Erwartetes Ergebnis
- Weltklasse nationale SOC in der gesamten Union, die mit modernster Technologie ausgestattet sind und als Clearingstellen für die Erkennung, Sammlung und Speicherung von Daten über Bedrohungen der Cybersicherheit, die Analyse dieser Daten und die gemeinsame Nutzung und Meldung von CTI, Überprüfungen und Analysen dienen.
- Fähigkeiten zur Erkennung von Bedrohungen und zum Situationsbewusstsein sowie Aufbau von Kapazitäten zur Unterstützung einer verstärkten Zusammenarbeit zwischen Akteuren im Bereich der Cybersicherheit, einschließlich privater und öffentlicher Akteure.
Zielsetzung
Ziel ist es, nationale SOC zu schaffen oder zu stärken, insbesondere mit modernsten Instrumenten für die Überwachung, das Verständnis und die proaktive Bewältigung von Cyber-Ereignissen, in enger Zusammenarbeit mit einschlägigen Einrichtungen wie CSIRTs. Sie werden nach Möglichkeit auch Informationen und Feeds von anderen SOC in ihren Ländern nutzen und die gesammelten Daten und Analysen verwenden, um Frühwarnungen für bestimmte kritische Infrastrukturen nach dem Grundsatz "Kenntnis nur, wenn nötig" zu versenden.
Umfang
Ziel ist der Aufbau von Kapazitäten für neue oder bestehende nationale SOC, z. B. Ausrüstung, Werkzeuge, Dateneinspeisungen sowie Kosten im Zusammenhang mit der Datenanalyse, der Vernetzung mit grenzüberschreitenden SOC-Plattformen usw. Dazu können beispielsweise Automatisierungs-, Analyse- und Korrelationswerkzeuge sowie Datenfeeds gehören, die Cyber Threat Intelligence (CTI) auf verschiedenen Ebenen abdecken, von Felddaten über Security Information and Event Management (SIEM)-Daten bis hin zu CTI auf höherer Ebene. Nationale SOCs sollten auch modernste Technologien wie künstliche Intelligenz und dynamisches Lernen der Bedrohungslandschaft und des Kontexts nutzen. Dazu gehört auch die Nutzung gemeinsamer Cybersicherheitsinformationen, soweit dies auf der Grundlage bestehender Taxonomien und/oder Ontologien möglich ist, sowie von Hardware, die den sicheren Austausch und die Speicherung von Informationen gewährleistet. Die Operationen sollten sich auf aktuelle Netzdaten stützen. Gegebenenfalls sollten KMU als letztendliche Empfänger von operativen Cybersicherheitsinformationen in Betracht gezogen werden.
Ein Schlüsselelement ist die Umsetzung fortgeschrittener KI/ML, Datenanalyse und anderer einschlägiger Cybersicherheitsinstrumente von Forschungsergebnissen in operationelle Instrumente sowie deren weitere Erprobung und Validierung unter realen Bedingungen in Kombination mit dem Zugang zu Supercomputing-Einrichtungen (z. B. zur Verbesserung der Korrelations- und Erkennungsfunktionen grenzüberschreitender Plattformen).
Eine weitere Schlüsselrolle für nationale SOCs ist der Wissenstransfer, z. B. die Schulung von Cybersicherheitsanalysten. So spielen beispielsweise SOCs, die sich mit kritischen Infrastrukturen befassen, eine Schlüsselrolle und sollten von den Kenntnissen und Erfahrungen profitieren, die von nationalen SOCs erworben oder in ihnen konzentriert wurden.
Die nationalen SOC müssen Informationen mit anderen Akteuren in einem für beide Seiten vorteilhaften Informationsaustausch teilen und sich verpflichten, innerhalb der nächsten zwei Jahre die Teilnahme an einer grenzüberschreitenden SOC-Plattform zu beantragen, um Informationen mit anderen nationalen SOC auszutauschen.
