(1)

Kommissionen har anerkendt, at etableringen af femte generation (5G) af netteknologier åbner store muligheder for fremtidige digitale tjenester og prioriteres højt i strategien for et digitalt indre marked. Kommissionen vedtog 5G-handlingsplanen for at sikre, at Unionen har den konnektivitetsinfrastruktur, der er nødvendig for den digitale omstilling fra og med 2020 (1).

(2)

5G-nettene vil bygge videre på den nuværende fjerde generation (4G) af netteknologier ved at sikre ny kapacitet og blive den centrale infrastruktur og katalysator for store dele af Unionens økonomi. Når de er indført, vil 5G-nettene udgøre rygraden i en lang række tjenesteydelser, som er afgørende for det indre markeds funktion og for opretholdelsen og driften af vitale samfundsmæssige og økonomiske funktioner — f.eks. energi, transport, bankvæsen og sundhed samt industrielle kontrolsystemer. Tilrettelæggelsen af demokratiske processer, såsom valg, vil også blive mere og mere afhængig af digital infrastruktur og af 5G-net.

(3)

Mange kritiske tjenesters afhængighed af 5G-nettene vil medføre særlig alvorlige konsekvenser i tilfælde af systemiske og omfattende forstyrrelser. Som følge heraf er det af strategisk betydning for Unionen at sikre cybersikkerheden i forbindelse med 5G-net på et tidspunkt, hvor cyberangreb er hyppigere og mere sofistikerede end nogensinde før.

(4)

Den indbyrdes forbundne og tværnationale karakter af de infrastrukturer, der understøtter det digitale økosystem, og de involverede truslers grænseoverskridende karakter betyder, at alle væsentligt svage punkter og/eller cybersikkerhedshændelser i forbindelse med 5G-nettet i en enkelt medlemsstat vil påvirke hele Unionen. Derfor bør der træffes foranstaltninger for at understøtte et højt fælles cybersikkerhedsniveau for 5G-net.

(5)

Behovet for en indsats på EU-plan er blevet bekræftet af medlemsstaterne. Det Europæiske Råd ser i sine konklusioner af 21. marts 2019 frem til en henstilling fra Kommissionen om en fælles tilgang til sikkerheden i forbindelse med 5G-net (2).

(6)

Det bør være et vigtigt mål at sikre europæisk suverænitet under fuld overholdelse af europæiske værdier som åbenhed og tolerance (3). Udenlandske investeringer i strategiske sektorer, erhvervelse af kritiske aktiver, teknologier og infrastrukturer i Unionen samt levering af kritisk udstyr kan også udgøre en sikkerhedsmæssig risiko for Unionen.

(7)

Cybersikkerheden i forbindelse med 5G-net er afgørende for at sikre Unionens strategiske autonomi, som det fremgår af den fælles meddelelse »Forbindelserne mellem EU og Kina i et strategisk perspektiv« (4).

(8)

Europa-Parlamentet opfordrer i sin beslutning om sikkerhedstrusler forbundet med den stigende kinesiske teknologiske tilstedeværelse i EU ligeledes Kommissionen og medlemsstaterne til at træffe foranstaltninger på EU-plan (5).

(9)

Nærværende henstilling imødegår cybersikkerhedsrisiciene i 5G-net ved at fastsætte retningslinjer for passende foranstaltninger til risikoanalyse og -håndtering på nationalt plan, for udvikling af en koordineret europæisk risikovurdering og for fastlæggelse af en proces til at udvikle en fælles værktøjskasse med de bedste risikohåndterringsforanstaltninger.

(10)

Der foreligger en stærk EU-lovramme til beskyttelse af elektroniske kommunikationsnet.

(11)

Unionens ramme for elektronisk kommunikation (6) fremmer konkurrencen, det indre marked og slutbrugernes interesser og forfølger via den europæiske kodeks for elektronisk kommunikation (7) et yderligere konnektivitetsmål udtrykt i resultater: udbredt adgang til og brug af fast- og mobilnet med meget høj kapacitet for alle Unionens borgere og virksomheder, samtidig med at borgernes interesser beskyttes. I henhold til direktiv 2002/21/EF skal medlemsstaterne sikre, at de offentlige kommunikationsnets integritet og sikkerhed opretholdes, herunder er de forpligtede til at sikre, at virksomheder, der udbyder offentlige kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester, træffer tekniske og organisatoriske foranstaltninger for på passende vis at styre risiciene for sikkerheden i deres net og tjenester. Det fastsættes også, at de kompetente nationale tilsynsmyndigheder har beføjelser, herunder beføjelse til at udstede bindende instrukser, for at sikre, at disse forpligtelser overholdes.

