Mnenje Evropskega odbora regij – Akt EU o kibernetski solidarnosti in digitalni odpornosti

(C/2024/1049)

Poročevalec:

Pehr GRANFALK (SE/EPP), član občinskega sveta, Solna

Referenčni dokument:

Predlog uredbe Evropskega parlamenta in Sveta o določitvi ukrepov za okrepitev solidarnosti in zmogljivosti v Uniji za odkrivanje kibernetskovarnostnih groženj in incidentov ter pripravo in odzivanje nanje

COM(2023) 209 final

I. PREDLOGI SPREMEMB

COM(2023) 209

Predlog spremembe 1

Uvodna izjava 1

Predlog Komisije	Predlog spremembe OR
Uporaba informacijskih in komunikacijskih tehnologij ter odvisnost od njih sta postali ključna vidika v vseh sektorjih gospodarske dejavnosti, saj so naše javne uprave, podjetja in državljani v različnih sektorjih in prek meja tesneje medsebojno povezani in bolj odvisni drug od drugega kot kdaj koli prej.	Uporaba informacijskih in komunikacijskih tehnologij ter odvisnost od njih sta postali ključna vidika v vseh sektorjih gospodarske dejavnosti in sta razkrili tudi pomanjkljivosti , saj so naše javne uprave, podjetja in državljani v različnih sektorjih in prek meja tesneje medsebojno povezani in bolj odvisni drug od drugega kot kdaj koli prej.

Obrazložitev

Obrazložitev je razvidna iz besedila.

Predlog spremembe 2

Uvodna izjava 3

Predlog Komisije

Predlog spremembe OR

Okrepiti je treba konkurenčni položaj industrijskega in storitvenega sektorja v Uniji v celotnem spletnem gospodarstvu ter podpreti njuno digitalno preobrazbo, in sicer z okrepitvijo ravni kibernetske varnosti na enotnem digitalnem trgu. Kot je priporočeno v treh različnih predlogih Konference o prihodnosti Evrope, je treba povečati odpornost državljanov, podjetij in subjektov, ki upravljajo kritične infrastrukture, proti vse večjim kibernetskovarnostnim grožnjam, ki imajo lahko uničujoče družbene in gospodarske posledice. […]

Okrepiti je treba konkurenčni položaj industrijskega in storitvenega sektorja v Uniji v celotnem spletnem gospodarstvu ter podpreti njuno digitalno preobrazbo, in sicer z okrepitvijo ravni kibernetske varnosti na enotnem digitalnem trgu. Kot je priporočeno v treh različnih predlogih Konference o prihodnosti Evrope, je treba povečati odpornost državljanov, podjetij , javne uprave na nacionalni, regionalni in lokalni ravni ter subjektov, ki upravljajo kritične infrastrukture, proti vse večjim kibernetskovarnostnim grožnjam, ki imajo lahko uničujoče družbene in gospodarske posledice. […]

Obrazložitev

Lokalne in regionalne uprave zagotavljajo storitve, ki so blizu državljanom in kritičnega pomena za družbo, ter so eden od ključnih elementov dinamičnega evropskega trga.

Predlog spremembe 3

Uvodna izjava 29

Predlog Komisije

Predlog spremembe OR

V okviru ukrepov pripravljenosti bi bilo treba za spodbujanje doslednega pristopa ter krepitev varnosti po vsej Uniji in na njenem notranjem trgu zagotoviti podporo za usklajeno preskušanje in ocenjevanje kibernetske varnosti subjektov, ki delujejo v visoko kritičnih sektorjih, opredeljenih v skladu z Direktivo (EU) 2022/2555. V ta namen bi morala Komisija ob podpori agencije ENISA in v sodelovanju s skupino za sodelovanje na področju varnosti omrežnih in informacijskih sistemov, ustanovljeno z Direktivo (EU) 2022/2555, redno določati ustrezne sektorje ali podsektorje, ki bi morali biti upravičeni do finančne podpore za usklajeno preskušanje na ravni Unije. Sektorje ali podsektorje bi bilo treba izbrati iz Priloge I k Direktivi (EU) 2022/2555 (v nadaljnjem besedilu: visoko kritični sektorji). Usklajeno preskušanje […].

