text: Petr Pospíšil, infografika: Kristina Kollertová, Euroskop
Zatímco po většinu dvacátého století za největší bezpečnostní hrozbu platila konvenční válka, začátek 21. století přinesl zásadní proměnu bezpečnostního prostředí, charakteristickou nástupem nových bezpečnostních hrozeb. Tento kvalitativní posun šel ruku v ruce s dynamickým rozvojem informačních technologií. Dění se postupně stále více odehrává v kybernetickém prostoru a i z toho důvodu se mezi nejurgentnější bezpečnostní problémy zařadily kybernetické hrozby.
Charakterem na pomezí tvrdé a měkké bezpečnosti, obrana vůči nim vyžaduje účinné propojení vojenských a civilních přístupů. Kooperace mezi EU a NATO v oblasti kybernetické bezpečnosti je tak nezbytností.
Strategie NATO vůči kybernetickým hrozbám
V případě boje proti terorismu impulz pro zvýšenou pozornost a úsilí směrem k rozvoji protiteroristických politik vyvolal útok na Světové obchodní centrum 11. září 2001. Zvyšování odolnosti v kyberprostoru zase stimulovaly kybernetické útoky proti Estonsku, ke kterým došlo v roce 2007. Již předtím bylo světovým lídrům zřejmé, že právě v této oblasti dojde k nárůstu potenciálních hrozeb a rizikových faktorů. Kybernetická bezpečnost byla součástí politické agendy NATO před summitem Severoatlantické aliance v Praze v roce 2002, navzdory tomu však žádná politická strategie nebyla přijata dříve než v roce 2008.
Po kybernetických útocích proti estonským institucím získal rozvoj opatření na poli kybernetické bezpečnosti novou dynamiku, a to jak na úrovni NATO, tak na úrovni Evropské unie. Obě organizace začaly vytvářet strategické a koncepční dokumenty zaměřené na tuto oblast. V roce 2008 Severoatlantická aliance zveřejnila svoji politiku kybernetické obrany (NATO Cyber Defence Policy), o tři roky později NATO vydalo rozšířenou, novelizovanou verzi politiky kybernetické obrany a akční plán v téže oblasti.
Série dalších opatření byla přijata po ruské invazi na východní Ukrajině, ke které došlo v roce 2014 a která byla doprovázena kybernetickými útoky s cílem ochromit ukrajinskou kritickou infrastrukturu.
Ve světle vzrůstající nebezpečnosti kybernetických hrozeb se Severoatlantická aliance na summitu ve Varšavě v létě 2016 rozhodla učinit z kybernetické oblasti pátou operační doménu. Další krok následoval na bruselském summitu v roce 2018 – Severoatlantická aliance spustila Operační středisko pro kyberprostor (NATO Cyberspace Operation Centre), které se stalo součástí velitelské struktury NATO.
Každoročně probíhá nejrozsáhlejší cvičení kybernetické obrany v rámco NATO s názvem „Cyber Coalition“, do kterého se zapojuje více než 700 účastníků. Zdroj: NATO
Strategie EU vůči kybernetickým hrozbám
V poslední dekádě nezůstávala pozadu ani Evropská unie, jež rovněž začala rozvíjet svoje schopnosti a zřizovat orgány pověřené kyberbezpečnostními aktivitami. Strategie EU pro kybernetickou bezpečnost (EU Cybersecurity Strategy) byla přijata v roce 2013. Za významnou prioritu kyberbezpečnost označila i Globální strategie EU pro zahraniční a bezpečnostní politiku, přijatá v roce 2016. Unie rovněž schválila směrnici o bezpečnosti sítí a informačních systémů. V roce 2017 byl představen unijní kyberbezpečnostní balíček, sestávající z revidované strategie kybernetické bezpečnosti a speciálního nástroje kybernetické diplomacie.
Dynamický vývoj neustává ani v nejmladší době. V listopadu loňského roku doznal reformu unijní Rámec pro politiku kybernetické obrany (Cyber Defence Policy Framework) a v květnu letošního roku došlo na úrovni EU k přijetí seznamu kybernetických sankcí. Tyto sankce jsou analogií k již zavedeným sankcím v ekonomické oblasti a mohou být mířeny jak proti jednotlivcům, tak proti skupinám.
Za zmínku v souvislosti s kybernetickými politikami EU stojí i Plán Evropské komise pro reakce na kyberbezpečnostní incidenty a krize velkého rozsahu (European Commission Blueprint to respond to large-scale cybersecurity incidents and crises). Rozvoji schopností v oblasti kybernetické bezpečnosti se věnují i dva projekty Stálé strukturované spolupráce PESCO – konkrétně Cyber Threats and Incident Response Information Sharing Platform a EU Cyber Rapid Response Teams.
Na kybernetickou problematiku se zaměřuje náplň práce unijní agentury ENISA a lze pozorovat i postupný mainstreaming (začleňování a dílčí ovlivňování) principů kybernetické bezpečnosti do činnosti dalších unijních orgánů. Příkladem je úřad Europol, který zřídil speciální Europol Cybercrime Centre, zabývající se potíráním zločinnosti v kyberprostoru.
