(1)

Kommissionen har erkänt att utbyggnaden av den femte generationens (5G) nätteknik är viktig möjliggörande teknik för framtidens digitala tjänster och högt prioriterat i strategin för den digitala inre marknaden. Kommissionen har antagit en handlingsplan för 5G för att se till att unionen har den nätinfrastruktur som behövs för den digitala omställningen från och med 2020 (1).

(2)

5G-näten kommer att bygga på dagens fjärde generation (4G) av nätteknik genom att tillhandahålla kapacitet för nya tjänster och bli den centrala infrastrukturen och möjliggörande tekniken för stora delar av unionens ekonomi. När 5G-näten tagits i drift kommer de att utgöra grunden för en rad tjänster som är nödvändiga för den inre marknadens funktion och för upprätthållandet och driften av vitala samhälleliga och ekonomiska system, exempelvis energi, transporter, banktjänster, hälso- och sjukvård samt industriell processtyrning. Anordnande av demokratiska processer, såsom val, kommer också i allt högre grad att bygga på digital infrastruktur och 5G-nät.

(3)

Att många kritiska tjänster kommer att vara beroende av 5G-näten gör följderna av systemomfattande och utbredda störningar särskilt allvarliga. Därför är 5G-nätens it-säkerhet en fråga av strategisk vikt för unionen, i ett skede när it-angreppen ökar och är mer sofistikerade än någonsin.

(4)

Den sammankopplade och gränsöverskridande karaktären hos den infrastruktur som ligger till grund för det digitala ekosystemet, liksom de aktuella hotens gränsöverskridande karaktär, innebär att alla betydande sårbarheter och it-säkerhetsincidenter som påverkar 5G-nät i en medlemsstat får följder för unionen som helhet. Därför bör åtgärder vidtas för att underbygga en hög gemensam it-säkerhetsnivå i 5G-näten.

(5)

Behovet av åtgärder på unionsnivå har bekräftats av medlemsstaterna. Europeiska rådet såg i sina slutsatser från mötet den 21 mars 2019 fram emot kommissionens rekommendation om en samordnad strategi i fråga om 5G-nätens säkerhet (2).

(6)

Att säkerställa unionens oberoende bör vara ett viktigt mål, i fullständig överensstämmelse med de europeiska värdena om öppenhet och tolerans (3). Utländska investeringar i strategiska sektorer, förvärv av kritisk materiel, teknik och infrastruktur i unionen samt leveranser av kritisk utrustning kan också utgöra hot mot unionens säkerhet.

(7)

It-säkerheten i 5G-näten har avgörande betydelse för unionens strategiska oberoende, vilket framhålls i det gemensamma meddelandet EU och Kina – En strategisk hållning (4).

(8)

Europaparlamentet uppmanar även i sin resolution om säkerhetshot kopplade till Kinas ökande teknologiska närvaro i EU kommissionen och medlemsstaterna att vidta åtgärder på unionsnivå (5).

(9)

Den här rekommendationen inriktas på it-säkerhetsrisker i 5G-nät genom att fastställa vägledning om lämpliga riskbedömnings- och riskhanteringsåtgärder på nationell nivå, om utveckling av en samordnad europeisk riskbedömning och om inrättande av en process för utveckling av en gemensam verktygslåda med de bästa riskhanteringsåtgärderna.

(10)

Det finns stark unionslagstiftning om skydd av elektroniska kommunikationsnät.

(11)

Unionens bestämmelser om elektronisk kommunikation (6) främjar konkurrens, inre marknad och slutanvändarnas intressen, och genom den europeiska kodexen för elektronisk kommunikation (7) eftersträvas ett kompletterande konnektivitetsmål som anges i resultattermer: utbredd tillgång till och användning av fasta och mobila högkapacitetsuppkopplingar för alla enskilda och företag i unionen, samtidigt som de medborgerliga intressena skyddas. Enligt direktiv 2002/21/EG ska medlemsstaterna säkerställa att de allmänna kommunikationsnätens integritet och säkerhet upprätthålls, förenat med skyldigheten att säkerställa att företag som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster vidtar lämpliga tekniska och organisatoriska åtgärder för att på ett tillfredsställande sätt skydda säkerheten för sina nät eller tjänster. Vidare föreskrivs att de behöriga nationella regleringsmyndigheterna ska ha befogenheter, inbegripet befogenheter att utfärda bindande instruktioner, för att se till att sådana skyldigheter efterlevs.

