Šī darbība aptver divas darbības no Cyber Solidarity Act, kas veltītas Cybersecurity Emergency Mechanism, proti, (1) koordinētu sagatavotības testēšanu vienībām, kas darbojas augstas kritiskuma pakāpes nozarēs visā Savienībā, un (2) citas sagatavotības darbības vienībām, kas darbojas augstas kritiskuma pakāpes nozarēs un citās kritiskās nozarēs.

Mērķi

Šo darbību mērķis ir papildināt, nevis dublēt dalībvalstu un Savienības līmeņa centienus paaugstināt aizsardzības līmeni un noturību pret kiberdraudiem, jo īpaši attiecībā uz kritiski svarīgām rūpnieciskām iekārtām un infrastruktūrām, palīdzot dalībvalstīm to centienos uzlabot sagatavotību kiberdraudiem un incidentiem, sniedzot tām zināšanas un pieredzi.

Priekšlikumiem jāsniedz ieguldījums vismaz viena no šādiem mērķiem sasniegšanā:

• (1. daļa) Koordinēta sagatavotības testēšana vienībām, kas darbojas augstas kritiskuma pakāpes nozarēs visā Savienībā (tostarp iekļūšanas testēšana un draudu novērtēšana), ņemot vērā gan IKT, gan operacionālās tehnoloģijas/rūpnieciskās vadības sistēmas.
• (2. daļa) Citas sagatavotības darbības vienībām, kas darbojas augstas kritiskuma pakāpes nozarēs un citās kritiskās nozarēs (t.i., ievainojamību uzraudzība, mācības un apmācības kursi).

Lai iegūtu sīkāku informāciju par darbībām, kas saistītas ar (1. daļu) un (2. daļu) un uz kurām attiecas pašreizējais projektu iesniegumu konkurss, lūdzu, skatiet attiecīgo konkursa dokumentu.

Sasniedzamo rezultātu veidi ir izklāstīti divās daļās.

Pirmā daļa ietver:

• Uzlabotu sadarbību, gatavību un kiberdrošības noturību ES; atbalsta pakalpojumus gatavības nodrošināšanai.
• Draudu novērtēšanas un risku novērtēšanas pakalpojumus.

Otrā daļa ietver:

• Risku uzraudzības pakalpojumus
• Labāku atbilstību, koordinētu ievainojamību atklāšanu un uzraudzību
• Uzlabotas prasmes, izmantojot vingrinājumus un mācību kursus, pasākumu un semināru organizēšanu. Ieinteresēto personu apspriedes un informatīvos ziņojumus.

[1. daļa Koordinēta gatavības pārbaude]

Gatavības atbalsta pakalpojumu sniegšana ietver turpmāk uzskaitītās darbības tām nozares vai apakšnozares vienībām, kuras Komisija ir identificējusi saskaņā ar Cyber Solidarity Act, no augstas kritiskuma pakāpes nozarēm, kas uzskaitītas Direktīvas (ES) 2022/2555 I pielikumā un precizētas katra šīs tēmas uzaicinājuma projektu pieteikumu dokumentācijā:

Atbalsts potenciālo ievainojamību pārbaudei:

• Penetrācijas testēšanas scenāriju izstrāde. Piedāvātie scenāriji var aptvert tīklus, lietotnes, virtualizācijas risinājumus, mākoņrisinājumus, rūpnieciskās vadības sistēmas un IoT.
• Atbalsts būtisku pakalpojumu sniedzēju, kas pārvalda kritisko infrastruktūru, testēšanai attiecībā uz potenciālām ievainojamībām.
• Atbalsts tādu digitālo rīku un infrastruktūru izvēršanai, kas atbalsta testēšanas scenāriju izpildi un mācību vadīšanu, piemēram, standartizētu kiberpoligonu vai citu testēšanas iekārtu izstrāde, kas spēj atdarināt kritisko nozaru (piem., enerģētikas nozare, transporta nozare u.c.) vai citu NIS 2 ietekmēto nozaru iezīmes, lai veicinātu kiberdrošības mācību izpildi, jo īpaši pārrobežu scenārijos, kur tas ir būtiski.
• Dalībvalstu vienību un dalībvalstu nozaru kiberdrošības spēju novērtēšana un/vai testēšana (tostarp spējas novērst, atklāt un reaģēt uz incidentiem, kā arī visas nozares stresa testi), novērtēšanas un atbilstības nodrošināšanas darbības, kuru mērķis ir brieduma līmeņa paaugstināšana, piemēram, pamatojoties uz izveidotiem brieduma modeļiem un/vai attiecīgām novērtēšanas un atbilstības shēmām.
• Iesaistīto vienību kiberdrošības spēju novērtēšana un/vai testēšana (tostarp piegādes ķēdes risku novērtēšanai un pārvaldībai).
• Konsultāciju pakalpojumi, sniedzot ieteikumus par to, kā uzlabot infrastruktūras drošību un spējas.

