Politiky kybernetickej bezpečnosti

Stratégia kybernetickej bezpečnosti

Európska komisia a vysoká predstaviteľka Únie pre zahraničné veci a bezpečnostnú politiku predložili koncom roka 2020 novú stratégiu kybernetickej bezpečnosti EÚ.

Stratégia sa vzťahuje na bezpečnosť základných služieb, ako sú nemocnice, energetické siete a železnice. Zahŕňa aj bezpečnosť stále rastúceho počtu prepojených objektov v našich domovoch, kanceláriách a továrňach.

Stratégia sa zameriava na budovanie kolektívnych spôsobilostí s cieľom reagovať na závažné kybernetické útoky a spoluprácu s partnermi na celom svete s cieľom zaistiť medzinárodnú bezpečnosť a stabilitu v kybernetickom priestore. Načrtáva, ako môže spoločná kybernetická jednotka zabezpečiť najúčinnejšiu reakciu na kybernetické hrozby s využitím kolektívnych zdrojov a odborných znalostí, ktoré má EÚ a členské štáty k dispozícii.

Právne predpisy a certifikácia

Smernica o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii (smernica NIS2)

Kybernetickobezpečnostné hrozby sú takmer vždy cezhraničné a kybernetický útok na kritické zariadenia jednej krajiny môže ovplyvniť EÚ ako celok. Krajiny EÚ musia mať silné vládne orgány, ktoré dohliadajú na kybernetickú bezpečnosť vo svojej krajine a ktoré spolupracujú so svojimi partnermi v iných členských štátoch prostredníctvom výmeny informácií. To je obzvlášť dôležité pre odvetvia, ktoré sú pre našu spoločnosť rozhodujúce.

Smernica o bezpečnosti sietí a informačných systémov (smernica NIS), ktorú v súčasnosti vykonávajú všetky krajiny, zabezpečuje vytvorenie a spoluprácu takýchto vládnych orgánov. Táto smernica bola preskúmaná koncom roka 2020.

V dôsledku procesu preskúmania Komisia 16. decembra 2020 predložila návrh smernice o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii (smernicaNIS2. 

Smernica bola uverejnená v Úradnom vestníku Európskej únie v decembri 2022 a nadobudla účinnosť 16. januára 2023. Členské štáty budú mať 21 mesiacov od nadobudnutia účinnosti smernice na začlenenie ustanovení do svojich vnútroštátnych právnych predpisov (skutočný dátum: 18. októbra 2024).

ENISA – Agentúra EÚ pre kybernetickú bezpečnosť

ENISA(Agentúra Európskej únie pre kybernetickú bezpečnosť) je agentúra EÚ, ktorá sa zaoberá kybernetickou bezpečnosťou. Poskytuje podporu členským štátom, inštitúciám a podnikom EÚ v kľúčových oblastiach vrátane vykonávania smernice NIS.

Zákon o kybernetickej odolnosti

Návrhom nariadenia o kyberneticko-bezpečnostných požiadavkách na produkty s digitálnymi prvkami, známym ako zákon o kybernetickej odolnosti, sa posilňujú pravidlá kybernetickej bezpečnosti s cieľom zabezpečiť bezpečnejšie hardvérové a softvérové produkty.

Zákon o kybernetickej bezpečnosti

Aktom o kybernetickej bezpečnosti sa posilňuje úloha agentúry ENISA. Agentúra má teraz trvalý mandát a je splnomocnená prispievať k zintenzívneniu operačnej spolupráce a krízového riadenia v celej EÚ. Má tiež viac finančných a ľudských zdrojov ako predtým. Komisia 18. apríla 2023 navrhla cielenú zmenu aktu EÚ o kybernetickej bezpečnosti.

Zákon o kybernetickej solidarite

Európska komisia 18. apríla 2023 navrhla Akt EÚ o kybernetickej solidarite s cieľom zlepšiť reakciu na kybernetické hrozby v celej EÚ. Návrh bude zahŕňať európsky štít na kybernetickú bezpečnosť a komplexný kybernetický núdzový mechanizmus s cieľom vytvoriť lepšiu metódu kybernetickej obrany.

