EU-organer skal optrappe deres cybersikkerhedsberedskab

Antallet af cyberangreb på EU-organer er stærkt stigende. Niveauet
af cybersikkerhedsberedskab inden for EU-organer varierer og er det generelt ikke
står mål med de voksende trusler. Da EU-organer er stærkt
sammenkoblet, kan en svaghed hos én udsætte andre for sikkerhedstrusler.
Sådan lyder konklusionen i en særrapport fra EU-domstolen
Revisorer, som undersøger, hvor forberedte EU's styrende enheder er
mod cybertrusler. Revisorerne anbefaler, at forpligtende cybersikkerhed
regler bør indføres, og mængden af ​​ressourcer til rådighed for
Computer Emergency Response Team (CERT-EU) bør øges. Det
Europa-Kommissionen bør også fremme yderligere samarbejde mellem EU
organer, siger revisorerne, mens CERT-EU og Den Europæiske Unions Agentur for
Cybersikkerhed bør øge deres fokus på de EU-organer, der har mindre
erfaring med styring af cybersikkerhed.*

Væsentlige cybersikkerhedshændelser i EU-organer steg mere end
tidoblet mellem 2018 og 2021; fjernarbejde er steget betydeligt
antallet af potentielle adgangspunkter for angribere. Væsentlige hændelser
er generelt forårsaget af komplekse cyberangreb, der typisk involverer brugen
af nye metoder og teknologier, og det kan tage uger, hvis ikke måneder
undersøge og komme sig fra. Et eksempel var cyberangrebet på
European Medicines Agency, hvor følsomme data blev lækket og manipuleret
at underminere tilliden til vacciner.

"*EU-institutioner, -organer og -agenturer er attraktive mål for potentiale
angribere, især grupper, der er i stand til at udføre meget sofistikerede
stealth-angreb til cyberspionage og andre uhyggelige formål*”, sagde
Bettina Jakobsen, ECA-medlemmet, der ledede revisionen. “*Sådanne angreb kan have
betydelige politiske konsekvenser, skader EU's generelle omdømme,
og underminerer tilliden til dets institutioner. EU skal optrappe sine bestræbelser på at
beskytte sine egne organisationer.*”

Revisorernes hovedkonstatering var, at EU-institutioner, -organer og
agenturer er ikke altid godt beskyttet mod cybertrusler. De gør ikke
tilgang cybersikkerhed konsekvent, væsentlige kontroller og nøgle
God praksis for cybersikkerhed er ikke altid på plads, og cybersikkerhed
uddannelse er ikke systematisk. Tildelingen af ​​ressourcer til
cybersikkerhed varierer meget, og en række EU-organer bruger penge
betydeligt mindre end sammenlignelige jævnaldrende. Selvom forskelle i
cybersikkerhedsniveauer kunne teoretisk set retfærdiggøres af de forskellige risici
profiler for hver organisation og de forskellige følsomhedsniveauer af
data, de håndterer, understreger revisorerne, at cybersikkerhedssvagheder i en
et enkelt EU-organ kan udsætte flere andre organisationer for cybersikkerhed
trusler (EU-organer er alle forbundet med hinanden og ofte til offentlige og
private organisationer i medlemsstaterne).

Computer Emergency Response Team (CERT-EU) og Den Europæiske Union
Agenturet for Cybersikkerhed (ENISA) er EU's to hovedenheder, der har til opgave
yde støtte til cybersikkerhed. Det har de dog ikke kunnet
give EU-organer al den støtte, de har brug for på grund af ressourcer
begrænsninger eller prioritet til andre områder. Informationsdeling er
også en mangel, siger revisorerne: for eksempel er det ikke alle EU-organer, der bærer
udsende rettidig rapportering om sårbarheder og betydelig cybersikkerhed
hændelser, der har påvirket dem og kan påvirke andre.

I øjeblikket er der ingen juridiske rammer for informationssikkerhed og
cybersikkerhed i EU-institutioner, -agenturer og -organer. De er ikke underlagt
til den bredeste EU-lovgivning om cybersikkerhed, NIS-direktivet fra 2016, eller
til dets foreslåede revision, NIS2-direktivet. Der er heller ingen
omfattende oplysninger om det beløb, som EU-organer har brugt på
cybersikkerhed. De fælles regler om informationssikkerhed og vedr
cybersikkerhed for alle EU-organer er inkluderet i meddelelsen om EU
Sikkerhedsunionens strategi for perioden 2020-2025, udgivet af
Kommissionen i juli 2020. I EU's cybersikkerhedsstrategi for det digitale
Årti, offentliggjort i december 2020, forpligtede Kommissionen sig til at foreslå en
forordning om fælles cybersikkerhedsregler for alle EU-organer. Det også
foreslået etablering af et nyt retsgrundlag for CERT-EU for at styrke
dets mandat og finansiering.

e>

reklame

Del denne artikel: