Cybersäkerhetspolitik

Europeiska kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik lade fram en ny EU-strategi för cybersäkerhet i slutet av 2020.

Strategin omfattar säkerhet för viktiga tjänster som sjukhus, energinät och järnvägar. Det täcker också säkerheten för det ständigt ökande antalet anslutna föremål i våra hem, kontor och fabriker.

Strategin fokuserar på att bygga upp kollektiv kapacitet för att reagera på större cyberattacker och arbeta med partner runt om i världen för att säkerställa internationell säkerhet och stabilitet i cyberrymden.

Direktivet om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen (NIS2-direktivet)

Cybersäkerhetshot är nästan alltid gränsöverskridande, och en cyberattack mot kritiska anläggningar i ett land kan påverka EU som helhet. EU-länderna måste ha starka statliga organ som övervakar cybersäkerheten i sitt land och som samarbetar med sina motsvarigheter i andra medlemsstater genom att utbyta information. Detta är särskilt viktigt för sektorer som är avgörande för våra samhällen.

Det första direktivet om säkerhet i nätverks- och informationssystem (NIS-direktivet)säkerställer inrättandet av och samarbetet mellan sådana statliga organ. Detta direktiv sågs över i slutet av 2020, vilket ledde till förslaget till och antagandet av NIS 2-direktivet. Medlemsstaterna hade fram till den 18 oktober 2024 på sig att fullt ut införliva och genomföra NIS2.

Enisa – EU:s cybersäkerhetsbyrå

Enisa är Europeiska unionens cybersäkerhetsbyrå, som inrättades 2005. Mandatet reviderades 2019 och sedan dess har byrån ett permanent mandat. 

Enisas huvudsakliga mål och uppgifter fastställs i den grundläggande akten, nämligen cybersäkerhetsakten. Enisa ger stöd till medlemsstaterna, EU:s institutioner och företag på viktiga områden, bland annat genomförandet av it-säkerhetsdirektivet, cyberresiliensakten och cybersolidaritetsakten. Byrån stöder också processen för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT-processer, i enlighet med avdelning III i CSA. 

Cybersäkerhetsakten

Cybersäkerhetsakten  antogs 2019 och stärkte rollen för Europeiska unionens cybersäkerhetsbyrå (Enisa). Det gav byrån ett permanent mandat och gav den befogenhet att bidra till att intensifiera både det operativa samarbetet och krishanteringen i hela EU. Den har också mer ekonomiska och mänskliga resurser än tidigare.

Genom cybersäkerhetsakten inrättades också den europeiska ramen för cybersäkerhetscertifiering, som innehåller gemensamma cybersäkerhetskrav och utvärderingskriterier för certifiering av IKT-produkter, IKT-tjänster och IKT-processer. Mer information finns på Enisas särskilda webbplats.

Genom en riktad ändring av cybersäkerhetsakten, som antogs den 15 januari 2025, utvidgades tillämpningsområdet för certifiering till att omfatta hanterade säkerhetstjänster.

Den 11 april 2025 inledde kommissionen ett offentligt samråd för att få in synpunkter på utvärderingen och översynen av cybersäkerhetsakten.
 

Cyberresiliensakten

Cybersolidaritetsakten

Cybersolidaritetsakten trädde i kraft den 4 februari 2025 med målet att förbättra beredskapen, upptäckten och insatserna vid cybersäkerhetsincidenter i hela EU.

Cyberplanen

Den 24 februari 2025 offentliggjordes ett utkast till rådets rekommendation om en EU-plan för hantering av cybersäkerhetskriser (cyberplanen). Syftet med denna rekommendation är att på ett tydligt, enkelt och tillgängligt sätt presentera EU:s ram för hantering av cyberkriser. Den föreslagna planen uppdaterar den övergripande EU-ramen för cybersäkerhetskrishantering och kartlägger relevanta EU-aktörer och beskriver deras roller under hela krisens livscykel. Detta inbegriper beredskap och delad situationsmedvetenhet för att förutse cyberincidenter och den detekteringskapacitet som krävs för att identifiera dem, inbegripet de verktyg för insatser och återhämtning som behövs för att begränsa, avskräcka från och begränsa dessa incidenter.

Återhämtningsplan

Cybersäkerhet är en av kommissionens prioriteringar i insatserna mot coronakrisen, eftersom cyberattackerna ökade under nedstängningen. Återhämtningsplanen för Europa innehåller ytterligare investeringar i cybersäkerhet.

Stöd till forskning och innovation: Horisont 2020 och det avtalsbaserade offentlig-privata partnerskapet. Horisont Europa

Forskning om digital säkerhet är avgörande för att bygga innovativa lösningar som kan skydda oss mot de senaste och mest avancerade cyberhoten. Därför är cybersäkerhet en viktig del av Horisont 2020 och dess efterföljare Horisont Europa. 

I Horisont Europa ingår cybersäkerhet för perioden 2021–2027 i klustret ”Civil säkerhet för samhället”. 

Som en del av Horisont 2020 medfinansierade kommissionen forskning och innovation på områden som cybersäkerhetsberedskap genom cyberspektrum och cybersimulering, cybersäkerhet för små och medelstora företag, cybersäkerhet inom el- och energisystemet samt cybersäkerhet och dataskydd inom kritiska sektorer. Dessa ämnen ingår i klustret ”Säkra samhällen – Att skydda Europas och dess medborgares frihet och säkerhet”.

År 2016 inrättades det avtalsbaserade offentlig-privata partnerskapet om cybersäkerhet inom Horisont 2020 mellan Europeiska kommissionen och Europeiska cybersäkerhetsorganisationen (Ecso), en sammanslutning bestående av medlemmar från cyberindustrin, den akademiska världen, offentliga förvaltningar med flera.

Stöd till cyberkapacitet och utplacering

Våra fysiska och digitala infrastrukturer är mycket nära sammanflätade. Därför har kommissionen också investerat i cybersäkerhet som en del av sitt finansieringsprogram för infrastrukturinvesteringar, Fonden för ett sammanlänkat Europa (FSE), för perioden 2014–2020.

FSE-stödet har gått till enheter för hantering av it-säkerhetsincidenter, leverantörer av samhällsviktiga tjänster, leverantörer av digitala tjänster, gemensamma kontaktpunkter och nationella behöriga myndigheter. Detta stärker cybersäkerhetskapaciteten och det gränsöverskridande samarbetet inom EU och stöder genomförandet av EU:s strategi för cybersäkerhet.

Programmet för ett digitalt Europa för perioden 2021–2027 är ett ambitiöst program som planerar att investera 1,9 miljarder euro i cybersäkerhetskapacitet och ett brett införande av cybersäkerhetsinfrastruktur och cybersäkerhetsverktyg i hela EU för offentliga förvaltningar, företag och privatpersoner.

Cybersäkerhet är också en del av InvestEU, som är ett allmänt program som sammanför många finansieringsinstrument och använder offentliga investeringar för att säkra ytterligare investeringar från den privata sektorn. Dess facilitet för strategiska investeringar kommer att stödja viktiga värdekedjor inom cybersäkerhet. Det är en viktig del av återhämtningspaketet som svar på coronakrisen.

Cybersäkerhetsatlas

Det europeiska kompetenscentrumet för cybersäkerhet inom näringsliv, teknik och forskning kommer att samla expertis och anpassa den europeiska utvecklingen och spridningen av cybersäkerhetsteknik. Den kommer att samarbeta med näringslivet, den akademiska världen och andra för att bygga upp en gemensam agenda för investeringar i cybersäkerhet och besluta om finansieringsprioriteringar för forskning, utveckling och införande av cybersäkerhetslösningar genom programmen Horisont Europa och Ett digitalt Europa.

För närvarande pågår fyra pilotprojekt för att lägga grunden för kompetenscentrumet och nätverket. De omfattar mer än 170 partner.

För att få en bättre överblick över expertis och kapacitet på cybersäkerhetsområdet i hela EU har kommissionen utvecklat en omfattande plattform som kallas cybersäkerhetsatlasen.

Säker 5G-utbyggnad i EU

5G-nät utgör en viktig digital infrastruktur, eftersom de utgör ryggraden för många kritiska tjänster. Det är mycket viktigt att säkerställa cybersäkerheten och motståndskraften hos denna kritiska infrastruktur. På grundval av en samordnad riskbedömning utvecklade medlemsstaterna i samarbetsgruppen för nät- och informationssäkerhet, tillsammans med kommissionen och Enisa, EU:s verktygslåda för 5G-cybersäkerhet, som innehåller åtgärder för att stärka säkerhetskraven för 5G-nät, tillämpa relevanta begränsningar för högriskleverantörer och säkerställa diversifiering av leverantörer.

Läget i medlemsstaternas genomförande av 5G-verktygslådan beskrivs i den andra lägesrapporten från juni 2023 från samarbetsgruppen för nät- och informationssäkerhet. Kommissionen gjorde också sin egen bedömning av 5G-leverantörer, som finns tillgänglig i meddelandet från juni 2023. 

Säkra valprocessen

Våra europeiska demokratier har blivit alltmer digitala: Politiska kampanjer äger rum på nätet och valen i sig äger rum genom elektronisk röstning i många länder. 

Kommissionen har utfärdat rekommendationer för cybersäkerheten vid val till Europaparlamentet, som en del av ett bredare paket med rekommendationer för att stödja fria och rättvisa val till Europaparlamentet. En månad före valet till Europaparlamentet 2019 genomförde Europaparlamentet, EU-länderna, kommissionen och Enisa ett direktsänt test av sin beredskap.

Cybersäkerhet för sjukhus och vårdgivare

Digitaliseringen revolutionerar hälso- och sjukvården och möjliggör bättre tjänster för patienterna. Cyberattacker kan dock störa dessa viktiga tjänster. Den 15 januari 2025 lade kommissionen fram en europeisk handlingsplan för cybersäkerhet för sjukhus och vårdgivare, som ett av de prioriterade initiativ som anges i de politiska riktlinjerna för 2024/29-kommissionen.

I handlingsplanen föreslås bland annat att Enisa, EU:s cybersäkerhetsbyrå, ska inrätta ett alleuropeiskt stödcentrum för cybersäkerhet för sjukhus och vårdgivare och ge dem skräddarsydd vägledning, verktyg, tjänster och utbildning. Initiativet bygger på den bredare EU-ramen för att stärka cybersäkerheten i kritisk infrastruktur.

Den 7 april 2025 inledde kommissionen ett riktat samråd om handlingsplanen för cybersäkerhet för sjukhus och vårdgivare och uppmanade berörda parter att dela med sig av sina synpunkter. Resultaten av samrådet kommer att beaktas för ytterligare rekommendationer som kommissionen avser att lägga fram före årets slut.

Kompetens för arbetskraften

Vi kan bara garantera digital säkerhet om vi har experter med rätt kunskaper och färdigheter, och det finns för närvarande inte tillräckligt. Därför vidtar kommissionen åtgärder för att stimulera utvecklingen av cybersäkerhetskompetens och öka arbetskraften i Europeiska unionen.

Kompetens inom cybersäkerhet, som omfattas av kommissionens allmänna agenda för digitala färdigheter, kommer även fortsättningsvis att stå högt upp på kommissionens politiska agenda, och kompetensunionen planeras i kommissionens politiska riktlinjer för 2024–2029. Projekten kommer även fortsättningsvis att finansieras genom olika program, särskilt programmet för ett digitalt Europa och Erasmus+, för att överbrygga arbetskraftsklyftan i Europeiska unionen. Kommissionen kommer att fortsätta att använda befintliga politiska instrument, såsom policyprogrammet för det digitala decenniet 2030 och möjligheten att inrätta flerlandsprojekt för cybersäkerhetskompetens, i enlighet med kommissionens meddelande om att överbrygga kompetensklyftan inom cybersäkerhet för att stärka EU:s konkurrenskraft, tillväxt och resiliens (akademin för cybersäkerhetskompetens).

Akademin för cybersäkerhetsfärdigheter

Akademin för cybersäkerhetskompetens, som lanserades som en del av Europaåret för kompetens 2023, samlar privata och offentliga initiativ på europeisk och nationell nivå för att ta itu med den växande klyftan i cybersäkerhetspersonalen. Akademin, som finns på nätet på kommissionens plattform för digitala arbetstillfällen och färdigheter, får stöd från alla berörda parter, särskilt industrin genom en mekanism med utfästelser, och den akademiska världen, med ett flaggskeppsinitiativ som bygger på akademins framgång: nätverket mellan industrin och den akademiska världen.

Meddelande om EU:s akademi för cyberkompetens

Faktablad om EU:s akademi för cyberkompetens

Medvetenhet

Den mänskliga faktorn är ofta den svaga länken inom cybersäkerhet: Någon som klickar på en phishing-länk kan få enorma konsekvenser. Därför ökar kommissionen medvetenheten om cybersäkerhet och främjar bästa praxis bland allmänheten. En gång om året anordnar den till exempel den europeiska cybersäkerhetsmånaden tillsammans med Enisa.

