(1)

Komisjon peab viienda põlvkonna (5G) võrgutehnoloogiate kasutuselevõttu tulevaste digiteenuste arengu mootoriks ja on seadnud selle digitaalse ühtse turu strateegia prioriteediks. Komisjon võttis vastu 5G tegevuskava, et tagada liidule ühenduvustaristu, mida on vaja digitaaltehnoloogiale üleminekuks alates 2020. aastast (1).

(2)

5G-võrgud arendavad edasi praeguseid neljanda põlvkonna (4G) võrgutehnoloogiaid, pakkudes uusi teenindusvõimsusi ja muutudes liidu majanduse suurte osade jaoks keskseks taristuks ja arengumootoriks. Kui 5G-võrgud on kasutusele võetud, on need aluseks väga paljudele teenustele, mis on olulised siseturu toimimiseks ning ühiskonna ja majanduse eluliselt tähtsate funktsioonide (nt energeetika, transport, pangandus, tervishoid ja tööstuslikud juhtimissüsteemid) hooldamiseks ja toimimiseks. Ka demokraatlike protsesside (nt valimised) korraldus tugineb üha rohkem digitaristule ja 5G-võrkudele.

(3)

Paljude kriitilise tähtsusega teenuste sõltuvus 5G-võrkudest muudaks süsteemse ja laiaulatusliku halvamise tagajärjed eriti raskeks. Seepärast on 5G-võrkude küberturvalisuse tagamine liidu jaoks strateegilise tähtsusega küsimus ajal, mil küberrünnakud on sagenenud ja keerulisemad kui kunagi varem.

(4)

Digitaalse ökosüsteemi aluseks olevate taristute omavaheline seotus ja riigiülesus ning asjaomaste ohtude piiriülesus tähendab, et kõik 5G-võrkudega seotud olulised nõrgad kohad ja/või ühes liikmesriigis toimuvad küberturvalisuse intsidendid mõjutaksid liitu tervikuna. Seepärast tuleks ette näha meetmed, et toetada 5G-võrkude küberturvalisuse ühtlaselt kõrget taset.

(5)

Vajadust liidu tasandi meetmete järgi on kinnitanud liikmesriigid. 21. märtsi 2019. aasta järeldustes kutsus Euroopa Ülemkogu komisjoni üles esitama soovitust 5G-võrkude turvalisuse tagamise kooskõlastatud lähenemisviisi kohta (2).

(6)

Euroopa suveräänsuse tagamine peaks olema oluline eesmärk, mille poole püüeldes tuleb täielikult austada Euroopa väärtusi, nagu avatus ja sallivus (3). ELi julgeolekut võivad ohustada ka välisinvesteeringud strateegilistes sektorites, kriitilise tähtsusega varade, tehnoloogia ja taristu omandamine liidus ning kriitilise tähtsusega seadmete tarnimine.

(7)

5G-võrkude küberturvalisus on liidu strateegilise sõltumatuse tagamisel esmatähtis, nagu on tunnistatud ühisteatises „ELi ja Hiina suhete strateegilised väljavaated“ (4).

(8)

Ka Euroopa Parlamendi resolutsioonis julgeolekuohtude kohta, mis on seotud Hiina järjest suurema tehnoloogilise kohaloluga liidus, kutsutakse komisjoni ja liikmesriike üles võtma meetmeid liidu tasandil (5).

(9)

Käesolevas soovituses käsitletakse 5G-võrkude küberturvalisuse riske, esitades suunised riiklikul tasandil võetavate asjakohaste riskianalüüsi- ja riskijuhtimismeetmete kohta, Euroopa koordineeritud riskihindamise väljatöötamise kohta ja ühiste parimate riskijuhtimismeetmete kogumi väljatöötamise protsessi kehtestamise kohta.

(10)

Elektroonilise side võrkude kaitsmiseks on liidus kehtestatud tugev õigusraamistik.

(11)

Elektroonilise side valdkonna liidu raamistik (6) edendab konkurentsi, siseturgu ja lõppkasutajate huve ning püüdleb koos Euroopa elektroonilise side seadustikuga (7) täiendava ühenduvuseesmärgi poole, mida iseloomustab järgmine tulemus: kõigile liidu kodanikele ja ettevõtjatele pakutav laialdane juurdepääs ülikiirele püsi- ja mobiilsideühendusele ning selliste ühenduste laialdane kasutuselevõtt, kaitstes samal ajal kodanike huve. Direktiiviga 2002/21/EÜ on ette nähtud, et liikmesriigid tagavad üldkasutatavate sidevõrkude terviklikkuse ja turvalisuse ning on kohustatud tagama, et üldkasutatavaid sidevõrke või üldkasutatavaid elektroonilise side teenuseid pakkuvad ettevõtjad võtavad tehnilisi ja korralduslikke meetmeid, et asjakohaselt maandada võrkude ja teenuste turvalisusega seotud riske. Samuti on selles sätestatud, et pädevatel riigi reguleerivatel asutustel on volitused, sealhulgas õigus esitada siduvaid suuniseid, et tagada selliste kohustuste täitmine.

