Parlamentets vedtak gjaldt forslaget til Cyber Solidarity Act og EUs samarbeid om cyberberedskap. Førstebehandlingsposisjonen bygget på den politiske enigheten om tiltak som skulle styrke oppdagelse, overvåking og håndtering av større cybertrusler på tvers av landegrensene.

Et sentralt element var grensekryssende cyberknutepunkter. Slike knutepunkter skulle bidra til å samle og dele relevant informasjon om cybertrusler, slik at deltakende aktører kunne oppdage hendelser tidligere og utvikle et mer samlet situasjonsbilde.

Posisjonen omfattet også en beredskapsmekanisme. Den skulle kunne støtte beredskapstiltak og håndtering av alvorlige hendelser, innenfor rammene som ble lagt i lovgivningsarbeidet. Dette var et foreslått EU-instrument, ikke en automatisk norsk finansierings- eller bistandsordning.

En EU Cybersecurity Reserve var en annen del av pakken. Reserven skulle gi tilgang til tjenester fra betrodde leverandører ved alvorlige eller omfattende cyberhendelser. Den praktiske betydningen avhang av den endelige rettsakten, ordningens kriterier og hvordan nasjonale myndigheter ville delta.

Parlamentets posisjon la dessuten vekt på gjennomgang etter hendelser. En slik etterfølgende vurdering kan gi læring om hva som skjedde, hvordan responsen fungerte og hvilke forbedringer som bør gjøres. Den må ikke forveksles med at alle detaljer allerede var bindende krav.

Den rettslige statusen var avgjørende 24. april. Parlamentet hadde vedtatt sin førstebehandlingsposisjon, som svarte til den politiske avtalen, men den endelige forordningen var ennå ikke publisert i EUs kunngjøringstidende. Dette var heller ikke en norsk lovendring; norsk relevans krevde senere EØS-vurdering.

Beredskapsmekanismen omfattet forberedelsestiltak og støtte ved betydelige eller omfattende hendelser. Reserven var tenkt som tjenester fra betrodde leverandører som kunne mobiliseres på anmodning. For virksomheter var den viktigste forberedelsen å kjenne egne kritiske tjenester, logg- og bevisbehov, nasjonale kontaktpunkter og kontrakter for hendelsesbistand. En kommende europeisk reserve kunne ikke erstatte egen responsplan eller avtalte gjenopprettingstider.

Ledelsen bør i tillegg øve på å bestille ekstern bistand, dele nødvendige hendelsesdata sikkert og beholde beslutningsmyndighet når flere land og leverandører deltar. Erfaringer fra øvelsen bør mates tilbake til kontinuitetsplan, leverandørkrav og teknisk overvåking.

Kilder

Europaparlamentet: «Cyber Solidarity Act – vedtatt tekst», 24. april 2024.

Europaparlamentet: «Plans to increase EU cooperation against cyber threats», 22. april 2024.

Til diskusjon

Hvilke responstjenester må vi sikre selv før en europeisk cyberreserve eventuelt kan bistå?