V okviru ukrepov pripravljenosti bi bilo treba za spodbujanje doslednega pristopa ter krepitev varnosti po vsej Uniji in na njenem notranjem trgu zagotoviti podporo za usklajeno preskušanje in ocenjevanje kibernetske varnosti subjektov, ki delujejo v visoko kritičnih sektorjih, opredeljenih v skladu z Direktivo (EU) 2022/2555. V ta namen bi morala Komisija ob podpori agencije ENISA in v sodelovanju s skupino za sodelovanje na področju varnosti omrežnih in informacijskih sistemov, ustanovljeno z Direktivo (EU) 2022/2555, redno določati ustrezne sektorje ali podsektorje, ki bi morali biti upravičeni do finančne podpore za usklajeno preskušanje na ravni Unije. Sektorje ali podsektorje ter subjekte javne uprave na regionalni in lokalni ravni, neodvisno od tega, ali v skladu z nacionalnim pravom veljajo za visoko kritične, bi bilo treba izbrati iz Priloge I k Direktivi (EU) 2022/2555 (v nadaljnjem besedilu: visoko kritični sektorji). Usklajeno preskušanje […].

Obrazložitev

Ker imajo države članice možnost, da lokalne in regionalne oblasti izključijo iz izvajanja direktive o ukrepih za visoko skupno raven kibernetske varnosti v Uniji (direktiva NIS 2 (1)), bi bilo treba poskrbeti, da so te oblasti namesto tega zajete v aktu o kibernetski solidarnosti.

Predlog spremembe 4

Uvodna izjava 30

Predlog Komisije

Predlog spremembe OR

Poleg tega bi moral mehanizem za izredne kibernetske razmere zagotavljati podporo za druge ukrepe pripravljenosti in podpirati pripravljenost v drugih sektorjih, ki jih usklajeno preskušanje subjektov, ki delujejo v visoko kritičnih sektorjih, ne zajema. Ti ukrepi bi lahko vključevali različne vrste nacionalnih dejavnosti na področju pripravljenosti.

Poleg tega bi moral mehanizem za izredne kibernetske razmere zagotavljati podporo za druge ukrepe pripravljenosti in podpirati pripravljenost v drugih sektorjih, ki jih usklajeno preskušanje subjektov, ki delujejo v kritičnih sektorjih, ne zajema. Enako bi moralo veljati za javno upravo, neodvisno od tega, ali v skladu z nacionalno zakonodajo velja za kritično. Ti ukrepi bi lahko vključevali različne vrste nacionalnih dejavnosti na področju pripravljenosti.

Obrazložitev

Lokalne in regionalne oblasti bi morale imeti možnost, da izkoristijo podporo v okviru mehanizma za izredne kibernetske razmere.

Predlog spremembe 5

Uvodna izjava 33

Predlog Komisije

Predlog spremembe OR

Postopno bi bilo treba vzpostaviti kibernetskovarnostno rezervo na ravni Unije, ki bi zajemala storitve zasebnih ponudnikov upravljanih varnostnih storitev za podporo ukrepom odzivanja in takojšnjega okrevanja v primeru pomembnih kibernetskovarnostnih incidentov ali takih incidentov velikih razsežnosti. Kibernetskovarnostna rezerva EU bi morala zagotoviti razpoložljivost in pripravljenost storitev. Storitve iz kibernetskovarnostne rezerve EU bi morale biti namenjene podpori nacionalnim organom pri zagotavljanju pomoči prizadetim subjektom , ki delujejo v kritičnih ali visoko kritičnih sektorjih, kot dopolnitev njihovih ukrepov na nacionalni ravni. Države članice bi morale ob vložitvi zahtevka za podporo iz kibernetskovarnostne- rezerve EU opredeliti podporo, zagotovljeno prizadetemu subjektu na nacionalni ravni, ki bi jo bilo treba upoštevati pri oceni zahtevka države članice. Storitve iz kibernetskovarnostne rezerve EU se lahko pod podobnimi pogoji uporabljajo tudi za podporo institucijam, organom, uradom in agencijam Unije.

Postopno bi bilo treba vzpostaviti kibernetskovarnostno rezervo na ravni Unije, ki bi zajemala storitve zasebnih ponudnikov upravljanih varnostnih storitev za podporo ukrepom odzivanja in takojšnjega okrevanja v primeru pomembnih kibernetskovarnostnih incidentov ali takih incidentov velikih razsežnosti. Kibernetskovarnostna rezerva EU bi morala zagotoviti razpoložljivost in pripravljenost storitev. Storitve iz kibernetskovarnostne rezerve EU bi morale biti namenjene podpori nacionalnim organom pri zagotavljanju pomoči prizadetim subjektom kot dopolnitev njihovih ukrepov na nacionalni ravni. Države članice bi morale ob vložitvi zahtevka za podporo iz kibernetskovarnostne- rezerve EU opredeliti podporo, zagotovljeno prizadetemu subjektu na nacionalni ravni, ki bi jo bilo treba upoštevati pri oceni zahtevka države članice. Storitve iz kibernetskovarnostne rezerve EU se lahko pod podobnimi pogoji uporabljajo tudi za podporo institucijam, organom, uradom in agencijam Unije.

