EUROPEISKA KOMMISSIONEN

Bryssel den 10.11.2022

JOIN(2022) 49 final

GEMENSAMT MEDDELANDE TILL EUROPAPARLAMENTET OCH RÅDET

EU:s politik för cyberförsvar

I. INLEDNING

När Europa genom Rysslands omotiverade och oprovocerade militära angrepp mot Ukraina åter drabbades av krig var detta en väckarklocka för alla som hade ifrågasatt EU:s säkerhets- och försvarsstrategi och dess förmåga att främja sin vision och försvara sina intressen, bland annat i cyberrymden. Auktoritära regimer försöker utmana och undergräva den regelbaserade världsordningen i cyberrymden, som i likhet med marken, havet, luften och rymden blir ett alltmer omtvistat område. Under de senaste åren har skadliga aktiviteter från både statliga och icke-statliga aktörer intensifierats i cyberrymden. Bland annat har ett ökande antal cyberattacker riktats mot militär och civil kritisk infrastruktur i EU samt mot utstationerade uppdrag och insatser.

I cyberrymden är gränserna suddiga mellan vad som är civilt och vad som är militärt, vilket de senaste attackerna mot energinät, transportinfrastruktur och rymdtillgångar är ett exempel på. Detta visar också det ömsesidiga beroendet mellan fysisk och digital infrastruktur och risken för att kritisk infrastruktur skadas genom betydande cybersäkerhetsincidenter. Det är en stark påminnelse om att EU för att kunna bli en starkare säkerhetsgarant behöver fördjupa det militära och civila samarbetet i cyberrymden.

EU måste ta mer ansvar för sin egen säkerhet. För detta krävs moderna och interoperativa europeiska väpnade styrkor. Medlemsstaterna måste därför snarast och med hög prioritet åta sig att öka investeringarna i heltäckande cyberförsvarsförmåga, inbegripet aktiv försvarsförmåga. Samtidigt som EU helhjärtat stöder internationell rätt och internationella normer i cyberrymden bör unionen visa sin beredvillighet att använda denna förmåga på ett samordnat sätt om en medlemsstat drabbas av en cyberattack.

För att detta ska lyckas måste EU säkerställa sin tekniska och digitala suveränitet på cyberområdet. EU:s handlingsförmåga beror på i vilken uträckning unionen kan behärska och utveckla spetsteknik för cybersäkerhet och cyberförsvar. Eftersom cyberteknik ofta kan ha dubbla användningsområden måste synergieffekterna mellan cybersäkerhets- och cyberförsvarsindustrin och den cyberrelaterade forskningen, utvecklingen och innovationsverksamheten ökas för att förmågan ska stärkas.

Gemensamma åtgärder för förebyggande och upptäckt är en viktig del av EU:s försvarsförmåga. EU behöver kapacitet att upptäcka angrepp i ett tidigt skede. Detektionsdata måste omvandlas till underrättelser som man kan agera på, både i cybersäkerhets- och cyberförsvarssyfte. Ett sådant samarbete mellan försvaret och civila cybergemenskaper utgör grunden för en förbättrad gemensam lägesuppfattning i cyberrymden och är lika viktigt för en samordnad krishantering på både teknisk och operativ nivå.

Den väpnade konflikten i Ukraina har också visat på värdet av nära samarbete med den privata sektorn och behovet av att ha tillgång till privata betrodda leverantörer som genom att agera som cyberreserver förstärker insatserna vid större cyberattacker. Det är därför nödvändigt att säkerställa att medlemsstaterna kan förlita sig på stöd från betrodda cyberreserver och att detta sker på ett säkert och samordnat sätt.

I detta gemensamma meddelande, som bygger på ramen för EU:s politik för it-försvar 1 , föreslås en ambitiös strategi för att göra det möjligt för EU och dess medlemsstater att agera med självförtroende och beslutsamhet i cyberrymden. Strategin syftar till att stärka cyberförsvarsförmågan genom enskilda eller gemensamma åtgärder från medlemsstaternas sida och till att stärka samordningen och samarbetet mellan EU:s cybergemenskaper. Den syftar också till att minska EU:s strategiska beroende i fråga om kritisk cyberteknik och att stärka den europeiska försvarstekniska och försvarsindustriella basen. I strategin fastställs EU:s spelregler och föreslås åtgärder för att stärka EU-solidariteten på cyberförsvarsområdet, samt samarbete med den privata sektorn för att förstärka insatserna vid större cyberattacker. Med tanke på cyberhotens gränsöverskridande karaktär omfattar strategin även utveckling av ömsesidigt fördelaktiga och skräddarsydda cyberförsvarspartnerskap, inbegripet kapacitetsuppbyggnad på cyberförsvarsområdet, och förstärkning av partnerländernas cyberresiliens.

I enlighet med förslaget till en strategisk kompass för säkerhet och försvar 2 , som antogs av rådet i mars 2022, kommer denna politik för cyberförsvar således att öka förmågan att med alla tillgängliga medel förebygga, upptäcka, försvara sig mot, återhämta sig från och avskräcka från cyberattacker riktade mot EU och dess medlemsstater. Detta överensstämmer med kommissionens digitala prioriteringar, målsättningen för EU:s strategi för cybersäkerhet från 2020 3 , kommissionens ordförande Ursula von der Leyens tillkännagivande i talet om tillståndet i unionen 2021 4 och rådets slutsatser om utvecklingen av Europeiska unionens arbete på cyberområdet 5 av den 23 maj 2022. I det gemensamma meddelandet från 2022 om investeringsgapet på försvarsområdet 6 uppmanades EU och dess medlemsstater också att inleda arbetet för en fullfjädrad cyberförsvarsförmåga – från forskning, upptäckt och skydd till insatser.

II. EU:S CYBERFÖRSVAR FÖR SKYDD MOT, UPPTÄCKT AV OCH AVSKRÄCKNING OCH FÖRSVAR MOT CYBERATTACKER

1. Gemensamma åtgärder för ett starkare cyberförsvar

Cyberattacker är ofta gränsöverskridande till sin natur och kan ha en fysisk inverkan på kritisk infrastruktur i EU. Betydande cybersäkerhetsincidenter kan skapa alltför stora störningar för att en eller flera berörda medlemsstater ska kunna hantera dem på egen hand. De kan också ingå i större hybridangrepp som utförs av tredjeländer i syfte att destabilisera ekonomin och samhället, att försvaga den kritiska infrastruktur som behövs för att garantera EU:s säkerhet eller att undergräva och skada demokratiernas funktionssätt, bland annat genom angrepp på valinfrastruktur.

Under 2018 pekade EU ut cyberrymden som ett område för militära operationer. I den militära visionen och strategin för cyberrymden som operativt område 7 som antogs 2021 fastställs ramvillkoren och beskrivs de mål, metoder och medel som behövs för att cyberrymden ska kunna utgöra ett insatsområde till stöd för EU:s insatser inom ramen för den gemensamma säkerhets- och försvarspolitiken (GSFP). Samtidigt som cyberförsvar och användningen av cyberförmåga i alla former av militära operationer i cyberrymden är medlemsstaternas nationella befogenhet bygger cyberförsvaret på ett bredare ekosystem, inbegripet en stark industriell bas som stöds genom förmågeutveckling på EU-nivå.

EU:s cyberförsvarsgemenskap, som består av medlemsstaternas försvarsmyndigheter och stöds av EU:s institutioner, organ och byråer, har vissa särdrag jämfört med andra cybergemenskaper 8 och följer en annan styrningsmodell. Avsaknaden av en etablerad ram för informationsutbyte och samarbete mellan EU:s militära it-incidenthanteringsorganisationer (milCERT), bland annat till stöd för militära GSFP-uppdrag och GSFP-insatser, är problematisk med tanke på de ökade cyberhoten från statliga och icke-statliga aktörer.

Samarbetet mellan civila, diplomatiska och brottsbekämpande cybergemenskaper och deras motsvarigheter på försvarsområdet kommer att skapa ett stort mervärde för alla berörda aktörer. Det är därför mycket viktigt att möjliggöra ett sådant samarbete genom att tillhandahålla lämpliga och säkra medel för informationsutbyte och att genomföra övningar och annan verksamhet som stärker förtroendet och den gemensamma förståelsen.

Dessutom är det ömsesidiga operativa biståndet mellan medlemsstaterna i dagsläget begränsat. Man bör undersöka om konceptet med snabbinsatsteam på cyberområdet bör utvidgas i hela EU, med utgångspunkt i projektet för snabbinsatsteam på cyberområdet och ömsesidigt cybersäkerhetsbistånd 9 inom det permanenta strukturerade samarbetet (Pesco), bland annat i förhållande till artikel 42.7 i fördraget om Europeiska unionen (EU-fördraget) 10 (klausulen om ömsesidigt bistånd) och artikel 222 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) 11 (solidaritetsklausulen). I samband med detta har det framgångsrika ukrainska cyberförsvaret under Rysslands anfallskrig gjort det uppenbart vilken avgörande roll som den privata sektorn spelar. Man bör därför undersöka i vilken utsträckning den privata sektorn kan bidra till att förstärka cyberinsatserna.

1.1 Förstärkt gemensam lägesuppfattning och samordning inom försvarsgemenskapen

Med tanke på den stora risk som cyberattacker utgör behöver medlemsstaternas kollektiva lägesuppfattning vara så heltäckande som möjligt, liksom deras kapacitet för tidig upptäckt och deras resurser för att reagera ändamålsenligt och återhämta sig på ett stabilt och samordnat sätt.

