Wstępna reakcja ITI na Cybersecurity Act: postęp w zakresie certyfikacji i ENISA, uproszczenia wciąż niewystarczające
BRUKSELA – Globalne stowarzyszenie branżowe sektora technologicznego ITI, Information Technology Industry Council, odniosło się do rewizji Cybersecurity Act (aktu o cyberbezpieczeństwie, CSA) przedstawionej przez Komisję Europejską, podkreślając, że mimo istotnych kroków w kierunku harmonizacji oraz usprawnień w zakresie programów certyfikacji i mandatu ENISA rewizja nie zapewnia znaczącego uproszczenia.
Choć wniosek ponawia zobowiązanie do usprawnienia polityk, nowe merytoryczne środki upraszczające są ograniczone.
„Po straconej szansie, jaką był Digital Omnibus, Cybersecurity Act nie zawiera konkretnych środków, które ograniczyłyby obciążenia związane z zapewnieniem zgodności i pozwoliły organizacjom skupić się na wzmacnianiu bezpieczeństwa zamiast na biurokracji” – powiedział Guido Lobrano, dyrektor generalny ITI ds. Europy.
„Wniosek sygnalizuje dobre intencje, jednak faktyczne środki upraszczające rozczarowują” – dodał Guido Lobrano.
ITI docenia starania na rzecz udoskonalenia europejskich ram certyfikacji cyberbezpieczeństwa (ECCF). Co istotne, wniosek odpowiada na wcześniejsze wyzwania, kładąc nacisk na skuteczniejsze podejście oparte na ryzyku, i nie zawiera wyraźnych ograniczeń związanych z suwerennością. Jednak mimo jednoznacznego obowiązku konsultowania się z interesariuszami w trakcie opracowywania certyfikacji brak jest odniesień do konkretnego mechanizmu, który by to umożliwiał. Dwunastomiesięczny termin na opracowanie projektu jest mieczem obosiecznym: choć może prowadzić do większej efektywności, grozi również zbyt skróconymi harmonogramami, uniemożliwiającymi rzeczywiste zaangażowanie interesariuszy.
Rozszerzony mandat ENISA słusznie uznaje kluczową rolę Agencji dla cyberbezpieczeństwa Europy oraz dla wspierania współpracy międzynarodowej. Wniosek wyraźnie zobowiązuje również ENISA do współpracy z interesariuszami z sektora prywatnego i dopuszcza tworzenie partnerstw publiczno-prywatnych – ułatwiając wspólne opracowywanie wytycznych, certyfikacji oraz inicjatyw na rzecz budowania zdolności.
Cyberbezpieczeństwo jest fundamentem suwerenności technologicznej. W obecnym kontekście UE słusznie dąży do wzmocnienia swojego bezpieczeństwa i odporności cyfrowego łańcucha dostaw. Wprowadzenie we wniosku ram zaufanego łańcucha dostaw ICT (Trusted ICT supply chain framework) jest co do zasady zgodne z rekomendacjami ITI (otwiera się w nowej karcie) dotyczącymi określenia jasnych, obiektywnych i opartych na ryzyku kryteriów oceny „zaufanych dostawców technologii” – a jeśli zostanie prawidłowo wdrożone, prawdopodobnie przyniesie dalszą jasność w tym zakresie. W przypadku uwzględniania kryteriów nietechnicznych przy określaniu zaufanych dostawców technologii muszą one być wąsko zdefiniowane, proporcjonalne i uzupełnione technicznym podejściem do bezpieczeństwa opartym na ryzyku.
Related News & Analysis
Dlaczego „wyłącznik awaryjny” AI nie jest rozwiązaniem uniwersalnym
AI is Supercharging Cyber Threats. Defenders Need New Tools and Partnerships.
