Ċertifikazzjoni tal-Kontroll Sovran tal-UE għall-Infrastruttura Diġitali Kritika

L-għanijiet tal-inizjattiva

Nappellaw lill-Kummissjoni Ewropea biex tipproponi jew tappoġġa leġiżlazzjoni fi ħdan il-qafas taċ-ċertifikazzjoni taċ-ċibersigurtà tal-UE, inkluż ir-Regolament (UE) 2019/881 jew kwalunkwe att suċċessur, biex jinħoloq komponent taċ-ċertifikazzjoni tal-kontroll sovran tal-UE fakultattiv, ibbażat fuq ir-riskju u f’livelli għas-servizzi ta’ infrastruttura diġitali kritika.

Il-komponent jenħtieġ li jkun distint minn, u komplementari għal, ċertifikazzjoni taċ-ċibersigurtà cloud-only, ċertifikazzjoni tal-pożizzjoni ċibernetika tal-entità, restrizzjonijiet tal-fornituri b’riskju għoli u għodod ġenerali tar-riskju tal-katina tal-provvista. Jenħtieġ li jipprovdi sinjal volontarju u verifikabbli fil-livell tas-servizz dwar ir-reżiljenza tal-kontroll sovran.

Għandha tivvaluta s-sjieda effettiva u l-kontroll materjali; il-ġuriżdizzjoni tal-UE u l-kontroll operazzjonali fuq il-funzjonijiet kritiċi; riskji legali jew ta’ kontroll korporattiv ta’ pajjiżi terzi; dipendenzi kritiċi materjali; salvagwardji kontra l-aċċess jew l-interferenza illegali minn pajjiżi terzi; awditi indipendenti, livelli ta’ assigurazzjoni u valutazzjoni mill-ġdid wara bidliet materjali.

L-istatus
iċċertifikat jenħtieġ li jkun jista’ jintuża bħala kriterju oġġettiv tal-akkwist jew tat-trasparenza meta jkun iġġustifikat miċ-ċibersigurtà, mir-reżiljenza, mill-protezzjoni tad-data, mill-kontinwità tas-servizz jew mill-għażla legali tal-utenti.

Dispożizzjonijiet tat-Trattati li tqis rilevanti għall-azzjoni proposta

l-Artikoli 114 u 16 tat-TFUE; fejn rilevanti, l-Artikoli 53(1), 62 u 173 tat-TFUE, għall-armonizzazzjoni tas-suq intern, il-protezzjoni tad-data, iċ-ċertifikazzjoni taċ-ċibersigurtà, il-kummerċ fis-servizzi, ir-reżiljenza u l-kompetittività industrijali tal-UE.

Anness dwar is-suġġett, l-objettivi u l-isfond tal-inizjattiva

Suġġett

Din l-inizjattiva tikkonċerna komponent taċ-ċertifikazzjoni tal-kontroll sovran tal-UE fakultattiv, ibbażat fuq ir-riskju u f’livelli għas-servizzi tal-infrastruttura diġitali kritika, fi ħdan il-qafas taċ-ċertifikazzjoni taċ-ċibersigurtà tal-UE skont ir-Regolament (UE) 2019/881 jew kwalunkwe att suċċessur.
 

Hija ma titlobx projbizzjoni fuq il-fornituri barranin, l-użu obbligatorju tal-UE biss, iċ-ċensura, il-bidla fit-Trattat jew l-iżolament diġitali. Huwa jitlob mekkaniżmu tal-UE legali, volontarju u verifikabbli sabiex iċ-ċittadini, in-negozji, l-awtoritajiet pubbliċi u l-istituzzjonijiet tal-UE jkunu jistgħu jidentifikaw servizzi li joffru reżiljenza aktar b’saħħitha kontra l-kontroll mhux tal-UE, il-pressjoni legali barranija, id-dipendenzi kritiċi opaki u l-aċċess illegali ta’ pajjiżi terzi.
 

