Comisia Europeană a propus un nou pachet privind securitatea cibernetică pentru a consolida și mai mult reziliența și capacitățile UE în materie de securitate cibernetică în fața acestor amenințări tot mai mari.
Pachetul include o propunere de revizuire a Regulamentului privind securitatea cibernetică, care consolidează securitatea lanțurilor de aprovizionare ale UE în domeniul tehnologiilor informației și comunicațiilor (TIC). Aceasta asigură faptul că produsele care ajung la cetățenii UE sunt sigure din punct de vedere cibernetic încă din faza de proiectare, printr-un proces de certificare mai simplu. De asemenea, facilitează respectarea normelor existente ale UE în materie de securitate cibernetică și consolidează sprijinul acordat de Agenția UE pentru Securitate Cibernetică (ENISA) statelor membre și UE în gestionarea amenințărilor la adresa securității cibernetice.
Consolidarea securității lanțurilor de aprovizionare TIC în UE
Noua Lege privind securitatea cibernetică urmărește să reducă riscurile din lanțul de aprovizionare TIC al UE generate de furnizorii din țări terțe care se confruntă cu preocupări în materie de securitate cibernetică. Acesta stabilește un cadru fiabil de securitate a lanțului de aprovizionare TIC, bazat pe o abordare armonizată, proporțională și bazată pe riscuri. Acest lucru va permite UE și statelor membre să identifice și să atenueze în comun riscurile din cele 18 sectoare critice ale UE, luând în considerare, de asemenea, impactul economic și oferta de pe piață.
Incidentele recente de securitate cibernetică au evidențiat riscurile majore pe care le prezintă vulnerabilitățile lanțurilor de aprovizionare TIC, care sunt esențiale pentru funcționarea serviciilor și a infrastructurii critice. În peisajul geopolitic actual, securitatea lanțului de aprovizionare nu se mai referă doar la securitatea tehnică a produselor sau a serviciilor, ci și la riscurile legate de un furnizor, în special dependențele și ingerințele externe.
Regulamentul privind securitatea cibernetică va permite reducerea obligatorie a riscurilor rețelelor europene de telecomunicații mobile de la furnizorii din țări terțe cu grad ridicat de risc, pe baza activității deja desfășurate în cadrul setului de instrumente pentru securitatea 5G.
Simplificarea și consolidarea cadrului european de certificare a securității cibernetice
Regulamentul revizuit privind securitatea cibernetică va asigura faptul că produsele și serviciile care ajung la consumatorii din UE sunt testate din punctul de vedere al securității într-un mod mai eficient. Acest lucru se va realiza prin intermediul unui cadru european reînnoit de certificare a securității cibernetice (ECCF). ECCF va aduce mai multă claritate și proceduri mai simple, permițând dezvoltarea sistemelor de certificare în termen de 12 luni în mod implicit. De asemenea, va introduce o guvernanță mai flexibilă și mai transparentă pentru a implica mai bine părțile interesate prin informarea și consultarea publicului.
Sistemele de certificare, gestionate de ENISA, vor deveni un instrument practic și voluntar pentru întreprinderi. Acestea vor permite întreprinderilor să demonstreze conformitatea cu legislația UE, reducând sarcina și costurile. Dincolo de produsele, serviciile, procesele și serviciile de securitate gestionate în domeniul TIC, întreprinderile și organizațiile vor putea să își certifice poziția cibernetică pentru a răspunde nevoilor pieței. În cele din urmă, ECCF reînnoit va fi un avantaj competitiv pentru întreprinderile din UE. Pentru cetățenii, întreprinderile și autoritățile publice din UE, aceasta va asigura un nivel ridicat de securitate și încredere în lanțurile complexe de aprovizionare TIC.
Facilitarea respectării normelor de securitate cibernetică
Pachetul introduce măsuri de simplificare a respectării normelor UE în materie de securitate cibernetică și a cerințelor de gestionare a riscurilor pentru întreprinderile care își desfășoară activitatea în UE, completând punctul unic de intrare pentru raportarea incidentelor propus în Omnibusul digital. Modificările specifice aduse Directivei NIS2 vizează sporirea clarității juridice. Acestea vor facilita respectarea normelor de către 28 700 de întreprinderi, inclusiv 6 200 de microîntreprinderi și întreprinderi mici. Acestea vor introduce, de asemenea, o nouă categorie de întreprinderi mici cu capitalizare medie pentru a reduce costurile de asigurare a conformității pentru 22 500 de întreprinderi. Modificările vor simplifica normele jurisdicționale, vor raționaliza colectarea de date privind atacurile de tip ransomware și vor facilita supravegherea entităților transfrontaliere cu rol de coordonare consolidat al ENISA.
Capacitarea ENISA pentru a spori reziliența Europei în materie de securitate cibernetică
De la adoptarea primului act legislativ privind securitatea cibernetică în 2019, ENISA a devenit o piatră de temelie a ecosistemului de securitate cibernetică al UE. Regulamentul revizuit privind securitatea cibernetică prezentat astăzi permite ENISA să ajute UE și statele sale membre să înțeleagă amenințările comune. De asemenea, le permite să se pregătească și să răspundă la incidentele cibernetice.
Agenția va sprijini în continuare întreprinderile și părțile interesate care își desfășoară activitatea în UE prin emiterea de alerte timpurii cu privire la amenințările și incidentele cibernetice. În cooperare cu Europol și cu echipele de intervenție în caz de incidente de securitate informatică, aceasta va sprijini întreprinderile să răspundă atacurilor de tip ransomware și să se redreseze în urma acestora. ENISA va elabora, de asemenea, o abordare la nivelul Uniunii pentru a oferi părților interesate servicii mai bune de gestionare a vulnerabilităților. Acesta va opera punctul unic de intrare pentru raportarea incidentelor propus în Omnibusul digital.
ENISA va continua să joace un rol esențial în construirea în continuare a unei forțe de muncă calificate în domeniul securității cibernetice în Europa. Acest lucru se va realiza prin testarea Academiei de competențe în materie de securitate cibernetică și prin instituirea unor sisteme de atestare a competențelor în materie de securitate cibernetică la nivelul UE.