Киберсигурността - новият глобален проблем. Правна рамка в ЕС и САЩ.
1.Увод.
Дигитализацията на икономиката увеличава уязвимостта както на икономиките в ЕС, така и на тaзи в САЩ, включително поради нейното трансгранично измерение. Киберполитиката се е развивала с течение на времето и от двете страни на Атлантика. ЕС първи постави акцент върху регулацията на киберпрестъпността като нормативна рамка, но в настоящето фокусът е насочен основно към киберсигурността – тенденция, която динамично се разрастна в САЩ поради бизнес и социални мотиви и днес е глобален проблем. Доктринално, това се подкрепя от анализа на английската анализаторка Илейн Фаей (виж. Fahey 2022a, 2022b[1]), която посочва, че цифровата трансформация увеличава правната комплексност и изисква нови рамки за координация между държавите-членки. Съдебната практика на Съда на ЕС по темата също подчертава тази динамика, като в решенията Schrems I (виж дело C-362/14) и Schrems II (Виж дело C-311/18) се отбелязва значението на защитата на личните данни и киберсигурността като съвременен елемент на правото на ЕС, което обвързва вътрешния пазар с цифровите стандарти и международното право.
Тук трябва да се отбележи очевидният факт, водещ до разлики в двете коментирани правни системи, а именно че в рамките на ЕС, като пазар, киберсигурността се превърна в аргумент за регулация, докато в САЩ доминира пазарно ориентираният подход, който за момента избягва конкретно създаване на единен федерален нормативен акт. Американските съдилища, например в делото „FTC v. Wyndham“(799 F.3d 236, 3d Cir. 2015)[2], демонстрират как федералните органи могат да прилагат мерки за киберсигурност чрез административни процедури, като се използват съществуващи законови рамки, но без изрично федерално или щатско законодателство за киберсигурност.
Въпреки множеството вътрешни различия, между уредбата по тази тема в САЩ и ЕС съществуват и значителни сходства. Доктрината отбелязва, че и двете системи постепенно се насочват към защита на критичната инфраструктура, като се формират паралелни политики и стратегии (така deloto "Carrapico & Farrand", 2024[3]). По същество следва да се отбележи, че споменатите различия не възпрепятстват процеса на сближаване в търсенето на законодателни решения, като геополитическите съображения за общ път в киберпространството ускоряват този процес, движен от трансграничния характер и технологичната изискуемост за все по-адекватна киберсигурност, обусловена от стремежа за глобално лидерство на ЕС и САЩ в тази сфера.
Споменатата дигитализация и от двете страни на Атлантика поставя нарастващи предизвикателства пред бизнеса, законодателството и политическата среда. Доктрината посочва по темата (виж. Mishra, 2024[4]; Anagnostakis, 2021[5]), че темпът на дигитализация разширява кръга от субекти и обекти, които се нуждаят от регулация. Това се дължи и на факта, че глобалната дигитализация създава нови уязвимости на технологично ниво – чужди правителства или недържавни субекти(например хакери) могат да се стремят да получат достъп до чувствителна информация или да се опитат да нарушат критични функции и инфраструктури на трети страни. Съдебната практика в САЩ и ЕС показва, че националните съдилища се сблъскват с необходимостта да дефинират границите на юридическа отговорност и правомощия, като в САЩ това включва прецедента по делото „Carpenter v. United States“[6] (138 S.Ct. 2206, 2018), докато в ЕС, Съдът за правата на човека подчертава защитата на личните данни и киберсигурността като съществен компонент на вътрешния пазар.
ЕС и САЩ споделят сходни опасения, свързани с киберсигурността, които с времето са се развивали паралелно – от фокус върху престъпността към акцент върху националната сигурност. Въпреки това двата субекта възприемат различни подходи: САЩ са пионери във времево отношение, но прилагат секторен подход, първоначално чрез твърди законови мерки срещу киберпрестъпността, които впоследствие се допълват от все по-гъвкави „меки правни“ инструменти (виж. Hathaway et al., 2012[7]). Европейското законодателство в тази сфера е по-ново, но по-всеобхватно и базирано на рестриктивни законодателни позиции, докато САЩ все още не съществува единен федерален закон в тази сфера.