När det gäller militär lägesuppfattning behöver EU:s samordningscentrum för cyberförsvar (EUCDCC) inrättas för att stärka lägesuppfattningen inom försvarsgemenskapen, inbegripet bland alla EU:s militära GSFP-befälhavare. Den höga representanten kommer att lägga fram ett förslag om EUCDCC för medlemsstaterna, med utgångspunkt i Pesco-projektet om ett samordningscentrum för cyber- och informationsområdet (CIDCC) 12 . Syftet är att tillhandahålla den strategiska och operativa militära nivå en helhetsanalys av cyberrymden, den elektromagnetiska miljön och det kognitiva området genom att sammanföra olika informationskällor. Lämpliga förbindelser bör upprättas mellan EUCDCC och EU:s underrättelse- och lägescentral (EU Intcen) samt, inom ramen för den gemensamma kapaciteten för underrättelseanalys, direktoratet för underrättelseverksamhet vid Europeiska unionens militära stab. Utöver att utnyttja externa informationskällor bör EUCDCC inrätta och integrera ett oberoende aktivt it-sensorsystem för att stärka övervakningen av EU-ägda noder som stöder militära GSFP-uppdrag och GSFP-insatser. På detta sätt kommer detektionsförmågan att stärkas och ett nytt informationsskikt skapas för att ytterligare förbättra informationsbasen för cyberriskbedömning och lägesuppfattning.

För dessa ändamål krävs förmågan att möjliggöra och säkerställa att en om möjligt erkänd bild av cyberrymden upprättas och underhålls dygnet runt, som bl.a. omfattar såväl motståndares som vänskapliga styrkors pågående och nära förestående cyberoperationer. En sådan bild skulle bidra till planeringen och genomförandet av EU:s militära GSFP-uppdrag och GSFP-insatser. Den skulle därmed utgöra det militära bidraget för att stärka EU:s medvetenhet om illvilliga handlingar i cyberrymden och förmåga att snabbt agera.

För att öka förtroendet och utbytet av tillförlitlig och aktuell strategisk information om större cyberincidenter kommer konferensen för EU:s cyberbefälhavare att vidareutvecklas och stärkas 13 . Europeiska försvarsbyrån fungerar som konferensens sekretariat och EU:s militära stab deltar i konferensen som ska sammanträda minst två gånger om året för att diskutera operativa frågor och andra relevanta ämnen.

Ett operativt nätverk för militära it-incidenthanteringsorganisationer (Micnet) kommer att upprättas med stöd av Europeiska försvarsbyrån. Alla medlemsstater uppmanas att delta i Micnet, som förväntas ha inlett sin verksamhet i januari 2023.

Genom att underlätta informationsutbytet mellan militära it-incidenthanteringsorganisationer kommer Micnet att främja ett mer robust och samordnat svar på cyberhot som påverkar försvarssystemen i EU, inbegripet sådana som används i militära GSFP-uppdrag och GSFP-insatser. Micnet kommer också att göra det möjligt att upprätthålla utbildningsprocesserna över tid, liksom den kontinuerliga identifieringen av nya krav för de militära it-incidenthanteringsorganisationerna. Under de kommande fyra åren kommer Europeiska försvarsbyrån tillsammans med medlemsstaterna att utveckla en infrastruktur för informationsutbyte samt tillhörande verktyg och förfaranden för att stödja informationsutbyte mellan de militära it-incidenthanteringsorganisationerna. Inom ramen för Micnet kommer också en årlig övning att anordnas för att testa, validera och identifiera nya krav och lösningar.

1.2 Förbättrad samordning med civila grupper

Micnet bör fungera som en ram och en infrastruktur för informationsutbyte mellan de olika nivåerna inom cyberförsvarsgemenskapen och externa berörda parter.

I takt med att Micnet når en högre mognadsgrad kommer Europeiska försvarsbyrån att stödja medlemsstaterna genom att undersöka möjligheterna till samarbete med nätverket för enheter för hantering av it-säkerhetsincidenter (CSIRT-nätverket), där nationella it-incidentcentrum och it-incidenthanteringsorganisationen för EU:s institutioner, organ och byråer (CERT-EU) ingår. Detta samarbete skulle kunna omfatta gemensamma möten och övningar. Man bör också undersöka på vilket sätt den privata sektorn kan delta i relevanta insatser för informationsutbyte och incidenthantering.

För att effektivisera hanteringen av cyberkriser bör konferensen för EU:s cyberbefälhavare samverka med Europeiska kontaktnätverket för cyberkriser (CyCLONe), som sammanför medlemsstaterna och kommissionen för att stödja samordningen och hanteringen av storskaliga cyberincidenter i EU. Genom denna samverkan kombineras militär erfarenhet med civil lägesuppfattning på strategisk och operativ nivå.

Även om EUCDCC bör fungera som central knutpunkt för insamling, analys, bedömning och slutligen spridning av cyberförsvarsrelaterad information, särskilt för militära GSFP-uppdrag och GSFP-insatser, skulle detta samordningscentrum också kunna kopplas till den interinstitutionella insatsstyrkan för cyberkriser 14 , som har inrättats för att säkerställa ett välgrundat beslutsfattande och en samordnad reaktion på strategisk och operativ nivå från EU:s institutioner, organ och byråer vid större cyberkriser.

EUCDCC får också utbyta relevant information med det läges- och analyscentrum på cyberområdet som håller på att inrättas inom kommissionen med stöd av Europeiska unionens cybersäkerhetsbyrå (Enisa) och CERT-EU för att tillhandahålla analyser och mer ändamålsenligt krishanteringsstöd.  

Dessutom är bristen på gemensamma delade eller interoperabla säkra kommunikationsverktyg och kommunikationsplattformar mellan medlemsstaterna och EU:s relevanta institutioner, organ och byråer fortfarande ett stort hinder. Kommissionen och relevanta institutioner håller för närvarande på att kartlägga befintliga verktyg för säker kommunikation på cyberområdet. På grundval av denna kartläggning av befintliga verktyg kommer kommissionen i slutet av 2022 att lägga fram sina rekommendationer om ytterligare åtgärder för rådet.

Cybersolidaritet i EU för att förbättra gemensam upptäckt och lägesuppfattning

Den gemensamma lägesuppfattningen kan stärkas ytterligare genom civila stödåtgärder. Cyberförsvarsgemenskapen kommer att kunna dra nytta av en stärkt civil upptäckts- och lägesuppfattningsförmåga, som har utvecklats till skydd för EU:s kritiska infrastruktur. I detta syfte håller kommissionen på att utarbeta ett initiativ för att främja utbyggnaden av en EU-infrastruktur för säkerhetscentrum (SOC) som inleds genom en första fas under de kommande veckorna och senare ska utvidgas och byggas ut i större skala 15 . Den kommer i slutändan att bestå av flera SOC-plattformar som var och en omfattar SOC:er från flera länder, med stöd från programmet för ett digitalt Europa 16 som komplement till den nationella finansieringen. Genom en ändring av lagstiftningen skulle programmet för ett digitalt Europa kunna möjliggöra långsiktigt ekonomiskt stöd till gemensam upphandling av nästa generations ultrasäkra verktyg och infrastruktur. Detta skulle göra det möjligt för EU:s planerade SOC-infrastruktur att förbättra den kollektiva upptäcktsförmågan genom användning av den senaste tekniken för artificiell intelligens (AI) och dataanalys, däribland civila kommunikationsnätverk. Genom att ta fram underrättelser om cyberhot som man kan agera på kan myndigheter och relevanta entiteter i god tid förvarnas så att de kan upptäcka och reagera ändamålsenligt på större incidenter. Infrastrukturens omfattning och räckvidd kommer att bero på den totala finansiering som kan användas på nationell nivå och av unionen, med förbehåll för tillgänglig budget inom ramen för den fleråriga budgetramen.

Sådana SOC:er för flera länder kan också göra det möjligt för försvarsentiteter att delta genom att inrätta en ”försvarspelare” med särskild styrning där vissa typer av information delas. Denna ”försvarspelare” skulle utvecklas tillsammans med den höga representanten och skulle ha en särskild mekanism för informationsutbyte med militära aktörer, inbegripet EUCDCC, och säkerhetsstandarder på försvarsnivå skulle kunna utvecklas för den.

EU:s cybersolidaritet vad gäller beredskap, insatser och återhämtning

Betydande cybersäkerhetsincidenter skapar ofta alltför stora störningar för att en eller flera berörda medlemsstater ska kunna hantera dem på egen hand. I sådana fall måste medlemsstaterna kunna förlita sig på ömsesidigt bistånd och solidaritet, inbegripet inom ramen för artikel 42.7 i EU-fördraget och artikel 222 i EUF-fördraget. Den höga representanten kommer i samarbete med kommissionen och medlemsstaterna att undersöka möjligheterna att utvidga konceptet med snabbinsatsteam på cyberområdet (CRRT) på grundval av CRRT-projektet inom Pesco, i syfte att bättre stödja EU:s medlemsstater, GSFP-uppdrag och GSFP-insatser. Dessa team skulle ha till uppgift att på begäran tillhandahålla riktat kortfristigt bistånd som anpassas till de särskilda behoven i varje enskilt fall. När så är lämpligt kan det även omfatta möjligheter till stöd från betrodda privata partner för att säkerställa effektiva motåtgärder och återhämtningsåtgärder.

