Europeiska unionens råd Bryssel den 7 november 2016 (OR. en) 13967/1/16 REV 1 I/A-PUNKTSNOT från: till: Rådets generalsekretariat Föreg. dok. nr: 11911/3/16 REV 3 Komm. dok. nr: 11013/16 Ärende: CYBER 122 COMPET 558 IND 229 RECH 302 TELECOM 213 Ständiga representanternas kommitté (Coreper)/rådet Utkast till rådets slutsatser om att stärka Europas system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch - antagande 1. Vid mötet den 22 juli 2016 i gruppen Ordförandeskapets vänner (cyberfrågor) (nedan kallad gruppen) lade kommissionen fram sitt meddelande om att stärka Europas system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch 1. Det syftar till att stödja den europeiska cybersäkerhetsbranschens tillväxt och att stärka samarbetet mellan medlemsstaterna, särskilt i händelse av en omfattande it-attack, och samtidigt maximera användningen av olika tillgängliga resurser. 1 Dok. 11013/16. 13967/1/16 REV 1 jb,hg/ch/ab,np 1 DG D 2B SV
2. Den diskussion som ägde rum efter kommissionens presentation på grundval av en förteckning med centrala budskap som utarbetats av ordförandeskapet 2 visar tydligt vikten av att strategiskt tänka framåt i de frågor som beskrivs i meddelandet och att det behövs en politisk vilja att nå de mål som fastställs. 3. Vid gruppens möte den 17 september lade ordförandeskapet fram ett första utkast till rådets slutsatser 3 som byggde på förteckningen med centrala budskap samt medlemsstaternas kommentarer och skriftliga synpunkter. Den inledande diskussionen gjorde det möjligt att rationalisera strukturen och fokusera budskapen, samtidigt som vederbörlig hänsyn togs till den pågående processen med att genomföra det it-säkerhetsdirektiv som nyligen antagits. 4. Ytterligare två diskussionsomgångar som ägde rum under gruppens möten den 7 och 28 oktober 2016 och delegationernas skriftliga bidrag gjorde det möjligt att slutföra förhandlingarna på arbetsgruppsnivå och förbereda den slutliga kompromisstexten 4. 5. Mot bakgrund av ovanstående ombedes Coreper uppmana rådet att godkänna utkastet till rådets slutsatser om att stärka Europas system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch, enligt bilagan. 2 3 4 Dok. DS 1373/16. Dok. 11911/16. Dok. 11911/3/16 REV3. 13967/1/16 REV 1 jb,hg/ch/ab,np 2 DG D 2B SV
BILAGA Utkast till rådets slutsatser om att stärka Europas system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch EUROPEISKA UNIONENS RÅD ERINRAR OM sina slutsatser om det gemensamma meddelandet EU:s strategi för cybersäkerhet: En öppen, säker och trygg cyberrymd från kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik 5, ramen för EU:s politik för it-försvar 6, sina slutsatser om cyberdiplomati 7, kommissionens meddelande En strategi för en inre digital marknad i Europa 8, sina slutsatser om motverkande av hybridhot 9, sina slutsatser om handlingsplanen för e-förvaltning 2016 2020 10, kommissionens meddelande om att stärka Europas system för cyberresiliens och främja en konkurrenskraftig och innovativ cybersäkerhetsbransch 11, sina slutsatser om den globala strategin för Europeiska unionens utrikes- och säkerhetspolitik 12, 5 6 7 8 9 10 11 12 Dok. 12109/13. Dok. 15585/14. Dok. 6122/15. COM(2015) 192 final, den 6 maj 2015. Dok. 7857/16. Dok.12080/16. COM(2016) 410 final, den 5 juli 2016. Dok. 13202/16. 13967/1/16 REV 1 jb,hg/ch/ab,np 3
