DHS un CONNECT ĢD paziņo par iniciatīvu salīdzināt ziņošanu par kiberincidentiem, lai labāk saskaņotu transatlantiskās pieejas

Šodien Eiropas Komisijas Komunikācijas, tīklu, satura un tehnoloģiju ģenerāldirektorāts (DG CONNECT) un ASV Iekšzemes drošības departaments (DHS) paziņoja par iniciatīvu salīdzināt kiberincidentu ziņošanas elementus, kas būs pamatā ASV un Eiropas Savienības (ES) kiberincidentu ziņošanas prasībām saskaņā ar TID 2 direktīvu. Šī transatlantiskā sadarbība starp ES un ASV balstās uz to centieniem aizsargāt savus iedzīvotājus, kritisko infrastruktūru un uzņēmumus pret kaitējošām kiberdarbībām. 

Kopīgais ziņojums, ko CONNECT ĢD un IDD izstrādājis ar savu attiecīgo kiberdrošības aģentūru, Eiropas Kiberdrošības aģentūras (ENISA) un Kiberdrošības un infrastruktūras drošības aģentūras (CISA) atbalstu, sniedz salīdzinošu novērtējumu un faktu pārskatu par ASV Kiber incidentu ziņošanas padomes ieteikumiem un 2023. gada IDD ziņojumu par kiberincidentu ziņošanas saskaņošanu federālajai valdībai un ES Direktīvu 2022/2555 par pasākumiem augsta kiberdrošības līmeņa nodrošināšanai visā Savienībā (TID2 direktīva), nosakot galvenās līdzības un atšķirības. Šā ziņojuma konstatējumi palīdzēs informēt CONNECT ĢD un IDD pieeju kiberincidentu ziņošanas procesu novērtēšanai nākotnē. Ziņojumā ir noteiktas sešas galvenās jomas, kurās veikt salīdzinošu analīzi starp IDD ziņojumu un ES direktīvu, tostarp: I) definīcijas un ziņošanas robežvērtības, ii) kiberincidentu ziņošanas termiņi, izraisītāji un veidi, iii) kiberincidentu ziņojumu saturs, iv) ziņošanas mehānismi, v) incidentu datu apkopošana un vi) kiberincidentu informācijas publiskošana. 

Kiberincidenti neatzīst robežas, un starptautiskiem uzņēmumiem bieži vien ir jāziņo par incidentiem daudzās jurisdikcijās. Mēs esam apņēmušies saskaņot noteikumus par ziņošanu par incidentiem iekšzemē un ar līdzīgi domājošiem partneriem, piemēram, Eiropas Savienību, kad vien tas ir iespējams. Mūsu pieeja ļaus valdības iestādēm iegūt informāciju, kas tām vajadzīga kiberaizsardzības nodrošināšanai, vienlaikus racionalizējot procesu cietušo organizācijām,

teica Robert Silvers, IDD politikas ministra vietnieks un kiberincidentu ziņošanas padomes priekšsēdētājs. 

Visā Atlantijas okeānā mēs cenšamies sadarboties, lai salīdzinātu attiecīgās ziņošanas prasības, tostarp pieprasītās informācijas formu vai formātu, meklējot veidus, kā līdz minimumam samazināt ziņošanas struktūru administratīvo slogu,

teica Roberto Viola, EK Komunikācijas tīklu, satura un tehnoloģiju ģenerāldirektors 

Šī iniciatīva, kas atbilst Tēvzemes drošības sekretāra Alejandro N. Mayorkas un Eiropas iekšējā tirgus komisāra Tjerī Bretona 2024. gada kopīgajam paziņojumam, iezīmē sākumu procesam, kura mērķis ir pēc iespējas saskaņot ziņošanu par transatlantiskajiem kiberincidentiem. DHS un CONNECT ĢD aicina nozares pārstāvjus gan no ASV, gan ES dalīties ar savu ieguldījumu un reakciju uz mūsu kopīgo sadarbību un pieeju kiberincidentu ziņošanas procesu novērtēšanai. 

Šī joma ir ļoti svarīga, jo attiecīgajām valdības iestādēm ir jābūt piekļuvei informācijai par kiberincidentiem, kas ietekmē to iedzīvotājus vai citādi rada bažas par drošumu un drošību. Turklāt mēs atzīstam, ka nākamajos mēnešos gan Amerikas Savienotās Valstis, gan Eiropas Savienība turpinās darbu, lai ieviestu obligātus ziņošanas režīmus, tostarp ieviešot precīzākus noteikumus par incidentu ziņošanas procesu, ziņojumu saturu un termiņiem. Ir svarīgi saglabāt saikni ar šiem jautājumiem un, ja iespējams, saskaņot.

pievienots Lorena Boix Alonso, EK direktore digitālās sabiedrības, uzticības un kiberdrošības jautājumos

Nākamajā gadā mūsu komandas plāno turpināt sadarbību tehniskākā līmenī, tostarp kartējot tādus elementus kā kiberdrošības incidentu taksonomijas, ziņošanas veidnes un ziņojumu un formātu saturu. Mēs veiksim padziļinātu pāreju no IDD izstrādātās ziņošanas veidlapas ar TID 2 prasīto ziņojumu saturu, lai noteiktu, kur ir pārklāšanās un atšķirības datu veidos, kas tiek pieprasīti. Turpinot šos centienus virzīties uz priekšu, mums ir jāpaliek elastīgiem un jāpielāgojas strauji mainīgajai kiberdraudu videi, jo mūsu digitālajā pasaulē nekas ilgstoši nemainās.

teica Iranga Kahangama, IDD sekretāra vietniece kiberdrošības, infrastruktūras, riska un noturības jautājumos.

Ar Likumu par kiberincidentu ziņošanu par kritiskām infrastruktūrām (Circia), ko 2022. gadā parakstīja prezidents Biden, izveidoja Kiberincidentu ziņošanas padomi (CIRC), kuru vadīja IDD, lai “koordinētu, novērstu konfliktus un saskaņotu federālās incidentu ziņošanas prasības, tostarp tās, kas izdotas saskaņā ar noteikumiem”. CIRC, kuru vada IDD un kurā ir pārstāvētas vairāk nekā 30 aģentūras, ieskicēja vairākus īstenojamus ieteikumus par to, kā ASV valdība var racionalizēt un saskaņot ziņošanu par kiberincidentiem, lai labāk aizsargātu valsts kritisko infrastruktūru. 2023. gadā IDD iesniedza Kongresam ziņojumu, tostarp Padomes ieteikumus par kiberincidentu ziņošanas saskaņošanu federālajai valdībai.

2023. gada janvārī stājās spēkā TID2 direktīva, dodot ES dalībvalstīm 21 mēnesi tās transponēšanai valsts tiesību aktos. TID2 direktīva balstās uz prasībām, kas noteiktas tās priekšgājējā Direktīvā (ES) 2016/1148 par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā (TID direktīva), kas ir spēkā kopš 2016. gada, bet tā paaugstina ES kopīgo vērienu kiberdrošības jomā, izmantojot plašāku darbības jomu, skaidrākus noteikumus un stingrākus uzraudzības instrumentus. TID2 direktīva saskaņo, stiprina un racionalizē drošības un incidentu ziņošanas prasības lielākam skaitam vienību, kas ir kritiski svarīgas Eiropas ekonomikai un sabiedrībai.