EU-skärpning mot högriskleverantörer inom kritisk infrastruktur

Bryssel (ANSA) – EU skärper reglerna för leverantörer från tredjeländer som anses vara högrisk för kritisk infrastruktur. Med den nya Cybersecurity Act, som föreslagits av EU‑kommissionen, blir riktlinjerna i ”5G Toolbox” bindande. Bryssel kan nu ålägga uteslutning av leverantörer, såsom Huawei och Zte, från kritisk infrastruktur.

Begränsningarna gäller inte bara 5G‑näten, utan utvidgas till annan kritisk teknik som fiberoptik, system för solenergi och säkerhetsskannrar. En gradvis utfasning av redan installerad utrustning är planerad. Förslaget till översyn av Cybersecurity Act, som i dag presenterades av Europeiska kommissionen i Strasbourg, syftar till att stärka EU:s ekosystem för cybersäkerhet för att möta den ökande intensiteten i cyberhoten.

Kärnan i den nya förordningen är åtgärderna för att stärka säkerheten i IKT‑försörjningskedjan. Förordningen inför inte ett uttryckligt förbud, utan en mekanism som gör det möjligt för EU och medlemsstaterna att identifiera och mildra risker i 18 kritiska sektorer i EU, med hänsyn även till de ekonomiska konsekvenserna och marknadsutbudet. Genom denna mekanism kan man först gå vidare med att identifiera – på grundval av strikta kriterier – de länder som utgör cybersäkerhetsrisker, och därefter identifiera de nyckeltillgångar som finns i IKT‑försörjningskedjorna.

Därefter går man vidare till att föreslå riskreducerande åtgärder för att hantera de identifierade riskerna, inklusive förbud mot att använda IKT‑komponenter från högriskleverantörer, baserat på en marknadsanalys och en bedömning av den ekonomiska påverkan. Förslaget innehåller dessutom förenklingsåtgärder för att hjälpa företag att uppfylla sina skyldigheter när det gäller cybersäkerhet.

EU:s cybersäkerhetsbyrå (Enisa) kommer att få nya resurser och ett bredare mandat för att samordna insatserna vid storskaliga cyberkriser och stödja genomförandet av politiken för cybersäkerhet. Slutligen föreslås en reform av den europeiska ramen för certifiering av cybersäkerhet (Eccf) för att förenkla förfarandena, utvidga tillämpningsområdet (inklusive ”managed security services” och entiteternas ”cyber posture”) och underlätta utvecklingen av certifieringssystem, genom att minska fragmenteringen av den digitala inre marknaden.