(1)

Comisia a recunoscut că implementarea tehnologiilor de rețea de generația a 5-a (5G) este atât un factor major care facilitează serviciile digitale viitoare, cât și o prioritate pentru Strategia privind piața unică digitală. Pentru a se asigura că Uniunea dispune de infrastructura de conectivitate necesară transformării sale digitale începând cu 2020, Comisia a adoptat Planul de acțiune privind 5G (1).

(2)

Rețelele 5G se vor dezvolta pornind de la tehnologiile de rețea actuale de generația a 4-a (4G), prin furnizarea de noi capacități de prestare de servicii, devenind astfel infrastructura centrală și catalizatorul principal pentru o mare parte a economiei Uniunii. După ce vor fi implementate, rețelele 5G vor sta la baza unei game variate de servicii esențiale pentru funcționarea pieței interne și pentru întreținerea și operarea unor funcții vitale ale societății și economiei – de exemplu, sistemele energetice, de transport, bancare și medicale, precum și sistemele de control industrial. Organizarea proceselor democratice, cum ar fi alegerile, se vor baza tot mai mult pe infrastructura digitală și pe rețelele 5G.

(3)

Întrucât multe servicii fundamentale ar fi dependente de rețelele 5G, în cazul unor perturbări sistemice la scară largă, consecințele ar fi deosebit de grave. Prin urmare, asigurarea securității cibernetice a rețelelor 5G este o chestiune de o importanță strategică pentru Uniune, în momentul în care atacurile cibernetice sunt în creștere și mai sofisticate ca niciodată.

(4)

Datorită interconectării și caracterului transnațional al infrastructurilor aflate la baza ecosistemului digital, precum și naturii transfrontaliere a amenințărilor implicate, orice vulnerabilitate și/sau incident de securitate cibernetică de amploare care vizează rețelele 5G și care se produce într-un stat membru ar afecta Uniunea în ansamblul său. Acesta este motivul pentru care ar trebui prevăzute măsuri care să stea la baza unui nivel comun ridicat de securitate cibernetică a rețelelor 5G.

(5)

Statele membre au confirmat necesitatea unei acțiuni la nivelul Uniunii. Potrivit concluziilor sale din 21 martie 2019, Consiliul European așteaptă cu interes o recomandare a Comisiei privind o abordare concertată a securității rețelelor 5G (2).

(6)

Asigurarea suveranității europene ar trebui să fie un obiectiv major, cu respectarea deplină a valorilor de deschidere și toleranță ale Europei (3). Investițiile străine în sectoarele strategice, achiziționarea de active, tehnologii și infrastructuri critice în Uniune și furnizarea de echipamente esențiale pot, de asemenea, reprezenta riscuri la adresa securității Uniunii.

(7)

Securitatea cibernetică a rețelelor 5G este esențială pentru asigurarea autonomiei strategice a Uniunii, astfel cum se recunoaște în Comunicarea comună „UE-China – o perspectivă strategică” (4).

(8)

Totodată, prin Rezoluția Parlamentului European referitoare la amenințările la adresa securității în legătură cu prezența tehnologică în creștere a Chinei în UE, Comisia și statele membre sunt invitate să ia măsuri la nivelul Uniunii (5).

(9)

Prezenta recomandare abordează riscurile la adresa securității cibernetice a rețelelor 5G, prin formularea unor orientări privind analiza de risc și măsurile de gestionare adecvate la nivel național, prin pregătirea unei evaluări coordonate a riscurilor la nivel european și prin stabilirea unui proces de elaborare a unui set comun de instrumente care să cuprindă cele mai bune măsuri de gestionare a riscurilor.

(10)

Uniunea dispune de un cadru legislativ solid care asigură protecția rețelelor de comunicații electronice.

(11)

Cadrul Uniunii în domeniul comunicațiilor electronice (6) promovează concurența, piața internă și interesele utilizatorilor finali și, împreună cu Codul european al comunicațiilor electronice (7), urmărește un obiectiv suplimentar în materie de conectivitate, definit din perspectiva rezultatelor, și anume: implementarea pe scară largă a unei conectivități fixe și mobile de foarte mare capacitate și accesul tuturor cetățenilor și al întreprinderilor din Uniune la aceasta, în paralel cu protecția intereselor cetățenilor. Directiva 2002/21/CE impune statelor membre să asigure menținerea integrității și securității rețelelor de comunicații publice, întreprinderile care furnizează rețele de comunicații publice sau servicii de comunicații electronice accesibile publicului având obligația de a lua măsuri tehnice și organizatorice pentru a gestiona în mod corespunzător riscurile la adresa securității rețelelor și serviciilor. Directiva respectivă prevede, de asemenea, că autoritățile naționale de reglementare în domeniu au competențe, inclusiv competența de a emite instrucțiuni obligatorii, pentru a asigura respectarea acestor obligații.