Enisa – EU:s cybersäkerhetsbyrå

Enisa är EU:s byrå för cybersäkerhet. Den ger stöd till medlemsstaterna, EU:s institutioner och företag på viktiga områden, bland annat genomförandet av it-säkerhetsdirektivet.

ISAC

Centrum för informationsutbyte och analys (ISAC) främjar samarbete mellan cybersäkerhetssamfundet inom olika sektorer av ekonomin. Att vidareutveckla ISAC på både EU-nivå och nationell nivå är en prioritering för kommissionen. I samarbete med Enisa främjar kommissionen också inrättandet av nya Isac inom sektorer som inte omfattas. Konsortiet ”bemyndigande EU-ISAC”, som övervakas av kommissionen, tillhandahåller rättsligt, tekniskt och organisatoriskt stöd till ISAC.

JRC

Kommissionens gemensamma forskningscentrum (JRC) bidrar aktivt till cybersäkerheten i EU. JRC har till exempel tagit fram en cybersäkerhetstaxonomi. Detta anpassar den terminologi som används inom cybersäkerhet så att vi kan få en tydligare översikt över cybersäkerhetskapaciteten i EU.

JRC offentliggjorde också nyligen en rapport som ger insikter i EU:s nuvarande cybersäkerhetslandskap och dess historia, Cybersecurity– our digital anchor.

CSIRT-enheter/CERT-enheter

Enligt NIS 2-direktivet är EU:s medlemsstater skyldiga att se till att de har välfungerande enheter för hantering av it-säkerhetsincidenter (CSIRT-enheter), även kallade incidenthanteringsorganisationer. Dessa team hanterar cybersäkerhetsincidenter och cybersäkerhetsrisker i praktiken. De samarbetar med varandra på EU-nivå och även med den privata sektorn.

Alla typer av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster måste omfattas av utsedda CSIRT-enheter.

CSIRT-enheternas huvuduppgifter är att

• övervaka incidenter på nationell nivå,
• Tillhandahållande av tidig varning, varningar, meddelanden och annan information om risker och incidenter till berörda parter.
• reagera på incidenter,
• Tillhandahålla dynamisk risk- och incidentanalys och situationsmedvetenhet.
• Deltagande i CSIRT-nätverket.

ECSO

Europeiska cybersäkerhetsorganisationen (Ecso) inrättades 2016 för att fungera som kommissionens motpart i ett avtalsbaserat offentlig-privat partnerskap som omfattar Horisont 2020 under åren 2016–2020. Majoriteten av ECSO:s 250 medlemmar tillhör antingen cybersäkerhetsindustrin eller forskningsinstitutioner och akademiska institutioner på området. I mindre utsträckning består ECSO:s medlemmar också av aktörer inom den offentliga sektorn och efterfrågesektorer.

Förutom att ge rekommendationer om Horisont 2020 bedriver ECSO olika verksamheter som syftar till samhällsbyggande och industriell utveckling på europeisk nivå.

Kvinnor4Cyber

Det är viktigt att lyfta fram kvinnornas roll i cybersäkerhetsgemenskapen, som är underrepresenterade. Därför har kommissionen inrättat registret Women4Cyber i samarbete med ECSO:s initiativ Women4Cyber. Det gör det lättare för medier, evenemangsarrangörer och andra att hitta de många begåvade kvinnor som arbetar inom cybersäkerhet, så att dessa kvinnor blir mer synliga och framträdande i cybersamhället och den offentliga debatten.

EU samarbetar med partner för att främja gemensamma intressen i cybersäkerhetspolitiken. Den nionde cyberdialogen mellan EU och USA ägde rum i Bryssel i december 2023. EU och USA har ett avancerat samarbete på områden som cyberdiplomati, krishantering, kapacitetsuppbyggnad, cybersäkerhet för kritisk infrastruktur (inbegripet incidentrapportering),cybersäkerhet för hårdvaru- och programvaruprodukter (inbegripet den gemensamma handlingsplanen för cybersäkra produkter)och cybersäkerhetsaspekter av ny teknik såsom AI. 

Sedan 2021 har EU och Ukraina hållit tre cyberdialoger. År 2023 formaliserade EU:s cybersäkerhetsbyrå Enisa ett samarbetsavtal med ukrainska motparter för att främja kapacitetsuppbyggnad, utbyte av bästa praxis och situationsmedvetenhet. EU har också inlett cyberdialoger med Indien, Japan, Sydkorea och Brasilien. Den första cyberdialogen mellan EU och Förenade kungariket ägde rum i Bryssel i december 2023, den andra ett år senare, den 6 december 2024.

