(1)

Komissio on katsonut, että viidennen sukupolven (5G) verkkoteknologian käyttöönotto on merkittävä tulevaisuuden digitaalipalvelujen mahdollistaja ja digitaalisten sisämarkkinoiden strategian painopiste. Komissio hyväksyi 5G-toimintasuunnitelman varmistaakseen, että unionilla on vuodesta 2020 käytettävissään digitalisaation edellyttämä yhteenliitettävyysinfrastruktuuri (1).

(2)

5G-verkoilla kehitetään nykyistä neljännen sukupolven (4G) verkkoteknologiaa tarjoamalla uutta palvelukapasiteettia, jolloin verkoista tulee monilta osin unionin talouden keskeinen infrastruktuuri ja mahdollistaja. Kun 5G-verkot on otettu käyttöön, ne muodostavat selkärangan monenlaisille palveluille, jotka ovat olennaisia sisämarkkinoiden toiminnan kannalta. Ne ovat tarpeen myös, jotta voidaan ylläpitää yhteiskunnan ja talouden keskeisiä toimintoja, jotka liittyvät esimerkiksi energiaan, liikenteeseen, pankkialaan, terveyteen ja teollisuuden hallintajärjestelmiin. Demokraattisten prosessien, kuten vaalien, järjestäminen tulee myös nojautumaan yhä enemmän digitaaliseen infrastruktuuriin ja 5G-verkkoihin.

(3)

Monet kriittiset palvelut ovat riippuvaisia 5G-verkoista, minkä vuoksi laajan järjestelmähäiriön seuraukset olisivat erityisen vakavia. Sen vuoksi 5G-verkkojen kyberturvallisuus on unionille strategisesti tärkeä kysymys aikana, jona kyberhyökkäysten määrä on kasvussa ja ne ovat kehittyneempiä kuin koskaan.

(4)

Digitaalista ekosysteemiä tukevat infrastruktuurit ovat kytköksissä toisiinsa ja luonteeltaan ylikansallisia, ja niitä koskevat uhat ovat luonteeltaan rajatylittäviä. Sen vuoksi kaikki yhdessä jäsenvaltiossa ilmenevät 5G-verkkoja koskevat merkittävät heikkoudet ja/tai kyberhäiriötilanteet vaikuttaisivat koko unioniin. Tästä syystä olisi säädettävä toimenpiteistä, joilla tuetaan 5G-verkkojen yhteistä korkeatasoista kyberturvallisuutta.

(5)

Jäsenvaltiot ovat vahvistaneet, että tarvitaan unionin tason toimia. Eurooppa-neuvosto ilmoitti 21. maaliskuuta 2019 antamissaan päätelmissä odottavansa komissiolta suositusta 5G-verkkojen turvallisuutta koskeviksi yhteisiksi toimintalinjoiksi (2).

(6)

Euroopan suvereeniuden varmistamisen olisi oltava keskeinen tavoite, kuitenkin täysin avoimuutta ja suvaitsevaisuutta koskevia EU:n arvoja kunnioittaen (3). Ulkomaiset sijoitukset strategisilla aloilla, EU:ssa sijaitsevien kriittisten omaisuuserien, teknologioiden ja infrastruktuurin hankinnat ja kriittisten laitteiden toimitukset voivat aiheuttaa riskejä EU:n turvallisuudelle.

(7)

5G-verkkojen kyberturvallisuus on keskeistä unionin strategisen riippumattomuden varmistamisessa, kuten yhteisessä tiedonannossa ”Strateginen katsaus EU:n ja Kiinan suhteisiin” (4) todetaan.

(8)

Myös Euroopan parlamentin päätöslauselmassa turvallisuusuhkista, jotka liittyvät kiinalaisen teknologian lisääntymiseen EU:ssa (5), kehotetaan komissiota ja jäsenvaltioita toteuttamaan unionin tason toimia.