Obrazložitev

Podpora iz kibernetskovarnostne rezerve EU ne bi smela biti na voljo samo prizadetim subjektom, ki delujejo v kritičnih ali visoko kritičnih sektorjih.

Predlog spremembe 6

Člen 1(2)(b)

Predlog Komisije

Predlog spremembe OR

okrepiti pripravljenost subjektov, ki delujejo v kritičnih in visoko kritičnih sektorjih po vsej Uniji, ter solidarnost z razvijanjem skupnih zmogljivosti za odzivanje na pomembne kibernetskovarnostne incidente ali take incidente velikih razsežnosti, med drugim z omogočanjem podpore Unije pri odzivanju na kibernetskovarnostne incidente tretjim državam, pridruženim programu Digitalna Evropa;

okrepiti pripravljenost subjektov, ki delujejo v kritičnih in visoko kritičnih sektorjih po vsej Uniji, ter javne uprave na nacionalni in podnacionalni ravni, in solidarnost z razvijanjem skupnih zmogljivosti za odzivanje na pomembne kibernetskovarnostne incidente ali take incidente velikih razsežnosti, med drugim z omogočanjem podpore Unije pri odzivanju na kibernetskovarnostne incidente tretjim državam, pridruženim programu Digitalna Evropa;

Obrazložitev

Tudi organi s podnacionalne ravni bi morali biti zajeti v področje uporabe te uredbe.

Predlog spremembe 7

Člen 4(1), drugi odstavek

Predlog Komisije	Predlog spremembe OR
Lahko deluje kot referenčna točka in točka dostopa do drugih javnih in zasebnih organizacij na nacionalni ravni za zbiranje in analiziranje informacij o kibernetskovarnostnih grožnjah in incidentih ter prispevanje k čezmejnim centrom za varnostne operacije. […]	Lahko deluje kot referenčna točka in točka dostopa do drugih javnih in zasebnih organizacij na nacionalni in podnacionalni ravni za zbiranje in analiziranje informacij o kibernetskovarnostnih grožnjah in incidentih ter prispevanje k čezmejnim centrom za varnostne operacije. […]

Obrazložitev

Nacionalni centri za varnostne operacije bi morali zbirati in analizirati tudi informacije subjektov na regionalni in lokalni ravni.

Predlog spremembe 8

Člen 5(2)

Predlog Komisije

Predlog spremembe OR

Center ECCC na podlagi razpisa za prijavo interesa izbere gostiteljski konzorcij, ki z njim sodeluje pri skupnem javnem naročanju orodij in infrastruktur. Gostiteljskemu konzorciju lahko dodeli nepovratna sredstva za financiranje delovanja orodij in infrastruktur. Finančni prispevek Unije krije do 75 % stroškov pridobitve orodij in infrastruktur ter do 50 % operativnih stroškov, preostale stroške pa krije gostiteljski konzorcij. Pred začetkom postopka za pridobitev orodij in infrastruktur center ECCC in gostiteljski konzorcij skleneta sporazum o gostiteljstvu in uporabi, ki ureja uporabo orodij in infrastruktur.

Center ECCC na podlagi razpisa za prijavo interesa izbere gostiteljski konzorcij, ki z njim sodeluje pri skupnem javnem naročanju orodij in infrastruktur. Gostiteljskemu konzorciju lahko dodeli nepovratna sredstva za financiranje delovanja orodij in infrastruktur. Finančni prispevek Unije krije do 75 % stroškov pridobitve orodij in infrastruktur ter do 50 % operativnih stroškov, preostale stroške pa krije gostiteljski konzorcij s sredstvi, ki niso sredstva v okviru Uredbe (EU) št. 1060/2021 (uredba o skupnih določbah) . Pred začetkom postopka za pridobitev orodij in infrastruktur center ECCC in gostiteljski konzorcij skleneta sporazum o gostiteljstvu in uporabi, ki ureja uporabo orodij in infrastruktur.

Obrazložitev

Ukrepov v okviru akta o kibernetski solidarnosti ne bi smeli financirati iz programov kohezijske politike.

