(1)

A Bizottság a hálózati technológiák 5. generációjának (5G) telepítését a jövőbeli digitális szolgáltatások egyik fő elősegítő tényezőjeként, valamint a digitális egységes piaci stratégia egyik prioritásaként ismerte el. A Bizottság elfogadta az 5G cselekvési tervet annak biztosítása érdekében, hogy az Unió 2020-től rendelkezzen a digitális átalakulásához szükséges hálózati infrastruktúrával (1).

(2)

Az 5G hálózatok a jelenlegi 4. generációs hálózati technológiákra fognak épülni (4G), új szolgáltatási képességeket biztosítanak, és az uniós gazdaság nagy része számára központi infrastruktúrává és katalizátorrá fognak válni. Az 5G-hálózatok kiépülésük után a belső piac működése, valamint a létfontosságú társadalmi és gazdasági funkciók – például az energia, a közlekedés, a banki szolgáltatások és az egészségügy –, továbbá az ipari ellenőrzési rendszerek fenntartása és működtetése szempontjából alapvető fontosságú szolgáltatások széles körének gerincét fogják képezni. A demokratikus folyamatok, például a választások megszervezése is egyre inkább a digitális infrastruktúrára és az 5G-hálózatokra fog támaszkodni.

(3)

Számos kritikus szolgáltatásnak az 5G hálózatoktól való függése miatt a rendszerszintű és széles körű zavarok következményei különösen súlyosak lennének. Ennek következtében az 5G hálózatok kiberbiztonságának megvalósítása stratégiai fontosságú kérdés az Unió számára egy olyan időszakban, amikor a kibertámadások egyre gyakoribbakká válnak és kifinomultabbak, mint valaha.

(4)

A digitális ökoszisztémát kiszolgáló infrastruktúrák egymáshoz kapcsolódó és transznacionális, illetve a szóban forgó fenyegetések határokon átnyúló jellege miatt a tagállamok egyikében bekövetkező, az 5G hálózatokat érintő jelentős sebezhetőségek és/vagy kiberbiztonsági események az Unió egészét érintenék. Ezért kell intézkedéseket hozni az 5G hálózatok egységesen magas kiberbiztonsági szintjének alátámasztására.

(5)

Az uniós szintű fellépés szükségességét a tagállamok megerősítették. Az Európai Tanács 2019. március 21-i következtetéseiben várakozással tekintett az 5G hálózatok biztonságára vonatkozó egységes megközelítésre irányuló bizottsági ajánlás elé (2).

(6)

Fontos célként kell kezelni az európai szuverenitás biztosítását, teljes mértékben tiszteletben tartva a nyitottság és a tolerancia európai értékeit (3). A stratégiai ágazatokba irányuló külföldi beruházások, a kritikus eszközök, technológiák és infrastruktúra felvásárlása az EU-ban, valamint a kritikus berendezések beszállítása is kockázatot jelenthetnek az EU biztonságára.

(7)

Az 5G hálózatok kiberbiztonsága kulcsfontosságú az Unió stratégiai autonómiájának biztosítása szempontjából, amint azt „Az EU és Kína – stratégiai kilátások” című közös közlemény (4) is elismeri.

(8)

Az unióbeli növekvő kínai technológiai jelenléttel kapcsolatos biztonsági fenyegetésekre vonatkozó európai parlamenti állásfoglalás arra is felhívja a Bizottságot és a tagállamokat, hogy tegyenek uniós szintű intézkedéseket (5).

(9)

Ez az ajánlás az 5G hálózatok kiberbiztonsági kockázataival foglalkozik azáltal, hogy iránymutatást nyújt a megfelelő nemzeti szintű kockázatelemzési és -kezelési intézkedésekhez, egy összehangolt európai kockázatértékelés kidolgozásához, valamint a legjobb kockázatkezelési intézkedések közös eszköztárának kidolgozására irányuló folyamat kialakításához.

(10)

Az elektronikus hírközlő hálózatok védelmének uniós jogi kerete erős.