Тази разлика потвърждава често срещаната характеристика на ЕС като ориентиран към гражданските и социални права, а на САЩ – като пазарно ориентирана юрисдикция (виж. Bradford, 2023[8]). Все пак, ЕС е мотивиран както от риска от фрагментация на пазара, така и от съображенията за сигурност в онлайн средата. Между ЕС и САЩ съществуват редица паралели по отношение на дигитализацията и тенденцията към защитни политики – например концепцията за цифров суверенитет в ЕС и стратегията „Defend Forward“ в САЩ ( виж. Fahey, 2022b). Стратегията „Defend Forward“, обявена от Белия дом през 2018г., има за цел да предотвратява и смекчава кибератаки още преди те да достигнат американската инфраструктура. По същество това е проактивна, а не чисто защитна политика: вместо да реагира пасивно на заплахи, САЩ предприемат действия в киберпространството за откриване, прецизиране и обезвреждане на заплахи в чуждестранни мрежи. Пример в тази насока е съвместната работа на американски киберотдели с частния сектор за откриване на инфраструктурни уязвимости в ключови енергийни и финансови системи, като тези операции често се извършват съгласно рамката на Националната киберстратегия и в координация с международни партньори.
Споменатите практики се доближават до логиката на т.нар „цифров суверенитет“ в ЕС, при който стремежът е насочен към защита на ключовите цифрови инфраструктури, ограничаване на зависимостта от външни технологии и засилване на правото на ЕС да регулира киберсредата. И двата подхода демонстрират, че дигитализацията изисква нови, активни инструменти за управление на риска и показват съвпадение в стратегическото разбиране за киберсигурността като въпрос не само на национална сигурност, но и на международна координация и геополитическа детайлна позиционираност.
От друга страна, в рамките на ЕС понятието „цифров суверенитет“ се е развило, за да оправдае по-рестриктивни тенденции в нормативната рамка и политиките, обмисляни към онлайн средата. То обхваща стратегическия стремеж на Европейския съюз да контролира ключови дигитални инфраструктури, да ограничи зависимостта от външни технологии и да гарантира, че данните и цифровите услуги се управляват съгласно европейските стандарти за сигурност и защита на личните данни. В този контекст възниква и разбирането за термина „цифров имунитет“ (от англ. „digital resilience“), което ЕС дефинира като способността на държавите-членки, публичните институции и предприятията да предотвратяват, откриват и бързо да реагират на киберзаплахи, като минимизират последствията от атаки и осигуряват устойчивостта на критичните системи.
Цифровият имунитет е въведен като правен и политически инструмент в няколко ключови нормативни акта на ЕС. Например Регламентът за киберсигурност (Regulation (EU) 2019/881) създава общностната правна рамка за сертифициране на онлайн продукти и услуги, която задължава производителите да осигурят устойчивост на техните продукти срещу кибератаки. Същевременно Директивата NIS2[9] налага на операторите на критична инфраструктура и доставчиците на цифрови услуги изисквания за управление на риска, докладване на инциденти и планове за възстановяване след кибер атаки. Естествено България все още не е транспонирала тази директива в законодателството си, като на този фон европейската правна доктрина подчертава, че цифровият имунитет не е просто техническа мярка, а интегрален елемент на правната и институционалната рамка на ЕС, който съчетава превантивни, реактивни и възстановителни механизми за защита на вътрешния пазар (виж. Fahey, 2022b; Kruck & Weiss, 2023[10]).
Съдебната практика в ЕС също подкрепя тази концепция. В решението на Съда на Европейския съюз по дело C‑311/18 (Data Protection Commissioner v. Facebook Ireland Ltd) се подчертава задължението на европейските технологични компании да осигуряват подходящи технически и организационни мерки за защита на данните, което е пряко свързано с укрепването на цифровия имунитет. По същество Съдът на ЕС установява, че държавите-членки и регулаторите трябва да гарантират устойчивост на цифровите системи чрез правно обвързващи стандарти.
Подобни процеси на нормативна еволюция се наблюдават и в Съединените щати, където в последното десетилетие се развиват стратегически и правни механизми, съпоставими с европейската концепция за цифров суверенитет. Това отразява тенденция към правно и политическо сближаване в областта на киберсигурността и управлението на дигиталните инфраструктури. Един показателен пример е стратегията „Defend Forward“, въведена от Министерството на отбраната на САЩ в рамките на DoD Cyber Strategy (2018), която утвърждава проактивен подход в киберпространството чрез извършване на превантивни действия извън националните мрежи с цел неутрализиране на заплахи преди те да засегнат критични системи. В същия дух, регулаторните инициативи в областта на Интернет на нещата (IoT) – като IoT Cybersecurity Improvement Act of 2020 – установяват стандарти за сигурност, сертифициране и съвместимост на свързаните устройства, целящи ограничаване на рисковете от киберзаплахи и гарантиране на технологичната автономия.
Както европейската доктрина за дигитален или технологичен суверенитет[11], така и американската стратегия „Defend Forward“ изразяват сходна политическа динамика – дигитализацията не само разширява обхвата на регулираните обществени отношения, но и поражда протекционистки и понякога националистически импулси. И в двата случая регулаторните интервенции целят едновременно укрепване на националната киберустойчивост, запазване на стратегическия контрол върху критични технологии и повишаване на международната конкурентоспособност на съответната юрисдикция.
