A Régiók Európai Bizottsága véleménye – A kiberbiztonsági szolidaritásról szóló jogszabály és a digitális reziliencia

(C/2024/1049)

Előadó:

Pehr GRANFALK (SE/EPP) Solna képviselő-testületének tagja

Referenciaszöveg:

Javaslat európai parlamenti és tanácsi rendelet a kiberbiztonsági fenyegetések és események észlelése, valamint az azokra való felkészülés és reagálás céljából az Unión belüli szolidaritás és képességek megerősítését célzó intézkedések meghatározásáról

COM(2023) 209 final

I. MÓDOSÍTÁSOKRA VONATKOZÓ AJÁNLÁSOK

COM(2023) 209 final

1. módosítás

(1) preambulumbekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

Az információs és kommunikációs technológiák alkalmazása és az azoktól való függés alapvetően fontos tényezővé vált a gazdasági tevékenységek valamennyi ágazatában, mivel az európai közigazgatási szervek, vállalatok és polgárok ágazatok közötti és határokon átnyúló összekapcsoltságának és egymástól való függésének mértéke minden eddiginél nagyobb méreteket ölt.

Az információs és kommunikációs technológiák alkalmazása és az azoktól való függés alapvetően fontos tényezővé vált és egyben rávilágított különböző sérülékenységekre a gazdasági tevékenységek valamennyi ágazatában, mivel az európai közigazgatási szervek, vállalatok és polgárok ágazatok közötti és határokon átnyúló összekapcsoltságának és egymástól való függésének mértéke minden eddiginél nagyobb méreteket ölt.

Indokolás

Magától értetődik.

2. módosítás

(3) preambulumbekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

Szükséges a digitalizált gazdaság egészét tekintve megerősíteni az uniós ipari és szolgáltatási ágazat versenyhelyzetét, és a digitális egységes piac kiberbiztonsági szintjének megerősítése révén előmozdítani e szektorok digitális átalakulását. Az Európa jövőjéről szóló konferencia három különböző javaslatában is szerepelt az ajánlás, miszerint növelni kell a polgárok, a vállalkozások és a kritikus infrastruktúrákat működtető szervezetek növekvő, adott esetben pusztító társadalmi és gazdasági hatásokkal járó kiberbiztonsági fenyegetésekkel szembeni rezilienciáját. […]

Szükséges a digitalizált gazdaság egészét tekintve megerősíteni az uniós ipari és szolgáltatási ágazat versenyhelyzetét, és a digitális egységes piac kiberbiztonsági szintjének megerősítése révén előmozdítani e szektorok digitális átalakulását. Az Európa jövőjéről szóló konferencia három különböző javaslatában is szerepelt az ajánlás, miszerint növelni kell a polgárok, a vállalkozások , a nemzeti, regionális és helyi szintű közigazgatások, valamint a kritikus infrastruktúrákat működtető szervezetek növekvő, adott esetben pusztító társadalmi és gazdasági hatásokkal járó kiberbiztonsági fenyegetésekkel szembeni rezilienciáját. […]

Indokolás

A helyi és regionális közigazgatás a polgárokhoz közeli és a társadalom számára kritikus szolgáltatásokat nyújt, és a dinamikus európai piac egyik legfontosabb eleme.

3. módosítás

(29) preambulumbekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

A következetes megközelítés előmozdítása, valamint az Unió és belső piaca biztonságának megerősítése érdekében a felkészültségi intézkedések részeként támogatást kell nyújtani az (EU) 2022/2555 irányelv alapján azonosított, kiemelten kritikus ágazatokban működő szervezetek kiberbiztonságának összehangolt teszteléséhez és értékeléséhez. E célból a Bizottságnak az ENISA támogatásával és az (EU) 2022/2555 irányelvvel létrehozott Kiberbiztonsági Együttműködési Csoporttal együttműködésben rendszeresen azonosítania kell azokat az érintett ágazatokat vagy alágazatokat, amelyeket az uniós szinten összehangolt tesztelés összefüggésében pénzügyi támogatásra jogosultnak kell minősíteni. Az ágazatokat vagy alágazatokat az (EU) 2022/2555 irányelv I. mellékletéből („A kiemelten kritikus ágazatok”) kell kiválasztani. Az összehangolt tesztelésnek […]

A következetes megközelítés előmozdítása, valamint az Unió és belső piaca biztonságának megerősítése érdekében a felkészültségi intézkedések részeként támogatást kell nyújtani az (EU) 2022/2555 irányelv alapján azonosított, kiemelten kritikus ágazatokban működő szervezetek kiberbiztonságának összehangolt teszteléséhez és értékeléséhez. E célból a Bizottságnak az ENISA támogatásával és az (EU) 2022/2555 irányelvvel létrehozott Kiberbiztonsági Együttműködési Csoporttal együttműködésben rendszeresen azonosítania kell azokat az érintett ágazatokat vagy alágazatokat, amelyeket az uniós szinten összehangolt tesztelés összefüggésében pénzügyi támogatásra jogosultnak kell minősíteni. Az ágazatokat vagy alágazatokat , valamint a regionális és helyi szintű közigazgatási szerveket – függetlenül attól, hogy a nemzeti jog szerint kiemelten kritikusnak minősülnek-e – az (EU) 2022/2555 irányelv I. mellékletéből („A kiemelten kritikus ágazatok”) kell kiválasztani. Az összehangolt tesztelésnek […]

