Recitale
(1) Tehnologia digitală și conectivitatea globală reprezintă coloana vertebrală a creșterii economice, a competitivității și a transformării infrastructurii critice a Uniunii. Într-o economie interconectată și din ce în ce mai digitalizată crește însă și riscul de incidente de securitate cibernetică și de atacuri cibernetice. În plus, intensificarea tensiunilor geopolitice, a conflictelor și a rivalității strategice se reflectă în impactul, volumul și sofisticarea sporite ale activităților cibernetice răuvoitoare. Astfel de activități pot face parte din campanii hibride sau din operații militare. De asemenea, acestea pot afecta direct securitatea, economia și societatea Uniunii. În plus, ele au un potențial de propagare, în special atunci când aceste activități vizează țările care sunt parteneri strategici internaționali, cum ar fi țările candidate sau învecinate.
(2) Un incident de securitate cibernetică de mare amploare poate provoca un nivel de perturbare care depășește capacitatea unui stat membru de a răspunde la acesta sau are un impact semnificativ asupra mai multor state membre. În funcție de cauza și impactul său, un astfel de incident ar putea escalada, transformându-se într-o criză propriu-zisă care poate afecta buna funcționare a pieței interne sau poate prezenta riscuri de securitate și siguranță publică grave pentru entități sau cetățeni în mai multe state membre sau în Uniune în ansamblul său. Gestionarea eficace a crizelor este esențială pentru menținerea stabilității economice și protejarea autorităților guvernamentale, a infrastructurii critice, a întreprinderilor și a cetățenilor europeni, precum și pentru consolidarea securității și a stabilității internaționale în spațiul cibernetic. Prin urmare, gestionarea crizelor cibernetice face parte integrantă din cadrul general al UE de gestionare a crizelor.
(3) Având în vedere interdependențele și interconexiunile dintre mediile TIC ale entităților Uniunii și ale statelor membre, un incident într-o entitate a Uniunii ar putea prezenta un risc de securitate cibernetică pentru statele membre și invers. Schimbul de informații relevante și coordonarea în ceea ce privește atât incidentele de securitate cibernetică de mare amploare, cât și incidentele majore, astfel cum sunt definite la articolul 3 punctul 8 din Regulamentul (UE, Euratom) 2023/2841 al Parlamentului European și al Consiliului (1), sunt esențiale în contextul Planului de acțiune al UE pentru gestionarea crizelor cibernetice (în continuare „Planul de acțiune pentru gestionarea crizelor cibernetice”).
(4) În cazul unei crize pentru care a fost activat mecanismul integrat al UE pentru un răspuns politic la crize (IPCR) în temeiul Deciziei de punere în aplicare (UE) 2018/1993 a Consiliului (2) (în continuare „mecanismul IPCR”), Planul de acțiune pentru gestionarea crizelor cibernetice ar trebui să respecte pe deplin mecanismul IPCR în ceea ce privește coordonarea și răspunsul. Coordonarea politică și strategică ar urma să aibă loc în cadrul IPCR. Mecanismul IPCR este instrumentul de coordonare orizontală și de răspuns la nivelul politic al Uniunii. În temeiul mecanismului IPCR, decizia de activare sau de dezactivare a IPCR este luată de președinția Consiliului Uniunii Europene. Rapoartele privind analiza și conștientizarea integrată a situației (ISAA) elaborate de serviciile Comisiei și de Serviciul European de Acțiune Externă (SEAE) sprijină activitatea IPCR atât în modul „schimb de informații”, cât și în modul „activare integrală”.
(5) Statele membre au responsabilitatea principală în gestionarea incidentelor de securitate cibernetică și a crizelor cibernetice. Potențialul caracter transfrontalier și transsectorial al incidentelor de securitate cibernetică impune însă statelor membre și entităților relevante ale Uniunii să coopereze la nivel tehnic, operațional și politic pentru a se coordona în mod eficace în întreaga Uniune. Gestionarea crizelor cibernetice pe durata întregului lor ciclu de viață include pregătirea și conștientizarea comună a situației pentru a anticipa incidentele de securitate cibernetică de mare amploare, capacități de detectare necesare pentru identificarea instrumentelor de răspuns și de redresare de care e nevoie pentru a atenua și limita incidentele de securitate cibernetică de mare amploare, precum și capacități de reacție pentru a descuraja și preveni noi incidente.
(6) Recomandarea (UE) 2017/1584 a Comisiei (3) privind răspunsul coordonat la incidentele și crizele de securitate cibernetică de mare amploare stabilește obiectivele și modurile de cooperare între statele membre și entitățile Uniunii în ceea ce privește răspunsul la incidentele și crizele de securitate cibernetică de mare amploare. Ea a realizat un inventar al actorilor relevanți la nivel tehnic, operațional și politic și a explicat modul în care aceștia au fost integrați în mecanismele existente de gestionare a crizelor la nivelul Uniunii, cum ar fi mecanismul IPCR. Principiile de bază prevăzute în Recomandarea (UE) 2017/1584 rămân valabile, și anume subsidiaritatea, complementaritatea și confidențialitatea informațiilor, precum și abordarea pe trei niveluri (tehnic, operațional și politic). Prezenta recomandare pornește de la aceste principii de bază și este menită să înlocuiască Recomandarea (UE) 2017/1584, stabilind un nou cadru al Uniunii pentru gestionarea crizelor în materie de securitate cibernetică.