Um dieses Ziel zu erreichen, wird eine Aufforderung zur Interessenbekundung veröffentlicht, um Einrichtungen in den Mitgliedstaaten auszuwählen, die die notwendigen Einrichtungen für die Aufnahme und den Betrieb nationaler SOCs bereitstellen. Bewerber, die sich an der Aufforderung zur Interessenbekundung beteiligen, sollten die Ziele des nationalen SOC beschreiben, seine Rolle und deren Verhältnis zu anderen Akteuren im Bereich der Cybersicherheit sowie seine mögliche Zusammenarbeit mit anderen öffentlichen oder privaten Akteuren im Bereich der Cybersicherheit darlegen. Die Antragsteller sollten auch eine detaillierte Planung der Tätigkeiten und Aufgaben des nationalen SOC, der von ihm angebotenen Dienste und der Art und Weise, wie sie funktionieren und umgesetzt werden, vorlegen und die Dauer der Tätigkeit sowie die wichtigsten Etappenziele und Ergebnisse beschreiben. Sie sollten auch angeben, welche Ausrüstungen, Instrumente und Dienste beschafft und integriert werden müssen, um das nationale SOC, seine Dienste und seine Infrastruktur aufzubauen.
Zur Unterstützung der oben genannten Aktivitäten eines nationalen SOC sind die folgenden zwei Arbeitsabläufe vorgesehen:
- [Beschaffung] Eine gemeinsame Beschaffungsaktion mit dem Mitgliedstaat, in dem das nationale SOC angesiedelt ist: Dies wird die Beschaffung der wichtigsten Ausrüstungen, Instrumente und Dienstleistungen umfassen, die für den Aufbau des nationalen SOC benötigt werden
- [Aufbau und Betrieb des nationalen SOC] Außerdem wird ein Zuschuss zur Verfügung stehen, um u. a. die vorbereitenden Tätigkeiten für den Aufbau des nationalen SOC, seine Interaktion und Zusammenarbeit mit anderen Akteuren sowie die Betriebskosten abzudecken, die den effektiven Betrieb des nationalen SOC ermöglichen, z. B. unter Verwendung der im Rahmen der gemeinsamen Beschaffung erworbenen Ausrüstung, Instrumente und Dienstleistungen. Darin werden auch Meilensteine und Leistungen zur Überwachung der Fortschritte angegeben.
Die Anträge sind an beide Arbeitsgruppen zu richten. Die Anträge werden Gegenstand von Bewertungsverfahren sein. Zuschüsse werden nur an Antragsteller vergeben, die die Bewertung der gemeinsamen Beschaffungsmaßnahme bestanden haben.
Diese Maßnahmen zielen darauf ab, nationale SOC zu schaffen oder zu stärken, die eine zentrale Rolle bei der Gewährleistung der (Cyber-)Sicherheit von nationalen Behörden, Anbietern kritischer Infrastrukturen und wesentlicher Dienste spielen. Die SOCs haben die Aufgabe, Bedrohungen der Cybersicherheit zu überwachen, zu verstehen und proaktiv zu bewältigen. In Anbetracht der entscheidenden operativen Rolle der SOC für die Gewährleistung der Cybersicherheit in der Union, der Art der beteiligten Technologien und der Sensibilität der verarbeiteten Informationen müssen die SOC vor möglichen Abhängigkeiten und Schwachstellen in der Cybersicherheit geschützt werden, um eine ausländische Einflussnahme und Kontrolle zu verhindern. Wie bereits erwähnt, birgt die Teilnahme von Nicht-EU-Stellen das Risiko, dass hochsensible Informationen über Sicherheitsinfrastrukturen, Risiken und Vorfälle einer Gesetzgebung oder einem Druck unterliegen, der diese Nicht-EU-Stellen dazu zwingt, diese Informationen an Nicht-EU-Regierungen weiterzugeben, was ein unvorhersehbares Sicherheitsrisiko darstellt. Aus den dargelegten Sicherheitsgründen unterliegen die Maßnahmen im Zusammenhang mit den SOC daher Artikel 12 Absatz 5 der Verordnung (EU) 2021/694 im Einklang mit dem Arbeitsprogramm 2021/2022.