Indokolás

Mivel a tagállamoknak lehetőségük van arra, hogy kizárják a helyi és regionális önkormányzatokat a NIS 2 irányelv (1) végrehajtásából, biztosítani kell, hogy a kiberbiztonsági szolidaritásról szóló jogszabályban viszont figyelembe vegyék őket.

4. módosítás

(30) reambulumbekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

Emellett a kiberbiztonsági vészhelyzeti mechanizmusnak támogatást kell nyújtania más felkészültségi intézkedésekhez, és támogatnia kell a felkészültséget más olyan ágazatokban, amelyekre nem terjed ki a kiemelten kritikus ágazatokban működő szervezetek összehangolt tesztelése. A szóban forgó intézkedések különböző típusú nemzeti szintű felkészültségi tevékenységeket foglalhatnak magukban.

Emellett a kiberbiztonsági vészhelyzeti mechanizmusnak támogatást kell nyújtania más felkészültségi intézkedésekhez, és támogatnia kell a felkészültséget más olyan ágazatokban, amelyekre nem terjed ki a kritikus ágazatokban működő szervezetek összehangolt tesztelése. Ugyanez vonatkozik a közigazgatásra is, függetlenül attól, hogy az a nemzeti jog értelmében kritikusnak minősül-e. A szóban forgó intézkedések különböző típusú nemzeti szintű felkészültségi tevékenységeket foglalhatnak magukban.

Indokolás

Lehetőséget kell biztosítani a helyi és regionális önkormányzatoknak arra, hogy igénybe vegyék a kiberbiztonsági vészhelyzeti mechanizmus támogatását.

5. módosítás

(33) preambulumbekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

Fokozatosan létre kell hozni egy uniós szintű kiberbiztonsági tartalékot, amely az irányított biztonsági szolgáltatások magánszolgáltatói által nyújtott szolgáltatásokból áll, amelyek jelentős vagy nagyszabású kiberbiztonsági események alkalmával támogatják a reagálást és az azonnali helyreállítási intézkedéseket. Az uniós kiberbiztonsági tartalék keretében biztosítani kell a szolgáltatások rendelkezésre állását és készenlétét. Az uniós kiberbiztonsági tartalék szolgáltatásai a nemzeti hatóságokat hivatottak támogatni abban, hogy a saját nemzeti szintű intézkedéseik kiegészítéseként segítséget nyújtsanak a kritikus vagy kiemelten kritikus ágazatokban működő érintett szervezeteknek. Az uniós kiberbiztonsági tartalék keretében nyújtott támogatás kérelmezésekor a tagállamoknak meg kell határozniuk az érintett szervezetnek nemzeti szinten nyújtott támogatást, amelyet figyelembe kell venni a tagállami kérelem értékelésekor. Az uniós kiberbiztonsági tartalék szolgáltatásai hasonló feltételek mellett az uniós intézményeknek, szerveknek és ügynökségeknek is támogatást nyújthatnak.

Fokozatosan létre kell hozni egy uniós szintű kiberbiztonsági tartalékot, amely az irányított biztonsági szolgáltatások magánszolgáltatói által nyújtott szolgáltatásokból áll, amelyek jelentős vagy nagyszabású kiberbiztonsági események alkalmával támogatják a reagálást és az azonnali helyreállítási intézkedéseket. Az uniós kiberbiztonsági tartalék keretében biztosítani kell a szolgáltatások rendelkezésre állását és készenlétét. Az uniós kiberbiztonsági tartalék szolgáltatásai a nemzeti hatóságokat hivatottak támogatni abban, hogy a saját nemzeti szintű intézkedéseik kiegészítéseként segítséget nyújtsanak az érintett szervezeteknek. Az uniós kiberbiztonsági tartalék keretében nyújtott támogatás kérelmezésekor a tagállamoknak meg kell határozniuk az érintett szervezetnek nemzeti szinten nyújtott támogatást, amelyet figyelembe kell venni a tagállami kérelem értékelésekor. Az uniós kiberbiztonsági tartalék szolgáltatásai hasonló feltételek mellett az uniós intézményeknek, szerveknek és ügynökségeknek is támogatást nyújthatnak.

Indokolás

Nem csak a kritikus vagy kiemelten kritikus ágazatokban működő érintett szervezeteknek kellene támogatást kapniuk az uniós kiberbiztonsági tartalékból.