Kybernetická dimenze prostupuje i do oblasti zahraničních vztahů Evropské unie – kromě již uvedených kybernetických sankcí Unie provádí též tzv. kybernetickou diplomacii. Tento termín označuje uzavírání bilaterálních či multilaterálních smluv mezi EU a třetími zeměmi, ve kterých se smluvní strany mimo jiné zavazují i k tomu, že se nebudou zapojovat do takových aktivit v kybernetickém prostoru, které by mohly být na druhou smluvní stranu subverzivní účinek.
Vysoko postavení úředníci EU a NATO se v prosinci 2018 setkali, aby zhodnotili pokrok v aktivitách v oblasti kybernetické bezpečnosti. Zdroj: NATO
Spolupráce mezi NATO a EU v kybernetické oblasti
V dosavadní části jsme se zaměřovali na to, jakým způsobem NATO a EU rozvíjely svoje kapacity a schopnosti v oblasti kybernetické bezpečnosti nezávisle na sobě. Potřeba vzájemné spolupráce však byla oběma organizacím stále zřejmější.
Prvním dokumentem, ve kterém se setkáváme s explicitním potvrzením oboustranné vůle spolupracovat v kyberbezpečnostních aktivitách, je Společné prohlášení předsedy Evropské rady, předsedy Evropské komise a generálního tajemníka NATO, podepsané při příležitosti varšavského summitu Aliance 8. července 2016. V prohlášení si obě organizace předsevzaly „rozvíjet koordinaci v oblasti kybernetické bezpečnosti a obrany, a to i v kontextu misí a operací, cvičení, odborné přípravy a výcviku“.
Svoje trvající odhodlání obě strany potvrdily v obdobném prohlášení, datovaném roku 2018. Tato deklarace nejprve konstatuje, že probíhá implementace cílů, které si EU a NATO stanovily před dvěma lety: „Zvýšili jsme svoji schopnost reagovat na hybridní hrozby: (…) včasnou výměnou informací o kybernetických útocích.“ Prohlášení zároveň připomíná, že ve spolupráci je třeba pokračovat: „Početné a vyvíjející se bezpečnostní hrozby, kterým naše členské státy čelí z východu a z jihu, činí naši pokračující spolupráci životně důležitou, včetně schopností reagovat na hybridní a kybernetické hrozby (…)“
Dvojice deklarací vymezila základní rámec pro spolupráci a její hlavní cíle, mezi nimiž kybernetická oblast nechyběla. K naplnění těchto cílů organizace přijaly implementační plán, který postupně rozšiřují. V roce 2016 zahrnoval následující čtyři pilíře: integrace problematiky kybernetické bezpečnosti do misí a operací, výcvik a odborná příprava, cvičení a sbližování standardů regulujících kyberbezpečnostní opatření. V roce 2017 došlo k rozšíření o další dílčí aspekty spolupráce: výměna osvědčených postupů a praktik, krizový management a reakce na krizové situace, operační aspekty kybernetické obrany.
Implementační plán mimo jiné stanovuje cíle harmonizovat výcvikové požadavky a standardy jednotek zapojených do kyberbezpečnostních operací prostřednictvím zpřístupnění výcvikových kurzů pracovníkům druhé organizace. Plán mezi konkrétními kroky uvádí i reciproční účast zástupců obou organizací ve významných kybernetických cvičeních druhé organizace (Cyber Coalition či Cyber Europe). Ohledně výzkumu a inovací v oblasti kybernetické obrany dokument zmiňuje speciální středisko NATO Cooperative Cyber Defence Centre of Excellence, zřízené v estonském Tallinnu.
Probíhající spolupráce mezi oběma organizacemi již vyústila v konkrétní dílčí výstupy. V únoru 2016 uzavřely NCIRC (jednotka NATO, v originále „Computer Incident Response Capability“ a CERT (součást struktury EU, „Computer Emergency Response Team“) dohodu o spolupráci (Technical Arrangement on Cyber Defence) za účelem zlepšení sdílení informací na operační úrovni mezi Evropskou unií a Severoatlantickou aliancí.
Od roku 2017 se zástupci EU účastní kybernetického cvičení NATO CMX a představitelé NATO unijního cvičení EU PACE. Kromě samotné účasti na cvičení EU i NATO úzce spolupracují při přípravě obou cvičení, které jsou hlavními cvičeními v oblasti krizového managementu v kybernetickém prostoru. Pokroku se podařilo dosáhnout i ve sdílení informací – EU získala přístup k databázi NATO Malware Information Sharing Platform.
Společné workshopy a vzájemná setkání odborníků z řad obou organizací, umožňující předání know-how, probíhají na pravidelné i ad hoc bázi.
Závěrem lze konstatovat, že ačkoli se kybernetické hrozby a ruku v ruce s nimi i schopnost reakce na ně teprve vyvíjí, Evropská unie i Severoatlantická aliance v kybernetickém prostoru sdílí velké množství priorit i cílů, což obě organizace předurčuje ke spolupráci a představuje pro ni potřebný potenciál. Existující politicko-strategické dokumenty počítají s rozšiřováním i prohlubováním vzájemné kooperace a jsou založeny na shodných vůdčích principech politiky kybernetické obrany a bezpečnosti: odolnost (resilience), odrazení (deterrence) a obrana (defence).
Ilustrační foto. Zdroj: NCIRC NATO
Autor: text: Petr Pospíšil, infografika: Kristina Kollertová
