Forslag om ikt-sikkerhet ikke merket som EØS-relevant

Sentrale internettaktører og operatører av kritisk infrastruktur må innføre tiltak mot it-angrep og får plikt til å melde fra om større sikkerhetsbrudd. Dette er en del av strategien og forslaget til direktiv som Europakommisjonen og EUs utenrikstjeneste la fram 7. januar. Verken strategien eller direktivet er merket som EØS-relevante.

Strategien, Et åbent, sikkert og beskyttet cyberspace, har som mål å styrke it-beredskapen og få en drastisk reduksjon av cyberkriminalitet. I tillegg ønsker man å utforme en politikk for it-forsvar og kapasitet knyttet til den felles sikkerhets- og forsvarspolitikken. Utvikling av industrielle og teknologiske ressurser knyttet til it-sikkerhet er et annet tiltak.

Direktivforslaget om nett- og informasjonssikkerhet inneholder blant annet følgende tiltak:

• Alle EU-landene skal ha en strategi og en nasjonal myndighet for å kunne forebygge, håndtere og reagere (eventuelt med bøter) på mulige og aktuelle angrep.
• Samarbeidet mellom EU-landene og Kommisjonen skal styrkes. Det skal være mulig å utveksle sensitiv informasjon gjennom et sikkert system.
• Operatører av kritisk infrastruktur innenfor finans, transport, energi og helse får meldeplikt og må innføre tiltak mot it-angrep. Det samme gjelder offentlige myndigheter og også viktige internettaktører som sosiale nettjenester, e-handelsvirksomhet, søkemotorer og nettskytjenester. 

Meldeplikten om it-angrep er et kontroversielt grep ifølge digi.no. Bedrifter ønsker i liten grad at dette skal komme fram siden det kan skade omdømmet. Det blir imidlertid opp til hvert enkelt land om informasjonen skal være offentlig. Meldeplikten gjelder hendelser som "i betydelig grad"  påvirker sikkerheten i kjernetjenestene. Hva som kommer innenfor begrepet "i betydelig grad" vil bli vedtatt av Kommisjonen på et senere tidspunk, gjennom såkalte delegerte rettsakter.

Ifølge Euractiv blir forslaget til direktiv kritisert for å være for vagt og at det gjør lite for å beskytte data lagret utenfor EU. Det siste omtales som et vanskelig juridisk spørsmål.

I rapporten fra Kripos om trender og utfordringer i 2013-14, slås det fast at dataangrep eskalerer raskt både i omfang og kompleksitet, og at aktørene har organisert seg på en måte som ikke lenger krever høy teknisk kompetanse eller geografisk nærhet.