6. módosítás

1. cikk (2) bekezdés b) pont

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

a kritikus és a kiemelten kritikus ágazatokban működő szervezetek felkészültségének megerősítése Unió-szerte, valamint a szolidaritás megerősítése a jelentős vagy nagyszabású kiberbiztonsági eseményekre való közös reagálási kapacitások kialakítása révén, többek között a Digitális Európa programhoz társult harmadik országok számára kiberbiztonsági eseményekre való reagáláshoz nyújtott uniós támogatással;

a kritikus és a kiemelten kritikus ágazatokban működő szervezetek , illetve a nemzeti és szubnacionális közigazgatások felkészültségének megerősítése Unió-szerte, valamint a szolidaritás megerősítése a jelentős vagy nagyszabású kiberbiztonsági eseményekre való közös reagálási kapacitások kialakítása révén, többek között a Digitális Európa programhoz társult harmadik országok számára kiberbiztonsági eseményekre való reagáláshoz nyújtott uniós támogatással;

Indokolás

A szubnacionális hatóságoknak is e rendelet hatálya alá kellene tartozniuk.

7. módosítás

4. cikk, (1) bekezdés, második albekezdés

Az Európai Bizottság által javasolt szöveg	Az RB módosítása
Képesnek kell lennie arra, hogy nemzeti szintű referenciapontként és átjáróként szolgáljon más állami és magánszervezetek számára a kiberbiztonsági fenyegetésekre és eseményekre vonatkozó információk gyűjtése és elemzése, valamint a valamely határokon átnyúló biztonsági műveleti központhoz való hozzájárulás tekintetében. […]	Képesnek kell lennie arra, hogy nemzeti és szubnacionális szintű referenciapontként és átjáróként szolgáljon más állami és magánszervezetek számára a kiberbiztonsági fenyegetésekre és eseményekre vonatkozó információk gyűjtése és elemzése, valamint a valamely határokon átnyúló biztonsági műveleti központhoz való hozzájárulás tekintetében. […]

Indokolás

A nemzeti biztonsági műveleti központoknak is gyűjteniük és elemezniük kellene a regionális és helyi szervektől származó információkat.

8. módosítás

5. cikk (2) bekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

Az ECCC részvételi szándék kifejezésére való felhívás nyomán választja ki azt az üzemeltetési konzorciumot, amely részt vesz az ECCC-vel közösen bonyolított eszköz- és infrastruktúra-beszerzésben. Az ECCC támogatást ítélhet oda az üzemeltetési konzorciumnak az említett eszközök és infrastruktúrák működtetésének finanszírozására. Az uniós pénzügyi hozzájárulás az eszközök és infrastruktúrák beszerzési költségeinek legfeljebb 75 %-át és a működési költségek legfeljebb 50 %-át fedezi, a fennmaradó költségek pedig az üzemeltetési konzorciumra hárulnak . Az eszközök és infrastruktúrák beszerzésére irányuló eljárás megindítása előtt az ECCC és az üzemeltetési konzorcium az eszközök és infrastruktúrák használatát szabályozó üzemeltetési és használati megállapodást köt.

Az ECCC részvételi szándék kifejezésére való felhívás nyomán választja ki azt az üzemeltetési konzorciumot, amely részt vesz az ECCC-vel közösen bonyolított eszköz- és infrastruktúra-beszerzésben. Az ECCC támogatást ítélhet oda az üzemeltetési konzorciumnak az említett eszközök és infrastruktúrák működtetésének finanszírozására. Az uniós pénzügyi hozzájárulás az eszközök és infrastruktúrák beszerzési költségeinek legfeljebb 75 %-át és a működési költségek legfeljebb 50 %-át fedezi, a fennmaradó költségeket pedig az üzemeltetési konzorcium állja, méghozzá az (EU) 1060/2021 rendelet (közös rendelkezésekről szóló rendelet) szerintiektől eltérő forrásokból . Az eszközök és infrastruktúrák beszerzésére irányuló eljárás megindítása előtt az ECCC és az üzemeltetési konzorcium az eszközök és infrastruktúrák használatát szabályozó üzemeltetési és használati megállapodást köt.

Indokolás

A kiberbiztonsági szolidaritásról szóló jogszabály szerinti intézkedéseket nem kellene kohéziós politikai programokból finanszírozni.

9.módosítás

9. cikk (1) bekezdés

Az Európai Bizottság által javasolt szöveg	Az RB módosítása
Létrejön a kiberbiztonsági vészhelyzeti mechanizmus, amelynek célja az Unió súlyos kiberbiztonsági fenyegetésekkel szembeni rezilienciájának javítása, valamint a szolidaritás szellemében a jelentős és nagyszabású kiberbiztonsági események rövid távú hatásaira való felkészülés és e hatások enyhítése (a továbbiakban: mechanizmus).	Létrejön a kiberbiztonsági vészhelyzeti mechanizmus, amelynek célja az Unió kiberbiztonsági fenyegetésekkel szembeni rezilienciájának javítása, valamint a szolidaritás szellemében a jelentős és nagyszabású kiberbiztonsági események rövid távú hatásaira való felkészülés és e hatások enyhítése (a továbbiakban: mechanizmus).

