ES suverēnās kontroles sertifikācija kritiskajai digitālajai infrastruktūrai

Iniciatīvas mērķi

Mēs aicinām Eiropas Komisiju ierosināt vai atbalstīt tiesību aktus ES kiberdrošības sertifikācijas satvarā, tostarp Regulu (ES) 2019/881 vai jebkuru turpmāku tiesību aktu, lai izveidotu fakultatīvu, uz risku balstītu un diferencētu ES suverēnās kontroles sertifikācijas komponentu kritiskās digitālās infrastruktūras pakalpojumiem.

Komponentam būtu jāatšķiras no tikai mākoņdatošanas kiberdrošības sertifikācijas, vienības kiberstājas sertifikācijas, augsta riska piegādātāju ierobežojumiem un vispārējiem piegādes ķēdes riska rīkiem un jāpapildina tie. Tam būtu jāsniedz brīvprātīgs un revidējams pakalpojumu līmeņa signāls par valsts kontroles noturību.

Tai būtu jānovērtē faktiskas īpašumtiesības un materiālu kontrole; ES jurisdikcija un operatīvā kontrole pār kritiski svarīgām funkcijām; trešo valstu juridiskie vai korporatīvās kontroles riski; būtiskās kritiskās atkarības; aizsardzības pasākumi pret nelikumīgu trešo valstu piekļuvi vai iejaukšanos; neatkarīgas revīzijas, pārliecības līmeņi un atkārtota novērtēšana pēc būtiskām izmaiņām.

Sertificētam statusam vajadzētu būt izmantojamam kā objektīvam iepirkuma vai pārredzamības kritērijam, ja to pamato kiberdrošība, noturība, datu aizsardzība, pakalpojumu nepārtrauktība vai lietotāju likumīga izvēle.

Līgumu
noteikumi, kas, jūsuprāt, attiecas uz ierosināto rīcību

LESD 114. un 16. pants; attiecīgā gadījumā LESD 53. panta 1. punktu, 62. un 173. pantu attiecībā uz iekšējā tirgus saskaņošanu, datu aizsardzību, kiberdrošības sertifikāciju, pakalpojumu tirdzniecību, noturību un ES rūpniecības konkurētspēju.

Pielikums par iniciatīvas tematu, mērķiem un kontekstu Temats

Šī iniciatīva attiecas uz fakultatīvu, uz risku balstītu un diferencētu ES suverēnas kontroles sertifikācijas komponentu kritiskās digitālās infrastruktūras pakalpojumiem ES kiberdrošības sertifikācijas satvarā saskaņā ar Regulu (ES) 2019/881 vai jebkuru turpmāku aktu.
 

Tajā nav prasīts aizliegt ārvalstu pakalpojumu sniedzējus, obligātu izmantošanu tikai ES, cenzūru, izmaiņas Līgumā vai digitālo izolāciju. Tā aicina izveidot likumīgu, brīvprātīgu un revidējamu ES mehānismu, lai iedzīvotāji, uzņēmumi, publiskās iestādes un ES iestādes varētu identificēt pakalpojumus, kas piedāvā lielāku noturību pret trešo valstu kontroli, ārvalstu juridisko spiedienu, nepārredzamām kritiskām atkarībām un nelikumīgu piekļuvi trešām valstīm.
 

Šī iniciatīva ir balstīta uz EUCS debatēm par mākoņdatošanas sertifikāciju, bet atšķiras no tām. EUCS attiecas uz mākoņdatošanas kiberdrošības sertifikāciju. Ar šo iniciatīvu tiek prasīts plašāks tiesiskais pamats pakalpojumu līmeņa suverēnas kontroles profilam, kas aptver kritisko digitālo infrastruktūru, tostarp mākoņdatošanu, mitināšanu, DNS, CDN, sertifikācijas iestādi, identitāti un autentifikāciju, pārvaldītu kiberdrošību un citus kritiski svarīgus IKT pakalpojumus.
 

Vajadzība un juridiskā nepilnība

ES tiesību aktos jau ir risinātas svarīgas problēmas daļas. VDAR aizsargā personas datus. TID 2 stiprina kiberdrošības pienākumus būtiskajām un svarīgajām vienībām. Datu akts attiecas uz trešo valstu valdību nelikumīgu piekļuvi nepersondatiem, ko Savienībā glabā datu apstrādes pakalpojumu sniedzēji. Ar Kiberdrošības aktu tiek izveidots ES kiberdrošības sertifikācijas satvars.
 

Tomēr esošie un ierosinātie instrumenti ne vienmēr sniedz skaidru, brīvprātīgu, publisku un pakalpojumu līmeņa ES sertifikācijas signālu par suverēnas kontroles noturību. Tehniskā kiberdrošības sertifikācija, vienības kiberstājas sertifikācija, piegādes ķēdes riska rīki, augsta riska piegādātāju ierobežojumi un tikai mākoņdatošanas shēmas pašas par sevi nesniedz parastajiem lietotājiem un iepircējiem salīdzināmu veidu, kā novērtēt, kurš kontrolē kritiski svarīgu pakalpojumu, kādi tiesību akti var sasniegt tā kritiski svarīgās funkcijas un kāda atkarība var ietekmēt nepārtrauktību, konfidencialitāti, integritāti vai likumīgu piekļuvi.
 

