Izvješće o procjeni rizika u pogledu kiberotpornosti u telekomunikacijskom i elektroenergetskom sektoru EU-a

U izvješću se ukazuje na zabrinutost zbog niza rizika, uključujući rizike za sigurnost lanca opskrbe, nedostatak stručnjaka za kibersigurnost i rizike koje predstavljaju zlonamjerne aktivnosti kiberkriminalaca i aktera prijetnji koje sponzorira država.

Procjenom rizika detaljnije su utvrđeni tehnički i netehnički rizici. I u telekomunikacijskom i u elektroenergetskom sektoru rizici u lancu opskrbe i dalje su glavni problem, posebno u pogledu uvođenja 5G mreža i infrastrukture za obnovljivu energiju. Ucjenjivački softver, brisači podataka i iskorištavanje ranjivosti nultog dana također su utvrđeni kao stalna, ali goruća pitanja u oba sektora, posebno kad je riječ o operativnoj tehnologiji.

Kad je riječ o sektoru električne energije, najkritičniji rizik koji je utvrđen jesu zlonamjerne upućene osobe, potaknute poteškoćama u odgovarajućoj provjeri novog osoblja i privlačenju lokalnih stručnjaka za kibersigurnost. Kad je riječ o telekomunikacijskom sektoru, glavne prijetnje uključuju napade putem infrastruktura roaminga i napade koji potječu od velikih mreža botova.

Osim toga, fizička sabotaža kabelske infrastrukture i ometanje satelitskih signala utvrđeni su kao posebni rizici koje je posebno teško ublažiti.

Kako bi se ti rizici ublažili, u izvješću se iznosi niz preporuka u četiri područja u kojima su potrebna poboljšanja, koje se mogu sažeti kako slijedi: 

1. Otpornost i položaj u pogledu kibersigurnosti mogu se poboljšati razmjenom dobre prakse o ublažavanju ucjenjivačkog softvera, praćenju ranjivosti, sigurnosti ljudskih resursa i upravljanju imovinom. Osim toga, potrebno je pojačati suradnju s tehničkom mrežom država članica, timom za odgovor na računalne sigurnosne incidente (CSIRT-ovi),tijelima kaznenog progona i međunarodnim partnerima.  Države članice trebale bi provesti daljnje samoprocjene za sektore u skladu s Direktivom NIS 2 i Direktivom o otpornosti kritičnih subjekata.
2. Potrebno je poboljšati kolektivnu informiranost o stanju u kiberprostoru i razmjenu informacija, uključujući geopolitički kontekst, moguću fizičku štetu i dezinformacije. 
3. Potrebno je poboljšati planiranje djelovanja u nepredvidivim situacijama, upravljanje krizama i operativnu suradnju skraćivanjem granica između sektora i tijela nadležnih za kibersigurnost u postupcima.
4. Sigurnost lanca opskrbe trebalo bi dodatno riješiti naknadnim procjenama ovisnosti o visokorizičnim pružateljima usluga iz trećih zemalja i razvojem okvira EU-a za sigurnost lanca opskrbe.

S obzirom na kritičnost infrastruktura i mreža obuhvaćenih područjem primjene ovog izvješća i s obzirom na prijetnje koje se brzo mijenjaju te ne dovodeći u pitanje nadležnosti država članica u pogledu nacionalne sigurnosti, države članice, Komisiju i ENISA-u potiče se da što prije provedu te mjere za povećanje otpornosti na temelju rada koji je već započeo na provedbi nekih preporuka.

Preuzmite izvješće u nastavku za više informacija.

Kontekst

Vijeće je u svojim Zaključcima o razvoju položaja Europske unije u pogledu kiberprostora od 23. svibnja 2022. „pozivalo Komisiju, Visokog predstavnika i Skupinu za suradnju u području sigurnosti mrežnih i informacijskih sustava, u suradnji s relevantnim civilnim i vojnim tijelima i agencijama te uspostavljenim mrežama, uključujući EU CyCLONe, da provedu procjenu rizika i izrade scenarije rizika iz perspektive kibersigurnosti u situaciji prijetnje ili mogućeg napada na države članice ili partnerske zemlje te da ih predstave relevantnim tijelima Vijeća”.

Nadalje, Vijeće je u svojim Zaključcima o politici kiberobrane EU-a od 23. svibnja 2023. „pozvalo navedene aktere da osiguraju da se evaluacije rizika, scenariji i naknadne preporuke uzmu u obzir pri utvrđivanju i određivanju prioriteta mjera i potpore na razini EU-a i, prema potrebi, na nacionalnoj razini”. Vijeće nadalje poziva „sve relevantne aktere da razmotre scenarije rizika u postupcima procjene rizika, kao i u razvoju kibervježbi”.

Procjena rizika temelji se na nedavnom izvješću o kibersigurnosti i otpornosti komunikacijskih infrastruktura i mreža EU-a, koje je objavljeno u veljači 2024.

Više informacija o politikama u području kibersigurnosti možete pročitati ovdje .