Ny EU-strategi för cybersäkerhet och nya regler för att göra fysiska och digitala kritiska enheter mer motståndskraftiga

Idag (16 december) presenterar kommissionen och unionens höga representant för utrikesfrågor och säkerhetspolitik en ny EU-strategi för it-säkerhet. Som en nyckelkomponent i Shaping Europe's Digital Future, Återhämtningsplanen för Europa och EU:s säkerhetsunionsstrategi kommer strategin att stärka Europas kollektiva motståndskraft mot cyberhot och bidra till att säkerställa att alla medborgare och företag kan dra full nytta av pålitliga och pålitliga tjänster och digitala verktyg. Oavsett om det är de anslutna enheterna, elnätet eller de banker, flygplan, offentliga förvaltningar och sjukhus som européer använder eller ofta, förtjänar de att göra det med försäkran om att de kommer att skyddas från cyberhot.

Den nya cybersäkerhetsstrategin gör det också möjligt för EU att öka ledarskapet för internationella normer och standarder i cyberrymden, och att stärka samarbetet med partners runt om i världen för att främja ett globalt, öppet, stabilt och säkert cyberrymden, grundat på rättsstatsprincipen, mänskliga rättigheter, grundläggande friheter och demokratiska värden. Vidare lägger kommissionen förslag för att ta itu med både cyber och fysisk motståndskraft hos kritiska enheter och nätverk: ett direktiv om åtgärder för en hög gemensam nivå av cybersäkerhet i hela unionen (reviderat NIS-direktivet eller "NIS 2") och ett nytt direktiv om motståndskraften hos kritiska enheter.

De täcker ett brett spektrum av sektorer och syftar till att hantera nuvarande och framtida online- och offlinerisker, från cyberattacker till brott eller naturkatastrofer, på ett sammanhängande och kompletterande sätt. Förtroende och säkerhet i hjärtat av EU:s digitala decennium Den nya cybersäkerhetsstrategin syftar till att skydda ett globalt och öppet internet, samtidigt som det erbjuder skydd, inte bara för att garantera säkerhet utan också för att skydda europeiska värderingar och allas grundläggande rättigheter.

Den bygger på de senaste månadernas och årens framgångar och innehåller konkreta förslag till lagstiftnings-, investerings- och politiska initiativ inom tre områden av EU:s åtgärder: 1. Resiliens, teknisk suveränitet och ledarskap
Inom denna del av åtgärden föreslår kommissionen att reglerna för säkerheten för nätverk och informationssystem reformeras, enligt ett direktiv om åtgärder för en hög gemensam nivå av cybersäkerhet i hela unionen (reviderat NIS-direktivet eller "NIS 2"), för att öka nivån på cybermotståndskraften i kritiska offentliga och privata sektorer: sjukhus, energinät, järnvägar, men även datacenter, datacenter och offentliga anläggningar för medicinsk utrustning och kritiska medicinska enheter, Läkemedel, liksom annan kritisk infrastruktur och tjänster, måste förbli ogenomträngliga i en allt snabbare och mer komplex hotmiljö. Kommissionen föreslår också att man ska lansera ett nätverk av säkerhetsoperationscenter i hela EU, som drivs av artificiell intelligens (AI), som kommer att utgöra en verklig "cybersäkerhetssköld" för EU, som kan upptäcka tecken på en cyberattack tillräckligt tidigt och möjliggöra proaktiva åtgärder innan skada uppstår. Ytterligare åtgärder kommer att inkludera dedikerat stöd till små och medelstora företag (SMF), under de digitala innovationshubbarna, samt ökade ansträngningar för att utbilda arbetskraften, attrahera och behålla de bästa cybersäkerhetstalangerna och investera i forskning och innovation som är öppen, konkurrenskraftig och baserad på spetskompetens.
2. Bygga operativ kapacitet för att förebygga, avskräcka och reagera
Kommissionen förbereder, genom en progressiv och inkluderande process med medlemsstaterna, en ny gemensam cyberenhet, för att stärka samarbetet mellan EU-organ och medlemsstaternas myndigheter som ansvarar för att förebygga, avskräcka och reagera på cyberattacker, inklusive civila, brottsbekämpande, diplomatiska och cyberförsvarsgemenskaper. Den höge representanten lägger fram förslag för att stärka EU:s verktyg för cyberdiplomati för att förebygga, avskräcka, avskräcka och reagera effektivt mot skadliga cyberaktiviteter, särskilt sådana som påverkar vår kritiska infrastruktur, leveranskedjor, demokratiska institutioner och processer. EU kommer också att sträva efter att ytterligare stärka cyberförsvarssamarbetet och utveckla den senaste cyberförsvarskapaciteten, bygga vidare på Europeiska försvarsbyråns arbete och uppmuntra medlemsländerna att fullt ut utnyttja det permanenta strukturerade samarbetet och det europeiska försvaret. Fond.
3. Främja ett globalt och öppet cyberrymden genom ökat samarbete
EU kommer att intensifiera arbetet med internationella partner för att stärka den regelbaserade globala ordningen, främja internationell säkerhet och stabilitet i cyberrymden och skydda mänskliga rättigheter och grundläggande friheter online. Den kommer att främja internationella normer och standarder som återspeglar dessa EU:s kärnvärden, genom att arbeta med sina internationella partner i FN och andra relevanta forum. EU kommer att ytterligare stärka sin EU-verktyg för cyberdiplomati och öka cyberkapacitetsbyggande ansträngningar till tredjeländer genom att utveckla en EU-agenda för extern cyberkapacitetsuppbyggnad. Cyberdialogerna med tredjeländer, regionala och internationella organisationer samt multiintressentgrupperna kommer att intensifieras.

