UE și Ucraina deschid schimbul CERT-EU–CERT-UA pentru prevenirea și gestionarea incidentelor cibernetice

Uniunea Europeană și Ucraina trec la un nivel mai operațional al cooperării cibernetice printr-un aranjament administrativ semnat de CERT-EU și Serviciul de Stat pentru Comunicații Speciale și Protecția Informațiilor din Ucraina, SSSCIP. Acordul, încheiat în timpul celui de-al cincilea Dialog cibernetic UE-Ucraina din 9 octombrie și anunțat de Comisie la 13 octombrie, urmărește să inițieze schimbul dintre CERT-EU și CERT-UA pentru prevenirea, detectarea și limitarea incidentelor cibernetice.

Aranjamentul aduce împreună două structuri cu roluri diferite. CERT-EU este serviciul interinstituțional de securitate cibernetică al Uniunii și ajută peste 90 de instituții, organisme, oficii și agenții europene să prevină, detecteze, gestioneze și limiteze incidentele. Serviciul funcționează și ca punct de schimb de informații și coordonare a răspunsului pentru ecosistemul instituțional al UE.

CERT-UA este echipa națională ucraineană de răspuns la incidente, atacuri și amenințări cibernetice și funcționează în cadrul SSSCIP. Ucraina a acumulat experiență operațională extinsă în timpul războiului, inclusiv în identificarea campaniilor împotriva instituțiilor publice, infrastructurii și altor ținte și în coordonarea răspunsului la atacuri.

Comisia descrie noul aranjament drept un mecanism pentru „inițierea schimbului” dintre cele două echipe. Scopul anunțat este creșterea capacității ambelor părți de a preveni, detecta și limita incidentele în infrastructurile pentru care sunt responsabile. Formularea este importantă: cooperarea nu este prezentată exclusiv ca asistență europeană pentru Ucraina, deoarece experiența și informațiile operaționale ucrainene pot contribui și la apărarea instituțiilor europene.

Noul mecanism continuă o cooperare începută înainte de acest acord. În 2023, Agenția Uniunii Europene pentru Securitate Cibernetică, ENISA, a semnat un aranjament de lucru cu Centrul Național de Coordonare a Securității Cibernetice din Ucraina și SSSCIP. Acesta acoperă dezvoltarea capacităților, schimbul de bune practici și îmbunătățirea conștientizării comune asupra amenințărilor.

Diferența este că acordul anunțat acum aduce în centrul cooperării CERT-EU și CERT-UA, două structuri implicate direct în prevenirea și gestionarea incidentelor. El completează astfel relația mai largă dintre ENISA și autoritățile ucrainene cu un canal destinat echipelor care lucrează efectiv asupra amenințărilor și incidentelor.

Comisia nu a publicat însă textul aranjamentului administrativ. Anunțul nu precizează ce categorii de date vor putea fi schimbate, dacă mecanismul include indicatori tehnici de compromitere, informații despre vulnerabilități, date despre atacatori sau alte tipuri de informații operaționale și nici ce clasificări sau restricții de distribuire vor fi aplicate.

Nu sunt precizate nici durata aranjamentului, procedurile pentru schimburile urgente sau garanțiile specifice pentru eventualele date cu caracter personal ori informații sensibile. Aceste elemente sunt importante înainte ca mecanismul să poată fi descris mai precis decât permite comunicarea publică a Comisiei.

CERT-EU funcționează în baza regulamentului european din 2023 privind securitatea cibernetică a instituțiilor și organismelor UE. Printre atribuțiile sale se află schimbul de informații despre amenințări, vulnerabilități și incidente și coordonarea răspunsului în interiorul ecosistemului instituțional european. Noul aranjament cu Ucraina nu schimbă această delimitare instituțională și nu transformă CERT-UA într-o componentă a CERT-EU.

Cele două sisteme nu sunt, prin urmare, integrate într-o singură infrastructură. Anunțul nu spune că autoritățile ucrainene primesc acces direct la rețelele instituțiilor UE sau că CERT-EU dobândește acces la sistemele guvernamentale ucrainene. Ceea ce este confirmat este crearea cadrului pentru schimb și cooperare între cele două servicii.

Dialogul din octombrie a avut și o componentă legislativă. UE și Ucraina au analizat progresul reformelor ucrainene și apropierea de piloni importanți ai legislației europene în materie de securitate cibernetică, inclusiv Directiva NIS2 și Cyber Resilience Act.

Această apropiere trebuie diferențiată de aplicarea automată a dreptului UE. Ucraina este stat candidat, iar armonizarea legislației sale cu normele europene face parte din procesul de integrare. Discuțiile asupra NIS2 și Cyber Resilience Act nu înseamnă că toate obligațiile acestor acte se aplică deja Ucrainei în același mod în care se aplică unui stat membru.

Participanții au discutat și punerea în aplicare a EU 5G Cybersecurity Toolbox în Ucraina. Securitatea rețelelor de telecomunicații este tratată de cele două părți atât ca problemă de reziliență cibernetică, cât și ca element necesar pentru apropierea economică și instituțională de UE.

Cooperarea operațională nu se oprește la CERT-uri. Dialogul a acoperit gestionarea crizelor cibernetice, apărarea cibernetică și utilizarea Cyber Diplomacy Toolbox, instrumentul prin care UE poate combina măsuri diplomatice și, în anumite situații, restrictive împotriva activităților cibernetice răuvoitoare.

Au fost discutate și combaterea criminalității cibernetice, investigațiile, evoluțiile privind Rezerva europeană de securitate cibernetică și sprijinul acordat Ucrainei prin Tallinn Mechanism. Menționarea Rezervei în dialog nu înseamnă însă că noul aranjament CERT-EU–CERT-UA acordă automat Ucrainei acces la acest instrument.

O altă componentă este cooperarea deja existentă dintre ENISA și autoritățile ucrainene. Comisia descrie această relație drept extinsă și spune că cele două părți vor să transforme cooperarea cibernetică în rezultate operaționale concrete. Noul aranjament dintre CERT-EU și SSSCIP este prezentat ca una dintre aceste rezultate.

Discuțiile au inclus și parteneriatele dintre sectorul public și industria de securitate cibernetică. Pentru Ucraina, experiența acumulată în condiții de război poate fi folosită pentru testarea procedurilor și înțelegerea metodelor folosite de actori statali. Pentru UE, schimbul poate contribui la identificarea mai rapidă a unor campanii care vizează simultan Ucraina și organizații europene.

Al cincilea Dialog cibernetic a fost coprezidat, din partea europeană, de Despina Spanou, director general adjunct în DG CONNECT, Christiane Kirketerp de Viron, director interimar pentru securitate cibernetică și încredere, și Maciej Stadejek, director pentru politica de securitate și apărare în Serviciul European de Acțiune Externă. Delegația ucraineană a fost condusă de Andrii Droniuk, ministru adjunct de externe.

La discuții au participat și ENISA, Europol, Colegiul European de Securitate și Apărare și EUAM Ukraine, împreună cu ministere, servicii de securitate, structuri militare și de informații din Ucraina. Statele membre ale UE au participat ca observatori.

Următoarea etapă este operaționalizarea aranjamentului. Pentru a evalua amploarea sa reală trebuie clarificate tipurile de informații care vor circula între CERT-EU și CERT-UA, procedurile de schimb, limitele de utilizare și protecție a datelor și modul în care cooperarea va funcționa în cazul unor incidente care afectează simultan infrastructuri europene și ucrainene.