Rapporten peger på bekymringer over en række risici, herunder risici for sikkerheden i forsyningskæden, manglen på cyberprofessionelle og de risici, der er forbundet med ondsindede aktiviteter fra cyberkriminelle og statsstøttede trusselsaktører.
Risikoevalueringen identificerede tekniske og ikke-tekniske risici mere detaljeret. I både telekommunikations- og elsektoren er risiciene i forsyningskæden fortsat den største bekymring, navnlig med hensyn til udrulning af 5G og vedvarende energiinfrastrukturer. Ransomware, dataviskere og udnyttelse af zero-day-sårbarheder blev også identificeret som en vedvarende, men presserende bekymring i begge sektorer, navnlig med hensyn til operationel teknologi.
For elsektoren er den mest kritiske risiko, der er identificeret, ondsindede insidere, der anspores af vanskeligheder med i tilstrækkelig grad at undersøge nyt personale og tiltrække lokale cybersikkerhedstalenter. For telekommunikationssektoren omfatter de største trusler angreb via roaminginfrastrukturer og angreb fra store botnet.
Desuden blev fysisk sabotage af kabelinfrastruktur og støjsending fra satellitsignaler identificeret som specifikke risici, der er særligt vanskelige at afbøde.
For at afbøde disse risici fremsættes der i rapporten en række anbefalinger på fire områder, der kan forbedres, og som kan sammenfattes som følger:
- Modstandsdygtigheden og cybersikkerhedsstillingen kan forbedres gennem udveksling af god praksis for afbødning af ransomware, overvågning af sårbarheder, sikkerhed for menneskelige ressourcer og forvaltning af aktiver. Desuden skal samarbejdet med tekniske medlemsstaters netværk, enheder, der håndterer IT-sikkerhedshændelser (CSIRT'er),retshåndhævende myndigheder og internationale partnere intensiveres. Medlemsstaterne bør foretage yderligere selvevalueringer for sektorerne i henhold til NIS2-direktivet og CER-direktivet.
- Den kollektive cybersituationsbevidsthed og informationsudveksling skal forbedres og omfatte den geopolitiske kontekst, potentiel fysisk skade og desinformation.
- Beredskabsplanlægning, krisestyring og operationelt samarbejde skal forbedres ved at afkorte linjerne mellem sektorer og cybersikkerhedsmyndigheder i procedurer.
- Sikkerheden i forsyningskæden bør behandles yderligere med opfølgende vurderinger af afhængigheden af højrisikoleverandører fra tredjelande og udvikling af en EU-ramme for sikkerhed i forsyningskæden.
I betragtning af den kritiske karakter af de infrastrukturer og netværk, der er omfattet af denne rapport, og i betragtning af det hurtigt udviklende trusselsbillede, og uden at det berører medlemsstaternes kompetencer med hensyn til national sikkerhed, opfordres medlemsstaterne, Kommissionen og ENISA til at gennemføre disse modstandsdygtighedsfremmende foranstaltninger så hurtigt som muligt på grundlag af det arbejde, der allerede er påbegyndt med gennemførelsen af nogle af henstillingerne.
Download rapporten nedenfor for mere information.
Baggrund
Rådet opfordrede i sine konklusioner af 23. maj 2022 om udviklingen af Den Europæiske Unions cyberposition "Kommissionen, den højtstående repræsentant og NIS-samarbejdsgruppen til i samarbejde med relevante civile og militære organer og agenturer og etablerede netværk, herunder EU CyCLONe, at foretage en risikovurdering og opstille risikoscenarier ud fra et cybersikkerhedsperspektiv i en situation med trussel eller muligt angreb mod medlemsstater eller partnerlande og forelægge dem for de relevante rådsorganer".
Desuden opfordrede Rådet i sine konklusioner af 23. maj 2023 om EU's cyberforsvarspolitik "ovennævnte aktører til at sikre, at der tages hensyn til risikoevalueringer, scenarier og efterfølgende henstillinger ved fastlæggelsen og prioriteringen af foranstaltninger og støtte på EU-plan og, hvor det er relevant, nationalt plan". Rådet opfordrer endvidere til, at "risikoscenarierne tages i betragtning af alle relevante aktører i risikovurderingsprocesserne samt i udviklingen af cyberøvelser".
Risikoevalueringen følger op på en nylig rapport om cybersikkerheden og modstandsdygtigheden i EU's kommunikationsinfrastrukturer og -net, som blev offentliggjort i februar 2024.
Du kan læse mere om cybersikkerhedspolitikker.