Šīs tēmas mērķis ir atbalstīt Eiropas ekosistēmu tās kiberdrošības kapacitātes stiprināšanā un atbalstīt regulatīvā satvara ieviešanu saskaņā ar Cyber Resilience Act (CRA), NIS 2 Directive, GDPR, DORA, Cybersecurity Act, īpašām AI Act prasībām u. c., izmantojot viendabīgu pieeju. Turklāt, saskaņā ar Digital education plan, kurā uzsvērta mūsdienu ekonomikai būtisku digitālo prasmju attīstība, un atbalstot tādas iniciatīvas kā Cybersecurity Skills Academy, būtu jāveicina arī ar kiberdrošības izaicinājumiem saistītas darbības. Šo iniciatīvu mērķis ir risināt prasmju trūkumu kiberdrošības jomā un attīstīt darbaspēku, kas spēj izpildīt regulatīvās un operatīvās prasības. Nodrošinot praktiskas apmācības, piesaistot jaunos speciālistus un veicinot daudzveidību šajā jomā, šie centieni ir būtiski Eiropas spējai reaģēt uz mainīgajiem kiberdraudiem un ievērot jauno likumdošanu. Turklāt šīs darbības veicina vienlīdzīgas iespējas un paaugstina kiberdrošības izpratni nākamajās paaudzēs, sniedzot ieguldījumu Eiropas plašākos stratēģiskajos mērķos digitālajā jomā.

ES kiberdrošības tiesību aktu ieviešana ir jāatbalsta, lai sasniegtu augstāku kiberdrošības līmeni ES, jo īpaši pastāvīgi mainīgajā apdraudējumu vidē. Kiberdrošības brieduma līmeņi atšķiras atkarībā no katras nozares. Tas nozīmē, ka ir nepieciešami centieni un ieguldījumi, lai nodrošinātu un nepārtraukti uzlabotu kiberdrošību gan publiskajā, gan privātajā sektorā. Šādi centieni un ieguldījumi ir izšķiroši katrā dalībvalstī, un tāpēc tiem ir nepieciešama lielāka uzmanība un kopīgi centieni Eiropas līmenī. Pilnvarošanas un pašnovērtējuma rīki var būt visefektīvākie.

Visos iepriekš minētajos centienos jāņem vērā, ka datu drošība un aizsardzība ir jāveicina IKT produktu un pakalpojumu projektēšanas un izstrādes laikā.

Jāaptver viens vai vairāki no šiem aspektiem:

