19.9.2013   

NL

Publicatieblad van de Europese Unie

C 271/133

1.1

De voorgestelde richtlijn valt binnen het bredere kader van de onlangs gepubliceerde strategie voor cyberbeveiliging (1), waarin een alomvattende visie voor netwerk en informatiebeveiliging (NIB) wordt gepresenteerd teneinde ervoor te zorgen en dat de digitale economie veilig kan groeien en de Europese waarden van vrijheid en democratie worden bevorderd.

1.2

Het Europees Economisch en Sociaal Comité (EESC) is ingenomen met dit richtlijnvoorstel, dat is bedoeld om een hoog gemeenschappelijk niveau van NIB in de Unie te waarborgen. Harmonisering en beheer van NIB op Europees niveau zijn essentieel om de digitale eengemaakte markt te verwezenlijken en de interne markt in zijn geheel soepel te laten functioneren. Het EESC deelt de zorgen van de Europese Commissie over de enorme schade die NIB-storingen kunnen hebben voor de economie en het welzijn van de Europese burgers. De voorgestelde richtlijn voldoet echter niet aan de verwachtingen van het EESC, dat liever krachtige wetgevende maatregelen had gezien om deze kritieke kwestie aan te pakken.

1.3

Het EESC is zwaar teleurgesteld dat veel lidstaten amper vooruitgang hebben geboekt met de invoering van adequate NIB op nationaal niveau. Hierdoor lopen de burgers meer risico's en stokt de verwezenlijking van de digitale eengemaakte markt. Alle lidstaten dienen onmiddellijk actie te ondernemen om hun verplichtingen op het vlak van NIB na te komen.

1.4

Dit gebrek aan vooruitgang creëert een andere digitale kloof, nl. tussen de lidstaten die ver gevorderd en de lidstaten die minder ver gevorderd zijn met NIB. Deze kloof is slecht voor het vertrouwen en de samenwerking t.a.v. NIB op EU-niveau en zal, tenzij snel maatregelen worden genomen, heel goed kunnen leiden tot tekortkomingen op de interne markt die verband houden met de verschillende NIB-capaciteiten van de lidstaten.

1.5

Zoals het EESC in eerdere adviezen (2) heeft opgemerkt, is het van mening dat experimentele en vrijwillige maatregelen niet werken en de lidstaten daarom strenge regelgevende verplichtingen moeten worden opgelegd om harmonisering, governance en handhaving van de Europese NIB-regels te bewerkstelligen. Helaas vreest het EESC echter dat de nu voorgestelde richtlijn niet voorziet in de vereiste duidelijke en krachtige wetgeving. Het meent dat een verordening met helder omschreven strikte verplichtingen voor de lidstaten doeltreffender zou zijn geweest dan een richtlijn om voor het gewenste hoge gemeenschappelijke niveau van NIB te zorgen.

1.6

Niettegenstaande het voornemen van de Commissie gedelegeerde handelingen vast te stellen om enkele uniforme voorwaarden voor de uitvoering van delen van de richtlijn te waarborgen, bespeurt het EESC een gebrek aan normen, heldere definities en ondubbelzinnige verplichtingen in het voorstel, zodat de lidstaten te veel de vrije hand wordt gelaten bij de interpretatie en omzetting van cruciale elementen uit de tekst. Het dringt aan op veel explicietere omschrijvingen van de normen, vereisten en procedures waaraan lidstaten, overheden, marktdeelnemers en facilitatoren van essentiële internetdiensten zich moeten houden.

1.7

Het EESC zou willen dat voor NIB een soortgelijke autoriteit als het Europees Agentschap voor de veiligheid van de luchtvaart (EASA) (3) in het leven wordt geroepen. Die autoriteit zou krachtige EU-NIB-beleidsmaatregelen moeten formuleren en implementeren, Zij zou ook normen moeten vaststellen voor alle aspecten van NIB in de Unie en moeten toezien op de handhaving daarvan: van de certificatie van beveiligde eindapparatuur en gebruik tot de beveiliging van netwerken en gegevens.

1.8

Het EESC beseft terdege dat de groei van cloud computing (4) in Europa leidt tot meer risico's op het vlak van cyberbeveiliging en gegevensbescherming. Het pleit er daarom voor om in het voorstel expliciet speciale, aanvullende beveiligingseisen en -verplichtingen op te nemen voor de levering en het gebruik van clouddiensten.