Indokolás

Az a cél, hogy a kiberbiztonsági vészhelyzeti mechanizmus a kiberbiztonsági események valamennyi típusából eredő, rövid távú hatásokra felkészítsen, illetve enyhítse ezeket a hatásokat.

10. módosítás

10. cikk (2) bekezdés (új)

Az Európai Bizottság által javasolt szöveg	Az RB módosítása
	(2) A Bizottság évente jelentést készít, amelyben értékeli a mechanizmus működését, valamint azt, hogy szükség van-e további követelményekre az együttműködés vagy a képzés kapcsán.

Indokolás

Az Európai Bizottságnak rendszeres jelentéseket kellene készítenie, mivel a kiberbiztonság területe folyamatosan alakul, a követelményeket pedig időben hozzá kell igazítani a valósághoz.

11. módosítás

11. cikk (1) bekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

A szervezetek 10. cikk (1) bekezdésének a) pontjában említett összehangolt felkészültségi tesztelésének Unió-szerte történő támogatása céljából a Bizottság a Kiberbiztonsági Együttműködési Csoporttal és az ENISA-val folytatott konzultációt követően azonosítja az (EU) 2022/2555 irányelv I. mellékletében felsorolt kiemelten kritikus ágazatokon belüli érintett ágazatokat vagy alágazatokat, amelyek szervezetei a meglévő és tervezett összehangolt uniós szintű kockázatértékelések és rezilienciatesztek figyelembevételével összehangolt felkészültségi tesztelés alá vonhatók.

A szervezetek 10. cikk (1) bekezdésének a) pontjában említett összehangolt felkészültségi tesztelésének Unió-szerte történő támogatása céljából a Bizottság a Kiberbiztonsági Együttműködési Csoporttal és az ENISA-val folytatott konzultációt követően azonosítja az (EU) 2022/2555 irányelv I. mellékletében felsorolt kiemelten kritikus ágazatokon belüli érintett ágazatokat vagy alágazatokat (ideértve a helyi szintű közigazhatás ágazatait vagy alágazatait is) , amelyek szervezetei a meglévő és tervezett összehangolt uniós szintű kockázatértékelések és rezilienciatesztek figyelembevételével összehangolt felkészültségi tesztelés alá vonhatók.

Indokolás

A helyi és regionális önkormányzatok számára lehetőséget kellene biztosítani arra, hogy ők is profitálhassanak a kiberbiztonsági szükséghelyzeti mechanizmusból. A módosítás célja, hogy az a kérés, amelyet az előadó a véleménytervezetben szereplő (a (30) preambulumbekezdésre vonatkozó) 3. módosításban fogalmazott meg, az európai bizottsági dokumentum cikkeiben is megjelenjen.

12. módosítás

14. cikk (2) bekezdés b) pont

Az Európai Bizottság által javasolt szöveg	Az RB módosítása
az érintett szervezet típusa, e tekintetben nagyobb prioritást élveznek az (EU) 2022/2555 irányelv 3. cikkének (1) bekezdésében meghatározott alapvető szervezeteket érintő kiberbiztonsági események;	az érintett szervezet típusa (ideértve a regionális és helyi szintű közigazgatási szerveket is) , e tekintetben nagyobb prioritást élveznek az (EU) 2022/2555 irányelv 3. cikkének (1) bekezdésében meghatározott alapvető szervezeteket érintő kiberbiztonsági események;

Indokolás

A hatály pontosítása: annak ki kell ugyanis terjednie a szubnacionális szervezetekre is.

13. módosítás

18. cikk (1) bekezdés

Az Európai Bizottság által javasolt szöveg

Az RB módosítása

A Bizottság, az EU-CyCLONe vagy a CSIRT-ek hálózatának kérésére az ENISA felülvizsgálja és értékeli az egy adott jelentős vagy nagyszabású kiberbiztonsági eseményhez kapcsolódó fenyegetéseket, sebezhetőségeket és mérséklési intézkedéseket. Egy adott kiberbiztonsági esemény felülvizsgálatának és értékelésének lezárultával az ENISA eseményértékelési jelentést nyújt be a CSIRT-ek hálózatának, az EU-CyCLONe-nak és a Bizottságnak, hogy támogassa őket – különösen az (EU) 2022/2555 irányelv 15. és 16. cikkében foglalt – feladataik ellátásában. A Bizottság adott esetben megosztja a jelentést a főképviselővel.

A Bizottság, az EU-CyCLONe vagy a CSIRT-ek hálózatának kérésére az ENISA felülvizsgálja és értékeli az egy adott jelentős vagy nagyszabású kiberbiztonsági eseményhez kapcsolódó fenyegetéseket, sebezhetőségeket és mérséklési intézkedéseket. Egy adott kiberbiztonsági esemény felülvizsgálatának és értékelésének lezárultával az ENISA eseményértékelési jelentést nyújt be a CSIRT-ek hálózatának, az EU-CyCLONe-nak és a Bizottságnak, hogy támogassa őket – különösen az (EU) 2022/2555 irányelv 15. és 16. cikkében foglalt – feladataik ellátásában. Amennyiben lehetséges, a CSIRT-ek hálózata benyújtja a jelentést a szubnacionális szintű hatóságoknak. A Bizottság adott esetben megosztja a jelentést a főképviselővel.

