title: Recomandarea (EU) 2021/1086 a Comisiei din 23 iunie 2021 privind crearea unei unități cibernetice comune

text:
               5.7.2021

               RO

               Jurnalul Oficial al Uniunii Europene

               L 237/1

      RECOMANDAREA (EU) 2021/1086 A COMISIEI
      din 23 iunie 2021
      privind crearea unei unități cibernetice comune
      COMISIA EUROPEANĂ,
      având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 292,
      întrucât:

                  (1)

                  Securitatea cibernetică este esențială pentru succesul transformării digitale a economiei și a societății. UE se angajează să efectueze investiții fără precedent, care să asigure încrederea cetățenilor, a întreprinderilor și a autorităților publice în instrumentele digitale.

                  (2)

                  Pandemia de COVID-19 a dus la creșterea importanței conectivității și a dependenței Europei de rețele și sisteme informatice stabile și a evidențiat necesitatea de a proteja întregul lanț de aprovizionare. Rețelele și sistemele informatice fiabile și securizate sunt deosebit de importante pentru entitățile aflate în prima linie a luptei împotriva pandemiei, cum ar fi spitalele, agențiile din domeniul medical și producătorii de vaccinuri. Coordonarea eforturilor UE de prevenire, identificare, descurajare, înfrânare, atenuare și răspuns la atacurile cibernetice cu cel mai mare impact îndreptate împotriva entităților menționate anterior ar putea preveni pierderile de vieți omenești și încercările de subminare a capacității UE de a învinge pandemia cât mai rapid. De asemenea, consolidarea capacității UE de contracarare în mod eficace a atacurilor cibernetice contribuie la promovarea unui spațiu cibernetic global, deschis, stabil și sigur.

                  (3)

                  Date fiind natura transfrontalieră a amenințărilor cibernetice și creșterea constantă a atacurilor mai complexe, mai răspândite și mai specifice (1), instituțiile și actorii relevanți din sectorul securității cibernetice ar trebui să își consolideze capacitatea de a răspunde la amenințările și atacurile respective prin valorificarea resurselor existente și printr-o mai bună coordonare a eforturilor. Toți actorii relevanți din UE trebuie să fie pregătiți să răspundă în mod colectiv și să facă schimb de informații în baza „necesității de a partaja”, mai degrabă decât a „necesității de a cunoaște”.

                  (4)

                  În pofida progreselor importante înregistrate ca urmare a cooperării dintre statele membre în materie de securitate cibernetică, în special prin intermediul Grupului de cooperare („Grupul de cooperare NIS”) și al rețelei echipelor de intervenție în caz de incidente de securitate informatică (CSIRT), instituită în temeiul Directivei (UE) 2016/1148 a Parlamentului European și a Consiliului (2), nu există deocamdată o platformă comună la nivelul UE unde informațiile colectate în diferite comunități de securitate cibernetică să poată fi schimbate în mod eficient și în condiții de siguranță și unde capacitățile operaționale să poată fi coordonate și mobilizate de actorii relevanți. Drept urmare, amenințările și incidentele cibernetice riscă să fie abordate segmentat, eficiența fiind astfel limitată, iar vulnerabilitatea, sporită. De asemenea, lipsește un canal la nivelul UE pentru cooperarea tehnică și operațională cu sectorul privat, atât în ceea ce privește schimbul de informații, cât și sprijinul pentru răspuns la incidente.

                  (5)

                  Cadrele, structurile și resursele existente și expertiza disponibilă în statele membre și în instituțiile, organele și agențiile relevante ale UE oferă o bază solidă pentru un răspuns colectiv la amenințările, incidentele și crizele cibernetice (3). Din punct de vedere operațional, arhitectura existentă include Planul de acțiune privind răspunsul coordonat la incidentele și crizele de securitate cibernetică de mare amploare („planul de acțiune”) (4), rețeaua CSIRT și Rețeaua europeană a organizațiilor de legătură în materie de crize cibernetice („UE-CyCLONe”) (5), Centrul european de combatere a criminalității informatice („EC3”) și Grupul operativ comun privind criminalitatea informatică („J-CAT”) din cadrul Agenției Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii („Europol”), precum și Protocolul UE privind răspunsul în caz de urgență al autorităților de aplicare a legii („EU LE ERP”). Grupul de cooperare NIS, Centrul de situații și de analiză a informațiilor al UE („INTCEN UE”), precum și setul de instrumente pentru diplomația cibernetică (6) și proiectele legate de apărarea cibernetică lansate în cadrul cooperării structurate permanente (PESCO) (7) contribuie, de asemenea, la cooperarea în materie de politici și la nivel operațional în diferite comunități de securitate cibernetică. Agenția Uniunii Europene pentru Securitate Cibernetică („ENISA”), în virtutea mandatului său consolidat, are sarcina de a sprijini cooperarea operațională (8) în ceea ce privește securitatea cibernetică a rețelelor și a sistemelor informatice, a utilizatorilor acestor sisteme și a altor persoane afectate de amenințări și incidente cibernetice. Prin intermediul mecanismului integrat pentru un răspuns politic la crize („IPCR”), UE este în măsură să își coordoneze răspunsul politic la crizele majore, inclusiv în eventualitatea unor atacuri cibernetice de mare amploare.

                  (6)

                  Cu toate acestea, nu există deocamdată un mecanism pentru valorificarea resurselor existente și furnizarea de asistență reciprocă între comunitățile cibernetice responsabile de securitatea rețelelor și a sistemelor informatice, pentru combaterea criminalității informatice, pentru efectuarea de demersuri de diplomație cibernetică și, după caz, pentru apărare cibernetică în eventualitatea unei crize. La nivelul UE nu există nici un mecanism cuprinzător pentru cooperarea tehnică și operațională între toate comunitățile în ceea ce privește conștientizarea situației, pregătirea și răspunsul. De asemenea, ar trebui să se realizeze sinergii cu autoritățile de aplicare a legii și cu serviciile de informații prin intermediul Europol și, respectiv, al INTCEN.

                  (7)

                  Comisia, Înaltul Reprezentant al Uniunii pentru afaceri externe și politica de securitate (Înaltul Reprezentant), statele membre și instituțiile, organele și agențiile relevante ale UE recunosc importanța analizării punctelor forte, a punctelor slabe, a lacunelor și a suprapunerilor din actuala arhitectură de securitate cibernetică a UE, care a fost creată în ultimii ani. Comisia, în consultare cu statele membre și cu implicarea Înaltului Reprezentant, a elaborat conceptul de unitate cibernetică comună ca răspuns la analiza menționată anterior și ca o componentă importantă a Strategiei privind uniunea securității (9), a Strategiei digitale (10) și a Strategiei de securitate cibernetică (11).

                  (8)

                  În caz de criză, statele membre ar trebui să se poată baza pe solidaritatea UE sub forma unei asistențe coordonate, inclusiv din partea tuturor celor patru comunități cibernetice, și anume civile, de aplicare a legii (12), de diplomație și, după caz, de apărare. Gradul de intervenție a participanților din una sau mai multe comunități poate depinde de natura unui incident sau a unei crize de mare amploare și, prin urmare, de tipul de contramăsuri care vor fi necesare pentru a răspunde la incident sau la criză. Atunci când se confruntă cu amenințări, incidente și crize cibernetice, experții bine pregătiți și echipamentele tehnice constituie active esențiale care pot contribui la evitarea daunelor grave și la o redresare eficace. Prin urmare, în centrul unității cibernetice comune se vor afla capacitățile tehnice și operaționale clar identificate, în principal experții și echipamentele, gata de desfășurare în statele membre în caz de nevoie. În cadrul respectivei platforme, participanții se vor afla într-o poziție unică: vor putea cultiva și coordona aceste capacități prin intermediul echipelor UE de reacție rapidă în materie de securitate cibernetică, asigurând, în același timp, sinergii adecvate cu proiectele cibernetice deja existente desfășurate în cadrul PESCO.

