(1)

Komisija je uvedbo omrežnih tehnologij pete generacije (5G) prepoznala kot enega najpomembnejših dejavnikov, ki omogoča prihodnje digitalne storitve, in eno od prednostnih nalog strategije za enotni digitalni trg. Komisija je sprejela akcijski načrt za 5G, da bi zagotovila ustrezno infrastrukturo Unije za povezljivost, potrebno za njeno digitalno preobrazbo po letu 2020 (1).

(2)

Omrežja 5G bodo temeljila na sedanjih omrežnih tehnologijah četrte generacije (4G), in sicer bodo zagotavljala nove storitvene zmogljivosti ter postala osrednja infrastruktura in gonilo za obsežne dele gospodarstva Unije. Omrežja 5G bodo po uvedbi postala hrbtenica širokega nabora storitev, ki so bistvenega pomena za delovanje notranjega trga ter za vzdrževanje in delovanje ključnih družbenih in ekonomskih funkcij, kot so energija, promet, bančništvo in zdravstvo, pa tudi industrijskih kontrolnih sistemov. Organizacija demokratičnih procesov, kot so volitve, bo vedno bolj odvisna od digitalne infrastrukture in omrežij 5G.

(3)

Ker so številne kritične storitve odvisne od omrežij 5G, bi bile posledice sistemske in močno razširjene motnje še posebej resne. Zato je zagotavljanje kibernetske varnosti omrežij 5G vprašanje strateškega pomena za Unijo v času, ko se kibernetski napadi krepijo in so bolj prefinjeni kot kdaj koli prej.

(4)

Medsebojna povezanost in nadnacionalni značaj infrastruktur, ki podpirajo digitalni ekosistem, ter čezmejna narava s tem povezanih groženj pomenijo, da bi morebitne pomembne šibke točke in/ali kibernetski incidenti v zvezi z omrežji 5G v eni državi članici vplivali na Unijo kot celoto. Zato bi bilo treba uvesti ukrepe za podporo visoki skupni ravni kibernetske varnosti omrežij 5G.

(5)

Države članice so potrdile potrebo po ukrepanju na ravni Unije. Evropski svet v svojih sklepih z dne 21. marca 2019 navedel, da z zanimanjem pričakuje priporočilo Komisije za usklajen pristop k varnosti omrežij 5G (2).

(6)

Zagotavljanje evropske suverenosti bi moralo biti eden glavnih ciljev, pri tem pa bi bilo treba v celoti spoštovati evropski vrednoti odprtosti in strpnosti (3). Tveganje za varnost Unije lahko predstavljajo tudi tuje naložbe v strateške sektorje, pridobitev kritičnih sredstev, tehnologij in infrastrukture v Uniji ter dobava kritične opreme.

(7)

Kibernetska varnost omrežij 5G je ključna za zagotavljanje strateške avtonomije Unije, kar je priznano tudi v skupnem sporočilu „EU-Kitajska: strateška vizija“ (4).

(8)

Resolucija Evropskega parlamenta o varnostnih grožnjah zaradi vedno večje prisotnosti Kitajske na tehnološkem področju v EU prav tako poziva Komisijo in države članice, naj ukrepajo na ravni Unije (5).

(9)

To priporočilo obravnava tveganja za kibernetsko varnost v omrežjih 5G, in sicer z določitvijo smernic o ustreznih ukrepih za analizo in obvladovanje tveganja na nacionalni ravni, razvoju usklajene evropske ocene tveganja in vzpostavitvi postopka za razvoj skupnega nabora orodij, ki bi zajemal najboljše ukrepe za obvladovanje tveganja.

(10)

Za zaščito elektronskih komunikacijskih omrežij je vzpostavljen trden zakonodajni okvir Unije.

(11)

Okvir Unije na področju elektronskih komunikacij (6) spodbuja konkurenco, notranji trg in interese končnih uporabnikov ter si skupaj z Evropskim zakonikom o elektronskih komunikacijah (7) prizadeva za dodaten cilj glede povezljivosti, izražen glede na rezultate: širok dostop do in uporaba zelo visokozmogljive fiksne in mobilne povezljivosti za vse državljane in podjetja Unije ob zaščiti interesov državljanov. Direktiva 2002/21/ES zahteva, da države članice zagotovijo ohranjanje integritete in varnosti javnih komunikacijskih omrežij, hkrati pa podjetja, ki zagotavljajo javna komunikacijska omrežja ali javno dostopne elektronske komunikacijske storitve obvezuje, da sprejmejo tehnične in organizacijske ukrepe za ustrezno obvladovanje tveganj za varnost omrežij in storitev. Določa tudi, da imajo pristojni nacionalni regulativni organi pooblastila za zagotovitev izpolnjevanja teh obveznosti, vključno s pooblastilom za izdajanje zavezujočih navodil.