Тези тенденции потвърждават, че киберпространството се превръща в арена, където правните режими все по-често отразяват геополитически интереси и стремеж към технологична автономия, а не само към неутрална регулация на пазара.
Въпреки вътрешните нормативни и законодателни различия, между ЕС и САЩ има значителни прилики, като колизия възниква предимно във формата, а не в съдържанието на конкретни правни норми, показвайки признаци на правна конвергенция (Young, 2024[12]). Регулацията в ЕС е мотивирана от предотвратяване на фрагментация на вътрешния пазар, като и вСАЩ постепенно се насочват към по-засилена регулация, приближавайки се до детайлнитеевропейските стандарти. Мотивите на ЕС и промененият подход на САЩ към киберсигурността не се вписват лесно в традиционната юридическа представа за коментираните юрисдикции – ЕС като ориентиран към граждански и социалните права, а САЩ - като пазарно ориентирана съдебна система и доктрина.
2. Европейският съюз - киберсигурността като елемент на вътрешния пазар.
Еволюцията на киберсигурността в рамките на Европейския съюз (ЕС) демонстрира отчетливо преминаване от наказателноправен към регулаторен и пазарно ориентиран подход. Първоначално, европейската политика в областта на информационната сигурност е насочена предимно към борбата с киберпрестъпността и хармонизирането на националните наказателноправни режими. Тази фаза е олицетворена от Council Framework Decision 2005/222/JHA[13] относно атаките срещу информационни системи, с която се въвеждат минимални стандарти за наказателноправна защита срещу незаконен достъп, намеса в данни и саботаж на информационни услуги. Решението има за цел да осигури наказателноправна консистентност между държавите членки и да улесни сътрудничеството между правоохранителните органи. Това поставя киберсигурността първоначално в рамките на правоприлагащата логика на Трети стълб, характерна за периода преди влизането в сила на Договора от Лисабон. Какво имам предвид?
Council Framework Decision 2005/222/JHA е прието на основание Трети стълб на Европейския съюз, който преди влизането в сила на Договора от Лисабон (2009) уреждаше сътрудничеството в областта на правосъдието и вътрешните работи (ПВР). Третият стълб включваше въпроси, свързани с наказателното право, полицията, борбата с тероризма и други форми на трансгранична престъпност, и се характеризираше с междуправителствена логика – т.е. решенията се вземаха основно от Съвета, с ограничено участие на Европейския парламент и без пълна юрисдикция на Съда на ЕС. В този контекст Решението 2005/222/JHA има две основни цели:
Първо - да осигури наказателноправна консистентност между държавите членки. Преди неговото приемане държавите в ЕС имаха различни дефиниции за престъпления като „неоторизиран достъп до система“, „намеса в данни“ или „намеса в системи“. Тези различия затрудняваха както преследването на престъпления с трансграничен елемент (например хакерски атаки, които преминават през няколко юрисдикции), така и взаимното признаване на съдебни решения. С Решението се въвеждат минимални общи стандарти – например задължението всяка държава членка да инкриминира определени деяния, както и да предвиди ефективни, пропорционални и възпиращи наказания. Така се постига правна съпоставимост и се намалява рискът киберпрестъпниците да използват различията между националните законодателства (т.нар. forum shopping).
Второ – решението цели да улесни сътрудничеството между правоохранителните органи на държавите членки. Киберпрестъпленията рядко се ограничават в рамките на една държава — те често включват извършители, сървъри и жертви, намиращи се в различни държави. Една от целите на Трети стълб беше именно да подобри оперативното сътрудничество между полицията, прокуратурата и съдебните органи. Решението от 2005 г. създава обща правна основа, върху която може да се изгражда доверие между националните институции – предпоставка за по-ефективен обмен на информация чрез структури като Europol и Eurojust.
Така киберсигурността се разглежда първоначално като аспект на вътрешната сигурност и правоприлагането, а не като елемент на икономическата или пазарната интеграция. Тя е част от парадигмата на наказателното право и сигурността, типична за Трети стълб – където основният инструментариум е репресивен (наказателен), а не регулаторен.
С други думи, в този период ЕС не разполага с компетентност да регулира киберсигурността на равнище вътрешен пазар (за разлика от следващите етапи след Лисабон). Вместо това, той действа чрез хармонизация на наказателните разпоредби и координация на органите за сигурност – опитвайки се да създаде минимално общо ниво на защита срещу престъпления, засягащи информационните системи.
След Договора от Лисабон (2009), който премахва трите стълба и интегрира правосъдното и вътрешното сътрудничество в общата рамка на Съюза, ЕС получава по-широки законодателни правомощия. Това позволява преминаване от междуправителствено сътрудничество към наднационално регулиране – т.е. към създаване на регламенти като Актът за киберсигурността (2019/881), които са пряко приложими и ориентирани към икономическата и технологичната интеграция.