Certifikácia

Náš digitálny život môže fungovať dobre len vtedy, ak existuje všeobecná dôvera verejnosti v kybernetickú bezpečnosť IT produktov a služieb. Je dôležité, aby sme videli, že produkt bol skontrolovaný a certifikovaný tak, aby spĺňal vysoké kyberneticko-bezpečnostné normy. V súčasnosti existujú rôzne systémy certifikácie bezpečnosti IT produktov v celej EÚ. Vytvorenie jednotného systému certifikácie by bolo jednoduchšie a jasnejšie pre všetkých.

Komisia preto pracuje na celoeurópskom certifikačnom rámci, ktorého stredobodom je agentúra ENISA. V akte o kybernetickej bezpečnosti sa načrtáva proces na dosiahnutie tohto rámca.

 

Investície

Plán obnovy

Kybernetická bezpečnosť je jednou z priorít Komisie v reakcii na krízu spôsobenú koronavírusom, keďže došlo k zvýšenému počtu kybernetických útokov počas obmedzenia pohybu. Plán obnovy pre Európu zahŕňa dodatočné investície do kybernetickej bezpečnosti.

Podpora výskumu a inovácií: Horizont 2020 a cPPP; Horizont Európa

Výskum digitálnej bezpečnosti je nevyhnutný pre budovanie inovatívnych riešení, ktoré nás môžu chrániť pred najnovšími, najpokročilejšími kybernetickými hrozbami. Preto je kybernetická bezpečnosť dôležitou súčasťou programu Horizont 2020 a jeho nástupníckeho programu Horizont Európa. 

V programe Horizont Európa je kybernetická bezpečnosť na obdobie 2021 – 2027 súčasťou klastra „Občianska bezpečnosť pre spoločnosť“. 

V rámci programu Horizont 2020 Komisia spolufinancovala výskum a inovácie v oblastiach, ako je pripravenosť na kybernetickú bezpečnosť prostredníctvom kybernetických rozsahov a simulácií, kybernetická bezpečnosť pre malé a stredné podniky, kybernetická bezpečnosť v elektrickom a energetickom systéme a kybernetická bezpečnosť a ochrana údajov v kritických odvetviach. Tieto témy patria do klasteru „Bezpečné spoločnosti – ochrana slobody a bezpečnosti Európy a jej občanov“.

V roku 2016 bolo medzi Európskou komisiou a Európskou organizáciou pre kybernetickú bezpečnosť (ECSO), združením zloženým z členov kybernetického priemyslu, akademickej obce, verejnej správy a ďalších.

Podpora kybernetických kapacít a nasadzovania

Naše fyzické a digitálne infraštruktúry sú veľmi úzko prepojené. Komisia preto investovala aj do kybernetickej bezpečnosti v rámci svojho programu financovania investícií do infraštruktúry – Nástroja na prepájanie Európy (NPE) na obdobie rokov 2014 – 2020.

Podpora z NPE bola poskytnutá tímom reakcie na počítačové bezpečnostné incidenty, prevádzkovateľom základných služieb (OES), poskytovateľom digitálnych služieb, jednotným kontaktným miestam (SPOC) a príslušným vnútroštátnym orgánom. Tým sa posilňujú spôsobilosti v oblasti kybernetickej bezpečnosti a cezhraničná spolupráca v rámci EÚ, čím sa podporuje vykonávanie stratégie kybernetickej bezpečnosti EÚ.

Program Digitálna Európa na obdobie 2021 – 2027 je ambiciózny program, ktorý plánuje investovať 1,9 miliardy EUR do kapacity kybernetickej bezpečnosti a širokého zavádzania infraštruktúr a nástrojov kybernetickej bezpečnosti v celej EÚ pre verejnú správu, podniky a jednotlivcov.

Kybernetická bezpečnosť je tiež súčasťou Programu InvestEU. InvestEU je všeobecný program, ktorý spája mnohé finančné nástroje a využíva verejné investície na zabezpečenie ďalších investícií zo súkromného sektora. Jeho nástroj strategických investícií bude podporovať kľúčové hodnotové reťazce v oblasti kybernetickej bezpečnosti. Je dôležitou súčasťou balíka opatrení na obnovu v reakcii na krízu spôsobenú koronavírusom.

