(1)

Komisija ir atzinusi 5. paaudzes (5G) tīkla tehnoloģiju izbūvi par nākotnes digitālo pakalpojumu svarīgu priekšnosacījumu un par prioritāti digitālā vienotā tirgus stratēģijā. Komisija pieņēma 5G rīcības plānu, lai nodrošinātu, ka Savienībai ir savienojamības infrastruktūra, kas nepieciešama tās digitālajai pārveidei, sākot ar 2020. gadu (1).

(2)

5G tīkli balstīsies uz pašreizējām 4. paaudzes (4G) tīklu tehnoloģijām, sniedzot jaunas pakalpojumu iespējas un kļūstot par Savienības ekonomikas lielas daļas centrālo infrastruktūru un virzītājspēku. Kad 5G tīkli sāks darboties, tie kļūs par stūrakmeni plašam pakalpojumu lokam, bez kuriem nav iedomājama iekšējā tirgus darbība un tādu svarīgu sabiedrisko un ekonomisko funkciju uzturēšana un darbība kā enerģētika, transports, bankas un veselība, kā arī ražošanas vadības sistēmas. Arī tādu demokrātisku procesu organizēšanā kā vēlēšanas aizvien vairāk tiks izmantota digitālā infrastruktūra un 5G tīkli.

(3)

Daudzu izšķiroši svarīgu pakalpojumu atkarība no 5G tīkliem padarītu sistēmisku un plašu traucējumu sekas īpaši nopietnas. Līdz ar to 5G tīklu kiberdrošības nodrošināšana ir Savienībai stratēģiski svarīgs jautājums laikā, kad kiberuzbrukumi kļūst izplatītāki un izsmalcinātāki nekā jebkad agrāk.

(4)

Tā kā infrastruktūra, uz kuras balstās digitālā ekosistēma, savstarpēji savieno daudzas valstis un iespējamie apdraudējumi var šķērsot valstu robežas, jebkura nozīmīga ievainojamība un/vai kiberincidents vienā dalībvalstī ietekmētu visu Savienību kopumā. Tāpēc būtu jāveic darbības, kas nodrošinātu augstu vienotu 5G tīklu kiberdrošības līmeni.

(5)

Dalībvalstis ir apstiprinājušas nepieciešamību rīkoties ES līmenī. Kā minēts 2019. gada 21. marta Eiropadomes secinājumos, tā sagaida no Komisijas ieteikumus saskaņotai rīcībai 5G tīklu drošības jomā (2).

(6)

Pilnībā respektējot tādas Eiropas vērtības kā atvērtība un tolerance, Eiropas suverenitātes nodrošināšanai būtu jābūt vienam no galvenajiem mērķiem (3). Ārvalstu investīcijas stratēģiskās nozarēs, kritisku aktīvu, tehnoloģiju un infrastruktūras iegāde Savienībā un kritiski svarīgu iekārtu piegāde arī var radīt risku Savienības drošībai.

(7)

Kā atzīts kopīgajā paziņojumā “ES un Ķīna – stratēģiskas perspektīvas”, 5G tīklu kiberdrošībai ir izšķiroši svarīga nozīme ES stratēģiskās autonomijas nodrošināšanā (4).

(8)

Arī Eiropas Parlamenta rezolūcija par drošības apdraudējumiem saistībā ar aizvien lielāko Ķīnas tehnoloģiju klātbūtni ES aicina Komisiju un dalībvalstis rīkoties ES līmenī (5).

(9)

Šis Ieteikums pievēršas kiberdrošības riskiem 5G tīklos, nosakot vadlīnijas par pienācīgu risku analīzi un vadības pasākumiem valstu līmenī, par koordinēta ES līmeņa riska izvērtējuma izstrādi un par procesa izveidi kopīgai labāko riska pārvaldības pasākumu rīku kopuma izstrādei.

(10)

Pastāv spēcīgs ES tiesiskais regulējums elektronisko sakaru tīklu aizsardzībai.

(11)

ES noteikumi par elektronisko komunikāciju (6) veicina konkurenci, stiprina iekšējo tirgu un aizsargā galalietotāju intereses un ar Eiropas Elektronisko sakaru kodeksu (7) tiecas sasniegt papildu savienojamības mērķi, kas izteikts rezultātu veidā: ļoti veiktspējīgu tīklu plaša pieejamība un ieviešana visiem Savienības pilsoņiem un uzņēmumiem, vienlaikus aizsargājot pilsoņu intereses. Direktīvā 2002/21/Ek dalībvalstīm prasīts nodrošināt, lai tiktu uzturēta publisko sakaru tīklu integritāte un drošība, uzliekot saistības panākt, ka uzņēmumi, kas nodrošina publisko sakaru tīklus vai publiski pieejamus elektronisko sakaru pakalpojumus, veic tehniskos un organizatoriskos pasākumus, lai pienācīgi pārvaldītu ar tīklu un pakalpojumu drošību saistītos riskus. Tajā arī noteikts, ka kompetentajām valsts regulatīvajām iestādēm ir pilnvaras nodrošināt šādu pienākumu izpildi, tostarp pilnvaras izdot saistošas instrukcijas.

