Samorzad.gov.pl

Krajowe Strategia bezpieczeństwa cybernetycznego

Pod koniec 2020 r. Komisja Europejska i Wysoki Przedstawiciel Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa przedstawili nową strategię UE w zakresie cyberbezpieczeństwa.

Strategia obejmuje bezpieczeństwo podstawowych usług, takich jak szpitale, sieci energetyczne i koleje. Obejmuje również bezpieczeństwo stale rosnącej liczby podłączonych obiektów w naszych domach, biurach i fabrykach.

Strategia koncentruje się na budowaniu wspólnych zdolności do reagowania na poważne cyberataki oraz współpracy z partnerami na całym świecie w celu zapewnienia międzynarodowego bezpieczeństwa i stabilności w cyberprzestrzeni.

Prawodawstwo i certyfikacja

Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dyrektywa NIS 2)

Zagrożenia dla cyberbezpieczeństwa prawie zawsze mają charakter transgraniczny, a cyberatak na obiekty krytyczne jednego państwa może mieć wpływ na całą UE. Kraje UE muszą mieć silne organy rządowe, które nadzorują cyberbezpieczeństwo w ich kraju i współpracują ze swoimi odpowiednikami w innych państwach członkowskich poprzez wymianę informacji. Jest to szczególnie ważne w sektorach, które mają kluczowe znaczenie dla naszych społeczeństw.

Pierwsza dyrektywa w sprawie bezpieczeństwa sieci i systemów informatycznych (dyrektywaw sprawie bezpieczeństwa sieci i informacji)zapewnia tworzenie takich organów rządowych i współpracę z nimi. Dyrektywa ta została poddana przeglądowi pod koniec 2020 r., co doprowadziło do przedstawienia wniosku i przyjęcia dyrektywy NIS 2. Państwa członkowskie miały czas do 18 października 2024 r. na pełną transpozycję i wdrożenie NIS2.

ENISA – unijna agencja ds. cyberbezpieczeństwa

ENISA jest Agencją Unii Europejskiej ds. Cyberbezpieczeństwa, która została ustanowiona w 2005 r. Mandat został zmieniony w 2019 r. i od tego czasu Agencja ma stały mandat. 

Główne cele i zadania ENISA określono w akcie podstawowym, a mianowicie w akcie o cyberbezpieczeństwie. ENISA zapewnia wsparcie państwom członkowskim, instytucjom UE i przedsiębiorstwom w kluczowych obszarach, w tym we wdrażaniu dyrektywy w sprawie bezpieczeństwa sieci i informacji, aktu w sprawie cyberodporności i aktu w sprawie cybersolidarności. Agencja wspiera również proces certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT i procesów ICT, jak określono w tytule III umowy o podziale kosztów. 

Akt o cyberbezpieczeństwie

Akt o cyberbezpieczeństwie został przyjęty w 2019 r. i wzmocnił rolę Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA). Dała agencji stały mandat i upoważniła ją do przyczynienia się do zacieśnienia współpracy operacyjnej i zarządzania kryzysowego w całej UE. Dysponuje również większymi zasobami finansowymi i ludzkimi niż wcześniej.

W akcie o cyberbezpieczeństwie ustanowiono również europejskie ramy certyfikacji cyberbezpieczeństwa (ECCF), w których określono wspólne wymogi w zakresie cyberbezpieczeństwa i kryteria oceny certyfikacji produktów ICT, usług ICT i procesów ICT. Więcej informacji można znaleźć na specjalnej stronie internetowej ENISA.

Ukierunkowana zmiana aktu o cyberbezpieczeństwie, przyjęta w dniu 15 stycznia 2025 r., rozszerzyła zakres certyfikacji na usługi zarządzane w zakresie bezpieczeństwa.

Akt dotyczący cyberodporności

Akt dotyczący cyberodporności wszedł w życie 10 grudnia 2024 r. Ustanawia ona wspólne normy dla produktów z elementami cyfrowymi, w tym sprzętu i oprogramowania. Takie produkty muszą spełniać szczególne wymogi w zakresie cyberbezpieczeństwa w całym cyklu życia, w tym automatyczne aktualizacje zabezpieczeń i zgłaszanie incydentów. Ustawa wprowadza również obowiązek dochowania należytej staranności przez producentów, zapewniając, aby produkty były bezpieczne już w fazie projektowania i domyślnie. Rozporządzenie to chroni konsumentów i przedsiębiorstwa przed cyberzagrożeniami, zapewniając bezpieczniejsze środowisko cyfrowe.

Akt o cybersolidarności

Akt o cybersolidarności wszedł w życie 4 lutego 2025 r., a jego celem jest poprawa gotowości, wykrywania i reagowania na cyberincydenty w całej UE.