EVROPSKÁ KOMISE
V Bruselu dne 5.7.2016
COM(2016) 410 final
SDĚLENÍ KOMISE EVROPSKÉMU PARLAMENTU, RADĚ, EVROPSKÉMU HOSPODÁŘSKÉMU A SOCIÁLNÍMU VÝBORU A VÝBORU REGIONŮ
Posílení evropského systému kybernetické odolnosti
a podpora konkurenceschopného a inovativního odvětví kybernetické bezpečnosti
1. Úvod a souvislosti
Kybernetické bezpečnostní incidenty způsobují každý den závažné hospodářské škody evropským podnikům a hospodářství jako celku. Tyto incidenty narušují důvěru občanů a podniků v digitální společnost. Krádeže obchodních tajemství, obchodních informací a osobních údajů a narušení služeb (včetně těch zásadních) a infrastruktur způsobují každý rok hospodářské ztráty ve výši stovek miliard eur 1 . Mohou také mít důsledky pro základní práva občanů a pro společnost jako celek.
Strategie kybernetické bezpečnosti Evropské unie z roku 2013 2 a její hlavní výstup, směrnice o bezpečnosti sítí a informací 3 , která má být brzy přijata, jakož i směrnice 2013/40/EU o útocích na informační systémy tvoří dosavadní klíčovou politickou reakci Evropské unie na výše uvedené problémy v oblasti kybernetické bezpečnosti. EU má kromě toho k dispozici také specializované subjekty, jako jsou Agentura Evropské unie pro bezpečnost sítí a informací (ENISA), Evropské centrum pro boj proti kyberkriminalitě (EC3) při Europolu a skupina pro reakci na počítačové hrozby (CERT-EU). Nedávno byla rovněž zahájena řada odvětvových iniciativ (např. v oblasti energetiky a dopravy) s cílem zvýšit kybernetickou bezpečnost v různých klíčových odvětvích.
Přes tyto pozitivní výsledky zůstává EU zranitelná, pokud jde o kybernetické bezpečnostní incidenty. Ty mohou narušit jednotný digitální trh a hospodářský a společenský život jako celek. Jejich dopady mohou také přesáhnout rámec hospodářství. V případě hybridních hrozeb 4 mohou být kybernetické útoky použity koordinovaně s jinými činnostmi k destabilizaci země nebo zpochybnění politických institucí.
Za této situace by řešení rozsáhlého kybernetického bezpečnostního incidentu týkajícího se několika členských států současně mohlo být pro EU náročné. Komise proto zkoumá, v součinnosti se sdělením o boji proti hybridním hrozbám a sdělením o naplňování Evropského programu pro bezpečnost 5 , jak přistupovat k měnící se situaci v oblasti kybernetické bezpečnosti a posuzovat další opatření, která mohou být nezbytná ke zvýšení odolnosti EU z hlediska kybernetické bezpečnosti a zlepšení reakce EU na incidenty.
Komise se kromě toho též zabývá průmyslovými kapacitami v Evropské unii v oblasti kybernetické bezpečnosti. Ačkoli celý hodnotový řetězec digitálních technologií pravděpodobně nebude v Evropě zvládnut, je nutné zachovat a rozvíjet alespoň některé zásadní kapacity. Dodávání produktů a služeb, které zajišťují nejvyšší úroveň kybernetické bezpečnosti, je pro odvětví kybernetické bezpečnosti v Evropě příležitostí a mohlo by se stát velkou konkurenční výhodou. Očekává se, že celosvětový trh kybernetické bezpečnosti bude jedním z nejrychleji rostoucích segmentů odvětví informačních a komunikačních technologií (IKT) 6 . Aby EU v této oblasti získala vedoucí postavení, je nutné podporovat silnou kulturu bezpečnosti dat, včetně osobních údajů, a účinnou reakci na incidenty. Tento krok bude vnímán jako silný argument pro investování v EU, a tím pomůže i k dosahování ambiciózních cílů jednotného digitálního trhu, tj. vytváření hospodářského růstu a pracovních míst.
K dosažení výše uvedeného cíle je nutné silné odhodlání, především v podobě:
i) posílení spolupráce s cílem zvýšit připravenost a řešit kybernetické bezpečnostní incidenty
Aby se zvýšila odolnost a připravenost EU, a to i pro případ možné celoevropské krize v oblasti kybernetické bezpečnosti, je nutno posílit stávající a dohodnuté mechanismy spolupráce. Tyto mechanismy spolupráce by měly být ucelené a zahrnovat celý životní cyklus incidentu, od prevence po stíhání. K účinné spolupráci mezi členskými státy a praktickému provádění bezpečnostních požadavků na kritické provozovatele budou rovněž zapotřebí spolehlivá technická řešení od odvětví kybernetické bezpečnosti.
K zajištění odolnosti kritických kybernetických aktiv v celé EU bude zároveň třeba trvale vynakládat úsilí na nalézání meziodvětvových synergií a začleňování kybernetických požadavků do všech příslušných politik EU. Komise zváží, zda je nutné v blízké budoucnosti aktualizovat strategii kybernetické bezpečnosti EU z roku 2013.
ii) řešení problémů, kterým čelí evropský jednotný trh kybernetické bezpečnosti
Ve strategii pro jednotný digitální trh 7 bylo zjištěno, že v rychle se vyvíjející oblasti technologií a řešení zaměřených na bezpečnost on-line sítí stále přetrvávají specifické nedostatky. Studie trhu zároveň ukazují, že vnitřní trh EU je stále ještě zeměpisně roztříštěný, pokud jde o dodávky produktů a služeb kybernetické bezpečnosti 8 . V tomto sdělení je uvedena řada tržně orientovaných politických opatření k řešení těchto nedostatků a problémů jednotného trhu.
iii) rozvíjení průmyslových kapacit v oblasti kybernetické bezpečnosti
Komise se ve strategii kybernetické bezpečnosti EU a ve strategii pro jednotný digitální trh zavázala k podpoře zvyšování dodávek produktů a služeb ze strany odvětví kybernetické bezpečnosti v EU. Proto Komise také přijímá rozhodnutí, jež umožní smluvní ujednání o partnerství veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti, čímž hodlá podporovat špičkový evropský program výzkumu a inovací v oblasti kybernetické bezpečnosti pro zvýšení konkurenceschopnosti.