Som en del av EU:s cybersolidaritetsinitiativ förbereder kommissionen åtgärder för att stärka beredskapen och insatserna i hela EU. Här ingår bland annat genomförande av tester för samhällsviktiga entiteter som driver kritisk infrastruktur för att på grundval av EU:s riskbedömningar identifiera potentiella sårbarheter – som ska baseras på åtgärder som redan inletts av kommissionen tillsammans med Enisa – samt incidenthanteringsåtgärder för att mildra konsekvenserna av allvarliga incidenter, stödja omedelbar återhämtning och/eller återställa funktionen för samhällsviktiga tjänster 17 .

EU:s cybersolidaritetsinitiativ skulle kunna stödja det gradvisa inrättandet av en cyberreserv på EU-nivå med tjänster från betrodda privata leverantörer som på medlemsstaternas begäran står redo att ingripa i händelse av betydande gränsöverskridande incidenter. Rollerna och ansvarsområdena bör tydligt identifieras och bör samordnas fullt ut med befintliga organ så att man säkerställer att cyberreserven på EU-nivå tillhandahåller stöd där det behövs och att den kompletterar andra tänkbara former av bistånd. Även om åtgärdens omfattning och fördelningen av kostnaderna för specifika insatser beror på mängden EU-finansiering som finns tillgänglig, skulle EU också tillföra ett mervärde genom att säkerställa att en sådan reserv på EU-nivå är redo att stå till tjänst. För att säkerställa en hög grad av förtroende kommer kommissionen också att överväga möjligheten att stödja utvecklingen av system för cybersäkerhetscertifiering för sådana privata cybersäkerhetsföretag.

Genomförandet av övningar är avgörande för att bygga upp beredskap. De bidrar till att utveckla en gemensam kunskapsbas och öka förståelsen av cyberförsvar, vilket i sin tur förbättrar den operativa beredskapen. Gemensamma cyberförsvarsövningar bidrar också till att stärka interoperabiliteten och förtroendet mellan berörda parter, bland annat till stöd för militära GSFP-uppdrag och GSFP-insatser. Med utgångspunkt i Cyber Phalanx-serien 18 och övningarna med de militära it-incidenthanteringsorganisationerna kommer Europeiska försvarsbyrån att inrätta det nya projektet CyDef-X för att sammanföra alla medlemsstater och fungera som en ram för EU:s cyberförsvarsövningar. Detta projekt skulle kunna fungera som en form av ömsesidigt bistånd enligt artikel 42.7 i EU-fördraget. Användningen av särskilda test-, utbildnings- och övningsmiljöer för cyberförsvar (t.ex. Cyber Ranges Federation) bör också undersökas, bland annat genom användning av Pesco-projektet Cyber Ranges Federations 19 .

Övningar kan också spela en viktig roll för att förbättra samarbetet mellan civila och militära entiteter. Vid anordnandet av övningar bör Enisa, Europeiska försvarsbyrån och andra relevanta entiteter därför systematiskt överväga att inkludera deltagare från andra cybergemenskaper.

Som ett led i förstärkningen av EU:s kapacitet att förebygga, avskräcka från och reagera på cyberattacker, och i linje med EU:s strategi för cybersäkerhet från 2020 och den strategiska kompassen, kommer den höga representanten under 2023 att föreslå alternativ för att ytterligare stärka EU:s verktygslåda för cyberdiplomati 20 med utgångspunkt i åtgärderna i EU:s arbete på cyberområdet och erfarenheterna från genomförandet av verktygslådan sedan den inrättades.

2. Förstärkt säkerhet i EU:s försvarsekosystem

Under de senaste åren har antalet cyberattacker ökat dramatiskt, bland annat leveranskedjeattacker som syftar till cyberspionage, utpressning eller störningar. Under 2020 drabbade leveranskedjeattacken SolarWinds 21 över 18 000 organisationer i hela världen, däribland statliga organ, större företag och försvarsföretag. Utnyttjandet av en sårbarhet i Apaches programvara log4j 22 visade att även programvarukomponenter som inte anses vara högriskkomponenter eller kritiska kan användas som vapen för att utföra framgångsrika attacker mot större företag eller regeringar i EU, även på försvarsområdet. Detta visar på ett tydligt behov av att ytterligare stärka cyberresiliensen hos entiteter som är verksamma i EU:s försvarsekosystem, inbegripet militära enheter, försvarsindustrin och privata aktörer.

Väpnade styrkor är i stor utsträckning beroende av civil kritisk infrastruktur, vare sig det gäller transporter, kommunikation eller energi. Den ryska attacken mot satellitnätet KA-SAT 23 , som störde kommunikationen mellan ett flertal myndigheter och de ukrainska väpnade styrkorna, är ett exempel på ett sådant beroende. Detta visar på behovet av att säkra sådan kritisk infrastruktur.

För att åtgärda säkerhetsbrister i kommunikations- och informationssystemen håller medlemsstaterna på att utarbeta egna säkerhetsstandarder och säkerhetskrav för militära system, där de inte alltid beaktar behovet av interoperabilitet eller förekomsten av civila standarder för produkter med dubbla användningsområden. Detta har en negativ inverkan på medlemsstaternas kapacitet att agera tillsammans i cyberrymden, även inom ramen för militära GSFP-uppdrag och GSFP-insatser, och skapar hinder för ömsesidigt bistånd. Dessutom är det nödvändigt att främja starkare synergier mellan militärt och civilt standardiseringsarbete eftersom produktionskostnaderna för industrins utveckling av produkter med dubbla användningsområden ökar om de måste följa liknande, men olika standarder för civila och militära kunder.

2.1 Stärkt cyberresiliens i försvarsekosystemet

För att stärka cyberresiliensen i försvarsekosystemet krävs riktade åtgärder och investeringar på många håll, från medlemsstaternas militära infrastruktur, GSFP-uppdrag och GSFP-insatser till kritisk infrastruktur, försvarsindustri och relevanta forskningsentiteter.

Det är nödvändigt att skydda den information som krävs för att fatta välgrundade beslut för att GSFP-uppdrag och GSFP-insatser ska lyckas. EU och dess medlemsstater måste ytterligare stärka sina militära lednings- och kontrollstrukturer och utveckla och säkra sin infrastruktur. Detta gäller även behovet av politiska och militära samråd i ett tidigt skede av krishanteringen för att operationshögkvarteret ska kunna utnyttjas på ett effektivt sätt, inbegripet den militära planerings- och ledningsförmågan. Detta kommer i synnerhet att hanteras genom att EU:s långdistansnätverk EU OPS WAN vidareutvecklas.

Inom ramen för militära uppdrag och insatser hanterar cyberförsvarsaktörer information i olika format med olika sekretessgrad från olika källor. Detta gör det ytterst viktigt att använda säker och avancerad teknik, såsom AI, med stöd av industrin.

Säkerheten i infrastrukturen för kommunikations- och informationssystem måste förbättras genom tillämpning av ömsesidigt överenskomna förvaltningsförfaranden, vilket främjar förtroendet för att den information som finns tillgänglig bland berörda parter är riktig. Dessutom kommer den höga representanten, som även agerar i egenskap av chef för Europeiska försvarsbyrån, med stöd av kommissionen att bistå medlemsstaterna med utarbetandet av icke rättsligt bindande rekommendationer för försvarsgemenskapen, inspirerade av direktivet om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen (NIS2) 24 , eftersom direktivet inte är tillämpligt på försvaret. Detta kommer att bidra till att öka cyberförsvarets övergripande mognadsgrad.

Kommissionens förslag till en cyberresiliensakt 25 , som syftar till att fastställa cybersäkerhetskrav för produkter med digitala element, kommer också att ytterligare minska attackytan i produkter med dubbla användningsområden som till exempel används i försvarsindustrins och statliga försvarsaktörers kommunikations- och informationssystem. Enligt förslaget ska tillverkarna vara skyldiga att inom 24 timmar rapportera aktivt utnyttjade sårbarheter till Enisa, som ska informera de relevanta nationella it-incidentcentrumen. I detta avseende är det också viktigt att säkerställa att försvarsgemenskapen snabbt informeras om sårbarheter i produkter med digitala element samt om alla tillgängliga och/eller tillämpade programfixar och riskreducerande åtgärder.

Särskilt med tanke på försvarsmaktens beroende av civil kritisk infrastruktur finns det också ett behov av att ytterligare öka skyddet av kritisk infrastruktur mot storskaliga cyberattacker. På begäran av rådet 26 håller kommissionen, den höga representanten och samarbetsgruppen för nät- och informationssäkerhet 27 på att utarbeta riskscenarier för säkerhet i digital infrastruktur. Fokus kommer i första hand att ligga på cybersäkerhet inom energi-, telekom-, transport- och rymdsektorerna. Utöver detta kommer riktade riskbedömningar av cybersäkerhet för kommunikationsinfrastruktur och kommunikationsnät i EU (inbegripet fast och mobil infrastruktur, satelliter, undervattenskablar och internetdirigering) också att utföras 28 . När det gäller skydd av kritisk infrastruktur mot hot orsakade av människan, såsom hybridhot, innehåller förslaget till rådets rekommendation om en samordnad strategi från unionens sida för att stärka den kritiska infrastrukturens motståndskraft 29 bland annat en uppmaning till medlemsstaterna om att säkerställa lämpliga stresstester och krissamordning. Den kritiska infrastrukturen till havs, inbegripet skyddet av undervattenskablar, kommer att behandlas ytterligare genom den kommande översynen av EU:s strategi för sjöfartsskydd och dess handlingsplan. Ytterligare åtgärder för att stärka cybersäkerheten för kritisk infrastruktur i energisystemet fastställs i meddelandet Digitalisering av energisystemet – EU:s handlingsplan 30 .