Centrum a sieť kompetencií v oblasti kybernetickej bezpečnosti; Atlas

Európske centrum priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti spojí odborné znalosti a zosúladí európsky vývoj a zavádzanie kyberneticko-bezpečnostných technológií. Bude spolupracovať s priemyslom, akademickou obcou a ostatnými s cieľom vytvoriť spoločný program pre investície do kybernetickej bezpečnosti a rozhodnúť o prioritách financovania výskumu, vývoja a zavádzania kybernetickobezpečnostných riešení prostredníctvom programov Horizont Európa a Digitálna Európa.

V súčasnosti prebiehajú štyri pilotné projekty s cieľom položiť základy pre kompetenčné centrum a sieť. Zahŕňa viac ako 170 partnerov.

V záujme lepšieho prehľadu odborných znalostí a kapacít v oblasti kybernetickej bezpečnosti v celej EÚ Komisia vyvinula komplexnú platformu s názvom Atlas kybernetickej bezpečnosti.

 

Politické usmernenia

Koncepcia koordinovanej reakcie na závažné kybernetické útoky

Plán rýchlej reakcie na núdzovú situáciu, ktorý vypracovala Komisia, poskytuje plán v prípade rozsiahleho cezhraničného kybernetického incidentu alebo krízy. Stanovujú sa v ňom ciele a spôsoby spolupráce medzi členskými štátmi a inštitúciami EÚ pri reakcii na takéto incidenty a krízy. Vysvetľuje, ako môžu existujúce mechanizmy krízového riadenia plne využívať existujúce kyberneticko-bezpečnostné subjekty na úrovni EÚ.

Spoločná kybernetická jednotka

V nadväznosti na to predsedníčka Komisie Ursula von der Leyenová oznámila návrh spoločnej kybernetickej jednotky pre celú EÚ. Odporúčanie o vytvorení spoločnej kybernetickej jednotky, ktoré Komisia oznámila 23. júna 2021, je dôležitým krokom k dobudovaniu európskeho rámca krízového riadenia kybernetickej bezpečnosti. Ide o konkrétny výsledok stratégie kybernetickej bezpečnosti EÚ a stratégie EÚ pre bezpečnostnú úniu, ktoré prispievajú k bezpečnému digitálnemu hospodárstvu a spoločnosti.

Spoločná kybernetická jednotka bude fungovať ako platforma na zabezpečenie koordinovanej reakcie EÚ na rozsiahle kybernetické incidenty a krízy, ako aj na poskytovanie pomoci pri zotavovaní sa z týchto útokov.

Bezpečné nasadenie 5G v EÚ

Plánuje sa zavedenie sietí 5G v celej EÚ. Ponúkajú obrovské výhody, ale majú aj viac potenciálnych vstupných bodov pre útočníkov kvôli menej centralizovanej povahe ich architektúry, väčšiemu počtu antén a zvýšenej závislosti od softvéru. V súbore nástrojov EÚ pre 5G sa stanovujú opatrenia na posilnenie bezpečnostných požiadaviek na siete 5G, uplatňovanie príslušných obmedzení pre dodávateľov považovaných za vysokorizikových a zabezpečenie diverzifikácie predajcov.

Zabezpečenie volebného procesu

Naše európske demokracie sa stávajú čoraz digitálnejšími: politické kampane sa konajú online a voľby sa uskutočňujú prostredníctvom elektronického hlasovania v mnohých krajinách. 

Komisia vydala odporúčania týkajúce sa kybernetickej bezpečnosti volieb do Európskeho parlamentu ako súčasť širšieho balíka odporúčaní na podporu slobodných a spravodlivých volieb do Európskeho parlamentu. Mesiac pred voľbami do Európskeho parlamentu v roku 2019 Európsky parlament, krajiny EÚ, Komisia a ENISA vykonali živý test svojej pripravenosti.