2. Dosažení vyšší úrovně spolupráce, znalostí a kapacity
Strategie kybernetické bezpečnosti EU, a zejména směrnice o bezpečnosti sítí a informací 9 , jež má být v blízké budoucnosti přijata, umožní lepší spolupráci mezi členskými státy na úrovni EU. Vzhledem k rostoucí digitalizaci hospodářského a společenského života (s přihlédnutím také ke cloudovým službám, internetu věcí a komunikaci mezi stroji), zvyšující se míře přeshraničního propojení a rychle se měnící situaci v oblasti kybernetických hrozeb 10 bude rychlé a účinné provedení směrnice klíčovým faktorem. V této souvislosti se EU musí připravit na možnost rozsáhlé kybernetické krize 11 , včetně například souběžných útoků na kritické informační systémy v několika členských státech 12 .
Spolupráce na úrovni EU je proto zásadní jak pro řešení menších, ale potenciálně se šířících kybernetických bezpečnostních incidentů, tak i možného rozsáhlého kybernetického útoku v několika členských státech. EU musí začlenit kybernetické aspekty do stávajících mechanismů krizového řízení. Také musí zajistit účinnou spolupráci a rychlé mechanismy sdílení informací mezi odvětvími a členskými státy, aby mohla na takové incidenty reagovat a zvládat je. Tyto mechanismy by navíc měly působit soudržně, a tím přispívat k boji proti terorismu, organizované trestné činnosti a kyberkriminalitě. Zvýšila by se tak i schopnost EU koordinovat účinnou reakci na celosvětové hrozby a incidenty s mezinárodními partnery.
2.1 Maximální využití mechanismů spolupráce podle směrnice o bezpečnosti sítí a informací a směřování k ENISA 2.0
Zásadní součástí vnitrostátních kapacit, které požaduje směrnice o bezpečnosti sítí a informací, jsou Skupiny pro reakci na incidenty v oblasti počítačové bezpečnosti (skupiny CSIRT), které jsou odpovědné za rychlou reakci na kybernetické hrozby a kybernetické bezpečnostní incidenty. Za účelem podpory účinné operační spolupráce při konkrétních kybernetických bezpečnostních incidentech a sdílení informací o rizicích vytvoří tyto skupiny síť skupin CSIRT. Na základě směrnice bude kromě toho zřízena skupina pro spolupráci s cílem podpořit a usnadnit strategickou spolupráci mezi členskými státy a vybudovat mezi nimi důvěru.
Vzhledem k povaze a množství kybernetických hrozeb vybízí Komise členské státy, aby co nejlépe využívaly mechanismy spolupráce podle směrnice o bezpečnosti sítí a informací a aby posílily přeshraniční spolupráci, pokud jde o připravenost na rozsáhlý kybernetický bezpečnostní incident. Takovéto další spolupráci pro případ významného kybernetického bezpečnostního incidentu by prospěl koordinovaný přístup ke krizové spolupráci mezi jednotlivými prvky kybernetického ekosystému. Tento přístup lze stanovit v plánu, jenž by měl zároveň zajistit součinnost a soulad se stávajícími mechanismy krizového řízení 13 . Plán by se poté měl pravidelně ověřovat na cvičeních zaměřených na zvládání kybernetických a jiných krizí. Svou úlohu by v něm měly subjekty na úrovni EU, jako jsou ENISA, CERT-EU a Evropské centrum pro boj proti kyberkriminalitě (EC3) při Europolu, a používaly by se nástroje vyvinuté v rámci sítě skupin CSIRT. Komise předloží takový plán spolupráce k projednání skupině pro spolupráci, síti skupin CSIRT a dalším příslušným zúčastněným stranám v první polovině roku 2017.
Znalosti a odborné poznatky o kybernetické bezpečnosti jsou v současnosti na úrovni EU dostupné, ale v rozptýlené a nestrukturované podobě. V zájmu podpory mechanismů spolupráce podle směrnice o bezpečnosti sítí a informací by informace měly být sdruženy v „informačním uzlu“, aby byly všem členským státům snadno dostupné na vyžádání. Tento uzel by se stal centrálním prostředkem, který orgánům EU a členským státům umožní vyměňovat si příslušné informace. Snazší přístup k lépe strukturovaným informacím o kybernetických bezpečnostních rizicích a možných nápravných opatřeních by měl členským státům pomoci zvýšit jejich kapacity a sjednotit jejich postupy, a tím posílit celkovou odolnost proti útokům. Komise podporovaná agenturou ENISA a CERT-EU a s odbornými poznatky svého Společného výzkumného střediska podpoří vznik uzlu a zajistí jeho udržitelnost.
Dále by na úrovni EU měla být zřízena řádná poradní skupina na vysoké úrovni 14 pro kybernetickou bezpečnost, složená z odborníků a činitelů s rozhodovací pravomocí, kteří budou zastupovat průmysl, akademickou obec, občanskou společnost a jiné příslušné organizace. Skupina by Komisi umožnila získat otevřeným a transparentním způsobem externí odborné poznatky a podklady pro politiky v rámci strategie kybernetické bezpečnosti a pro možná regulační či jiná opatření veřejné politiky. Doplňovala by se a propojila s jinými strukturami pro kybernetickou bezpečnost 15 .