Следователно, Решението 2005/222/JHA символизира първия етап в развитието на киберсигурността в ЕС – период, в който тя се възприема преди всичко като въпрос на наказателноправна защита и междуинституционално доверие, а не като елемент на вътрешния пазар и цифровия суверенитет, какъвто е съвременният ѝ статут.
С развитието на дигиталната икономика и задълбочаването на интеграцията на вътрешния пазар, фокусът постепенно се измества от чисто наказателноправните измерения към икономическите и регулаторните аспектина сигурността. Както отбелязват Fahey[14] и Kruck & Weiss[15], този преход отразява разбирането, че киберсигурността е предпоставка за доверие в дигиталните услуги, иновациите и свободното движение на данни, което я превръща в структурен елемент на вътрешния пазар.
Тази нова ориентация се материализира нормативно с Регламент (ЕС) 2019/881 – Акт за киберсигурността, който бележи съществено разширяване на мандата на Агенцията на ЕС за киберсигурност (ENISA). От консултативна структура ENISA се трансформира в постоянен орган с координиращи и сертификационни функции. Регламентът създава и европейска рамка за сертифициране на ИКТ продукти и услуги, която има за цел да гарантира еднакво високи стандарти за сигурност в целия Съюз. Приемането му на основание чл. 114 от Договора за функционирането на ЕС (ДФЕС) подчертава пазарната ориентация на киберсигурността – сигурността вече не е външен компонент, а вграден елемент в процеса на икономическа хармонизация и конкурентоспособност (Fahey, 2022a).
Съвременните регулаторни инициативи, включително Cyber Resilience Act (2024) и Регламент (ЕС) 2022/30 относно радиосъоръженията, надграждат тази рамка, като въвеждат директни задължения за производителите и доставчиците на цифрови продукти. Основният принцип, залегнал в тези актове, е „киберустойчивост по дизайн“ (security by design) – задължението производителите да осигурят киберсигурност още на етапа на проектиране и през целия жизнен цикъл на продукта. Тази концепция бележи преход от отговорност на потребителя към отговорност на производителя, аналогично на принципите в правото за безопасност на продуктите (product safety law). В резултат, ЕС интегрира киберсигурността в пазарната логика на отговорност и сертификация, утвърждавайки модел, при който сигурността е неразделна част от качеството и безопасността на стоките (Fahey, 2022b).
От гледна точка на съдебната практика, Съдът на Европейския съюз (СЕС) играе ключова роля за концептуалното оформяне на цифровия суверенитет. В делата C-362/14 Schrems I и C-311/18 Schrems II, Съдът потвърждава върховенството на основните права на защита на личния живот и личните данни (чл. 7 и 8 от Хартата на основните права на ЕС) над икономическите и външнополитическите интереси на Съюза. В решението Schrems II (2020) Съдът обявява за недействителен механизма „Privacy Shield“( от англ. „щит срещу личното пространство“), аргументирайки, че той не осигурява адекватно ниво на защита на данните при трансфер към трети държави. Тези решения не само затвърждават централността на защитата на данните като част от европейската правна идентичност, но и юридически обосновават понятието „цифров суверенитет“, което поставя контрола върху данните в основата на автономията на ЕС в дигиталната сфера[16].
Паралелно с вътрешните мерки, ЕС развива и външнополитически инструменти в областта на киберсигурността. Council Decision (CFSP) 2019/797 установява режим за целенасочени киберсанкции, позволявайки налагането на рестриктивни мерки срещу физически и юридически лица, отговорни за значими кибератаки, застрашаващи сигурността или интересите на Съюза и неговите членове. Това представлява израз на т.нар. „сигурностен завой“ (security turn) в политиката на ЕС – преминаване от наказателно и административно регулиране към стратегическо и външнополитическо управление на киберпространството[17].
Доктрината подчертава, че това интегриране на вътрешния пазар, цифровия суверенитет и киберсигурносттапредставлява уникална хибридна регулаторна конструкция, която съчетава твърдо право (от англ. „hard law“) – регламенти, директиви и съдебни решения – с меки инструменти (от англ. „soft law“) като сертифициране, стандартизация и междусекторно координиране. По този начин ЕС изгражда своя модел на „регулаторен суверенитет“, в който сигурността е вградена в самата архитектура на вътрешния пазар и цифровото управление, превръщайки се в централен компонент на европейския проект за дигитална автономия (виж пак Fahey, 2022a и Kruck & Weiss, 2023).
3.Киберсигурността в САЩ – пазарна гъвкавост и секторна регулация.