(12)

Dessutom kan medlemsstaterna enligt Europaparlamentets och rådets direktiv 2002/20/EG (8) förena den generella auktorisationen med villkor för allmänna näts säkerhet mot olovlig åtkomst i syfte att skydda telehemligheten i enlighet med Europaparlamentets och rådets direktiv 2002/58/EG (9).

(13)

Till stöd för genomförandet av dessa skyldigheter har unionen inrättat ett antal samarbetsorgan. Europeiska unionens byrå för nät- och informationssäkerhet (Enisa), kommissionen, medlemsstaterna och de nationella regleringsmyndigheterna har tagit fram tekniska riktlinjer för de nationella regleringsmyndigheternas rapportering av incidenter, säkerhetsåtgärder, hot och resurser (10). Den samarbetsgrupp som inrättats genom Europaparlamentets och rådets direktiv (EU) 2016/1148 (11) (nedan kallad samarbetsgruppen) sammanför de behöriga myndigheterna för att understödja och underlätta samarbetet, särskilt genom att tillhandahålla strategisk vägledning för verksamheten i nätverket av it-incidentcentrum, som underlättar det operativa samarbetet på teknisk nivå.

(14)

De kommande EU-reglerna om it-säkerhetscertifiering (12) bör på ett väsentligt sätt bidra till en jämn nivå på säkerheten. De bör göra det möjligt att utveckla system för it-säkerhetscertifiering för att tillgodose behoven hos användare av 5G-relaterad utrustning och programvara. Den här infrastrukturens kritiska betydelse bör leda till att högsta prioritet ges åt utvecklingen av europeiska system för it-säkerhetscertifiering av informations- och kommunikationstekniska produkter, tjänster och processer som används i 5G-nät. Medlemsstaterna och marknadsaktörerna bör aktivt engagera sig i utvecklingen av sådana certifieringssystem, även genom att stödja fastställandet av särskilda skyddsprofiler för 5G-nät.

(15)

I avsaknad av harmoniserad unionslagstiftning får medlemsstaterna i nationella tekniska föreskrifter, antagna i överensstämmelse med unionsrätten, föreskriva att ett europeiskt system för it-säkerhetscertifiering ska vara obligatoriskt. Medlemsstaterna kan också använda europeiska system för it-säkerhetscertifiering vid offentlig upphandling och vid tillämpningen av Europaparlamentets och rådets direktiv 2014/24/EU (13), och kan stödja utvecklingen av olika former av assistans, t.ex. en knutpunkt för assistans, för offentliga enheters upphandling av it-säkerhetslösningar.

(16)

Ett starkt dataskydd och skydd av den personliga integriteten är ett viktigt inslag i säkerheten för 5G-nät. Det finns även regler på unionsnivå om säker behandling av personuppgifter, även inom elektronisk kommunikation. I den allmänna dataskyddsförordningen (14) fastställs skyldigheten att personuppgifter ska behandlas så att deras säkerhet garanteras, inbegripet förhindrande av otillåten åtkomst till eller användning av personuppgifter och den utrustning som används för behandlingen. I direktivet om integritet och elektronisk kommunikation anges särskilda regler om skydd av telehemligheten och skydd av slutanvändarnas terminalutrustning. Enligt det direktivet är tjänsteleverantörerna också skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att se till att deras tjänster är säkra.

(17)

Unionen har också antagit en rättsakt som ska skydda kritisk infrastruktur och teknik, bl.a. inom kommunikationssektorn, genom att ge medlemsstaterna möjlighet att granska utländska direktinvesteringar med avseende på säkerhet eller allmän ordning, och genom att det inrättas en samarbetsstruktur där medlemsstaterna och kommissionen kan utbyta information och ta upp farhågor rörande enskilda investeringar (15).

(18)

Medlemsstaterna och operatörerna håller för närvarande på att vidta omfattande förberedelser för att möjliggöra den storskaliga driftsättningen av 5G-näten. Ett antal medlemsstater har uttryckt oro för eventuella säkerhetsrisker i 5G-nät i samband med förfaranden för beviljande av rätt att använda de radiospektrumband som 5G-näten tilldelats (16), och har övervägt åtgärder mot dessa risker.