NOTERAR resultatet av högnivåkonferensen om cybersäkerhet som hölls i maj 2016 i Amsterdam, resultaten av de globala konferenserna om cyberrymden år 2011 (London), 2012 (Budapest), 2013 (Seoul) och 2015 (Haag), KONSTATERAR ATT 1. medlemsstaterna, kommissionen och övriga EU-enheter i enlighet med subsidiaritetsprincipen har samarbetat nära för att främja cybersäkerheten i Europa och cyberresiliensen på EU-nivå och nationell nivå, särskilt efter antagandet av EU:s strategi för cybersäkerhet, och att ett fortgående intensivt och gemensamt samarbete är nödvändigt för att skydda EU mot cyberhoten, samtidigt som en övergripande och sammanhängande strategi för cybersäkerhet upprätthålls, 2. de cyberrelaterade hoten och sårbarheterna fortsätter att utvecklas och blir intensivare, vilket kräver ett fortsatt och närmare samarbete, särskilt vad gäller att hantera gränsöverskridande storskaliga cybersäkerhetsincidenter, 3. cybersäkerhet är en central förutsättning för en väl fungerande digital inre marknad eftersom cybersäkerhetsincidenter inte enbart kan orsaka allvarliga störningar i det moderna samhället och omfattande ekonomiska skador för europeiska företag, utan som sådana kan undergräva medborgarnas och företagens förtroende för det digitala samhället och skapa ovilja mot att använda digitala tekniker, 13967/1/16 REV 1 jb,hg/ch/ab,np 4
4. det nyligen antagna it-säkerhetsdirektivet 13, i vilket nya samarbetsmekanismer fastställs, utgör tillsammans med EU:s strategi för cybersäkerhet, som kommer att omarbetas i sinom tid, och Enisa-förordningen, som snart ska ses över, centrala delar i en EU-ram för cyberresiliens inom vilken medlemsstaternas och EU-enheternas cybersäkerhet sannolikt bör behandlas effektivt, 5. tillräckliga kunskaper i cybersäkerhet genom utbildning och fortbildning, som rör både förebyggande av cybersäkerhetsincidenter och hantering och begränsning av deras effekter, är några av de centrala aspekterna när det gäller att uppnå cybersäkerhetsresiliens, samtidigt som samarbetet främjas mellan medlemsstaterna, kommissionen, Europeiska utrikestjänsten, Enisa, Europol, Eurojust, Europeiska försvarsbyrån samt i förekommande fall Nato, 6. både ett strategiskt och operativt samarbete och informationsutbyte mellan de olika sektorerna i medlemsstaterna och över gränserna inom EU är avgörande för att upprätthålla cybersäkerheten och för att förebygga och begränsa effekten av cybersäkerhetsincidenter; ett sådant samarbete bidrar inte endast till att öka beredskapen och motståndskraften, utan också till att bättre förstå beroendeförhållanden, t.ex. via genomförandet av det europeiska programmet för skydd av kritisk infrastruktur, 7. bedömningen av omfattningen av de delade riskerna och effekten av storskaliga cybersäkerhetsincidenter är beroende av nivån på det gränsöverskridande och sektorsövergripande beroendeförhållandet, både inom den offentliga och inom den privata sektorn, 8. det är viktigt att säkerställa en lämplig finansieringskapacitet för att stödja små och medelstora företag och nystartade företag på cybersäkerhetsområdet, i synnerhet tillgången till finansiering och investeringar, särskilt i början av utvecklingsfasen, 9. mervärdet av att inrätta ett avtalsmässigt offentlig-privat partnerskap om cybersäkerhet inom ramen för Horisont 2020 är att främja konkurrenskraften och innovationer inom den europeiska cybersäkerhetsbranschen, 13 Direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (EUT L 194, 19.7.2016, s. 1). 13967/1/16 REV 1 jb,hg/ch/ab,np 5
10. den dynamiska tekniska utvecklingen på det digitala området som ger upphov till en mängd olika IKT-produkter, IKT-tjänster och IKT-lösningar inte enbart medför nya utmaningar för samhället och ekonomin utan också nya säkerhetsutmaningar, särskilt när det gäller data, vilket ytterligare bör övervägas och lyftas fram inom den digitala inre marknaden, 11. cyberstölder av företagshemligheter kan vara skadliga för den europeiska industrins förmåga att ta fram innovationer och konkurrera och konsekvenserna av stölderna förtjänar att övervägas ytterligare, 12. medlemsstaternas