Американският подход към киберсигурността се характеризира с секторно ориентирана регулация, комбинираща т.нар „твърдо право“ (от англ. „hard law“) с доброволни стандарти и индустриални кодекси – т.нар „меко право“ (от англ. „soft law“). Той отразява основополагащата доктринална вяра в саморегулиращия се характер на технологичните пазари и ролята на частния сектор за внедряване на иновативни и оперативно ефективни мерки за сигурност. Вместо да съществува централизирана федерална рамка за киберсигурност, САЩ развиват регулаторна мозайка, в която федерални закони, секторни нормативни актове и доброволни стандарти взаимодействат, за да осигурят относителна хармонизация на стандарти за сигурност.
Първата федерална уредба в областта на киберпрестъпленията е Computer Fraud and Abuse Act (CFAA, 1986), която криминализира неоторизиран достъп до компютърни системи и други компютърно свързани престъпления. CFAA представлява наказателноправен инструмент, който цели да защити федерални институции и критични инфраструктури от злонамерени атаки, но също така задава правни стандарти за граждански искове, свързани с киберпрестъпления. Доктрината подчертава, че CFAA е пример за първоначално наказателноправно регулиране, което по-късно се развива в комбинация със секторни и доброволни регулаторни механизми.
През 1990-те и 2000-те години се формира серия от секторни закони, които адресират конкретни индустрии и типове данни, илюстрирайки доктриналния принцип на секторна специализация в киберсигурността:
-HIPAA (1996) – регулира защитата на здравната информация, въвежда стандарти за достъп, конфиденциалност и съхранение на медицински данни. Този закон подчертава ролята на частния сектор в защитата на чувствителни данни и показва как федералната регулация може да комбинира наказателноправни и административни санкции с доброволни протоколи.
-Gramm-Leach-Bliley Act (1999) – изисква финансовите институции да защитават потребителската информация, демонстрирайки принципа на секторна киберсигурност, при който регулаторният фокус се определя от специфичния риск, характерен за индустрията.
- FISMA (2002) – част от Homeland Security Act, който установява рамка за управление на информационната сигурност във федералните агенции, включително изисквания за оценка на рискове, планове за защита и регулярни одити. FISMA илюстрира, че федералният подход е институционално ориентиран, като в същото време позволява адаптивност спрямо технологичните промени.
Важен инструмент за синтез на твърдото и мекото право е NIST Cybersecurity Framework (2013). Този документ е доброволна правна рамка, предназначена да подпомага организации в управлението на киберрискове, но бързо се превръща в де факто стандарт за критична инфраструктура, тъй като регулаторите, инвеститорите и корпоративният сектор започват да го възприемат като мярка за надеждност. Доктрината подчертава, че NIST Framework функционира като механизъм за хармонизация на секторната регулация, предоставяйки универсален език за оценка на риска и прилагане на технически мерки, без да въвежда централизирана задължителна регулация[18].
Съдебната практика оказва значително влияние върху американската киберсигурност. В делото „FTC v. Wyndham Worldwide Corp., 799 F.3d 236 (3d Cir. 2015)“, съдът потвърждава, че Федералната търговска комисия( от англ. „Federal Trade Commission“ или (FTC) има правомощия да санкционира компании за недостатъчна защита на данните като нелоялна търговска практика. Това решение има няколко ключови последствия:
-Разширява административните възможности на регулаторите – дори при липса на централизирана федерална рамка, FTC може да налага стандарти за киберсигурност, използвайки съществуващите закони за потребителска защита;
- Укрепва ролята на „мекото право“ – доброволните стандарти и индустриалните кодекси могат да бъдат използвани като доказателство за липса на разумни мерки за сигурност.
- Подкрепя глобалната приложимост на американските стандарти – дори при трансгранични инциденти регулаторите имат правомощия да изискват адекватна защита, което стимулира синхронизация с международни стандарти.
През последните години се наблюдава „европеизация“ на американския подход, при която се въвеждат мерки, вдъхновени от европейските стандарти. Например Законът за докладване на киберинциденти (2022)[19] – задължава организации да уведомяват регулаторите за сериозни киберинциденти, подобно на Директива NIS2 в ЕС. Подобна е и инициативата Cyber Trust Mark (2023) на FТC – сертификация за IoT устройства, базирана на европейските модели на сертифициране и стандартите на ENISA[20], което показва доктринална тенденция за интеграция на транснационални стандарти и частично хармонизиране с европейската рамка[21].
Доктрината подчертава, че американският секторен подход осигурява значителна гъвкавост и стимулира иновациите, но едновременно създава необходимост от стратегическа координация с международни стандарти, особено в критична инфраструктура, финансовия сектор и IoT устройства.[22] Американският модел се характеризира с регулаторен баланс, в който частният сектор носи първична отговорност, а държавата и съдебната практика задават минимални стандарти и гаранции, които поддържат доверие, оперативна сигурност и защита на данните на глобалния цифров пазар.