Pakalpojums var būt tehniski drošs un juridiski atbilstīgs, kamēr tas joprojām ir atkarīgs no trešo valstu kontroles lidmašīnām, mātesuzņēmuma ietekmes, trešo valstu juridiskajiem pienākumiem, attālinātās pārvaldības, reģistrēšanas, telemetrijas, DNS, CDN, sertifikācijas iestādes pakalpojumiem, identitātes sistēmām, mākoņpakalpojumiem, programmatūras piegādes ķēdēm vai apakšuzņēmējiem, kurus lietotāji nevar reāli pārbaudīt.
 

Mērķi

Komisijai būtu jāierosina vai jāatbalsta tiesību akti, lai:
 

1. Izveidot fakultatīvu, uz risku balstītu un diferencētu ES suverēnas kontroles sertifikācijas komponentu kritiskās digitālās infrastruktūras pakalpojumiem.
 

2. Pieprasīt faktisko īpašumtiesību un materiālās kontroles, tostarp faktisko īpašumtiesību, mātesuzņēmuma kontroles, balsstiesību, valdes ietekmes, līgumiskās kontroles un citas materiālās ietekmes uz ar drošību saistītiem lēmumiem vai kritiski svarīgām darbībām, novērtējumu.
 

3. Jānovērtē ES jurisdikcija un operatīvā kontrole pār kritiski svarīgām funkcijām, tostarp datu apstrādi, atslēgu pārvaldību, reģistrēšanu, autentifikāciju, reaģēšanu uz incidentiem, infrastruktūras administrēšanu, atjaunināšanas mehānismiem un attālinātu administrēšanu.
 

4. Jānovērtē trešo valstu juridiskās saistības vai korporatīvās kontroles pasākumi, kas var uzspiest piekļuvi personas datiem, metadatiem, nepersondatiem, drošības reģistriem, administratīvajām sistēmām vai citām kritiski svarīgām funkcijām, to slepenību, izpaušanu, iejaukšanos darbībā vai kontroles nodošanu pār tiem.
 

5. pieprasīt atklāt būtiskas kritiskās atkarības, ja tās attiecas uz sertificēto pakalpojumu, tostarp mitināšanu, mākoņdatošanu, programmatūru, aparātprogrammatūru, DNS, CDN, sertificēšanas iestādi, identitāti, telemetriju, apakšuzņēmēju un attālinātās pārvaldības atkarību, kas var ietekmēt konfidencialitāti, integritāti, pieejamību, administratīvo kontroli, likumīgu piekļuvi vai nepārtrauktību.
 

6. Pieprasīt tehniskas, organizatoriskas un juridiskas garantijas pret nelikumīgu trešo valstu piekļuvi vai iejaukšanos, tostarp piekļuves pieprasījumu dokumentētu izskatīšanu, apstrīdēšanu tiesā, ja iespējams, privileģētas piekļuves kontroli, revīzijas žurnālus, pienākumu nodalīšanu, pārredzamības ziņošanu un attiecīgā gadījumā ES kontrolētu atslēgu pārvaldību.
 

7. pieprasīt neatkarīgas periodiskas revīzijas, publisko revīziju kopsavilkumus, izmērāmus ticamības līmeņus, atkārtotu novērtēšanu pēc būtiskām izmaiņām un komercnoslēpumu, sensitīvu drošības datu un klasificētas informācijas aizsardzību.
 

8. Atļaut sertificēto statusu izmantot kā objektīvu iepirkuma un tirgus pārredzamības kritēriju, ja to pamato kiberdrošība, noturība, datu aizsardzība, pamatpakalpojumu nepārtrauktība, publiskā sektora vajadzības vai lietotāju likumīga izvēle.
 

Atbilstība un atbilstība
 

Šī iniciatīva nav melnais saraksts un nav stingrs datu lokalizācijas noteikums. Tas ir pārredzamības un ticamības nodrošināšanas mehānisms. Tam būtu jāpapildina EUCS, TID2, Datu akts, kiberdrošības piegādes ķēdes pasākumi un turpmākā mākoņdatošanas politika, tos neaizstājot.
 

Tā atbalsta iekšējo tirgu, datu aizsardzību, kiberdrošību, noturību un ES tehnoloģisko suverenitāti, vienlaikus saglabājot brīvprātīgu, samērīgu, uz risku balstītu un ar atvērtiem tirgiem saderīgu pieeju. Tajā ir respektēta dalībvalstu kompetence, tostarp valsts drošība, un pilsoņu un vienību brīvība uzturēt digitālās saites ar trešām valstīm.