(1)

De Commissie heeft de ontplooiing van netwerktechnologieën van de vijfde generatie (5G) erkend als een belangrijke factor in de ontwikkeling van toekomstige digitale diensten en als een prioriteit binnen de strategie voor een digitale eengemaakte markt. Het 5G-actieplan is door de Commissie goedgekeurd om ervoor te zorgen dat de Unie beschikt over de connectiviteitsinfrastructuur die nodig is voor haar digitale transformatie vanaf 2020 (1).

(2)

De 5G-netwerken zullen voortbouwen op de huidige netwerktechnologieën van de vierde generatie (4G) door nieuwe mogelijkheden te bieden voor diensten en de centrale infrastructuur en motor te worden van grote delen van de economie van de Unie. Wanneer de 5G-netwerken uitgerold worden, zullen zij als ruggengraat dienen voor een brede waaier aan diensten die essentieel zijn voor de goede werking van de interne markt en de instandhouding en werking van vitale maatschappelijke en economische functies zoals energie, vervoer, het bankwezen, de gezondheidszorg, evenals industriële besturingssystemen. Bij de organisatie van democratische processen, zoals verkiezingen, zullen digitale infrastructuur en 5G-netwerken ook een steeds grotere rol spelen.

(3)

Wanneer veel essentiële diensten afhankelijk worden van 5G-netwerken, zouden wijdverspreide systemische storingen bijzonder ernstige gevolgen kunnen hebben. Als gevolg daarvan is het voor de Unie van strategisch belang de cyberbeveiliging van 5G-netwerken te waarborgen, in tijden van toenemende cyberaanvallen die complexer dan ooit zijn.

(4)

De onderlinge verwevenheid en grensoverschrijdende aard van de infrastructuur aan de basis van het digitale ecosysteem, en de grensoverschrijdende aard van de dreigingen in kwestie, betekenen dat elk significant zwak punt en/of elk met 5G-netwerken verband houdend cyberincident in één bepaalde lidstaat gevolgen zou hebben voor de Unie als geheel. Daarom moet worden voorzien in maatregelen om een hoog gemeenschappelijk niveau van cyberbeveiliging van 5G-netwerken te schragen.

(5)

De behoefte aan actie op Unieniveau is door de lidstaten bevestigd. In zijn conclusies van 21 maart 2019 zag de Europese Raad uit naar een aanbeveling van de Commissie over een gezamenlijke aanpak voor de veiligheid van 5G-netwerken (2).

(6)

Het waarborgen van de Europese soevereiniteit moet een hoofddoelstelling zijn, onder volledige inachtneming van de Europese waarden van openheid en tolerantie (3). Buitenlandse investeringen in strategische sectoren, verwerving van kritieke activa, technologie en infrastructuur in de Unie en levering van kritieke uitrusting kunnen ook potentiële risico's voor de veiligheid van de Unie vormen.

(7)

De cyberbeveiliging van 5G-netwerken is van cruciaal belang om de strategische autonomie van de Unie te waarborgen, zoals is erkend in de Gezamenlijke mededeling „EU-China — Een strategische visie” (4).

(8)

In de resolutie van het Europees Parlement over de veiligheidsdreigingen in verband met de toenemende technologische aanwezigheid van China in de EU worden de Commissie en de lidstaten ook opgeroepen om actie te ondernemen op het niveau van de Unie (5).

(9)

Deze aanbeveling stelt cyberbeveiligingsrisico's in 5G-netwerken aan de orde door richtsnoeren vast te stellen voor passende risicoanalyse en -beheersmaatregelen op nationaal niveau, de ontwikkeling van een gecoördineerde risicobeoordeling op Europees niveau en de bepaling van een procedure om een gemeenschappelijk instrumentarium van de beste risicobeheersmaatregelen samen te stellen.

(10)

De Unie beschikt over een sterk wetgevingskader om elektronische-communicatienetwerken te beschermen.

(11)

Het Uniekader op het gebied van elektronische communicatie (6) bevordert de mededinging, de interne markt en de belangen van de eindgebruiker, en streeft met het Europees wetboek voor elektronische communicatie (7) een aanvullende connectiviteitsdoelstelling na, uitgedrukt in resultaten: brede toegang tot en invoering van vaste en mobiele netwerken met zeer hoge capaciteit voor alle burgers en bedrijven van de Unie, waarbij de belangen van de burgers worden beschermd. Richtlijn 2002/21/EG schrijft voor dat de lidstaten de integriteit en de veiligheid van de openbare communicatienetwerken moeten waarborgen en verplicht zijn ervoor te zorgen dat ondernemingen die openbare communicatienetwerken of openbaar beschikbare elektronische-communicatiediensten aanbieden technische en organisatorische maatregelen nemen om de risico's voor de veiligheid van hun netwerken of diensten goed te beheersen. De richtlijn bepaalt ook de bevoegdheden van nationale regelgevende instanties, waaronder de bevoegdheid om bindende instructies te geven om te verzekeren dat die verplichtingen worden nageleefd.