• Vadlīniju, standartizētu procesu vai rokasgrāmatu ieviešana – ES vai vairākās ES dalībvalstīs – attiecībā uz vissarežģītākajiem jautājumiem, atbalstot konkrētas ieinteresētās personas un nozares, kuras skar kiberdrošības tiesību akti.
• Izstrādāt un ieviest rīkus, veicināt izpratni, kā arī mudināt un atvieglot nozares iesaisti, īpašu uzmanību pievēršot SME, attiecībā uz atbilstības novērtējumiem par būtiskām kiberdrošības prasībām produktiem ar digitāliem elementiem (aparatūra un programmatūra) saskaņā ar CRA.
• Atbalsts mehānismiem, kas samazina administratīvo slogu vienībām, piemēram, vienotais kontaktpunkts incidentu paziņošanai.
• Izveidot drošus saziņas kanālus, kas ļauj īstenot sadarbības un informācijas apmaiņas iniciatīvas.
• Atbalstīt regulāru sanāksmju/darbnīcu organizēšanu, lai identificētu labo praksi konkrētās nozarēs vai jaunās jomās un veicinātu sadarbību starp dažādām nozarēm.
• Atbalstīt mācību kursu izstrādi, pamatojoties uz ECSF, un vingrinājumus, kas veicina kapacitātes palielināšanu un iekšējo izpratni.
• Ieguldījums CR standartizācijā: Mācību materiāli un mācību pasākumi par kiberdrošības sertifikāciju valsts iestādēm un atbilstības novērtēšanas struktūrām.
• Sertifikācijas veicināšana: Izglītojoši un atbalsta materiāli, kā arī skaidrojoša preses kampaņa, izmantojot interaktīvus materiālus, piemēram, „Vai es atbilstu CRA?”. Informācijas kampaņa, izmantojot dažādus kanālus, piemēram, konferences, sanāksmes u.c. Tīmekļa vietne, kas veltīta obligātajai sertifikācijai un būtisko prasību atbilstības novērtēšanai.
• Mācību programmu un materiālu izstrāde, tostarp rīki pārrobežu sadarbībai un apmaiņai, kuru mērķis ir uzlabot dalībnieku prasmes un gatavību reālām apdraudējumiem. Šīs programmas var arī atbalstīt neformālo izglītību vidusskolēniem un skolotājiem, uzlabojot digitālās prasmes un kiberdrošības izpratni agrīnā izglītības posmā.
• Salīdzinošās novērtēšanas un izvērtēšanas programmu izveide, lai novērtētu un optimizētu dalībnieku sniegumu kiberdrošības mācību programmās, nodrošinot nepārtrauktu pilnveidi un saskaņotību ar nozares standartiem.
• Īstenot savstarpējās apmaiņas un stipendiju programmas, kuru mērķis ir veicināt savstarpēji saistītu, noturīgu kiberdrošības profesionāļu kopienu visā Eiropā. Šīs programmas ietvers arī atbalstu pārrobežu mācību iniciatīvām un neformālās izglītības aktivitātēm, nodrošinot, ka gan studenti, gan pedagogi var piedalīties praktiskā kiberdrošības apguvē un dot ieguldījumu ilgtermiņa talantu attīstībā.
• Pārrobežu sadarbības programmu izveide, lai atbalstītu Eiropas mēroga komandu attīstību kiberdrošības sacensībās. Šīs programmas nodrošinās piekļuvi mentorēšanai, progresīviem rīkiem un līderības apmācībai, nodrošinot, ka Eiropas komandas saglabā konkurētspēju globālā mērogā. Turklāt programmas veicinās Eiropas kiberdrošības līderības pēctecības attīstību, uzlabojot Eiropas redzamību un efektivitāti starptautiskajos kiberdrošības izaicinājumos.
• Atbalstīt organizācijas, tostarp SME, drošības un privātuma uzlabošanas tehnoloģiju robustuma, piemērojamības un atbilstības novērtēšanā, lai tās integrētu to izstrādātajos IKT produktos un pakalpojumos.
• Izveidot izmēģinājuma projektus, lai pārbaudītu atbilstību CRA, izmantotu atvērtā pirmkoda programmatūru un bibliotēkas atbilstības novērtēšanai un testēšanai; izstrādāt novērtēšanas metodoloģijas CRA atbilstības/prasību nolūkos.
• Izstrādāt labo praksi vai vadlīnijas tirgus uzraudzības iestāžu izveidei un darbībai dalībvalstīs; veicināt izpratni par CRA prasībām.
• Atbalstīt organizācijas, tostarp SME, privātuma uzlabošanas tehnoloģiju komercializācijā un demonstrēt, kā tās var risināt drošības un privātuma riskus, kas saistīti ar jaunajām tehnoloģijām.
• Veicināt sadarbību starp jauno tehnoloģiju ražotājiem, šo tehnoloģiju lietotājiem un regulatoriem. Šāda sadarbība ļautu identificēt, kuras prasības var izpildīt ar kuru privātuma uzlabošanas tehnoloģiju, kādos lietošanas gadījumos, cik lielā mērā tās varētu atvieglot atbilstību vai samazināt tās izmaksas, un kā to praktiski īstenot IKT produktu un pakalpojumu projektēšanas un izstrādes agrīnajās fāzēs.
• Stiprināt sadarbību visā privātuma uzlabošanas tehnoloģiju vērtību ķēdē, tostarp starp pētniekiem, pakalpojumu sniedzējiem, integratoriem un lietotājiem, kā arī GDPR valsts iestādēm/Eiropas uzraugiem.

ES kiberdrošības tiesību akti rada jaunus pienākumus un uzliek saistības galvenajām ieinteresētajām personām, IKT sistēmām, operatīvās tehnoloģijas un IoT ražotājiem. Piemēram, kiberdrošības sertifikācijas iegūšanas izmaksas IKT vai digitālajam produktam, pakalpojumam vai procesam bieži vien ir nepārvarams šķērslis ES jaunuzņēmumiem un SME.

