Irlanda pregătește o nouă strategie națională de securitate cibernetică, în contextul în care autoritățile consideră că infrastructura digitală a țării este tot mai expusă criminalității informatice și operațiunilor desfășurate de grupări asociate unor state ostile.
Documentul, aflat în consultare publică până la 21 august, stabilește direcțiile prin care Guvernul intenționează să întărească protecția instituțiilor, serviciilor esențiale și companiilor până în anul 2030.
Autoritățile avertizează că amenințările informatice au devenit una dintre cele mai importante provocări pentru securitatea națională a Irlandei.
Un atac reușit ar putea afecta spitale, servicii publice, transporturi, comunicații, energie, sistemul financiar sau companii care administrează infrastructură digitală folosită în întreaga Europă.
Potrivit proiectului, grupările de criminalitate cibernetică reprezintă în prezent cea mai probabilă amenințare directă.
Acestea urmăresc, de regulă, obținerea unor câștiguri financiare prin fraude, furt de date, șantaj informatic și atacuri de tip ransomware, în care accesul la sistemele unei organizații este blocat până la plata unei răscumpărări.
În paralel, autoritățile constată o creștere a riscurilor generate de actori asociați unor state străine.
Asemenea operațiuni pot urmări furtul de informații, compromiterea infrastructurii critice, influențarea proceselor democratice sau destabilizarea instituțiilor.
Atacurile informatice pot fi combinate cu dezinformare, manipularea opiniei publice și alte acțiuni coordonate.
Irlanda are o importanță digitală mai mare decât dimensiunea sa
Strategia arată că poziția Irlandei în economia digitală europeană îi oferă avantaje importante, dar o expune și unor riscuri suplimentare.
Țara găzduiește centre de date, furnizori de servicii cloud și sediile europene ale mai multor companii internaționale din domeniul tehnologiei.
Numeroase servicii digitale folosite în alte state ale Uniunii Europene sunt administrate sau coordonate din Irlanda.
Din acest motiv, efectele unui atac asupra unor sisteme aflate aici ar putea depăși rapid granițele țării.
O întrerupere majoră poate afecta servicii, companii și utilizatori din mai multe state europene, nu doar instituțiile sau populația Irlandei.
Autoritățile consideră că această poziție impune investiții mai mari în prevenție, monitorizare, schimb de informații și reacție rapidă.
Lecțiile atacului asupra HSE
Riscul unor atacuri majore nu este unul teoretic.
În mai 2021, sistemul informatic al Health Service Executive a fost afectat de unul dintre cele mai grave atacuri cibernetice din istoria statului.
Atacul de tip ransomware a obligat HSE să închidă o mare parte din sistemele sale informatice.
Programări au fost amânate, accesul la date medicale a fost afectat, iar personalul din spitale a fost obligat să revină temporar la proceduri manuale.
Incidentul a arătat cât de repede un atac informatic poate deveni o criză care afectează direct serviciile oferite populației.
Noua strategie urmărește să reducă riscul repetării unei situații similare și să permită identificarea mai rapidă a activităților suspecte.
Directiva NIS2 extinde obligațiile de securitate
Un element central al strategiei este aplicarea Directivei europene NIS2.
Legislația stabilește cerințe comune pentru protejarea rețelelor și sistemelor informatice din sectoarele considerate esențiale sau importante pentru funcționarea societății.
Față de vechiul cadru, NIS2 extinde semnificativ numărul organizațiilor care vor avea obligații legale în domeniul securității cibernetice.
În Irlanda, aproximativ 4.500 de entități ar urma să intre sub incidența noilor reguli.
Acestea vor activa în 18 sectoare, printre care energia, transporturile, sănătatea, administrația publică, serviciile financiare, infrastructura digitală, apa, gestionarea deșeurilor, industria și serviciile poștale.
Organizațiile vizate vor trebui să adopte măsuri adecvate pentru protejarea sistemelor, să își evalueze constant riscurile și să raporteze incidentele importante.
Conducerile companiilor și instituțiilor vor avea o responsabilitate mai mare pentru modul în care sunt gestionate amenințările informatice.
Autorități diferite pentru fiecare sector
Fiecare dintre cele 18 domenii acoperite de legislație va avea o autoritate competentă pentru supravegherea respectării regulilor.
National Cyber Security Centre va avea rolul central de coordonare a sistemului național.
Instituția va sprijini gestionarea incidentelor majore, schimbul de informații și cooperarea dintre autorități și organizațiile din mediul privat.
Irlanda va avea și o responsabilitate europeană importantă.
Numeroși furnizori de servicii digitale, cloud și infrastructură online își au sediul principal european în această țară.
Autoritățile irlandeze vor trebui să verifice dacă aceste companii respectă cerințele NIS2 și să intervină atunci când sunt constatate deficiențe.
În anumite situații, măsurile luate în Irlanda vor proteja utilizatori și servicii din întreaga Uniune Europeană.
Irlanda, trimisă în fața Curții de Justiție a UE
Publicarea strategiei are loc într-un moment dificil pentru Guvern.
Comisia Europeană a decis să trimită Irlanda în fața Curții de Justiție a Uniunii Europene pentru că nu a comunicat măsurile complete de transpunere a Directivei NIS2 în legislația națională.
Termenul stabilit pentru transpunerea directivei a expirat în octombrie 2024.
Comisia a solicitat instanței europene să impună sancțiuni financiare, inclusiv o sumă forfetară și penalități zilnice până la finalizarea procedurii.
Cadrul juridic necesar trebuie introdus prin National Cyber Security Bill.