Din l-inizjattiva tibni fuq id-dibattitu dwar iċ-ċertifikazzjoni tal-cloud tal-EUCS, iżda hija distinta minnu. L-EUCS tikkonċerna ċ-ċertifikazzjoni taċ-ċibersigurtà tal-cloud. Din l-inizjattiva titlob bażi leġiżlattiva usa’ għal profil ta’ kontroll sovran fil-livell tas-servizz li jkopri l-infrastruttura diġitali kritika, inklużi l-cloud, l-hosting, id-DNS, is-CDN, l-awtorità taċ-ċertifikat, l-identità u l-awtentikazzjoni, iċ-ċibersigurtà ġestita u servizzi kritiċi oħra tal-ICT.
 

Ħtieġa u lakuna legali

Il-liġi tal-UE diġà tindirizza partijiet importanti tal-problema. Il-GDPR jipproteġi d-data personali. L-NIS2 issaħħaħ id-dmirijiet taċ-ċibersigurtà għall-entitajiet essenzjali u importanti. L-Att dwar id-Data jindirizza l-aċċess illegali tal-gvern ta’ pajjiżi terzi għal data mhux personali miżmuma fl-Unjoni mill-fornituri tas-servizzi tal-ipproċessar tad-data. L-Att dwar iċ-Ċibersigurtà joħloq qafas tal-UE għaċ-ċertifikazzjoni taċ-ċibersigurtà.
 

Madankollu, l-għodod eżistenti u proposti mhux neċessarjament jipprovdu sinjal ta’ ċertifikazzjoni tal-UE ċar, volontarju, pubbliku u fil-livell tas-servizz għar-reżiljenza tal-kontroll sovran. Iċ-ċertifikazzjoni teknika taċ-ċibersigurtà, iċ-ċertifikazzjoni tal-pożizzjoni ċibernetika tal-entità, l-għodod tar-riskju tal-katina tal-provvista, ir-restrizzjonijiet tal-fornituri b’riskju għoli u l-iskemi tal-cloud biss waħedhom ma jagħtux lill-utenti ordinarji u lill-akkwirenti mod komparabbli biex jivvalutaw min jikkontrolla servizz kritiku, liema liġi tista’ tilħaq il-funzjonijiet kritiċi tagħha, u liema dipendenzi jistgħu jaffettwaw il-kontinwità, il-kunfidenzjalità, l-integrità jew l-aċċess legali.
 

Servizz jista’ jkun teknikament sigur u legalment konformi filwaqt li xorta jiddependi fuq ajruplani ta’ kontroll mhux tal-UE, influwenza tal-kumpanija omm, obbligi legali ta’ pajjiżi terzi, amministrazzjoni remota, illoggjar, telemetrija, DNS, CDN, servizzi tal-awtorità taċ-ċertifikati, sistemi tal-identità, servizzi tal-cloud, ktajjen tal-provvista tas-software jew sottokuntratturi li l-utenti ma jistgħux jispezzjonaw b’mod realistiku.
 

Għanijiet

Il-Kummissjoni għandha tipproponi jew tappoġġa leġiżlazzjoni biex:
 

1. Il-ħolqien ta’ komponent ta’ ċertifikazzjoni tal-kontroll sovran tal-UE fakultattiv, ibbażat fuq ir-riskju u f’livelli għas-servizzi ta’ infrastruttura diġitali kritika.
 

2. Jirrikjedu valutazzjoni tas-sjieda effettiva u l-kontroll materjali, inkluż is-sjieda benefiċjarja, il-kontroll tal-kumpanija omm, id-drittijiet tal-vot, l-influwenza tal-bord, il-kontroll kuntrattwali u influwenza materjali oħra fuq deċiżjonijiet rilevanti għas-sigurtà jew operazzjonijiet kritiċi.
 