Atbalsts apdraudējumu novērtēšanai un risku novērtēšanai, piemēram:

• Apdraudējumu novērtēšanas procesa ieviešana un dzīves cikls.
• Pielāgota riska scenāriju analīze.

Atbalsts būs vērsts uz kompetentajām iestādēm dalībvalstīs, kurām ir centrālā loma NIS 2 direktīvas īstenošanā, piemēram, datorapdraudējumu reaģēšanas vienībām (CSIRTs) un valsts kiberdrošības iestādēm.

[2. daļa citas gatavības darbības]

Attiecībā uz otro daļu, papildus pakalpojumiem, kas jau uzskaitīti 1. daļā (atbalsts potenciālo ievainojamību pārbaudei un atbalsts apdraudējumu novērtēšanai un risku pārvaldībai), turpmāk iekļautā gatavības atbalsta pakalpojumu sniegšana ir vērsta uz vienībām, kas darbojas augstas kritiskuma pakāpes un citās kritiskajās nozarēs, kā minēts NIS 2 direktīvas I un II pielikumā.

Atbalsts apdraudējumu novērtēšanai un risku novērtēšanai:

• Piegādes ķēdes risku pārvaldība riska novērtēšanas pakalpojumu ietvaros.

Riska uzraudzības pakalpojums:

• Specifiska nepārtraukta riska uzraudzība, piemēram, uzbrukuma virsmas uzraudzība, aktīvu un ievainojamību riska uzraudzība.

Atbalsts koordinētai ievainojamību atklāšanai un pārvaldībai:

• Veicināt valsts CVD politiku [1] un EU Vulnerability Database pieņemšanu.
• Koordinēt ievainojamību atklāšanu un savlaicīgu drošības ielāpu izplatīšanu. Informācijas apmaiņas standartizācija starp dažādām ieinteresētajām personām ievainojamību apstrādes procesā.
• CVD lietotnes, kas pārvalda vairākus ievainojamības informācijas avotus, izmantojot atvērtos standartus vai tehnoloģijas (piem., pētnieki, pārdevēji, CSIRTs).
• Palielināt izpratni par ievainojamību pārvaldības labākās prakses ieviešanu.

Specializētas mācības un apmācību kursi:

• Izstrādāt [2] visaptverošas apmācību programmas un seminārus, tostarp starptautiskus, kiberdrošības profesionāļiem, kas aptvers jaunākās tendences kiberapdraudējumu, uzbrukumu metodoloģiju un labākās prakses jomā pirmsapdraudējumu pārvaldībā un novēršanā. Brieduma pārbaudes, kiberdrošības spēju novērtēšana.
• Veicināt kiberdrošības nepārtrauktas mācīšanās aktivitāšu [3] attīstību, lai sekotu līdzi visām kiberdrošības prasībām, ko nosaka ar ES kiberdrošību saistītās regulas un direktīvas, tostarp NIS 2 direktīva, CSA, CSoA, DORA, EECC, GDPR, CRA.

Atbalsts būs vērsts uz kompetentajām iestādēm dalībvalstīs, kurām ir centrālā loma NIS 2 direktīvas īstenošanā, datorapdraudējumu reaģēšanas vienībām (CSIRTs), tostarp nozaru CSIRTs, drošības operāciju centriem (SOC)/kibercentriem, augstas kritiskuma pakāpes un citām kritiskajām nozarēm, nozares ieinteresētajām personām (tostarp informācijas apmaiņas un analīzes centriem - ISACs) un jebkuriem citiem dalībniekiem, kas ietilpst NIS 2 direktīvas, DORA, CSA u.c. darbības jomā.

Atbalstu var sniegt, cita starpā, publiskā un privātā sektora organizāciju piesaistei CEF Cybersecurity Core Service Platforms, kuras strādā pie NIS 2 direktīvas īstenošanas un ir potenciālie CEF Cybersecurity Core Service Platforms lietotāji.

Darbība var arī atbalstīt nozari, īpašu uzmanību pievēršot jaunuzņēmumiem un SME, lai izmantotu rūpnieciskās un tirgus apguves iespējas, ko rada Cyber Resilience Act, un var atbalstīt NIS 2 direktīvas īstenošanu.

[1] Coordinated Vulnerability Disclosure Policies in the EU, ENISA, 2022, pieejams: https://www.enisa.europa.eu/publications/coordinated-vulnerability-disclosure-policies-in-the-eu

[2] Pamatojoties uz European Cybersecurity Skills Framework (ECSF)

[3] Pamatojoties uz ECSF: https://www.enisa.europa.eu/topics/education/european-cybersecurity-skills-framework