(12)

Lisaks on Euroopa Parlamendi ja nõukogu direktiivi 2002/20/EÜ (8) kohaselt liikmesriikidel õigus lisada üldloale tingimusi, mis käsitlevad üldkasutatavate võrkude turvalisust loata juurdepääsu seisukohast, et kaitsta side konfidentsiaalsust kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 2002/58/EÜ (9).

(13)

Liit on loonud mitmeid koostööorganeid, et toetada nende kohustuste täitmist. Võrgu- ja infoturbeamet (ENISA), komisjon, liikmesriigid ja riikide reguleerivad asutused on töötanud riikide reguleerivate asutuste jaoks välja tehnilised suunised intsidentidest teatamise, turvameetmete, ohtude ja varade kohta (10). Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2016/1148 (11) loodud koostöörühm toob kokku pädevad asutused, et toetada ja hõlbustada koostööd eelkõige selliste strateegiliste juhiste andmisega küberturbe intsidentide lahendamise üksuste võrgustiku tegevuse kohta, mis hõlbustavad operatiivkoostööd tehnilisel tasandil.

(14)

Tulevane Euroopa küberturvalisuse sertifitseerimise raamistik (12) peaks moodustama olulise toetava vahendi turvalisuse ühtse taseme edendamiseks. See peaks võimaldama välja töötada küberturvalisuse sertifitseerimise kavad, et reageerida 5G-seadmete ja tarkvara kasutajate vajadustele. Need taristud on kriitilise tähtsusega ja seepärast peaks peamine prioriteet olema asjakohaste Euroopa küberturvalisuse sertifitseerimise kavade väljatöötamine 5G võrkudes kasutatavate info- ja kommunikatsioonitehnoloogia toodete, teenuste või protsesside jaoks. Liikmesriigid ja turuosalised peaksid aktiivselt osalema selliste sertifitseerimiskavade väljatöötamises, sealhulgas toetama 5G-võrkude konkreetsete kaitseprofiilide kindlaksmääramist.

(15)

Kuna liidu tasandil ei ole õigusnorme ühtlustatud, võivad liikmesriigid näha liidu õiguse kohaselt vastu võetud riiklike tehniliste normidega ette, et Euroopa küberturvalisuse sertifitseerimise kava on kohustuslik. Liikmesriigid saavad Euroopa küberturvalisuse sertifitseerimise kavasid kasutada ka riigihangete ja Euroopa Parlamendi ja nõukogu direktiivi 2014/24/EL (13) kontekstis ning võiksid toetada selliste abimehhanismide (nt abikeskus) väljatöötamist, mis on suunatud küberturvalisuse lahendusi hankivatele avaliku sektori hankijatele.

(16)

Kõrgetasemeline andmekaitse ja privaatsus on olulised tegurid 5G-võrkude turvalisuse tagamisel. Liidu tasandil on kehtestatud õigusnormid, millega tagatakse isikuandmete töötlemise turvalisus, sealhulgas elektroonilise side puhul. Isikuandmete kaitse üldmäärusega (14) on kehtestatud kohustus töödelda isikuandmeid viisil, mis tagab nende turvalisuse, sealhulgas hoiab ära loata juurdepääsu isikuandmetele ja nende töötlemiseks kasutatavatele seadmetele loata juurdepääsu ja nende loata kasutamise. Eraelu puutumatust ja elektroonilist sidet käsitlevas direktiivis on sätestatud konkreetsed õigusnormid side ja lõppkasutajate lõppseadmete konfidentsiaalsuse kaitse kohta. Samuti nähakse sellega teenuseosutajatele ette kohustus võtta oma teenuste turvalisuse tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid.

(17)

Samuti on liit võtnud vastu õigusakti, millega kaitstakse elutähtsaid taristuid ja tehnoloogiaid, näiteks neid, mida kasutatakse sides, võimaldades liikmesriikidel teha julgeoleku või avaliku korra huvides taustauuringuid välismaiste otseinvesteeringute kohta ning luues koostöömehhanismi, mille raames saavad liikmesriigid ja komisjon vahetada teavet ja tõstatada küsimusi seoses konkreetsete investeeringutega (15).

(18)

Liikmesriigid ja ettevõtjad teevad praegu olulisi ettevalmistusi 5G-võrkude ulatuslikuks kasutuselevõtuks. Mitu liikmesriiki on väljendanud muret seoses 5G-võrkude võimalike turvariskidega, mis tulenevad 5G-võrkude jaoks määratud raadiospektri sagedusalade kasutamise õiguste andmise menetlustest, (16) ja analüüsinud meetmeid nende riskide maandamiseks.