 

Zručnosti a informovanosť

Zručnosti

Digitálnu bezpečnosť môžeme zabezpečiť len vtedy, ak máme odborníkov so správnymi znalosťami a zručnosťami a v súčasnosti ich nestačí. Preto Komisia prijíma opatrenia na podporu rozvoja zručností v oblasti kybernetickej bezpečnosti.

Komisia pripravila výzvu na vytvorenie koherentného rámca na výučbu zručností v oblasti kybernetickej bezpečnosti v univerzitnom a odbornom vzdelávaní. V súčasnosti na tom pracujú štyri pilotné projekty, ktorými sa pripravuje kompetenčné centrum a sieť v oblasti kybernetickej bezpečnosti zo strany ECSO. Existujú aj opakujúce sa iniciatívy určené priamo pre študentov, ako je každoročná európska výzva v oblasti kybernetickej bezpečnosti.

Zručnosti v oblasti kybernetickej bezpečnosti patria do všeobecného programu Komisie v oblasti digitálnych zručností. Sú tiež súčasťou úsilia o financovanie v rámci programu Horizont 2020, programu Horizont Európa a programu Digitálna Európa. Jedným z príkladov je financovanie „kybernetických rozsahov“, ktoré sú živými simulačnými prostrediami kybernetických hrozieb pre odbornú prípravu.

Povedomie

Ľudský faktor je často slabým prepojením v kybernetickej bezpečnosti: kliknutie na phishingový odkaz môže mať obrovské dôsledky. Komisia preto zvyšuje informovanosť o kybernetickej bezpečnosti a podporuje osvedčené postupy medzi širokou verejnosťou. Napríklad raz ročne organizuje Európsky mesiac kybernetickej bezpečnosti spolu s agentúrou ENISA.

Akadémia zručností EÚ pre kybernetickú bezpečnosť

Akadémia zručností EÚ pre kybernetickú bezpečnosť, ktorá sa začala v rámci Európskeho roka zručností, spojí súkromné a verejné iniciatívy na európskej a vnútroštátnej úrovni s cieľom riešiť rozdiely v pracovnej sile v oblasti kybernetickej bezpečnosti. Iniciatíva sa bude konať online na platforme Komisie pre pracovné miesta a zručnosti a bude obsahovať možnosti financovania, odbornú prípravu a certifikácie z celej EÚ pre tých, ktorí majú záujem o kariéru v oblasti kybernetickej bezpečnosti.

Oznámenie o Akadémii kybernetických zručností EÚ

Informačný prehľad Akadémie kybernetických zručností EÚ

Kybernetická komunita

ENISA – Agentúra EÚ pre kybernetickú bezpečnosť

Agentúra ENISA je agentúra EÚ, ktorá sa zaoberá kybernetickou bezpečnosťou. Poskytuje podporu členským štátom, inštitúciám a podnikom EÚ v kľúčových oblastiach vrátane vykonávania smernice NIS.

ISAC

Centrá pre výmenu a analýzu informácií (ISAC) podporujú spoluprácu medzi komunitou kybernetickej bezpečnosti v rôznych odvetviach hospodárstva. Prioritou Komisie je ďalší rozvoj ISAC na úrovni EÚ aj na vnútroštátnej úrovni. Komisia v spolupráci s agentúrou ENISA podporuje aj zriadenie nových ISAC v odvetviach, na ktoré sa nevzťahuje. „Posilňujúce konzorcium EÚ pre ISAC“, pod dohľadom Komisie, poskytuje právnu, technickú a organizačnú podporu pre ISAC.

SVC

Spoločné výskumné centrum (JRC) Komisie aktívne prispieva k kybernetickej bezpečnosti v EÚ. JRC napríklad vypracovalo taxonómiu kybernetickej bezpečnosti. Tým sa zosúlaďuje terminológia používaná v oblasti kybernetickej bezpečnosti, aby sme mohli mať jasnejší prehľad o spôsobilostiach v oblasti kybernetickej bezpečnosti v EÚ.

JRC tiež nedávno uverejnilo správu s názvom „Kybernetická bezpečnosť – naša digitálna kotva“ s názvom „Kybernetická bezpečnosť – naša digitálna kotva“.