Indokolás

A hatály pontosítása: annak ki kell ugyanis terjednie a szubnacionális szervezetekre is.

II. POLITIKAI AJÁNLÁSOK

A RÉGIÓK EURÓPAI BIZOTTSÁGA ÁLLÁSPONTJA

A Régiók Európai Bizottsága (RB) üdvözli a kiberbiztonsággal kapcsolatos európai együttműködés megerősítéséről szóló rendeletre irányuló európai bizottsági javaslatot. Az uniós tagállamok mára szorosan kötődnek és digitálisan kapcsolódnak egymáshoz, ami az elkövetkező években még erősebbé válik. Az RB ezért üdvözli, hogy az Európai Bizottság kezdeményezi, hogy a tagállamok közösen lépjenek fel a fokozott digitalizációból eredő kiberfenyegetésekkel szemben. A javaslat rámutat arra, hogy folyamatosan nő a kiberbiztonsági események száma – nem utolsósorban a városok és régiók felelősségi körébe tartozó területeken is. Hangsúlyozza, hogy fel kell készülni a társadalom működése szempontjából kritikus fontosságú területeken bekövetkező eseményekre, kezelni kell azokat, és tanulni kell azokból. Az RB úgy véli, hogy az Európai Bizottság javaslatai hozzájárulhatnak a digitális reziliencia növeléséhez az Unióban.

A digitálisan reziliens Európa céljának elérése érdekében a politikusoknak és a polgároknak meg kell érteniük, hogy egyesíteni kell erőinket a kiberbiztonság területén. Az RB ezért arra kéri a tagállamokat, az Európai Bizottságot és az összes helyi önkormányzatot, hogy közösen hívják fel a figyelmet arra, hogy cselekedni kell, beleértve azt is, hogy növelni kell a digitális rezilienciába történő beruházásokat, különösen helyi és regionális szinten, és hogy meg kell fontolni pénzügyi zsarolóvírus-támadások ellen védelmet nyújtó szakpolitikai eszközök kidolgozását. Ehhez megfelelő pénzügyi, műszaki és minősítési intézkedésekre van szükség.

Az RB megjegyzi, hogy a javaslat számos tekintetben hivatkozik a NIS 2 irányelvre, és azon alapul. A NIS 2 irányelv nemzeti szintű átültetésekor minden tagállam meghatározza, hogy a helyi hatóságok a NIS 2 irányelv hatálya alá tartoznak-e (2). Mivel minden tagállam eldöntheti, hogy a NIS 2 irányelv végrehajtása során jelentős vagy fontos szervezetként határoz-e meg településeket, az országok közötti különbségek hatással lesznek arra, hogy az egyes országok milyen megközelítést alkalmaznak a kiberbiztonsági szolidaritásról szóló jogszabály kapcsán annak jelenleg javasolt formájában. Annak érdekében, hogy egyes tagállamokban az alapvető szolgáltatásokért felelős helyi hatóságok ne kerüljenek ki a kiberbiztonsági szolidaritásról szóló jogszabály hatálya alól, a jogi szövegben egyértelművé kellene tenni, hogy a jogszabály ezekre a hatóságokra is vonatkozik, függetlenül attól, hogy ez utóbbiak a NIS 2 irányelv hatálya alá tartoznak-e vagy sem.

Mivel a kiberbiztonság a digitális interoperabilitás sarokköve, a régiók közötti interoperabilitás fokozására irányuló erőfeszítéseket határozott kiberbiztonsági intézkedésekkel kell megtámogatni, hogy a kiberfenyegetések ne akadályozzák Európa régióinak interoperabilitását.

A városoknak és régióknak konkrét támogatást kell kapniuk a létrehozandó struktúráktól, nem helyes egyszerűen arra kötelezni őket, hogy jelentést tegyenek ezeknek a struktúráknak. Az RB ezért kéri, hogy tisztázzák a régiók támogatásának módját, különösen hogy a kis közösségek kiberbiztonsági szintjét is növelni lehessen.

Észrevételek a javaslat tevékenységi területeiről

Az Európai Kiberpajzs

A biztonsági műveleti központok páneurópai infrastruktúrájának létrehozása kiberfenyegetésekre és -eseményekre vonatkozó adatok feltérképezésére, elemzésére és feldolgozására szolgáló közös képességek fejlesztése és javítása érdekében.