                  (9)

                  Unitatea cibernetică comună reprezintă o platformă virtuală și fizică și nu presupune crearea unui organism suplimentar, de sine stătător. Cadrul de constituire a unității nu ar trebui să afecteze nici competențele și prerogativele autorităților naționale de securitate cibernetică, nici pe cele ale entităților relevante ale Uniunii. Unitatea cibernetică comună ar trebui să se bazeze pe memorandumuri de înțelegere încheiate între participanții săi. Unitatea cibernetică comună ar trebui să aibă ca fundament structurile, resursele și capacitățile existente, cărora să le aducă valoare adăugată, în calitate de platformă pentru cooperarea operațională și tehnică sigură și rapidă între entitățile UE și autoritățile statelor membre. De asemenea, această unitate ar trebui să reunească toate comunitățile de securitate cibernetică, și anume civile, de aplicare a legii, de diplomație și de apărare. Participanții la platformă ar trebui să aibă fie un rol operațional, fie un rol de sprijin. Printre participanții cu rol operațional ar trebui să se numere: ENISA, Europol, Centrul de răspuns la incidente de securitate cibernetică pentru instituțiile, organele și agențiile UE („CERT-UE”), Comisia, Serviciul European de Acțiune Externă (inclusiv INTCEN), rețeaua CSIRT și UE-CyCLONe. Printre participanții cu rol de sprijin ar trebui să se numere: Agenția Europeană de Apărare (AEA), președintele Grupului de cooperare NIS, președintele Grupului de lucru orizontal pentru chestiuni cibernetice al Consiliului și un reprezentant al proiectelor PESCO relevante (13). Întrucât statele membre dispun de capacități operaționale și de competențe pentru a răspunde amenințărilor, incidentelor și crizelor cibernetice de mare amploare, participanții la platformă ar trebui să se bazeze în primul rând pe capacitățile lor, recurgând la ajutorul entităților relevante ale Uniunii, pentru a-și atinge obiectivele.

                  (10)

                  Unitatea cibernetică comună ar trebui să ofere un nou impuls procesului lansat în 2017 odată cu planul de acțiune. Această unitate ar trebui să continue demersul de operaționalizare a arhitecturii planului de acțiune și să marcheze o etapă decisivă în perspectiva unui cadru european de gestionare a crizelor în materie de securitate cibernetică, în care amenințările și riscurile să fie identificate, atenuate și abordate în mod coordonat și în timp util. Prin efectuarea acestui demers, unitatea cibernetică comună ar trebui să ajute UE să răspundă la amenințările actuale și iminente.

                  (11)

                  Prin participarea la unitatea cibernetică comună, participanții cu rol operațional și cei cu rol de sprijin ar trebui să poată colabora cu o gamă mai largă de părți interesate, ca parte a Cadrului UE de răspuns la crizele de securitate cibernetică. În exercitarea funcțiilor lor în limitele mandatelor de care dispun, participanții ar trebui să beneficieze de o pregătire consolidată și de o conștientizare mai amplă a situației, care să acopere toate aspectele legate de amenințările și incidentele de securitate cibernetică, și să mobilizeze expertiză suplimentară în materie de securitate cibernetică. De exemplu, participanții ar trebui să fie implicați în mod regulat în exercițiile dintre comunități, să aibă un rol bine definit în Planul UE de răspuns la situații de criză, să sporească vizibilitatea acțiunilor lor prin intermediul comunicării publice comune și să încheie acorduri de cooperare operațională cu sectorul privat. În paralel, prin contribuția la unitatea cibernetică comună, participanții ar trebui să aibă posibilitatea de a consolida rețelele existente, cum ar fi rețeaua CSIRT și UE-CyCLONe, participanților oferindu-li-se instrumente securizate pentru schimbul de informații și capacități de detectare mai bune (de exemplu, centre de operațiuni pentru securitate, „SOC”) și posibilitatea de valorificare a capacităților operaționale disponibile ale UE.

                  (12)

                  Participanții la unitatea cibernetică comună ar trebui să se concentreze asupra cooperării tehnice și operaționale, inclusiv asupra operațiunilor comune. Ei ar trebui să contribuie la această cooperare în limita mandatelor de care dispun. Cooperarea ar trebui să aibă la bază eforturile în curs și să fie complementară acestora. În funcție de tipul de cooperare în cauză, pot participa și alți participanți.

                  (13)

                  Platforma ar trebui să reunească experți tehnici și operaționali în gestionarea crizelor din statele membre și din entitățile UE, care să coordoneze răspunsurile la amenințările, incidentele și crizele cibernetice prin utilizarea capacităților și a expertizei existente. Experții care participă la unitatea cibernetică comună vor putea să monitorizeze și să protejeze o suprafață de atac mult mai amplă prin utilizarea atât a platformei fizice, cât și a celei virtuale. În acest scop, participanții ar trebui să își coordoneze eforturile în cazul incidentelor și al crizelor transfrontaliere, precum și demersurile de furnizare de asistență țărilor afectate de incidente prin intermediul platformei.

                  (14)

                  Crearea unității cibernetice comune presupune un proces gradual care să valorifice și să consolideze cadrele și structurile existente menționate în prezenta recomandare, inclusiv mecanismele de colaborare instituite în cadrul forumurilor conduse de statele membre (de exemplu, rețeaua CSIRT, UE-CyCLONe, Grupul de lucru orizontal pentru chestiuni cibernetice al Consiliului, J-CAT și proiectele PESCO relevante), iar în ceea ce privește instituțiile, organele și agențiile UE, cooperarea structurată dintre ENISA și CERT-UE și Grupul interinstituțional pentru schimbul de informații în materie de securitate cibernetică. De asemenea, ar trebui implicate în mod adecvat cadrele privind amenințările hibride, protecția civilă (14) și cadrele sectoriale (15). În mod similar, ar trebui creată o legătură structurată cu IPCR (16). Acest lucru va permite, în caz de criză, transmiterea rapidă și eficace a informațiilor către factorii decizionali de la nivel politic reuniți în cadrul Consiliului.

                  (15)

                  Prin urmare, crearea unității cibernetice comune ar trebui să se realizeze în baza unui proces treptat și transparent care să se finalizeze în următorii doi ani. Din acest motiv, obiectivele stabilite în prezenta recomandare ar trebui atinse printr-un proces în patru etape, astfel cum se descrie în anexa la prezenta recomandare. În primele două etape ar trebui să se lanseze procesul de pregătire, organizat și sprijinit de ENISA, care să implice participanți cu rol operațional și cu rol de sprijin la nivelul UE și al statelor membre, acest proces urmând să se desfășoare în cadrul unui grup de lucru care va fi instituit de Comisie. Activitatea pregătitoare ar trebui să se desfășoare în baza principiilor angajamentului reciproc, incluziunii și consensului. Ar trebui să se încurajeze implicarea tuturor participanților, astfel încât să se poată exprima opinii și poziții diverse și să se depună eforturi pentru identificarea soluțiilor care întrunesc cel mai larg sprijin. În funcție de necesități și pe baza unor condiții bine justificate, calendarul pentru diferitele etape indicate în prezenta recomandare poate fi adaptat.

                  (16)

                  În prima etapă, procesul de pregătire ar trebui să înceapă cu identificarea capacităților operaționale relevante disponibile ale UE și cu lansarea unei evaluări a rolurilor și a responsabilităților participanților în cadrul platformei. Etapa a doua ar trebui să vizeze elaborarea Planului UE de răspuns la incidente și crize, în conformitate cu planul de acțiune (17) și cu Protocolul de reacție a UE în materie de aplicare a legii în situații de urgență, desfășurarea activităților legate de pregătire și de conștientizarea situației, în conformitate cu Regulamentul privind securitatea cibernetică și cu Regulamentul privind Europolul (18), precum și încheierea evaluării privind atribuțiile și responsabilitățile participanților în cadrul platformei. Grupul de lucru ar trebui să prezinte rezultatele evaluării menționate anterior Comisiei și Înaltului Reprezentant, care ulterior vor transmite rezultatele respective Consiliului. Comisia și Înaltul Reprezentant ar trebui să colaboreze, în conformitate cu competențele lor respective, pentru a elabora un raport comun în baza evaluării menționate anterior și să invite Consiliul să aprobe raportul respectiv prin intermediul concluziilor Consiliului.