Jednotky CSIRT/CERT

Podľa smernice NIS sú členské štáty EÚ povinné zabezpečiť, aby mali dobre fungujúce tímy reakcie na počítačové bezpečnostné incidenty (CSIRT), známe aj ako tímy reakcie na núdzové počítačové situácie (ďalej len „CERT“). Tieto tímy sa zaoberajú kybernetickými incidentmi a rizikami v praxi. Navzájom spolupracujú na úrovni EÚ a takisto spolupracujú so súkromným sektorom.
Na všetky typy prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb sa musia vzťahovať určené jednotky CSIRT.

Hlavnými úlohami jednotiek CSIRT sú:

• monitorovanie incidentov na vnútroštátnej úrovni;
• poskytovanie včasného varovania, varovaní, oznámení a iných informácií o rizikách a incidentoch príslušným zainteresovaným stranám;
• reagovanie na incidenty;
• poskytovanie dynamickej analýzy rizík a incidentov a situačnej informovanosti;
• účasť v sieti jednotiek CSIRT.

ECSO

Európska organizácia pre kybernetickú bezpečnosť (ECSO) bola vytvorená v roku 2016 s cieľom pôsobiť ako protistrana Komisie v zmluvnom verejno-súkromnom partnerstve zahŕňajúcom program Horizont 2020 v rokoch 2016 až 2020. Väčšina z 250 členov ECSO patrí buď do odvetvia kybernetickej bezpečnosti, alebo do výskumných a akademických inštitúcií v tejto oblasti. V menšej miere sú členmi ECSO aj subjekty verejného sektora a odvetvia na strane dopytu.

Okrem odporúčaní týkajúcich sa programu Horizont 2020 ECSO vykonáva rôzne činnosti zamerané na budovanie komunít a priemyselný rozvoj na európskej úrovni.

Ženy4Cyber

Je dôležité zdôrazniť úlohu žien v komunite kybernetickej bezpečnosti, ktoré sú nedostatočne zastúpené. Preto Komisia zriadila register žien4Cyber v spolupráci s iniciatívou ECSO Women4Cyber. Uľahčuje médiám, organizátorom podujatí a iným ľuďom nájsť mnoho talentovaných žien pracujúcich v oblasti kybernetickej bezpečnosti, aby sa tieto ženy stali viditeľnejšími a prominentnejšími v kybernetickom spoločenstve a vo verejnej diskusii.

 

Kybernetické dialógy

EÚspolupracuje s partnermi na presadzovaní spoločných záujmov v oblasti politiky kybernetickej bezpečnosti. Deviaty kybernetický dialóg medzi EÚ a USA sa uskutočnil v decembri 2023 v Bruseli. EÚ a USA pokročili v spolupráci v oblastiach, ako sú kybernetická diplomacia, krízové riadenie, budovanie kapacít, kybernetická bezpečnosť kritickej infraštruktúry (vrátaneoznamovania incidentov), kybernetická bezpečnosť hardvérových a softvérových produktov (vrátane spoločného akčného plánu pre kybernetické bezpečné produkty)a aspekty kybernetickej bezpečnosti vznikajúcich technológií, ako je umelá inteligencia.

Od roku 2021 EÚ a Ukrajina vedú dva kybernetické dialógy. Agentúra EÚ pre kybernetickú bezpečnosť ENISA v roku 2023 formalizovala pracovnú dohodu s ukrajinskými partnermi s cieľom podporiť budovanie kapacít, výmenu najlepších postupov a situačné povedomie. EÚ tiež nadviazala kybernetické dialógy s Indiou, Japonskom, Kórejskou republikou a Brazíliou. Prvý kybernetický dialóg medzi EÚ a Spojeným kráľovstvom sa uskutočnil v decembri 2023 v Bruseli.