Predlog spremembe 9

Člen 9(1)

Predlog Komisije	Predlog spremembe OR
Vzpostavi se mehanizem za izredne kibernetske razmere za povečanje odpornosti Unije proti večjim kibernetskovarnostnim grožnjam ter pripravo na kratkoročne posledice pomembnih kibernetskovarnostnih incidentov in takih incidentov velikih razsežnosti in njihovo ublažitev v duhu solidarnosti (v nadaljnjem besedilu: mehanizem).	Vzpostavi se mehanizem za izredne kibernetske razmere za povečanje odpornosti Unije proti kibernetskovarnostnim grožnjam ter pripravo na kratkoročne posledice pomembnih kibernetskovarnostnih incidentov in takih incidentov velikih razsežnosti in njihovo ublažitev v duhu solidarnosti (v nadaljnjem besedilu: mehanizem).

Obrazložitev

Mehanizem za izredne kibernetske razmere bi moral biti namenjen pripravi na kratkoročne posledice vseh vrst kibernetskovarnostnih incidentov in njihovi blažitvi.

Predlog spremembe 10

Člen 10(2) (novo besedilo)

Predlog Komisije	Predlog spremembe OR
	2. Komisija vsako leto pripravi poročilo, v katerem oceni delovanje mehanizma in morebitne potrebe po razširitvi sodelovanja ali dodatnem usposabljanju.

Obrazložitev

Komisija bi morala redno pripravljati poročila, saj se področje kibernetske varnosti stalno razvija in je treba zahteve hitro prilagajati stvarnosti.

Predlog spremembe 11

Člen 11(1)

Predlog Komisije

Predlog spremembe OR

Da bi Komisija podprla usklajeno preskušanje pripravljenosti subjektov iz člena 10(1), točka (a), po vsej Uniji, po posvetovanju s skupino za sodelovanje na področju varnosti omrežnih in informacijskih sistemov in agencijo ENISA med visoko kritičnimi sektorji, navedenimi v Prilogi I k Direktivi (EU) 2022/2555, opredeli zadevne sektorje ali podsektorje, katerih subjekti so lahko predmet usklajenega preskušanja pripravljenosti, ob upoštevanju obstoječih in načrtovanih usklajenih ocen tveganja in testiranja odpornosti na ravni Unije.

Da bi Komisija podprla usklajeno preskušanje pripravljenosti subjektov iz člena 10(1), točka (a), po vsej Uniji, po posvetovanju s skupino za sodelovanje na področju varnosti omrežnih in informacijskih sistemov in agencijo ENISA med visoko kritičnimi sektorji, navedenimi v Prilogi I k Direktivi (EU) 2022/2555 , vključno z javno upravo na lokalni ravni, opredeli zadevne sektorje ali podsektorje, katerih subjekti so lahko predmet usklajenega preskušanja pripravljenosti, ob upoštevanju obstoječih in načrtovanih usklajenih ocen tveganja in testiranja odpornosti na ravni Unije.

Obrazložitev

Lokalne in regionalne oblasti bi morale imeti možnost izkoristiti mehanizem za izredne kibernetske razmere. S tem amandmajem se v besedilo Komisije vnese poziv iz predloga spremembe 3 (k uvodni izjavi 30).

Predlog spremembe 12

Člen 14(2)(b)

Predlog Komisije	Predlog spremembe OR
vrsta prizadetega subjekta, pri čemer imajo prednost incidenti, ki prizadenejo bistvene subjekte, kot so opredeljeni v členu 3(1) Direktive (EU) 2022/2555;	vrsta prizadetega subjekta , vključno s subjekti javne uprave na regionalni in lokalni ravni, pri čemer imajo prednost incidenti, ki prizadenejo bistvene subjekte, kot so opredeljeni v členu 3(1) Direktive (EU) 2022/2555;

Obrazložitev

Pojasnitev področja uporabe, v katerega so vključeni podnacionalni subjekti.

Predlog spremembe 13

Člen 18(1)

Predlog Komisije

Predlog spremembe OR

Agencija ENISA na zahtevo Komisije, mreže EU--CyCLONe ali mreže skupin CSIRT pregleda in oceni grožnje, ranljivosti in blažitvene ukrepe v zvezi s posameznim pomembnim kibernetskovarnostnim incidentom ali takim incidentom velikih razsežnosti. Agencija ENISA po zaključku pregleda in ocene incidenta mreži skupin CSIRT, mreži EU-CyCLONe in Komisiji predloži poročilo o pregledu incidenta, da bi jih podprla pri izvajanju njihovih nalog, zlasti nalog iz členov 15 in 16 Direktive (EU) 2022/2555. Komisija poročilo po potrebi posreduje visokemu predstavniku.