(7) Unele definiții utilizate în prezenta recomandare se bazează pe definițiile și termenii utilizați în Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului (4). Domeniul de aplicare al prezentei recomandări este însă diferit de domeniul de aplicare al Directivei (UE) 2022/2555. Prezenta recomandare stabilește cadrul Uniunii pentru gestionarea crizelor cibernetice în contextul pregătirii generale a UE pentru incidentele de securitate cibernetică de mare amploare și crizele cibernetice care decurg din astfel de incidente – indiferent de ce sector sau entitate sunt afectate. În măsura posibilului, definițiile se bazează pe cele cuprinse în Directiva (UE) 2022/2555.
(8) Este necesar un Plan de acțiune pentru gestionarea crizelor cibernetice actualizat care să ofere orientări clare și accesibile prin care să se explice ce este un incident de securitate cibernetică de mare amploare sau o criză cibernetică la nivelul Uniunii, cum se activează cadrul de gestionare a crizelor și care sunt rolurile rețelelor, ale actorilor și ale mecanismelor relevante de la nivelul Uniunii, precum și cum interacționează acești actori și aceste mecanisme pe parcursul întregului ciclu de viață al crizei cibernetice. Planul de acțiune pentru gestionarea crizelor cibernetice urmărește să sprijine cadrul mai larg al relațiilor civile și militare ale UE în contextul gestionării crizelor cibernetice, inclusiv pe fondul aprofundării relațiilor UE-NATO, inclusiv, acolo unde este posibil, prin mecanisme consolidate de schimb de informații favorabile incluziunii, reciproce și nediscriminatorii în gestionarea crizelor cibernetice.
(9) Ar trebui consolidată gestionarea transsectorială a crizelor la nivelul Uniunii pentru a permite un răspuns integrat la situații de criză, în special în cazurile în care incidentele de securitate cibernetică de mare amploare și crizele au urmări fizice. Prezenta recomandare completează mecanismul IPCR și alte mecanisme de gestionare a crizelor ale Uniunii, inclusiv sistemul general de alertă rapidă ARGUS al Comisiei, mecanismul de protecție civilă al Uniunii (UCPM) sprijinit de Centrul de coordonare a răspunsului la situații de urgență (ERCC) instituit în cadrul UCPM prin Decizia nr. 1313/2013/UE a Parlamentului European și a Consiliului (5) (în continuare „Decizia privind UCPM”), mecanismul de răspuns în caz de criză al SEAE (CRM), precum și alte procese, cum ar fi cele descrise în setul de instrumente al UE pentru diplomația cibernetică (6), în setul de instrumente al UE pentru contracararea amenințărilor hibride (7) și în protocolul revizuit al UE pentru combaterea amenințărilor hibride (8). De asemenea, aceasta completează și ar trebui să fie coerentă cu Recomandarea (UE) 2024/4371 a Consiliului referitoare la un Plan de acțiune privind un răspuns coordonat la nivelul Uniunii la perturbări ale infrastructurii critice cu o relevanță transfrontalieră semnificativă (9) (în continuare „Planul de acțiune al UE pentru infrastructura critică”), care acoperă reziliența fizică necibernetică și care vizează îmbunătățirea coordonării răspunsului la nivelul Uniunii în acest domeniu.
(10) Rețeaua europeană a organizațiilor de legătură în materie de crize cibernetice (EU-CyCLONe) este rețeaua pentru coordonarea gestionării incidentelor și crizelor de securitate cibernetică de mare amploare la nivel operațional, inclusiv în cazul incidentelor de securitate cibernetică de mare amploare și în cel al crizelor cibernetice transsectoriale. Pentru a nu face cadrele existente și mai complicate, ar trebui evitată crearea de structuri sectoriale care să se suprapună sarcinilor EU-CyCLONe. EU-CyCLONe ar trebui să primească informații operaționale legate de securitatea cibernetică și din partea sectoarelor și să transmită contribuții nivelului politic.
(11) Statele membre sunt încurajate să utilizeze pe deplin resursele financiare disponibile pentru securitatea cibernetică furnizate de programele relevante ale Uniunii. Ar trebui să se garanteze că aceste programe impun sarcini administrative minime solicitanților de finanțare și că participarea statelor membre la aceste programe este facilitată prin oferirea de orientări relevante privind opțiunile de sprijin financiar viabile.
(12) Prezenta recomandare contribuie la acțiuni de pregătire mai ample necesare Uniunii în situația unor crize transsectoriale, în conformitate cu principiile integrate în Strategia UE privind o uniune a pregătirii pentru situații de criză, și anume o abordare integrată care să ia în considerare toate riscurile, la nivelul întregii administrații și la nivelul întregii societăți, în special în ceea ce privește îmbunătățirea gradului de sensibilizare cu privire la riscuri și amenințări și răspunsul transsectorial la situații de criză,