Okybernetickej bezpečnosti sa diskutuje aj v kontexte dvojstranných digitálnych partnerstiev a digitálnych dialógov, ako aj digitálnej aliancie EÚ – LAK, regulačného dialógu medzi EÚ a západným Balkánom, štruktúrovaného dialógu o odolnosti medzi EÚ a NATO a štruktúrovaného dialógu medzi EÚ a NATO o kybernetickej bezpečnosti a obrane. Pracovná skupina EÚ – NATO pre odolnosť kritickej infraštruktúry uverejnila v roku 2023 správu, v ktorej zmapovala dôležité prierezové odvetvia.

 

Iné oblasti kybernetickej politiky

Počítačová kriminalita

Bežní zločinci využívajú kybernetické útoky, ktoré ohrozujú Európanov. Oddelenie Komisie pre migráciu a vnútorné záležitosti monitoruje a aktualizuje právne predpisy EÚ o počítačovej kriminalite a podporuje kapacity presadzovania práva. Komisia spolupracuje aj s Európskym centrom boja proti počítačovej kriminalite v Europole.

Kybernetická diplomacia

EÚ sa snaží chrániť sa pred kybernetickými hrozbami mimo svojich hraníc. V rámci toho Komisia spolupracuje s Európskou službou pre vonkajšiu činnosť a členskými štátmi na vykonávaní spoločnej diplomatickej reakcie na škodlivé kybernetické činnosti (ďalej len „súbor nástrojov kybernetickej diplomacie“). Táto reakcia zahŕňa diplomatickú spoluprácu a dialóg, preventívne opatrenia proti kybernetickým útokom a sankcie voči osobám zapojeným do kybernetických útokov ohrozujúcich EÚ.

Komisia pomáha pri rozhodovaní o reakcii na vonkajšie kybernetické hrozby vždy, keď je to potrebné. Priamo financuje aj prebiehajúcu iniciatívu EÚ na podporu kybernetickej diplomacie.

Kybernetická obrana

Komisia a vysoký predstaviteľ 10. novembra 2022 predložili spoločné oznámenie o politike EÚ v oblasti kybernetickej obrany s cieľom riešiť zhoršujúce sa bezpečnostné prostredie v nadväznosti na agresiu Ruska voči Ukrajine a posilniť schopnosť EÚ chrániť svojich občanov a infraštruktúru.  

Politika EÚ v oblasti kybernetickej obrany je postavená na štyroch pilieroch, ktoré pokrývajú širokú škálu iniciatív, ktoré pomôžu EÚ a členským štátom lepšie odhaľovať kybernetické útoky, odrádzať od nich a brániť sa pred nimi:

1. Konať spoločne za silnejšiu kybernetickú obranu EÚ

2. Zabezpečenie obranného ekosystému

3. Investície do spôsobilostí v oblasti kybernetickej obrany

4. Partner pri riešení spoločných výziev

Nová politika si vyžaduje investície do plne spektrálnych spôsobilostí voblasti kybernetickej obrany a posilní koordináciu a spoluprácu medzi vojenskými a civilnými kybernetickými komunitami EÚ. Posilní spoluprácu so súkromným sektorom a efektívne riadenie kybernetických kríz v rámci Únie. Nová politika tiež pomôže znížiť našu strategickú závislosť od kritických kybernetických technológií a posilniť európsku obrannú technologickú priemyselnú základňu (EDTIB). Bude stimulovať odbornú prípravu, prilákať a udržať si kybernetické talenty.

EÚ spolupracuje v oblasti obrany v kybernetickom priestore prostredníctvom činností Európskej komisie, Európskej služby pre vonkajšiu činnosť (ESVČ), Európskej obrannej agentúry, ako aj agentúry ENISA a Agentúry Európskej únie pre spoluprácu v oblasti presadzovania práva (Europol).

Budovanie kybernetických kapacít v tretích krajinách

EÚ spolupracuje s inými krajinami s cieľom pomôcť vybudovať ich schopnosť brániť sa pred kybernetickými hrozbami. Komisia podporuje rôzne programy kybernetickej bezpečnosti na západnom Balkáne a v šiestich krajinách Východného partnerstva v bezprostrednom susedstve EÚ, ako aj v iných krajinách na celom svete prostredníctvom svojho oddelenia pre medzinárodnú spoluprácu a rozvoj.