Agencija ENISA na zahtevo Komisije, mreže EU--CyCLONe ali mreže skupin CSIRT pregleda in oceni grožnje, ranljivosti in blažitvene ukrepe v zvezi s posameznim pomembnim kibernetskovarnostnim incidentom ali takim incidentom velikih razsežnosti. Agencija ENISA po zaključku pregleda in ocene incidenta mreži skupin CSIRT, mreži EU-CyCLONe in Komisiji predloži poročilo o pregledu incidenta, da bi jih podprla pri izvajanju njihovih nalog, zlasti nalog iz členov 15 in 16 Direktive (EU) 2022/2555. Če je mogoče, mreža skupin CSIRT poročilo posreduje organom na podnacionalni ravni, Komisija pa poročilo po potrebi posreduje visokemu predstavniku.

Obrazložitev

Pojasnitev področja uporabe, v katerega so vključeni podnacionalni subjekti.

II. POLITIČNA PRIPOROČILA

STALIŠČE EVROPSKEGA ODBORA REGIJ

Evropski odbor regij (OR) pozdravlja predlog Evropske komisije za uredbo o ukrepih za okrepitev solidarnosti na področju kibernetske varnosti. Države članice EU so danes tesno medsebojno in digitalno povezane, v prihodnjih letih pa bodo še bolj. OR zato pozdravlja pobudo Komisije za skupen boj proti kibernetskim grožnjam, ki so posledica vse večje digitalizacije. Predlog opozarja na vse večje število kibernetskih incidentov, tudi na področjih, za katera so pristojni mesta in regije. Poudarjeno je, da se je treba pripraviti na varnostne incidente na kritičnih področjih delovanja družbe, jih obvladati in se iz njih učiti. Po mnenju OR bi lahko predlogi Komisije prispevali k večji digitalni odpornosti v EU.

Za uresničitev cilja o digitalno odporni Evropi morajo politiki in državljani razumeti, da je treba združiti moči na področju kibernetske varnosti. OR zato poziva države članice, Komisijo in vse lokalne oblasti, naj skupaj ozaveščajo o nujnosti ukrepanja, tudi o potrebi po povečanju naložb v digitalno odpornost, zlasti na lokalni in regionalni ravni, ter razmislijo o razvoju političnih instrumentov za zaščito pred napadi z izsiljevalskim programjem. V ta namen so potrebni ustrezni finančni in tehnični ukrepi ter usposabljanje.

OR ugotavlja, da se predlog z več vidikov sklicuje in opira na direktivo NIS 2. Pri izvajanju te direktive na nacionalni ravni se lahko države članice same odločijo, ali bodo lokalne organe vključile v njeno področje uporabe (2). Ker lahko vsaka država članica torej izbira, ali bo občine pri izvajanju direktive opredelila kot bistvene ali pomembne subjekte, bodo morebitne razlike med državami vplivale na njihov pristop k aktu o kibernetski solidarnosti v sedanji obliki. Da lokalne oblasti, ki so v nekaterih državah članicah odgovorne za ključne storitve, ne bi bile izključene iz področja uporabe tega akta, bi bilo treba v pravnem besedilu pojasniti, da so vanj vključene, neodvisno od tega, ali so zajete v direktivi NIS 2.

Prizadevanja za povečanje digitalne interoperabilnosti v regijah je treba nujno podpreti s trdnimi ukrepi za kibernetsko varnost, ki je temelj interoperabilnosti, da kibernetske grožnje ne bi zavirale interoperabilnosti regij v vsej Evropi.

Mesta in regije morajo prejeti konkretno podporo od struktur, ki naj bi bile vzpostavljene, ne le biti zavezane, da jim poročajo. OR zato poziva k natančnejši pojasnitvi, kako se bodo regije podprle, tudi zaradi zvišanja ravni kibernetske varnosti v manjših občinah.

Stališča o področjih ukrepanja v predlogu

Evropski kibernetski ščit

Vzpostavi se vseevropska infrastruktura centrov za varnostne operacije za nadaljnji razvoj in izboljšanje skupnih zmogljivosti za odkrivanje, analiziranje in obdelavo podatkov o kibernetskih grožnjah in incidentih.