Ahhoz, hogy átfogó képet kapjunk a kiberbiztonság jelenlegi helyzetéről az EU-ban, a helyi és nemzeti rendszerszolgáltatóktól is be kell gyűjteni információkat és kockázatértékeléseket, illetve összesített adatokat a kiberfenyegetésekről és -eseményekről. Az RB véleménye szerint problematikus, hogy nincsenek egyértelmű ösztönzők és eljárások arra vonatkozóan, hogy a városok és régiók hogyan járulhatnak hozzá aktívan a digitális reziliencia megerősítéséhez. A helyi és regionális szint bevonása rendkívül fontos, mivel éppen ez a szint rendelkezik olyan digitális megoldásokkal, amelyek támadásoknak vannak kitéve. Ezért olyan környezetet kell teremteni, amelyben a városokat és régiókat partnerként be lehet és be is kell vonni az Unió kiberbiztonságának növelésére irányuló erőfeszítésekbe.

Az RB felmérésekben megállapította, hogy a védelem és a meghozott biztonsági intézkedések tekintetében jelentős különbségek vannak az egyes országok érettségi szintje között. Még országokon belül is jelentős különbségek vannak például a nemzeti hatóságok és a kisebb helyi hatóságok között, mind a kiberbiztonsági képességek, mind a célkitűzések tekintetében. Az RB ezért úgy véli, hogy a rendeletnek hozzá kell járulnia e különbségek csökkentéséhez, és biztosítania kell, hogy valamennyi érdekelt fél viszonylag azonos képességekkel és célkitűzésekkel rendelkezzen.

Az RB felhívja a figyelmet arra, hogy fennáll az a veszély, hogy a nemzeti és határokon átnyúló biztonsági műveleti központok új hálózatának feladatai átfedésben lesznek a számítógép-biztonsági eseményekre reagáló csoportok (CSIRT-ek) hálózatának feladataival (3). Amennyiben a számítógép-biztonsági eseményekre reagáló csoportok mellett nemzeti biztonsági központokat is létrehoznak, egyértelműen meg kell határozni az együttműködés módját és azt, hogy biztonsági események bekövetkezése esetén mi a nemzeti biztonsági műveleti központ és a CSIRT-ek feladatköre.

Üdvözli a rendelettervezet speciális célkitűzéseit és a javasolt intézkedéseket. Ugyanakkor sajnálatát fejezi ki amiatt, hogy a növekvő informatikai támadások ellenére a jelenlegi javaslat nem terjed ki kellőképpen a helyi és regionális önkormányzatokra. Ezért számos jogszabályi változtatást javasol e hiányosságok kezelése érdekében.

Jelenleg nem állnak rendelkezésre adatok és nincsenek egyértelmű mérési pontok a településeket és régiókat érintő kiberbiztonsági eseményekről, fenyegetésekről és kockázatokról. Az Európai Kiberpajzsnak mutatókat kellene kidolgoznia annak értékelésére, hogy a rendelet bevezetésével hogyan növekszik a fejlettségi és érettségi szint. Hosszú távon a mutatók beépülhetnek egy adatokon alapuló kockázati térképbe, és megmutathatják, hogy hol van a leginkább szükség intézkedésre.

Kiberbiztonsági vészhelyzeti mechanizmus

A cél a felkészültség megerősítése, a kritikus ágazatok felkészültségének értékelése, a kiberbiztonsági események utáni helyreállítási képességek megerősítése és kiberbiztonsági tartalék létrehozása.

10.

A nagyszabású kiberbiztonsági események egyes esetekben helyi eseményeknek tudhatók be, ezért a javaslatban be kell mutatni, hogy a biztonsági műveleti központok és a kiberbiztonsági tartalék hogyan képesek a súlyos és már bekövetkezett, nagyszabású kiberbiztonsági események mellett komoly helyi zavarokat is feltárni. Az információcsere nem korlátozódhat a nagyszabású biztonsági eseményekre, hanem a lehetséges kockázatokra is ki kell terjednie.

11.

A kiberbiztonsági eseményekkel kapcsolatos információk gyakran rendkívül érzékenyek, és olyan technikai vagy személyes adatokat tartalmazhatnak, amelyeket a felek közötti szerződések és megállapodások nélkül jelenleg nem lehet megosztani. A nemzeti szintű információcsere jelenleg nehézségekbe ütközik. A határokon átnyúló információcsere kérdése ezért nagyon összetett. Ahhoz, hogy a kiberbiztonsági szükséghelyzeti mechanizmus működőképes legyen, az Európai Bizottságnak biztosítania kell, hogy valamennyi érdekelt fél – az uniós kiberbiztonsági tartalék keretében az állami és a magánszereplők – rendelkezzen az információcseréhez és az információk fogadásához szükséges jogi és technikai feltételekkel. Az RB véleménye szerint az információk terjesztése elsősorban az incidensek elhárítását célozza, vagyis azt, hogy a megtámadott szervezetek hogyan tudják a legjobban kezelni a súlyos kiberbiztonsági eseményeket.

12.