Cybersäkerhet diskuteras också inom ramen för bilaterala digitala partnerskap och digitala dialoger samt den digitala alliansen mellan EU och Latinamerika/Västra Balkan, lagstiftningsdialogen mellan EU och Nato, den strukturerade dialogen om resiliens och den strukturerade dialogen mellan EU och Nato om cybersäkerhet och försvar. Under 2023 offentliggjorde EU:s och Natos arbetsgrupp för kritisk infrastrukturs motståndskraft en rapport som kartlade viktiga övergripande sektorer. 

Den 11 november 2024 höll EU och Japan sin sjätte cyberdialog i Tokyo, där de utbytte information om hotbilden och insatserna mot skadlig cyberverksamhet, tillhandahöll uppdateringar om den senaste politiska och rättsliga utvecklingen på cybersäkerhetsområdet samt på områdena ny teknik, cyberkrishantering och cyberförsvar.

Den 20 mars 2025 höll EU och Indien sin åttonde cyberdialog i New Delhi, där de diskuterade cyberhotlandskapet och gav uppdateringar om den senaste utvecklingen inom cybersäkerhetspolitik och cybersäkerhetslagstiftning. De tog också upp säkerhet i leveranskedjan, produktsäkerhet och ny teknik.

It-brottslighet

Vanliga brottslingar utnyttjar cyberattacker som hotar européerna. Kommissionens avdelning för migration och inrikes frågor övervakar och uppdaterar EU:s lagstiftning om it-brottslighet och stöder brottsbekämpningskapaciteten. Kommissionen samarbetar också med Europeiska it-brottscentrumet vid Europol.

Cyberdiplomati

EU anstränger sig för att skydda sig mot cyberhot utanför sina gränser. Som en del av detta arbetar kommissionen tillsammans med Europeiska utrikestjänsten och medlemsstaterna med genomförandet av en gemensam diplomatisk respons på skadlig cyberverksamhet (verktygslådan för cyberdiplomati). Detta svar omfattar diplomatiskt samarbete och dialog, förebyggande åtgärder mot cyberattacker och sanktioner mot dem som är inblandade i cyberattacker som hotar EU.

Kommissionen bistår vid beslutsfattandet när det gäller att reagera på externa cyberhot där det behövs. Det finansierar också direkt det pågående EU-initiativet till stöd för cyberdiplomati.

Cyberförsvar

Den 10 november 2022 lade kommissionen och den höga representanten fram ett gemensamt meddelande om EU:s politik för it-försvar för att ta itu med den försämrade säkerhetsmiljön till följd av Rysslands aggression mot Ukraina och stärka EU:s kapacitet att skydda sina medborgare och sin infrastruktur.  

EU:s politik för it-försvar är uppbyggd kring fyra pelare som omfattar ett brett spektrum av initiativ som kommer att hjälpa EU och medlemsstaterna att bättre kunna upptäcka, avskräcka och försvara sig mot it-attacker:

1. Agera tillsammans för ett starkare cyberförsvar i EU

2. Säkra försvarsekosystemet

3. Investera i cyberförsvarskapacitet

4. Partnerskap för att ta itu med gemensamma utmaningar

Den nya politiken kräver investeringar i heltäckande it-försvarskapacitet och kommer att stärka samordningen och samarbetet mellan EU:s militära och civila it-samhällen. Det kommer att stärka samarbetet med den privata sektorn och effektivisera hanteringen av cyberkriser inom unionen. Den nya politiken kommer också att bidra till att minska vårt strategiska beroende av kritisk cyberteknik och stärka den europeiska försvarstekniska och försvarsindustriella basen. Det kommer att stimulera utbildning, locka till sig och behålla cybertalanger.

EU samarbetar om försvar i cyberrymden genom Europeiska kommissionen, Europeiska utrikestjänsten,Europeiska försvarsbyrån samt Enisa och Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol).

Cyberkapacitetsuppbyggnad i tredjeländer

EU samarbetar med andra länder för att hjälpa dem att bygga upp sin kapacitet att försvara sig mot cybersäkerhetshot. Kommissionen stöder olika cybersäkerhetsprogram i utvidgningsländerna och i andra länder över hela världen genom sin avdelning för internationellt samarbete och utveckling.