Za obsežno sliko sedanjega stanja na področju kibernetske varnosti v EU je treba dodati tudi informacije, ocene tveganja ter podatke o grožnjah in varnostnih incidentih, ki jih posredujejo lokalni in nacionalni ponudniki sistemov. Po mnenju OR je problematično, da ni jasnih spodbud in postopkov za to, kako naj mesta in regije aktivno prispevajo h krepitvi digitalne odpornosti. Vključevanje lokalne in regionalne ravni je izredno pomembno, saj imata ravno ti digitalne rešitve, ki so izpostavljene napadom. Zato je treba oblikovati okolje, v katerem bo mogoče – in bo treba – mesta in regije kot partnerje vključiti v prizadevanja za povečanje kibernetske varnosti v Uniji.

OR je v svojih raziskavah ugotovil, da so med državami velike razlike v zrelosti z vidika zaščite in sprejetih varnostnih ukrepov; te so precej velike celo znotraj posameznih držav, npr. med nacionalnimi in manjšimi lokalnimi organi, tako glede zmogljivosti kot ciljev na področju kibernetske varnosti. Po mnenju OR bi morala zato uredba prispevati k zmanjšanju teh razlik in zagotoviti, da imajo vsi udeleženi akterji razmeroma enake zmogljivosti in cilje.

OR opozarja, da bi se naloge nove mreže nacionalnih in čezmejnih centrov za varnostne operacije lahko prekrivale z nalogami mreže skupin CSIRT (3). Če se bodo poleg skupin CSIRT ustanavljali še nacionalni centri, je treba jasno določiti, kakšno bo sodelovanje in kakšne so pristojnosti obeh v primeru incidenta.

OR podpira specifične cilje predloga uredbe in predvidene ukrepe, a hkrati obžaluje, da lokalne in regionalne oblasti kljub vse številnejšim kibernetskim napadom niso dovolj zajete v ta predlog. Zato predlaga vrsto zakonodajnih sprememb za odpravo teh pomanjkljivosti;

Trenutno primanjkuje podatkov in jasnih merilnih točk za incidente, grožnje in tveganja, ki so jim izpostavljene občine in regije. V okviru evropskega kibernetskega ščita naj bi se pripravili kazalniki za ugotavljanje, kako se po sprejetju uredbe izboljšujeta razvoj in zrelost. Dolgoročno bi se lahko kazalniki upoštevali pri evidentiranju tveganj, ki bi temeljilo na podatkih in bi pokazalo, kje so najbolj potrebni ukrepi.

Mehanizem za izredne kibernetske razmere

Cilj mehanizma je krepitev odpornosti, preskušanje pripravljenosti v sektorjih, ki so opredeljeni kot kritični, krepitev zmogljivosti za okrevanje po incidentih in vzpostavitev kibernetskovarnostne rezerve.

10.

Kibernetskovarnostni incidenti velikih razsežnosti so lahko posledica lokalnih dogodkov, zato mora predlog ponazoriti, kako lahko centri za varnostne operacije ter kibernetskovarnostna rezerva zajamejo tudi resne lokalne motnje, ne le pomembnih varnostnih incidentov velikih razsežnosti, ki so se že zgodili. Izmenjava informacij ne sme biti omejena na takšne incidente, temveč mora vključevati tudi morebitna tveganja.

11.

Informacije o kibernetskovarnostnih incidentih so pogosto zelo občutljive in lahko vsebujejo tehnične podrobnosti ali pa tudi osebne podatke, ki jih zaenkrat ni mogoče posredovati brez pogodb ali sporazumov med partnerji. Trenutno so težave z izmenjavo informacij na nacionalni ravni in vprašanje, kako si jih izmenjevati preko meja, je zelo zapleteno. Da bi mehanizem za izredne kibernetske razmere lahko deloval, mora Komisija zagotoviti, da imajo vsi udeleženci – javni in zasebni akterji v okviru kibernetskovarnostne rezerve EU – pravne in tehnične pogoje za izmenjavo in prejemanje informacij. Po mnenju OR je glavni namen posredovanja informacij reševanje incidentov, tj. ugotavljanje, kako lahko napadeni subjekti najbolje obvladajo večji incident.

12.

OR pozdravlja, da so za ponudnike storitev iz zasebnega sektorja, ki so udeleženi pri predlagani kibernetskovarnostni rezervi, določene visoke zahteve. Vendar ne smejo biti oblikovane tako, da bodo nekatere zmogljivosti ali sistemsko znanje izključeni, ker bo lahko le majhno število zelo velikih akterjev izpolnjevalo zahteve za ponudnike varnostnih storitev. EU mora s svojimi dejavnostmi na področju varnosti pokrivati širok spekter, da bi bila čim bolj odporna.