Komise musí kromě toho provést do 20. června 2018 hodnocení agentury ENISA a do 19. června 2020 musí být přijato případné obnovení nebo změna mandátu agentury 16 . Vzhledem k současné situaci v oblasti kybernetické bezpečnosti je cílem Komise pokročit s hodnocením a na základě výsledků předložit návrh co nejdříve.
Při posuzování možné potřeby změnit mandát agentury ENISA vezme Komise v úvahu výše popsané výzvy v oblasti kybernetické bezpečnosti a celkové úsilí o posílení spolupráce a sdílení znalostí. Tento proces poskytne příležitost zabývat se možným posílením schopností a kapacit agentury podporovat udržitelným způsobem členské státy při dosahování odolnosti z hlediska kybernetické bezpečnosti. Při zamyšlení se nad mandátem agentury ENISA je navíc třeba vzít v úvahu nové povinnosti agentury podle směrnice o bezpečnosti sítí a informací, nové politické cíle na podporu odvětví kybernetické bezpečnosti (strategie pro jednotný digitální trh a zejména smluvní partnerství veřejného a soukromého sektoru), měnící se potřeby v oblasti zajištění bezpečnosti kritických odvětví a nové problémy spojené s přeshraničními incidenty, včetně koordinované reakce na kybernetické krize.
|
Komise: —v první polovině roku 2017 předloží k projednání plán spolupráce při zvládání rozsáhlých kybernetických bezpečnostních incidentů na úrovni EU, —podpoří založení „informačního uzlu“ za účelem podpory výměny informací mezi subjekty EU a členskými státy, —zřídí poradní skupinu na vysoké úrovni pro kybernetickou bezpečnost a —do konce roku 2017 dokončí hodnocení agentury ENISA. Toto hodnocení se bude zabývat potřebou změnit nebo rozšířit mandát agentury ENISA s cílem případně co nejdříve předložit návrh. |
2.2 Intenzivnější úsilí ve vzdělávání, odborné přípravě a cvičení v oblasti kybernetické bezpečnosti
Mezi klíčové aspekty dosahování odolnosti z hlediska kybernetické bezpečnosti patří přiměřené dovednosti a odborná příprava týkající se jak prevence kybernetických bezpečnostních incidentů, tak i řešení a zmírňování jejich dopadů.
V současnosti hrají důležitou úlohu v poskytování podpory pro budování kapacit – též v oblasti kybernetické forenzní vědy – agentura ENISA a Evropská skupina pro odbornou přípravu a vzdělání v oblasti kyberkriminality (ECTEG) ve spolupráci s Evropským centrem pro boj proti kyberkriminalitě (EC3) při Europolu a Evropskou policejní akademií (CEPOL), a to vytvářením příruček a pořádáním školení a cvičení v oblasti kybernetické bezpečnosti.
Zároveň je však kyberprostor rychle se rozvíjející oblastí, kde zásadní roli hrají schopnosti dvojího užití. Proto je nezbytné rozvíjet civilně-vojenskou spolupráci a synergie v oblasti odborné přípravy a cvičení s cílem zvýšit odolnost EU a její schopnosti reakce na incidenty.
V reakci na tuto potřebu a v návaznosti na přijetí směrnice o bezpečnosti sítí a informací a politického rámce EU pro kybernetickou obranu 17 budou útvary Komise spolupracovat s členskými státy, Evropskou službou pro vnější činnost (ESVČ), agenturou ENISA a dalšími příslušnými subjekty EU 18 na zřízení platformy pro vzdělávání, cvičení a odbornou přípravu v oblasti kybernetické bezpečnosti, která podpoří synergie mezi civilní a obrannou odbornou přípravou.
|
Komise: —bude úzce spolupracovat s členskými státy, agenturou ENISA, Evropskou službou pro vnější činnost (ESVČ) a jinými příslušnými subjekty EU na zřízení platformy pro odbornou přípravu v oblasti kybernetické bezpečnosti. |
2.3 Řešení meziodvětvových vzájemných závislostí a odolnosti klíčové veřejné síťové infrastruktury
Významným faktorem při posuzování rizika a dopadu rozsáhlého kybernetického bezpečnostního incidentu je míra přeshraničních a meziodvětvových vzájemných závislostí. Závažný kybernetický bezpečnostní incident v jednom odvětví nebo v jednom členském státě může přímo či nepřímo ovlivnit jiná odvětví nebo jiné členské státy či se do nich rozšířit.
Přeshraniční a meziodvětvová spolupráce usnadňuje výměnu informací a odborných poznatků, a tím i vyšší připravenost a odolnost. Komise podporuje činnost různých odvětví prováděním Evropského programu na ochranu kritické infrastruktury 19 s cílem lépe porozumět vzájemným závislostem.
Nezbytným předpokladem pro řešení meziodvětvových rizik je zároveň schopnost každého jednotlivého odvětví rozpoznat kybernetické bezpečnostní incidenty, připravit se na ně a reagovat na ně. Komise posoudí riziko vyplývající z kybernetických bezpečnostních incidentů v odvětvích s vysokou vzájemnou závislostí uvnitř států i přeshraničně, zejména v odvětvích, na která se vztahuje směrnice o bezpečnosti sítí a informací, a také s přihlédnutím k vývoji na mezinárodní úrovni. 20 Po tomto posouzení Komise zváží, zda jsou pro taková kritická odvětví nutná další zvláštní pravidla a/nebo pokyny, pokud jde o připravenost na kybernetická rizika.