                  (17)

                  În urma aprobării Consiliului, unitatea cibernetică comună va deveni operațională, în vederea finalizării celor două etape rămase ale procesului. În etapa a treia, participanții ar trebui să poată să desfășoare echipe de reacție rapidă ale UE în cadrul unității cibernetice comune, în conformitate cu procedurile definite în Planul UE de răspuns la incidente și crize, valorificând atât platforma fizică, cât și platforma virtuală și contribuind la diferite aspecte ale răspunsului la incidente (de la comunicarea publică la redresarea ex post). În fine, în etapa a patra, părțile interesate din sectorul privat, inclusiv utilizatorii soluțiilor și serviciilor de securitate cibernetică și furnizorii acestora, vor fi invitați să își aducă contribuția la platformă, astfel încât participanții să poată îmbunătăți schimbul de informații și să consolideze răspunsul coordonat al UE la amenințările și incidentele cibernetice.

                  (18)

                  Până la încheierea procesului în patru etape, participanții ar trebui să elaboreze un raport de activitate cu privire la progresele înregistrate în punerea în aplicare a celor patru etape prevăzute în recomandare, care să descrie realizările obținute și provocările întâmpinate și care să fie prezentat Comisiei și Înaltului Reprezentant. Pe baza raportului menționat anterior, Comisia și Înaltul Reprezentant ar trebui să efectueze o evaluare a rezultatelor și să tragă concluzii privind viitorul unității cibernetice comune.

                  (19)

                  Comisia, ENISA, Europol și CERT-UE ar trebui să ofere sprijin administrativ, financiar și tehnic unității cibernetice comune, astfel cum se prevede în secțiunea IV din prezenta recomandare, sub rezerva disponibilității resurselor bugetare și umane. Consolidarea capacităților operaționale în materie de securitate cibernetică ale instituțiilor, organelor și agențiilor UE relevante va fi esențială pentru a asigura pregătirea eficace și sustenabilitatea unității cibernetice comune. Comisia intenționează să se asigure că viitorul regulament privind normele comune obligatorii în materie de securitate cibernetică pentru instituțiile, organele și agențiile UE (octombrie 2021) va oferi temeiul juridic pentru această contribuție în cazul CERT-UE.

                  (20)

                  Având în vedere mandatul său consolidat în temeiul Regulamentului (UE) 2019/881 („Regulamentul privind securitatea cibernetică”), ENISA se află într-o poziție unică pentru a organiza și a sprijini pregătirea unității cibernetice comune, precum și pentru a contribui la operaționalizarea acesteia. În conformitate cu dispozițiile Regulamentului privind securitatea cibernetică, ENISA efectuează în prezent demersurile de creare a unui birou la Bruxelles care să sprijine cooperarea sa structurată cu CERT-UE. Această cooperare structurată, inclusiv birourile adiacente, oferă un cadru util pentru facilitarea creării unității cibernetice comune, inclusiv pentru stabilirea spațiului fizic al unității care ar trebui să fie pus la dispoziția participanților în caz de nevoie, precum și a personalului din alte instituții, organe și agenții relevante ale UE. Platforma fizică ar trebui să fie combinată cu o platformă virtuală compusă din instrumente de colaborare și de schimb securizat de informații. Instrumentele respective vor valorifica multitudinea de informații colectate prin intermediul scutului cibernetic european (19), inclusiv centrele de operațiuni pentru securitate („SOC”) și centrele de schimb de informații și de analiză („ISAC”).

                  (21)

                  Protocolul de reacție a UE în materie de aplicare a legii în situații de urgență care se aplică în cazul atacurilor cibernetice transfrontaliere majore, adoptat de Consiliu în 2018, conferă un rol central Centrului european de combatere a criminalității informatice („EC3”) (20) al Europol, în contextul „planului de acțiune”. Protocolul menționat anterior permite autorităților de aplicare a legii din UE să ofere un răspuns la atacurile transfrontaliere de mare amploare, presupuse a fi răuvoitoare, 24 de ore pe zi, 7 zile pe săptămână, prin reacție și evaluare rapidă, precum și prin schimbul securizat și în timp util de informații critice pentru coordonarea eficace a răspunsurilor la incidentele transfrontaliere. Protocolul detaliază, de asemenea, modalitățile de colaborare cu alte instituții ale UE și protocoalele pentru situații de criză la nivelul UE, precum și cooperarea în situații de criză cu sectorul privat. Comunitatea de aplicare a legii, cu sprijinul Europol, atunci când este cazul, ar trebui să contribuie la unitatea cibernetică comună prin luarea măsurilor necesare în cadrul întregului ciclu de anchetă, în conformitate cu cerințele cadrului în materie de justiție penală și cu procedurile aplicabile de gestionare a probelor electronice. Europol oferă sprijin operațional și facilitează cooperarea operațională împotriva amenințărilor cibernetice încă de la crearea EC3 în 2013. Europol ar trebui să sprijine platforma în conformitate cu mandatul său și cu abordarea activităților polițienești bazată pe informații, valorificând în același timp toate tipurile de expertiză, produse, instrumente și servicii interne relevante pentru răspunsul în caz de incident sau de criză.

                  (22)

                  Directiva 2013/40/UE privind atacurile împotriva sistemelor informatice impune, de asemenea, statelor membre obligația să se asigure că dispun de un punct de contact național operațional disponibil 24 de ore pe zi, șapte zile pe săptămână în scopul schimbului de informații referitoare la infracțiunile definite în directiva respectivă. Rețeaua de puncte de contact naționale operaționale ar trebui, de asemenea, să contribuie la unitatea cibernetică comună prin asigurarea implicării autorităților de aplicare a legii din statele membre, după caz.

                  (23)

                  Comunitatea de diplomație cibernetică a UE contribuie în acest sens la promovarea și protejarea unui spațiu cibernetic global, deschis, stabil și sigur și la prevenirea și descurajarea activităților cibernetice răuvoitoare, precum și la formularea unui răspuns la acestea. În 2017 UE a instituit un cadru privind un răspuns diplomatic comun al UE la activitățile cibernetice răuvoitoare („setul de instrumente pentru diplomația cibernetică”). Cadrul menționat anterior se înscrie în politica mai amplă a UE în materie de diplomație cibernetică și contribuie la prevenirea conflictelor, precum și la o mai mare stabilitate a relațiilor internaționale. Cadrul permite UE și statelor membre, în cooperare cu partenerii internaționali, acolo unde este cazul, să utilizeze toate măsurile aferente politicii externe și de securitate comune („PESC”), în conformitate cu procedurile aferente realizării acestora, pentru a încuraja cooperarea, a atenua amenințările și a influența comportamentele răuvoitoare actuale și potențiale din spațiul cibernetic. Comunitatea de diplomație cibernetică ar trebui să coopereze în cadrul unității cibernetice comune, recurgând la întreaga gamă de măsuri diplomatice și oferind sprijin în utilizarea acesteia, în special în ceea ce privește comunicarea publică, sprijinirea conștientizării comune a situației și a colaborării cu țările terțe în caz de criză.

                  (24)

                  În conformitate cu cadrul planului de acțiune, Înaltul Reprezentant, ar trebui să contribuie, inclusiv prin intermediul INTCEN, la unitatea cibernetică comună prin asigurarea unei conștientizări comune continue a situației, bazate pe informații, cu privire la amenințările existente și emergente, inclusiv a conștientizării strategice necesare a situației, indiferent de eveniment.

                  (25)

                  În cadrul comunității de apărare cibernetică, UE și statele membre urmăresc să consolideze capacitățile de apărare cibernetică și să consolideze și mai mult sinergiile, coordonarea și cooperarea dintre instituțiile, organele și agențiile relevante ale UE, precum și cu statele membre și între statele membre, inclusiv în ceea ce privește misiunile și operațiile din cadrul politicii de securitate și apărare comune („PSAC”). Comunitatea funcționează în baza unei guvernanțe interguvernamentale la nivelul UE, a structurilor de comandă militare naționale și a capacităților și resurselor militare sau cu dublă utilizare. Având în vedere natura diferită a comunității, ar trebui create interfețe specifice cu unitatea cibernetică comună astfel încât să se poată efectua schimbul de informații cu comunitatea de apărare cibernetică (21).

