De första reglerna på EU-nivå för att förbättra it-säkerheten: överenskommelse med Europaparlamentet

Den 7 december 2015 nådde det luxemburgska rådsordförandeskapet en informell överenskommelse med Europaparlamentet om gemensamma regler för att stärka nät- och informationssäkerheten i hela EU.

I det nya direktivet fastställs skyldigheter gällande it-säkerhet för operatörer av grundläggande tjänster och leverantörer av digitala tjänster. Dessa operatörer kommer att vara skyldiga att vidta åtgärder för att hantera it-risker och rapportera allvarliga säkerhetsincidenter, men de två kategorierna kommer att vara föremål för olika regelsystem.

Xavier Bettel, Luxemburgs premiärminister och minister för kommunikation och medier tillika rådets ordförande, sade: "Detta är ett viktigt steg mot en mer samordnad it-säkerhetsstrategi i Europa. Alla aktörer, offentliga såväl som privata, kommer att behöva öka sina ansträngningar, särskilt genom att öka samarbetet mellan medlemsstater och höja säkerhetskraven för infrastrukturoperatörer och digitala tjänster".

Striktare regler för operatörer av grundläggande tjänster

I direktivet anges ett antal kritiska sektorer inom vilka operatörer av grundläggande tjänster är verksamma, såsom energi, transport, finans och hälsa. Inom dessa sektorer ska medlemsstaterna identifiera de operatörer som tillhandahåller grundläggande tjänster, utifrån tydliga kriterier som fastställs i direktivet. Kraven och tillsynen kommer att vara striktare för dessa operatörer än för leverantörer av digitala tjänster. Detta avspeglar den risk som en störning i deras tjänster kan innebära för samhället och ekonomin.

Mer enhetliga regler för leverantörer av digitala tjänster

Följande digitala tjänster kommer att omfattas av direktivet: e-handelsplattformar, sökmotorer och molntjänster.

Leverantörer av digitala tjänster är normalt verksamma i flera medlemsstater. För att säkerställa att de behandlas likvärdigt i hela EU ska reglerna gälla alla operatörer som tillhandahåller sådana tjänster, med undantag för små företag.

Ramverk på nationell nivå och på EU-nivå för att bemöta it-hot

Varje EU-land kommer att behöva utse en eller flera nationella myndigheter och upprätta en strategi för it-frågor

Medlemsstaterna kommer även att öka sitt samarbete när det gäller it-säkerhet. En samarbetsgrupp kommer att skapas på EU-nivå för att stödja strategiskt samarbete och utbyte av bästa praxis mellan medlemsstater. Ett nätverk av nationella incidenthanteringsgrupper för datorsäkerhet kommer att inrättas för att främja operativt samarbete. Både gruppen och nätverket förväntas bidra till att öka tilliten och förtroendet mellan medlemsstaterna.

Tidsfrister

Efter att direktivet har trätt i kraft kommer medlemsstaterna att ha 21 månader på sig att anta nödvändiga nationella bestämmelser. Efter denna period kommer de att ha ytterligare 6 månader på sig att identifiera sina operatörer av grundläggande tjänster.

Hur blir detta lag?

För rådets del måste överenskommelsen fortfarande bekräftas av EU:s medlemsländer. Ordförandeskapet kommer att lägga fram den överenskomna texten för godkännande av medlemsstaternas ambassadörer vid Corepers möte den 18 december. För att avsluta förfarandet krävs formellt antagande av både rådet och parlamentet.

• Förbättrad it-säkerhet i hela EU