Rymdbaserade tjänster blir allt viktigare för försvaret, oavsett om det rör sig om övervakning, lägesuppfattning, exakt positionering eller ultrasäker kommunikation. De är därför viktiga strategiska tillgångar för teknisk suveränitet. Störningar i rymdbaserade tjänster kan få stora konsekvenser för försvarssystemen liksom för samhället och ekonomin som helhet. För den övergripande cyberförsvarsresiliensens skull är det viktigt att dessa tjänster är resilienta, eftersom de kan vara mål för illasinnade angrepp. Såsom framgår av attackerna mot KA-SAT-näten utsätts rymdsystemen i allt högre grad för cyberhot som kan påverka de rymdbaserade tjänsternas tillgänglighet eller kontinuitet. Detta utgör en risk för EU:s strategiska och säkerhetsmässiga intressen på rymdområdet och dess förmågor på rymdområdet som möjliggör och bistår cyberförsvaret. I EU:s rymdstrategi för säkerhet och försvar, som tillkännagavs i den strategiska kompassen 31 , kommer åtgärder att beskrivas för att göra rymdinfrastruktur och tillhörande tjänster mer tåliga och cyberresilienta samt för att avskräcka från och reagera på alla hot mot känsliga rymdsystem och rymdtjänster i EU, och i synnerhet cyberhot.

Kommissionen uppmanar också medlemsstaterna att skyndsamt genomföra de åtgärder som rekommenderas i EU:s verktygslåda för 5G-cybersäkerhet 32 . Medlemsstater som ännu inte har infört restriktioner för högriskleverantörer bör göra detta utan ytterligare dröjsmål, med tanke på att EU-nätverkens sårbarhet kan öka ju mer tid som går förlorad. Sådana risker kan påverka militära tillgångar och den övergripande försvarsmiljön i medlemsstaterna.

När det gäller cyberresiliensen inom den europeiska försvarsindustrin samt forsknings- och utvecklingsenheter på försvarsområdet ingår sådana entiteter i tillämpningsområdet för NIS 2-direktivet, såvida medlemsstaterna inte uttryckligen undantar dem. Detta skulle innebära att sådana entiteter måste ha ett riskhanteringsprogram för cybersäkerhet som omfattar säkerhet i leveranskedjan och incidentrapportering. Eftersom den privata sektorn spelar en viktig roll i tillhandahållandet av cybersäkerhetstjänster i försvarsekosystemet bör medlemsstaterna dessutom använda sig av system för cybersäkerhetscertifiering. Ett EU-system för cybersäkerhetscertifiering för företag som tillhandahåller tjänster till försvarsindustrin skulle kunna undersökas som ett sätt att införa en harmoniserad nivå av förtroende för marknaden, med utgångspunkt i Enisas erfarenheter.

2.2 Säkerställande av interoperabilitet och enhetliga standarder på cyberförsvarsområdet i EU

Interoperabilitet och enhetlighet är viktiga krav som måste beaktas redan när cyberförsvarsförmågan börjar utformas, även med beaktande av erfarenheterna från pågående uppdrag och insatser som fastställts under ledning av EU:s militära stab, med stöd av Europeiska försvarsbyrån. De principer, förfaranden och standarder som överenskommits inom ramen för Federated Mission Networking (FMN) 33 bör vara vägledande i utvecklingen av nationell cyberförsvarsförmåga för att säkerställa interoperabilitet.

Gemensamma insatser kan underlättas genom harmonisering av kraven för nästa generations cyberförsvarsförmåga, vilket eventuellt kan leda till gemensamma utvecklings- och upphandlingsinitiativ och integrerat stöd under livscykeln. Därför kommer Europeiska försvarsbyrån och EU:s militära stab att utarbeta rekommendationer om en uppsättning EU-krav på interoperabilitet på cyberförsvarsområdet. I alla steg av planeringen måste dessa krav beaktas för att garantera alla aspekter av standardisering som den avgörande förutsättningen för interoperabilitet. Test-, utvärderings- och certifieringskrav är andra avgörande förutsättningar.

Harmoniserade cybersäkerhetsstandarder kommer att utvecklas för maskinvaru- och programvaruprodukter och komponenter inom ramen för den föreslagna cyberresiliensakten 34 . Sådana standarder kommer att gälla alla civila produkter och produkter med dubbla användningsområden med digitala element, vilka utgör en stor andel av de produkter som används inom försvarssektorn. Kommissionen kommer att uppmuntra till samstämmighet med försvarsrelaterade cybersäkerhetsstandarder för digitala produkter, när så är möjligt. I enlighet med handlingsplanen för synergieffekter mellan civil industri, försvarsindustri och rymdindustri 35 (synergiplanen) kommer kommissionen i nära samarbete med viktiga berörda parter att lägga fram en plan för att främja användningen av befintliga hybridstandarder på det civila och det militära området samt utvecklingen av nya standarder. Samarbetet bör utvecklas ytterligare mellan alla berörda parter, inbegripet europeiska standardiseringsorganisationer, Nordatlantiska fördragsorganisationen (Nato) och andra partner, och i detta syfte bör man på bästa sätt dra nytta av det europeiska försvarets standardiseringskommitté. På liknande sätt bör harmoniserade standarder som utvecklas inom ramen för cyberresiliensakten användas som utgångspunkt 36 när militära standardiseringsorgan utvecklar nya cybersäkerhetsrelaterade standarder för produkter med digitala element för försvarsändamål.

3. Investeringar i cyberförsvarsförmåga

Under de senaste åren har cyberförsvarsinvesteringarna i EU ökat mot bakgrund av den ökande skadliga cyberverksamheten från statliga och icke-statliga aktörer. Det är av avgörande betydelse att EU stärker sin cyberförsvarsförmåga. Rysslands anfallskrig mot Ukraina är ett ytterligare bevis på behovet av ökade investeringar för att säkerställa att medlemsstaterna har toppmodern stationär och mobil cyberförsvarsförmåga.

Tekniska förbättringar är nödvändiga för att behålla EU:s försprång gentemot konkurrenter och motståndare, vilka också gör stora investeringar i ny teknik. Därför måste EU och medlemsstaterna stärka sitt samarbete och förbättra sin interoperabilitet i fråga om cyberförsvaret även genom gemensam förmågeutveckling och ökade investeringar i forskning och utveckling.

Dessutom måste sårbarheter som härrör från strategiska beroenden och fragmenteringen av den europeiska försvarstekniska och försvarsindustriella basen 37 åtgärdas. I synnerhet är kompetens avgörande för att EU ska övervinna strategiska beroenden inom områdena cybersäkerhet och cyberförsvar. Den europeiska försvarsindustrin måste behålla viktig kompetens och skaffa sig ny för att kunna leverera högteknologiska lösningar globalt 38 . Kompetensbrist har en negativ inverkan på försvarssektorn, eftersom den hämmar förmågeutvecklingen på alla områden. Alla åtgärder kommer att vara fullständigt förenliga med de strategier som tillkännagavs i synergiplanen, färdplanen för kritisk teknik för säkerhet och försvar (färdplanen) 39 och analysen av investeringsgapet 40 .

3.1 Utveckling av heltäckande avancerad cyberförsvarsförmåga

Medlemsstaterna har ansvar och behörighet att använda sin cyberförsvarsförmåga, medan EU spelar en viktig roll när det gäller att stödja vidareutvecklingen av specifika militära förmågor i hela DOTMLPF-I-spektrumet (doktrin, organisation, träning, materiel, ledarskap, utbildning, personal, faciliteter och interoperabilitet) för att skapa handlingsfrihet i cyberrymden. Strategin för cyberförsvar behöver göras ännu mer enhetlig inom alla förmågeområden och anpassas till den föränderliga geopolitiska miljön. Det är därför nödvändigt att identifiera de delar som saknas i den befintliga förmågan och stödja utvecklingen av nya förmågor på ett samordnat och mätbart sätt.