                  (26)

                  Cooperarea structurată permanentă este un cadru juridic introdus prin Tratatul de la Lisabona (22) și instituit în 2017 în cadrul Uniunii. Cooperarea structurată a condus la instituirea unei serii de proiecte PESCO în domeniul cibernetic, care au contribuit la îndeplinirea angajamentului 11 (23), și anume „asigurarea sporirii eforturilor de cooperare în domeniul apărării cibernetice, cum ar fi schimbul de informații, formarea și sprijinul operațional”. SEAE, inclusiv Statul-Major al UE și AEA, asigură secretariatul PESCO, care oferă un punct unic de contact în cadrul Uniunii pentru toate aspectele PESCO, inclusiv pentru funcțiile de sprijin și de coordonare legate de proiectele PESCO (de exemplu, evaluarea noilor propuneri de proiecte, pregătirea rapoartelor privind progresele înregistrate în cadrul proiectelor etc.). Reprezentanții proiectelor PESCO relevante ar trebui să sprijine unitatea cibernetică comună, în special în ceea ce privește conștientizarea situației și pregătirea.

                  (27)

                  Prin intermediul unității cibernetice comune, participanții ar trebui să integreze în mod adecvat părțile interesate din sectorul privat, inclusiv utilizatorii soluțiilor și serviciilor de securitate cibernetică și furnizorii acestora, pentru a sprijini cadrul european de gestionare a crizelor în materie de securitate cibernetică, ținând seama în mod corespunzător de cadrul juridic pentru schimbul de date și securitatea informațiilor. Furnizorii de securitate cibernetică ar trebui să contribuie la inițiativă prin schimbul de informații privind amenințările cibernetice și prin punerea la dispoziție de personal de primă intervenție, astfel încât capacitatea unității de a răspunde la atacuri și crize de mare amploare să se extindă rapid. Utilizatorii de bunuri și servicii de securitate cibernetică, în principal cei care intră în domeniul de aplicare al Directivei NIS, ar trebui să poată solicita ajutor și consiliere prin intermediul unor canale structurate care lipsesc în prezent, conectate la centrele de schimb de informații și de analiză (ISAC) de la nivelul UE (24). Platforma ar putea contribui, de asemenea, la consolidarea cooperării cu partenerii internaționali.

                  (28)

                  Pentru dezvoltarea și menținerea conștientizării situației sunt necesare capacități de ultimă generație de detectare și prevenire a accesului neautorizat. Unitatea cibernetică comună ar trebui să se bazeze pe o rețea de ultimă generație, care să poată să analizeze amenințările și incidentele răuvoitoare care pot avea un impact asupra principalelor sisteme informatice și de comunicații din întreaga Uniune. Aceasta înseamnă că, printre alte surse, cunoștințele privind amenințările extrase din rețelele de comunicații monitorizate de centrele naționale, sectoriale și transfrontaliere de operațiuni pentru securitate ar trebui să fie integrate în unitatea cibernetică comună, astfel încât participanții să poată evalua mai bine situația amenințărilor din UE.

                  (29)

                  Pentru a sprijini schimbul de informații operaționale, inclusiv, eventual, de materiale confidențiale, platforma ar trebui să se bazeze pe canale de comunicare securizată în mod corespunzător. Canalele respective s-ar putea baza, de asemenea, pe infrastructura existentă, cum ar fi aplicația de rețea pentru schimbul securizat de informații („SIENA”) utilizată de Europol și de autoritățile de aplicare a legii. Astfel cum s-a anunțat în Strategia de securitate cibernetică, instrumentele utilizate de instituțiile, organele și agențiile UE ar trebui să respecte normele privind securitatea informațiilor pe care Comisia le va propune în curând.

                  (30)

                  Comisia, în principal prin intermediul programului Europa digitală, va sprijini investițiile necesare pentru configurarea platformei fizice și virtuale și pentru crearea și menținerea canalelor de comunicare securizată și a capacităților de formare, precum și pentru dezvoltarea și implementarea capacităților de detectare. De asemenea, Fondul european de apărare ar putea contribui la finanțarea tehnologiilor de apărare cibernetică și a capacităților de apărare cibernetică esențiale care ar consolida pregătirea la nivel național în ceea ce privește apărarea cibernetică,

            ADOPTĂ PREZENTA RECOMANDARE:
      I.   OBIECTIVUL RECOMANDĂRII

                  (1)

                  Scopul prezentei recomandări este de a identifica acțiunile necesare pentru coordonarea eforturilor UE de prevenire, detectare, descurajare, înfrânare, atenuare și răspuns la incidentele și crizele cibernetice de mare amploare prin intermediul unei unități cibernetice comune. În acest scop, prezenta recomandare definește, de asemenea, procesul, etapele și calendarul pe care statele membre și instituțiile, organele și agențiile UE relevante ar trebui să le urmărească în vederea creării și dezvoltării platformei respective.

                  (2)

                  Statele membre și instituțiile, organele și agențiile UE relevante ar trebui să se asigure că, în caz de incidente și crize de securitate cibernetică, își coordonează eforturile în cadrul unei unități cibernetice comune care facilitează asistența reciprocă (25) prin valorificarea expertizei autorităților statelor membre și a instituțiilor, organelor și agențiilor UE relevante. Unitatea cibernetică comună ar trebui, de asemenea, să permită implicarea participanților în cooperarea cu sectorul privat.

            II.   DEFINIȚII

                  (3)

                  În sensul prezentei recomandări:

                              (a)

                              „planul UE de răspuns la incidente și crize de securitate cibernetică” înseamnă o compilație de roluri, modalități și proceduri care conduce la finalizarea Cadrului UE de răspuns la crizele de securitate cibernetică descris la punctul 1 din Recomandarea Comisiei din 13 septembrie 2017 privind răspunsul coordonat la incidentele și crizele de securitate cibernetică de mare amploare („planul de acțiune”);

                              (b)

                              „comunități de securitate cibernetică” înseamnă grupuri colaborative civile, de aplicare a legii, diplomatice și de apărare reprezentând atât statele membre, cât și instituțiile, organele și agențiile relevante ale UE care fac schimb de informații în vederea atingerii unor obiective, interese și misiuni comune în ceea ce privește securitatea cibernetică;

                              (c)

                              „participanți din sectorul privat” înseamnă reprezentanți ai entităților din sectorul privat care furnizează sau utilizează soluții (26) și servicii (27) de securitate cibernetică.

                              (d)

                              „incident de mare amploare” înseamnă un incident, astfel cum este definit la articolul 4 punctul 7 din Directiva (UE) 2016/1148, cu un impact semnificativ asupra a cel puțin două state membre;

                              (e)

                              „raport integrat asupra situației în materie de securitate cibernetică la nivelul UE” înseamnă un raport care colectează contribuții din partea participanților la unitatea cibernetică comună, pe baza raportului asupra situației tehnice în materie de securitate cibernetică la nivelul UE definit la articolul 7 alineatul (6) din Regulamentul (UE) 2019/881;

                              (f)

                              „echipa UE de reacție rapidă în materie de securitate cibernetică” înseamnă o echipă alcătuită din experți recunoscuți în materie de securitate cibernetică, provenind în special din echipele de intervenție în caz de incidente de securitate informatică (CSIRT) ale statelor membre, beneficiind de sprijin din partea ENISA, CERT-UE și Europol, care este pregătită să ofere asistență de la distanță participanților afectați de incidente și crize de mare amploare;

                              (g)

                              „memorandum de înțelegere” înseamnă un acord între participanți care stabilește modalitățile de cooperare care se impun, inclusiv o definiție a resurselor și a procedurilor necesare pentru instituirea și mobilizarea echipelor UE de reacție rapidă în materie de securitate cibernetică, precum și pentru a permite asistența reciprocă.