(12)

Desuden giver Europa-Parlamentets og Rådets direktiv 2002/20/EF (8) medlemsstaterne mulighed for at knytte vilkår vedrørende sikring af offentlige net mod uautoriseret adgang til den generelle tilladelse med henblik på at beskytte kommunikationshemmeligheden i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2002/58/EF (9).

(13)

For at støtte gennemførelsen af disse forpligtelser har Unionen oprettet en række samarbejdsorganer. Agenturet for Net- og Informationssikkerhed (ENISA) har sammen med Kommissionen, medlemsstaterne og de nationale tilsynsmyndigheder udarbejdet tekniske retningslinjer for de nationale tilsynsmyndigheder vedrørende indberetning af hændelser, sikkerhedsforanstaltninger, trusler og aktiver (10). Den samarbejdsgruppe, der er nedsat ved direktiv (EU) 2016/1148 (11) (»samarbejdsgruppen«), samler de kompetente myndigheder for at støtte og fremme samarbejdet, navnlig ved at give strategisk vejledning om aktiviteterne i netværket af enheder, der håndterer IT-sikkerhedshændelser, og som på teknisk plan letter det operationelle samarbejde.

(14)

Den fremtidige europæiske ramme for cybersikkerhedscertificering (12) bør være et væsentligt hjælperedskab til at sikre et ensartet sikkerhedsniveau Den bør gøre det muligt at udvikle cybersikkerhedscertificeringsordninger for at opfylde behovene hos brugere af 5G-relateret udstyr og software. Disse infrastrukturers afgørende betydning bør gøre det til en umiddelbar prioritet at opstille relevante europæiske cybersikkerhedscertificeringsordninger for informations- og kommunikationsteknologiske produkter, tjenester eller processer, der anvendes til 5G-net. Medlemsstaterne og markedsaktørerne bør deltage aktivt i udviklingen af disse certificeringsordninger, herunder ved at yde støtte til fastlæggelse af specifikke beskyttelsesprofiler for 5G-net.

(15)

I mangel af harmonisering på EU-plan kan medlemsstaterne ved hjælp af nationale tekniske forskrifter vedtaget i overensstemmelse med EU-retten fastsætte, at en europæisk cybersikkerhedscertificeringsordning bør være obligatorisk. Medlemsstaterne kan også anvende europæiske cybersikkerhedscertificeringsordninger i forbindelse med offentlige udbud og direktiv 2014/24/EU (13) og kan understøtte udviklingen af hjælpemekanismer — som f.eks. en støtteplatform — til offentlige indkøberes køb af cybersikkerhedsløsninger.

(16)

En høj beskyttelse af personoplysninger og privatlivets fred udgør en vigtig del af 5G-nettets sikkerhed. Der er også på EU-plan fastlagt regler for at garantere sikker behandling af personoplysninger, herunder i forbindelse med elektronisk kommunikation. I den generelle forordning om databeskyttelse (14) fastsættes forpligtelsen til at behandle personoplysninger på en måde, der holder dem sikre, herunder for at forhindre uautoriseret adgang til eller brug af personoplysninger og databehandlingsudstyret. Direktivet om databeskyttelse inden for elektronisk kommunikation indeholder nærmere regler om beskyttelse af kommunikationshemmeligheden og slutbrugernes terminaludstyr. Heri pålægges tjenesteudbyderne også forpligtelser til at træffe passende tekniske og organisatoriske foranstaltninger for at beskytte deres tjenester.

(17)

Unionen har også vedtaget et instrument, der vil beskytte kritisk infrastruktur og kritiske teknologier såsom dem, der anvendes i kommunikation, ved at give medlemsstaterne mulighed for at screene udenlandske direkte investeringer af hensyn til sikkerheden eller den offentlige orden og ved at skabe en samarbejdsmekanisme, hvor medlemsstaterne og Kommissionen kan udveksle oplysninger og udtrykke betænkeligheder vedrørende bestemte investeringer (15).