(12)

Poleg tega Direktiva 2002/20/ES Evropskega parlamenta in Sveta (8) državam članicam omogoča, da za zaščito zaupnosti komunikacij v skladu z Direktivo 2002/58/ES Evropskega parlamenta in Sveta (9) dodajo pogoje v zvezi z varnostjo javnih omrežij pred nepooblaščenim dostopom do splošne odobritve.

(13)

Unija je v podporo izvajanju teh obveznosti vzpostavila številne organe za sodelovanje. Agencija za varnost omrežij in informacij (ENISA), Komisija, države članice in nacionalni regulativni organi so razvili tehnične smernice za nacionalne regulativne organe glede poročanja o incidentih, varnostnih ukrepov ter groženj in sredstev (10). Skupina za sodelovanje, ustanovljena z Direktivo (EU) 2016/1148 Evropskega parlamenta in Sveta (11) (v nadaljnjem besedilu: skupina za sodelovanje), združuje pristojne organe, da bi podprla in olajšala sodelovanje, zlasti z zagotavljanjem strateških smernic za dejavnosti mreže skupin za odzivanje na incidente na področju računalniške varnosti, ki na tehnični ravni omogoča operativno sodelovanje.

(14)

Prihodnji evropski certifikacijski okvir za kibernetsko varnost (12) bi moral zagotoviti bistveno podporno orodje za spodbujanje enako visokih ravni varnosti. Omogočiti bi moral razvoj certifikacijskih shem za kibernetsko varnost, da bi se odzvali na potrebe uporabnikov strojne in programske opreme, povezane s 5G. Zaradi kritičnega pomena teh infrastruktur bi bilo treba čim prej in prednostno razviti ustrezne evropske certifikacijske sheme za kibernetsko varnost za izdelke, storitve ali postopke informacijskih in komunikacijskih tehnologij, ki se uporabljajo za omrežja 5G. Države članice in udeleženci na trgu bi morali dejavno sodelovati pri razvoju takih shem certificiranja, vključno z zagotavljanjem podpore za opredelitev posebnih profilov zaščite omrežij 5G.

(15)

Če ni usklajenega prava Unije, lahko države članice z nacionalnimi tehničnimi predpisi, sprejetimi v skladu s pravom Unije, določijo, da mora biti evropska certifikacijska shema za kibernetsko varnost obvezna. Države članice lahko evropske certifikacijske sheme za kibernetsko varnost uporabljajo tudi v okviru javnih naročil in Direktive 2014/24/EU Evropskega parlamenta in Sveta (13) ter bi lahko podprle razvoj mehanizmov pomoči – kot je na primer vozlišče za pomoč – kupcem iz javnega sektorja pri nakupu rešitev na področju kibernetske varnosti.

(16)

Visoka raven varstva podatkov in zasebnosti je pomemben element pri zagotavljanju varnosti omrežij 5G. Na ravni Unije so bila določena tudi pravila, ki zagotavljajo varnost obdelave osebnih podatkov, vključno z elektronskimi komunikacijami. Splošna uredba o varstvu podatkov (14) določa obveznost obdelave osebnih podatkov na način, ki zagotavlja njihovo varnost, vključno s preprečevanjem nepooblaščene uporabe ali dostopa do osebnih podatkov in opreme, ki se uporablja za obdelavo. Direktiva o zasebnosti in elektronskih komunikacijah določa posebna pravila o varovanju zaupnosti komunikacij in terminalske opreme končnih uporabnikov. Poleg tega ponudnikom storitev nalaga obveznost, da sprejmejo ustrezne tehnične in organizacijske ukrepe za zagotavljanje varnosti svojih storitev.

(17)

Unija je sprejela tudi instrument, ki bo varoval kritično infrastrukturo in tehnologije, na primer tiste, ki se uporabljajo v komunikacijah, in državam članicam omogočil, da pregledajo neposredne tuje naložbe zaradi varnosti ali javnega reda, ter vzpostavijo mehanizem za sodelovanje, s katerim bodo lahko države članice in Komisija izmenjevale informacije in izražale pomisleke v zvezi s posebnimi naložbami (15).

(18)

Države članice in gospodarski subjekti trenutno sprejemajo pomembne pripravljalne ukrepe za obsežno uvajanje omrežij 5G. Več držav članic je izrazilo zaskrbljenost glede morebitnih varnostnih tveganj, povezanih z omrežji 5G v okviru izvajanja postopkov za podelitev pravic do uporabe v radiofrekvenčnih pasovih, določenih za omrežja 5G (16), in proučujejo ukrepe za odpravo teh tveganj.

