Komisja przyjęła wniosek dotyczący unijnego aktu o cybersolidarności, aby wzmocnić zdolności UE w zakresie cyberbezpieczeństwa.

Akt będzie wspierał wykrywanie zagrożeń i incydentów cybernetycznych i zwiększanie świadomości na ich temat, zwiększał gotowość podmiotów krytycznych, a także wzmacniał solidarność, skoordynowane zarządzanie kryzysowe i zdolności reagowania we wszystkich państwach członkowskich. Akt o cybersolidarności poprawia zdolności UE do zwiększenia odporności i reakcji Europy na zagrożenia cybernetyczne, przy jednoczesnym wzmocnieniu istniejącego mechanizmu współpracy.  Akt ten przyczyni się on do zapewnienia bezpiecznego i chronionego otoczenia cyfrowego dla obywateli i przedsiębiorstw oraz do ochrony podmiotów krytycznych i usług kluczowych, takich jak szpitale i usługi użyteczności publicznej.

Komisja przedstawiła również Akademię Umiejętności w dziedzinie Cyberbezpieczeństwa w ramach Europejskiego Roku Umiejętności 2023, aby zapewnić bardziej skoordynowane podejście do zlikwidowania luki w talentach w zakresie cyberbezpieczeństwa, co jest warunkiem wstępnym zwiększenia odporności Europy. Akademia zgromadzi różne istniejące inicjatywy mające na celu promowanie umiejętności w zakresie cyberbezpieczeństwa i udostępni je na platformie internetowej, poprawiając tym samym ich widoczność i zwiększając liczbę wykwalifikowanych specjalistów w dziedzinie cyberbezpieczeństwa w UE.

W ramach europejskiej unii bezpieczeństwa UE zobowiązała się do zapewnienia wszystkim europejskim obywatelom i przedsiębiorstwom właściwej ochrony, zarówno w internecie, jak i poza nim, oraz do promowania otwartej, bezpiecznej i stabilnej cyberprzestrzeni. Rosnąca skala, częstotliwość i wpływ cyberincydentów stanowią jednak poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych oraz dla jednolitego rynku europejskiego. Agresja wojskowa Rosji na Ukrainę jeszcze bardziej pogłębiła to zagrożenie, a także zwiększyła liczebność podmiotów powiązanych z państwem, przestępców i hakerów zaangażowanych w obecne napięcia geopolityczne.

W oparciu o już istniejące solidne ramy strategiczne, polityczne i legislacyjne proponowany unijny akt o cybersolidarności i Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa przyczynią się do poprawy wykrywania cyberzagrożeń, odporności i gotowości na wszystkich poziomach unijnego ekosystemu cyberbezpieczeństwa.

Unijny akt o cybersolidarności

Unijny akt o cybersolidarności wzmocni solidarność na szczeblu Unii w celu lepszego wykrywania znaczących cyberincydentów lub incydentów w zakresie cyberbezpieczeństwa na dużą skalę, przygotowania się i reagowania na nie poprzez utworzenie europejskiej tarczy cyberbezpieczeństwa i kompleksowego mechanizmu reagowania cyberkryzysowego.

Aby szybko i skutecznie wykrywać poważne cyberzagrożenia, Komisja proponuje ustanowienie europejskiej tarczy cyberbezpieczeństwa, która jest ogólnoeuropejską infrastrukturą składającą się z krajowych i transgranicznych centrów monitorowania bezpieczeństwa (SOC) w całej UE. Są to podmioty, których zadaniem jest wykrywanie cyberzagrożeń i reagowanie na nie. Będą one wykorzystywać najnowocześniejsze technologie, takie jak sztuczna inteligencja (AI) i zaawansowana analiza danych, do wykrywania i terminowego rozpowszechniania ostrzeżeń na temat cyberzagrożeń i cyberincydentów w wymiarze transgranicznym. Z kolei organy i właściwe jednostki będą w stanie skuteczniej i efektywniej reagować na poważne incydenty.

Centra te mogłyby rozpocząć działalność na początku 2024 r. W ramach etapu przygotowawczego europejskiej tarczy cyberbezpieczeństwa w kwietniu 2023 r. Komisja wybrała w ramach programu „Cyfrowa Europa” trzy konsorcja transgranicznych centrów monitorowania bezpieczeństwa (SOC), skupiające organy publiczne z 17 państw członkowskich i Islandii.

Unijny akt o cybersolidarności obejmuje również stworzenie mechanizmu reagowania cyberkryzysowego w celu zwiększenia gotowości i zdolności reagowania na incydenty w UE. UE będzie wspierać:

• działania w zakresie gotowości, w tym testowanie podmiotów w wysoce krytycznych sektorach (opieka zdrowotna, transport, energia itp.) pod kątem potencjalnych podatności, w oparciu o wspólne scenariusze ryzyka i metody;
• utworzenie nowej unijnej rezerwy cyberbezpieczeństwa składającej się ze usług reagowania na incydenty świadczonych przez zaufanych dostawców, którzy wcześniej zawarli umowę i w związku z tym są gotowi do interwencji, na wniosek państwa członkowskiego lub instytucji, organów i agencji Unii, w przypadku znaczącego cyberincydentu lub na dużą skalę;
• zapewnienie wsparcia finansowego na rzecz wzajemnej pomocy, w przypadku gdy państwo członkowskie mogłoby zaoferować wsparcie innemu państwu członkowskiemu.