(18)

Medlemsstaterne og operatørerne er i øjeblikket ved at træffe vigtige forberedende foranstaltninger, der skal muliggøre en storstilet udrulning af 5G-net. Flere medlemsstater har udtrykt bekymring over potentielle sikkerhedsrisici vedrørende 5G-net i forbindelse med gennemførelsen af procedurerne for tildelingen af brugsrettigheder til de frekvensbånd, der er udpeget til 5G-net (16), og har undersøgt foranstaltninger til håndtering af disse risici.

(19)

Ved håndteringen af cybersikkerhedsrisiciene i 5G-net bør der tages hensyn til både tekniske og andre faktorer. Tekniske faktorer kan omfatte cybersikkerhedssårbarheder, som kan udnyttes til at opnå uautoriseret adgang til oplysninger (cyberspionage af enten økonomiske eller politiske grunde) eller andre skadelige formål (cyberangreb med det formål at forårsage afbrydelser eller ødelæggelser af systemer og data). Det er vigtigt at se på behovet for dels at beskytte nettene igennem hele deres livscyklus, dels at dække alt relevant udstyr, herunder i forbindelse med design, udvikling, anskaffelse, udrulning, drift og vedligeholdelse af 5G-nettene.

(20)

Andre faktorer kan omfatte lovgivningsmæssige eller andre krav til leverandører af informations- og kommunikationsteknologiudstyr. I en vurdering af sådanne faktorers betydning vil der bl.a. skulle tages højde for den samlede risiko for påvirkning fra et tredjeland, navnlig med hensyn til dets forvaltningsmodel, mangel på sikkerhedssamarbejdsaftaler eller lignende ordninger for databeskyttelse såsom beslutninger om et tilstrækkeligt beskyttelsesniveau mellem Unionen og det pågældende tredjeland, landets deltagelse i multilaterale, internationale eller bilaterale cybersikkerhedsaftaler, bekæmpelse af cyberkriminalitet samt databeskyttelse.

(21)

I udviklingen af en EU-tilgang til sikkerheden i forbindelse med 5G-net bør der som et vigtigt skridt foretages og færdiggøres en risikovurdering på nationalt plan. Dette vil hjælpe medlemsstaterne med på baggrund af denne vurdering at tilpasse de nationale foranstaltninger vedrørende sikkerhedskrav og risikohåndterring.

(22)

Der bør foretages en koordinering for at sikre effektive foranstaltninger til håndtering af disse cybertrusler, hvilket har afgørende betydning for et velfungerende indre marked og for beskyttelse af personoplysninger og privatlivets fred.

(23)

De nationale risikovurderinger bør danne grundlag for en koordineret EU-risikovurdering, der består af en kortlægning af trusselsbilledet og en fælles evaluering, der med støtte fra Kommissionen foretages af medlemsstaterne sammen med Det Europæiske Agentur for Cybersikkerhed (ENISA).

(24)

Samarbejdsgruppen bør under hensyntagen til de nationale og EU's risikovurderinger skabe en værktøjskasse til afdækning af forskellige typer cybersikkerhedsrisici og mulige foranstaltninger til at afbøde risiciene på områder som certificering, afprøvning og adgangskontrol. Den bør også indkredse eventuelle særlige tiltag, der egner sig til håndtering af risici, som en eller flere medlemsstater har udpeget. Samarbejdsgruppen bør trække på støtte fra Det Europæiske Agentur for Cybersikkerhed (ENISA), Europol, Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC) og EU's Efterretnings- og Situationscenter. Denne værktøjskasse bør tjene som rettesnor for Kommissionen i udviklingen af fælles minimumskrav som yderligere garanti for et højt cybersikkerhedsniveau for 5G-net i hele Unionen.

(25)

Med hensyn til foranstaltninger til håndtering af cybersikkerhedsrisici bør det overvejes at øge cybersikkerheden ved at benytte flere forskellige leverandører til etableringen af de enkelte net.

(26)

Denne henstilling bør ikke berøre medlemsstaternes beføjelser med hensyn til aktiviteter vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og statens aktiviteter på det strafferetlige område, herunder medlemsstaternes ret til at udelukke tjenesteudbydere eller leverandører fra deres markeder af hensyn til den nationale sikkerhed.