(12)

Voorts staat Richtlijn 2002/20/EG van het Europees Parlement en de Raad (8) de lidstaten toe voorwaarden aan de algemene machtiging te verbinden betreffende de beveiliging van publieke netwerken tegen ongeoorloofde toegang, met als doel het vertrouwelijke karakter van communicatie te beschermen overeenkomstig Richtlijn 2002/58/EG van het Europees Parlement en de Raad (9).

(13)

Om de nakoming van die verplichtingen te vergemakkelijken, heeft de Unie een aantal samenwerkingsorganen opgezet. Het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa), de Commissie, de lidstaten en nationale regelgevende instanties hebben technische richtsnoeren voor nationale regelgevende instanties opgesteld met betrekking tot incidentrapportage, beveiligingsmaatregelen en dreigingen en voorzieningen (10). De samenwerkingsgroep die bij Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (11) is opgericht („de samenwerkingsgroep”) brengt bevoegde autoriteiten bij elkaar om samenwerking te schragen en te faciliteren, in het bijzonder door strategische richtsnoeren te verstrekken voor de activiteiten van het netwerk van Computer Security Incident Response Teams, dat op technisch niveau operationele samenwerking bevordert.

(14)

Het toekomstige Europese kader voor cyberbeveiligingscertificering (12) is bedoeld als essentieel ondersteunend instrument ter bevordering van consistente beveiligingsniveaus. Het moet de ontwikkeling van regelingen voor cyberbeveiligingscertificering mogelijk maken waarmee kan worden ingespeeld op de behoeften van de gebruikers van 5G-apparatuur en -software. Door het cruciale belang van deze infrastructuur moet onmiddellijk prioriteit worden toegekend aan de ontwikkeling van die relevante Europese regelingen voor cyberbeveiligingscertificering van producten, diensten of processen in de informatie- en communicatietechnologie die worden gebruikt voor 5G-netwerken. De lidstaten en marktdeelnemers moeten zich actief inzetten voor de ontwikkeling van zulke certificeringsregelingen, en ondersteuning bieden bij het definiëren van specifieke beveiligingsprofielen voor 5G-netwerken.

(15)

In gevallen waarin geharmoniseerd recht van de Unie ontbreekt, kunnen de lidstaten een Europese regeling voor cyberbeveiligingcertificering verplicht maken, door middel van nationale technische voorschriften die overeenkomstig het recht van de Unie zijn vastgesteld. De lidstaten kunnen ook gebruikmaken van regelingen voor cyberbeveiligingscertificering in het kader van openbare aanbestedingen en van Richtlijn 2014/24/EU van het Europees Parlement en de Raad (13), en kunnen de ontwikkeling ondersteunen van mechanismen voor bijstand — zoals een assistentiehub — voor de aankoop van cyberbeveiligingsoplossingen door overheidsafnemers.

(16)

Een hoog niveau van gegevensbescherming en privacy is belangrijk voor de beveiliging van 5G-netwerken. Er zijn op het niveau van de Unie ook regels vastgesteld die de beveiliging bij de verwerking van persoonsgegevens waarborgen, waaronder in elektronische communicatie. De algemene verordening gegevensbescherming (14) maakt het verplicht persoonsgegevens zodanig te verwerken dat de beveiliging ervan wordt gewaarborgd, onder meer om ongeoorloofde toegang tot of gebruik van persoonsgegevens en de apparatuur voor de verwerking ervan, te voorkomen. In de richtlijn betreffende privacy en elektronische communicatie zijn specifieke voorschriften vastgelegd inzake de bescherming van het vertrouwelijke karakter van communicatie en van de eindapparatuur van eindgebruikers. Ook verplicht de richtlijn aanbieders van diensten ertoe passende technische en organisatorische maatregelen te nemen om de veiligheid van hun diensten te garanderen.

(17)

De Unie heeft eveneens een instrument vastgesteld ter bescherming van kritieke infrastructuur en technologie, zoals die welke worden gebruikt bij communicatie, door de lidstaten buitenlandse directe investeringen te laten screenen om redenen van veiligheid of openbare orde en door een samenwerkingsmechanisme op te zetten waarmee de lidstaten en de Commissie informatie kunnen uitwisselen en bezorgdheid kunnen uiten over specifieke investeringen (15).

(18)

De lidstaten en exploitanten zetten momenteel belangrijke voorbereidende stappen om de grootschalige uitrol van 5G-netwerken mogelijk te maken. Verscheidene lidstaten hebben hun bezorgdheid geuit over mogelijke met 5G-netwerken verband houdende veiligheidsrisico's in het kader van de uitvoering van procedures voor de toekenning van gebruiksrechten voor radiospectrumbanden bestemd voor 5G-netwerken (16) en hebben maatregelen genomen om deze risico's het hoofd te bieden.