            III.   OBIECTIVUL UNITĂȚII CIBERNETICE COMUNE

                  (4)

                  Statele membre și instituțiile, organele și agențiile UE relevante ar trebui să asigure un răspuns al UE coordonat la incidentele și crizele cibernetice de mare amploare și recuperarea în urma acestora. În special, răspunsul menționat anterior ar trebui asigurat între participanții cu rol operațional, în principal ENISA, Europol, CERT-UE, Comisia, Serviciul European de Acțiune Externă (inclusiv INTCEN), rețeaua CSIRT, UE-CyCLONe, și participanții cu rol de sprijin, în principal președintele Grupului de cooperare NIS, președintele Grupului de lucru orizontal pentru chestiuni cibernetice al Consiliului, Agenția Europeană de Apărare și un reprezentant al proiectelor PESCO relevante (28). Participanții cu rol operațional ar trebui să fie în măsură să mobilizeze rapid și eficient resursele operaționale pentru asistență reciprocă în cadrul unității cibernetice comune. În acest scop, în cadrul unității cibernetice comune, mecanismele de asistență reciprocă ar trebui să fie coordonate la solicitarea unuia sau a mai multor state membre.

                  (5)

                  Pentru a asigura un răspuns coordonat eficace, participanții cu rol operațional și cei cu rol de sprijin enumerați la punctul 4 ar trebui să aibă posibilitatea de a face schimb de bune practici, de a valorifica conștientizarea comună continuă a situației și de a asigura pregătirea necesară în limitele mandatelor de care dispun. Participanții respectivi ar trebui să țină seama de procesele existente și de expertiza diferitelor comunități de securitate cibernetică.

            IV.   DEFINIREA MODULUI DE FUNCȚIONARE A UNITĂȚII CIBERNETICE COMUNE

                  (6)

                  Pe baza contribuției ENISA în conformitate cu articolul 7 alineatul (7) din Regulamentul (UE) 2019/881, statele membre și instituțiile, organele și agențiile UE relevante ar trebui să asigure un răspuns coordonat la incidentele și crizele cibernetice de mare amploare și recuperarea în urma acestora prin:

                              (a)

                              instituirea, formarea, testarea și desfășurarea coordonată a echipelor UE de reacție rapidă în materie de securitate cibernetică, valorificând articolul 7 alineatul (4) din Regulamentul (UE) 2019/881 și articolele 3 și 4 din Regulamentul (UE) 2016/794;

                              (b)

                              desfășurarea coordonată a unei platforme virtuale și fizice, mobilizând cooperarea structurată dintre ENISA și CERT-UE, consacrată la articolul 7 alineatul (4) din Regulamentul (UE) 2019/881, care ar trebui să servească drept infrastructură de sprijin pentru cooperarea tehnică și operațională dintre participanți și să reunească personalul relevant și alte resurse de la participanți;

                              (c)

                              crearea și ținerea unui inventar al capacităților operaționale și tehnice disponibile în UE de care dispun comunitățile de securitate cibernetică (29) din Uniune care pot să fie desfășurate în caz de incidente sau crize de securitate cibernetică de mare amploare;

                              (d)

                              raportarea către Comisie și Înaltul Reprezentant cu privire la experiența dobândită în activitățile de cooperare operațională în materie de securitate cibernetică în cadrul comunităților de securitate cibernetică și între acestea.

                  (7)

                  Statele membre și instituțiile, organele și agențiile UE relevante ar trebui să se asigure că unitatea cibernetică comună asigură conștientizarea comună continuă a situației și pregătirea împotriva crizelor facilitate de mediul cibernetic la nivelul comunităților de securitate cibernetică, precum și în cadrul respectivelor comunități, în temeiul obiectivelor prevăzute la articolul 7 din Regulamentul (UE) 2019/881 și la articolul 3 din Regulamentul (UE) 2016/794. În acest scop, statele membre și instituțiile, organele și agențiile relevante ale UE, în conformitate cu Regulamentele (UE) 2019/881 și (UE) 2016/794, ar trebui să permită punerea în aplicare a următoarelor operațiuni de sprijin:

                              (a)

                              elaborarea raportului integrat asupra situației în materie de securitate cibernetică la nivelul UE prin colectarea și analizarea tuturor informațiilor relevante și a informațiilor privind amenințările cibernetice;

                              (b)

                              utilizarea unor instrumente adecvate și sigure, în conformitate cu articolul 7 alineatul (1) din Regulamentul (UE) 2019/881, pentru schimbul rapid de informații între participanți și cu alte entități;

                              (c)

                                 schimbul de informații și de expertiză necesar pentru a pregăti Uniunea să gestioneze incidentele și crizele de mare amploare facilitate de mediul cibernetic, cu sprijinul ENISA, astfel cum se prevede la articolul 7 alineatul (2) din Regulamentul (UE) 2019/881;

                              (d)

                              adoptarea și testarea planurilor naționale de răspuns la incidente și crize de securitate cibernetică (30) în conformitate cu articolul 7 alineatele (2), (5) și (7) din Regulamentul (UE) 2019/881;

                              (e)

                              elaborarea, gestionarea și testarea, inclusiv prin exerciții și formări între comunități, a Planului UE de răspuns la incidente și crize de securitate cibernetică, în conformitate cu recomandarea referitoare la „planul de acțiune” și pe baza articolului (7) alineatul (3) din propunerea Comisiei de revizuire a Directivei (UE) 2016/1148 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (31);

                              (f)

                              acordarea de asistență participanților la încheierea acordurilor privind schimbul de informații, precum și a acordurilor de cooperare operațională cu entități din sectorul privat care furnizează, printre altele, servicii legate de informațiile privind amenințările cibernetice și servicii de răspuns la incidente, cu sprijinul ENISA, astfel cum se prevede la articolul 7 alineatul (1) din Regulamentul (UE) 2019/881;

                              (g)

                              crearea de sinergii structurate cu capacitățile naționale, sectoriale și transfrontaliere de monitorizare și detectare, în special cu centrele de operațiuni pentru securitate;

                              (h)

                              acordarea de asistență participanților în gestionarea incidentelor și a crizelor de mare amploare, în conformitate cu rolul de sprijin al ENISA, astfel cum se prevede la articolul 7 din Regulamentul (UE) 2019/881. Această asistență presupune contribuția la conștientizarea comună a situației, sprijinirea acțiunii diplomatice, atribuirea politică, precum și atribuirea în contextul anchetelor penale, inclusiv prin intermediul Europol (32), alinierea comunicării publice și facilitarea recuperării în urma incidentelor.

                  (8)

                  Pentru a pune în aplicare punctele 6 și 7, statele membre și instituțiile, organele și agențiile relevante ale UE ar trebui să asigure:

                              (a)

                              definirea aspectelor organizatorice ale unității cibernetice comune, precum și a atribuțiilor și responsabilităților participanților cu rol operațional și a celor cu rol de sprijin în cadrul platformei, permițând funcționarea eficace a platformei în conformitate cu aspectele și principiile menționate în anexa la prezenta recomandare;

                              (b)

                              încheierea memorandumurilor de înțelegere care stabilesc modalitățile care se impun pentru cooperarea între participanții menționați la punctul 4.

                  (9)

                  În conformitate cu articolul 7 din Regulamentul (UE) 2019/881, ENISA ar trebui să asigure coordonarea statelor membre și a instituțiilor, organelor și agențiilor relevante ale UE și să le ofere acestora sprijin în cadrul unității cibernetice comune, inclusiv prin asumarea rolului de secretariat, organizând reuniuni și contribuind la punerea în aplicare a acțiunilor atât la nivelul statului membru, cât și al UE. ENISA ar trebui să instituie atât o platformă virtuală securizată, cât și un spațiu fizic care să găzduiască reuniuni și să faciliteze acțiunile de punere în aplicare necesare.

            V.   CREAREA UNITĂȚII CIBERNETICE COMUNE

                  (10)

                  Statele membre și instituțiile, organele și agențiile relevante ale UE ar trebui să se asigure că unitatea cibernetică comună intră în faza operațională din 30 iunie 2022. Până la momentul respectiv, participanții cu rol operațional ar trebui să pună la dispoziție capacități operaționale și experți care pot constitui baza echipelor UE de reacție rapidă în materie de securitate cibernetică. Planurile pentru o platformă fizică și virtuală ar trebui să fie într-un stadiu avansat.