Medlemsstaternas deltagande i samarbetsprojekt för att utveckla cyberförsvar har dock hittills varit otillräckligt, och det bör ökas för att effekterna på EU-nivå ska maximeras. Alla medlemsstater måste öka sina investeringar i utvecklingen av heltäckande cyberförsvarsförmåga, och denna utveckling bör ske på ett samarbetsinriktat sätt. Medlemsstaterna bör överväga att utveckla en uppsättning frivilliga åtaganden för utveckling av nationell cyberförsvarsförmåga, även multinationell kapacitet utöver de befintliga Pesco-projekten för cyberförsvar 41 . Den samordnade årliga försvarsöversikten skulle kunna användas för att inleda en dialog med medlemsstaterna om cyberförsvarskrav och nationella mål för utveckling av cyberförsvarsförmåga, samt för att bedöma genomförandet av åtagandena. Kommissionen stöder och samfinansierar heltäckande förmågeutveckling och forskning på cyberförsvarsområdet, bl.a. vad gäller aktiv försvarsförmåga, genom Europeiska försvarsfonden. Kommissionen har redan ökat investeringarna i cyberförsvar genom Europeiska försvarsfonden, vilket bör leda till utveckling av europeiska gemensamma och/eller interoperativa verktyg för insatser i cyberrymden och incidenthantering, defensiva insatser vid informationskrigföring och förebyggande åtgärder samt förbättrad resiliens hos kommunikations- och informationssystem. Den är inriktad på områden som lägesuppfattning, hotjakt i realtid, reaktionsförmåga, cyberinsatsförmåga samt cyberutbildning och cyberövningar 42 . För att säkerställa att medlemsstaterna kan genomföra gemensamma cyberinsatser kommer stöd till motinsatser och cyberinsatsförmågan att lämnas under de kommande åren inom ramen för Europeiska försvarsfonden. Slutligen uppmanas medlemsstaterna att aktivt engagera sig i de olika samarbetsramarna och använda alla instrument som inrättats på EU-nivå, inbegripet Europeiska försvarsbyråns projektgrupp för cyberförsvar 43 .

Den pågående översynen av EU:s prioriteringar för förmågeutveckling från 2018 44 är ett lämpligt tillfälle att fastställa uppdaterade prioriteringar för samarbetsinriktad utveckling, vilket i sin tur gör det möjligt att öka den samarbetsinriktade förmågeutvecklingen. Vid översynen av den särskilda prioriteringen för cyberförsvar bör hänsyn tas till resultatet av den samordnade årliga försvarsöversikten från 2022 samt resultaten av analysen av investeringsgapet, vilka lades fram för medlemsstaterna i maj 2022. Därefter erbjuder den samordnade årliga försvarsöversikten en ram för regelbunden översyn av framstegen med genomförandet av denna uppdaterade prioritering på nationell nivå och för en undersökning av nya alternativ för gemensam utveckling av cyberförsvarsförmågan tillsammans med medlemsstaterna. EU:s uppdaterade prioriteringar för förmågeutveckling kommer att fungera som en central referens för Pesco-projekten om cyberförsvar.

I detta avseende kommer EU:s militära stab, på uppdrag från Europeiska unionens militära kommitté, att utarbeta genomförandeplanen för insatser på cyberområdet i nära samordning med medlemsstaterna för att ge en översikt över genomförandet av cyberförsvarsförmågan och för att ge stöd till medlemsstaterna så att de bättre kan anpassa sina insatser och sin verksamhet. Dessa insatser bygger på EU:s cyberförsvarskoncept för EU-ledda militära operationer och uppdrag som återspeglar prioriteringarna i förmågeutvecklingsplanen.

Ökade forskningsinsatser om viktig cyberförsvarsteknik

För att upprätthålla avancerad cyberförsvarsförmåga måste man hålla sig à jour med den tekniska utvecklingen och dess tillämpningar i försvarsrelaterade system, särskilt ny och omstörtande teknik (t.ex. AI, kryptering och kvantdatorteknik) 45 . I synnerhet måste EU investera i postkvantkryptografi för att säkerställa att dess försvarssystem förblir säkra. Med tanke på hur snabbt tekniken utvecklas måste insatserna för forskningssamverkan och teknisk utveckling skräddarsys för att man ska nå en tillräckligt avancerad teknisk mognadsgrad och för att resultaten snabbare ska kunna införlivas i befintlig och framtida förmåga.

Inom ramen för Europeiska försvarsfonden finansierar kommissionen teknisk innovation för försvar och stöder utvecklingen av ny och omstörtande teknik samt spjutspetsteknik, bland annat för cyberförsvar. Upp till 8 % av Europeiska försvarsfondens budget anslås till omstörtande försvarsteknik, inbegripet vissa frågor som är relevanta för cyberförsvar. Inom ramen för Europeiska försvarsfonden kommer särskild uppmärksamhet under de kommande åren att ägnas åt forskningsverksamhet och projekt som rör ny teknik som utvecklas som svar på framväxande och föränderliga hot samt åtgärder för att öka försvarets resiliens och cybersäkerhet och integrera dem i försvarsförmågan.

I linje med handlingsplanen för ny och omstörtande teknik 46 kommer Europeiska försvarsbyrån årligen att informera medlemsstaterna om den framväxande tekniken, inbegripet teknik som är relevant för cyberförsvar. Dessutom kommer Europeiska försvarsbyrån att utveckla en europeisk strategisk bedömning av ny och omstörtande teknik för att hjälpa medlemsstaterna att fatta långsiktiga strategiska beslut och identifiera synergier och samarbetsmöjligheter. Europeiska kompetenscentrumet för cybersäkerhet (ECCC) kommer att anta en strategisk agenda för investeringar på viktiga cybersäkerhetsområden, som i sin tur kommer att vägleda utarbetandet av framtida arbetsprogram för programmet för ett digitalt Europa och Horisont Europa i fråga om cybersäkerhet och stöd till forskning, innovation och marknadsspridning. För att skapa synergieffekter kommer ECCC och Europeiska försvarsbyrån också att utveckla ett samarbetsavtal för att underlätta informationsutbyte mellan deras respektive personal om civila och dubbla användningsområden och försvarstekniska prioriteringar.

Åtgärder för att tillgodose cyberförsvarets tekniska behov

Ytterligare åtgärder och samordning krävs för att säkerställa att försvarssektorn kan ta till sig den snabba tekniska utvecklingen på cyberområdet. Bland annat ska man intensifiera insatserna för att identifiera kritisk teknik för cyberförsvar och cybersäkerhet som bör prioriteras för att minska EU:s tekniska beroenden och bedöma huruvida de nuvarande prioriteringarna och finansieringsinstrumenten i tillräcklig utsträckning åtgärdar dessa beroenden.

För detta ändamål kommer kommissionen tillsammans med Europeiska försvarsbyrån och medlemsstaterna under 2023 att föreslå en färdplan för kritisk cyberteknik som bygger på relevanta samråd, inbegripet med industrin när så är lämpligt. I den tekniska färdplanen kommer man att identifiera cyberteknik som är viktig för EU:s tekniska suveränitet i fråga om både cyberförsvar och cybersäkerhet, kartlägga den tekniska utvecklingen och unionens strategiska beroenden och utforma åtgärder för att minska dem. Färdplanen för kritisk cyberteknik kommer att ligga till grund för de strategiska prioriteringarna för EU:s finansieringsinstrument. Där kommer fullt utnyttjande av program och finansieringsinstrument för civil och försvarsrelaterad forskning och utveckling samt förmågeutveckling att föreslås, i enlighet med respektive styrningsregler. Där kommer ytterligare sätt att uppmuntra utvecklingen av forskning, teknisk utveckling och innovation med dubbla användningsområden också att föreslås inom cybersäkerhets- och cyberförsvarsområdet på EU- och medlemsstatsnivå.

I detta sammanhang kommer kommissionen 47 i samarbete med ECCC och Europeiska försvarsbyrån under 2023 att bedöma teknik som redan har identifierats som kritisk för cyberförsvar och att ytterligare kartlägga och identifiera de beroenden som finns, eventuellt med stöd av observationsgruppen för kritisk teknik 48 . Här kommer man att ta hänsyn till det arbete som utförts inom ramen för Europeiska försvarsbyråns årliga övervakningsdokument 49 och den europeiska strategiska bedömningen av ny och omstörtande teknik 50 ECCC skulle dessutom kunna inleda ett särskilt projekt för strategiskt stöd som kan bidra till teknikplaneringen och kan sammanföra relevanta civila och militära aktörer för samverkan med dem.

Som en del av den verksamhet som beskrivs i synergiplanen, färdplanen och analysen av investeringsgapet pågår redan flera åtgärder för att stärka synergierna så att man bättre kan utnyttja den fulla potentialen hos teknik med dubbla användningsområden, även på cyberområdet.

Dessutom uppmanas medlemsstaterna att fullt ut utnyttja befintliga initiativ till stöd för forskning och teknisk utveckling, nämligen Europeiska försvarsbyråns teknikgrupper för försvarsförmåga 51 och de tillhörande tekniska byggstenarna i den överbryggande strategiska forskningsagendan 52 , Europeiska försvarsbyråns ad hoc-ram 53 , Europeiska försvarsfonden och Pesco. När det gäller civil teknik och teknik med dubbla användningsområden kan ECCC och nätverket av nationella samordningscentrum driva projekt med både en försvarsdimension och en civil dimension i enlighet med sin rättsliga grund 54 . Såsom tillkännagavs i synergiplanen och färdplanen kommer kommissionen också att sträva efter att öka synergieffekterna mellan ECCC:s och Europeiska försvarsfondens verksamhet inom cybersäkerhet och cyberförsvar, i enlighet med Europeiska försvarsfondens styrningsregler.