Na evropské úrovni mohou klíčovou úlohu při přípravě na kybernetické bezpečnostní incidenty a reakci na ně hrát odvětvová střediska pro sdílení a analýzu informací (ISAC) 21 a příslušné skupiny CSIRT. Aby bylo zajištěno účinné předávání informací o vyvíjejících se hrozbách a usnadnila se reakce na kybernetické bezpečnostní incidenty, měla by být střediska pro sdílení a analýzu informací motivována, aby spolupracovala se sítí skupin CSIRT podle směrnice o bezpečnosti sítí a informací, Evropským centrem pro boj proti kyberkriminalitě (EC3) při Europolu a skupinou CERT-EU a rovněž s příslušnými donucovacími orgány.
K výměně informací mezi zúčastněnými stranami a s orgány během celého životního cyklu kybernetických rizik je nutné, aby mezi účastníky panovala důvěra, že se tím nevystaví odpovědnosti. Komise zaznamenala řadu takových obav, které podnikům brání ve sdílení cenných informací o hrozbách s jinými podniky, též z různých odvětví, nebo s orgány, zvláště přeshraničně. V zájmu lepší výměny informací o kybernetických hrozbách se Komise bude snažit těmito obavami zabývat a rozptýlit je.
K motivaci podniků, aby hlásily kybernetické krádeže obchodních tajemství, jsou zásadní též důvěryhodné oznamovací kanály, které zaručují důvěrnost. Tyto kanály by umožnily sledovat a posuzovat škody vzniklé evropskému průmyslu (jejichž důsledkem jsou také ztráty prodeje a pracovních míst) a výzkumným subjektům. Také by pomohly při navrhování náležité politické reakce. Za podpory agentury ENISA, Úřadu Evropské unie pro duševní vlastnictví (EUIPO) a EC3 při Europolu zřídí Komise v dialogu se soukromými zúčastněnými stranami důvěryhodné kanály pro dobrovolné hlášení kybernetických krádeží obchodních tajemství. Díky tomu by mělo být možné shromáždit anonymizované a agregované údaje na úrovni EU. Tyto údaje lze sdílet s členskými státy jako podklady pro diplomatické úsilí a činnosti zvyšující povědomí, a tak pomoci chránit nehmotná aktiva Evropské unie před kybernetickými útoky.
Za účelem podpory odvětvové kybernetické bezpečnosti bude Komise také podporovat začlenění kybernetické bezpečnosti do tvorby různých odvětvových politik EU, kterých se kybernetická bezpečnost týká.
Důležitou úlohu mají v neposlední řadě orgány veřejné správy, a to při ověřování integrity klíčových internetových infrastruktur za účelem zjišťování problémů, informování stran odpovědných za tyto sítě a – v případě potřeby – poskytování podpory při opravě známých zranitelností. Vnitrostátní regulační orgány by mohly využívat kapacit skupin CSIRT pro pravidelné kontroly veřejných síťových infrastruktur. Na základě toho by pak mohly vybízet provozovatele, aby napravili nedostatky nebo se zabývali zranitelnostmi, které by takové kontroly mohly zjistit.
Komise proto prozkoumá nezbytné právní a organizační podmínky, aby vnitrostátní regulační orgány mohly ve spolupráci s vnitrostátními orgány pro kybernetickou bezpečnost požádat skupiny CSIRT o provádění pravidelných kontrol zranitelnosti veřejných síťových infrastruktur. Vnitrostátní skupiny CSIRT by měly být motivovány, aby v rámci sítě skupin CSIRT spolupracovaly na osvědčených postupech při monitorování sítí, čímž podpoří prevenci rozsáhlých incidentů.
|
Komise: —podpoří vznik evropské spolupráce odvětvových středisek pro sdílení a analýzu informací a jejich spolupráci se skupinami CSIRT a bude se snažit řešit překážky, které brání účastníkům trhu ve sdílení informací, —prozkoumá strategické/systémové riziko vyplývající z kybernetických bezpečnostních incidentů v odvětvích s vysokou vzájemnou závislostí uvnitř států i přeshraničně, —posoudí, zda jsou nutná další pravidla a/nebo pokyny, pokud jde o připravenost na kybernetická rizika pro kritická odvětví, a případně zváží jejich zavedení, —společně s agenturou ENISA, úřadem EUIPO a EC3 zřídí důvěryhodné kanály pro dobrovolné hlášení kybernetických krádeží obchodních tajemství, —podpoří začlenění opatření v oblasti kybernetické bezpečnosti do evropských odvětvových politik, —prozkoumá podmínky nezbytné k tomu, aby vnitrostátní orgány mohly požádat skupiny CSIRT o provádění pravidelných kontrol klíčových síťových infrastruktur. |
3. Řešení výzev, kterým čelí evropský jednotný trh kybernetické bezpečnosti
Evropa potřebuje kvalitní, finančně dostupné a interoperabilní produkty a řešení v oblasti kybernetické bezpečnosti. Dodávky produktů a služeb pro bezpečnost IKT na jednotném trhu však zůstávají zeměpisně velmi roztříštěné. To jednak ztěžuje evropským společnostem soutěž na vnitrostátní, evropské i celosvětové úrovni, jednak omezuje výběr funkčních a užitečných technologií pro kybernetickou bezpečnost, ke kterým mají občané a podniky přístup 22 .
Odvětví kybernetické bezpečnosti se v Evropě skutečně do značné míry vyvíjelo na základě vnitrostátní vládní poptávky, včetně poptávky pro odvětví obrany. Většina evropských dodavatelů v oblasti obrany si zřídila oddělení pro kybernetickou bezpečnost 23 . Zároveň se objevilo mnoho inovativních malých a středních podniků (MSP), a to jak na specializovaných/nikových trzích (např. kryptografické systémy), tak na zavedených trzích, kam přišly s novými obchodními modely (např. antivirový software).