(9)

Tässä suosituksessa käsitellään 5G-verkkojen kyberturvallisuusriskejä ja annetaan ohjausta, joka koskee asianmukaista riskianalyysia ja kansallisen tason riskienhallintatoimia, koordinoidun Euroopan tason riskianalyysin kehittämistä sekä sellaisen prosessin laatimista, jolla kehitetään parhaista riskienhallintatoimenpiteistä koostuva yhteinen välineistö.

(10)

Sähköisten viestintäverkkojen suojaamiseksi on jo olemassa vahva unionin lainsäädäntökehys.

(11)

Sähköistä viestintää koskeva unionin järjestelmä (6) edistää kilpailua, kehittää sisämarkkinoita ja suojelee loppukäyttäjän etuja. Lisäksi sillä on eurooppalaisen sähköisen viestinnän säännöstöön (7) liittyvä verkkoyhteyksiä koskeva lisätavoite, joka ilmaistaan tuotoksina: sekä kiinteiden että liikkuvien erittäin suuren kapasiteetin yhteyksien laaja saatavuus ja käyttöönotto kaikkien unionin kansalaisten ja yritysten keskuudessa. Direktiivissä 2002/21/EY edellytetään, että jäsenvaltiot varmistavat yleisten viestinnän verkkojen eheyden ja turvallisuuden. Lisäksi ne velvoitetaan varmistamaan, että yleisiä viestintäverkkoja tai yleisesti saatavilla olevia sähköisiä viestintäpalveluja tarjoavat yritykset toteuttavat tarvittavat tekniset ja organisatoriset toimenpiteet hallitakseen asianmukaisesti verkkojen tai palvelujen turvallisuuteen kohdistuvia riskejä. Direktiivissä säädetään myös, että toimivaltaisilla kansallisilla sääntelyviranomaisilla on valtuuksia, myös valtuudet antaa sitovia ohjeita, tällaisten velvoitteiden noudattamisen varmistamiseksi.

(12)

Euroopan parlamentin ja neuvoston direktiivi 2002/20/EY (8) mahdollistaa myös sen, että jäsenvaltiot voivat viestinnän luottamuksellisuuden suojaamiseksi Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (9) mukaisesti liittää yleisvaltuutukseen ehtoja, jotka koskevat julkisten verkkojen turvaamista luvatonta käyttöä vastaan.

(13)

Unioni on perustanut useita yhteistyöelimiä näiden velvoitteiden noudattamisen tukemiseksi. Euroopan unionin verkko- ja tietoturvavirasto (ENISA), komissio, jäsenvaltiot ja kansalliset sääntelyviranomaiset ovat kehittäneet kansallisille sääntelyviranomaisille tekniset suuntaviivat, jotka koskevat poikkeamista ilmoittamista, turvatoimia sekä uhkia ja omaisuutta (10). Euroopan parlamentin ja neuvoston direktiivillä (EU) 2016/1148 (11) perustettu, toimivaltaisista viranomaisista koostuva yhteistyöryhmä tukee ja helpottaa yhteistyötä erityisesti antamalla strategista ohjausta tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden verkoston toimia varten. Verkosto helpottaa operatiivista yhteistyötä teknisellä tasolla.

(14)

Euroopan uuden kyberturvallisuussertifiointikehyksen (12) pitäisi olla olennainen tukiväline johdonmukaisen turvallisuustason edistämiseksi. Sen pitäisi mahdollistaa sellaisten kyberturvallisuussertifiointijärjestelmien kehittäminen, joilla vastataan 5G:tä hyödyntävien laitteiden ja ohjelmistojen käyttäjien tarpeisiin. Tämä infrastruktuuri on kriittisen tärkeää, minkä vuoksi ensisijaisena tavoitteena pitäisi olla asiaa koskevien eurooppalaisten kyberturvallisuussertifiointijärjestelmien kehittäminen 5G-verkoissa käytettäville tieto- ja viestintätekniikan tuotteille, palveluille ja prosesseille. Jäsenvaltioiden ja markkinatoimijoiden olisi osallistuttava aktiivisesti tällaisten sertifiointijärjestelmien kehittämiseen, myös tukemalla erityisten suojausprofiilien kehittämistä 5G-verkoille.

