V návaznosti na nejnovější zprávu o pokroku členských států oznámila Komise další kroky v oblasti kybernetické bezpečnosti sítí 5G*

Členské státy EU dnes za podpory Evropské komise a Agentury Evropské unie pro kybernetickou bezpečnost (ENISA) zveřejnily druhou zprávu o pokroku při provádění souboru opatření EU pro kybernetickou bezpečnost sítí 5G. Zpráva se rovněž zabývá některými doporučeními zvláštní zprávy Evropského účetního dvora z ledna 2022. Ke zprávě o pokroku dnes Komise přijala sdělení o provádění souboru opatření členskými státy a v rámci vlastních komunikačních systémů EU i programů financování.

Pokud jde o strategická opatření, a zejména o uplatňování omezení vůči vysoce rizikovým dodavatelům, zpráva o pokroku uvádí, že 24 členských států přijalo nebo připravuje legislativní opatření, která vnitrostátním orgánům udělují pravomoc provádět posuzování dodavatelů a zavádět omezení. Z těchto 24 států již 10 omezení zavedlo a 3 v současné době připravují provedení vlastních předpisů v této oblasti. Vzhledem k významu infrastruktury pro konektivitu digitální ekonomiky a k závislosti mnoha kritických služeb na sítích 5G by členské státy měly všechna opatření ze souboru neprodleně zrealizovat.

Komise ve svém sdělení zdůrazňuje, že je velmi znepokojena riziky, která pro bezpečnost Unie představují někteří dodavatelé komunikačních zařízení mobilních sítí. Komise se domnívá, že rozhodnutí přijatá členskými státy ohledně omezení nebo vyloučení společností Huawei a ZTE ze sítí 5G jsou odůvodněná a v souladu se souborem opatření pro kybernetickou bezpečnost sítí 5G. V souladu s těmito rozhodnutími a na základě široké škály dostupných informací se Komise domnívá, že společnosti Huawei a ZTE ve skutečnosti představují podstatně vyšší rizika než jiní dodavatelé 5G.

Sdělení Komise o provádění souboru opatření

Bezpečnost sítí 5G je hlavní prioritou Evropské komise a zásadní součástí strategie bezpečnostní unie. Tyto sítě jsou centrální infrastrukturou, která poskytuje základ pro širokou škálu služeb nezbytných pro fungování vnitřního trhu a zachování a provoz životně důležitých společenských a hospodářských funkcí. Tato otázka má zásadní význam pro svrchovanost, strategickou autonomii a odolnost Unie. Komise ve svém sdělení, které bylo dnes přijato, bere na vědomí a vítá přijetí druhé zprávy o pokroku při provádění souboru opatření EU skupinou pro spolupráci v oblasti bezpečnosti sítí a informací.

Aniž jsou dotčeny pravomoci členských států, pokud jde o národní bezpečnost, Komise rovněž uplatnila kritéria souboru opatření při posouzení potřeb a zranitelných míst ve svých vlastních institucionálních komunikačních systémech a v systémech ostatních evropských orgánů, institucí a jiných subjektů, jakož i při provádění programů financování Unie s ohledem na celkové cíle politiky Unie. Na základě vlastního posouzení, které je v souladu s hodnocením některých členských států, Komise naléhavě vyzývá členské státy, které soubor opatření dosud neprovedly, aby urychleně přijaly příslušná opatření, jak je v souboru EU doporučeno, což umožní účinně a rychle řešit rizika představovaná identifikovanými dodavateli.

V rámci politiky týkající se vlastní kybernetické bezpečnosti a při uplatňování souboru opatření pro kybernetickou bezpečnost sítí 5G přijme Komise opatření, jež zabrání, aby byla její institucionální komunikace zprostředkována mobilními sítěmi, které jako dodavatele využívají společnosti Huawei a ZTE. Za tímto účelem přijme příslušná bezpečnostní opatření, aby se nepořizovaly nové služby konektivity, které jsou závislé na zařízeních těchto dodavatelů, a bude spolupracovat s členskými státy a telekomunikačními operátory, aby zajistila, že tito dodavatelé budou postupně vyřazováni ze stávajících služeb konektivity v prostorách Komise.

Komise má rovněž v úmyslu toto rozhodnutí promítnout do všech příslušných programů a nástrojů financování EU.

Druhá zpráva o pokroku při provádění souboru opatření pro kybernetickou bezpečnost sítí 5G

Zpráva přijatá členskými státy uvádí, že od první zprávy o pokroku z července 2020 se podařilo pokročit v realizaci hlavních opatření souboru EU. Převážná většina členských států posílila nebo posiluje bezpečnostní požadavky na sítě 5G na základě souboru opatření EU. Avšak navzdory dosaženému pokroku zpráva konstatuje, že tato situace vytváří očividné riziko přetrvávající závislosti na vysoce rizikových dodavatelích na vnitřním trhu, což by mohlo mít závažné negativní dopady na bezpečnost uživatelů a podniků v celé EU a na kritickou infrastrukturu EU.