3.2 Flexibel, konkurrenskraftig och innovativ europeisk försvarsindustri

EU behöver en stark, flexibel, konkurrenskraftig och innovativ europeisk försvarsindustri som kan leverera hela spektrumet av toppmodern försvarsförmåga, inbegripet cyberförsvarsförmåga. När det gäller cyberförsvar förlitar sig dock EU:s försvarsindustri för närvarande i hög grad på civila lösningar och på att externa marknader tillhandahåller toppmoderna lösningar. Även om de tekniska framstegen på det civila området är snabba och marknaden för civila informations- och cybersäkerhetsprodukter växer snabbt, finns det särskilda militära krav som inte uppfylls av civila produkter i standardutförande. Viktiga komponenter av hårdvara och programvara som för närvarande används för cyberförsvar tillverkas inte i EU, vilket kan skapa industriella och tekniska beroenden. EU har inte heller någon stark närvaro inom den globala cybersäkerhets- och cyberförsvarsindustrin. Den stora fragmenteringen inom den europeiska försvarstekniska och försvarsindustriella basen minskar avsevärt dess förmåga att förbättra sin konkurrenskraft 55 , och majoriteten av cybersäkerhetsföretagen i EU är små och medelstora företag 56 . EU:s handlingsförmåga beror på hur tekniskt oberoende dess industriella handlingsförmåga är.

EU stöder utvecklingen av en stark försvarsteknisk och försvarsindustriell bas genom en rad program och initiativ. Europeiska försvarsfonden finansierar teknisk innovation för försvar och stöder utvecklingen av teknik som i slutändan leder till gemensamt utvecklad avancerad militär förmåga och stärker konkurrenskraften hos EU:s försvarsindustri. Horisont Europa och programmet för ett digitalt Europa stöder cybersäkerhetsforskning och utveckling av teknik med dubbla användningsområden, inbegripet kvantteknik, kryptering, säkra moln och AI 57 .

Ytterligare åtgärder bör vidtas med anknytning till kritisk teknik för cyberförsvar och de industriella behov som anges i färdplanen för kritisk cyberteknik. Det är nödvändigt att fastställa lämpligt stöd, till exempel för att stimulera gemensamma upphandlingsinsatser som det framtida europeiska försvarsinvesteringsprogrammet, eller underlätta tillgången till eget kapital och lån genom Europeiska investeringsfonden och Europeiska investeringsbanken.

För att stärka den försvarstekniska och försvarsindustriella basen måste man säkerställa och utnyttja synergieffekter mellan civila företag och försvarsföretag. De innovationsåtgärder som föreslås inom ramen för EU:s system för försvarsinnovation (EUDIS), inbegripet utåtriktad verksamhet till små och medelstora företag och teknikscouting, kan ha en positiv inverkan på EU:s försvarsindustri samt dess försvarstekniska och försvarsindustriella bas.

Kommissionen kommer också att inleda en branschdialog i syfte att utveckla EU:s cyberförsvarsindustri, när så är lämpligt med deltagande av Europeiska försvarsbyrån.

Kommissionen och den höga representanten föreslår flera åtgärder för att säkerställa att industrin är rustad för att uppnå resultat på kort och lång sikt. På kort sikt bör en djupgående kartläggning av EU:s försvarsindustriella tillverkningsförmåga genomföras för att man mer specifikt ska kunna identifiera luckor och områden där förmågan behöver ökas.

Åtgärderna för att minska sådana kritiska beroenden på cyberområdet som kan pekas ut i tekniska färdplaner skulle också kunna genomföras genom den nya fonden för europeisk suveränitet som ordförande Ursula von der Leyen tillkännagav i sitt tal om tillståndet i unionen i september 2022.

EU:s ram för granskning av utländska direktinvesteringar i unionen kommer att fortsätta att användas för att minska försvars- och säkerhetsrisker kopplade till förvärv av europeisk teknik eller europeiska lösningar. Medlemsstater som ännu inte har inrättat nationella granskningssystem bör göra detta utan dröjsmål.

3.3 EU:s cyberförsvarspersonal

Europa står inför en faktisk och alarmerande brist på cyberkompetens, och Europeiska cybersäkerhetsorganisationen (Ecso) uppskattar att det redan nu, år 2022, behövs totalt 500 000 yrkesverksamma. Denna kompetensklyfta undergräver EU:s förmåga att utveckla ny teknik och försvara sin kritiska infrastruktur. För statliga entiteter som försvarsministerierna och försvaret ökar svårigheterna att locka till sig och behålla cybertalanger ytterligare genom den hårda konkurrensen om kompetens och de attraktiva lönerna i den privata sektorn.

I samband med Europaåret för kompetens 2023 kommer kommissionen att lansera ett initiativ om en EU-akademi för cyberkompetens. Detta paraplyinitiativ syftar till att öka antalet fackfolk som utbildats i cybersäkerhet. Akademin kommer att sammanföra de många olika cyberkompetensinitiativen, säkerställa att de samordnas och integreras och ansvara för gemensam kommunikation om dem. Akademin för cyberkompetens, som organiseras kring flera ämnen såsom finansiering, gemenskapsstöd, utbildning och certifiering, intressenters deltagande och kunskapsgenerering, kommer också att gynna dem som arbetar med cyberförsvar. Europeiska säkerhets- och försvarsakademin (Esfa) kommer att undersöka hur man kan underlätta utbytet av bästa praxis och skapa ytterligare synergier mellan de militära och civila områdena när det gäller utbildning och utveckling av militär kompetens specifikt för cyberrymden.

På grundval av en analys av EU:s utbildningskrav och utbildningsbehov kommer Esfa, Europeiska försvarsbyrån och medlemsstaterna att vidareutveckla och organisera utbildningsverksamhet och övningar inom cyberförsvarsområdet för EU:s institutioner, GSFP-insatser och GSFP-uppdrag samt medlemsstaternas tjänstemän. En vidareutveckling av Esfas plattform för utbildning, träning, bedömning och övning (ETEE) på cyberområdet kommer också att undersökas i syfte att öka utbildningskapaciteten. Detta bör även omfatta utbildning för specifika operativa områden och insatser som rör flera områden. Man bör särskilt eftersträva att uppnå synergieffekter med Pesco-projektet EU Cyber Academia and Innovation Hub (EU CAIH) 58 .

Medlemsstaterna uppmanas att utveckla särskilda utbildningsprogram på cyberförsvarsområdet, där högre utbildning och civila och militära akademiska institutioner kan utveckla och skapa gemensamma kursplaner för cyberförsvar, utbyta bästa praxis, skapa partnerskap och gemensamma projekt samt underlätta lärar- och praktikantutbyten. För att säkerställa interoperabilitet och en gemensam kultur i hela EU kommer Esfa att främja utbyten mellan medlemsstaterna genom ETEE-plattformen.

Medlemsstaterna bör främja ett bredare samarbete mellan utbildningsaktörer genom att kombinera civila och militära aspekter på de tekniska, operativa, strategiska och rättsliga områdena och lägga grunden för gemensamma och standardiserade utbildningsprogram på olika nivåer för civilsamhället, brottsbekämpande myndigheter, diplomater och cyberförsvar. Dessutom bör medlemsstaterna samarbeta med akademiska institutioner och privata europeiska utbildningsanordnare för att stärka kompetensen och färdigheterna hos personalen i militära GSFP-uppdrag och GSFP-insatser.

Dessutom bör samarbete om utbildningsstandarder och certifiering inom cyberförsvar främjas mellan medlemsstaterna, EU:s institutioner, organ och byråer, internationella partner och andra aktörer, även inom den privata sektorn och den akademiska världen. På grundval av befintliga civila initiativ såsom den europeiska ramen för cyberkompetens, som har utvecklats av Enisa, kommer Esfa att utveckla en ram för certifiering av cyberförsvarskompetens. Kommissionen kan också överväga metoder för certifiering av cyberkompetens som finns tillgängliga på marknaden och i den akademiska världen, samtidigt som den genom akademin för cyberkompetens strävar efter att utveckla synergier mellan dessa strategier och fylla luckor, särskilt med hjälp av riktad EU-finansiering.

4. Partnerskap för att hantera gemensamma utmaningar

Partnerna kommer att gynnas av att EU ökar sin förmåga och resiliens i cyberrymden samt av EU:s stöd till cyberförsvar och kapacitetsuppbyggnad som tillhandahålls genom relevanta EU-instrument. EU kommer att sträva efter att inrätta skräddarsydda partnerskap på cyberförsvarsområdet där dessa är till ömsesidig nytta. Partnerskap för cyberförsvar kommer också att diskuteras i samband med partnerländernas deltagande i militära GSFP-uppdrag och GSFP-insatser.

Där så är lämpligt kommer detta arbete att bygga på befintliga cyberdialoger samt på säkerhets- och försvarsdialoger. Den höga representanten kommer också att undersöka möjligheten att skapa synergier mellan det informella EU-nätverket för cyberdiplomati och nätverket av försvarsattachéer vid EU:s delegationer. 

4.1 Samarbete med Nato

EU:s strategiska partnerskap med Nato är fortfarande avgörande för den euroatlantiska säkerheten, vilket understryks i den strategiska kompassen och Natos strategiska koncept från 2022 59 . EU står fast vid sitt åtagande att stärka detta viktiga partnerskap, bland annat på cyberförsvarsområdet. Ytterligare åtgärder måste vidtas för att utveckla gemensamma lösningar på gemensamma hot och utmaningar. I enlighet med de gemensamma Warszawa- och Bryssel-förklaringarna om samarbete mellan EU och Nato 60 och på grundval av principerna om insyn, ömsesidighet och delaktighet, öppenhet och beslutsautonomi för båda organisationerna är cybersäkerhet och cyberförsvar ett av EU:s viktigaste prioriterade samarbetsområden.