(15)

Koska lainsäädäntöä ei ole yhdenmukaistettu unionin tasolla, jäsenvaltiot voivat määritellä unionin lainsäädännön mukaisesti annetuilla kansallisilla teknisillä määräyksillä, että eurooppalaisen kyberturvallisuussertifiointijärjestelmän pitäisi olla pakollinen. Jäsenvaltiot voivat käyttää eurooppalaisia kyberturvallisuussertifiointijärjestelmiä myös julkisten hankintojen ja Euroopan parlamentin ja neuvoston direktiivin 2014/24/EU (13) soveltamisen yhteydessä. Lisäksi ne voisivat tukea tukimekanismien – kuten neuvontakeskuksen – perustamista sellaisten julkisen sektorin ostajien avuksi, jotka ostavat kyberturvallisuuden alan ratkaisuja.

(16)

Tietosuojan ja yksityisyyden korkealla tasolla on tärkeä asema 5G-verkkojen turvallisuuden varmistamisessa. Unionin tasolla on lisäksi määritelty sääntöjä, joilla varmistetaan henkilötietojen käsittelyn turvallisuus, myös sähköisen viestinnän yhteydessä. Yleisessä tietosuoja-asetuksessa (14) asetetaan velvoite käsitellä henkilötietoja tavalla, jolla varmistetaan niiden turvallisuus, myös estämällä luvaton pääsy henkilötietoihin ja niiden käsittelyyn käytettyihin laitteisiin sekä näiden tietojen ja laitteiden luvaton käyttö. Sähköisen viestinnän tietosuojadirektiivissä määritellään erityiset säännöt, jotka koskevat viestinnän ja loppukäyttäjille tarkoitettujen päätelaitteiden luottamuksellisuuden suojaamista. Lisäksi siinä asetetaan palveluntuottajille velvoite toteuttaa tarvittavat tekniset ja organisatoriset toimenpiteet palvelujensa turvallisuuden varmistamiseksi.

(17)

Unioni on lisäksi hyväksynyt säädöksen, jolla suojellaan kriittisiä, esimerkiksi viestinnässä käytettäviä, infrastruktuureja ja teknologioita sallimalla jäsenvaltioiden seurata ulkomaisia suoria sijoituksia turvallisuuteen ja yleiseen järjestykseen liittyvistä syistä ja perustamalla yhteistyömekanismi, jonka puitteissa jäsenvaltiot ja komissio voivat vaihtaa tietoja ja ottaa esiin huolenaiheita, jotka liittyvät tiettyihin sijoituksiin (15).

(18)

Jäsenvaltiot ja operaattorit toteuttavat tällä hetkellä tärkeitä toimia 5G-verkkojen laajamittaisen käyttöönoton mahdollistamiseksi. Useat jäsenvaltiot ovat ilmaisseet huolensa 5G-verkkoihin liittyvistä mahdollisista turvallisuusriskeistä, kun on kyse 5G-verkoille suunniteltujen radiotaajuusalueiden käyttöoikeuksien myöntämismenettelyistä, ja harkinneet toimenpiteitä näiden riskien varalta (16).

(19)

5G-verkkojen kyberturvallisuusriskejä vähennettäessä olisi otettava huomioon sekä teknisiä että muita tekijöitä. Teknisiä tekijöitä voivat olla esimerkiksi kyberhaavoittuvuudet, joita voidaan hyödyntää luvattoman pääsyn saamiseksi tietoihin (kybervakoilu taloudellisiin tai poliittisiin tarkoituksiin) taikka muihin haitantekotarkoituksiin (kyberhyökkäykset, joilla pyritään häiritsemään tai tuhoamaan järjestelmiä ja tietoja). Tärkeitä näkökohtia, joita olisi pohdittava, ovat tarve suojella verkostoja niiden koko elinkaaren ajan sekä tarve kattaa kaikki asiaan liittyvät laitteet, mukaan lukien 5G-verkkojen suunnittelu-, kehitys-, hankinta-, käyttöönotto-, toiminta- ja ylläpitovaiheissa.