Zpráva obsahuje tato doporučení pro členské státy:

Od mobilních operátorů by si měly vyžádat komplexní a podrobné informace o zařízeních pro sítě 5G, která v současné době za účelem budování těchto sítí používají, a o tom, jaká nová zařízení plánují používat nebo pořídit.
Při posuzování rizikového profilu dodavatelů by členské státy měly vzít v úvahu objektivní kritéria doporučená v souboru opatření EU. V této souvislosti je zřejmé, že mezi dodavateli zařízení pro sítě 5G existují zřetelné rozdíly, zejména pokud jde o pravděpodobnost, že budou ovlivňováni konkrétními třetími zeměmi, jejichž bezpečnostní zákony či správa a řízení podniků představují pro bezpečnost Unie potenciální riziko. Kromě toho by mělo být zohledněno, které dodavatele označily za vysoce rizikové jiné členské státy, a podpořit tak soudržnost a vysokou úroveň bezpečnosti v celé Unii.
Na základě posouzení dodavatelů by členské státy měly bez prodlení uplatnit omezení vůči vysoce rizikovým dodavatelům, jelikož každá ztráta času může zvýšit zranitelnost sítí v Unii a závislost Unie na vysoce rizikových dodavatelích, zejména v členských státech, kde tito dodavatelé působí ve zvýšené míře.
Pro účinné zmírnění rizik by členské státy měly zajistit, aby se omezení vztahovala na kritická a vysoce citlivá aktiva, která byla takto označena na základě koordinovaného posouzení rizik EU, včetně rádiové přístupové sítě.
Vztahuje-li se na určité zařízení omezení, nemělo by být provozovatelům povoleno instalovat nová zařízení tohoto typu. Jsou-li pro odstranění stávajícího zařízení povolena přechodná období, musí být stanovena tak, aby se zajistilo, že stávající zařízení bude odstraněno v co nejkratší možné lhůtě, s přihlédnutím k tomu, jaké bezpečnostní riziko ponechání daného zařízení od vysoce rizikových dodavatelů představuje. Během přechodného období by neměla být povolena instalace nového zařízení od vysoce rizikových dodavatelů.
Měly by zavést omezení vůči poskytovatelům spravovaných služeb (MSP) a v případě, že jsou úkoly externě zadány poskytovatelům MSP, vyžadovat posílená bezpečnostní ustanovení ohledně přístupu, který je jim poskytnut.
Měly by dále jednat o použitelnosti opatření týkajících se diverzifikacedodavatelů a o tom, jak nejlépe zajistit, aby žádná potenciální diverzifikace nevedla k novým nebo zvýšeným bezpečnostním rizikům, ale naopak přispívala k bezpečnosti a odolnosti.
Měly by vymáhat dodržování technických opatření a zajistit vysokou úroveň dohledu. Zvláštní pozornost by měla být věnována zejména opatřením, jež zajišťují uplatňování základních bezpečnostních požadavků, zvýšení bezpečnostních norem v postupech dodavatelů prostřednictvím přísných podmínek zadávání zakázek a bezpečné řízení, provoz a monitorování sítí 5G.

Souvislosti

Soubor opatření EU pro kybernetickou bezpečnost sítí 5G (dále jen „soubor opatření EU“), který v lednu 2020 zveřejnily orgány členských států (skupina pro spolupráci v oblasti bezpečnosti sítí a informací) za podpory Komise a agentury ENISA, má řešit rizika související s kybernetickou bezpečností sítí 5G. Stanoví a popisuje soubor strategických a technických opatření, jakož i odpovídající podpůrná opatření posilující jejich účinnost, která mohou být zavedena za účelem zmírnění rizik zjištěných ve zprávě o koordinovaném posouzení rizik kybernetické bezpečnosti sítí 5G na úrovni EU, jež byla vypracována na základě posouzení rizik jednotlivých států.

Soubor opatření a jeho klíčová doporučení schválila Komise a členské státy na nejvyšší úrovni. V říjnu 2020 Evropská rada vyzvala EU a členské státy, aby „v plné míře využívaly souboru opatření pro kybernetickou bezpečnost sítí 5G, přijatého dne 29. ledna 2020, a zejména aby uplatňovaly příslušná omezení vysoce rizikových dodavatelů pro klíčová aktiva definovaná jako kritická a citlivá v rámci koordinovaného posuzování rizik v EU na základě společných objektivních kritérií“. Ve svém doporučení z prosince 2022 Rada EU zopakovala, že „je důležité, aby členské státy dokázaly provést opatření doporučená v souboru nástrojů EU pro kybernetickou bezpečnost sítí 5G, a zejména aby zavedly omezení týkající se vysoce rizikových dodavatelů vzhledem k tomu, že časová prodleva může zvýšit zranitelnost sítí v Unii“.

První zpráva o pokroku členských států při provádění souboru opatření EU byla zveřejněna v červenci 2020. Dospěla k závěru, že v zájmu realizace souboru opatření EU byly podniknuty konkrétní kroky. Mnoho členských států již přijalo pokročilejší bezpečnostní opatření v oblasti kybernetické bezpečnosti sítí 5G nebo na jejich vypracování usilovně pracuje. Účetní dvůr dospěl ve své zvláštní zprávě z ledna 2022 k závěru, že od přijetí souboru opatření EU došlo při posilování bezpečnosti sítí 5G k pokroku. Rovněž zdůraznil, že členské státy uplatňovaly rozdílné přístupy k používání zařízení od vysoce rizikových dodavatelů nebo zavedly různý rozsah omezení.