(19)

5G-võrkude küberturvalisuse riskidega tegelemisel tuleks võtta arvesse nii tehnilisi kui ka muid tegureid. Tehniliste tegurite hulka võivad kuuluda küberturvalisuse nõrkused, mida võidakse ära kasutada, et saada loata juurdepääs teabele (küberspionaaž, olgu see majanduslikel või poliitilistel põhjustel), või muudel kuritegelikel eesmärkidel (küberründed, mille eesmärk on süsteemide ja andmete halvamine või hävitamine). Tuleks kaaluda vajadust kaitsta võrke kogu nende kasutusaja jooksul ja hõlmata kõik asjaomased seadmed nii 5G-võrkude projekteerimis-, arendus-, hanke-, kasutuselevõtu-, käitamis- kui ka hooldusetapis.

(20)

Muud tegurid võivad hõlmata info- ja kommunikatsioonitehnoloogia seadmete tarnijatele kehtestatud regulatiivseid või muid nõudeid. Selliste tegurite olulisuse hindamisel tuleks muu hulgas arvesse võtta kolmanda riigi poolse mõjutamise üldist riski, eelkõige seoses tema juhtimismudeliga, küberjulgeolekualaste koostöökokkulepete või sarnaste andmekaitsealaste kokkulepete (nt kaitse piisavuse otsused) puudumist liidu ja asjaomase kolmanda riigi vahel või seda, kas kõnealune riik on osaline mitmepoolsetes, rahvusvahelistes või kahepoolsetes lepingutes, mis käsitlevad küberjulgeolekut, küberkuritegevuse vastast võitlust või andmekaitset.

(21)

5G-võrkude küberturvalisuse alase liidu lähenemisviisi väljatöötamise olulise sammuna tuleks riikide tasandil läbi viia riskihindamine. Riskihindamise tulemuste põhjal saaksid liikmesriigid kohandada turvanõudeid ja riskijuhtimist käsitlevaid siseriiklikke meetmeid.

(22)

Välja tuleks töötada koordineerimiskord, et tagada küberturvalisuse riskide maandamise meetmete tõhusus, pidades silmas, et need meetmed on esmatähtsad siseturu tõrgeteta toimimiseks ning isikuandmete ja privaatsuse kaitseks.

(23)

Riikide riskihindamised peaksid olema aluseks liidu koordineeritud riskihindamisele, mis koosneb ohtude kaardistamisest ja ühisest läbivaatamisest, mille teevad liikmesriigid komisjoni toel ja koos Euroopa Liidu Küberturvalisuse Ametiga (ENISA).

(24)

Võttes arvesse liikmesriikide ja liidu riskihindamise tulemusi, peaks koostöörühm koostama meetmete kogumi, mille abil määratakse kindlaks küberturvalisuse riskide ja riskide maandamise võimalike meetmete liigid näiteks sertifitseerimise, testimise ja juurdepääsu kontrollimise valdkonnas. Samuti peaks see määrama kindlaks võimalikud erimeetmed, mis sobivad ühe või mitme liikmesriigi tuvastatud riskide maandamiseks. Koostöörühma peaks toetama Euroopa Liidu Küberturvalisuse Amet (ENISA), Europol, Elektroonilise Side Euroopa Reguleerivate Asutuste Ühendatud Amet (BEREC) ja ELi luure- ja situatsioonikeskus. See meetmete kogum peaks toimima komisjoni jaoks abinõuna, mille alusel töötada välja ühised miinimumnõuded 5G-võrkude küberturvalisuse kõrge taseme tagamiseks kogu liidus.

(25)

Kui võetakse meetmeid küberturvalisuse riskide maandamiseks, tuleks kaaluda küberturvalisuse edendamist seeläbi, et mis tahes üheainsa võrgu loomisel kasutatakse erinevaid tarnijaid.

(26)

Käesolev soovitus ei tohiks piirata liikmesriikide pädevust seoses tegevusega, mis on seotud avaliku julgeoleku, riigikaitse, riigi julgeoleku ja riigi tegevusega kriminaalõiguse valdkonnas, sealhulgas liikmesriikide õigusega jätta pakkujad või tarnijad oma turgudelt riigi julgeoleku huvides välja.

1.

2.

a)   „5G-võrgud“– kõigi selliste asjaomaste võrgutaristu elementide kogum, mida kasutatakse mobiil- ja traadita side tehnoloogiates täiustatud käitamisnäitajatega (näiteks ülisuur andmeedastuskiirus ja läbilaskevõime, lühikese latentsusajaga ühendused ning ülisuur töökindlus) ühenduvusteenuste ja lisaväärtusega teenuste jaoks või paljude omavahel ühendatud seadmete töö toetamiseks. Need võivad hõlmata pärandvõrgu elemente, mis põhinevad varasema põlvkonna mobiil- ja traadita side tehnoloogial (nt 4G või 3G). 5G-võrkude mõiste peaks hõlmama kõiki võrgu asjaomaseid osi;

b)   „digitaalse ökosüsteemi aluseks olev taristu“– taristu, mida kasutatakse kriitilise tähtsusega rakenduste kaudu majanduse ja ühiskonna digitaliseerimiseks.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

18.

19.