(11)

Az elektronikus hírközlés (6) területére vonatkozó uniós keret előmozdítja a versenyt, a belső piacot és a végfelhasználói érdekeket, és az Európai Elektronikus Hírközlési Kódexszel (7) együtt egy, az elért eredmények tekintetében megfogalmazott további összeköttetési célkitűzéssel is rendelkezik: széles körű hozzáférés a nagyon nagy kapacitású helyhez kötött és mobil internetkapcsolatokhoz és ezek igénybevétele valamennyi uniós polgár és vállalkozás által, a polgárok érdekeinek védelme mellett. A 2002/21/EK irányelv előírja a tagállamok számára a nyilvános hírközlő hálózatok integritásának és biztonságának fenntartását, továbbá olyan kötelezettségeket fogalmaz meg, miszerint a nyilvános hírközlő hálózatokat szolgáltató és a nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat nyújtó vállalkozásoknak műszaki és szervezési intézkedéseket kell tenniük a hálózatok és szolgáltatások biztonságát fenyegető kockázatok megfelelő kezelése érdekében. Az irányelv az ilyen kötelezettségek teljesítésének biztosítása érdekében a nemzeti szabályozó hatóságok hatásköréről is rendelkezik, beleértve a kötelező erejű utasítások kiadására vonatkozó hatáskört is.

(12)

Ezen túlmenően a 2002/20/EK európai parlamenti és tanácsi irányelv (8) lehetővé teszi a tagállamok számára, hogy a jogosulatlan hozzáférés elleni, a nyilvános hálózatok biztonságára vonatkozó feltételeket csatoljanak az általános felhatalmazáshoz, a közlések titkosságának a 2002/58/EK európai parlamenti és tanácsi irányelv (9) szerinti védelme céljából.

(13)

E kötelezettségek végrehajtásának támogatása érdekében az Unió számos együttműködési testületet hozott létre. Az Európai Hálózat- és Információbiztonsági Ügynökség (ENISA), a Bizottság, a tagállamok és a nemzeti szabályozó hatóságok technikai iránymutatásokat dolgoztak ki a nemzeti szabályozó hatóságok számára a biztonsági események bejelentésére, a biztonsági intézkedésekre, valamint a fenyegetésekre és eszközökre vonatkozóan (10). Az (EU) 2016/1148 európai parlamenti és tanácsi irányelv (11) által létrehozott együttműködési csoport (a továbbiakban: az együttműködési csoport) az illetékes hatóságokat tömöríti az együttműködés támogatása és megkönnyítése érdekében, különösen azáltal, hogy stratégiai iránymutatást nyújt a számítógép-biztonsági eseményekre reagáló csoportok hálózatának tevékenységeihez, amely technikai szinten elősegíti az operatív együttműködést.

(14)

A jövőbeli európai kiberbiztonsági tanúsítási rendszernek (12) fontos támogató eszközként kell szolgálnia a biztonság egységes szintjének előmozdításához. Lehetővé kell tennie kiberbiztonsági tanúsítási rendszerek kidolgozását annak érdekében, hogy kielégítse az 5G-hez kapcsolódó felszerelések és szoftverek felhasználóinak igényeit. Ezeknek az infrastruktúráknak a kritikus jelentőségére tekintettel az 5G hálózatokhoz használt információs és kommunikációs technológiai termékekre, szolgáltatásokra és eljárásokra vonatkozó európai kiberbiztonsági tanúsítási rendszerek fejlesztésének azonnali prioritást kell képeznie. A tagállamoknak és a piaci szereplőknek aktívan részt kell venniük az ilyen tanúsítási rendszerek kidolgozásában, beleértve az 5G hálózatok egyedi védelmi profiljának meghatározásához nyújtott támogatást.

(15)

Harmonizált uniós jogszabályok hiányában a tagállamok az uniós joggal összhangban elfogadott nemzeti műszaki előírások útján elrendelhetik valamely európai kiberbiztonsági tanúsítási rendszer kötelező jellegét. A tagállamok a közbeszerzések és a 2014/24/EU európai parlamenti és tanácsi irányelv (13) kontextusában hozzáférnek európai kiberbiztonsági tanúsítási rendszerekhez, és támogathatnák segítségnyújtási mechanizmusok – például egy támogatási pont – kialakítását, amelyek kiberbiztonsági megoldások közszférába tartozó vásárlók általi beszerzését szolgálnák.

