לאחרונה הפרלמנט האירופי אישר את
דירקטיבת הסייבר החדשה -
The Directive on Security of Network and Information Systems ("
הדירקטיבה"), שנועדה לקבוע
עקרונות מחייבים בתחום ההתמודדות עם איומי סייבר במדינות האיחוד האירופי.
ההוראות המרכזיות של הדירקטיבה
בהתאם להוראות הדירקטיבה, כלל מדינות האיחוד יצטרכו לאמץ אסטרטגיה ייחודית בתחום הגנת הסייבר ובטחת מערכות המידע, וכן להקים רשויות סייבר לאומיות ומרכזי תגובה לאירועי סייבר (
CSIRT). הדירקטיבה מחייבת את כלל המדינות לפעול באמצעות ה-
CISRT שיוקמו על מנת לקדם שיתופי פעולה אפקטיביים ביחס לתקיפות סייבר ספציפיות וכן לשתף מידע באשר לאירועי סייבר.
הדירקטיבה מחייבת את מדינות האיחוד האירופאי לקבוע בחקיקה
דרישות אבטחת סייבר ביחס לשירותים חיוניים המתבססים על תשתיות סייבר, כגון ארגונים וחברות המציעים שירותים חיוניים לציבור וכן ספקי תשתית מרכזיות מתחום האנרגיה, התחבורה, הבנקאות והפיננסים, המים והבריאות. כל מדינה תצטרף לקבוע מיהם מפעילי השירותים החיוניים שיחויבו בדרישות אלה, בהתבסס על אמות-המידה הכלליות שהותוו בדירקטיבה. דרישות נוספות בדירקטיבה תחולנה גם על
מפעילי פלטפורמות ושירותים מקוונים (DSPs), כגון
אתרי סחר מקוון גדולים, מנועי חיפוש וכן
ספקי שירותי מחשוב ענן.
כחלק מדרישות אבטחת הסייבר, מפעילי השירותים החיוניים, כמו גם מפעילי הפלטפורמות והשירותים המקוונים, יחוייבו לקיים את הדרישות הבאות:
- אימוץ סטנדרטים ראויים של אבטחת מידע וסייבר, הן בהיבט הטכנולוגי והן בהיבט הארגוני, באופן שיתאימו לחשיפה לסיכוני סייבר;
- היערכות מקדמית של הארגון במטרה להקטין את החשיפה לסיכוני סייבר ומקביל, לנקוט את האמצעים שיאפשרו לארגון להתמודד כדבעי עם אירועי סייבר;
- דיווח לרשויות על אירועי סייבר בעלי "השפעה משמעותית" (או במקרה של מפעילי פלטפורמות ושירותים מקוונים: "השפעה בולטת") על פעילות הארגון. במסגרת זו, הדירקטיבה מפרטת מספר פרמטרים שיכולים לסייע בקביעה האם אירוע ספציפי אכן עונה להגדרה של "השפעה משמעותית" או "השפעה בולטת", כגון מספר המשתמשים שנפגע כתוצאה מהאירוע, משך הזמן של אירוע הסייבר, התפרשותו הגיאוגרפית של האירוע, ועוד;
- מפעילי הפלטפורמות והשירותים המקוונים, יחייבו לקיים סט נוסף של דרישות אבטחה, בהתאם לעקרונות שיותוו על ידי הפרלמנט האירופי. דרישות אלו יכללו, בין היתר, דרישות אבטחה פיזיות וטכנולוגיות ביחס למערכות מידע; הטמעת נהלים שונים ביחס להתמודדות עם אירועי סייבר; עריכת תכנית לניהול המשכיות עסקית ; ניטור ובקרה של איומי סייבר; ועמידה בסטנדרטים בינלאומיים של אבטחת מידע וסייבר.
התפתחות זו בהסדרת הסייבר באיחוד האירופי מתווספת לפרסום
הרגולציה האירופית החדשה בנושא הפרטיות ואבטחת המידע (ה-
GDPR), אשר אושרה בחודש אפריל השנה. רגולציה זו, אשר חלה על כלל מדינות האיחוד האירופי, קובעת, בין היתר, הוראות שונות ביחס לאחריות חברות שפועלות באירופה או פונות ללקוחות אירופאיים לאבטחת המידע והסייבר, ובהן: חובות דיווח מחמירות ביחס לאירועי
דליפת מידע אישי; חובה לאמץ
אמצעי אבטחה ארגוניים וטכנולוגיים לשם שמירה על המידע מפני איומיי סייבר, ועוד.
השלבים הבאים
הדירקטיבה צפויה להיכנס לתוקף באוגוסט 2016. מדינות האיחוד האירופי נדרשות לעגן את דרישות הדירקטיבה בחקיקה
תוך 21 חודשים ממועד כניסתה לתוקף. שישה חודשים נוספים יינתנו למדינות האיחוד האירופי על מנת לזהות ולהגדיר בצורה ברורה מיהם "מפעילי השירותים החיוניים" שיחויבו בדרישות לפי הדירקטיבה.
בנוסף, תוך שנה ממועד כניסתה לתוקף של הדירקטיבה, הנציבות האירופית תקבע קריטריונים ברורים ביחס לדרישות האבטחה והחובות הנוספות החלות על
מפעילי הפלטפורמות והשירותים המקוונים.