(12)

Turklāt Eiropas Parlamenta un Padomes Direktīva 2002/20/EK (8) ļauj dalībvalstīm pievienot vispārējai atļaujai nosacījumus attiecībā uz publisko tīklu drošību pret neatļautu piekļuvi nolūkā aizsargāt saziņas konfidencialitāti saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (9).

(13)

Lai atbalstītu šo saistību izpildi, Savienība ir izveidojusi vairākas sadarbības struktūras. Tīklu un informācijas drošības aģentūra (ENISA), Komisija, dalībvalstis un valstu regulatīvās iestādes ir izstrādājušas tehniskās pamatnostādnes valsts regulatīvajām iestādēm par ziņošanu par incidentiem, drošības pasākumiem un draudiem un aktīviem (10). Sadarbības grupa, kas izveidota ar Eiropas Parlamenta un Padomes Direktīvu (ES) 2016/1148 (11) (“Sadarbības grupa”), apvieno kompetentās iestādes, lai atbalstītu un veicinātu sadarbību, sevišķi sniedzot stratēģiskus norādījumus datordrošības incidentu reaģēšanas vienību tīkla darbībām, kas tehniskā līmenī veicina operatīvo sadarbību.

(14)

Iecerētajam ES kiberdrošības sertifikācijas satvaram (12) būtu jānodrošina svarīgs atbalsta instruments drošības līmeņu saskaņotības veicināšanai. Tajā būtu jāparedz iespēja izstrādāt kiberdrošības sertifikācijas sistēmas, lai apmierinātu to lietotāju vajadzības, kas lieto 5G iekārtas un programmatūru. Šīs infrastruktūras ārkārtīgi lielās nozīmes dēļ par tūlītēju prioritāti būtu jānosaka attiecīgo Eiropas kiberdrošības sertifikācijas sistēmu izstrāde attiecībā uz informācijas un sakaru tehnoloģiju produktiem, pakalpojumiem vai procesiem, ko izmanto 5G tīklos. Dalībvalstīm un tirgus dalībniekiem būtu aktīvi jāiesaistās šādu sertifikācijas sistēmu izstrādē, tostarp sniedzot atbalstu 5G tīklu īpašo aizsardzības profilu noteikšanai.

(15)

Ja nav saskaņotu Savienības tiesību aktu, dalībvalstis ar valsts tehniskajiem noteikumiem, kas pieņemti saskaņā ar ES tiesību aktiem, var noteikt, ka Eiropas kiberdrošības sertifikācijas sistēmai jābūt obligātai. Dalībvalstis var izmantot Eiropas kiberdrošības sertifikācijas sistēmas arī saistībā ar publisko iepirkumu un Eiropas Parlamenta un Padomes Direktīvu 2014/24/ES (13) un varētu atbalstīt palīdzības mehānismu, piemēram, palīdzības punktu, izveidi, lai publiskā sektora pircēji varētu iegādāties kiberdrošības risinājumus.

(16)

Augsts datu aizsardzības un privātuma līmenis ir svarīgs elements 5G tīklu drošības nodrošināšanā. Savienības līmenī ir definēti arī noteikumi, kas nodrošina personas datu apstrādes drošību, tostarp elektronisko sakaru jomā. Vispārīgā datu aizsardzības regula (14) nosaka pienākumu apstrādāt personas datus tādā veidā, kas garantē to drošību, tostarp novērst nesankcionētu piekļuvi personas datiem un iekārtām, ko izmanto datu apstrādei, un to nesankcionētu izmantošanu. Direktīvā par privātumu un elektronisko komunikāciju paredzēti īpaši noteikumi par sakaru un galalietotāju galiekārtu konfidencialitātes aizsardzību. Tā arī uzliek pienākumu pakalpojumu sniedzējiem veikt atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu savu pakalpojumu drošību.

(17)

Savienība ir pieņēmusi arī instrumentu, kas aizsargās kritisko infrastruktūru un tehnoloģijas, piemēram, tās, kas tiek izmantotas saziņā, ļaujot dalībvalstīm pārbaudīt ārvalstu tiešos ieguldījumus, pamatojoties uz drošības vai sabiedriskās kārtības apsvērumiem, un izveidojot sadarbības mehānismu, kura ietvaros dalībvalstis un Komisija varēs apmainīties ar informāciju un paust bažas par konkrētiem ieguldījumiem (15).