Ir jāsniedz atbalsts šo saistību izpildei. Šīs darbības ietvaros veicamajām aktivitātēm ir nepieciešami dažāda veida atbalsta pasākumi, tostarp finansiāli un organizatoriski. Pieteikumos jāpievēršas vismaz vienam no atbilstošajiem kiberdrošības tiesību aktiem, taču tajos var iekļaut arī vairākus.

Uzmanība tiks pievērsta arī pārrobežu sadarbības veicināšanai un daudzveidības sekmēšanai kiberdrošības darbaspēkā, mudinot piedalīties sievietes un citas nepietiekami pārstāvētas grupas. Kopā ar tādām iniciatīvām kā Cybersecurity Skills Academy, šīs aktivitātes palīdzēs veidot kapacitāti, palielināt informētību un atbalstīt iepriekš minētā regulatīvā satvara ieviešanu. Integrējot šos izaicinājumus plašākā kapacitātes stiprināšanas satvarā, tiks nodrošināts, ka ieinteresētās personas dažādās nozarēs ir sagatavotas risināt mainīgos kiberdrošības draudus un ievērot jauno tiesisko regulējumu.

Saskaņā ar Digital Education Action Plan mērķiem, kas vērsti uz digitālo prasmju uzlabošanu visā Eiropā, ar kiberdrošības izaicinājumiem saistītās aktivitātes spēlēs izšķirošu lomu nākamās paaudzes kiberdrošības profesionāļu attīstībā. Šie izaicinājumi sniegs praktisku pieredzi jaunajiem profesionāļiem un studentiem, palīdzot mazināt kiberdrošības prasmju trūkumu un nodrošinot, ka viņi ir labi sagatavoti jauno tiesību aktu prasību izpildei.

Produktu un pakalpojumu novērtēšana ir būtisks solis ES kiberdrošības sertifikācijas procesā. Tā kā kiberdrošības draudi strauji attīstās un uzbrukumi kļūst arvien sarežģītāki, ir svarīgi rast veidu, kā risināt šos izaicinājumus. Turklāt ES ir jātiek galā ar informācijas sistēmu nepārtrauktu izaugsmi (izmēra un sarežģītības ziņā) un digitālās telpas ievērojamu paplašināšanos, nodrošinot ātru, bet drošu novērtējumu replicēšanu. Turklāt tā ir lieliska iespēja ES izstrādāt savstarpēji izmantojamus risinājumus, kas palielinās tās konkurētspēju. To darot, Savienība var paļauties uz lielu un dinamisku dalībnieku skaitu, kuri jau ir izstrādājuši augstas kvalitātes piedāvājumus.

Sertifikācijas process ir arī ļoti formāls attiecībā uz dokumentāciju, kas vēlāk tiek izmantota kā pierādījums sertifikāta izsniegšanai. Pašlaik nav platformas, kas palīdzētu atbalstītājiem pārvarēt izaicinājumus, ko rada daudzu dažādu un sarežģītu dokumentu izmantošana starp visām iesaistītajām pusēm.

Šī darbība ietver valsts kiberdrošības sertifikācijas iestāžu kapacitātes stiprināšanu, lai veiktu tirgus uzraudzību un uzraudzītu atbilstības novērtēšanas struktūras un kiberdrošības produktu, pakalpojumu un procesu būtisko prasību atbilstības novērtējumus. Tai būtu jānodrošina savstarpēja atzīšana starp dalībvalstīm.

Turklāt darbība ir vērsta arī uz atbilstības novērtēšanas struktūru un sertifikācijas laboratoriju spēju palielināšanu, lai tās atbilstu Cyber Security Act un Cyber Resilience Act prasībām attiecībā uz piegādātāju un pārdevēju atbilstības deklarāciju pārbaudi.

Darbība ietver arī atbalsta rīku izstrādi sertifikācijas un novērtēšanas procesiem, tostarp programmatūras platformu ‘Certification and Evaluation as a Service’, lai palīdzētu atbilstības novērtēšanā, kā arī atbalstu valsts vai starpreģionālo ekspertu centru izveidē, kas palīdzētu šajos procesos. Tās izstrādē būtu jāiesaista attiecīgās ieinteresētās personas, piemēram, CB, CAB un klientu pārstāvji.