Ponadto w proponowanym rozporządzeniu ustanawia się mechanizm przeglądu incydentów cybernetycznych w celu zwiększenia odporności Unii poprzez przegląd i ocenę znaczących cyberincydentów lub cyberincydentów na dużą skalę po ich wystąpieniu, wyciągnięcie wniosków i, w stosownych przypadkach, wydanie zaleceń mających na celu poprawę stanu cyberbezpieczeństwa Unii.

Całkowity budżet na wszystkie działania w ramach unijnego aktu o cybersolidarności wynosi 1,1 mld euro, z czego około 2/3 zostanie sfinansowane przez UE w ramach programu „Cyfrowa Europa”.

Unijna Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa

Unijna Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa zgromadzi prywatne i publiczne inicjatywy mające na celu zwiększenie umiejętności w zakresie cyberbezpieczeństwa na szczeblu europejskim i krajowym, uczyni je bardziej widocznymi i pomoże w zniwelowaniu luki talentów w dziedzinie cyberbezpieczeństwa wśród specjalistów w tej dziedzinie.

Początkowo Akademia będzie prowadzona online na platformie Komisji na rzecz umiejętności cyfrowych i miejsc pracy. Osoby zainteresowane karierą w dziedzinie cyberbezpieczeństwa będą mogły znaleźć możliwości finansowania, szkolenia i certyfikacji z całej UE w jednym miejscu online. Zainteresowane strony będą również mogły zadeklarować wsparcie na rzecz poprawy umiejętności w zakresie cyberbezpieczeństwa w UE poprzez inicjowanie konkretnych działań, takich jak oferowanie szkoleń i certyfikacji w zakresie cyberbezpieczeństwa.

Akademia będzie ewoluować w taki sposób, aby oferować wspólną przestrzeń dla środowisk akademickich, organizatorów szkoleń i sektora, pomagając im koordynować programy edukacyjne, szkolenia, finansowanie i monitorować rozwój rynku pracy w dziedzinie cyberbezpieczeństwa. 

Systemy certyfikacji dla zarządzanych usług w zakresie bezpieczeństwa

Komisja zaproponowała dziś również ukierunkowaną zmianę aktu o cyberbezpieczeństwie, aby umożliwić przyjęcie w przyszłości europejskich systemów certyfikacji „zarządzanych usług w zakresie bezpieczeństwa”. Są to wysoce krytyczne i wrażliwe usługi świadczone przez dostawców usług w zakresie cyberbezpieczeństwa, takie jak reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa i doradztwo w zakresie bezpieczeństwa, które mają pomóc przedsiębiorstwom i innym organizacjom w zapobieganiu cyberincydentom, ich wykrywaniu, reagowaniu na nie lub usuwaniu ich skutków.

Certyfikacja ma kluczowe znaczenie i może odegrać ważną rolę w kontekście unijnej rezerwy cyberbezpieczeństwa oraz dyrektywy w sprawie środków na rzecz wspólnego wysokiego poziomu cyberbezpieczeństwa w całej Unii (dyrektywa NIS 2), ułatwiając również transgraniczne świadczenie tych usług.

Co dalej?

Parlament Europejski i Rada przeanalizują obecnie proponowane rozporządzenie w sprawie unijnego aktu o cybersolidarności, a także ukierunkowaną zmianę aktu o cyberbezpieczeństwie.

Europejskie Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa zorganizuje wspólne zamówienia na narzędzia i infrastrukturę z wybranymi transgranicznymi centrami monitorowania bezpieczeństwa w celu budowania zdolności w zakresie wykrywania cyberbezpieczeństwa.  

Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) i Europejskie Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa będą kontynuować prace nad umiejętnościami w zakresie cyberbezpieczeństwa, przyczyniając się do wdrożenia Akademii Umiejętności w dziedzinie Cyberbezpieczeństwa, zgodnie z ich mandatami i w ścisłej współpracy z Komisją i państwami członkowskimi.

Komisja proponuje, aby Akademia przyjęła formę konsorcjum na rzecz europejskiej infrastruktury cyfrowej (EDIC), które stanowi nowe ramy prawne służące realizacji projektów wielokrajowych. Możliwość ta zostanie teraz omówiona z państwami członkowskimi.

Konieczne jest również zapewnienie, aby specjaliści odbywali wymagane szkolenia wysokiej jakości. W związku z tym ENISA opracuje projekt pilotażowy badający możliwości utworzenia europejskiego systemu certyfikacji umiejętności w zakresie cyberbezpieczeństwa.  

Kontekst

W proponowanym akcie o cybersolidarności Komisja odpowiada na apel państw członkowskich o wzmocnienie cyberodporności UE i wywiązuje się ze swojego zobowiązania wyrażonego w niedawnym wspólnym komunikacie w sprawie cyberobrony, dotyczącego przygotowania inicjatywy na rzecz cybersolidarności UE.

Unijny akt o cybersolidarności i Akademia Umiejętności w dziedzinie Cyberbezpieczeństwa opierają się na strategii UE w zakresie cyberbezpieczeństwa, a także na unijnych ramach prawnych, aby wzmocnić zbiorową odporność UE na rosnące zagrożenia dla cyberbezpieczeństwa. Obejmuje to dyrektywę w sprawie środków na rzecz wspólnego wysokiego poziomu cyberbezpieczeństwa w całej Unii (NIS 2) oraz akt o cyberbezpieczeństwie.