(18)

Dalībvalstis un operatori pašlaik veic svarīgus sagatavošanās pasākumus, lai veicinātu plaša mēroga 5G tīklu ieviešanu. Vairākas dalībvalstis ir paudušas bažas par iespējamiem drošības riskiem saistībā ar 5G tīkliem attiecībā uz tiem paredzēto radiofrekvenču spektra joslu izmantošanas tiesību piešķiršanas procedūrām (16) un ir apsvērušas iespējamos pasākumus šo risku novēršanai.

(19)

Nodrošinoties pret kiberdrošības riskiem 5G tīklos, būtu jāņem vērā gan tehniskie, gan citi faktori. Tehniskie faktori var ietvert neaizsargātību kiberdrošības jomā, ko var izmantot, lai iegūtu neatļautu piekļuvi informācijai (kiberspiegošana – ekonomisku vai politisku iemeslu dēļ) vai citā ļaunprātīgā nolūkā (kiberuzbrukumi, kuru mērķis ir traucēt sistēmu un datu pareizu darbību vai tos iznīcināt). Aspektiem, kas jāņem vērā, vajadzētu būt šādiem: nepieciešamība aizsargāt tīklus visā to aprites ciklā un nepieciešamība aptvert visu attiecīgo aprīkojumu, tostarp 5G tīklu projektēšanas, izstrādes, iepirkuma, uzstādīšanas, ekspluatācijas un apkopes posmus.

(20)

Citi faktori var ietvert regulatīvas vai citas prasības, ko piemēro informācijas un sakaru tehnoloģiju iekārtu piegādātājiem. Šo faktoru nozīmes novērtējumā cita starpā būtu jāņem vērā trešās valsts kopējās ietekmes risks, jo īpaši attiecībā uz tās pārvaldības modeli, sadarbības nolīgumu par drošību vai līdzīgu pasākumu attiecībā uz datu aizsardzību, piemēram, lēmumu par aizsardzības līmeņa pietiekamību, neesamība starp Savienību un attiecīgo trešo valsti, kā arī tas, vai šī valsts ir noslēgusi daudzpusējus, starptautiskus vai divpusējus nolīgumus par kiberdrošību, cīņu pret kibernoziedzību vai datu aizsardzību.

(21)

Lai izstrādātu Savienības pieeju 5G tīklu kiberdrošībai, valstu līmenī būtu svarīgi veikt un pabeigt riska novērtējumu. Tas palīdzētu dalībvalstīm pielāgot valsts pasākumus attiecībā uz drošības prasībām un riska pārvaldību, ņemot vērā šo novērtējumu.

(22)

Būtu jāattīsta koordinācija, lai nodrošinātu to pasākumu efektivitāti, kuru mērķis ir novērst šos kiberdrošības apdraudējumus un kas ir būtiski iekšējā tirgus netraucētai darbībai un personas datu un privātās dzīves aizsardzībai.

(23)

Valstu riska novērtējumiem vajadzētu kļūt par pamatu saskaņotam Savienības riska novērtējumam, ko veidotu drošības apdraudējumu apraksts un kopīga pārskatīšana, kas dalībvalstīm jāveic ar Komisijas atbalstu un kopīgi ar Eiropas Kiberdrošības aģentūru (ENISA).

(24)

Ņemot vērā valstu un Savienības riska novērtējumus, Sadarbības grupai būtu jāizveido instrumentu kopums, kas noteiktu kiberdrošības riska veidus un iespējamos pasākumus risku mazināšanai tādās jomās kā sertifikācija, testēšana un piekļuves kontrole. Tajā būtu arī jānosaka iespējamie konkrētie pasākumi, ko var veikt, lai novērstu vienas vai vairāku dalībvalstu identificētos riskus. Sadarbības grupai būtu jāvēršas pēc atbalsta pie Eiropas Kiberdrošības aģentūras (ENISA), Eiropola, Eiropas Elektronisko komunikāciju regulatoru iestādes (BEREC) un ES Izlūkošanas un situāciju centra. Šim instrumentu kopumam būtu jāpalīdz Komisijai izstrādāt obligātās vispārējās prasības, lai nodrošinātu vēl augstāku 5G tīklu kiberdrošības līmeni visā Savienībā.

(25)

Lai novērstu kiberdrošības riskus, veidojot katru atsevišķo tīklu, būtu jāapsver kiberdrošības veicināšana, izmantojot dažādus piegādātājus.

(26)

Šim Ieteikumam nebūtu jāskar dalībvalstu kompetence attiecībā uz darbībām, kas saistītas ar sabiedrības drošību, aizsardzību, valsts drošību un valsts darbībām krimināltiesību jomā, tostarp dalībvalstu tiesības valsts drošības apsvērumu dēļ neielaist pakalpojumu sniedzējus vai piegādātājus savos tirgos,

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

18.

19.