Platforma ‘Certification and Evaluation as a Service’ varētu atvieglot un racionalizēt visas sertifikācijas procesā izmantotās dokumentācijas pārvaldību. Tā varētu arī palīdzēt paātrināt informācijas apmaiņu starp procesā iesaistītajām struktūrām. Platforma varētu palīdzēt saskaņot un standartizēt dokumentāciju un rīkus, kas tiks izmantoti visā Eiropā.

Galvenās jomas, kas tiek aplūkotas šīs darbības ietvaros, varētu ietvert:

• ES kiberdrošības tiesību aktu ieviešanas atbalstīšana, lai sasniegtu augstāku kiberdrošības līmeni Eiropā.
• Atbalsta sniegšana SME, kuru mērķis ir uzlabot kiberdrošības noturību, īpašu uzmanību pievēršot juridiskajām prasībām, kas izriet no ES tiesību aktiem, piemēram, NIS 2, Cyber Resilience Act, Cybersecurity Act u.c., tostarp praktiskas vadlīnijas un lietotājam draudzīgi rīki, kas ļauj uzņēmumam pārbaudīt, vai tā risinājumi atbilst jaunās likumdošanas prasībām, ņemot vērā atvērtos standartus.
• Ziņošanas platformu izstrāde NIS 2 (piemēram, incidentu ziņošanas platforma) un CRA (piemēram, ievainojamību vienotā ziņošanas platforma) vajadzībām.
• Īstermiņa un ilgtermiņa darbību izveide, lai sagatavotu profesionāļus pienācīgai jauno ES regulu prasību ieviešanai struktūrās, uz kurām attiecas šīs regulas.
• Programmu izstrāde daudzveidības un vienlīdzīgu iespēju veicināšanai visiem jaunajiem eiropiešiem, nodrošinot pielāgotas ievadprogrammas jauniešiem. Šīs programmas piedāvās resursus un ērtu piekļuvi izglītojošam saturam, nodrošinot, ka dalībnieki no dažādām vidēm var iesaistīties kiberdrošības apmācībās. Atbalstot neformālo izglītību un piedāvājot dalības iespējas, piemēram, kiberdrošības izaicinājumus, šie centieni palīdzēs nodrošināt nākamajai paaudzei prasmes, kas nepieciešamas, lai gūtu panākumus šajā nozarē.
• Sadarbības iniciatīvu radīšana un attīstība pārrobežu un starpnozaru kontekstā. Sadarbības veicināšana starp valsts un reģionālajām iestādēm, lai uzlabotu kiberdrošības noturību un paaugstinātu kiberdrošības brieduma līmeni, izstrādājot un ieviešot kopīgas metodoloģijas.
• Apmācību programmu platformu un starpvalstu apmaiņas rīku izstrāde un novērtēšana atbalstīs šos centienus. Turklāt salīdzinošās novērtēšanas un novērtēšanas programmas palīdzēs optimizēt sniegumu, uzlabojot dalībnieku prasmes. Šīs iniciatīvas, tostarp mācību materiāli, kuros kiberdrošības izaicinājumi ir viens no piemēriem, ietvers arī savstarpēju apmaiņu un sadarbības iespējas, veicinot savienotu kiberdrošības profesionāļu kopienu. Veicinot pārrobežu sadarbību un pastāvīgu iesaisti, šo programmu mērķis ir stiprināt Eiropas kiberdrošības darbaspēku un atbalstīt ilgtermiņa talantu attīstību.
• Atbalsts pārrobežu sadarbības programmu izstrādei, ļaujot Eiropas mēroga komandām piedalīties starptautiskos kiberdrošības konkursos, uzlabojot redzamību un konkurētspēju globālā mērogā. Šīs iniciatīvas nodrošinās komandām piekļuvi progresīviem rīkiem, mentorēšanai un līderības apmācībai, veicinot Eiropas kiberdrošības talantu piesaistes kanāla izaugsmi. Veicinot izcilību, prasmju attīstību un līderību, šis atbalsts nodrošinās, ka Eiropas labākie talanti saglabā konkurētspēju, ir labi sagatavoti un sadarbojas globālo kiberdrošības izaicinājumu risināšanā.