3. Il-ħtieġa ta’ valutazzjoni tal-ġuriżdizzjoni tal-UE u kontroll operazzjonali fuq funzjonijiet kritiċi, inkluż l-ipproċessar tad-data, il-ġestjoni taċ-ċwievet, ir-reġistrazzjoni, l-awtentikazzjoni, ir-rispons għall-inċidenti, l-amministrazzjoni tal-infrastruttura, il-mekkaniżmi ta’ aġġornament u l-amministrazzjoni mill-bogħod.
 

4. Jirrikjedu valutazzjoni tal-obbligi legali ta’ pajjiżi terzi jew tal-arranġamenti ta’ kontroll korporattiv li kapaċi jġiegħlu l-aċċess, is-segretezza, l-iżvelar, l-interferenza operazzjonali jew it-trasferiment ta’ kontroll fuq id-data personali, il-metadata, id-data operazzjonali mhux personali, ir-reġistri tas-sigurtà, is-sistemi amministrattivi jew funzjonijiet kritiċi oħra.
 

5. Jirrikjedu d-divulgazzjoni ta’ dipendenzi kritiċi materjali, fejn rilevanti għas-servizz iċċertifikat, inklużi l-hosting, il-cloud, is-software, il-firmware, id-DNS, is-CDN, l-awtorità taċ-ċertifikat, l-identità, it-telemetrija, is-sottokuntrattur u d-dipendenzi ta’ amministrazzjoni remota li jistgħu jaffettwaw il-kunfidenzjalità, l-integrità, id-disponibbiltà, il-kontroll amministrattiv, l-aċċess legali jew il-kontinwità.
 

6. Jirrikjedu salvagwardji tekniċi, organizzazzjonali u legali kontra l-aċċess jew l-interferenza illegali ta’ pajjiżi terzi, inkluż it-trattament dokumentat tat-talbiet għall-aċċess, l-isfida legali fejn possibbli, il-kontrolli tal-aċċess privileġġat, ir-reġistri tal-awditjar, is-separazzjoni tad-dmirijiet, ir-rapportar tat-trasparenza u l-ġestjoni tal-kjavi kkontrollata mill-UE fejn rilevanti.
 

7. Jirrikjedu awditi perjodiċi indipendenti, sommarji tal-awditjar pubbliku, livelli ta’ assigurazzjoni li jistgħu jitkejlu, valutazzjoni mill-ġdid wara bidliet materjali, u protezzjoni għas-sigrieti kummerċjali, dettalji sensittivi ta’ sigurtà u informazzjoni klassifikata.
 

8. Jippermettu li l-istatus iċċertifikat jintuża bħala kriterju oġġettiv tal-akkwist u tat-trasparenza tas-suq meta jkun iġġustifikat miċ-ċibersigurtà, mir-reżiljenza, mill-protezzjoni tad-data, mill-kontinwità tas-servizzi essenzjali, mill-ħtiġijiet tas-settur pubbliku jew mill-għażla legali tal-utenti.
 

Rilevanza u konformità
 

L-inizjattiva mhijiex lista sewda u mhijiex regola riġida dwar il-lokalizzazzjoni tad-data. Huwa mekkaniżmu ta' trasparenza u assigurazzjoni. Dan għandu jikkomplementa l-EUCS, l-NIS2, l-Att dwar id-Data, il-miżuri tal-katina tal-provvista taċ-ċibersigurtà u l-politika futura dwar il-cloud mingħajr ma jissostitwixxihom.
 

Huwa jappoġġa s-suq intern, il-protezzjoni tad-data, iċ-ċibersigurtà, ir-reżiljenza u s-sovranità teknoloġika tal-UE filwaqt li jibqa’ volontarju, proporzjonat, ibbażat fuq ir-riskju u kompatibbli mas-swieq miftuħa. Dan jirrispetta l-kompetenzi tal-Istati Membri, inkluża s-sigurtà nazzjonali, u l-libertà taċ-ċittadini u tal-entitajiet li jżommu rabtiet diġitali ma’ pajjiżi terzi.