(19)

Bij de aanpak van cyberbeveiligingsrisico's in 5G-netwerken moet rekening worden gehouden met zowel technische als andere factoren. Technische factoren kunnen onder andere zwakke punten in de cyberbeveiliging zijn. Die kunnen worden uitgebuit om ongeoorloofde toegang tot informatie te krijgen (cyberspionage om economische of politieke redenen) of voor andere kwaadaardige bedoelingen (cyberaanvallen die gericht zijn op het verstoren of vernietigen van systemen en gegevens). Hierbij is het belangrijk rekening te houden met de noodzaak om netwerken gedurende hun gehele levenscyclus te beschermen en alle betrokken apparatuur in aanmerking te nemen, onder meer tijdens het ontwerp, de ontwikkeling, de aankoop, de uitrol, de exploitatie en het onderhoud van 5G-netwerken.

(20)

Andere factoren kunnen wettelijke of andere vereisten omvatten die opgelegd worden aan leveranciers van apparatuur voor informatie- en communicatietechnologie. Bij een beoordeling van het belang van dergelijke factoren moet onder meer rekening worden gehouden met het algemene risico op beïnvloeding door een derde land, met name wat betreft het bestuursmodel in kwestie, het ontbreken van samenwerkingsovereenkomsten op het gebied van veiligheid of soortgelijke regelingen inzake gegevensbescherming, zoals adequaatheidsbesluiten, tussen de Unie en het derde land in kwestie, en met het feit of het land partij is bij multilaterale, internationale of bilaterale overeenkomsten inzake cyberbeveiliging, de bestrijding van cybercriminaliteit of gegevensbescherming.

(21)

Als een belangrijke stap op de weg naar cyberbeveiliging van 5G-netwerken op het niveau van de Unie moet op nationaal niveau een risicobeoordeling worden uitgevoerd en afgerond. Die beoordelingen zouden de lidstaten kunnen helpen om op basis ervan hun nationale maatregelen voor beveiligingsvereisten en risicobeheer aan te passen.

(22)

Om de doeltreffendheid te garanderen van de op deze cyberdreigingen gerichte maatregelen, die essentieel zijn voor de goede werking van de interne markt en de bescherming van persoonsgegevens en de persoonlijke levenssfeer, moet coördinatie worden ontwikkeld.

(23)

De nationale risicobeoordelingen moeten de basis vormen voor een gecoördineerde risicobeoordeling van de Unie, bestaand uit een inventarisatie van de dreigingen en een gezamenlijke evaluatie door de lidstaten, met de steun van de Commissie en samen met het Europese Agentschap voor cyberbeveiliging (Enisa).

(24)

Rekening houdend met de risicobeoordelingen op nationaal en op Unieniveau, moet de samenwerkingsgroep een instrumentarium samenstellen tot vaststelling van soorten cyberbeveiligingsrisico's en van mogelijke maatregelen die de risico's op gebieden zoals certificering, tests en toegangscontroles verkleinen. De samenwerkingsgroep moet ook mogelijke specifieke maatregelen identificeren waarmee de door een of meer lidstaten vastgestelde risico's kunnen worden aangepakt. De samenwerkingsgroep moet gebruikmaken van de steun van het Enisa, Europol, het Orgaan van Europese regelgevende instanties voor elektronische communicatie (Berec) en het Inlichtingen- en situatiecentrum van de EU. Dit instrumentarium moet als advies dienen voor de Commissie bij de ontwikkeling van gemeenschappelijke minimumeisen die blijven instaan voor een hoog niveau van cyberbeveiliging van 5G-netwerken in de hele Unie.

(25)

Wanneer maatregelen tegen cyberbeveiligingsrisico's worden genomen, moet bij de opbouw van om het even welk netwerk rekening worden gehouden met de bevordering van cyberbeveiliging door met meerdere leveranciers te werken.

(26)

Deze aanbeveling doet geen afbreuk aan de bevoegdheden van de lidstaten met betrekking tot activiteiten op het gebied van openbare beveiliging, defensie, staatsveiligheid en activiteiten van de staat op het gebied van het strafrecht, met inbegrip van het recht van de lidstaten om dienstverleners of leveranciers van hun markten te weren om redenen van nationale veiligheid,

(1)

(2)

a)   „5G-netwerk”: een reeks van alle relevante infrastructuurelementen voor mobiele en draadloze communicatietechnologie, die wordt gebruikt voor connectiviteit en diensten met toegevoegde waarde met geavanceerde prestatiekenmerken, zoals zeer hoge transmissiesnelheden en -capaciteit, een lage latentie, een zeer hoge betrouwbaarheid, of voor de ondersteuning van een groot aantal aangesloten apparaten. Dat kunnen onder meer legacy-netwerkelementen zijn die gebaseerd zijn op vorige generaties van mobiele en draadloze communicatietechnologie zoals 4G of 3G. De term „5G-netwerk” moeten worden geacht alle relevante delen van het netwerk te omvatten;

b)   „infrastructuur aan de basis van het digitale ecosysteem”: de infrastructuur die digitalisering in een breed scala van belangrijke toepassingen voor de economie en de samenleving mogelijk maakt.

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)

(16)

(17)

(18)

(19)