Organy UE muszą zwiększyć swoją gotowość do cyberbezpieczeństwa

Liczba cyberataków na organy UE gwałtownie rośnie. Poziom
gotowość do cyberbezpieczeństwa w organach UE jest różna i ogólnie nie jest
współmierne do rosnących zagrożeń. Ponieważ organy UE są silnie
połączone, słabość jednego może narazić innych na zagrożenia bezpieczeństwa.
Tak podsumowuje sprawozdanie specjalne Europejskiego Trybunału Sprawiedliwości
Audytorzy badający przygotowanie organów UE
przed zagrożeniami cybernetycznymi. Audytorzy zalecają, aby wiążące cyberbezpieczeństwo:
należy wprowadzić zasady oraz ilość środków dostępnych dla
Należy zwiększyć zespół reagowania na incydenty komputerowe (CERT-EU). ten
Komisja Europejska powinna również promować dalszą współpracę między UE
organów, twierdzą audytorzy, podczas gdy CERT-EU i Agencja Unii Europejskiej ds
Cyberbezpieczeństwo powinno w większym stopniu koncentrować się na tych organach UE, które mają mniej
doświadczenie w zarządzaniu cyberbezpieczeństwem.*

Liczba znaczących incydentów cybernetycznych w organach UE wzrosła o ponad
dziesięciokrotnie w latach 2018-2021; znacznie wzrosła praca zdalna
liczba potencjalnych punktów dostępu dla atakujących. Istotne incydenty
są zazwyczaj spowodowane złożonymi cyberatakami, które zazwyczaj wiążą się z użyciem
nowych metod i technologii, i może zająć tygodnie, jeśli nie miesiące, aby
zbadać i odzyskać. Jednym z przykładów był cyberatak na
Europejska Agencja Leków, gdzie wyciekły i manipulowano danymi wrażliwymi
podważyć zaufanie do szczepionek.

„*Instytucje, organy i agencje UE są atrakcyjnymi celami dla potencjału”
atakujących, w szczególności grup zdolnych do wykonywania wysoce wyrafinowanych
ataki z ukrycia dla cyberszpiegostwa i innych nikczemnych celów*”, powiedział
Bettina Jakobsen, członkini Trybunału Obrachunkowego, która kierowała audytem. „*Takie ataki mogą mieć
znaczące konsekwencje polityczne, szkodzą ogólnej reputacji UE,
i podważają zaufanie do jej instytucji. UE musi zintensyfikować wysiłki, aby:
chronić własne organizacje.*”

Głównym wnioskiem kontrolerów było to, że instytucje, organy i
agencje nie zawsze są dobrze chronione przed cyberzagrożeniami. Oni nie
konsekwentne podejście do cyberbezpieczeństwa, niezbędne kontrole i klucze
dobre praktyki w zakresie cyberbezpieczeństwa nie zawsze są stosowane, a cyberbezpieczeństwo
szkolenia nie są prowadzone systematycznie. Alokacja zasobów do
cyberbezpieczeństwo jest bardzo zróżnicowane, a wiele organów UE wydaje
znacznie mniej niż porównywalnych konkurentów. Chociaż różnice w
poziomy cyberbezpieczeństwa można teoretycznie uzasadnić różnym ryzykiem
profile każdej organizacji i różne poziomy wrażliwości
danych, którymi się zajmują, audytorzy podkreślają, że słabości cyberbezpieczeństwa w
jeden organ UE może narazić kilka innych organizacji na cyberbezpieczeństwo
zagrożenia (wszystkie organy UE są ze sobą powiązane, a często z publicznymi i
organizacje prywatne w państwach członkowskich).

Zespół Reagowania na Awarie Komputerowe (CERT-UE) i Unia Europejska
Agencja ds. Cyberbezpieczeństwa (ENISA) to dwa główne podmioty UE, którym powierzono zadania
udzielanie wsparcia w zakresie cyberbezpieczeństwa. Jednak nie byli w stanie
zapewnić organom UE wszelkie wsparcie, jakiego potrzebują dzięki zasobom
ograniczenia lub pierwszeństwo przyznania innym obszarom. Udostępnianie informacji jest
kontrolerzy twierdzą również, że jest to niedociągnięcie: na przykład nie wszystkie organy UE
terminowe raportowanie o podatnościach i znaczącym cyberbezpieczeństwie
incydenty, które miały na nich wpływ i mogą mieć wpływ na innych.

Obecnie nie ma ram prawnych dotyczących bezpieczeństwa informacji i
cyberbezpieczeństwo w instytucjach, agencjach i organach UE. Nie podlegają
najszerszemu prawodawstwu UE w zakresie cyberbezpieczeństwa, czyli dyrektywie NIS z 2016 r., lub
do proponowanej zmiany, dyrektywy NIS2. Nie ma też
wyczerpujące informacje na temat kwot wydanych przez organy UE na
bezpieczeństwo cybernetyczne. Wspólne zasady dotyczące bezpieczeństwa informacji i
cyberbezpieczeństwo dla wszystkich organów UE zostały uwzględnione w komunikacie w sprawie UE
Strategia unii bezpieczeństwa na lata 2020-2025, opublikowana przez
Komisja w lipcu 2020 r. W unijnej strategii cyberbezpieczeństwa na rzecz cyfryzacji
Decade, opublikowanej w grudniu 2020 r., Komisja zobowiązała się do zaproponowania
rozporządzenie w sprawie wspólnych zasad cyberbezpieczeństwa dla wszystkich organów UE. To również
zaproponował ustanowienie nowej podstawy prawnej dla CERT-UE w celu wzmocnienia
jego mandatu i finansowania.

e>

Udostępnij ten artykuł: