Plan oparto na podobnym dokumencie z 2017 r., uwzględniając niedawno przyjęte unijne regulacje: przede wszystkim dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa (NIS2) i rozporządzenie – akt o cybersolidarności. W dokumencie wykorzystano też wnioski z unijnych ćwiczeń cyberbezpieczeństwa, takich jak Blue OLEx 2023, w których uczestniczyły wszystkie państwa członkowskie.

Co to jest cyberkryzys i incydent cyberbezpieczeństwa na dużą skalę?

W planie wyjaśniono, że incydentem cyberbezpieczeństwa na dużą skalę jest incydent, który powoduje poziom zakłóceń przekraczający zdolność reagowania państwa członkowskiego lub ma znaczący wpływ na co najmniej dwa państwa członkowskie. Z kolei kryzys cyberbezpieczeństwa (cyberkryzys) uniemożliwia prawidłowe funkcjonowanie rynku wewnętrznego lub stwarza poważne zagrożenia dla bezpieczeństwa publicznego i ochrony podmiotów lub obywateli w kilku państwach członkowskich lub całej Unii.

Jak podkreśla Rada UE, mimo że odpowiedzialność za zarządzanie incydentami cyberbezpieczeństwa spoczywa głównie na poszczególnych państwach członkowskich, to w przypadku incydentów na dużą skalę i kryzysów cyberbezpieczeństwa zasadnicze znaczenie ma współpraca między państwami - na poziomie technicznym, operacyjnym i politycznym - oraz zaangażowanie podmiotów i mechanizmów unijnych.

W grę wchodzą tu m.in. Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), europejska sieć organizacji łącznikowych ds. kryzysów cyberbezpieczeństwa (EU-CyCLONe) oraz unijna sieć zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT-ów; w UE działa ich 675, z czego 39 należy do sieci). Plan zawiera wskazówki dotyczące działań na każdym etapie kryzysu: od przygotowania się na cyberincydenty, przez ich wykrywanie i reakcję na nie, aż po odbudowę i analizę przebiegu.

Plan był priorytetem w zakresie cyberbezpieczeństwa

Przyjęcie tego dokumentu realizuje kluczowy priorytet polskiej prezydencji w zakresie cyberbezpieczeństwa. - Dziś nie pytamy już, czy dojdzie do cyberataku, ale kiedy, w jakiej skali, jak możemy mu przeciwdziałać i jak skutecznie reagować – stwierdza wicepremier i minister cyfryzacji, Krzysztof Gawkowski. - Potrzebujemy wspólnych ram, które pozwolą państwom członkowskim działać szybko, spójnie i solidarnie – podkreśla.

Plan zarządzania cyberkryzysami przyjęto podczas posiedzenia Rady ds. Transportu, Telekomunikacji i Energii. Jak wskazuje Ministerstwo Cyfryzacji, kolejnymi krokami wdrażającymi plan w Europie będą m.in. ćwiczenia cyberbezpieczeństwa i przegląd procedur operacyjnych sieci CSIRT-ów i EU-CyCLONe.

- W sytuacjach kryzysowych nie ma miejsca na improwizację, zwłaszcza w dzisiejszym szybko ewoluującym i niepewnym środowisku geopolitycznym. Jest to kluczowy element naszej strategii gotowości Unii – podkreśla Henna Virkkunen, wiceprzewodnicząca wykonawcza ds. suwerenności technologicznej, bezpieczeństwa i demokracji.