(12)

În plus, Directiva 2002/20/CE a Parlamentului European și a Consiliului (8) permite statelor membre să stabilească condiții privind siguranța rețelelor publice care să împiedice accesul neautorizat la autorizația generală, în scopul protejării confidențialității comunicațiilor în conformitate cu Directiva 2002/58/CE a Parlamentului European și a Consiliului (9).

(13)

Pentru a sprijini punerea în aplicare a acestor obligații, Uniunea a instituit o serie de organisme de cooperare. Agenția pentru Securitatea Rețelelor și a Informațiilor (ENISA), Comisia, statele membre și autoritățile naționale de reglementare au elaborat pentru acestea din urmă orientări tehnice cu privire la raportarea incidentelor, măsurile de securitate, amenințări și active (10). Grupul de cooperare instituit prin Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului (11) („grupul de cooperare”) reunește autorități competente cu scopul de a sprijini și a facilita cooperarea, în special prin furnizarea de orientări strategice pentru activitățile rețelei formate din echipe de intervenție în caz de incidente de securitate informatică, care, la nivel tehnic, susține cooperarea operațională.

(14)

Viitorul cadru european de certificare de securitate cibernetică (12) ar trebui să asigure un instrument de sprijin esențial pentru promovarea unor niveluri consecvente de securitate. Cadrul respectiv ar trebui să permită dezvoltarea unor sisteme de certificare de securitate cibernetică care să răspundă nevoilor utilizatorilor de echipamente și software 5G. Dată fiind importanța crucială a acestor infrastructuri, o prioritate imediată ar trebui să fie dezvoltarea unor sisteme europene relevante de certificare de securitate cibernetică pentru produsele, serviciile sau procesele din domeniul tehnologiilor informației și comunicațiilor utilizate pentru rețelele 5G. Statele membre și actorii de pe piață ar trebui să se implice în mod activ în dezvoltarea unor astfel de sisteme de certificare, inclusiv sprijinind definirea unor profiluri specifice de protecție pentru rețelele 5G.

(15)

În absența unei legislații armonizate a Uniunii, statele membre pot prevedea, prin intermediul unor reglementări tehnice naționale, adoptate în conformitate cu dreptul Uniunii, faptul că un sistem european de certificare de securitate cibernetică ar trebui să fie obligatoriu. Statele membre recurg, de asemenea, la sistemele europene de certificare de securitate cibernetică în contextul achizițiilor publice și al Directivei 2014/24/UE a Parlamentului European și a Consiliului (13) și ar putea susține dezvoltarea unor mecanisme de asistență – cum ar fi un centru de asistență – astfel încât achizitorii publici să cumpere soluții de securitate cibernetică.

(16)

Un nivel ridicat de protecție a datelor și a vieții private este un element important în asigurarea securității rețelelor 5G. De asemenea, la nivelul Uniunii au fost definite norme care asigură securitatea prelucrării datelor cu caracter personal, inclusiv în comunicațiile electronice. Regulamentul general privind protecția datelor (14) stabilește obligația de a prelucra datele cu caracter personal într-un mod care să le asigure securitatea, inclusiv pentru prevenirea accesului neautorizat la datele cu caracter personal și la echipamentul utilizat pentru prelucrare ori a utilizării neautorizate a datelor sau a echipamentului respectiv. Directiva asupra confidențialității și comunicațiilor electronice stabilește norme specifice privind protecția confidențialității comunicațiilor și a echipamentelor terminale ale utilizatorilor finali. De asemenea, directiva respectivă impune prestatorilor de servicii obligația de a lua măsurile tehnice și organizatorice adecvate pentru a garanta securitatea serviciilor lor.

(17)

Uniunea a adoptat, de asemenea, un instrument care va proteja infrastructura și tehnologiile critice, cum ar fi cele utilizate în domeniul comunicațiilor, întrucât va permite statelor membre să examineze investițiile străine directe din perspectiva securității sau a ordinii publice și va crea un mecanism de cooperare în cadrul căruia statele membre și Comisia vor putea să facă schimb de informații și să își exprime preocupările legate de anumite investiții (15).