4. Трансантлантически тенденции: Дигитален суверенитет и „Defend Forward“.
Дигитализацията води до нарастващи уязвимости и стимулира стратегическа конвергенция между ЕС и САЩ. Въпреки различната философия на регулиране – нормативна и институционализирана в ЕС и секторно-пазарна в САЩ – и двете страни споделят целта да защитят критичната инфраструктура и демократичните институции от цифрови заплахи.
В ЕС концепцията за дигитален суверенитет се използва като легитимно основание за намаляване на външни зависимости и изграждане на собствен капацитет за киберотбрана (European Commission, 2022). Доктрината подчертава, че цифровият суверенитет е не само икономическа и технологична цел, но и юридически инструмент за защита на основните права, включително правото на защита на личните данни (Schrems I, C-362/14; Schrems II, C-311/18). Този подход позволява съчетаване на регулаторни механизми, сертификационни рамки и стратегически инициативи, които минимизират рисковете, свързани с технологична зависимост от трети страни, и същевременно създават предпоставки за наднационални стандарти на сигурност.
В САЩ аналогична роля играе стратегията „Defend Forward“, въведена в U.S. Department of Defense Cyber Strategy (2018), която легитимира активни и превантивни операции в чужди мрежи за защита на националната инфраструктура. Доктрината в американската правна литература[23]разглежда тази стратегия като разширение на традиционното разбиране за национална сигурност в киберпространството, легитимирайки превантивни мерки при спазване на принципите на пропорционалност и необходимост. Това създава теоретична рамка за трансатлантическо взаимодействие и потенциална координация на превантивните операции, като се балансират стратегическите интереси с международното право.
Както отбелязва американския автор Юнг[24], дигитализацията „разширява броя на субектите и обектите на регулация, създавайки предпоставки за трансатлантическо сближаване“. Това се илюстрира конкретно в инициативите за сигурност на IoT устройства и взаимно признаване на стандарти чрез плана „CyberSafe Products“ (2024), който предвижда съвместна рамка между ЕС и САЩ. Доктрината подчертава, че такива инициативи съчетават правна, техническа и икономическа координация, осигурявайки едновременно защита на критичната инфраструктура, стимулиране на иновации и изграждане на устойчиви трансатлантически стандарти[25].
5. Геополитически измерения и съдебно-институционално сътрудничество.
Трансантлантическото сътрудничество се институционализира чрез международни правни инструменти. Значително значение има Вторият допълнителен протокол към Будапещенската конвенция (2021), който улеснява трансграничния достъп до електронни доказателства и демонстрира синергия между ЕС и САЩ в правоприлагането. Доктрината подчертава, че този протокол създава легитимен рамков механизъм за събиране и обмен на данни, който съчетава оперативна ефективност с защита на основните права.
Съдебната практика допълнително дефинира рамката за балансиране на сигурността и правата на индивидите. В делото Digital Rights v. Ireland (Дело C-293/12) Съдът на ЕС установява, че масовото събиране на данни без конкретна цел нарушава принципите на пропорционалност и защита на личните данни, като подчертава върховенството на основните права в контекста на националната сигурност. В САЩ аналогични принципи се наблюдават в делото „Carpenter v. United States, 138 S.Ct. 2206 (2018)“ и делото „Riley v. California, 573 U.S. 373 (2014)“, в чиито мотиви на решенията по тях се постановява, че достъпът на държавните органи до електронни данни изисква съдебно разрешение, дори при национална сигурност. Доктрината подчертава, че тези решения демонстрират конвергенция на принципите за защита на данни и пропорционалност между ЕС и САЩ, създавайки легитимен трансграничен правен стандарт за киберсигурност[26].
6. Заключение.
Сравнителният анализ показва, че разликите между ЕС и САЩ са предимно във формата на регулация, а не в целите. ЕС следва нормативна и институционализирана рамка, докато САЩ разчитат на секторен и пазарно ориентиран подход.
Доктрината подчертава, че въпреки различните подходи, двете системи се сближават в практиката, водени от общи стратегически цели: защита на критичната инфраструктура, цифровия суверенитет и устойчивостта на дигиталната икономика (виж пак Young, 2024; Hathaway et al., 2012). Трансантлантическата конвергенция се подпомага от международното право, съвместни стандарти, съдебна практика и доброволни рамки, което осигурява устойчив механизъм за съвместна защита на дигиталните активи. По този начин се създава интегриран модел, който съчетава нормативни, пазарни и съдебни инструменти, доказвайки, че различните правни и организационни традиции могат да функционират съвместно в глобалната киберсигурност. Надявам се всичко това да е вярно и да се съотнася към България като страна-членка на ЕС – дали е така, само бъдещето ще покаже.