På grundval av ömsesidighet kommer EU att fortsätta att utbyta information med Nato om den militära konceptuella ramen för integrering av cyberförsvarsaspekter i planeringen och genomförandet av militära GSFP-uppdrag och GSFP-insatser. EU kommer att i största möjliga utsträckning sträva efter förenlighet med Natos koncept och dess doktrin om cyberförsvar.

När det gäller den stora efterfrågan på cyberförsvarsförmåga kommer EU att främja synergier och komplementaritet med Nato över organisatoriska och nationella gränser. EU kommer att samarbeta med Nato för att stärka den tekniska och förfarandemässiga interoperabiliteten för cyberförsvarsförmågan, inbegripet förmågeutveckling i linje med initiativet Federated Mission Networking (FMN). Detta kommer att bana väg för en utveckling och användning av cyberförsvarsförmåga som potentiellt kan vara ömsesidigt stödjande. Särskild uppmärksamhet bör ägnas åt att standarderna ska vara interoperabla, vilket bidrar till cyberresiliensen och interoperabiliteten hos militära kommunikations- och informationssystem; industrin bör involveras när så är relevant.

För att tillhandahålla en enhetlig utbildning för EU:s och Natos cyberförsvarspersonal kommer EU, i tillämpliga fall, också att stärka samarbetet med Nato om harmonisering av utbildningsbehov och analys av utbildningskrav, samt genom att utveckla gemensamma kursplaner, kurser och övningar. På grundval av principerna om ömsesidighet och icke-diskriminering kommer Esfa att öppna sina cyberförsvarskurser för Natopersonal och inrätta en plattform för att marknadsföra gemensamma kurser. EU kommer också att främja Natopersonalens deltagande i cyberövningar och krishanteringsövningar med cyberinslag.

EU och Nato kommer också att ägna sig åt ytterligare förbättring av den ömsesidiga lägesuppfattningen och undersöka möjligheter till samordning, bland annat genom att stärka samarbetet mellan NCIRC och CERT-EU. För att främja samarbete om cyberaspekterna och konsekvenserna av krishantering och insatser kommer EU att bidra till utbyten mellan respektive organisations personal om militära, civila och gemensamma initiativ och, i tillämpliga fall, till att utveckla potentiella synergier mellan respektive krishanteringsramar och krishanteringsinitiativ, även vid storskaliga incidenter. För att säkerställa ömsesidig komplementaritet och undvika onödigt dubbelarbete kommer EU att eftersträva ett närmare samarbete och informationsutbyte med Nato om insatser för kapacitetsuppbyggnad på cyberförsvarsområdet i partnerländerna.

4.2 Samarbete med likasinnade partner

Den höga representanten kommer att mer systematiskt ta upp cyberförsvarsfrågor i pågående och framtida cyberdialoger samt i säkerhets- och försvarsdialoger med partner. Eftersom cyberförsvarsaspekterna kommer att utvecklas i bilaterala dialoger kommer cyberförsvarsaspekterna allt mer att kunna tas upp i andra former av samarbete med EU:s partner.

Genom EU:s strategiska partnerskap med Förenta staterna kommer samarbetet på säkerhets- och försvarsområdet att fortsätta att fördjupas på ett sätt som gynnar båda parter, bland annat genom strukturerat utbyte av information om lägesuppfattningen. De regelbundna cyberdialogerna och säkerhets- och försvarsdialogerna mellan EU och Förenta staterna visar på styrkan i det transatlantiska partnerskapet. Den höga representanten kommer vid behov att föra in relevanta aspekter av cyberförsvar i dessa dialoger.

Tillsammans med sina internationella partner kommer EU att fortsätta att stödja Ukraina, bland annat genom en cyberdialog. Mot bakgrund av Ukrainas erfarenheter av att bygga upp cyberresiliens och cyberförsvarskapacitet finns ett gemensamt intresse för ett utbyte av bästa praxis för cyberförsvar, inbegripet information om hotbilder, lägesuppfattning och relevant politisk utveckling, och detta kommer att fortgå och att utvidgas.

Likasinnade partner spelar en viktig roll för att upprätthålla en global, öppen, stabil och säker cyberrymd och kan komplettera EU:s förmåga att förebygga, avskräcka och reagera på skadligt beteende i cyberrymden. EU är även fortsättningsvis öppet för ett brett, ambitiöst och ömsesidigt fördelaktigt säkerhets- och försvarsengagemang, bland annat när det gäller cyberförsvar, med alla likasinnade partner.

4.3 Stöd till uppbyggnad av cyberförsvarskapacitet i partnerländer

Globala och regionala utmaningar har ökat det ömsesidiga beroendet mellan EU och dess partner och belyst behovet av att upprätta närmare partnerskap på säkerhets- och försvarsområdet. Detta är särskilt relevant för EU:s kandidatländer. Den senaste tidens storskaliga cyberattacker tyder på ett behov av ökat engagemang från EU:s sida och partnerskap när det gäller cybersäkerhet och cyberförsvar, med utgångspunkt i befintliga program. På grund av cyberhotens gränsöverskridande karaktär kommer en förstärkning av partnerländernas cyberresiliens, särskilt de vars cyberförsvar har lägre mognadsgrad, att bidra till en tryggare och säkrare cyberrymd. EU skulle därför bättre kunna förebygga, upptäcka, försvara sig mot och avskräcka från cyberattacker. EU kommer att stärka säkerhets- och försvarssamarbetet med partnerländerna för att stärka deras cyberresiliens, bland annat genom befintliga dialoger. När så är lämpligt och gynnar båda sidor kommer EU att samarbeta med partner, särskilt de kandidatländer som har anpassat sig till EU:s gemensamma utrikes- och säkerhetspolitik och gemensamma säkerhets- och försvarspolitik, och bistå dem i deras insatser för kapacitetsuppbyggnad på cyberförsvarsområdet. Detta kan omfatta stöd till politiska och rättsliga ramar, utbildning, rådgivning, mentorskap och utrustning för partnernas väpnade styrkor och säkerhetsstyrkor. Medlemsstaterna skulle kunna besluta att tillhandahålla operativt cyberförsvarsstöd till partner. Dessutom kommer EU att hjälpa partnerländerna att stärka sin kapacitet att bidra till militära GSFP-uppdrag och GSFP-insatser, eftersom detta på ett värdefullt sätt bidrar till ömsesidiga insatser för att främja fred och säkerhet.

Den europeiska fredsfaciliteten kommer att fortsätta att stödja EU:s insatser för att bidra till att bygga upp försvarskapacitet, inbegripet cyberförsvar, i partnerländer, särskilt i EU:s grannskap, som ett komplement till GSFP-krishanteringsinsatserna. I detta avseende kommer EU vid behov också att förstärka kopplingen mellan cyberförsvarsbiståndet och den civila kapacitetsuppbyggnaden inom cybersäkerhet, särskilt genom EU-nämnden för kapacitetsuppbyggnad på cyberområdet. En effektiv samordning mellan relevanta EU-program och EU-instrument, inbegripet den europeiska fredsfaciliteten, och medlemsstaterna kommer att vara nödvändig för att kapacitetsuppbyggnadsåtgärderna på cyberförsvars- och cybersäkerhetsområdet ska bli framgångsrika.

Samtidigt som EU stöder partnerländernas insatser för att bygga upp kapaciteten på cyberförsvarsområdet kommer EU att ha ett nära samarbete med andra givare för att utveckla lägesuppfattningen och inrätta samordningsplattformar för att tillhandahålla bästa möjliga skräddarsydda stöd och säkerställa samstämmighet och undvikande av dubbelarbete.

III. SLUTSATS

Den höga representanten, även i egenskap av chef för Europeiska försvarsbyrån, och kommissionen uppmanar medlemsstaterna att utveckla relevanta aspekter av denna politik för cyberförsvar och kommer att samarbeta med medlemsstaterna för att fastställa åtgärder för det praktiska genomförandet. En genomförandeplan kan upprättas i samarbete med medlemsstaterna. Resultaten av genomförandet av EU:s politik för cyberförsvar kommer att bidra till de övergripande målen för både EU:s strategi för cybersäkerhet och den strategiska kompassen.

En årlig rapport kommer att lämnas till rådet för övervakning och bedömning av framstegen i genomförandet av politiken för cyberförsvar. Medlemsstaterna uppmanas att bidra med sina synpunkter på framstegen med genomförandeåtgärderna på nationell nivå och i samarbetsformat.

(1)

2018 års uppdatering av ramen för EU:s politik för it-försvar, 19 november 2018, http://data.consilium.europa.eu/doc/document/ST-14413-2018-INIT/sv/pdf.

(2)

  En strategisk kompass för säkerhet och försvar – för ett EU som skyddar sina medborgare, värden och intressen och bidrar till internationell fred och säkerhet .

(3)

 EU:s strategi för cybersäkerhet för ett digitalt decennium, JOIN/2020/18 final .

(4)

https://ec.europa.eu/commission/presscorner/detail/sv/SPEECH_21_4701.

(5)

  9364/22 .

(6)

  JOIN(2022) 24 final .

(7)

EEAS(2021) 706 REV4.

(8)

Civila, diplomatiska och brottsbekämpande cybergemenskaper.

(9)

Snabbinsatsteam på cyberområdet och ömsesidigt bistånd inom cybersäkerhet.

