Polityka UE. Komisja oceniająca rolę ENISA w obliczu impasu w sprawie certyfikatów cybernetycznych

Ocena następuje, ponieważ kraje UE nie mogą dojść do porozumienia w sprawie dobrowolnych programów certyfikacji cyberbezpieczeństwa.

Jak wynika z konsultacji przesłanych przedsiębiorstwom w zeszłym tygodniu, Komisja Europejska zwraca się do branży i rządów krajowych o opinie na temat funkcjonowania, efektywności i zakresu prac europejskiej Agencji ds. Bezpieczeństwa Cybernetycznego ENISA.

Celem kwestionariusza jest ocena praktyk pracy ENISA, a także potencjalnej potrzeby modyfikacji mandatu agencji i wszelkich konsekwencji finansowych.

Posunięcie to następuje w związku z tym, że unijny akt o cyberbezpieczeństwie (CSA), który wszedł w życie w 2019 r. i dał ENISA mandat do nadzorowania wdrażania ogólnounijnych przepisów dotyczących cyberbezpieczeństwa, ma zostać poddany przeglądowi tego lata.

Agencja z siedzibą w Atenach, zatrudniająca nieco ponad 100 pracowników, współpracuje z Komisją i 27 państwami członkowskimi UE nad wzmocnieniem polityki cybernetycznej bloku. Ma także za zadanie zwiększać wiarygodność produktów ICT poprzez certyfikację.

W ramach umowy o podziale kosztów ENISA może ustanowić dobrowolne systemy certyfikacji, które powinny wykazać, że certyfikowane rozwiązania ICT zapewniają odpowiedni poziom ochrony cyberbezpieczeństwa na rynku UE. Komisja może zwrócić się do ENISA o sprawdzenie certyfikatów, co zostanie omówione przez ekspertów i będzie również wymagało zatwierdzenia przez państwo członkowskie.

Jak dotąd z trzech certyfikatów zaproponowanych od 2019 r. zatwierdzono tylko jeden, dotyczący podstawowych produktów ICT. Jedno dotyczące 5G jest nadal w toku, podobnie jak drugie – które zostało mocno upolitycznione – dotyczące usług w chmurze.

Francja dążyła do wprowadzenia w tekście wymogów dotyczących suwerenności, które miały na celu wykluczenie firm działających w chmurze spoza UE z kwalifikowania się do opcji o najwyższym poziomie bezpieczeństwa. Propozycja spotkała się z ostrym oporem kilku krajów UE i branży, postrzegając ją jako jawne posunięcie protekcjonistyczne. Nie widać żadnego porozumienia, a kolejne spotkanie grupy ekspertów zaplanowano na marzec.

Podczas konsultacji organ wykonawczy UE pyta, czy w ciągu ostatnich czterech lat ENISA osiągnęła wiodącą pozycję jako ośrodek wiedzy specjalistycznej w zakresie cyberbezpieczeństwa, czy zapewnia państwom członkowskim wystarczające wytyczne i czy jej wielkość jest odpowiednia do powierzonych jej prac.

W ankiecie można przesyłać opinie do 27 lutego.