Автор: адвокат Атанас Костов
[1] Статията "The evolution of EU–US cybersecurity law and policy" от Elaine Fahey (2024) разглежда развитието на киберсигурността в Европейския съюз и Съединените щати, като подчертава процесите на сближаване в законодателството и политиките на двете юрисдикции. Авторът отбелязва, че въпреки различията в подходите, ЕС и САЩ споделят сходни опасения и тенденции в областта на киберсигурността, преминавайки от фокус върху престъпността към акцент върху националната сигурност. Пълния текст тук: The evolution of EU–US cybersecurity law and policy (PDF)
[2] Делото „FTC v. Wyndham“ (799 F.3d 236, 3d Cir. 2015) е ключов съдебен случай в САЩ, който разглежда регулаторната власт Wyndham Worldwide Corporation беше обвинена от FTC, че не е защитила адекватно личните данни на своите клиенти, което е довело до редица хакерски атаки и кражби на данни. FTC твърди, че практиките на компанията представляват „нечестни или измамни“ действия според Закона за федералната търговска комисия (FTC Act, §5). Един от апелативните съдилища на САЩ потвърди, че FTC има правомощия да регулира киберсигурността на частни компании чрез прилагане на стандартите за защита на потребителските данни. Делото утвърди, че фирмите трябва да прилагат „разумни мерки за киберсигурност“, като неспазването им може да се квалифицира като нелоялна търговска практика. Случаят създаде прецедент за федералното регулиране на киберсигурността в САЩ, като показва, че „мека регулация“ и секторните закони могат да бъдат приложени чрез съществуващото потребителско законодателство;
[3] „Cybersecurity Trends in the European Union: Regulatory Mercantilism and the Digitalisation of Geopolitics“ (Carrapico & Farrand, 2024) е статия на Helena Carrapico и Benjamin Farrand, публикувана в Journal of Common Market Studies, която изследва трансформацията на киберсигурността в ЕС в един геополитически и регулаторно-икономически контекст;
[4] Таka Neha Mishra, International Trade Law and Global Data Governance: Aligning Perspectives and Practices (2024). Това е книга, публикувана от Hart Publishing през 2024 г., която изследва как правото на международната търговия и правото за данни се пресичат — включително въпроси като киберсигурност, трансграничен обмен на данни и регулиране на цифровата икономика
[5] Виж. Dimitrios Anagnostakis, „The European Union–United States Cybersecurity Relationship: A Transatlantic Functional Cooperation“ (2021). Статия публикувана в Journal of Cyber Policy, том 6(2), стр. 243-261. Статията разглежда връзката между ЕС и САЩ в областта на киберсигурността — особено как двете юрисдикции имат общи заплахи, интереси и принципи, и как въпреки политическите различия, сътрудничеството „функционира“ в практиката;
[6] Делото „Carpenter v. United States“ (138 S. Ct. 2206, 2018) е едно от най-значимите решения на Върховния съд на САЩ в областта на правото на неприкосновеност на личния живот в дигиталната епоха. То поставя важен прецедент относно достъпа на държавните органи до електронни данни без съдебна заповед;
[7] Статията "The Law of Cyber-Attack" (2012) на Оона Хатауей и съавтори е основополагаещо произведение в областта на международното право и киберсигурността. Тя разглежда правния статус на кибератаките, предизвикателствата при тяхното класифициране и необходимостта от адаптиране на съществуващите правни рамки към новите реалности на киберпространството.
[8] Ани Брадфорд е професор по право в Колумбийския университет, чиято работа се фокусира върху взаимодействието между международното право, европейското право и технологичните платформи. Източникът, на който се позовавам е нейната книга Digital Empires: The Global Battle to Regulate Technology (2023), в която тя анализира глобалния регулаторен натиск върху технологичните гиганти и различията между подходите на ЕС и САЩ.
[9] Директивата (ЕС) 2022/2555 (NIS2 Directive), приета от Европейския съюз, която е основният правен акт на ЕС в областта на киберсигурността.NIS2 (Network and Information Security Directive) е приета на 14 декември 2022 г. и влезе в сила на 16 януари 2023 г., като държавите членки трябва да я транспонират до 17 октомври 2024 г. Тя заменя първата директива NIS (Директива (ЕС) 2016/1148) от 2016 г. Нейната основната ѝ цел е да осигури високо общо ниво на киберсигурност в целия Европейски съюз чрез хармонизирани стандарти, засилени задължения и координирано управление на инциденти;
[10] Публикацията на Andreas Kruck и Moritz Weiss от 2023г. въвежда концепцията за „регулаторно сигурна държава“ (от англ. Regulatory Security State, RSS) в контекста на Европейския съюз. Те твърдят, че в съвременната ера на глобализирани рискове и технологични предизвикателства, ЕС се трансформира от традиционен „позитивен“ (т.е. основан на държавна власт и автономни капацитети) модел на сигурност към нова форма на управление, основана на регулиране чрез експертни мрежи и правни норми;
[11] Вж. P. Lorenz, Digital Sovereignty in the European Context, 2022;
[12] Публикацията на Ричард Юнг от 2025 г. „Rethinking EU Digital Policies: From Tech Sovereignty to Tech Citizenship“ разглежда способите Европейският съюз да преосмисли своята стратегия за цифров суверенитет, като премине от фокус върху технологичната автономия към насърчаване на активно участие на гражданите в цифровото общество. Юнгс подчертава, че ЕС трябва да балансира между технологичната независимост и демократичното участие, за да създаде по-справедлива цифрова среда.