Az RB üdvözli, hogy magas szintű követelményeket vezetnek be azokra a magánszektorbeli szolgáltatókra vonatkozón, akik részt vesznek a javasolt kiberbiztonsági tartalékban. Ezeknek a követelményeknek a kialakítása azonban nem vezethet bizonyos készségek vagy rendszerismeretek kizárásához, mivel csak néhány, nagyon nagy szereplő képes megfelelni a biztonsági szolgáltatókra vonatkozó követelményeknek. Az EU-nak a biztonsági tevékenységek széles körét le kell fednie annak érdekében, hogy minél inkább reziliens legyen.

13.

A javaslat előírja, hogy a kiberbiztonsági tartaléknak megbízható szolgáltatók által nyújtott szolgáltatásokból kell állnia. Ezeknek a kiberbiztonsági jogszabálynak megfelelő tanúsítással kell rendelkezniük (4). Az Európai Uniós Kiberbiztonsági Ügynökség (ENISA) felelős annak biztosításáért, hogy a termékek és szolgáltatások megfeleljenek a meghatározott kiberbiztonsági követelményeknek. Az RB hangsúlyozza, hogy az ENISA-nak gyorsan ki kell dolgoznia tanúsítási rendszereket, hogy a beszállítók modern technológiák alkalmazásával tanúsíthassák magukat (5).

14.

A kiberbiztonsági tartalék létrehozásánál arra is figyelni kell, hogy ne legyen akadályozva a verseny, vagy hogy kizárják a kizárólag az Unió egyes részein tevékenykedő szereplőket. A kiberbiztonsági tartalék létrehozásához és a tanúsításhoz gyors és egyértelmű eljárásokra van szükség, hogy az e tekintetben leginkább kompetens és releváns szereplőket lehessen megtalálni.

15.

Az RB úgy véli, hogy be kellene azonosítani a kritikus rendszerekhez kapcsolódó technológiák és szolgáltatások nemzeti szolgáltatóit, és össze kellene gyűjteni őket egy adatbázisban. Ezek az adatok nagyon értékesek lehetnek a helyi szereplők mozgósítását igénylő intézkedésekhez, és a Kiberbiztonsági Akadémia munkájában is felhasználhatók.

16.

Kiberbiztonsági incidens esetén az ellenintézkedések hatása a reagálás gyorsaságától függ. A kiberbiztonsági eseményekről és kockázatokról megosztott összetett információknak rövid időn belül el kell jutniuk a megfelelő célcsoportokhoz. A javaslat értelmében létre kell hozni egy új szervezetet és struktúrát az információcseréhez. Az RB azonban hangsúlyozza, hogy a nemzeti és határokon átnyúló biztonsági központok létrehozásakor fel kell használni és fejleszteni kell a meglévő információs csatornákat, például a CyCLONe-t (6) és a CSIRT-et.

A kiberbiztonsági események felülvizsgálati mechanizmusa

Eszköz a kiberbiztonsági események felülvizsgálatára, különös tekintettel a jelentős hatással járó eseményekre.

17.

A kiberbiztonsági készségek iránti igényt és finanszírozásukat a digitalizáció gyors fejlődése vezérli. Az RB üdvözli, hogy az Európai Bizottság létrehozza a Kiberbiztonsági Készségek Akadémiáját, és az EU-ban tapasztalható szakemberhiány fényében egyértelmű stratégiát szorgalmaz a kisebb és pénzügyileg gyenge városok és régiók megerősítésére.

18.

Hangsúlyozza, hogy az erős digitális rezilienciához különböző szereplők együttműködésére van szükség, amelyhez szakértelmükkel, tapasztalatukkal és emberi erőforrásaikkal köz- és magánszervezetek is hozzájárulnak. Kiemeli, hogy a digitális reziliencia kiépítésében fontos szerepük van a helyi és regionális önkormányzatoknak is, mivel figyelemfelkeltő kampányok, a bevált gyakorlatok cseréje és a szakértelem megosztása révén kölcsönösen támogathatják egymást. Hangsúlyozza, hogy minél több vállalat fektet be digitális rezilienciájába, annál nagyobbak lesznek az ellenfeleik támadásokkal kapcsolatos költségei, ami egyben visszatartó erőt is jelenthet.

19.

Jelenleg az európai városok és régiók viselik a magas szintű kiberbiztonság fenntartásának költségeit, valamint a kiberbiztonsági eseményekből eredő költségeket. Az RB szerint fennáll annak a kockázata, hogy a rendelet további nyomást gyakorol majd a már egyébként is szűkös erőforrásokra. A rendeletnek ezért nem szabad terheket generálnia, inkább elő kell segítenie, hogy konkrét eszközök, eljárások és támogatás révén megerősítsék minden szervezet kapacitását.

20.

Az RB felteszi a kérdést, hogy az ellenőrzési jelentéseket miért nem lehet megosztani a nemzeti és határokon átnyúló biztonsági műveleti központok hálózatán belül; a javaslat csak a nemzeti biztonsági műveleti központok számára biztosít hozzáférést a nyilvános információkhoz. Ahhoz, hogy a szereplők javítsák és fejlesszék kiberbiztonságukat, alapvető fontosságú, hogy levonjuk a tanulságokat a kiberbiztonsági eseményekből. Az információkat – azok teljes terjedelmében – hozzáférhetővé kellene tenni a hálózat valamennyi résztvevője számára.