Papildus atbalsta sniegšanai valsts kiberdrošības sertifikācijas iestādēm, atbilstības novērtēšanas struktūrām un valsts akreditācijas iestādēm sertifikācijas jomā, NIS 2 direktīvas ieviešana turpināsies arī turpmākajos gados. Jo īpaši kompetentajām iestādēm būs jāpalielina kapacitāte revīzijas un atbilstības jomā, lai nodrošinātu, ka būtiskas un svarīgas struktūras pilda savus pienākumus. Būtu jānodrošina apmācības un informētības veicināšanas aktivitātes, kā arī uzticēšanās un pārliecības veidošanas pasākumi, lai atvieglotu informācijas apmaiņu un zināšanu veidošanu.

Kopumā šīs darbības mērķis ir palielināt sadarbību starp valsts iestādēm, atbalstot vai papildinot NIS direktīvas ietvaros izveidotās struktūras, kurām jāatbilst CRA (piemēram, Software Bill of Materials, CRA Single Reporting Platform ieguldījumi un atvērtie prototipi, CVD procesi vai drošības konsultāciju automatizācija, piemēram, CSAF), kā arī starp valsts iestādēm un ieinteresētajām personām, īpaši SME, lai paaugstinātu kiberdrošības brieduma līmeni, izstrādājot un ieviešot kopīgas metodoloģijas, kas ļautu struktūrām ieviest kiberdrošības procesus un izmantot produktus un pakalpojumus.

Šī darbība ietver kopīgu rīku izveidi un ieviešanu regulēšanai un izpildei, tostarp mērķtiecīgus drošības auditus un incidentu paziņojumus valsts kompetentajām iestādēm, lai atvieglotu informācijas apmaiņu.

Informācijas apmaiņas ietvaros darbība var ietvert arī:

• Valsts līmenī – valsts dalībnieku, kas strādā pie kiberdraudu izlūkošanas, un valsts kompetento iestāžu apvienošanu ap kopīgu platformu. Ieskaitot paziņošanas procesa atvieglošanu un centralizēšanu NIS 2 struktūrām.
• Vertikālā līmenī ES ietvaros – kiberdraudu izlūkošanas (CTI) neklasificētas informācijas apmaiņas organizēšanu vai atbalstīšanu konfidenciālā veidā starp attiecīgās vertikāles ieinteresētajām personām.
• ES līmenī – sadarbības starp valstīm un informācijas apmaiņas iespējošanu un organizēšanu.
• Sadarbību un vadlīniju satvara ieviešanu – ES vai vairākās ES dalībvalstīs –, lai nodrošinātu un nepārtraukti uzlabotu kiberdrošību gan publiskajā, gan privātajā sektorā, labāk aizsargājot to datus, būtiski samazinot visizplatītāko kiberuzbrukumu risku un palielinot kiberdrošības noturību kopumā.

Papildus šī tēma veicina drošību un privātumu "pēc noklusējuma" esošajās un topošajās tehnoloģijās, lietojumprogrammās un aparatūrā, tostarp IoT, operatīvajās tehnoloģijās, identitātes un e-pārvaldes sistēmās, atbalstot un/vai finansējot pētniecības un inovācijas iespējas. Privātumu uzlabojošas tehnoloģijas mērķis ir samazināt riskus datu subjektu privātumam. Drošības un privātuma funkciju ieviešana topošajās tehnoloģijās, lietojumprogrammās un aparatūrā jau no paša sākuma – projektēšanas un ieviešanas fāzē [1] – nodrošina, ka potenciālās ievainojamības un riski tiek atpazīti un novērsti agrīnā izstrādes procesa posmā. Turklāt, lai atbilstu datu aizsardzības regulām, šī pieeja var būt rentablāka un samazinātu drošības un personas datu aizsardzības pārkāpumu iespējamību.

Konsorcijiem būtu jāapsver iespēja iekļaut vismaz vienu pārstāvi no katras no šīm kategorijām, lai atspoguļotu visu vērtību ķēdi: privātumu uzlabojošu tehnoloģiju pētniekus, privātumu uzlabojošu tehnoloģiju nodrošinātājus, IKT produktu un pakalpojumu izstrādātājus, kas integrē privātumu uzlabojošas tehnoloģijas, un IKT produktu un pakalpojumu lietotāju organizācijas.

[1] Data Protection Engineering, ENISA, 2022, pieejams: https://www.enisa.europa.eu/publications/data protection-engineering.