[13] Виж Council of the European Union. (2005). Council Framework Decision 2005/222/JHA on attacks against information systems. OJ L 69, 16.3.2005
[14] Виж Fahey, E. (2014). Data protection and the ‘new’ cybersecurity in the European Union. European Law Review, 39(3), 404–426.
Така и Fahey, E. (2022a). The EU Cybersecurity Act: Regulatory integration and the digital internal market. Common Market Law Review, 59(2), 415–448.
В същата стилистика и Fahey, E. (2022b). Cyber resilience and EU digital sovereignty: Towards a new regulatory paradigm. Journal of European Integration, 44(6), 765–782.
[15] Виж Kruck, A., & Weiss, M. (2023). Hybrid governance in EU cybersecurity: From coordination to regulation. Journal of Common Market Studies, 61(1), 134–152.
[16] Така Farrand, B. (2023). Digital sovereignty and fundamental rights in the European Union: Lessons from Schrems I & II. European Law Journal, 29(4), 567–590;
[17] Виж Young, A. (2024). The EU’s cyber sanctions regime: Between geopolitics and digital governance. European Foreign Affairs Review, 29(1), 22–41.
[18] Виж Hathaway, Crootof & Levitz (2012) – The Law of Cyber-Attack. Авторите разглеждат американския секторен подход като комбинация от hard law и soft law, която осигурява гъвкавост и възможност за адаптация спрямо технологични промени. Подчертават ролята на NIST Cybersecurity Framework като механизъм за хармонизация и стандартизация, въпреки доброволния му характер;
[19] “Cyber Incident Reporting for Critical Infrastructure Act of 2022” (CIRCIA) – официалното название на федералния закон, който налага задължение за докладване на киберинциденти при критична инфраструктура. В академични текстове и цитиране най-често се използва като CIRCIA (2022).
[20] ENISA (European Union Agency for Cybersecurity) – Агенцията на Европейския съюз за киберсигурност е наднационален орган, създаден с цел да подпомага държавите членки и институциите на ЕС в укрепването на киберсигурността. ENISA предоставя експертни консултации, разработва добри практики и стандарти, координира действия при киберинциденти и подпомага сертификацията на ИКТ продукти и услуги. Със своите функции агенцията е ключов инструмент за хармонизация на правилата за киберсигурност и за изграждане на цифров суверенитет в рамките на Европейския съюз.
[21] Виж Bradford, A. (2023) – Transatlantic Cybersecurity Standards and IoT. Брадфорд разглежда „европеизацията“ на американския подход, като обръща внимание на инициативи като Cyber Trust Mark, вдъхновени от европейската сертификационна рамка и стандартите на ENISA. Подчертава тенденцията към транснационална хармонизация на стандартите за IoT и критична инфраструктура.
[22] Така Katyal, N. (2003) – Cybersecurity, Law and Governance. Катаял анализира, че секторният подход в САЩ стимулира иновации чрез саморегулация, но същевременно изисква координация с федералните и международни стандарти за защита на критична инфраструктура и чувствителни данни. Подчертава балансa между частна отговорност и публичен контрол.
[23] В книгата The United States’ Defend Forward Cyber Strategy: A Comprehensive Legal Assessment се обсъжда как „Defend Forward“ и „persistent engagement“ представляват стратегически промяна в подхода на САЩ към киберпространството. В документът The Contours of ‘Defend Forward’ Under International Law се посочва, че концепцията Defend Forward включва три компонента: позициониране за деградация на операции, предупреждение ивлияние с цел да се възпрепятства враждебна активност срещу САЩ;
[24] Визирам отново Young, A. (2024). The EU’s cyber sanctions regime: Between geopolitics and digital governance. European Foreign Affairs Review, 29(1), 22–41.
[25] Така Bradford, A. (2023) – Transatlantic Cybersecurity Standards and IoT;
[26] Виж пак Katyal, N. (2003) – Cybersecurity, Law and Governance.