Współpraca państw i biznesu w zakresie ochrony rozwiązań chmurowych przed cyberatakami jest kluczowa i wymaga rozsądnych regulacji. Jednak zaproponowany przez Komisję Europejską i ENISA unijny program certyfikacji chmury w zakresie cyberbezpieczeństwa (EUCS) zawiera wiele potencjalnych pułapek, które mogą utrudnić rozwój tej technologii w Unii Europejskiej – przestrzega Związek Cyfrowa Polska w apelu skierowanym do przedstawicieli Parlamentu Europejskiego i państw członkowskich.
Projekt programu certyfikacji cyberbezpieczeństwa usług chmurowych w Unii Europejskiej został przygotowany przez Komisję Europejską oraz Europejską Agencję Cyberbezpieczeństwa (ENISA). W jego powstaniu uczestniczyły także państwa członkowskie UE. To inaczej – program dobrowolnej certyfikacji, w ramach, którego zostały zdefiniowane wymagania bezpieczeństwa dla aplikacji oraz infrastruktury chmurowej. Obecnie Komisja Europejska pracuje nad jego ostatecznym tekstem.
– To kluczowy akt, który ujednolici standardy i praktyki w zakresie cyberbezpieczeństwa rozwiązań chmurowych w całej Unii Europejskiej. Obecne rozdrobnienie i różne podejście w ramach Wspólnoty uniemożliwia budowanie odporności i skutecznego zwalczania rosnących zagrożeń stwarzanych przez cyberataki. Istnieje zatem ściślejsza współpraca w tym zakresie – mówi Michał Kanownik, prezes Związku Cyfrowa Polska. Organizacja reprezentująca polską branżą cyfrową zgadza się z ideą, która przyświeca aktowi. Jednocześnie zauważa, że proponowane zapisy zawierają wiele potencjalnych pułapek, które mogą zaszkodzić rozwojowi technologii chmurowych na terenie Unii Europejskiej. Swoje zastrzeżenia Związek przesłał do przedstawicieli Parlamentu Europejskiego i państw członkowskich.
Kraje UE mogą zostać pozbawione zaawansowanych technologii
Eksperci Cyfrowej Polski zwracają uwagę przede wszystkim na proponowany w projekcie wymóg, aby dostawcy usług w chmurze mieli siedzibę w Unii Europejskiej. W ocenie organizacji, może to oznaczać, że wielu światowej klasy i zaufanych dostawców tego typu technologii może zostać pozbawianych możliwości funkcjonowania na europejskim rynku. „Zaostrzając wpływ tych dyskryminujących środków, najnowszy projekt EUCS wydaje się przewidywać znacznie szerszy zakres tych przepisów dotyczących suwerenności niż deklarowany zamiar ograniczenia ich wyłącznie do zbiorów danych dotyczących bezpieczeństwa narodowego. Ten szeroki zakres poziomu wysokiego obejmuje obecnie ryzyko uwzględnienia danych gospodarczych i danych dotyczących zdrowia, a także innych otwartych kategorii, co może spowodować, że duża część europejskiego przemysłu i usług publicznych będzie pozbawiona dostępu do zaawansowanych technologii przetwarzania w chmurze” – czytamy w liście ekspertów Związku Cyfrowa Polska.
W ocenie organizacji takie podejście wpłynie na jakość bezpieczeństwa i odporności systemów chmurowych, a także spowoduje nieproporcjonalny wzrost kosztów dla sektora publicznego i prywatnego. Związek zwraca przy tym uwagę na to, że obecnie niektórym państwom członkowskim brakuje odpowiedniej infrastruktury do przechowywania znacznych ilości danych i będą one miały problem ze spełnieniem unijnych wymagań.
Kluczowa współpraca transatlantycka i otwarta debata
Cyfrowa Polska proponuje, aby Unia Europejska postawiła na współpracę z krajami spoza UE o podobnych poglądach w celu opracowania wspólnego podejścia do ochrony chmury. Jako przykład podaje istniejące już ramy ochrony danych między UE–USA. „Przepływy danych między Europą a Stanami Zjednoczonymi są największe na świecie, a wspólne ramy pomogły w ustaleniu jasnych zasad dla nich. Podobnie w tym przypadku, aby zapewnić ochronę danych obywateli UE, także gdy są one zlokalizowane poza EOG, należy ustanowić wspólny zbiór przepisów. W ten sposób UE zapewniłaby bezpieczeństwo danych obywateli i zgodność z prawem unijnym, rozwijając jednocześnie system, który jest skuteczny i umożliwia przekazywanie danych do innych liberalnych demokracji” – podkreśla Cyfrowa Polska.
Ekspertów niepokoi też fakt, że w dyskusji o przepisach dot. certyfikacji chmury pominięto wiele uwag ze strony państw członkowskich. W ocenie przedstawicieli polskiej branży cyfrowej brakuje szerszej kontroli nad tym procesem i szerokiej debaty, co stwarza ryzyko wprowadzenia radykalnych zmian w europejskich standardach cyberbezpieczeństwa bez odpowiedniego nadzoru. „Decydenci muszą zabrać głos i zadbać o to, aby EUCS zawierało rozsądne rozwiązania zwiększające europejskie cyberbezpieczeństwo, a nie wybierać przestarzałe przepisy, które mogłyby utrudniać korzystanie z najbardziej niezawodnych technologii i narażać obywateli Europy na ryzyko” – podsumowują eksperci Cyfrowej Polski.