(20)

Muut tekijät voivat olla esimerkiksi sääntelyllisiä tai muita vaatimuksia, jotka koskevat tieto- ja viestintäteknologialaitteiden toimittajia. Tällaisten tekijöiden merkityksen arvioinnissa olisi otettava huomioon muun muassa kolmannen maan vaikutuksen kokonaisriski, erityisesti sen hallintomalliin liittyen, turvallisuutta koskevien yhteistyösopimusten tai muiden vastaavien tietosuojaan liittyvien järjestelyjen, kuten tietosuojan riittävyyttä koskevien päätösten, puute unionin ja kyseisen kolmannen maan välillä sekä se, onko kyseinen maa osapuolena monenvälisissä, kansainvälisissä tai kahdenvälisissä sopimuksissa, jotka koskevat kyberturvallisuutta, kyberrikollisuuden torjuntaa tai tietosuojaa.

(21)

Tärkeä vaihe 5G-verkkojen kyberturvallisuutta koskevan unionin toimintatavan kehittämisessä olisi riskinarvioinnin toteuttaminen kansallisella tasolla. Tämä auttaisi jäsenvaltioita mukauttamaan turvavaatimuksia ja riskienhallintaa koskevia kansallisia toimenpiteitään arvioinnin tulosten perusteella.

(22)

Koordinointia olisi kehitettävä, jotta voitaisiin varmistaa kyberturvallisuusuhkien lieventämiseen tarkoitettujen toimenpiteiden tehokkuus. Nämä toimenpiteet ovat olennaisia sisämarkkinoiden moitteettoman toiminnan ja henkilötietojen ja yksityisyyden suojan kannalta.

(23)

Kansallisen riskinarvioinnin pitäisi muodostaa perusta unionin koordinoidulle riskinarvioinnille, joka muodostuu uhkaympäristön kartoittamisesta sekä yhteisestä arvioinnista, jonka jäsenvaltiot toteuttavat komission tuella yhdessä Euroopan unionin kyberturvallisuusviraston (ENISA) kanssa.

(24)

Yhteistyöryhmän olisi kansalliset ja unionin riskinarvioinnit huomioon ottaen laadittava välineistö, jossa yksilöidään kyberturvallisuusuhkien ja niiden lieventämiseen tähtäävien mahdollisten toimenpiteiden tyypit esimerkiksi sertifioinnin, testauksen ja pääsynvalvonnan aloilla. Lisäksi sen olisi yksilöitävä mahdollisia erityistoimenpiteitä, jotka soveltuvat yhden tai useamman jäsenvaltion havaitsemien riskien lieventämiseen. Yhteistyöryhmän olisi hyödynnettävä Euroopan unionin kyberturvallisuusviraston (ENISA), Europolin, Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelimen (BEREC) ja EU:n tiedusteluanalyysikeskuksen tukea. Komission pitäisi hyödyntää välineistöä kehittäessään yhteisiä vähimmäisvaatimuksia, jotta 5G-verkkojen kyberturvallisuuden korkeaa tasoa voitaisiin parantaa entisestään kaikkialla unionissa.

(25)

Toteutettaessa toimenpiteitä kyberturvallisuusriskien lieventämiseksi olisi otettava huomioon kyberturvallisuuden pitäminen esillä erilaisten palveluntuottajien kautta kutakin yksittäistä verkkoa rakennettaessa.

(26)

Tämä suositus ei saisi rajoittaa jäsenvaltioiden toimivaltaa sellaisten toimien osalta, jotka koskevat yleistä turvallisuutta, puolustusta, kansallista turvallisuutta tai yksittäisen valtion toimia rikosoikeuden alalla, mukaan lukien jäsenvaltioiden oikeus sulkea palveluntuottajia ja toimittajia markkinoiltaan kansalliseen turvallisuuteen liittyvistä syistä,

1)

2)

3)

4)

5)

6)

7)

8)

9)

10)

11)

12)

13)

14)

15)

16)

17)

18)

19)