Nyt EU sanktionsregime til bekæmpelse af cyberangreb

Forordningen giver for første gang EU mulighed for at vedtage sanktioner – i form af indrejserestriktioner og indefrysning af midler – mod personer og enheder ansvarlige for eller involverede i cyberangreb med potentielt betydelige konsekvenser, der udgør en ekstern trussel mod EU og medlemsstaterne, dvs. cyberangreb der:

• stammer eller udføres fra områder uden for EU
• anvender infrastruktur uden for EU
• udføres af personer, enheder eller organer der er etableret eller opererer uden for EU, eller
• udføres med støtte fra, under ledelse eller kontrol af personer, enheder eller organer uden for EU

Forsøg på sådanne cyberangreb kan også resultere i sanktioner mod de ansvarlige/involverede, og personer og enheder med tilknytning til de ansvarlige/involverede kan ligeledes sanktioneres. Beslutning om anførelse af personer, enheder og organisationer på forordningens "sanktionsliste" (bilag I) træffes af Rådet - p.t. er listen tom.

Den nye forordning adskiller sig fra EU's eksisterende sanktionsregimer ved at være tematisk og tværgående, forstået på den måde at den ikke er begrænset til bestemte lande eller områder. På den måde afspejler forordninger det ændrede trusselsbillede, som cyberangreb repræsenterer, der netop ikke er begrænset til bestemte geografiske områder eller personer. Tidligere eksempler på EU tematiske sanktioner inkluderer sanktioner til bekæmpelse af terrorisme og udbredelse af kemiske våben, hvilket illustrerer den vigtighed cybersikkerhed anskues med af EU's udenrigs- og sikkerhedspolitiske beslutningstagere.

Ligesom for EU's eksisterende sanktionsregimer er det op til EU-borgere og virksomheder selv at sikre, at sanktionerne efterleves (herunder at midler ikke stilles til rådighed for / at samhandel med sanktionerede enheder og personer undgås), mens håndhævelsen forestås af de nationale myndigheder – i Danmark Erhvervsstyrelsen og SØIK.

EU's pressemeddelelse om forordningen kan læses her.