EU kommer också att bilda ett EU-nätverk för cyberdiplomati runt om i världen för att främja sin vision om cyberrymden. EU har åtagit sig att stödja den nya cybersäkerhetsstrategin med en aldrig tidigare skådad investeringsnivå i EU:s digitala övergång under de kommande sju åren, genom nästa långsiktiga EU-budget, särskilt programmet Digital Europe och Horizon Europe, samt återhämtningsplanen för Europa. Medlemsstaterna uppmuntras därför att fullt ut använda EU:s facilitet för återhämtning och motståndskraft för att öka cybersäkerheten och matcha investeringar på EU-nivå.

Målet är att nå upp till 4.5 miljarder euro av kombinerade investeringar från EU, medlemsländerna och industrin, särskilt under Cybersecurity Competence Centre och Network of Coordination Centres, och att säkerställa att en stor del kommer till små och medelstora företag. Kommissionen strävar också efter att stärka EU:s industriella och tekniska kapacitet inom cybersäkerhet, bland annat genom projekt som stöds gemensamt av EU:s och nationella budgetar. EU har den unika möjligheten att slå samman sina tillgångar för att förbättra sin strategiska självständighet och driva sitt ledarskap inom cybersäkerhet över hela den digitala leveranskedjan (inklusive data och moln, nästa generations processorteknik, ultrasäkra anslutningsmöjligheter och 6G-nätverk), i linje med dess värderingar och prioriteringar.

Cyber ​​och fysisk motståndskraft hos nätverk, informationssystem och kritiska enheter. Befintliga åtgärder på EU-nivå som syftar till att skydda nyckeltjänster och infrastrukturer från både cyberrisker och fysiska risker behöver uppdateras. Cybersäkerhetsrisker fortsätter att utvecklas med växande digitalisering och sammanlänkning. Fysiska risker har också blivit mer komplexa sedan antagandet av 2008 års EU-regler om kritisk infrastruktur, som för närvarande endast omfattar energi- och transportsektorerna. Revideringarna syftar till att uppdatera reglerna i enlighet med logiken i EU:s säkerhetsunionsstrategi, att övervinna den falska dikotomien mellan online och offline och bryta ner silometoden.

För att bemöta de växande hoten på grund av digitalisering och sammanlänkning kommer det föreslagna direktivet om åtgärder för en hög gemensam nivå av cybersäkerhet i hela unionen (reviderat NIS-direktivet eller "NIS 2") att omfatta medelstora och stora enheter från fler sektorer baserat på deras kritiska betydelse för ekonomin och samhället. NIS 2 stärker de säkerhetskrav som ställs på företagen, tar itu med säkerheten i försörjningskedjor och leverantörsrelationer, effektiviserar rapporteringsskyldigheterna, inför strängare tillsynsåtgärder för nationella myndigheter, strängare tillämpningskrav och syftar till att harmonisera sanktionsregimer mellan medlemsstaterna. NIS 2-förslaget kommer att bidra till att öka informationsutbytet och samarbetet om hantering av cyberkriser på nationell nivå och EU-nivå. Det föreslagna Critical Entities Resilience-direktivet (CER) utökar både omfattningen och djupet av 2008 års europeiska direktiv om kritisk infrastruktur. Tio sektorer omfattas nu: energi, transport, bank, finansmarknadsinfrastruktur, hälsa, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning och rymd. Enligt det föreslagna direktivet skulle medlemsstaterna anta en nationell strategi för att säkerställa motståndskraften hos kritiska enheter och genomföra regelbundna riskbedömningar. Dessa bedömningar skulle också hjälpa till att identifiera en mindre delmängd av kritiska enheter som skulle vara föremål för skyldigheter som är avsedda att förbättra deras motståndskraft inför icke-cyberrisker, inklusive riskbedömningar på enhetsnivå, vidta tekniska och organisatoriska åtgärder och incidentmeddelanden.