13.

V skladu s predlogom naj bi kibernetskovarnostno rezervo sestavljali zaupanja vredni ponudniki storitev, ki bodo certificirani na podlagi Akta o kibernetski varnosti (4). Agencija Evropske unije za kibernetsko varnost (ENISA) je pristojna za zagotavljanje, da produkti in storitve ustrezajo določenim zahtevam glede kibernetske varnosti. OR poudarja, da mora agencija ENISA hitro razviti certifikacijske sheme, da se bodo lahko ponudniki certificirali s pomočjo sodobne tehnologije (5).

14.

Pri vzpostavljanju kibernetskovarnostne rezerve je treba poleg tega paziti, da konkurenca ne bo ovirana ali da akterji, ki poslujejo samo v nekaterih delih Unije, ne bodo izključeni. Za vzpostavitev rezerve in certificiranje morajo biti na voljo hitri in jasni postopki, da bo mogoče poiskati najbolj usposobljene in najpomembnejše akterje na tem področju.

15.

Po mnenju OR bi bilo treba opredeliti nacionalne ponudnike tehnologij in storitev za kritične sisteme ter podatke o njih združiti v podatkovni zbirki. Ti podatki so lahko zelo dragoceni pri ukrepih, ki zahtevajo mobilizacijo lokalnih akterjev, koristni pa so lahko tudi za delo akademije za kibernetske veščine.

16.

V primeru incidenta je učinkovitost protiukrepov odvisna od tega, kako hiter je bil odziv. Izmenjane kompleksne informacije o varnostnih incidentih in tveganjih morajo v kratkem času priti do pravih ciljnih skupin. V skladu s predlogom naj bi se vzpostavili nova organizacija in struktura za izmenjavo informacij. OR pa poudarja, da je treba pri vzpostavljanju nacionalnih in čezmejnih centrov za varnostne operacije izkoristiti in nadgraditi sedanje informacijske kanale, kot sta mreža CyCLONe (6) in mreža skupin CSIRT.

Mehanizem za pregledovanje kibernetskovarnostnih incidentov

Mehanizem je namenjen pregledovanju kibernetskovarnostnih incidentov, zlasti incidentov s precejšnimi posledicami.

17.

Potrebe po kompetencah na področju kibernetske varnosti in njihovega financiranja so povezane s hitrim razvojem digitalizacije. OR pozdravlja, da je Komisija ustanovila akademijo za kibernetske veščine, ter glede na pomanjkanje strokovno usposobljene delovne sile v EU poziva k jasni strategiji za krepitev manjših in finančno šibkejših mest ter regij.

18.

OR poudarja, da močna digitalna odpornost zahteva sodelovanje različnih akterjev, tako javnih kot zasebnih subjektov, ki prispevajo svoje strokovno znanje, izkušnje in osebje. Opozarja, da imajo lokalne in regionalne oblasti vlogo pri razvoju digitalne odpornosti in se lahko vzajemno podpirajo s kampanjami ozaveščanja ter izmenjavo primerov dobre prakse in strokovnega znanja. Bolj kot bodo podjetja vlagala v svojo digitalno odpornost, večji bodo stroški napadov za njihove nasprotnike, kar je lahko tudi sredstvo za odvračanje od njih;

19.

Evropska mesta in regije trenutno sami krijejo stroške ohranjanja visoke ravni kibernetske varnosti, pa tudi stroške, ki nastanejo zaradi varnostnih incidentov. Po mnenju OR obstaja nevarnost, da bodo zaradi uredbe potrebni dodatni viri, ki so že tako pičli. Zato uredba ne sme povzročati bremen, temveč mora s konkretnimi instrumenti, postopki in podporo okrepiti zmogljivosti vseh subjektov.

20.

OR si zastavlja vprašanje, zakaj poročil o pregledovanju ni mogoče izmenjevati v okviru mreže nacionalnih in čezmejnih centrov za varnostne operacije; v skladu s predlogom naj bi le nacionalni centri imeli dostop do javnih informacij. Učenje iz varnostnih incidentov pa je izredno pomembno, da bi akterji lahko izboljšali in nadgradili svojo kibernetsko varnost. Informacije bi morale biti zato na voljo vsem sodelujočim v mreži, z vsemi podrobnostmi.

21.