21.

A javaslat túl tágan tárgyalja a finanszírozás kérdését. Az RB szerint tisztázni kell, hogy hogyan fogják felhasználni a forrásokat, és milyen arányban különítenek el azokból összegeket közvetlenül a régiók és a települések számára.

22.

Végezetül hangsúlyozza, hogy a javaslat megfelel a szubszidiaritás és az arányosság elvének.

Kelt Brüsszelben, 2023. november 30-án.

a Régiók Európai Bizottsága elnöke

Vasco ALVES CORDEIRO

(1) Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv)(HL L 333., 2022.12.27., 80. o.).

(2) A NIS 2 irányelv 2. cikkének (5) bekezdése. A tagállamok rendelkezhetnek úgy, hogy ez az irányelv alkalmazandó a következőkre: a) helyi szintű közigazgatási szervek.

(3) A NIS 2 irányelv 11. cikkének (3) bekezdésével összhangban a CSIRT-ek a következő feladatokat látják el:

a)	a kiberfenyegetések, sérülékenységek és események nyomon követése és elemzése nemzeti szinten, valamint kérésre segítségnyújtás az érintett alapvető és fontos szervezetek számára a hálózataik és információs rendszereik valós idejű vagy közel valós idejű nyomon követése tekintetében;

a kiberfenyegetésekkel, a sérülékenységekkel és az eseményekkel kapcsolatos korai előrejelzések, riasztások, bejelentéstételek és információterjesztés az érintett alapvető és fontos szervezetek, valamint az illetékes hatóságok és az egyéb releváns érdekelt felek számára, lehetőség szerint közel valós időben;

c)	reagálás az eseményekre és adott esetben segítségnyújtás az érintett alapvető és fontos szervezetek számára;

d)	forenzikus adatok gyűjtése és elemzése, továbbá dinamikus kockázat- és eseményelemzés, valamint a kiberbiztonsággal kapcsolatos helyzetismeret biztosítása;

e)	valamely alapvető vagy fontos szervezet kérésére az érintett szervezet hálózati és információs rendszerei proaktív átvizsgálásának biztosítása olyan sérülékenységek felderítése céljából, amelyek jelentős hatást gyakorolhatnak;

f)	részvétel a CSIRT-hálózatban, valamint kapacitásaiknak és hatásköreiknek megfelelően kölcsönös segítségnyújtás a CSIRT-hálózat többi tagjának azok kérésére;

g)	adott esetben a koordinátori szerep betöltése đa sérülékenységeknek a 12. cikk (1) bekezdésében említett összehangolt közzététele céljából;

h)	hozzájárulás a 10. cikk (3) bekezdése szerinti biztonságos információmegosztási eszközök bevezetéséhez.

(4) Az Európai Parlament és a Tanács (EU) 2019/881 rendelete (2019. április 17.) az ENISA-ról (az Európai Uniós Kiberbiztonsági Ügynökségről) és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról, valamint az 526/2013/EU rendelet hatályon kívül helyezéséről (kiberbiztonsági jogszabály)(HL L 151., 2019.6.7., 15. o.).

(5) Az ENISA jelenleg három, még folyamatban lévő tanúsítási mechanizmust dolgoz ki, amelyek az IKT-ra, az 5G-re és a felhőalapú szolgáltatásokra terjednek ki (https://www.enisa.europa.eu/topics/standards/certification/eu-cybersecurity-certification-faq).

(6) A NIS 2 irányelv 16. cikkének (1) és (3) bekezdése.

Az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózata (EU-CyCLONe)

(1)

A nagyszabású kiberbiztonsági események és válságok operatív szintű összehangolt kezelésének támogatása, valamint a releváns információk tagállamok és az Unió intézményei, szervei, hivatalai és ügynökségei közötti rendszeres cseréjének biztosítása érdekében létrehozásra kerül az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózata (EU-CyCLONe).

(3)

Az EU-CyCLONe a következő feladatokat látja el:

a)	a nagyszabású kiberbiztonsági események és válságok kezelésére való felkészültség szintjének növelése;

b)	közös helyzetismeret kialakítása a nagyszabású kiberbiztonsági eseményekkel és válságokkal kapcsolatban;

c)	a releváns nagyszabású kiberbiztonsági események és válságok következményeinek és hatásának értékelése, valamint javaslattétel lehetséges mérséklési intézkedésekre;

d)	a nagyszabású kiberbiztonsági események és válságok kezelésének összehangolása és az ilyen eseményekkel és válságokkal kapcsolatos politikai szintű döntéshozatal támogatása;

e)	valamely érintett tagállam kérésére a 9. cikk (4) bekezdésében említett nagyszabású nemzeti kiberbiztonsági eseményekre és válságokra való reagálási tervek megvitatása.