Certifikacija državne kontrole EU-a za kritičnu digitalnu infrastrukturu

Ciljevi inicijative

Pozivamo Europsku komisiju da predloži ili podupre zakonodavstvo unutar okvira EU-a za kibersigurnosnu certifikaciju, uključujući Uredbu (EU) 2019/881 ili bilo koji sljedeći akt, kako bi se stvorila neobvezna, višerazinska certifikacijska komponenta EU-a koja se temelji na riziku za usluge ključne digitalne infrastrukture.

Komponenta bi se trebala razlikovati od kibersigurnosne certifikacije isključivo u oblaku, kibersigurnosne certifikacije subjekta, visokorizičnih ograničenja dobavljača i općih alata za rizik lanca opskrbe i nadopunjavati ih. Njime bi se trebao pružiti dobrovoljan signal na razini usluge koji se može revidirati o otpornosti državne kontrole.

Trebala bi procijeniti stvarno vlasništvo i materijalnu kontrolu; nadležnost EU-a i operativna kontrola nad ključnim funkcijama; pravne rizike ili rizike povezane s korporativnom kontrolom treće zemlje; značajne kritične ovisnosti; zaštitne mjere protiv nezakonitog pristupa ili ometanja trećih zemalja; neovisne revizije, razine jamstva i ponovna procjena nakon značajnih promjena.

Certificirani status trebao bi se moći upotrebljavati kao objektivan kriterij nabave ili transparentnosti ako je to opravdano kibersigurnošću, otpornošću, zaštitom podataka, kontinuitetom usluga ili zakonitim izborom korisnika.

Odredbe Ugovorâ koje smatrate relevantnima za predloženo djelovanje

članci 114. i 16. UFEU-a; prema potrebi, članak 53. stavak 1. te članci 62. i 173. UFEU-a za usklađivanje unutarnjeg tržišta, zaštitu podataka, kibersigurnosnu certifikaciju, trgovinu uslugama, otpornost i industrijsku konkurentnost EU-a.

Prilog o temi, ciljevima i pozadini inicijative

Predmet

Ova se inicijativa odnosi na neobveznu, višerazinsku i na riziku utemeljenu komponentu certifikacije EU-a pod suverenom kontrolom za usluge ključne digitalne infrastrukture unutar okvira EU-a za kibersigurnosnu certifikaciju na temelju Uredbe (EU) 2019/881 ili bilo kojeg sljedećeg akta.
 

Ne traži zabranu stranih pružatelja usluga, obveznu upotrebu samo u EU-u, cenzuru, izmjenu Ugovora ili digitalnu izolaciju. Traži zakonit i dobrovoljan mehanizam EU-a koji se može revidirati kako bi građani, poduzeća, javna tijela i institucije EU-a mogli utvrditi usluge koje nude veću otpornost na kontrolu izvan EU-a, strani pravni pritisak, netransparentne kritične ovisnosti i nezakonit pristup trećih zemalja.
 

Ova se inicijativa temelji na raspravi EUCS-a o certifikaciji u oblaku, ali se razlikuje od nje. EUCS se odnosi na kibersigurnosnu certifikaciju u oblaku. Ovom se inicijativom traži šira zakonodavna osnova za profil državne kontrole na razini usluga koji obuhvaća ključnu digitalnu infrastrukturu, uključujući računalstvo u oblaku, smještaj na poslužitelju, DNS, CDN, certifikacijsko tijelo, identitet i autentifikaciju, upravljanu kibersigurnost i druge ključne IKT usluge.
 

Nepotreba i pravna praznina

Pravom
EU-a već su obuhvaćeni važni dijelovi problema. GDPR štiti osobne podatke. Direktivom NIS2 jačaju se dužnosti u području kibersigurnosti za ključne i važne subjekte. Akt o podacima odnosi se na nezakonit pristup vlade trećih zemalja neosobnim podacima u posjedu pružatelja usluga obrade podataka u Uniji. Aktom o kibersigurnosti stvara se okvir EU-a za kibersigurnosnu certifikaciju.
 

Međutim, postojeći i predloženi alati ne pružaju nužno jasan, dobrovoljan, javni i uslužni certifikacijski signal EU-a za otpornost suverene kontrole. Tehnička kibersigurnosna certifikacija, kibersigurnosna certifikacija subjekta, alati za rizik lanca opskrbe, visokorizična ograničenja dobavljača i programi samo u oblaku sami po sebi ne omogućuju običnim korisnicima i naručiteljima usporediv način za procjenu tko kontrolira ključnu uslugu, koji zakon može dosegnuti njezine ključne funkcije i koje ovisnosti mogu utjecati na kontinuitet, povjerljivost, cjelovitost ili zakonit pristup.
 

