Bezpieczeństwo cybernetyczne: jest porozumienie z Parlamentem

7 grudnia 2015 r. prezydencja luksemburska osiągnęła nieformalne porozumienie z Parlamentem Europejskim co do ogólnounijnych przepisów zwiększających bezpieczeństwo sieci i informacji w UE.

Uzgodniona dyrektywa określi, jakie obowiązki w dziedzinie bezpieczeństwa cybernetycznego będą mieć dostawcy usług ważnych społecznie oraz dostawcy usług cyfrowych. Obie grupy dostawców będą musiały stosować odpowiednią kontrolę ryzyka cybernetycznego oraz zgłaszać poważne incydenty, ale rozwiązania szczegółowe będą dla każdej grupy inne.

Luksemburski premier, a zarazem minister komunikacji i mediów Xavier Bettel, który przewodniczył posiedzeniu, powiedział: „To ważny krok ku lepszej koordynacji bezpieczeństwa cybernetycznego w całej Europie. Wszyscy – sektor publiczny i prywatny – będą musieli się zmobilizować. Państwa członkowskie będą musiały zacieśnić współpracę i zaostrzyć wymogi bezpiecznościowe względem operatorów infrastruktury i dostawców usług cyfrowych”.

Surowiej w infrastrukturze krytycznej

Dyrektywa wskazuje sektory krytyczne, w których działają dostawcy usług ważnych społecznie: energetyka, transport, usługi finansowe i służba zdrowia. Podaje też państwom członkowskim jednoznaczne kryteria, jak ustalać, kto jest takim dostawcą. Dostawcy ci będą podlegać rygorystyczniejszym wymogom i surowszemu nadzorowi niż dostawcy usług cyfrowych. Większe jest bowiem zagrożenie, jakie dla społeczeństwa i gospodarki niosłoby przerwanie ich usług.

Jednoliciej w usługach cyfrowych

Dyrektywa obejmie m.in. następujące usługi cyfrowe: sklepy internetowe, wyszukiwarki oraz chmury obliczeniowe.

Ich dostawcy działają często w wielu państwach członkowskich. Teraz będą jednolicie traktowani w całej UE, gdyż nowe przepisy obejmą ich wszystkich z wyjątkiem małych przedsiębiorców.

Nowe struktury krajowe i unijne

Państwa UE będą musiały wyznaczyć własne organy do ochrony bezpieczeństwa cybernetycznego i określić odnośną strategię.

Będą też musiały zacieśnić wzajemną współpracę. Na szczeblu UE powstanie odpowiednia grupa, która wesprze współpracę strategiczną i wymianę sprawdzonych rozwiązań między państwami członkowskimi. Współpracę operacyjną będzie propagować nowa struktura: sieć „zespołów reagowania na incydenty związane z bezpieczeństwem komputerowym” (CSIRT). Grupa i sieć mają ugruntować zaufanie między państwami członkowskimi.

Terminy

Po tym, jak dyrektywa wejdzie w życie, państwa członkowskie będą mieć 21 miesięcy na uchwalenie przepisów krajowych. Następnie będą musiały w terminie 6 miesięcy zidentyfikować dostawców usług ważnych społecznie.

Jaka będzie droga legislacyjna?

Ze strony Rady porozumienie muszą jeszcze potwierdzić państwa członkowskie. Dokonają tego ich ambasadorowie w Komitecie Stałych Przedstawicieli, którym prezydencja przedstawi uzgodniony tekst 18 grudnia. Procedurę zakończy formalne przyjęcie aktu przez Radę i Parlament.

• Poprawić bezpieczeństwo cybernetyczne w UE