32002G0216(02)

Rådets resolution

av den 28 januari 2002

om en gemensam inställning och särskilda åtgärder på området för nät- och informationssäkerhet

(2002/C 43/02)

EUROPEISKA UNIONENS RÅD

SOM FÖLJER UPP

slutsatserna från Europeiska rådet i Stockholm den 23-24 mars 2001 att rådet tillsammans med kommissionen kommer att utarbeta en övergripande strategi för säkerheten när det gäller elektroniska nät tillsammans med praktiska åtgärder för genomförande,

SOM ERINRAR OM

1. rådets resolution av den 30 maj 2001 - Handlingsplanen eEurope: informations- och nätverkssäkerhet,

2. kommissionens meddelande till rådet och Europaparlamentet, Ekonomiska och sociala kommittén och Regionkommittén - Nät och informationssäkerhet: förslag till en europeisk strategi,

3. kommissionens meddelande till rådet och Europaparlamentet - eEurope 2002: påverkan och prioriteringar,

4. handlingsplanen för eEuropa 2002 som Europeiska rådet i Feira den 19-20 juni 2000 gav sitt stöd åt,

5. rådets rekommendation 95/144/EG av den 7 april 1995 om gemensamma kriterier för utvärdering av informationsteknologisk säkerhet(1),

6. rådets rekommendation av den 25 juni 2001 om kontaktpunkter som upprätthåller ett öppethållande dygnet runt för bekämpning av högteknologisk brottslighet(2),

7. kommisionens meddelande om ett säkrare informationssamhälle - ökad säkerhet i informationsinfrastrukturer och bekämpning av datorrelaterad brottslighet,

8. Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter(3),

9. Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter(4),

10. Europaparlamentets och rådets direktiv 97/33/EG av den 30 juni 1997 om samtrafik inom telekommunikation i syfte att säkerställa samhällsomfattande tjänster och samverkan genom tillämpning av principerna om tillhandahållande av öppna nät(5),

11. Europaparlamentets och rådets direktiv 97/66/EG av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet(6),

12. Europaparlamentets och rådets direktiv 98/10/EG av den 26 februari 1998 om tillhandahållande av öppna nätverk (ONP) för taltelefoni och samhällsomfattande tjänster för telekommunikation i en konkurrensutsatt miljö(7), och

13. Europaparlamentets och rådets direktiv 1999/93/EG av den 13 december 1999 om ett gemenskapsramverk för elektroniska signaturer(8),

HAR ANTAGIT DENNA RESOLUTION

med beaktande av följande:

(1) Nät och kommunikationssystem har blivit en betydelsefull faktor i den ekonomiska och sociala utvecklingen, och deras tillgänglighet och integritet är avgörande för väsentliga infrastrukturer samt för flertalet allmänna och privata tjänster och ekonomin som helhet.

(2) Mot bakgrund av den allt viktigare roll som elektroniska tjänster spelar i ekonomin, är nät- och informationssäkerheten en fråga av växande allmänt intresse.

(3) Transaktioners och uppgifters säkerhet har blivit väsentligt för tillgången till elektroniska tjänster, inbegripet e-handel och allmänna direkttjänster, och låg tilltro till säkerheten skulle kunna fördröja ett brett införande av sådana tjänster.

(4) Det finns behov för enskilda, företag, förvaltningar och andra organisationer att skydda sina egna informations-, data- och kommunikationssystem genom att vid behov utveckla effektiva säkerhetstekniker.

(5) Den privata sektorn, som agerar i en konkurrensutsatt marknadsmiljö, erbjuder genom sin förmåga till förnyelse olika lösningar anpassade till verkliga marknadsbehov.

(6) Nät- och informationssäkerhetens komplicerade natur innebär att offentliga myndigheter, när de utvecklar en politik på detta område, måste ta hänsyn till ett antal politiska, ekonomiska, organisatoriska och tekniska aspekter och vara medvetna om kommunikationsnätens decentraliserade och globala karaktär.

(7) Politiska åtgärder kan bli effektivare om de är en del av en europeisk strategi som överensstämmer med den inre marknadens effektiva funktion, bygger på ett ökat samarbete mellan medlemsstaterna och på internationell nivå och stöder förnyelse och de europeiska företagens förmåga att konkurrera på global nivå.

(8) En avsevärd mängd lagstiftning som rör nät- och informationssäkerhet finns redan, särskilt som en del av unionens rättsliga ram för telekommunikation, elektronisk handel och elektroniska signaturer.

(9) Teletjänstleverantörer är enligt lag skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten i sina tjänster. Dessa åtgärder skall säkerställa en lämplig säkerhetsnivå i förhållande till de risker som finns.

(10) Den internationella standarden ISO-15408 (Common Criteria) har blivit ett erkänt system för att definiera säkerhetskrav för dator- och nätprodukter och för att bedöma huruvida en särskild produkt uppfyller dessa krav.

(11) Den internationella standarden ISO-17799 (Ledningssystem för informationssäkerhet - riktlinjer för ledning av informationssäkerhet) och liknande nationella riktlinjer har blivit en erkänd metod för säkerhetshantering i privata och offentliga organisationer.

(12) Internetinfrastrukturen bör ge en hög grad av tillgång till nät och tjänster och den bör förvaltas och drivas på ett kraftfullt och säkert sätt, t.ex. genom antagande av öppna standarder och säkerhetsprotokoll för Internet.