Usluga može biti tehnički sigurna i pravno usklađena, ali i dalje ovisi o kontrolnim zrakoplovima izvan EU-a, utjecaju matičnih društava, pravnim obvezama trećih zemalja, upravljanju na daljinu, evidentiranju, telemetriji, DNS-u, CDN-u, uslugama certifikacijskog tijela, sustavima identiteta, uslugama u oblaku, lancima opskrbe softverom ili podugovarateljima koje korisnici ne mogu realno pregledati.
 

Ciljevi

Komisija bi trebala predložiti ili poduprijeti zakonodavstvo kako bi se:
 

1. Stvaranje neobvezne, višerazinske komponente EU-a za certifikaciju državne kontrole za usluge ključne digitalne infrastrukture koja se temelji na riziku.
 

2. zahtijevati procjenu stvarnog vlasništva i materijalne kontrole, uključujući stvarno vlasništvo, kontrolu matičnog društva, glasačka prava, utjecaj uprave, ugovornu kontrolu i drugi značajan utjecaj na odluke ili ključne operacije relevantne za sigurnost.
 

3. zahtijevati procjenu nadležnosti EU-a i operativne kontrole nad ključnim funkcijama, uključujući obradu podataka, upravljanje ključevima, evidentiranje, autentifikaciju, odgovor na incidente, administraciju infrastrukture, mehanizme ažuriranja i upravljanje na daljinu.
 

4. Zahtijevati procjenu pravnih obveza trećih zemalja ili aranžmana korporativne kontrole koji mogu osigurati pristup, tajnost, otkrivanje, operativno uplitanje ili prijenos kontrole nad osobnim podacima, metapodacima, neosobnim operativnim podacima, sigurnosnom evidencijom, administrativnim sustavima ili drugim ključnim funkcijama.
 

5. zahtijevati otkrivanje bitnih ključnih ovisnosti, ako je to relevantno za certificiranu uslugu, uključujući usluge smještaja informacija na poslužitelju, računalstva u oblaku, softvera, ugrađenog softvera, DNS-a, CDN-a, certifikacijskog tijela, identiteta, telemetrije, podizvođača i ovisnosti o upravljanju na daljinu koje mogu utjecati na povjerljivost, cjelovitost, dostupnost, administrativnu kontrolu, zakonit pristup ili kontinuitet.
 

6. zahtijevati tehničke, organizacijske i pravne zaštitne mjere protiv nezakonitog pristupa ili ometanja trećih zemalja, uključujući dokumentirano postupanje sa zahtjevima za pristup, pravno osporavanje ako je to moguće, kontrole povlaštenog pristupa, evidenciju revizija, razdvajanje dužnosti, izvješćivanje o transparentnosti i, prema potrebi, upravljanje ključevima pod kontrolom EU-a.
 

7. Zahtijevati neovisne periodične revizije, sažetke javnih revizija, mjerljive razine jamstva, ponovnu procjenu nakon značajnih promjena i zaštitu poslovnih tajni, osjetljivih sigurnosnih podataka i klasificiranih podataka.
 

8. omogućiti upotrebu certificiranog statusa kao objektivnog kriterija javne nabave i transparentnosti tržišta ako je to opravdano kibersigurnošću, otpornošću, zaštitom podataka, kontinuitetom osnovnih usluga, potrebama javnog sektora ili zakonitim izborom korisnika.
 

Važnost i usklađenost
 

Inicijativa nije crna lista i nije strogo pravilo o lokalizaciji podataka. Riječ je o mehanizmu transparentnosti i jamstva. Njime bi se trebali dopuniti EUCS, NIS2, Akt o podacima, mjere lanca opskrbe u području kibersigurnosti i buduća politika računalstva u oblaku, a da ih se pritom ne zamijeni.
 

Podupire unutarnje tržište, zaštitu podataka, kibersigurnost, otpornost i tehnološku suverenost EU-a, a istodobno ostaje dobrovoljna, proporcionalna, utemeljena na riziku i kompatibilna s otvorenim tržištima. Njome se poštuju nadležnosti država članica, uključujući nacionalnu sigurnost, te sloboda građana i subjekata da održavaju digitalne veze s trećim zemljama.