(10)

Fördraget om Europeiska unionen, konsoliderad version, EUT C 326, 26.10.2012. s. 1.

(11)

Fördraget om Europeiska unionens funktionssätt, konsoliderad version, EUT C 326, 26.10.2012. s. 1.

(12)

Syftet med projektet är att utveckla, inrätta och driva ett samordningscentrum för cyber- och informationsområdet (CIDCC) som en permanent multinationell militär enhet.

(13)

Med utgångspunkt i de europeiska cyberbefälhavarnas strategiska konferens första två möten, som hölls i januari och juni 2022, har EU:s cyberbefälhavare beslutat att inrätta ett mer permanent forum på sin nivå.

(14)

En informell grupp med berörda avdelningar inom kommissionen, utrikestjänsten, Europeiska unionens cybersäkerhetsbyrå (Enisa), CERT-EU och Europol, där kommissionen och den höga representanten tillsammans är ordförande.

(15)

EU:s strategi för cybersäkerhet för ett digitalt decennium (JOIN/2020/18 final) och strategin för EU:s säkerhetsunion (COM(2020) 605).

(16)

I enlighet med Europaparlamentets och rådets förordning (EU) 2021/694 av den 29 april 2021 om inrättande av programmet för ett digitalt Europa och om upphävande av beslut (EU) 2015/2240, EUT L 166, 11.5.2021, s. 1, som kan komma att ändras.

(17)

  Nevers-uppmaningen om att förstärka EU:s cybersäkerhetsförmåga .

(18)

https://eda.europa.eu/publications-and-data/factsheets/factsheet-cyber-phalanx.

(19)

https://www.pesco.europa.eu/project/cyber-ranges-federations-crf/.

(20)

Rådets slutsatser om en ram för en gemensam diplomatisk respons från EU mot skadlig it-verksamhet (verktygslådan för cyberdiplomati).

(21)

https://cybernews.com/security/solarwinds-hack-the-mystery-of-one-of-the-biggest-cyberattacks-ever/.

(22)

https://english.ncsc.nl/topics/log4j-vulnerability.

(23)

Uttalande av EU:s utrikesrepresentant om skadlig cyberverksamhet som utförs av hackare och hackargrupper inom ramen för Rysslands angrepp mot Ukraina https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/

(24)

Direktivet om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, och om upphävande av direktiv (EU) 2016/1148, som medlagstiftarna nyligen har enats om och som förväntas bli formellt antaget i slutet av detta år.

(25)

Förslag till förordning om övergripande cybersäkerhetskrav för produkter med digitala element och om ändring av förordning (EU) 2019/1020, COM/2022/454 final .

(26)

Rådets slutsatser om utvecklingen av Europeiska unionens arbete på cyberområdet, ST09364/22, av den 23 maj 2022.

(27)

https://digital-strategy.ec.europa.eu/sv/policies/nis-cooperation-group.

(28)

  Nevers-uppmaningen om att förstärka EU:s cybersäkerhetsförmåga .

(29)

Förslag till rådets rekommendation om en samordnad strategi från unionens sida för att stärka den kritiska infrastrukturens motståndskraft, COM(2022) 551 final .

(30)

Digitalisering av energisystemet – EU:s handlingsplan, COM/2022/552 final.

(31)

En strategisk kompass för säkerhet och försvar, av den 21 mars 2022, https://data.consilium.europa.eu/doc/document/ST-7371-2022-INIT/sv/pdf.

(32)

  Cybersecurity of 5G networks - EU Toolbox of risk mitigating measures | Shaping Europe’s digital future (europa.eu).

(33)

https://dnbl.ncia.nato.int/FMNPublic/SitePages/Home.aspx

(34)

 COM/2022/454 final.

(35)

COM(2021) 70 final.

(36)

För närvarande pågår arbete med att standardisera cybersäkerhetskraven för radioutrustning, på grundval av delegerad förordning (EU) 2022/30. Om kommissionen upphäver eller ändrar denna delegerade förordning så att den upphör att gälla för vissa produkter som omfattas av cyberresiliensakten, bör kommissionen och de europeiska standardiseringsorganisationerna beakta det standardiseringsarbete som utförts i samband med kommissionens genomförandebeslut C(2022)5637 om begäran om standardisering till stöd för den ovannämnda delegerade förordningen, när de utarbetar och utvecklar harmoniserade standarder för att underlätta genomförandet av cyberresiliensakten.

(37)

T.ex. enligt analysen av investeringsgapet på försvarsområdet.

(38)

Flera initiativ har lanserats, t.ex. det europeiska partnerskapet för försvarskompetens.

(39)

I färdplanen för kritisk teknik efterlyste kommissionen ett förstärkt samarbete om teknik som är avgörande för Europas långsiktiga säkerhet och försvar och insatserna för att minska relaterade strategiska beroenden.

(40)

Det gemensamma meddelandet om analysen av investeringsgapet på försvarsområdet och vidare åtgärder där kommissionen och den höga representanten har föreslagit flera åtgärder för att se till att EU:s industri är utrustad för att uppnå resultat på både kort och lång sikt.

(41)

Snabbinsatsteam och ömsesidigt bistånd på området för cybersäkerhet (CRRT), samordningscentrumet för cyber- och informationsområdet (CIDCC), plattformen för utbyte av information om hantering av cyberhot och cyberincidenter (CTIRISP), Cyber Ranges Federations (CRF), EU:s cyberakademi och innovationsknutpunkt (EU CAIH).

(42)

Inom ramen för det europeiska försvarsindustriella utvecklingsprogrammet har sex projekt finansierats (Pandora, Discretion, Cyber4de, Ecysap, Smotanet och Hermes) med en budget på 39 miljoner euro. Under 2021 kommer nästan 40 miljoner euro att anslås från Europeiska försvarsfonden till tre samarbetsinriktade FoU-projekt för cyberförsvar som valts ut för finansiering (Acting, AInception, EU-Guardian).

(43)

Projektgruppen för cyberförsvar är ett forum där medlemsstaterna kan diskutera cyberförsvarsfrågor med militära inslag.

(44)

Faktablad om Europeiska försvarsbyråns förmågeutvecklingsplan (28.6.2018): Faktablad om CDP .

(45)

I enlighet med den strategiska forskningsagendan för cyberförsvar och den överbryggande strategiska forskningsagendan.

(46)

Europeiska försvarsbyråns handlingsplan för ny och omstörtande teknik godkändes av Europeiska försvarsbyråns styrelse för forskningstekniska direktörer den 16 december 2021.

(47)

Bl.a. gemensamma forskningscentrumet (JRC).

(48)

Observationsgruppen för kritisk teknik, som tillkännagavs i handlingsplanen för synergier mellan civil industri, försvarsindustri och rymdindustri.

(49)

Första fasen av Europeiska försvarsbyråns handlingsplan för ny och omstörtande teknik 2021.

(50)

Andra fasen av Europeiska försvarsbyråns handlingsplan för 2021.

(51)

Teknikgrupperna för försvarsförmåga är ett nätverksforum för medlemsstaternas experter och erbjuder en flexibel ram för samarbetsprojekt. Mer information om teknikgrupperna för försvarsförmåga på cyberområdet (cyberteknik, information, komponenter) finns på: https://eda.europa.eu/what-we-do/research-technology/capability-technology-areas-(captechs).

(52)

 I den överbryggande strategiska forskningsagendan kartläggs relevanta forsknings- och teknikområden på försvarsområdet och beskrivs konkreta samarbetsmöjligheter. Det finns 17 tekniska byggstenar för cyberteknik med motsvarande tekniska färdplaner. De behandlar lägesuppfattning inom cyberförsvarsområdet, skydd av militära kommunikationssystem, behandling av information från heterogena källor, modellering och simulering, kvantdatorteknik och kryptografi samt utforskande av synergieffekter mellan cyberoperationer och elektronisk krigföring. Artificiell intelligens och stordata spelar en nyckelroll i informationsbehandlingen.

(53)

 Europeiska försvarsbyråns ad hoc-ram fastställs i rådets beslut (Gusp) 2015/1835. För närvarande genomförs sex projekt med cybertekniska element inom denna ram, med en budget på cirka 20 miljoner euro (Anquor, Cerere, EDA SOC 2, Masfad II, Pasei II, Assai).

(54)

Europaparlamentets och rådets förordning (EU) 2021/887 av den 20 maj 2021 om inrättande av Europeiska kompetenscentrumet för cybersäkerhet inom näringsliv, teknik och forskning och av nätverket av nationella samordningscentrum.

(55)

I enlighet med det gemensamma meddelandet om analysen av investeringsgapet på försvarsområdet och vidare åtgärder.

(56)

Enligt uppskattning är totalt 2 500 små och medelstora företag i EU verksamma i de komplexa och ofta gränsöverskridande leveranskedjorna på försvarsområdet. Dessa företag betjänar kunder på försvarsområdet, och 7,8 % av deras verksamhet rör cyberområdet.

(57)

Verksamheten inom programmet Horisont Europa är endast inriktat på civila tillämpningar. I programmet förutses dock att synergieffekter med Europeiska försvarsfonden kommer att gynna både civil och försvarsinriktad forskning.

(58)

https://www.pesco.europa.eu/project/eu-cyber-academia-and-innovation-hub-eu-caih/.

(59)

https://www.nato.int/strategic-concept/.

(60)

Förklaringarna undertecknades 2016 respektive 2018.