Podniky však mají problémy růst nad rámec svých domácích, vnitrostátních trhů. Zásadním faktorem, který je patrný ze všech konzultací vedených Komisí, je nedůvěra v „zahraniční“ řešení 24 . V důsledku toho se velká část veřejných zakázek stále zadává v rámci daného členského státu a mnoho společností má potíže s dosažením úspor z rozsahu, které by jim umožnily zvýšit svou konkurenceschopnost jak na vnitřním trhu, tak celosvětově.
Mezi další nedostatky, které ovlivňují jednotný trh kybernetické bezpečnosti, patří nedostatek interoperabilních řešení (technických norem), postupů (procesních norem) a celoevropských mechanismů pro certifikaci. V této souvislosti byla kybernetická bezpečnost určena jako jedna z priorit pro normalizaci IKT pro jednotný digitální trh 25 .
Omezené perspektivy růstu společností v oblasti kybernetické bezpečnosti na jednotném trhu vedou k velkému množství fúzí a akvizic neevropskými investory 26 . Tento trend sice dokládá inovační kapacitu evropských podnikatelů v oblasti kybernetické bezpečnosti, představuje však také riziko vedoucí ke ztrátě evropského know-how a odborných poznatků a k odlivu mozků.
Je nutné přijmout naléhavá opatření na podporu integrovanějšího jednotného trhu s produkty a službami v oblasti kybernetické bezpečnosti, který usnadní zavádění praktičtějších a finančně dostupnějších řešení.
Překážky, pokud jde o důvěru mezi evropskými průmyslovými a institucionálními subjekty, lze překonat rozvojem spolupráce v rané fázi inovačního životního cyklu: v odvětví kybernetické bezpečnosti samotném, mezi dodavateli a kupujícími, jakož i v meziodvětvovém kontextu zahrnujícím odvětví, která již jsou nebo se pravděpodobně stanou zákazníky řešení v oblasti kybernetické bezpečnosti.
Zároveň nabývá v Evropě na významu vývoj produktů, služeb a technologií dvojího užití. Roste počet řešení přenesených z civilního na obranný trh 27 . V připravovaném akčním plánu pro evropskou obranu Komise zamýšlí určit opatření na další posílení civilně-vojenských synergií na evropské úrovni.
3.1 Certifikace a označování
Významnou úlohu při zvyšování důvěryhodnosti a bezpečnosti produktů a služeb hraje certifikace. To platí i pro nové systémy, které velkou měrou využívají digitálních technologií a vyžadují vysokou úroveň bezpečnosti, jako například propojené a automatizované automobily, elektronické zdravotnictví, průmyslové automatizační řídicí systémy (IACS) nebo inteligentní sítě.
Vznikají vnitrostátní iniciativy, jejichž cílem je nastavit vysoké požadavky na součásti IKT v tradiční infrastruktuře z hlediska kybernetické bezpečnosti, včetně požadavků na certifikaci. Ačkoli jsou důležité, obnáší riziko, že povedou k roztříštění jednotnému trhu a k problémům s interoperabilitou. Účinné programy certifikace bezpečnosti pro produkty IKT existují jen v několika málo členských státech 28 . Prodejce IKT by proto možná musel podstoupit několik procesů certifikace, aby mohl prodávat v několika členských státech. V nejhorším případě by nebylo možné produkt nebo službu IKT navržené tak, aby splňovaly požadavky na kybernetickou bezpečnost v jednom členském státě, uvést na trh v jiném členském státě.
Má-li být vytvořen fungující jednotný trh v oblasti kybernetické bezpečnosti, je třeba usilovat o takový možný rámec pro certifikaci kybernetické bezpečnosti produktů a služeb IKT, který splní tyto cíle: i) pokrýt širokou škálu systémů, produktů a služeb IKT; ii) zajistit použitelnost ve všech 28 členských státech a iii) vztahovat se na všechny úrovně kybernetické bezpečnosti, přičemž bude zohledněn vývoj na mezinárodní úrovni.
Za tímto účelem Komise zřídí speciální pracovní skupinu pro certifikaci bezpečnosti produktů a služeb IKT složenou z odborníků z členských států a odvětví. Jejím cílem bude ve spolupráci s agenturou ENISA a Společným výzkumným střediskem vypracovat do konce roku 2016 plán, v němž bude prozkoumána možnost vypracovat návrh takového evropského rámce certifikace bezpečnosti informačních a komunikačních technologií do konce roku 2017. Komise v této souvislosti rovněž zohlední nařízení (ES) č. 765/2008 a ustanovení o vydávání osvědčení zahrnutá v obecném nařízení 2016/679 o ochraně osobních údajů 29 .
Součástí postupu budou široké konzultace a posouzení dopadu. Ty Komisi umožní zkoumat různé možnosti pro vytvoření rámce certifikace produktů a služeb IKT. Komise rovněž prozkoumá certifikaci bezpečnosti IKT v odvětvích infrastruktury (např. letectví, železniční doprava, automobilový průmysl) a v rámci zvláštních mechanismů certifikace a validace u technologií, které jsou připraveny k zavedení (např. kybernetická bezpečnost průmyslových automatizačních řídicích systémů 30 , internetu věcí, cloudových služeb). Rovněž se bude zabývat zjištěnými nedostatky v rámci výše uvedeného evropského programu certifikace bezpečnosti informačních a komunikačních technologií.
Certifikace se bude co možná nejvíce opírat o mezinárodně uznávané normy a bude vyvinuta s mezinárodními partnery.
Komise bude rovněž zkoumat možnosti týkající se toho, jak nejlépe začlenit certifikaci bezpečnosti IKT do budoucích odvětvových právních předpisů, které se též týkají bezpečnostních aspektů.