                  (11)

                  Statele membre și instituțiile, organele și agențiile relevante ale UE ar trebui să contribuie la funcționarea unității cibernetice comune și să se asigure că operaționalizarea acesteia este pe deplin finalizată până la 30 iunie 2023. Acest demers ar trebui întreprins în patru etape succesive, care vor viza finalizarea următoarelor activități:

                              (a)

                              etapa 1 – evaluarea aspectelor organizatorice ale unității cibernetice comune și identificarea capacităților operaționale disponibile ale UE până la 31 decembrie 2021;

                              (b)

                              etapa 2 – pregătirea planurilor de răspuns la incidente și crize și desfășurarea de activități comune de pregătire până la 30 iunie 2022;

                              (c)

                              etapa 3 – operaționalizarea unității cibernetice comune până la 31 decembrie 2022;

                              (d)

                              etapa 4 – extinderea cooperării în cadrul unității cibernetice comune către entități private și raportarea progreselor înregistrate până la 30 iunie 2023.

                        În anexa la prezenta recomandare sunt prezentate acțiuni mai detaliate de întreprins în cadrul celor patru etape secvențiale.

                  (12)

                  În primele două etape, ENISA ar trebui să organizeze și să sprijine pregătirea unității cibernetice comune. Serviciile Comisiei ar trebui să convoace un grup de lucru care să reunească participanții cu rol operațional și pe cei cu rol de sprijin pentru a finaliza activitatea pregătitoare. Serviciile Comisiei ar trebui să numească un reprezentant în calitate de copreședinte al grupului de lucru și să invite în calitate de copreședinte un reprezentant desemnat de Înaltul Reprezentant, fiecare dintre acești copreședinți contribuind la introducerea punctelor pe ordinea de zi în conformitate cu competențele lor respective, precum și un reprezentant ales de statele membre.

                  (13)

                  Până la încheierea celei de a doua etape, grupul de lucru ar trebui să finalizeze evaluarea aspectelor organizatorice ale unității cibernetice comune, precum și a atribuțiilor și responsabilităților participanților cu rol operațional în cadrul platformei respective. Grupul de lucru ar trebui să prezinte rezultatele evaluării menționate anterior Comisiei și Înaltului Reprezentant. Comisia și înaltul reprezentant ar trebui să transmită apoi Consiliului această evaluare. Comisia și Înaltul Reprezentant ar trebui să redacteze un raport comun pe baza evaluării respective și să invite Consiliul să aprobe raportul respectiv prin intermediul concluziilor Consiliului.

                  (14)

                  Unitatea cibernetică comună ar trebui să fie operațională începând din etapa a treia.

                  (15)

                  ENISA și Comisia ar trebui să asigure utilizarea resurselor existente în cadrul programelor de finanțare ale UE, în principal programul Europa digitală, în conformitate cu normele aplicabile pentru stabilirea programelor de lucru respective, pentru a pune la dispoziția participanților din unitatea cibernetică comună capacități de formare suplimentare, capacități de comunicare și infrastructura securizată de schimb de informații care să permită schimbul de informații clasificate, inclusiv între comunități.

            VI.   REVIZUIRE

                  (16)

                  Statele membre ar trebui să coopereze cu Comisia și cu Înaltul Reprezentant, în conformitate cu competențele lor respective, pentru a evalua eficacitatea și eficiența unității cibernetice comune până la 30 iunie 2025, în vederea formulării unor concluzii pentru viitorul unității cibernetice comune. Evaluarea ar trebui să țină seama de punerea în aplicare a celor patru etape menționate anterior.

         Adoptată la Bruxelles, 23 iunie 2021.

               Pentru Comisie

            Thierry BRETON

               Membru al Comisiei

         (1)  ENISA, 2020 Threat Landscape; Europol, Internet Organised Crime Threat Assessment (IOCTA) 2020.

         (2)  Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului din 6 iulie 2016 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune (JO L 194, 19.7.2016, p. 1).

         (3)  Rețeaua UE a organizațiilor de legătură în materie de crize cibernetice (UE-CyCLONe) a fost instituită de statele membre ca răspuns la recomandarea privind planul de acțiune. Este o rețea de experți naționali în aspectele operaționale și în cele legate de gestionarea crizelor a cărei codificare a propus-o Comisia prin Directiva privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de abrogare a Directivei (UE) 2016/1148, COM(2020) 823 final, 2020/0359 (COD), propunere prezentată în decembrie 2020.

         (4)  Recomandarea (UE) 2017/1584 a Comisiei din 13 septembrie 2017 privind răspunsul coordonat la incidentele și crizele de securitate cibernetică de mare amploare (JO L 239, 19.9.2017, p. 36).

         (5)  Recomandarea ține seama de Raportul de acțiune privind exercițiul la nivel operațional în legătură de planul de acțiune (Blue OLEx) care s-a desfășurat în 2020 și, în special, de rezumatul discuției de politică strategică privind unitatea cibernetică comună, prezentat de președinte.

         (6)  Concluziile Consiliului referitoare la un cadru privind un răspuns diplomatic comun al UE la activitățile cibernetice răuvoitoare („Setul de instrumente pentru diplomația cibernetică”) din 19 iunie 2017 (9916/17).

         (7)  În special, proiectele PESCO privind „echipele de răspuns rapid în domeniul cibernetic și asistență reciprocă în ceea ce privește securitatea cibernetică” coordonate de Lituania și cele privind „Centrul de coordonare în domeniul cibernetic și informațional” coordonat de Germania.

         (8)  Articolul 7 din Regulamentul (UE) 2019/881 al Parlamentului European și al Consiliului din 17 aprilie 2019 privind ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor și de abrogare a Regulamentului (UE) nr. 526/2013 (Regulamentul privind securitatea cibernetică) (JO L 151, 7.6.2019, p. 15) prevede obligația agenției de a oferi sprijin pentru cooperarea operațională dintre statele membre, instituțiile, organele, oficiile și agențiile Uniunii, precum și dintre părțile interesate. Obligația de acordare de sprijin implică sprijinirea statelor membre în ceea ce privește cooperarea operațională în cadrul rețelei CSIRT, pregătirea cu regularitate a unui raport aprofundat asupra situației tehnice în materie de securitate cibernetică la nivelul UE cu privire la incidente și amenințări cibernetice și contribuirea la elaborarea unui răspuns de cooperare la nivelul Uniunii și al statelor membre la incidentele sau crizele de securitate cibernetică transfrontaliere de mare amploare. De asemenea, ENISA contribuie la activitățile de formare în colaborare cu Colegiul European de Securitate și Apărare (CESA).

         (9)  Comunicarea Comisiei către Parlamentul European, Consiliul European, Consiliu, Comitetul Economic și Social European și Comitetul Regiunilor referitoare la Strategia UE privind uniunea securității [COM(2020) 605 final].

         (10)  Comunicarea Comisiei către Parlamentul European, Consiliu, Comitetul Economic și Social European și Comitetul Regiunilor: Conturarea viitorului digital al Europei [COM(2020) 67 final].

         (11)  Comunicarea comună către Parlamentul European și Consiliu: Strategia de securitate cibernetică a UE pentru deceniul digital [JOIN(2020) 18 final].

         (12)  Prezintă relevanță și în contextul cooperării judiciare.

         (13)  A se vedea nota de subsol 5. SEAE și AEA, dat fiind că asigură rolul de secretariat al PESCO, vor ține legătura cu coordonatorii proiectelor PESCO relevante.

         (14)  În acest context, unitatea cibernetică comună ar trebui să stabilească sinergii cu mecanismul de protecție civilă al UE (UCPM) pentru a consolida pregătirea și răspunsul european în caz de dezastre și urgențe multiple care implică un element de natură cibernetică.

         (15)  De exemplu, sectorul financiar avut în vedere în temeiul Regulamentului (UE) 2021/xx al Parlamentului European și al Consiliului* [DORA].

         (16)  A se vedea considerentul 5.

         (17)  A se vedea nota de subsol 3.

         (18)  Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO L 135, 24.5.2016, p. 53).

         (19)  JOIN(2020) 18 final, secțiunea 1.2.

         (20)  Instituit prin Regulamentul (UE) 2016/794.

         (21)  În special prin intermediul reprezentării SEAE, pentru a permite implicarea adecvată a comunității de apărare cibernetică, care se bazează pe contribuțiile naționale voluntare.