Schema generală a proiectului a fost publicată în august 2024, însă legea nu a fost adoptată până acum.
Department of Justice, Home Affairs and Migration afirmă că textul este aproape finalizat și estimează că transpunerea directivei va fi notificată Comisiei Europene până la sfârșitul anului 2026.
Întârzierea înseamnă însă că Irlanda pregătește o strategie ambițioasă înainte de a fi finalizat cadrul legal necesar pentru aplicarea unei părți importante a acesteia.
O rețea națională pentru depistarea atacurilor
Strategia identifică drept vulnerabilitate majoră lipsa unei imagini complete asupra atacurilor care afectează simultan mai multe instituții sau sectoare.
În prezent, incidentele pot fi observate separat de fiecare organizație.
Fără un sistem comun de analiză, mai multe atacuri aparent izolate pot să nu fie recunoscute imediat ca făcând parte din aceeași operațiune.
Guvernul propune crearea unei National Detection Network, o rețea națională pentru detectarea amenințărilor informatice.
Sistemul ar urma să monitorizeze infrastructura critică și să identifice din timp activitățile neobișnuite sau semnele unei operațiuni coordonate.
Rețeaua nu va însemna supravegherea activității online a populației, ci colectarea și analizarea indicatorilor tehnici legați de atacurile asupra sistemelor protejate.
Obiectivul Guvernului este ca infrastructura să devină operațională până în ultimul trimestru al anului 2030.
Analizarea amenințărilor la nivel național
Autoritățile intenționează să creeze și un sistem național de analiză a amenințărilor cibernetice.
Acesta va reuni informații provenite de la instituții publice, companii, organizații europene și parteneri internaționali.
Scopul este identificarea mai rapidă a grupărilor implicate, metodelor folosite și sectoarelor care ar putea deveni următoarele ținte.
Informațiile vor putea fi transmise organizațiilor expuse înainte ca un atac să producă efecte importante.
Strategia prevede și dezvoltarea unor capacități de apărare proactivă.
Autoritățile consideră că reacția după producerea unui incident nu mai este suficientă și că atacurile trebuie identificate și întrerupte într-o etapă cât mai timpurie.
Instituțiile publice vor avea nevoie de protecție suplimentară
Un program separat va fi destinat consolidării securității cibernetice în sectorul public.
Instituțiile folosesc numeroase sisteme care au fost dezvoltate în perioade diferite și care nu beneficiază întotdeauna de același nivel de protecție.
Unele administrații locale și organisme publice mai mici pot avea resurse limitate și dificultăți în recrutarea specialiștilor.
Strategia urmărește stabilirea unor standarde comune, îmbunătățirea pregătirii personalului și coordonarea investițiilor.
Protejarea proceselor democratice reprezintă o altă prioritate.
Atacurile asupra registrelor, sistemelor electorale, instituțiilor sau canalelor oficiale de comunicare pot afecta încrederea publicului chiar și atunci când nu modifică direct rezultatul unei alegeri.
Campaniile de dezinformare pot amplifica efectele unui incident și pot crea impresia că instituțiile nu mai pot funcționa în siguranță.
Furnizorii și lanțurile de aprovizionare, verificați mai atent
Autoritățile atrag atenția și asupra riscurilor provenite de la furnizorii externi.
O instituție poate avea propriile sisteme bine protejate, dar poate fi compromisă prin intermediul unei companii care furnizează software, mentenanță, echipamente sau servicii cloud.
Strategia propune reguli mai stricte pentru achizițiile publice și o evaluare mai atentă a proprietății și structurii companiilor implicate.
Instituțiile vor trebui să cunoască mai bine originea tehnologiei pe care o folosesc, persoanele care au acces la sisteme și modul în care furnizorii își protejează propriile rețele.
Securitatea trebuie inclusă încă din etapa de proiectare și achiziție, nu adăugată numai după apariția unor probleme.
Lipsa specialiștilor rămâne o problemă
Aplicarea strategiei va depinde și de capacitatea Irlandei de a recruta și păstra specialiști în securitate cibernetică.
Sectorul public concurează pentru personal cu unele dintre cele mai mari companii tehnologice din lume, multe dintre ele prezente chiar în Irlanda.
Strategia prevede investiții în formare, cercetare și dezvoltarea industriei locale de securitate informatică.
Guvernul dorește crearea unei baze mai largi de experți care să poată lucra în instituții publice, companii esențiale și organizații de intervenție.
Vor fi necesare și programe de instruire pentru angajații care nu lucrează direct în domeniul informatic.
Multe atacuri încep prin mesaje frauduloase, parole compromise sau erori umane, iar protecția tehnică nu poate elimina complet aceste riscuri.
Consultare publică până la 21 august
Proiectul strategiei poate fi consultat public până la 21 august 2026, la ora 12:00.
Persoanele care locuiesc în Irlanda pot transmite observații prin formularul pus la dispoziție de Department of Justice, Home Affairs and Migration.
După încheierea consultării, răspunsurile vor fi analizate înainte de adoptarea documentului final.
Noua strategie va stabili direcția politicii irlandeze de securitate cibernetică până în 2030.
Aplicarea sa va depinde însă de adoptarea legislației NIS2, de finanțarea proiectelor propuse și de capacitatea instituțiilor de a coopera cu sectorul privat.
Pentru Irlanda, protejarea infrastructurii digitale nu mai este doar o problemă tehnică.
A devenit o componentă centrală a securității naționale, a funcționării serviciilor publice și a rolului pe care țara îl are în economia digitală europeană.