1.9

Om ervoor te zorgen dat naar behoren verantwoording voor NIB wordt afgelegd, zou het voorstel duidelijk moeten bepalen dat entiteiten die op grond van de richtlijn verplichtingen hebben, over het recht beschikken om aanbieders van soft- en hardware aansprakelijk te stellen voor gebreken in hun producten of diensten die rechtstreeks aan NIB-incidenten hebben bijgedragen.

1.10

De lidstaten zouden specifiek actie moeten ondernemen om de kennis van kleine en middelgrote ondernemingen over NIB en hun vaardigheden op het vlak van cyberbeveiliging te vergroten. Het EESC wijst de Commissie op het succes van de „hackerwedstrijden” in de VS (5) en in sommige lidstaten (6), die van groot belang zijn om burgers bewuster te maken van cyberbeveiliging en om de volgende generatie NIB-professionals klaar te stomen.

1.11

Aangezien het voor de NIB in de hele EU essentieel is dat alle lidstaten de richtlijn naleven, verzoekt het EESC de Commissie na te gaan welke fondsen uit het meerjarig financieel kader (MFK) zouden kunnen worden geoormerkt voor NIB-naleving, teneinde lidstaten die daarbij financiële steun nodig hebben, te helpen.

1.12

In het EU-kaderprogramma voor onderzoek en innovatie „Horizon 2020” zou hoge prioriteit moeten worden gegeven aan uitgaven voor onderzoek, ontwikkeling en innovatie (O&O&I) van NIB-technologieën, zodat Europa de snel veranderende cyberbedreigingen kan bijhouden.

1.13

Om duidelijkheid te scheppen over de vraag welke entiteiten krachtens de voorgestelde richtlijn wettelijke verantwoordelijkheden hebben, vindt het EESC dat elke lidstaat verplicht een online lijst zou moeten publiceren van alle entiteiten voor wie de vereisten voor risicobeheer en rapportage uit de richtlijn gelden. Een dergelijke transparantie en publieke verantwoording zou vertrouwen kweken en aanzetten tot naleving van de regels.

1.14

Het EESC vestigt de aandacht van de Commissie op zijn vele eerdere adviezen over NIB, waarin het noodzaak heeft besproken van een veilige informatiemaatschappij en bescherming van kritieke infrastructuur (7).

2.1

De voorgestelde NIB-richtlijn verscheen samen met de EU-strategie voor cyberbeveiliging, getiteld „Een open, veilige en beveiligde cyberspace”, waarvan het doel is de veerkracht van informatiesystemen te vergroten, cybercriminaliteit te verminderen, het internationale beleid van de EU voor cyberbeveiliging en cyberverdediging te versterken, de industriële en technologische middelen voor cyberbeveiliging verder te ontwikkelen en tegelijkertijd de grondrechten en andere essentiële waarden van de EU te bevorderen.

2.2

NIB betreft de bescherming van het internet en andere netwerken, informatiesystemen en onderliggende diensten die de werking van de samenleving ondersteunen. NIB is essentieel voor een soepele werking van de interne markt.

2.3

De zuiver vrijwillige NIB-aanpak die de EU tot nu toe heeft gehanteerd biedt niet genoeg bescherming tegen NIB-risico's. De huidige NIB-capaciteit volstaat eenvoudigweg niet om gelijke tred met de zeer uiteenlopende gevaren te houden en om in alle lidstaten hetzelfde hoge beschermingsniveau te waarborgen.

2.4

Het capaciteits- en paraatheidsniveau verschilt sterk van lidstaat tot lidstaat, wat een versnippering in de wijze van aanpakken in de EU te zien geeft. Aangezien netwerken en systemen onderling verbonden zijn, verlagen lidstaten met tekortschietende bescherming het algemene NIB-niveau in de EU. Een dergelijke situatie maakt het de partijen bovendien moeilijk elkaar te vertrouwen, terwijl dat juist de voorwaarde is om samen te werken en informatie uit te wisselen. Gevolg: slechts een minderheid van lidstaten, elk met een hoog capaciteitsniveau, werkt samen.

2.5

De richtlijn, die wordt voorgesteld conform artikel 114 van het VWEU, is bedoeld om de voltooiing van de interne markt en de soepele werking ervan te bevorderen.

