Risikovurderingsrapport om cyberresiliens i EUs telekommunikasjons- og elektrisitetssektorer

EUs medlemsland, med støtte fra EU-kommisjonen og ENISA, EUs byrå for cybersikkerhet, publiserte den første rapporten om cybersikkerhet og motstandskraft i Europas telekommunikasjons- og elektrisitetssektorer.

Rapporten peker på bekymringer rundt en rekke risikoer, inkludert risikoer for forsyningskjedesikkerhet, mangelen på cyberfagfolk og risikoen som utgjøres av ondsinnede aktiviteter fra cyberkriminelle og statsstøttede trusselaktører.

Risikoevalueringen identifiserte tekniske og ikke-tekniske risikoer mer detaljert. Både i telekommunikasjons- og elektrisitetssektorene er forsyningskjederisiko fortsatt den største bekymringen, spesielt når det gjelder utbygging av 5G og fornybar energiinfrastruktur. Ransomware, dataviskere og utnyttelse av nulldagssårbarheter ble også identifisert som en pågående, men presserende bekymring i begge sektorer, spesielt når det gjelder operativ teknologi.

For elektrisitetssektoren er den mest kritiske risikoen identifisert ondsinnede innsidere, ansporet av vanskeligheter med å vurdere nytt personell tilstrekkelig og tiltrekke lokalt cybersikkerhetstalent. For telekommunikasjonssektoren er de viktigste truslene angrep via roaming-infrastrukturer og angrep fra store botnettverk.

I tillegg ble fysisk sabotasje av kabelinfrastruktur og jamming av satellittsignaler identifisert som spesifikke risikoer som er spesielt vanskelige å redusere.

For å redusere disse risikoene gir rapporten en rekke anbefalinger på tvers av 4 forbedringsområder, som kan oppsummeres som følger: 

1. Motstandsdyktighet og cybersikkerhetsstilling kan forbedres gjennom å dele god praksis for å redusere løsepengevare, sårbarhetsovervåking, sikkerhet for menneskelige ressurser og ressursforvaltning. I tillegg samarbeider med tekniske medlemslands nettverk, den Responsteam for datasikkerhetshendelser (CSIRTer), rettshåndhevelse og internasjonale partnere må trappes opp. Medlemsstatene bør gjennomføre ytterligere egenvurderinger for sektorene i henhold til 2 NOK Direktiv og CER Direktiv.
2. Kollektiv cybersituasjonsbevissthet og informasjonsdeling må forbedres og inkludere den geopolitiske konteksten, potensiell fysisk skade og desinformasjon. 
3. Beredskapsplanlegging, krisehåndtering og operativt samarbeid må forbedres ved å korte ned linjer mellom sektorer og cybersikkerhetsmyndigheter i prosedyrer.
4. Sikkerhet i forsyningskjeden bør adresseres ytterligere med oppfølgingsvurderinger av avhengigheter av høyrisikoleverandører fra tredjeland og utvikling av et EU-rammeverk for forsyningskjedesikkerhet.

Gitt kritikken av infrastrukturene og nettverkene i omfanget av denne rapporten og i lys av det raskt utviklende trussellandskapet, og uten at det berører medlemsstatenes kompetanse når det gjelder nasjonal sikkerhet, oppfordres medlemsstatene, kommisjonen og ENISA til å implementere disse motstandsfremmende tiltak så raskt som mulig, basert på arbeidet som allerede er startet med implementering av noen av anbefalingene.

Annonse

Last ned rapporten nedenfor for mer informasjon.

Bakgrunn

Rådet, i sine konklusjoner om utviklingen av Den europeiske unions cyberstilling av 23. mai 2022, «inviterer[d] kommisjonen, den høye representanten og NIS Samarbeidsgruppe, i koordinering med relevante sivile og militære organer og byråer og etablerte nettverk, inkludert EU-SYKLON, å gjennomføre en risikoevaluering og bygge risikoscenarier fra et cybersikkerhetsperspektiv i en situasjon med trussel eller mulig angrep mot medlemsland eller partnerland og presentere dem for de relevante rådsorganene.

Videre, i sine 23. mai 2023-konklusjoner om EUs politikk for cyberforsvar, inviterer rådet de ovennevnte aktørene til å sikre at risikoevalueringer, scenarier og påfølgende anbefalinger blir tatt i betraktning når de definerer og prioriterer tiltak og støtte, på EU-nivå og der det er hensiktsmessig nasjonalt. Rådet ber videre om at «risikoscenarioene vurderes av alle relevante aktører i risikovurderingsprosesser, samt i utviklingen av cyberøvelser».

Risikoevalueringen følger opp en nylig rapport om cybersikkerheten og motstandskraften til EUs kommunikasjonsinfrastrukturer og -nettverk, som ble publisert i februar 2024.

Du kan lese mer informasjon om Retningslinjer for nettsikkerhet.

Nedlastinger

EUs cybersikkerhetsrisikoevaluering og scenarier for telekommunikasjons- og elektrisitetssektorene

Last ned  

Beslektede emner

CybersecurityElektronisk kommunikasjon og personvernTelekom regler

Del denne artikkelen: