Предлагат смяна на името на CERT-EU от „Екип за незабавно реагиране при компютърни инциденти“ на „Център за киберсигурност“
На 22 март 2022 г. Европейската комисия предложи нови правила за установяване на общи мерки за киберсигурност и информационна сигурност в институциите, органите, службите и агенциите на ЕС: „Предложение за Регламент за определяне на мерки за високо ниво на киберсигурност в институциите, органите, службите и агенциите на Съюза“ и „Предложение за Регламент относно информационната сигурност в институциите, органите, службите и агенциите на Съюза“.
Целта на предложенията е да се укрепи устойчивостта и капацитета за реагиране срещу киберзаплахи и киберинциденти, както и да се гарантира устойчива и сигурна публична администрация на ЕС в условията на засилване на злонамерените действия в киберпространството в световен мащаб. Възприемането на съвместен подход към киберсигурността и информационната сигурност е крайно наложителен в контекста на пандемията от COVID-19 и нарастващите геополитически предизвикателства. Определянето на общи приоритети и рамки допълнително ще засили междуинституционалното сътрудничество и ще укрепи сигурността на ЕС.
Според комисаря по въпросите на бюджета и администрацията Йоханес Хан тези две предложения „представляват крайъгълен камък в областта на киберсигурността и информационната сигурност в ЕС. Те се основават на засилено сътрудничество и взаимна подкрепа между институциите, органите, службите и агенциите на ЕС, както и на координирана готовност и реакция.“
В прессъобщението на Европейската Комисия пише:
„С предложения Регламент относно киберсигурността ще се въведе рамка за ръководство, управление и контрол на риска в областта на киберсигурността. Това ще доведе до създаването на нов междуинституционален съвет по киберсигурност, ще повиши капацитета в областта на киберсигурността и ще стимулира редовните оценки на зрелостта и по-добрата киберхигиена.
Също така ще бъде разширен мандатът на екипа за незабавно реагиране при компютърни инциденти за институциите, органите, службите и агенциите на ЕС (CERT-EU) като център за обмен на разузнавателна информация за заплахи и координиране на реакцията при инциденти, централен консултативен орган и доставчик на услуги.
Основни елементи на предложението за регламент относно киберсигурността са:
- Укрепване на мандата на CERT-EU и предоставяне на ресурсите, необходими за неговото изпълнение.
- Изискване към институциите, органите, службите и агенциите на ЕС да:
o разполагат с рамка за ръководство, управление и контрол на риска в областта на киберсигурността;
o прилагат базов набор от мерки за киберсигурност, насочен към преодоляване на установените рискове;
o извършват редовни оценки на зрелостта;
o въведат план за подобряване на своята киберсигурност, одобрен от ръководството на субекта;
o обменят със CERT-EU без ненужно забавяне информация относно инциденти.
- Създаване на нов междуинституционален съвет по киберсигурност, който да ръководи и наблюдава прилагането на регламента и да направлява CERT-EU.
- Преименуване на CERT-EU от „Екип за незабавно реагиране при компютърни инциденти“ на „Център за киберсигурност“ в съответствие с развитието в държавите членки и в световен мащаб, като при това краткото име „CERT-EU“ се запазва с цел по-лесно разпознаване.
Предложеният Регламент относно информационната сигурност ще създаде минимален набор от правила и стандарти за информационна сигурност за всички институции, органи, служби и агенции на ЕС, за да се гарантира засилена и последователна защита срещу променящите се заплахи за тяхната информация. Тези нови правила ще осигурят стабилна основа за сигурен обмен на информация между институциите, органите, службите и агенциите на ЕС и с държавите членки въз основа на стандартизирани практики и мерки за защита на информационните потоци.
Основни елементи на предложението за регламент относно информационната сигурност:
- Създаване на ефективно управление за насърчаване на сътрудничеството между всички институции, органи, служби и агенции на ЕС, а именно междуинституционална координационна група за информационна сигурност;
- Установяване на общ подход към категоризацията на информацията въз основа на нивото на поверителност;
- Модернизиране на политиките за информационна сигурност така, че да се включат изцяло цифровата трансформация и дистанционната работа;
- Рационализиране на настоящите практики и постигане на по-голяма съвместимост между съответните системи и устройства.“
Предложеният Регламент относно киберсигурността ще осигури съгласуваност с политиките на ЕС в областта на киберсигурността, в пълно съответствие с действащото европейско законодателство:
- Директивата относно сигурността на мрежите и информационните системи (Директива за МИС/NIS Directive) и бъдещата Директива относно мерки за високо общо ниво на киберсигурност в Съюза (МИС2/NIS 2), които Комисията предложи през декември 2020 г.;
- Актът за киберсигурността;
- Препоръката на Комисията за изграждането на съвместно киберзвено;
- Препоръката на Комисията относно координираната реакция при мащабни инциденти и кризи в областта на киберсигурността.
Предложеният Регламент относно информационната сигурност има за цел да повиши защитата на информацията чрез рационализиране на различните правни рамки на институциите, органите, службите и агенциите на Съюза в тази област. Предложението е в съответствие със:
- Стратегията за Съюза за сигурност на ЕС, която включва всеобхватен ангажимент на ЕС за допълване на усилията на държавите членки във всички области на сигурността;
- основната характеристика на Стратегическата програма за 2019-2024 г., приета от Европейския съвет през юни 2019 г. за защита на нашите общества от непрекъснато променящите се заплахи, насочени към информацията, с която работят с институциите, органите и агенциите на ЕС;
- Заключенията от заседанието на Съвета по общи въпроси от декември 2019 г., в които институциите, органите и агенциите на ЕС се призовават да разработят и приложат с подкрепата на държавите членки всеобхватен набор от мерки за гарантиране на своята сигурност.