2.6

De voorgestelde richtlijn voorziet onder meer in de volgende wettelijke eisen:

2.7

De lidstaten moeten de Richtlijn binnen 18 maanden na de goedkeuring ervan door de Raad en het Europees Parlement (naar verwachting ergens in 2014) omzetten.

3.1

De groei van internet en de digitale samenleving heeft ingrijpende gevolgen voor het dagelijkse leven. Maar naarmate onze afhankelijkheid van internet toeneemt, worden onze vrijheid, welvaart en kwaliteit van leven steeds afhankelijker van een gedegen netwerk- en informatiebeveiliging: als internet uitvalt en er bij een noodgeval geen toegang is tot een elektronisch medisch dossier, zullen er mensen sterven. De veiligheid van de kritieke informatie-infrastructuur in Europa wordt echter steeds meer bedreigd en onze netwerk- en informatiebeveiliging schiet tekort.

3.2

De directeur van Europol verklaarde vorige jaar zich grote zorgen te maken over het enorme – onterechte – vertrouwen in de onkwetsbaarheid van internet (8). Regelmatig wordt er bericht over nieuwe cyberaanvallen van criminelen, terroristen of buitenlandse mogendheden op essentiële infrastructuur. Degenen die doelwit zijn van dergelijke aanvallen, melden dit meestal niet omdat zij vrezen dat dit hun reputatie zal aantasten. De afgelopen weken zijn er in Europa echter aanvallen op internetinfrastructuur (9) en banksystemen (10) uitgevoerd met dusdanig verstrekkende gevolgen dat ze niet verborgen konden blijven. Volgens een onderzoek zou Nederland in 2011 met 92 miljoen en Duitsland met 82 miljoen cyberaanvallen te maken hebben gekregen (11). De Britse regering schat dat er in 2011 44 miljoen cyberaanvallen op het VK werden uitgevoerd; de economische kosten daarvan zouden oplopen tot 30 miljard EUR (12).

3.3

In 2007 kwam de Raad van de EU met een aanpak voor het NIB-probleem (13). Het beleid dat sindsdien is gevoerd (14), berust echter hoofdzakelijk op vrijwillige maatregelen van de lidstaten en slechts een minderheid van hen heeft concrete actie ondernomen. Veel lidstaten hebben geen nationale cyberveiligheidsstrategie gepubliceerd of een nationaal rampenplan voor cyberincidenten uitgewerkt. In sommige lidstaten is nog niet eens een computercrisisteam (CERT – Computer Emergency Response Team) opgericht. Ook zijn er nog altijd lidstaten die het Verdrag inzake cybercriminaliteit van de Raad van Europa niet geratificeerd hebben (15).

3.4

Tien lidstaten die ver gevorderd zijn op het gebied van netwerk- en informatiebeveiliging hebben de European Government CERTs group (EGC) opgericht om op het gebied van netwerk- en informatiebeveiliging en incidentenrespons nauw samen te werken. Er worden momenteel geen nieuwe leden toegelaten tot deze EGC: de andere 17 lidstaten, die minder ver gevorderd zijn, en de onlangs opgerichte EU-CERT (16) zijn vooralsnog van de elitegroep uitgesloten. Zo is een nieuwe digitale kloof – tussen lidstaten die ver gevorderd zijn qua netwerk- en informatiebeveiliging en de rest – aan het ontstaan. Als hier niets aan wordt gedaan zal deze kloof het hart van de digitale eengemaakte markt treffen en de ontwikkeling van vertrouwen, harmonisatie en interoperabiliteit belemmeren. Worden er geen krachtige maatregelen getroffen, dan zal de kloof tussen de vergevorderde en minder vergevorderde lidstaten bovendien waarschijnlijk toenemen, en daarmee ook de tekortkomingen op de eengemaakte markt die verband houden met uiteenlopende capaciteiten van de lidstaten.

3.5

De cyberveiligheidstrategie en de voorgestelde NIB-richtlijn hebben alleen kans van slagen indien Europa beschikt over een sterke netwerk- en informatiebeveiligingssector met voldoende specialisten. Het EESC is verheugd dat de voorgestelde richtlijn de lidstaten erop wijst dat zij in onderwijs, bewustmaking en opleiding op het gebied van netwerk- en informatiebeveiliging moeten investeren. Het zou ook graag zien dat iedere lidstaat gerichte inspanningen doet om kleine en middelgrote bedrijven te voorzien van informatie, kennis en ondersteuning op het vlak van cyberveiligheid. Grote ondernemingen kunnen de noodzakelijke kennis gemakkelijk verwerven, maar kleine en middelgrote bedrijven moeten daarbij worden geholpen.