         (22)  Articolul 42 alineatul (6), articolul 46 și Protocolul nr. 10 din TUE.

         (23)  Fiecare dintre statele membre participante la PESCO își asumă 20 de angajamente individuale, încadrate în cele cinci domenii-cheie prevăzute la articolul 2 din Protocolul nr. 10 privind PESCO anexat la Tratatul privind Uniunea Europeană.

         (24)  Printre exemplele notabile de ISAC existente care ar putea fi implicate în această partajare se numără centrul de schimb de informații și de analiză pentru energia europeană (EE-ISAC) sau centrul de schimb de informații și de analiză pentru instituțiile financiare europene (FI-ISAC).

         (25)  În concordanță cu abordarea și principiile enunțate în Directiva (UE) 2016/1148 și la articolul 222 din TFUE. Fără a aduce atingere articolului 42 alineatul (7) din Tratatul privind Uniunea Europeană.

         (26)  Inclusiv vânzătorii de software.

         (27)  Inclusiv informații privind amenințările cibernetice.

         (28)  „Centrul de coordonare în domeniul cibernetic și informațional” (CIDCC) și „Echipele de răspuns rapid în domeniul cibernetic și asistență reciprocă în ceea ce privește securitatea cibernetică” (CRRT).

         (29)  Inclusiv, dacă este cazul, comunitatea de apărare cibernetică.

         (30)  Propuse în temeiul articolului 7 alineatul (3) din Directiva privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de abrogare a Directivei (UE) 2016/1148 [COM(2020) 823 final, 2020/0359 (COD)].

         (31)  COM(2020) 823 final.

         (32)  În conformitate cu Regulamentul (UE) 2016/794.

         ANEXĂ
         Etapele demersului de creare a unității cibernetice comune
         Prezenta anexă descrie în detaliu acțiunile principale și de sprijin necesare pentru instituirea și operaționalizarea unității cibernetice comune.
         1.   Etapa 1 – Evaluarea aspectelor organizatorice ale unității cibernetice comune și identificarea capacităților operaționale disponibile ale UE

            ACȚIUNI PRINCIPALE

         Participanții cu rol operațional la unitatea cibernetică comună, reuniți în cadrul unui grup de lucru instituit de Comisie și cu sprijinul ENISA, ar trebui să strângă informații cu privire la capacitățile operaționale existente, și să stabilească inclusiv o listă cu profesioniști recunoscuți disponibili, indicând domeniul lor de expertiză, instrumentele, funcțiile și resursele disponibile pentru administrarea incidentelor, portofoliile de formare și exerciții disponibile și produsele existente de analiză a informațiilor și a datelor operative. Pe baza acestei contribuții, participanții cu rol operațional ar trebui să pregătească o listă a capacităților operaționale disponibile ale UE care pot fi desfășurate în caz de incidente sau crize cibernetice, în special prin intermediul echipelor UE de reacție rapidă în materie de securitate cibernetică.
         Grupul de lucru ar trebui să lanseze evaluarea aspectelor organizatorice ale unității cibernetice comune, precum și a atribuțiilor și responsabilităților participanților cu rol operațional în cadrul platformei respective.
         Pentru a avea o imagine de ansamblu asupra capacităților și a conveni asupra procedurilor, acțiunile principale, și în măsura posibilului, acțiunile de sprijin din prima etapă ar trebui finalizate până la 31 decembrie 2021 [la 6 luni de la adoptare].
         2.   Etapa 2 – Pregătirea planurilor de răspuns la incidente și crize și desfășurarea de activități comune de pregătire

            ACȚIUNI PRINCIPALE

         Participanții cu rol operațional din cadrul grupului de lucru, în consultare cu participanții cu rol de sprijin, ar trebui să pregătească planul UE de răspuns la incidente și crize de securitate cibernetică pe baza planurilor naționale de răspuns la incidente și crize de securitate cibernetică. Planul UE de răspuns la incidente și crize de securitate cibernetică ar trebui să includă obiective de pregătire la nivelul UE, identificarea procedurilor și a canalelor securizate de schimb de informații, inclusiv a modalităților de gestionare a informațiilor, precum și criterii pentru activarea mecanismului de asistență reciprocă pe baza unei taxonomii de clasificare a incidentelor convenite și a listei capacităților disponibile ale UE.
         Până la încheierea celei de a doua etape, grupul de lucru ar trebui să finalizeze evaluarea aspectelor organizatorice ale unității cibernetice comune, precum și a atribuțiilor și responsabilităților participanților cu rol operațional în cadrul platformei respective. Grupul de lucru ar trebui să prezinte rezultatele evaluării menționate anterior Comisiei și Înaltului Reprezentant. Comisia și Înaltul Reprezentant ar trebui să transmită această evaluare Consiliului. Comisia și Înaltul Reprezentant ar trebui să colaboreze, în conformitate cu competențele lor respective, pentru a elabora un raport comun în baza evaluării menționate anterior și să invite Consiliul să aprobe raportul respectiv prin intermediul concluziilor Consiliului.

            ACȚIUNI DE SPRIJIN

         Planul UE de răspuns la incidente și crize de securitate cibernetică ar trebui să aibă la bază principalele elemente ale planurilor naționale de răspuns la incidente și crize de securitate cibernetică. În conformitate cu Propunerea Comisiei de directivă privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de abrogare a Directivei (UE) 2016/1148 (1), statele membre ar trebui să adopte planuri naționale de răspuns la incidente și crize de securitate cibernetică. Planurile naționale, care ar putea face, eventual, obiectul unei evaluări inter pares, ar trebui să definească obiective și modalități de gestionare a incidentelor și a crizelor de securitate cibernetică de mare amploare. Planurile naționale ar trebui să abordeze, în particular, următoarele elemente:

                     (a)

                     obiectivele măsurilor și ale activităților naționale de pregătire;

                     (b)

                     atribuțiile și responsabilitățile autorităților naționale competente la nivel național;

                     (c)

                     procedurile de gestionare a crizelor și canalele de schimb de informații de la nivel național;

                     (d)

                     identificarea măsurilor de pregătire, inclusiv exerciții și activități de formare;

                     (e)

                     identificarea părților interesate relevante din sectorul public și privat și a infrastructurii implicate;

                     (f)

                     procedurile și mecanismele naționale dintre autoritățile și organismele naționale relevante, inclusiv cele care răspund de toate comunitățile de securitate cibernetică, menite să asigure participarea efectivă a statelor membre la gestionarea coordonată a incidentelor și a crizelor de securitate cibernetică de mare amploare la nivelul Uniunii și sprijinul acordat în vederea acestei coordonări.

               Pe baza informațiilor furnizate de statele membre și de instituțiile, organele și agențiile UE, participanții cu rol operațional ar trebui să efectueze următoarele acțiuni de sprijin în cadrul unității cibernetice comune:

                     (a)

                     să stabilească primul raport integrat asupra situației la nivelul UE pe baza planurilor naționale de răspuns la incidente și crize de securitate cibernetică;

                     (b)

                     să instituie capacități de comunicare și instrumente sigure de schimb de informații;

                     (c)

                     să faciliteze adoptarea de protocoale pentru asistența reciprocă între participanți;

                     (d)

                     să organizeze exerciții și cursuri de formare între comunități pentru experții incluși pe lista capacităților operaționale disponibile ale UE;

                     (e)

                     să elaboreze un plan multianual pentru coordonarea exercițiilor.