(19)

Pri obravnavanju tveganj za kibernetsko varnost v omrežjih 5G bi bilo treba upoštevati tako tehnične kot druge dejavnike. Tehnični dejavniki lahko vključujejo šibke točke na področju kibernetske varnosti, ki jih je mogoče izkoristiti za pridobitev nepooblaščenega dostopa do informacij (kibernetsko vohunjenje, tako iz gospodarskih kot političnih razlogov) ali za druge zlonamerne cilje (kibernetski napadi, usmerjeni v motenje ali uničevanje sistemov in podatkov). Med pomembnimi vidiki, ki bi jih bilo treba upoštevati, sta potreba po zaščiti omrežij v celotnem življenjskem ciklu in potreba, da se zajame vsa zadevna oprema, tudi v fazah zasnove, razvoja, javnega naročanja, izgradnje, obratovanja in vzdrževanja omrežij 5G.

(20)

Med drugimi dejavniki so lahko tudi regulativne ali druge zahteve, ki se naložijo dobaviteljem opreme za informacijsko in komunikacijsko tehnologijo. Pri oceni pomembnosti takih dejavnikov bi bilo treba med drugim upoštevati splošno tveganje vpliva tretje države, zlasti v zvezi z njegovim modelom upravljanja, odsotnost sporazumov o sodelovanju na področju varnosti ali podobnih ureditev, kot so na primer sklep o ustreznosti varstva, glede varstva podatkov med Unijo in zadevno tretjo državo oziroma ali je zadevna država pogodbenica večstranskih, mednarodnih ali dvostranskih sporazumov o kibernetski varnosti, boju proti kibernetski kriminaliteti ali varstvu podatkov.

(21)

Kot pomemben korak pri razvoju pristopa Unije k kibernetski varnosti omrežij 5G bi bilo treba oceno tveganja izvesti in zaključiti na nacionalni ravni. Države članice bi tako lahko na podlagi te ocene prilagodile nacionalne ukrepe glede varnostnih zahtev in obvladovanja tveganja.

(22)

Treba bi bilo vzpostaviti usklajevanje, da se zagotovi učinkovitost ukrepov za obravnavanje teh groženj za kibernetsko varnost, saj so ti ukrepi bistveni za nemoteno delovanje notranjega trga ter za varstvo osebnih podatkov in zasebnosti.

(23)

Nacionalne ocene tveganja bi morale biti podlaga za usklajeno oceno tveganja na ravni Unije, sestavljeno iz kartiranja groženj in skupnega pregleda, ki ga izvajajo države članice, in sicer ob podpori Komisije in skupaj z Evropsko agencijo za kibernetsko varnost (ENISA).

(24)

Ob upoštevanju nacionalnih ocen tveganja in ocen tveganja na ravni Unije bi morala skupina za sodelovanje oblikovati nabor orodij za opredelitev vrst tveganj za kibernetsko varnost in možnih ukrepov za zmanjšanje tveganj na področjih, ki vključujejo certificiranje, preskušanje in nadzor dostopa. Opredeliti bi morala tudi možne posebne ukrepe, ki bi bili primerni za obravnavanje tveganj, ki bi jih ugotovila ena ali več držav članic. Skupina za sodelovanje bi morala delovati ob podpori Evropske agencije za kibernetsko varnost (ENISA), Europola, Organa evropskih regulatorjev za elektronske komunikacije (BEREC) ter Obveščevalnega in situacijskega centra EU. Ta nabor orodij bi moral Komisiji pomagati pri razvoju minimalnih skupnih zahtev za nadaljnje zagotavljanje visoke ravni kibernetske varnosti omrežij 5G po vsej Uniji.

(25)

Ob sprejemanju ukrepov za obravnavanje tveganj, povezanih s kibernetsko varnostjo, bi bilo treba pri izgradnji enotnega omrežja upoštevati spodbujanje kibernetske varnosti prek raznolikosti dobaviteljev.

(26)

To priporočilo ne bi smelo posegati v pristojnosti držav članic, kar zadeva dejavnosti v zvezi z javno varnostjo, obrambo, nacionalno varnostjo in dejavnostmi države na področju kazenskega prava, vključno s pravico držav članic, da iz razlogov nacionalne varnosti iz svojih trgov izključijo ponudnike ali ponudnike storitev –

(1)

(2)

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)

(16)

(17)

(18)

(19)