Kommissionen skulle i sin tur ge kompletterande stöd till medlemsstaterna och kritiska enheter, till exempel genom att utveckla en översikt på unionsnivå över gränsöverskridande och tvärsektoriella risker, bästa praxis, metoder, gränsöverskridande utbildningsaktiviteter och övningar för att testa motståndskraften hos kritiska enheter. Säkra nästa generations nätverk: 5G och vidare Enligt den nya cybersäkerhetsstrategin uppmuntras medlemsländerna, med stöd av kommissionen och ENISA – European Cybersecurity Agency, att slutföra implementeringen av EU 5G Toolbox, en heltäckande och objektiv riskbaserad strategi för säkerheten för 5G och framtida generationer av nätverk.

Enligt en rapport som publicerades i dag, om effekterna av kommissionens rekommendation om cybersäkerheten i 5G-nätverk och framstegen i genomförandet av EU:s verktygslåda för mildrande åtgärder, sedan lägesrapporten från juli 2020, är ​​de flesta medlemsstater redan på god väg att genomföra de rekommenderade åtgärderna. De bör nu sikta på att slutföra sin implementering senast andra kvartalet 2021 och se till att identifierade risker mildras på ett adekvat sätt, på ett samordnat sätt, särskilt i syfte att minimera exponeringen för högriskleverantörer och undvika beroende av dessa leverantörer. Kommissionen anger också i dag viktiga mål och åtgärder som syftar till att fortsätta det samordnade arbetet på EU-nivå.

A Europe Fit for the Digital Age Vicepresident Margrethe Vestager sa: "Europa är engagerat i den digitala omvandlingen av vårt samhälle och ekonomi. Så vi måste stödja det med oöverträffade investeringsnivåer. Den digitala transformationen accelererar, men kan bara lyckas om människor och företag kan lita på att de uppkopplade produkterna och tjänsterna - som de litar på - är säkra."

Höge representanten Josep Borrell sa: "Internationell säkerhet och stabilitet är mer än någonsin beroende av ett globalt, öppet, stabilt och säkert cyberrymden där rättsstatsprincipen, mänskliga rättigheter, friheter och demokrati respekteras. Med dagens strategi tar EU steget upp för att skydda sina regeringar, medborgare och företag från globala cyberhot, och för att tillhandahålla ledningen för att alla kan utnyttja Internet i cyberutrymmet. teknologier."

Vicepresident Margaritis Schinas för att främja vår europeiska livsstil sa: "Cybersäkerhet är en central del av säkerhetsunionen. Det finns inte längre någon skillnad mellan online- och offlinehot. Digitala och fysiska är nu oupplösligt sammanflätade. Dagens uppsättning åtgärder visar att EU är redo att använda alla sina resurser och expertis för att förbereda sig för och reagera på samma nivå av fysiska och cyberhot."

Kommissionären för den inre marknaden, Thierry Breton, sa: "Cyberhot utvecklas snabbt, de blir allt mer komplexa och anpassningsbara. För att se till att våra medborgare och infrastrukturer är skyddade måste vi tänka flera steg framåt, Europas motståndskraftiga och autonoma cybersäkerhetssköld kommer att innebära att vi kan använda vår expertis och kunskap för att upptäcka och reagera snabbare för att investera i skador på motståndskraften och begränsa vår resiliensskada. den sunda framtiden för våra onlinemiljöer och i vår strategiska autonomi."

Inrikeskommissionär Ylva Johansson sa: "Våra sjukhus, avloppsvattensystem eller transportinfrastruktur är bara så starka som deras svagaste länkar; störningar i en del av unionen riskerar att påverka tillhandahållandet av väsentliga tjänster på andra håll. För att säkerställa att den inre marknaden fungerar smidigt och försörjningen för dem som bor i Europa måste vår nyckelinfrastruktur vara motståndskraftig mot risker, t.ex. olyckor och naturkatastrofer, t.ex. upplever idag Mitt förslag om kritisk infrastruktur gör just det.

Nästa steg

Europeiska kommissionen och den höga representanten har åtagit sig att genomföra den nya strategin för cybersäkerhet under de kommande månaderna. De kommer regelbundet att rapportera om de framsteg som gjorts och hålla Europaparlamentet, Europeiska unionens råd och berörda parter fullt informerade och engagerade i alla relevanta åtgärder. Det är nu upp till Europaparlamentet och rådet att granska och anta det föreslagna NIS 2-direktivet och direktivet om motståndskraft mot kritiska enheter. När förslagen väl har enats och följaktligen antagits måste medlemsstaterna införliva dem inom 18 månader efter det att de har trätt i kraft.