gemensamma mål är att bidra till Europas strategiska autonomi, även i cyberrymden, såsom anges i rådets slutsatser om den globala strategin för Europeiska unionens utrikes- och säkerhetspolitik, BETONAR ATT 13. varje medlemsstat ansvarar för att vidta de åtgärder som är nödvändiga för att skydda sina väsentliga säkerhetsintressen, med full respekt för fördragen, 14. medlemsstaterna, som en prioriterad fråga, bör införliva it-säkerhetsdirektivet i sina nationella rättsliga ramar, vilket kommer att avspegla samarbetet inom den nyligen inrättade samarbetsgruppen och nätverket för incidenthanteringsenheter och därmed få positiva effekter när det gäller att stärka cyberresiliensen och cybersäkerheten och hantera storskaliga incidenter, 15. en förbättrad nät- och informationssäkerhet för EU-enheterna bör betraktas som en del av prioriteringen att stärka cybersäkerheten i hela EU, 16. åtgärder för cyberkapacitetsuppbyggnad och förtroendeskapande åtgärder är nödvändiga för att förebygga och begränsa risken för cybersäkerhetsincidenter och skapa tillit till och förtroende för den digitala inre marknaden, 13967/1/16 REV 1 jb,hg/ch/ab,np 6
17. användning av verktyg av diplomatisk, rättslig och teknisk karaktär och ett stärkt samarbete på EU-nivå och nationell nivå är nödvändigt för att cybersäkerhetsincidenter, däribland tvångsmässiga cyberoperationer, och kampen mot it-brottslighet ska kunna hanteras framgångsrikt, 18. EU fullt ut måste anpassa strategierna för säkerhet och inbyggt integritetsskydd för att utveckla, tillhandahålla och ta i bruk effektiva, högkvalitativa, ekonomiskt överkomliga och driftskompatibla produkter och tjänster för cybersäkerhet samt vidta åtgärder för att få till stånd en mer integrerad och global marknad för dessa, 19. främjandet av en dialog med branschen om cybersäkerhet kan bidra till att kartlägga brister i certifierings- och valideringsmekanismer för cybersäkerhet samt i märkningssystem som bör beakta internationellt erkända standarder och principer, 20. det krävs samstämmighet mellan respektive åtgärder och EU:s politik, de finansiella instrumenten och programmen för en effektiv operationalisering av de europeiska systemen för cyberresiliens, 21. det avtalsmässiga offentlig-privata partnerskapet om cybersäkerhet bör förbli öppet för nykomlingar, att villkoren för anslutning till partnerskapet bör förbli översiktliga och att informationen om dessa villkor fortsatt bör vara lätt åtkomlig, 13967/1/16 REV 1 jb,hg/ch/ab,np 7
UPPMANAR KOMMISSIONEN ATT 22. uppfylla de mål som anges i meddelandet om att stärka Europas cyberresiliens, särskilt genom att a) lägga fram en samarbetsplan för att hantera storskaliga cyberincidenter på EU-nivå för behandling av organ som omfattas av it-säkerhetdirektivet och andra relevanta aktörer, i synnerhet Enisa, under första halvåret 2017 med beaktande av planens kompletterande funktion, b) slutföra utvärderingen av Enisa, senast vid utgången av 2017, och så snart som möjligt lägga fram förslag i samband med förlängningen av Enisas mandat (bland annat för att utvidga detta till att omfatta de uppgifter som anges i direktivet om nät- och informationssäkerhet), c) i nära samarbete med medlemsstaterna, Europeiska utrikestjänsten, Europol, Eurojust, Enisa, Europeiska försvarsbyrån och andra berörda EU-enheter inrätta en utbildningsplattform för cybersäkerhet, d) undersöka de nödvändiga rättsliga och organisatoriska förutsättningarna för att göra det möjligt för medlemsstaterna att genomföra regelbundna kontroller av sårbarheten i allmänt tillgänglig nätinfrastruktur, e) undersöka möjligheten att skapa ett certifierings- och märkningssystem för cybersäkerhet som i förekommande fall samtidigt avspeglar befintliga