3.6

Het EESC kijkt uit naar de samenwerking met het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA) om tijdens de „maand van de cyberveiligheid”, die later dit jaar gehouden zal worden, meer bekendheid aan netwerk- en informatiebeveiliging te geven. In verband met de doelstelling in de cyberveiligheidsstrategie en de NIB-richtlijn om in de hele EU een cultuur tot stand te brengen waarin men zich bewust is van netwerk- en informatiebeveiliging en om de NIB-vaardigheden op een hoger peil te brengen, vestigt het EESC de aandacht van de Europese Commissie op de hackerwedstrijden voor tieners die worden gehouden. Dankzij deze evenementen is men zich in sommige lidstaten en in de VS veel bewuster van de problematiek geworden.

3.7

Het EESC is ook ingenomen met de toegezegde O&O&I-uitgaven t.b.v. NIB-technologie.

3.8

De groei van cloud computing plaatst de cyberveiligheid voor tal van nieuwe uitdagingen. Zo kunnen cybercriminelen nu voor relatief weinig geld beschikken over een enorm computervermogen en bevinden de gegevens van duizenden ondernemingen zich nu in centrale opslagplaatsen die kwetsbaar zijn voor gerichte aanvallen. Het EESC heeft erop aangedrongen de cloud computing-systemen beter bestand tegen cyberaanvallen te maken (17)

3.9

Het EESC heeft al eerder gepleit voor invoering van een vrijwillige Europese eID-regeling voor online transacties, ter aanvulling van bestaande nationale regelingen. Een dergelijke regeling zou leiden tot betere bescherming tegen fraude, meer vertrouwen tussen marktdeelnemers, lagere kosten voor dienstverlening, kwalitatief betere dienstverlening en meer bescherming voor de burgers.

4.1

Het Commissievoorstel voor een NIB-richtlijn is jammer genoeg te voorzichtig, onvoldoende duidelijk en gaat al te zeer uit van zelfregulering door de lidstaten. Met name in hoofdstuk IV van de richtlijn ontbreekt het aan normen, heldere definities en ondubbelzinnige verplichtingen, zodat de lidstaten te veel de vrije hand wordt gelaten bij de interpretatie en omzetting van cruciale elementen uit de tekst. Een verordening, met duidelijk omschreven strikte wettelijke verplichtingen voor de lidstaten, lijkt hier meer aangewezen dan een richtlijn.

4.2

Artikel 6 van de Richtlijn vereist dat elke lidstaat een „bevoegde autoriteit” aanwijst om de uitvoering van de Richtlijn te monitoren en een consistente toepassing ervan in de Unie te waarborgen. Artikel 8 voorziet in een „samenwerkingsnetwerk”, dat op grond van zijn eigen bevoegdheden en samen met de Commissie moet zorgen voor pan-Europees leiderschap, beheer en eventueel handhaving tot op lidstaatniveau. De EU zou moeten overwegen om, voortbouwend op dit governancekader, voor NIB een soortgelijke autoriteit als het Europees Agentschap voor de veiligheid van de luchtvaart (EASA) in het leven te roepen; dit laatste stelt normen vast voor vliegtuigen, luchthavens en vliegbewegingen en ziet toe op de handhaving en naleving van de beveiligingsregels.

4.3

Bij de oprichting van de hierboven (par. 4.2) voorgestelde EU-autoriteit voor NIB kan gebruik worden gemaakt van de werkzaamheden op het gebied van cyberbeveiliging die al werden verricht door het ENISA, de Europese Commissie voor Normalisatie (CEN), de CERT's, de European Government CERTs Group (EGC) en andere. Die autoriteit zou normen moeten vaststellen voor alle aspecten van NIB en moeten toezien op de handhaving daarvan: van de certificatie van beveiligde eindapparatuur en gebruik tot de beveiliging van netwerken en gegevens.