Kommissionen kommer med jämna mellanrum att se över NIS 2-direktivet och direktivet om motståndskraft mot kritiska enheter och rapportera om hur de fungerar. Bakgrund Cybersäkerhet är en av kommissionens högsta prioriteringar och en hörnsten i det digitala och uppkopplade Europa. En ökning av cyberattacker under coronakrisen har visat hur viktigt det är att skydda sjukhus, forskningscentra och annan infrastruktur. Kraftiga åtgärder på området behövs för att framtidssäkra EU:s ekonomi och samhälle. Den nya cybersäkerhetsstrategin föreslår att cybersäkerhet integreras i alla delar av försörjningskedjan och att ytterligare sammanföra EU:s aktiviteter och resurser i de fyra gemenskaperna av cybersäkerhet – den inre marknaden, brottsbekämpning, diplomati och försvar.

Den bygger på EU:s Shaping Europe's Digital Future och EU:s säkerhetsunionsstrategi, och stöder sig på ett antal lagstiftningsakter, åtgärder och initiativ som EU har genomfört för att stärka cybersäkerhetskapaciteten och säkerställa ett mer cybermotståndskraftigt Europa. Detta inkluderar Cybersäkerhetsstrategin från 2013, som granskades 2017, och kommissionens europeiska agenda för säkerhet 2015–2020. Den erkänner också den ökande kopplingen mellan inre och yttre säkerhet, särskilt genom den gemensamma utrikes- och säkerhetspolitiken. Den första EU-omfattande lagen om cybersäkerhet, NIS-direktivet, som trädde i kraft 2016 bidrog till att uppnå en gemensam hög säkerhetsnivå för nätverks- och informationssystem i hela EU. Som en del av sitt centrala politiska mål att göra Europa lämpligt för den digitala tidsåldern tillkännagav kommissionen revideringen av NIS-direktivet i februari i år.

EU:s cybersäkerhetslag som är i kraft sedan 2019 försåg Europa med ett ramverk för cybersäkerhetscertifiering av produkter, tjänster och processer och förstärkte mandatet för EU-byrån för cybersäkerhet (ENISA). När det gäller cybersäkerhet för 5G-nätverk har medlemsstaterna, med stöd av kommissionen och ENISA, med EU:s 5G-verktygslåda som antogs i januari 2020, upprättat en heltäckande och objektiv riskbaserad strategi. Kommissionens granskning av dess rekommendation från mars 2019 om cybersäkerhet i 5G-nätverk visade att de flesta medlemsländer har gjort framsteg med att implementera verktygslådan. Med utgångspunkt från 2013 års EU-strategi för cybersäkerhet har EU utvecklat en sammanhängande och holistisk internationell cyberpolicy.

Genom att arbeta med sina partner på bilateral, regional och internationell nivå har EU främjat ett globalt, öppet, stabilt och säkert cyberrymden väglett av EU:s kärnvärden och grundat på rättsstatsprincipen. EU har stöttat tredjeländer i att öka deras cyberresiliens och förmåga att ta itu med cyberbrottslighet, och har använt sin 2017 EU-cyberdiplomativerktygslåda för att ytterligare bidra till internationell säkerhet och stabilitet i cyberrymden, bland annat genom att för första gången tillämpa sin 2019 års cybersanktionsregim och lista 8 individer och 4 enheter och organ. EU har gjort betydande framsteg även när det gäller cyberförsvarssamarbete, inklusive när det gäller cyberförsvarskapacitet, särskilt inom ramen för dess ram för cyberförsvarspolitik (CDPF), såväl som inom ramen för det permanenta strukturerade samarbetet (PESCO) och Europeiska försvarsbyråns arbete. Cybersäkerhet är en prioritering som också återspeglas i EU:s nästa långtidsbudget (2021-2027).

Inom programmet för det digitala Europa kommer EU att stödja cybersäkerhetsforskning, innovation och infrastruktur, cyberförsvar och EU:s cybersäkerhetsindustri. Dessutom, i sitt svar på Coronavirus-krisen, som såg ökade cyberattacker under lockdownen, säkerställs ytterligare investeringar i cybersäkerhet under återhämtningsplanen för Europa. EU har länge insett behovet av att säkerställa motståndskraften hos kritisk infrastruktur som tillhandahåller tjänster som är nödvändiga för att den inre marknaden ska fungera väl och de europeiska medborgarnas liv och försörjning. Av denna anledning inrättade EU det europeiska programmet för skydd av kritisk infrastruktur (EPCIP) 2006 och antog 2008 direktivet om europeisk kritisk infrastruktur (ECI), som gäller energi- och transportsektorerna. Dessa åtgärder har under senare år kompletterats med olika sektoriella och tvärsektoriella åtgärder för specifika aspekter som klimatsäkring, civilskydd eller utländska direktinvesteringar.

Dela den här artikeln: