Direktiva CER in kibernetska varnost: Nov standard odpornosti za kritično infrastrukturo v EU
V času, ko se Evropa sooča z naraščajočimi in kompleksnimi grožnjami – od geopolitičnih napetosti, naravnih nesreč do obsežnih kibernetskih napadov – je postalo jasno, da tradicionalni pristopi k zaščiti kritične infrastrukture ne zadostujejo več. V odgovor na to realnost je Evropska unija oblikovala novo zakonodajo: Direktivo o odpornosti kritičnih subjektov (CER – Critical Entities Resilience Directive).
Direktiva CER nadgrajuje in dopolnjuje direktivo NIS2 ter uvaja širši koncept odpornosti, ki vključuje tako fizične kot kibernetske grožnje. V tem članku bomo raziskali ključne vidike direktive, njen pomen za kibernetsko varnost in vpliv na operaterje bistvenih storitev.
Kaj je direktiva CER?
Direktiva CER (EU) 2022/2557 je bila sprejeta decembra 2022 kot del svežnja ukrepov za kibernetsko in fizično odpornost kritične infrastrukture. Nadomešča prejšnjo Direktivo 2008/114/ES in razširja področje uporabe s poudarkom na celoviti odpornosti bistvenih storitev, ne le infrastrukture.
CER se osredotoča na zaščito kritičnih subjektov, ki zagotavljajo storitve bistvene za ohranjanje osnovnih funkcij družbe, zdravja, varnosti in ekonomije. Med sektorji, zajetimi z direktivo, so energetika, promet, zdravstvo, vodni sektor, digitalna infrastruktura, bančništvo, proizvodnja in distribucija hrane ter javna uprava.
Povezava med direktivo CER in kibernetsko varnostjo
Čeprav se CER formalno osredotoča na odpornost na fizične grožnje, je neločljivo povezana z direktivo NIS2, ki obravnava kibernetsko varnost. Oba zakonodajna instrumenta skupaj vzpostavljata dvojni steber zaščite evropske kritične infrastrukture:
- CER: zaščita pred fizičnimi grožnjami (naravne nesreče, sabotaže, napake v delovanju, dobavne verige).
- NIS2: zaščita pred kibernetskimi grožnjami (napadi, zlonamerna programska oprema, vdori, ranljivosti).
Obe direktivi zahtevata od držav članic, da vzpostavijo koordinirane nadzorne in odzivne mehanizme, ki temeljijo na oceni tveganj, poročanju o incidentih, pripravi načrtov za kontinuiteto poslovanja in krepitvi sodelovanja med sektorji.
Zahteve za operaterje bistvenih storitev
Za organizacije, ki sodijo med kritične subjekte, direktiva CER pomeni nova obveznosti:
- Obvezno sodelovanje: Usklajevanje z drugimi organi, sektorskimi akterji in izvajalci digitalne infrastrukture.
- Ocena tveganj in odpornosti: Vsak subjekt mora identificirati grožnje (vključno s kibernetskimi), ki lahko ogrozijo njihovo delovanje.
- Načrti za obvladovanje tveganj: Vključujejo ukrepe za preprečevanje, zaščito, odziv in okrevanje.
- Poročanje incidentov: Kritični subjekti morajo poročati nacionalnim organom o vseh dogodkih, ki bi lahko vplivali na kontinuiteto storitev.
- Revizije in nadzor: Države članice morajo izvajati redne nadzore in preverjanja načrtov odpornosti.
Vloga umetne inteligence in digitalnih orodij
V prihodnje bo učinkovita implementacija CER direktive temeljila tudi na uporabi naprednih digitalnih rešitev, kot so:
- Sistemi za zaznavanje incidentov: AI sistemi za zgodnje odkrivanje anomalij in groženj.
- Digitalni dvojčki: Simulacija kriznih scenarijev za testiranje odpornosti infrastrukture.
- Platforme za CTI (Cyber Threat Intelligence): Povezovanje podatkov o grožnjah in ranljivostih za pravočasno ukrepanje.
Zlasti v kombinaciji z NIS2, kjer so AI in avtomatizirani varnostni odzivi vedno bolj prisotni, bo tudi CER moral slediti digitalni transformaciji zaščite kritične infrastrukture.
Primeri uporabe: Energetika, zdravstvo, transport
Direktiva CER ima praktične posledice za vse ključne sektorje:
- Energetika: Zmogljivosti za hitro preusmeritev dobav energije v primeru sabotaže ali izpada, vključno z digitalno zaščito SCADA sistemov.
- Zdravstvo: Zagotovitev nemotenega delovanja bolnišnic in preskrbe z zdravili, tudi ob kibernetskih napadih (npr. ransomware).
- Transport: Rezervni načrti za odpoved železniških ali letalskih sistemov zaradi naravne nesreče ali napada na digitalno infrastrukturo.
Nacionalna implementacija in nadzor
Države članice EU morajo do 17. oktobra 2024 prenesti direktivo CER v svoj pravni red in določiti:
- Nacionalne pristojne organe, zadolžene za nadzor nad izvajanjem.
- Uradne sezname kritičnih subjektov.
- Nacionalne strategije odpornosti, vključno s sodelovanjem z zasebnim sektorjem.
V Sloveniji je pričakovano, da bo za implementacijo zadolženo Ministrstvo za obrambo oziroma Uprava RS za zaščito in reševanje, ob sodelovanju drugih resorjev in SI-CERT pri kibernetskem delu.
Povezava z drugimi pobudami: ECCC, AKADIMOS, ENDURANCE
Direktiva CER ni osamljena pobuda, temveč del širšega evropskega varnostnega ekosistema. Projekti, kot so ENDURANCE (za testiranje odpornosti bistvenih storitev), AKADIMOS (za razvoj znanja in kadrov) ter ECCC (Evropski center za kibernetsko varnost), so ključni za podporo in izvedbo določil CER.
Ti projekti omogočajo:
- Praktično usposabljanje zaposlenih v kritičnih subjektih.
- Povezovanje akademske, industrijske in javne sfere.
- Pilotne primere dobre prakse za implementacijo CER na terenu.
Direktiva CER predstavlja ključni mejnik v varnostni politiki EU, saj prvič sistematično obravnava fizično in kibernetsko odpornost kritičnih subjektov. V kombinaciji z direktivo NIS2 tvori temelj nove evropske varnostne arhitekture, ki stremi k bolj povezani, usklajeni in odporni Uniji.
Za operaterje bistvenih storitev, podjetja in javne organe to pomeni več kot zgolj pravne obveznosti – pomeni novo kulturo varnosti, kjer je proaktivno upravljanje tveganj bistveni element poslovne in družbene stabilnosti.
Viri
- Evropska komisija – Direktiva CER (EU) 2022/2557
- Evropska agencija za kibernetsko varnost (ENISA) – smernice za odpornost
- Projekt ENDURANCE
- SI-CERT – Slovenski center za posredovanje pri omrežnih incidentih