Kromě možných regulačních možností Komise rovněž prozkoumá zřízení evropského, komerčně orientovaného, dobrovolného a nenáročného režimu označování bezpečnosti produktů IKT. Jako doplněk k certifikaci bude mít za cíl zlepšit srozumitelnost kybernetické bezpečnosti u obchodních produktů, a tím zvýšit jejich konkurenceschopnost na jednotném trhu i celosvětově. Řádná pozornost bude věnována probíhajícím odvětvovým a průřezovým iniciativám zahájeným průmyslem, a to jak na straně dodávky, tak na straně poptávky.
Do tohoto postupu budou úzce zapojeny orgány veřejné správy, aby bylo ve veřejných zakázkách možné používat společné specifikace a odkazovat na certifikaci. Komise bude rovněž sledovat používání příslušných požadavků na certifikaci při zadávání veřejných zakázek na vnitrostátní úrovni, zejména pro odvětvové systémy (energetika, doprava, zdravotnictví, veřejná správa atd.), a podávat o tom zprávy.
|
Komise: —do konce roku 2016 vypracuje harmonogram pro vytvoření návrhu možného evropského rámce certifikace bezpečnosti informačních a komunikačních technologií a jeho předložení do konce roku 2017 a posoudí proveditelnost a dopad evropského nenáročného rámce označování kybernetické bezpečnosti, —prozkoumá, zda je nutné se zabývat – a případně se bude zabývat – nedostatky v certifikaci bezpečnosti IKT v rámci stávajících odvětvových mechanismů certifikace/validace, —v příslušných případech začlení certifikaci bezpečnosti produktů IKT do budoucích návrhů právních předpisů pro specifická odvětví, —bude podněcovat zapojení orgánů veřejné správy s cílem usnadnit používání certifikace a společných specifikací při zadávání veřejných zakázek, —bude sledovat používání příslušných požadavků na certifikaci při zadávání veřejných a obchodních zakázek a za tři roky podá zprávu o stavu trhu. |
3.2 Zvýšení investic do kybernetické bezpečnosti v Evropě a podpora MSP
I když se inovacím v odvětví kybernetické bezpečnosti v Evropě daří, EU stále schází dostatečná kultura investování do kybernetické bezpečnosti. V oblasti kybernetické bezpečnosti působí mnoho inovativních malých a středních podniků, které však často nejsou schopny rozšířit svou činnost. Důvodem je mimo jiné nedostatek snadno dostupného financování na jejich podporu v počátečních fázích vývoje. Podniky mají také v Evropě omezený přístup k rizikovému kapitálu a jejich rozpočet na marketing za účelem většího zviditelnění nebo na řešení různých souborů požadavků na standardizaci a dodržování předpisů není dostatečný.
Zároveň je spolupráce mezi subjekty v oblasti kybernetické bezpečnosti dosti nerovnoměrná a je nutné více usilovat o zvýšení hospodářské koncentrace a rozvoj nových hodnotových řetězců 31 .
Pro zvýšení investic do kybernetické bezpečnosti v Evropě a podporu malých a středních podniků je nezbytné usnadnit přístup k financím. Rovněž je zapotřebí podpořit rozvoj celosvětově konkurenceschopných klastrů a středisek excelence v oblasti kybernetické bezpečnosti v regionálních ekosystémech příznivých pro digitální růst. Tato podpora musí být spojena s prováděním strategií pro inteligentní specializaci a jiných nástrojů EU tak, aby z nich odvětví kybernetické bezpečnosti v Evropě mělo větší prospěch.
Komise zvolí přístup spočívající v maximalizaci povědomí v kruzích zabývajících se kybernetickou bezpečností o možnostech financování na evropské, vnitrostátní a regionální úrovni (týkajících se jak horizontálních nástrojů, tak zvláštních výzev 32 ) prostřednictvím stávajících nástrojů a kanálů, např. sítě Enterprise Europe Network.
Komise toto úsilí doplní tím, že spolu s Evropskou investiční bankou (EIB) a Evropským investičním fondem (EIF) prozkoumá, jak usnadnit přístup k finančním prostředkům. Může se jednat o kapitálové a kvazikapitálové investice, půjčky, záruky na projekty nebo protizáruky prostředníkům, např. prostřednictvím vytvoření platformy pro investice v oblasti kybernetické bezpečnosti v rámci Evropského fondu pro strategické investice 33 .
Komise se kromě toho rovněž bude se zainteresovanými členskými státy a regiony zabývat rozvojem platformy pro inteligentní specializaci v kybernetické bezpečnosti 34 . To by pomohlo koordinovat a plánovat strategie kybernetické bezpečnosti a zřídit strategickou spolupráci zúčastněných stran v regionálních ekosystémech. Tento přístup by měl rovněž pomoci odblokovat potenciál stávajících evropských strukturálních a investičních fondů pro odvětví kybernetické bezpečnosti.
Obecněji Komise podpoří přístup „bezpečnost už od návrhu“. Bude se snažit zajistit, aby požadavky na kybernetickou bezpečnost byly konzistentně ošetřeny ve všech významných investicích do infrastruktury, které mají digitální součást a jsou spolufinancované z evropských fondů, a to postupným zaváděním příslušných požadavků do pravidel zadávání veřejných zakázek a programů.
|
Komise: —použije stávající nástroje na podporu malých a středních podniků ke zvýšení povědomí o stávajících mechanismech financování v kruzích zabývajících se kybernetickou bezpečností, —dále zintenzivní používání nástrojů EU na podporu inovativních malých a středních podniků, pokud jde o možné synergie mezi civilními a obrannými trhy v oblasti kybernetické bezpečnosti 35 , —prozkoumá s EIB a EIF, zda je proveditelné usnadnit přístup k investicím například prostřednictvím speciální platformy pro investice do kybernetické bezpečnosti nebo jiných nástrojů, —vyvine platformu pro inteligentní specializaci v oblasti kybernetické bezpečnosti s cílem pomoci členským státům a regionům, které mají zájem o investování do odvětví kybernetické bezpečnosti (RIS3), a —podpoří přístup „bezpečnost už od návrhu“ ve významných investicích do infrastruktury, které mají digitální součást a jsou spolufinancované z fondů EU. |
4. Stimulace a podpora evropského odvětví kybernetické bezpečnosti prostřednictvím inovací – vytvoření smluvního partnerství veřejného a soukromého sektoru pro kybernetickou bezpečnost
S cílem stimulovat konkurenceschopnost a inovace evropského odvětví kybernetické bezpečnosti bude uzavřeno smluvní partnerství veřejného a soukromého sektoru pro kybernetickou bezpečnost. Smluvní partnerství veřejného a soukromého sektoru shromáždí průmyslové a veřejné zdroje s cílem dosáhnout excelence ve výzkumu a inovacích.
Smluvní partnerství veřejného a soukromého sektoru má za cíl budovat důvěru mezi členskými státy a průmyslovými subjekty rozvojem spolupráce v raných fázích procesu výzkumu a inovací. Snaží se také pomoci sladit sektory poptávky a nabídky. To by mělo průmyslu umožnit získat budoucí požadavky od koncových uživatelů a odvětví, jež jsou důležitými zákazníky řešení v oblasti kybernetické bezpečnosti (např. energetika, zdravotnictví, doprava, finance). Smluvní partnerství usnadní zapojení těchto subjektů do vymezování společných požadavků na digitální bezpečnost, soukromí a ochranu údajů pro příslušná odvětví.
Smluvní partnerství veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti také pomůže maximalizovat využívání dostupných finančních prostředků. Toho se dosáhne zaprvé větší koordinací s členskými státy a zadruhé lepším zacílením na několik technických priorit, aby odvětví kybernetické bezpečnosti snáze dosáhlo technologických průlomů a zvládlo klíčové budoucí technologie kybernetické bezpečnosti. V této souvislosti může k posílení důvěry, transparentnosti a disruptivních inovací přispět vývoj softwaru s otevřeným zdrojovým kódem a otevřených norem, který by proto měl být rovněž součástí investic uskutečňovaných v rámci smluvního partnerství.
Práce provedená v rámci smluvního partnerství veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti bude rovněž těžit ze synergií s jinými evropskými projekty, především pokud se zabývají bezpečnostními aspekty. Patří sem partnerství veřejného a soukromého sektoru v oblasti továren budoucnosti, energeticky účinných budov, 5G a dat velkého objemu 36 , jiná odvětvová partnerství veřejného a soukromého sektoru 37 a iniciativa v oblasti internetu věcí 38 . Kromě toho bude propagováno těsné sladění s evropským cloudem pro otevřenou vědu a evropskou superpočítačovou iniciativou pro kvantové kybernetické technologie (např. inovace v kvantové distribuci klíče, výzkum kvantové výpočetní techniky).
Smluvní partnerství veřejného a soukromého sektoru pro kybernetickou bezpečnost bude zahájeno v rámci programu Horizont 2020 39 – rámcového programu Evropské unie pro výzkum a inovace pro období 2014–2020. Využije pákového efektu financování ze dvou pilířů tohoto programu: „Vedoucí postavení v základních a průmyslových technologiích“ (LEIT-IKT) a „Společenské výzvy – bezpečné společnosti“ (SC7). Celkový rozpočet smluvního partnerství bude až 450 milionů EUR s trojnásobným pákovým efektem na straně průmyslu. Kybernetická bezpečnost by měla být rovněž řešena a koordinována s dalšími příslušnými částmi programu Horizont 2020 (např. společenské výzvy v oblasti energetiky, dopravy a zdraví a součást excelence programu Horizont 2020). To přispěje k cílům smluvního partnerství veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti. Tato koordinace by se měla uskutečnit také předem, ve fázi návrhu odvětvových strategií.
Smluvní partnerství veřejného a soukromého sektoru bude realizováno transparentně, s otevřeným a flexibilním řízením přizpůsobeným rychle se měnícímu prostředí kybernetické bezpečnosti. Zohlední se rovněž potřeba členských států projednat, jak změny technologie ovlivňují bezpečný provoz vnitrostátních a přeshraničních infrastruktur. Výstup partnerství musí být také udržitelný po několik let, aby bylo možné splnit jeho cíle.
Smluvní partnerství veřejného a soukromého sektoru bude podporováno ze strany Evropské organizace pro kybernetickou bezpečnost (ECSO), jejíž členství bude odrážet rozmanitosti trhu v oblasti kybernetické bezpečnosti v Evropě. Bude také zahrnovat vnitrostátní, regionální a místní orgány veřejné správy, výzkumná střediska, akademickou obec a jiné zainteresované strany.
|
Komise: —uzavře s průmyslem smluvní partnerství veřejného a soukromého sektoru pro kybernetickou bezpečnost, aby zahájilo činnost ve třetím čtvrtletí roku 2016, —zahájí výzvy k předkládání návrhů týkající se smluvního partnerství pro kybernetickou bezpečnost v rámci programu Horizont 2020 v prvním čtvrtletí roku 2017 a —zajistí koordinaci smluvního partnerství pro kybernetickou bezpečnost s příslušnými odvětvovými strategiemi, nástroji programu Horizont 2020 a odvětvovými partnerstvími veřejného a soukromého sektoru. |
5. Závěr
Toto sdělení popisuje opatření zaměřená na posílení evropského systému kybernetické odolnosti a na podporu konkurenceschopného a inovativního odvětví kybernetické bezpečnosti v Evropě, jak bylo uvedeno ve strategii kybernetické bezpečnosti EU a ve strategii pro jednotný digitální trh. Komise vyzývá Evropský parlament a Radu, aby tento přístup podpořily.