RÅDET

SOM BEAKTAR att nät- och informationssäkerhet i överensstämmelse med rådets resolution av den 30 maj 2001 om handlingsplanen eEuropa: informations- och nätverkssäkerhet handlar om att

- säkerställa tillgången till tjänster och uppgifter,

- förebygga avbrott i och olaglig avlyssning av kommunikationer,

- bekräfta att uppgifter som har sänts, mottagits eller lagrats är fullständiga och oförändrade,

- säkerställa uppgifters konfidentialitet,

- skydda informationssystem mot otillåten åtkomst,

- skydda mot angrepp som inbegriper skadliga program,

- säkerställa tillförlitlig autentisering,

UPPMANAR DÄRFÖR MEDLEMSSTATERNA

1. att före utgången av 2002 inleda eller stärka informations- och utbildningskampanjer för att öka medvetenheten när det gäller nät- och informationssäkerhet, att särskilt inrikta sådana åtgärder på företag, privata användare och offentliga förvaltningar, att utarbeta sådana medvetandehöjande åtgärder i nära samarbete med den privata sektorn, bl.a. med Internetleverantörer, och att uppmuntra initiativ ledda av den privata sektorn,

2. att främja goda rutiner för hantering av informationssäkerhet, särskilt i små och medelstora företag, när så är lämpligt, baserat på internationellt erkända standarder,

3. att före utgången av 2002 öka eller främja betydelsen av säkerhetsfrågor som en del av datautbildningen,

4. att till halvårsskiftet 2002 se över effektiviteten hos nationella arrangemang för hantering av IT-incidenter, vilket kan inbegripa virusvarningssystem, i syfte att där så behövs stärka deras förmåga att på nationell och internationell nivå förebygga, upptäcka och reagera effektivt på störningar och angrepp på nät- och informationssystem,

5. att främja användningen av standarden Common Criteria (ISO 15408) och att underlätta ömsesidigt erkännande av dithörande certifikat,

6. att före utgången av 2002 vidta betydande åtgärder för effektiva och kompatibla säkerhetslösningar, där så är möjligt baserade på erkända standarder - vilket kan inbegripa programvaror med öppna källkoder - i sin e-förvaltning och e-upphandling och för att införa elektroniska signaturer som skall göra det möjligt att också erbjuda sådana offentliga tjänster online som kräver säker autentisering,

7. att, om de väljer att införa elektroniska och biometriska identifikationssystem för allmän eller officiell användning, samarbeta, där så är lämpligt, med teknisk utveckling och studera alla eventuella kompatibilitetskrav,

8. att, för att underlätta gemenskapssamarbetet och det internationella samarbetet, utbyta information med varandra och med kommissionen om de organ som i första hand ansvarar för nät- och informationssäkerheten inom respektive territorium.

RÅDET VÄLKOMNAR DÄRFÖR OCKSÅ KOMMISSIONENS AVSIKT

1. att 2002 underlätta utbyte av goda rutiner när det gäller medvetandehöjande åtgärder och göra en första inventering över de olika nationella informationskampanjerna,

2. att 2002 lämna förslag till en förstärkning av gemenskapens dialog och samarbete om nätsäkerhet med internationella organisationer och partner, särskilt om konsekvenserna av det ökande beroendet av elektroniska kommunikationsnät och att i det sammanhanget före utgången av 2002 föreslå en strategi för en stabilare och säkrare drift av Internetinfrastrukturen,

3. att före utgången av 2002 föreslå lämpliga åtgärder för att främja standarden ISO-15408 (Common Criteria) för att underlätta ömsesidigt erkännande av certifikat och att förbättra förfarandet för bedömning av produkter, till exempel genom att utveckla adekvata skyddsprofiler,

4. att före utgången av 2002 utarbeta en rapport om teknik och tillämpningar för elektronisk och biometrisk autentisering av identitet i syfte att förbättra effektiviteten i sådana system, särskilt genom kompatibilitet,

5. att till halvårsskiftet 2002, och efter samråd med medlemsstaterna och den privata sektorn, lämna förslag till inrättande av en specialgrupp för IT-säkerhet, grundat på nationella insatser för stärkande av nät- och informationssäkerhet och medlemmsstaternas förmåga, enskilt och kollektivt, att ta itu med större problem i samband med nät- och informationssäkerhet,

6. att före utgången av 2002 i samarbete med medlemsstaterna utforska eventuella alternativ för ett system genom vilket medlemsstaterna och kommissionen kan utbyta information och erfarenheter i fråga om uppfyllandet av målen i denna resolution, med beaktande av den pelarövergripande dimensionen av nät- och informationssäkerheten samt att utforska hur den privata sektorn bäst kan involveras i utbytet av informationen och erfarenheterna,

SAMT

VÄLKOMNAR den europeiska forskningens ökade fokus på säkerhetsfrågor,

BETONAR behovet av ökad forskning, särskilt om säkerhetsmekanismer och deras kompatibilitet, nätens pålitlighet och skydd, avancerad kryptografi, teknik för förbättrat integritetsskydd och säkerhet vid trådlös kommunikation,

UPPMANAR

- leverantörer och tjänsteleverantörer att förstärka säkerheten som en integrerad och väsentlig del av deras produkter och tjänster,

- leverantörer och tjänsteleverantörer inom den europeiska privata sektorn och de grupperingar som representerar dem att mer aktivt delta i det internationella standardiseringsarbetet och att organisera sig inom lämpliga forum för att bidra till målen i denna resolution.

(1) EGT L 93, 26.4.1995, s. 27.

(2) EGT C 187, 3.7.2001, s. 5.

(3) EGT L 8, 12.1.2001, s. 1.

(4) EGT L 281, 23.11.1995, s. 31.

(5) EGT L 199, 26.7.1997, s. 32.

(6) EGT L 24, 30.1.1998, s. 1.

(7) EGT L 101, 1.4.1998, s. 24.

(8) EGT L 13, 19.1.2000, s. 12.