               Atunci când este necesar, participanții cu rol operațional ar trebui să consulte participanții cu rol de sprijin. ENISA, cu sprijinul Comisiei, al Europol și al CERT-UE, ar trebui să permită schimbul de informații prin instituirea unor capacități de comunicare și a unor instrumente securizate de schimb de informații.
         Pentru ca planurile necesare să fie stabilite și activitățile comune să înceapă să fie lansate, acțiunile principale și, în măsura posibilului, acțiunile de sprijin din etapa a doua ar trebui finalizate până la 30 iunie 2022 [la 6 luni de la încheierea etapei 1].
         3.   Etapa 3 – Operaționalizarea unității cibernetice comune

            ACȚIUNI PRINCIPALE

         În urma aprobării de către Consiliu a concluziilor Comisiei cu privire la raportul din cea de a doua etapă, participanții cu rol operațional ar trebui să coordoneze desfășurarea echipelor UE de reacție rapidă în materie de securitate cibernetică în cadrul unității cibernetice comune și să instituie o platformă fizică care să le permită echipelor să desfășoare activități tehnice și operaționale. Pe baza activității pregătitoare desfășurate în cea de a doua etapă, participanții ar trebui să finalizeze Planul UE de răspuns la incidente și crize de securitate cibernetică. Participanții cu rol operațional ar trebui să se asigure că experții și capacitățile incluse pe lista capacităților operaționale disponibile ale UE sunt disponibili și pregătiți să contribuie la activitatea echipelor UE de reacție rapidă în materie de securitate cibernetică.
         Pentru a pune în aplicare Planul UE de răspuns la incidente și crize de securitate cibernetică, participanții ar trebui să definească un program de lucru anual.

            ACȚIUNI DE SPRIJIN

         Pentru a alinia comunicarea publică, comunitatea de diplomație cibernetică poate apela la unitatea cibernetică comună. Platforma le poate permite participanților să contribuie la atribuirea politică, precum și la atribuirea în contextul cadrului justiției penale utilizat la nivel polițienesc și judiciar. De asemenea, platforma poate facilita redresarea și poate permite obținerea de sinergii structurate cu capacitățile naționale și transfrontaliere de monitorizare și detectare.
         Pentru a asigura operaționalizarea unității cibernetice comune, acțiunile principale și, în măsura posibilului, acțiunile de sprijin din cea de a treia etapă ar trebui finalizate până la 31 decembrie 2022 [la 6 luni de la încheierea etapei 2].
         4.   Etapa 4 – Extinderea cooperării în cadrul unității cibernetice comune către entități private și raportarea progreselor înregistrate

            ACȚIUNE PRINCIPALĂ

         Participanții la unitatea cibernetică comună ar trebui să elaboreze un raport de activitate privind progresele înregistrate în punerea în aplicare a celor patru etape prevăzute în recomandare, care să descrie realizările obținute și provocările întâmpinate. Raportul respectiv ar trebui să includă informații statistice privind activitățile de cooperare operațională desfășurate în cele patru etape. Raportul ar trebui prezentat Comisiei și Înaltului Reprezentant.

            ACȚIUNI DE SPRIJIN

         Pentru a extinde capacitățile și informațiile de care dispun echipele UE de reacție rapidă în materie de securitate cibernetică, participanții ar trebui să se asigure că unitatea cibernetică comună oferă asistență la încheierea de acorduri de schimb de informații și de cooperare operațională între participanți și entități din sectorul privat care furnizează, printre altele, servicii legate de informațiile privind amenințările cibernetice și servicii de răspuns la incidente. O altă activitate pe care aceste echipe ar trebui să o întreprindă este asigurarea faptului că unitatea cibernetică comună sprijină în mod regulat activitățile de dialog și de schimb de informații privind amenințările și vulnerabilitățile cu utilizatorii de soluții de securitate cibernetică, în principal cu cei care intră în domeniul de aplicare al Directivei NIS sau care sunt reuniți în centrele de schimb de informații și de analiză (ISAC) de la nivelul UE.
         Statele membre ar trebui să sprijine entitățile care își desfășoară activitatea pe teritoriul lor, în special pe cele care intră în domeniul de aplicare al Directivei NIS, în ceea ce privește accesul la dialogurile public-privat cu ISAC de la nivelul UE și contribuția la aceste dialoguri.
         Pentru a garanta implicarea adecvată a sectorului privat, acțiunile principale și, în măsura posibilului, acțiunile de sprijin din cea de a patra etapă ar trebui finalizate până la 30 iunie 2023 [la 6 luni de la încheierea etapei 3].

                        MODALITĂȚI DE MOBILIZARE RAPIDĂ A CAPACITĂȚILOR OPERAȚIONALE ALE UE

                        CINE PUNE LA DISPOZȚIE CAPACITĂȚI: participanții cu rol operațional

                        CINE GESTIONEAZĂ CAPACITĂȚILE: participanții, în cadrul unității cibernetice comune, în conformitate cu atribuțiile și responsabilitățile convenite

                        Etapă

                        Obiectiv

                        Sarcină

                        Acțiune principală

                        Acțiune de sprijin

                        Etapa 1 – Definire

                     până la 31 decembrie 2021 [la 6 luni de la adoptare]

                     PREGĂTIRE

                        Identificarea capacităților

                        Întocmirea de către participanții cu rol operațional a unei liste a capacităților operaționale disponibile ale UE

                        Etapa 2 –

                        Pregătire

                     până la 30 iunie 2022 [la 6 luni de la încheierea etapei 1]

                     PREGĂTIRE

                        Definirea procedurilor și a modalităților relevante de activare a capacităților în caz de nevoie

                        Întocmirea de către participanții cu rol operațional a Planului UE de răspuns la incidente și crize de securitate cibernetică (Cadrul UE de răspuns la crizele de securitate cibernetică în temeiul planului de acțiune), pe baza planurilor naționale adoptate

                        Elaborarea de către participanții cu rol operațional de rapoarte integrate asupra situației la nivelul UE pe baza raportului asupra situației tehnice în materie de securitate cibernetică la nivelul UE

                     PREGĂTIRE

                        Capacități de exercițiu

                        Organizarea de către participanți a unor exerciții și formări comune (între comunități)

                        Elaborarea de către participanți a unui plan multianual de coordonare a exercițiilor

                     CONȘTIENTIZAREA SITUAȚIEI

                        Instituirea instrumentelor pentru schimbul de informații și a cererilor de sprijin

                        Dezvoltarea de către participanți a unui schimb de informații sigur și rapid

                        UNITATEA CIBERNETICĂ COMUNĂ ESTE OPRAȚIONALĂ Pe baza activității pregătitoare desfășurate de participanți în cadrul unui grup de lucru care urmează să fie înființat de Comisie

                        Etapa 3 – Desfășurare

                     până la 31 decembrie 2022 [la 6 luni de la încheierea etapei 2]

                     PREGĂTIRE

                        Adoptarea procedurilor, a modalităților și a memorandumurilor de înțelegere relevante pentru activarea capacităților în caz de nevoie

                        Finalizarea de către participanții cu rol operațional a Planului UE de răspuns la incidente și crize de securitate cibernetică și definirea punerii în aplicare a planului prin intermediul unor programe de lucru anuale

                        Acordarea de sprijin de către participanți în vederea creării de capacități naționale și transfrontaliere de monitorizare și detectare, inclusiv crearea de centre de operațiuni pentru securitate

                     RĂSPUNS COORDONAT

                        Desfășurarea capacităților în caz de nevoie

                        Coordonarea de către participanții cu rol operațional a echipelor operaționale ale UE de reacție rapidă în materie de securitate cibernetică prin intermediul platformei virtuale și fizice a unității cibernetice comune de la Bruxelles.

                        Coordonarea de către participanți a comunicării publice și contribuirea la atribuirea politică, precum și la atribuirea în contextul justiției penale

                        Etapa 4 – Extindere și raportare

                     până la 30 iunie 2023 [la 6 luni de la încheierea etapei 3]

                     CONȘTIENTIZAREA SITUAȚIEI

                        Asigurarea scalabilității prin implicarea sectorului privat în răspunsul la nevoile emergente

                        Prezentarea de către participanți a unui raport de activitate cu privire la progresele înregistrate, care să descrie rezultatele și provocările în baza informațiilor statistice

                        Încheierea de către participanți a unor acorduri privind schimbul de informații, precum și de acorduri de cooperare operațională cu furnizorii de securitate cibernetică

                     RĂSPUNS COORDONAT

                        Încheierea de către participanți a unor acorduri privind schimbul de informații cu utilizatorii de securitate cibernetică, în principal cu entitățile care intră în domeniul de aplicare al Directivei NIS și din cadrul ISAC de la nivelul UE

            (1)  COM(2020) 823 final 2020/0359 (COD), Bruxelles, din 16 decembrie 2020.