Net Losses: Estimating the Global Cost of Cybercrime Economic impact of cybercrime II; Center for Strategic and International Studies (Čisté ztráty: Odhad celosvětových nákladů na kybernetickou kriminalitu – hospodářský dopad kybernetické kriminality II, Středisko pro strategické a mezinárodní studie), červen 2014.
JOIN(2013) 1.
COM(2013) 48.
JOIN(2016) 18.
COM(2016) 230.
Viz SWD(2016) 216.
COM(2015) 0192.
Viz SWD(2016) 216.
Podle směrnice o bezpečnosti sítí a informací budou členské státy povinny identifikovat řadu provozovatelů zásadních služeb v oblastech, jako jsou energetika, doprava, finance a zdravotnictví, zabývat se riziky v oblasti kybernetické bezpečnosti, a také zajistit, že určití poskytovatelé digitálních služeb přijmou příslušná opatření k řešení těchto rizik.
Viz SWD(2016) 216.
Viz např. zpráva agentury ENISA: Common practices of EU-level crisis management and applicability to cyber crises (Společné postupy krizového řízení na úrovni EU a jejích použitelnost na kybernetické krize, duben 2016).
Viz SWD(2016) 216.
Především ujednání o integrovaných opatřeních EU pro politickou reakci na krize včetně rozhodnutí o způsobu provádění doložky solidarity Unií (ze dne 24. července 2014) a rozhodovací procesy společné bezpečnostní a obranné politiky.
Skupiny odborníků Komise se řídí horizontálními pravidly stanovenými rozhodnutím Komise C(2016)3301 .
Například platformou pro bezpečnost sítí a informací, smluvním partnerstvím veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti a odvětvovými platformami, jako je platforma odborníků na kybernetickou bezpečnost v odvětví energetiky (EECSP). Měla by se rovněž propojit s kulatým stolem na vysoké úrovni oznámeným ve sdělení Digitalizace evropského průmyslu, COM(2016) 180.
Nařízení (EU) č. 526/2013 o zrušení nařízení (ES) č. 460/2004.
Přijatý Radou Evropské unie ve složení pro zahraniční věci dne 18. listopadu 2014, dokument 15585/14.
Jako jsou Evropská bezpečnostní a obranná škola, EC3, CEPOL a Evropská obranná agentura (EDA).
SWD(2013) 318.
Například plán kybernetické bezpečnosti přijatý Evropskou agenturou pro bezpečnost letectví, plán kybernetické bezpečnosti, práce Mezinárodní organizace pro civilní letectví, Mezinárodní námořní organizace.
Viz např. středisko pro sdílení a analýzu informací o evropské energetice (European Energy ISAC, ( http://www.ee-isac.eu ).
Viz SWD (2016) 216.
Viz SWD (2016) 216.
Viz SWD (2016) 215.
COM(2016) 176/2.
Viz SWD(2016) 216.
V roce 2013 oblast vývozu zboží dvojího užití již představovala přibližně 20 % celkového vývozu EU (z hlediska hodnoty). Do tohoto vývozu se započítává obchod v rámci EU.
Viz SWD(2016) 216 – dohoda skupiny vyšších úředníků pro bezpečnost informačních systémů (rozhodnutí Rady ze dne 31. března 1992 (92/242/EHS)) a jiné existující systémy, např. Commercial Product Assurance ve Spojeném království, Certification Sécuritaire de Premier Niveau ve Francii.
Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů stanoví jak kodex chování, který má přispět k řádnému uplatňování pravidel pro zpracování osobních údajů, tak i mechanismy vydávání osvědčení, které zahrnují všechny zásady pro ochranu údajů, zejména bezpečnost osobních údajů při jejich zpracování.
Viz případovou studii tematické skupiny Evropské referenční sítě pro ochranu kritické infrastruktury (ERNCIP) na téma „Kybernetická bezpečnost průmyslových řídicích systémů“, dostupné na: https://erncip-project.jrc.ec.europa.eu/download-area/category/16-case-studies-for-industrial-automation-and-control-systems .
Viz SWD(2016) 216.
Viz např. víceodvětvová výzva k podávání návrhů z roku 2016 v rámci Nástroje pro propojení Evropy, výzvy COSMO z roku 2016 týkající se programu internacionalizace klastrů.
V rámci Evropského fondu pro strategické investice lze jednotlivé projekty podporovat buď přímo, nebo nepřímo prostřednictvím investičních platforem. Tyto platformy mohou pomoci financovat menší projekty a sdružovat finanční prostředky z různých zdrojů s cílem umožnit diverzifikované investice se zeměpisným nebo tematickým zaměřením.
Viz nástroje pro inteligentní specializaci (RIS3): http://s3platform.jrc.ec.europa.eu/
Například síť Enterprise Europe Network a evropská síť regionů podílejících se na obraně poskytnou regionům nové příležitosti zkoumat přeshraniční spolupráci v oblasti dvojího užití včetně kybernetické bezpečnosti a malým a středním podnikům možnost zapojit se do zprostředkovatelských činností.
Partnerství veřejného a soukromého sektoru v oblasti infrastruktury 5G a partnerství v oblasti hodnoty dat velkého objemu.
Například partnerství veřejného a soukromého sektoru SESAR (výzkum uspořádání letového provozu jednotného evropského nebe) nebo Shift to Rail (přechod k železnici).
Aliance pro inovace v oblasti internetu věcí (AIOTI).
http://ec.europa.eu/programmes/horizon2020/en/official-documents .