effektiva säkerhetssystem, i syfte att föreslå åtgärder, även lagstiftningsåtgärder, för att senast 2017 möta dessa utmaningar, f) öka medvetenheten hos aktörer inom cybersäkerhet i fråga om befintliga finansieringsmekanismer och främja användningen av EU-verktyg och EU-instrument för att stödja innovativa små och medelstora företag, g) undersöka olika sätt att underlätta tillgången till finansiering och investeringar (t.ex. genom en investeringsplattform för cybersäkerhet) för små och medelstora företag och nystartade företag, särskilt i en tidig utvecklingsfas, h) i förekommande fall utvärdera hur nuvarande europeiska centrum för informationsutbyte och analys fungerar och verka för förslag syftande till att ytterligare stärka dessa strukturer tillsammans med medlemsstaterna och, där så är lämpligt, befintliga nationella centrum för informationsutbyte och analys, i) vid större infrastrukturinvesteringar främja utformning av säkerhetssystem som har en digital komponent och som medfinansieras av EU-fonder, 13967/1/16 REV 1 jb,hg/ch/ab,np 8
23. samråda med medlemsstaterna före inrättandet av nya mekanismer och strukturer (t.ex. ett "informationsnav" eller en rådgivande högnivågrupp) eller före införandet av nya instrument (exempelvis en samarbetsplan), både när det gäller cybersäkerhet och deras kompletterande roll, mål och tilldelade uppgifter, 24. årligen skriftligt rapportera till rådet om de framsteg som har gjorts, UPPMANAR MEDLEMSSTATERNA ATT 25. fullt ut genomföra EU:s samarbetsmekanismer inom cybersäkerhet och öka det gränsöverskridande samarbetet i förhållande till beredskap för att förebygga, hantera och/eller mildra effekterna av storskaliga cybersäkerhetsincidenter i enlighet med principerna och bestämmelserna i direktivet om nät- och informationssäkerhet, 26. aktivt delta i det avtalsmässiga offentlig-privata partnerskapet om cybersäkerhet för att stärka konkurrenskraften samt forskning och innovation i Europas industri, 27. samarbeta med kommissionen för att skapa en öppen europeisk ram, samtidigt som hänsyn tas till utarbetandet av en global ram för certifiering av cybersäkerhetsprodukter och cybersäkerhetstjänster, i linje med internationella standarder och på grundval av deltagande av sakkunniga, som täcker ett brett spektrum av IKT-system och IKT-lösningar på varje säkerhetsnivå och som är tillämpligt i samtliga medlemsstater i syfte att bygga upp en verklig och säker digital inre marknad som gör Europa till en ledande aktör i fråga om global standardisering, 28. samarbeta med kommissionen och andra relevanta parter för att uppnå de strategiska mål som anges i dessa slutsatser, 13967/1/16 REV 1 jb,hg/ch/ab,np 9
OCH UPPMANAR DE RELEVANTA AKTÖRERNA ATT 29. anta bästa praxis på området för cybersäkerhet, stödja medvetandehöjande åtgärder och kompetenshöjning och förbättra utbildningen på cybersäkerhetsområdet, 30. överväga att öka investeringarna på marknaden för högkvalitativa cybersäkerhetsprodukter och cybersäkerhetstjänster och i förekommande fall samtidigt fördjupa samarbetet med offentliga myndigheter, inbegripet nationella incidenthanteringsorganisationer, 31. på bästa sätt utnyttja det avtalsmässigt offentlig-privata partnerskapet om cybersäkerhet och europeiska centrum för informationsutbyte och analys för att främja industriellt samarbete, i synnerhet när det gäller forskning och innovation, standardisering, certifiering, märkning, gemensamma investeringar och industriell konsolidering, 32. bidra aktivt till att de strategiska målen i dessa slutsatser uppnås för att stärka den europeiska industrin, 33. fokusera på att öka användningen av cybersäkerhetslösningar inom alla sektorer och av samtliga användare. 13967/1/16 REV 1 jb,hg/ch/ab,np 10