Az Európai Parlament (EP) és a nemzeti kormányok között folyó tárgyalások sikeres lezárása után tegnap éjfél előtt adták ki azt a sajtóközleményt, mely bejelenti, hogy új kiberbiztonsági előírásokat léptetnek érvénybe az Európai Unióban (EU). A megállapodás jelentőségét érzékeltetheti, hogy ez az első ilyen típusú megállapodás az EU-ban, mivel mindeddig az eltérő álláspontok miatt nem sikerült tető alá hozni egy közös szabályozást. Ezt a területért felelős képviselő, Andreas Schwab külön ki is emelte kommentárjában.
Az új követelményrendszer lényege, hogy bizonyos, kritikus infrastruktúrákat üzemeltető, vagy egyéb, nagy befolyást gyakorló tevékenységet folytató vállalatoknak szigorú biztonsági előírásoknak kell megfelelniük.
Maga a megállapodás csak kezdete egy folyamatnak, melyben a különféle platformok egységes szabályozását fogják megalkotni, és ennek első lépéseként a fontos definíciók kialakítása lesz a cél.
A neheze csak most jön
Először is igyekeznek tisztázni, hogy mit jelent az „alapvető szolgáltatásokat működtető vállalkozás” („essential services”), ugyanis ezekre, az energiaszektorban, a közlekedésben, a banki és pénzügyi rendszerben, az egészségügyben, a vízgazdálkodásban stb. tevékenykedő cégekre vonatkoznak a szigorú szabályok. Az előbb említetteken kívül azok a vállalatok is a szabályozás hatálya alá tartoznak majd, melyek tevékenysége a társadalom és a gazdaság számára alapvető fontosságú, illetve azok az internetes szolgáltatásokat nyújtó vállalatok is ide sorolandók, melyek fontos, illetve nagy társadalmi hatású szolgáltatásokat kínálnak: az online piacterek (eBay, Amazon stb.), a keresők (elsősorban nyilván a Google keresője), valamint a felhőszolgáltatásokat üzemeltető vállalatok.
Mérethatár is lesz, a mikro-, illetve a kisvállalkozások nem kerülnek a törvény hatálya alá.
Az egyelőre általánosságban megfogalmazott fő elvárás, hogy a vállalkozásoknak bizonyítaniuk kell, hogy rendszereik biztonságosak, illetve kötelező lesz a biztonsági incidensekről jelentést tenni. A közös fellépés felelőse a „kiberkommnadós” csapatok (Computer Security Incidents Response Team – CSIRT) hálózata lesz, és ez a határokon átnyúló, nemzetközi hálózat kezelné a megismert incidenseket.
A most, zárt ajtók mögött folytatott tárgyalásokon kialakított szöveg elfogadásához még szükségesek jóváhagyások (a belső kereskedelemmel foglalkozó, illetve az állandó képviselők bizottságáé), de nagyon valószínű, hogy a jelenlegi helyzetben ez már csak formalitás lesz, és akkor válik megismerhetővé a teljes szöveg.