(18)

Statele membre și operatorii adoptă în prezent măsuri pregătitoare importante în vederea introducerii pe scară largă a rețelelor 5G. Mai multe state membre și-au exprimat îngrijorarea cu privire la potențialele riscuri la adresa securității rețelelor 5G în contextul derulării procedurilor de acordare a drepturilor de utilizare în benzile de frecvențe radio desemnate pentru rețelele 5G (16) și au analizat măsuri de contracarare a acestor riscuri.

(19)

Pentru a răspunde riscurilor la adresa securității cibernetice cu care se confruntă rețelele 5G ar trebui să se țină seama atât de factori tehnici, cât și de factori de altă natură. Printre factorii tehnici se pot număra vulnerabilitățile în materie de securitate cibernetică ce ar putea fi exploatate pentru a obține acces neautorizat la informații (spionaj cibernetic, din motive economice sau politice) sau în alte scopuri rău intenționate (atacuri cibernetice menite să perturbe sau să distrugă sisteme și date). Ar trebui să se ia în considerare aspecte importante, cum ar fi necesitatea de a proteja rețelele de-a lungul întregului lor ciclu de viață, precum și necesitatea de a cuprinde toate echipamentele relevante, inclusiv în fazele de proiectare, dezvoltare, achiziții, implementare, operare și întreținere ale rețelelor 5G.

(20)

Printre factorii de altă natură se pot număra cerințele de reglementare sau alte cerințe impuse furnizorilor de echipamente de tehnologie a informației și comunicațiilor. La evaluarea importanței acestor factori ar trebui să se țină seama, printre altele, de riscul general pe care îl are influența din partea unei țări terțe, în special în ceea ce privește modelul său de guvernanță, de lipsa unor acorduri de cooperare în materie de securitate ori a unor acorduri similare – de exemplu decizii privind caracterul adecvat al nivelului de protecție – referitoare la protecția datelor încheiate între Uniune și țara terță în cauză sau de faptul că țara respectivă este ori nu parte la acorduri multilaterale, internaționale sau bilaterale privind securitatea cibernetică, combaterea criminalității informatice ori protecția datelor.

(21)

Un pas important în dezvoltarea unei abordări la nivelul Uniunii cu privire la securitatea cibernetică a rețelelor 5G ar trebui să fie realizarea și finalizarea la nivel național a unei evaluări a riscurilor. Astfel, în urma acestei evaluări, statele membre și-ar putea adapta măsurile naționale privind cerințele de securitate și gestionarea riscurilor.

(22)

Ar trebui consolidată coordonarea pentru a se asigura eficacitatea măsurilor care vizează combaterea acestor amenințări la adresa securității cibernetice; măsurile respective sunt esențiale pentru buna funcționare a pieței interne și pentru protecția datelor cu caracter personal și a vieții private.

(23)

Evaluările naționale ale riscurilor ar trebui să stea la baza unei evaluări coordonate a riscurilor la nivelul Uniunii, alcătuite dintr-o cartografiere a amenințărilor și o revizuire comună care urmează să fie efectuată de statele membre, cu sprijin din partea Comisiei și împreună cu Agenția Europeană pentru Securitate Cibernetică (ENISA).

(24)

Ținând seama de evaluările riscurilor la nivel național și la nivelul Uniunii, grupul de cooperare ar trebui să elaboreze un set de instrumente de identificare a tipurilor de riscuri în materie de securitate cibernetică și a eventualelor măsuri de atenuare a riscurilor în domenii precum certificarea, testarea și controalele accesului. De asemenea, acest grup ar trebui să identifice posibile măsuri specifice adecvate pentru a răspunde riscurilor identificate de unul sau mai multe state membre. Grupul de cooperare ar trebui să se bazeze pe sprijinul oferit de Agenția Europeană pentru Securitate Cibernetică (ENISA), de Europol, de Organismul Autorităților Europene de Reglementare în Domeniul Comunicațiilor Electronice (OAREC) și de Centrul de situații și de analiză a informațiilor al UE. Acest set de instrumente ar trebui să ofere consiliere Comisiei cu privire la elaborarea unor cerințe comune minime pentru a asigura în continuare un nivel ridicat de securitate cibernetică a rețelelor 5G în întreaga Uniune.

(25)

Atunci când se iau măsuri care să răspundă riscurilor de securitate cibernetică, ar trebui să se acorde atenție promovării securității cibernetice prin utilizarea unei game largi de furnizori la construcția oricărei rețele unice.

(26)

Prezenta recomandare nu ar trebui să aducă atingere competențelor statelor membre în ceea ce privește activitățile de siguranță publică, apărare, securitate națională și activitățile statului în domeniul dreptului penal, nici dreptului statelor membre de a exclude prestatorii sau furnizorii de pe piețele lor din motive de securitate națională,

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

18.

19.