕС) № 525/2013 на Европейския парламент и на Съвета (ОВ L 328, 21.12.2018 г., стр. 1); Директива (ЕС) 2018/844 на Европейския парламент и на Съвета от 30 май 2018 година за изменение на Директива 2010/31/ЕС относно енергийните характеристики на сградите и Директива 2012/27/ЕС относно енергийната ефективност (ОВ L 156, 19.6.2018 г., стр. 75). На пленарната сесия през март 2019 г. Европейският парламент потвърди постигнатите със Съвета политически споразумения по предложенията за структурата на пазара на електроенергия (Регламент за готовност за справяне с рискове, Регламент относно Агенцията за сътрудничество между регулаторите на енергия (ACER), Директива за електроенергията и Регламент за електроенергията). Очаква се Съветът да ги приеме официално през април, а правният текст да бъде публикуван в ОВ скоро след това.
      
         (2)  COM(2016) 861 final
      
         (3)  COM(2016) 861 final
      
         (4)  Регламент (ЕС) 2017/1938 на Европейския парламент и на Съвета от 25 октомври 2017 година относно мерките за гарантиране на сигурността на доставките на газ и за отмяна на Регламент (ЕС) № 994/2010 (ОВ L 280, 28.10.2017 г., стр. 1).
      
         (5)  JOIN(2013) 1.
      
         (6)  Директива (ЕС) 2016/1148 на Европейския парламент и на Съвета от 6 юли 2016 г. относно мерки за високо общо ниво на сигурност на мрежите и информационните системи в Съюза (ОВ L 194, 19.7.2016 г., стр. 1).
      
         (7)  JOIN(2017) 450.
      
         (8)  Актът за киберсигурността беше приет от Европейския парламент през март 2019 г. Очаква се Съветът да го приеме официално през април, а правният текст да бъде публикуван в ОВ скоро след това.
      
         (9)  C(2019) 2335
      
         (10)  Международни организации по стандартизация са публикували разнообразни стандарти в областта на киберсигурността (ISO/IEC 27000 Информационни технологии.) и управлението на риска (ISO/IEC 31000 Управление на риска. Принципи и указания.). Специален стандарт за енергийния сектор (ISO/IEC 27019: Управление на сигурността на информацията в енергийния сектор) беше издаден в рамките на поредицата ISO/IEC 27000 през октомври 2017 г.