EU-Kommissionen har fremlagt et forslag til en Space Act, der etablerer et samlet, bindende cybersikkerhedsregime for rumsektoren. Reglerne gælder hele missionens livscyklus og fortrænger NIS 2’s risikostyringskrav for sektoren, når de træder i kraft. Rækkevidden er vid og omfatter også aktører uden for EU, hvis tjenester retter sig mod det europæiske marked. Forslaget indfører desuden personligt ansvar for ledelsesorganer og giver myndighederne vidtgående håndhævelsesbeføjelser.
Sektorspecifik cybersikkerhed og risikostyring
Operatører skal indføre helhedsorienterede risikostyringssystemer fra design og produktion til opsendelse, drift i kredsløb og dekommissionering. Kravene omfatter tekniske og organisatoriske foranstaltninger, herunder stram adgangskontrol, fysisk beskyttelse af jord- og ruminfrastruktur, realtidsdetektion af cyberhændelser og sikring af operationel kontinuitet under angreb.
Kommunikations- og kontrolsystemer skal benytte sikre, certificerede krypteringsløsninger. Der indføres skærpede underretningspligter med rapportering af væsentlige hændelser til ledelse, tilsyn og NIS 2-myndigheder inden for faste frister afhængigt af alvor. Operatører skal også etablere politikker for backup og nøglehåndtering, gennemføre trusselsbaserede test samt føre komplette aktiv- og tredjepartsregistre for missionskritiske systemer.
Rækkevidde og governance
Forpligtelserne gælder satellitoperatører, opsendelsesudbydere, komponentproducenter, teleudbydere med satellitkonstellationer, jordstationer og rumhavne. Reglerne finder også anvendelse på internationale organisationer og tredjelandsaktører, medmindre deres hjemlandsregime anerkendes som ækvivalent.
Ledelsesorganet pålægges direkte ansvar for efterlevelse af risikostyringskravene. Mange elementer er afstemt med eksisterende EU-rammer som DORA og NIS 2, hvilket giver mulighed for at genbruge etablerede kontroller, procedurer og rapporteringskanaler i implementeringen.
Håndhævelse, sanktioner og tidsplan
Nationale tilsyn og EUSPA får omfattende håndhævelseskompetence, herunder on-site-inspektioner også uden for EU. Medlemsstaterne fastsætter bødeniveauer, mens Kommissionen kan udstede omsætningsbaserede sanktioner. I grove tilfælde kan tilladelser suspenderes eller trækkes tilbage, hvilket reelt kan afskære adgang til EU-markedet.
Ikrafttrædelse er foreslået til 12. januar 2030 med 18 måneders overgang. Missioner opsendt før 1. januar 2030 undtages delvist. Kommissionens beregninger peger på betydelige implementeringsomkostninger for især opsendelsesudbydere og satellitoperatører. Virksomheder bør allerede nu foretage gap-analyser, styrke forsyningskædesikkerheden, opdatere hændelsesrespons og sikre bestyrelsesforankret oversight.