(16)

Az adatok és a magánélet magas szintű védelme fontos eleme az 5G hálózatok biztonságának. Uniós szinten is meghatározták azokat a szabályokat, amelyek biztosítják a személyes adatok kezelésének biztonságát, többek között az elektronikus hírközlés során. Az általános adatvédelmi rendelet (14) előírja, hogy a személyes adatokat olyan módon kell kezelni, amely szavatolja azok biztonságát, beleértve a személyes adatokhoz vagy a kezelésükhöz használt felszereléshez való jogosulatlan hozzáféréssel, vagy az ilyen adatok vagy felszerelések jogosulatlan használatával szembeni védelmet is. Az elektronikus hírközlési adatvédelmi irányelv külön szabályokat állapít meg a közlések titkosságának és a végfelhasználók végberendezéseinek védelmére. Emellett kötelezi a szolgáltatókat, hogy tegyenek megfelelő technikai és szervezési intézkedéseket szolgáltatásaik biztonságának védelme érdekében.

(17)

Az Unió elfogadott egy olyan eszközt is, amely védeni fogja a kritikus infrastruktúrákat és a technológiákat (például a kommunikáció során használtakat) azáltal, hogy lehetővé teszi a tagállamok számára a közvetlen külföldi befektetések biztonsági vagy közrendi okokból történő átvilágítását, és olyan együttműködési mechanizmust hoz létre, amelyben a tagállamok és a Bizottság információcserét folytathatnak és konkrét befektetésekkel kapcsolatos aggályokat vethetnek fel (15).

(18)

A tagállamok és a piaci szereplők jelenleg fontos előkészítő lépéseket tesznek az 5G hálózatok széles körű bevezetésének lehetővé tétele érdekében. Több tagállam aggodalmát fejezte ki az 5G hálózatokkal kapcsolatos potenciális biztonsági kockázatokkal kapcsolatban az 5G hálózatok számára kijelölt rádiófrekvencia-sávokban történő használati jogok odaítélésére vonatkozó eljárások végrehajtása keretében (16), és vizsgálták az e kockázatok kezelésére szolgáló lehetséges intézkedéseket.

(19)

Az 5G hálózatokon belüli kiberbiztonsági kockázatok kezelése során figyelembe kell venni mind a technikai, mind az egyéb tényezőket. A technikai tényezők közé tartozhatnak az olyan kiberbiztonsági sebezhetőségek, amelyek az információkhoz való jogosulatlan hozzáférésre (kiberkémkedés akár gazdasági, akár politikai okokból) vagy más rosszhiszemű célra is felhasználhatók (a rendszerek és adatok megzavarását vagy megsemmisítését célzó kibertámadások). A figyelembe veendő szempontok a hálózatok védelmének szükségessége teljes életciklusuk során, valamint az, hogy a védelemnek minden érintett berendezésre ki kell terjednie, az 5G hálózatok tervezési, fejlesztési, közbeszerzési, kiépítési, üzemeltetési és fenntartási szakaszai során is.

(20)

Egyéb tényezők lehetnek az információs és kommunikációs technológiai berendezések beszállítóira vonatkozó szabályozási vagy egyéb követelmények. Az ilyen tényezők jelentőségének értékelésénél figyelembe kell venni többek között a harmadik ország által gyakorolt befolyás általános kockázatát, különösen az irányítási modell, a biztonságra vonatkozó együttműködési megállapodások hiánya vagy az Unió és az érintett harmadik ország közötti hasonló adatvédelmi megállapodások – például megfelelőségi határozatok – tekintetében, illetve azt, hogy ez az ország részese-e a kiberbiztonsággal, a kiberbűnözés elleni küzdelemmel vagy az adatvédelemmel kapcsolatos többoldalú, nemzetközi vagy kétoldalú megállapodásoknak.