(19)

Vid hanteringen av it-säkerhetsrisker i 5G-nät bör både tekniska och andra faktorer beaktas: Tekniska faktorer kan omfatta sårbarheter i fråga om it-säkerhet som kan utnyttjas för att få obehörig åtkomst till information (it-spionage, oavsett om det är av ekonomiska eller politiska skäl) eller för andra fientliga syften (it-angrepp avsedda att störa eller förstöra system och data). Viktiga aspekter som bör beaktas är behovet av att skydda näten under hela deras livscykel och behovet av att all relevant utrustning omfattas, inbegripet under 5Gnätens konstruktion, utveckling, upphandling, utbyggnad, drift och underhåll.

(20)

Andra faktorer kan inbegripa lagfästa krav och andra krav på leverantörer av utrustning för informations- och kommunikationsteknik. Vid en bedömning av sådana faktorers betydelse bör hänsyn tas till bland annat den totala risken för påverkan från ett tredjeland, särskilt med avseende på dess statsskick, avsaknad av samarbetsavtal om säkerhet eller liknande arrangemang i fråga om dataskydd mellan unionen och det aktuella tredjelandet, exempelvis beslut om adekvat skyddsnivå, eller huruvida landet är part i multilaterala, internationella eller bilaterala avtal om it-säkerhet, bekämpning av it-brottslighet eller dataskydd.

(21)

Som ett viktigt steg i utvecklingen av en unionsmodell för it-säkerhet i 5G-nät bör en riskbedömning genomföras på nationell nivå. Detta hjälper medlemsstaterna att anpassa sina nationella åtgärder i fråga om säkerhetskrav och riskhantering enligt bedömningen.

(22)

Samordning bör utvecklas för att de åtgärder som syftar till att hantera sådana it-hot ska bli verkningsfulla, eftersom de åtgärderna är nödvändiga för att den inre marknaden ska fungera smidigt och för att skydda personuppgifter och personlig integritet.

(23)

De nationella riskbedömningarna bör tjäna som utgångspunkt för en samordnad unionsriskbedömning, bestående av en hotbildskartläggning och en gemensam översyn som utförs av medlemsstaterna med stöd av kommissionen och i samarbete med Europeiska unionens byrå för nät- och informationssäkerhet (Enisa).

(24)

Med beaktande av medlemsstaternas och unionens riskbedömningar bör samarbetsgruppen sammanställa en verktygslåda för olika slags it-säkerhetsrisker och möjliga åtgärder för motverkande av riskerna på områden som certifiering, provning och åtkomstkontroll. Samarbetsgruppen bör också ange tänkbara särskilda åtgärder för att hantera risker som en eller flera medlemsstater utpekar. Samarbetsgruppen bör få stöd av Europeiska unionens byrå för nät- och informationssäkerhet (Enisa), Europol, Organet för europeiska regleringsmyndigheter för elektronisk kommunikation (Berec) samt EU:s underrättelse- och lägescentral. Denna verktygslåda bör fungera som underlag till kommissionen när det gäller att utveckla gemensamma minimikrav för att säkerställa en hög nivå av it-säkerhet i 5G-nät i hela unionen.

(25)

När åtgärder vidtas mot it-säkerhetsrisker bör hänsyn tas till främjande av it-säkerhet genom diversifiering av leverantörer när enskilda nät byggs upp.

(26)

Denna rekommendation bör inte påverka tillämpningen av medlemsstaternas behörighet i fråga om verksamhet som rör allmän säkerhet, försvar, nationell säkerhet eller statens verksamhet på straffrättens område, inbegripet medlemsstaternas rätt att utestänga leverantörer från sina marknader av skäl som rör nationell säkerhet.

1.

2.

a)    5G-nät : en uppsättning av alla relevanta nätinfrastrukturelement för mobil och trådlös kommunikationsteknik som används för konnektivitet och mervärdestjänster med avancerade prestanda, i form av t.ex. mycket höga datahastigheter och mycket hög datakapacitet, kommunikation med låg latens, ultrahög tillförlitlighet eller stöd till ett stort antal anslutna enheter. Detta kan inbegripa äldre nätelement som bygger på tidigare generationer av mobil och trådlös kommunikationsteknik såsom 4G eller 3G. 5G-näten bör anses inbegripa alla relevanta delar av nätet.

b)    infrastruktur som ligger till grund för det digitala ekosystemet : infrastruktur som används för att möjliggöra digitalisering i ett brett spektrum av kritiska tillämpningar i ekonomin och samhället.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

18.

19.