Zlepšení kybernetické bezpečnosti nebo zbavení se „nežádoucích“ značek

Ještě v únoru 2023 Evropský parlament na brífinku zvažoval a podepsal směrnici Evropské unie 2022/2555 , známější jako NIS2 , jejímž cílem je zvýšit úroveň kybernetické bezpečnosti v Unii. Hlavní ustanovení směrnice zahrnují tyto klíčové aspekty:

1. Rozšířené pokrytí: NIS2 rozšiřuje kategorie organizací, na které se směrnice vztahuje. To se nyní týká jak „nezbytných“, tak „důležitých“ organizací. Mezi klíčové organizace patří energetické společnosti, dopravní služby, banky, infrastruktura finančních trhů, zdravotnictví, digitální infrastruktura a vládní agentury. Mezi významné organizace patří poštovní služby, chemický a potravinářský průmysl, výrobci zdravotnických prostředků a další.
2. Povinné minimální bezpečnostní kontroly: NIS2 vyžaduje, aby všechny organizace implementovaly alespoň 10 základních bezpečnostních prvků, včetně řešení incidentů, zabezpečení dodavatelského řetězce, používání kryptografie, kontinuity podnikání a základní kybernetické hygieny (jako je vícefaktorové ověřování a školení zaměstnanců) ( Blog Infoblox ) ( DataGuard ).
3. Hlášení kybernetických incidentů: Směrnice zavádí víceúrovňový systém hlášení incidentů s přísnými lhůtami. Organizace musí hlásit významné incidenty svému CSIRT (Computer Emergency Response Team) nebo příslušnému úřadu do 24 hodin od zjištění incidentu, po kterých následuje 72 hodin na oznámení a v případě potřeby na předběžné hlášení.
4. Řízení rizik: Organizace by měly pravidelně provádět hodnocení rizik svých IT systémů, identifikovat potenciální hrozby a zranitelná místa a podniknout kroky k jejich zmírnění. To zahrnuje vývoj plánů kontinuity provozu a obnovy incidentů, aby se minimalizovaly prostoje a zajistila se kontinuita klíčových služeb.
5. Sankce a donucovací opatření: Vnitrostátní orgány mají právo uplatňovat dodatečná opatření, jako jsou příkazy k pozastavení nebo omezení činností organizací na ochranu bezpečnosti sítí a informačních systémů ( DataGuard ).

Co to znamená jednoduchými slovy ? To znamená, že ne všechna zařízení mohou v současnosti poskytovat poskytovatelé internetových služeb (ISP) a poskytovatelé telefonních služeb, pouze ta, která splňují určité požadavky a certifikáty.
A zařízení od známých čínských společností, jako je Huawei a ZTE, spadá do této rizikové zóny (ačkoli žádné dokumenty neuvádějí název žádné země nebo společnosti). V souvislosti se zařízením od čínských společností se hlavní obavy týkají bezpečnostních aspektů dodavatelských řetězců a rizik spojených s používáním zařízení a technologií ze zemí mimo EU, včetně Číny. To ohrožuje veškerý již nainstalovaný hardware těchto čínských značek. Subjekty považované za kritické a důležité dostanou sedm let na odstranění takového hardwaru nebo softwaru. Podnikatelé v oblasti telekomunikací, jejichž roční výnosy z telekomunikačních aktivit v předchozím finančním roce přesáhly 10 milionů PLN, tak však budou muset učinit do čtyř let – toto ustanovení se vztahuje na zařízení zodpovědná za služby kritické pro bezpečnost sítě. Mnoho středně velkých místních poskytovatelů internetových služeb již překročilo hranici příjmů 10 milionů PLN, což znamená, že režimu budou podléhat nejen největší telekomunikační společnosti, např.

Jak víte, Spojené státy zakázaly používání síťových zařízení od čínských společností, jako je Huawei a ZTE , v důsledku akcí zaměřených na zajištění národní bezpečnosti. Americká Federální komise pro komunikace (FCC) se rozhodla zakázat licencování a používání zařízení těchto společností, protože je považováno za hrozbu pro národní bezpečnost . Tento krok byl součástí implementace zákona SAFE Equipment Act z roku 2021, jehož cílem je předcházet rizikům spojeným s používáním cizího zařízení v kritické infrastruktuře ( Federal Communications Commission ).