Financiranje je v predlogu preveč splošno predstavljeno. OR se zavzema za natančnejšo pojasnitev, kako naj bi se uporabljala sredstva in kakšen delež je neposredno predviden za regije ter občine.

22.

OR na koncu poudarja, da je predlog skladen z načeloma subsidiarnosti in sorazmernosti.

V Bruslju, 30. novembra 2023

Predsednik Evropskega odbora regij

Vasco ALVES CORDEIRO

(1) Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, spremembi Uredbe (EU) št. 910/2014 in Direktive (EU) 2018/1972 ter razveljavitvi Direktive (EU) 2016/1148 (direktiva NIS 2) (UL L 333, 27.12.2022, str. 80).

(2) Člen 2(5) direktive NIS 2: „Države članice lahko določijo, da se ta direktiva uporablja za: (a) subjekte javne uprave na lokalni ravni“.

(3) V skladu s členom 11(3) direktive NIS 2 imajo skupine CSIRT naslednje naloge:

(a)	spremljanje in analiziranje kibernetskih groženj, ranljivosti in incidentov na nacionalni ravni ter, na zahtevo, pomoč zadevnim bistvenim in pomembnim subjektom v zvezi s spremljanjem njihovih omrežnih in informacijskih sistemov v realnem času ali v skoraj realnem času;

(b)	zagotavljanje zgodnjega opozarjanja, opozoril, obvestil in razširjanja informacij o kibernetskih grožnjah, ranljivostih in incidentih zadevnim bistvenim in pomembnim subjektom ter pristojnim organom in drugim ustreznim deležnikom, če je mogoče v skoraj realnem času;

(c)	odzivanje na incidente in zagotavljanje pomoči zadevnim bistvenim in pomembnim subjektom, kadar je to potrebno;

(d)	zbiranje in analiziranje forenzičnih podatkov in opravljanje dinamičnih analiz tveganja in incidentov ter situacijsko zavedanje na področju kibernetske varnosti;

(e)	opravljanje, na zahtevo bistvenega ali pomembnega subjekta, proaktivnega pregleda omrežnih in informacijskih sistemov zadevnega subjekta, da se odkrijejo ranljivosti, ki bi lahko imele pomemben vpliv;

(f)	sodelovanje v mreži skupin CSIRT in zagotavljanje medsebojne pomoči v skladu z zmožnostmi in pristojnostmi drugim članicam mreže skupin CSIRT na njihovo zahtevo;

(g)	kadar je ustrezno, vlogo koordinatorja za namene postopka usklajenega razkrivanja ranljivosti iz člena 12(1);

(h)	prispevek k uporabi orodij za varno izmenjavo informacij na podlagi člena 10(3).

(4) Uredba (EU) 2019/881 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o Agenciji Evropske unije za kibernetsko varnost (ENISA) in o certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti ter razveljavitvi Uredbe (EU) št. 526/2013 (Akt o kibernetski varnosti) (UL L 151, 7.6.2019, str. 15).

(5) Agencija ENISA trenutno razvija tri postopke certificiranja, ki še niso zaključeni, za informacijske in komunikacijske tehnologije (IKT), 5G in storitve- v oblaku, https://www.enisa.europa.eu/topics/standards/certification/eu-cybersecurity-certification-faq.

(6) Člen 16(1) in (3) direktive NIS 2:

Evropska organizacijska mreža za povezovanje v kibernetski krizi (mreža EU-CyCLONe)

1.	Mreža EU-CyCLONe se ustanovi za podpiranje usklajenega obvladovanja kibernetskih incidentov velikih razsežnosti in kriz na operativni ravni in za zagotovitev redne izmenjave relevantnih informacij med državami članicami ter institucijami, organi, uradi in agencijami Unije.

Mreža EU-CyCLONe ima naslednje naloge:

(a)	zviševanje ravni pripravljenosti za obvladovanje kibernetskih incidentov velikih razsežnosti in kriz;

(b)	razvoj skupnega situacijskega zavedanja o kibernetskih incidentih velikih razsežnosti in krizah;

(c)	ocenjevanje posledic in vpliva relevantnih kibernetskih incidentov velikih razsežnosti in kriz ter predlaganje morebitnih blažilnih ukrepov;

(d)	usklajevanje obvladovanja kibernetskih incidentov velikih razsežnosti in kriz ter podpiranje odločanja na politični ravni v zvezi s takimi incidenti in krizami;

(e)	obravnavanje nacionalnih načrtov za odzivanje iz člena 9(4) na kibernetske incidente velikih razsežnosti in krize na zahtevo zadevne države članice.