4.4

Gezien de grote onderlinge afhankelijkheid van de lidstaten voor NIB in de EU en de potentieel zeer hoge kosten van storingen voor alle betrokkenen, meent het Comité dat duidelijke en proportionele straffen en sancties moeten worden vastgelegd voor het niet naleven van de bepalingen; harmonisatie is hierbij cruciaal, gezien de pan-Europese dimensie van de verantwoordelijkheid en de omvang van de mogelijke schade, niet alleen voor de binnenlandse markt maar voor de hele Unie. Sancties komen aan de orde in artikel 17, dat echter in vrij algemene bewoordingen is opgesteld, de lidstaten te veel vrijheid laat bij het invoeren van sancties en niet voldoende ingaat op grensoverschrijdende en pan-Europese gevolgen.

4.5

Momenteel doen regeringen en verleners van essentiële diensten geen mededelingen over storingen van de beveiliging en veerkracht, tenzij ze daartoe verplicht worden. Door dit gebrek aan openheid kan Europa niet snel en doeltreffend genoeg op cyberdreigingen reageren noch van de ervaringen van anderen leren en zo NIB in het algemeen verbeteren. Het zou op grond van de richtlijn verplicht worden om alle significante NIB-incidenten te melden. Het Comité prijst dit besluit van de Commissie. Het gelooft namelijk niet dat vrijwillige zelfrapportage werkt, omdat betrokkenen geneigd zijn storingen te verdoezelen uit angst voor reputatieschade en aansprakelijkheidsclaims.

4.6

De Commissie verzuimt echter in artikel 14 van de richtlijn over melding van incidenten aan te geven wat wordt bedoeld met een „aanzienlijke impact” op de beveiliging. Bovendien worden de bevoegde autoriteiten en de lidstaten te vrij gelaten in hun keuze of zij NIB-incidenten al dan niet willen melden. Wetgeving kan pas doeltreffend zijn als daarin ondubbelzinnige vereisten worden vastgelegd. Aangezien de Commissie een aantal essentiële vereisten in haar richtlijnvoorstel niet nader omschrijft, is het onmogelijk om de betrokkenen conform artikel 17 van de richtlijn verantwoordelijk te stellen voor overtredingen.

4.7

Omdat vooral de particuliere sector zorgt voor NIB, is vertrouwen en samenwerking van alle bedrijven die verantwoordelijk zijn voor kritieke informatie-infrastructuur en diensten van groot belang. Het door de Commissie in 2009 gelanceerde Europees publiek-privaat partnerschap voor veerkracht (EP3R) verdient lof en aanmoediging. Dit initiatief moet echter worden versterkt en ondersteund door in de NIB-richtlijn een wettelijke verplichting op te nemen om samenwerking af te dwingen van belangrijke stakeholders die niet hun volledige verantwoordelijkheid nemen.

4.8

Elke lidstaat zou voor zijn jurisdictie een online lijst moeten publiceren van alle entiteiten waarvoor de beveiligingseisen en verplichtingen inzake de melding van incidenten uit artikel 14 van het richtlijnvoorstel gelden. Een dergelijke transparantie zou niet alleen duidelijk maken hoe de lidstaten de in artikel 3 opgenomen definities willen toepassen, maar zou ook vertrouwen kweken en een cultuur van risicobeheer onder de burgers promoten.

4.9

Softwareontwikkelaars en hardwarefabrikanten zijn geen aanbieders van diensten van de informatiemaatschappij en zijn daarom expliciet uitgesloten van de richtlijn. Niettemin zou in de richtlijn moeten worden bepaald dat instanties die op grond van de richtlijn verplichtingen hebben, zich tot de aanbieders van soft- en hardware moeten kunnen richten indien blijkt dat hun producten of diensten gebreken vertonen die rechtstreeks aan NIB-incidenten hebben bijgedragen.

4.10

De Commissie schat dat de uitvoering van de NIB-richtlijn zo'n 2 miljard EURO per jaar zal kosten, gespreid over de openbare en de particuliere sector in Europa. Het Comité vreest dat sommige lidstaten die onder zware financiële druk staan, het lastig zullen krijgen om de vereiste investeringen te vinden. Er dient dan ook te worden nagegaan hoe in het kader van het MFK steun kan worden verleend voor de naleving van de NIB-richtlijn. Daarbij kunnen verschillende instrumenten worden ingezet, waaronder het Europees Fonds voor Regionale Ontwikkeling (EFRO) en misschien ook het Fonds voor Interne Veiligheid.