(21)

Az 5G hálózatok kiberbiztonságára vonatkozó uniós megközelítés kidolgozásának fontos lépéseként a kockázatértékelést tagállami szinten kell elvégezni és lezárni. Ez segítené a tagállamokat a biztonsági követelményekre és a kockázatkezelésre vonatkozó tagállami intézkedések ezen értékelés szerint történő kiigazításában.

(22)

Az ilyen kiberbiztonsági fenyegetések kezelését célzó intézkedések hatékonyságának biztosítása érdekében olyan koordinációs intézkedéseket kell kidolgozni, amelyek elengedhetetlenek a belső piac zavartalan működéséhez, valamint a személyes adatok és a magánélet védelméhez.

(23)

A nemzeti kockázatértékeléseknek kell az összehangolt uniós kockázatértékelés alapjául szolgálniuk, amely a veszélyek feltérképezéséből és egy közös felülvizsgálatból áll, ezt a tagállamok a Bizottság támogatásával és az Európai Uniós Kiberbiztonsági Ügynökséggel (ENISA) közösen végzik el.

(24)

A nemzeti és uniós kockázatértékeléseket figyelembe véve az együttműködési csoportnak meg kell határoznia a kiberbiztonsági kockázatok típusainak azonosítására szolgáló eszköztárat, valamint az olyan területek kockázatainak csökkentésére irányuló lehetséges intézkedéseket, mint a tanúsítás, a tesztelés és a hozzáférés-ellenőrzés. A csoportnak ezenkívül meg kell határoznia az egy vagy több tagállam által azonosított kockázatok kezelésére alkalmas lehetséges egyedi intézkedéseket. Az együttműködési csoportnak az Európai Uniós Kiberbiztonsági Ügynökség (ENISA), az Europol, az Európai Elektronikus Hírközlési Szabályozók Testülete (BEREC) és az Európai Unió Helyzetelemző Központjának támogatására kell támaszkodnia. Ez az eszköztár arra szolgál, hogy tanácsokkal lássa el a Bizottságot a minimális közös követelmények kidolgozásával kapcsolatban, amelyekre az 5G hálózatok magas szintű, az Unió egész területén érvényesülő kiberbiztonságának további biztosítása érdekében van szükség.

(25)

Amennyiben intézkedéseket hoznak a kiberbiztonsági kockázatok kezelésére, egy hálózat kiépítésekor figyelembe kell venni, hogy a kiberbiztonság előmozdítását sokféle beszállítón keresztül kell megvalósítani.

(26)

Ez az ajánlás nem sértheti a tagállamoknak a közbiztonsággal, a védelemmel és a nemzetbiztonsággal kapcsolatos tevékenységeire, illetve az államnak a büntetőjog területén végzett tevékenységeire vonatkozó hatáskörét, beleértve a tagállamok azon jogát, hogy piacaikról nemzetbiztonsági okokból szolgáltatókat vagy beszállítókat zárjanak ki.

(1)

(2)

a)   „5 G hálózatok”: a mobil és vezeték nélküli kommunikációs technológiákkal kapcsolatos releváns hálózati infrastrukturális elemek összessége, amelyeket olyan kiváló teljesítményjellemzőkkel rendelkező konnektivitási szolgáltatásokban és hozzáadott értéket képviselő szolgáltatásokban alkalmaznak, mint a nagyon nagy adatátviteli sebesség és kapacitás, az alacsony válaszidő, a nagy fokú megbízhatóság vagy az összekapcsolt eszközök nagy számának támogatása. Ezek magukban foglalhatnak meglévő hálózati elemeket is, amelyek a mobil és vezeték nélküli kommunikációs technológiák korábbi generációin alapulnak, mint például a 4G vagy a 3G. Az 5G hálózatokat úgy kell értelmezni, hogy azok a hálózat valamennyi releváns részét magukban foglalják.

b)   „a digitális ökoszisztémát kiszolgáló infrastruktúra”: a gazdaság és a társadalomtudomány területén használt kritikus alkalmazások széles körénél a digitalizálást lehetővé tevő infrastruktúra.

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)

(16)

(17)

(18)

(19)