Podle nových předpisů se americké společnosti musí zbavit zařízení od čínských společností , které bylo považováno za hrozbu pro národní bezpečnost. Tato opatření zahrnují výměnu stávajícího vybavení a zákaz jeho dalšího nákupu a používání ( Orrick ).

Kvůli nestabilní politické situaci ve světě, kdy Čína více inklinuje k východu, vidí mnoho zemí své technologie jako hrozbu z Číny, takže se snaží omezit používání čínského vybavení na kritické infrastruktuře (ze strachu ze špionáže nebo sabotáže) .

Španělsko již poskytlo více než 500 milionů eur na pomoc na zavedení sítí 5G ve venkovských oblastech, ale uvedlo, že někteří poskytovatelé, kteří se domnívají, že jsou „ vysoce rizikoví “, budou z programu vyloučeni. Španělská pobočka Huawei iniciovala tzv postup. „správní odvolání“, které tvrdilo, že vyloučení jednotlivých dodavatelů je „nepřiměřené“, „politicky motivované“ a jednoduše nezákonné. Od června 2023 vyvíjí Evropská komise tlak na země EU a vybízí je, aby opustily zařízení Huawei a ZTE . Německo a v menší míře Španělsko zároveň spoléhají více než ostatní v EU na vybavení některých čínských značek, a to do takové míry, že to EU považuje za „nepřijatelné“. Německo již zvažuje, že se takového vybavení vzdá, a čínská ambasáda uvedla, že ČLR „nezůstane lhostejná“ k takovým nepřátelským krokům.

Ve Španělsku je 38 % sítí 5G k prosinci 2022 postaveno na zařízení Huawei a v Německu hovoříme o 59 % (17 % ve Francii a 51 % v Itálii). Je známo, že Huawei již v Portugalsku podal odvolání proti rozhodnutí zakazujícím místním operátorům používat zařízení společnosti k budování 5G sítě.

Co všechny tyto buzzwords o kybernetické bezpečnosti znamenají pro běžného uživatele internetu a co se pro něj změní? Ano, v podstatě se nic nezmění , všechny tyto předpisy a novely leží na hlavách poskytovatelů internetu a komunikace. Pokud však zákon vstoupí v platnost a operátor zařízení nezmění nebo na to prostě není připraven, váš domácí internet pravděpodobně zmizí , mobilní internet zmizí a vaše 5G připojení bude zrušeno. A nejhorší je, že běžný uživatel nebude moci nic změnit; bude muset pouze čekat, až operátor podnikne potřebné kroky k rychlému vyřešení aktuální situace. A pokud operátor nemá náhradní zařízení, může odpojení od komunikace a internetu trvat nejen několik hodin, ale i několik dní či dokonce měsíců .

Směrnice Evropské unie NIS2 stanoví ambiciózní cíle pro zlepšení kybernetické bezpečnosti rozšířením působnosti organizací, na které se vztahuje, a stanovením přísných požadavků na bezpečnost a podávání zpráv. Důležitým důsledkem těchto kroků je zpřísnění požadavků na zařízení používaná poskytovateli internetových služeb a telekomunikačními společnostmi, což je zvláště důležité s ohledem na současná omezení uvalená na zařízení čínských výrobců, jako jsou Huawei a ZTE . Tyto změny by mohly výrazně ovlivnit strukturu telekomunikačního trhu v Evropě, urychlit modernizaci síťových zařízení a zvýšit celkovou úroveň kybernetické odolnosti ve strategicky důležitých odvětvích. Tato směrnice zároveň posiluje pozici Evropské unie v globální aréně kybernetické bezpečnosti, zajišťuje přísnější kontrolu nad zdroji možných hrozeb a přizpůsobuje bezpečnostní požadavky předním světovým standardům.
Tato směrnice může také významně ovlivnit zařízení ISP na polském telekomunikačním trhu. Poskytovatelé internetu a telekomunikační operátoři doufají, že se ministr pro digitalizaci nebude snažit stigmatizovat čínské firmy jako rizikové dodavatele a regulace budou jen hrozbou. Vždy je však třeba mít na paměti, že politika a mezinárodní situace mohou polskou vládu tlačit k ještě rychlejším akcím a konkrétním rozhodnutím .

autor:
Aliaksandr Roslikau