EUROPESE COMMISSIE

Straatsburg, 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Voorstel voor een

VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD

betreffende het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), het Europees kader voor cyberbeveiligingscertificering, en de beveiliging van ICT-toeleveringsketens, en tot intrekking van Verordening (EU) 2019/881 (de cyberbeveiligingsverordening 2)

(Voor de EER relevante tekst)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

TOELICHTING

1.ACHTERGROND VAN HET VOORSTEL

•Motivering en doel van het voorstel

Tegen deze achtergrond zijn er vier belangrijke problemen die met deze voorgestelde herziening van de cyberbeveiligingsverordening moeten worden aangepakt: i) de incongruentie tussen het beleidskader van de Unie voor cyberbeveiliging en de behoeften van belanghebbenden in een steeds vijandiger dreigingslandschap; ii) de vastgelopen uitvoering van het Europees kader voor cyberbeveiligingscertificering (European cybersecurity certification framework — ECCF); iii) de complexiteit en diversiteit van het cyberbeveiligingsbeleid die gevolgen hebben voor de cyberbeveiligingspositie van de Unie; en iv) de toenemende risico’s voor de beveiliging van ICT-toeleveringsketens.

Op basis van de belangrijkste problemen die zijn vastgesteld, zijn de twee algemene doelstellingen van de interventie het vergroten van de capaciteiten en weerbaarheid op het gebied van cyberbeveiliging en het voorkomen van versnippering op de eengemaakte markt door:

·bij te dragen tot de versterking van de cyberbeveiligingsgovernance van de Unie en er mede voor te zorgen dat de betrokken instellingen, autoriteiten en andere belanghebbenden beter voorbereid zijn om cyberdreigingen op gecoördineerde en doeltreffende wijze te voorkomen, op te sporen en erop te reageren; en

·de ontwikkeling, uitvoering en toepassing van gemeenschappelijke cyberbeveiligingsinstrumenten van de Unie, zoals certificeringsregelingen, te ondersteunen en te voorzien in geharmoniseerde kaders waarmee vertrouwen en interoperabiliteit tussen de lidstaten worden opgebouwd.

Deze algemene doelstellingen beantwoorden aan de belangrijkste uitdagingen die in de probleemomschrijving zijn vastgesteld. Zij weerspiegelen de overkoepelende beleidsdoelstelling om de cyberbeveiligingsgovernance in de Unie te versterken en de ontwikkeling van een veilige, veerkrachtige en concurrerende digitale eengemaakte markt te ondersteunen.

Om de bovengenoemde algemene doelstellingen te helpen verwezenlijken, worden met deze interventie de volgende specifieke doelstellingen nagestreefd:

·om de incongruentie tussen het beleidskader van de Unie voor cyberbeveiliging en de behoeften van belanghebbenden aan te pakken:

·specifieke doelstelling 1: de capaciteit creëren om het cyberbeveiligingsbeleid van de Unie op doeltreffende wijze uit te voeren en permanente operationele samenwerking tot stand te brengen om een meer gestructureerde samenwerking tussen de lidstaten mogelijk te maken;

·specifieke doelstelling 2: middelen en mechanismen ontwikkelen en toepassen om de behoeften van de lidstaten, het bedrijfsleven en andere belanghebbenden op doeltreffende wijze te ondersteunen en aan te pakken;

·om het beperkte gebruik en de beperkte doeltreffendheid van het ECCF aan te pakken:

·specifieke doelstelling 3: de voorwaarden scheppen voor een snellere uitvoering van cyberbeveiligingscertificeringsregelingen op basis van de behoeften van de markt door het toepassingsgebied van het ECCF uit te breiden, te zorgen voor doeltreffend onderhoud en flexibele procedures, en de transparantie te vergroten;

·om het versnipperde nalevingslandschap en de complexiteit van horizontale en sectorale kaders aan te pakken:

·specifieke doelstelling 4: mechanismen en voorwaarden creëren om de naleving van de cyberbeveiligingsvoorschriften te vergemakkelijken en zo de uitvoering ervan coherenter en doeltreffender te maken;

·om cyberbeveiligingsrisico’s in de toeleveringsketen aan te pakken:

·specifieke doelstelling 5: de risico’s beperken in kritieke ICT-toeleveringsketens van entiteiten die gevestigd zijn in of onder zeggenschap staan van entiteiten uit derde landen die aanleiding geven tot bezorgdheid over cyberbeveiliging (leveranciers met een hoog risico) en kritieke afhankelijkheden verminderen door een samenhangend en doeltreffend kader op EU-niveau te ontwikkelen om risico’s voor de beveiliging van ICT-toeleveringsketens aan te pakken.

De herziening van de cyberbeveiligingsverordening valt binnen het toepassingsgebied van het programma voor gezonde en resultaatgerichte regelgeving (Refit). Deze herziening draagt sterk bij tot het verbeteren van de duidelijkheid, het wegnemen van inefficiënties en het op elkaar afstemmen van de procedures in de verschillende rechtskaders. De herziening van de cyberbeveiligingsverordening draagt tevens bij tot de goede werking van de interne markt en waarborgt tegelijkertijd de veiligheid en de strategische autonomie van de Unie.

Meer concreet wordt met de herziening een volledige hervorming van het mandaat van het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) voorgesteld, waarbij doeltreffende steun wordt verleend voor de uitvoering van het beleid en meerwaarde wordt geboden wat betreft de ondersteuning van de operationele samenwerking tussen de lidstaten.

Gezien de toenemende risico’s en uitdagingen op het gebied van cyberbeveiliging waarmee de Unie wordt geconfronteerd, heeft het voorstel tot doel de financiële en personele middelen van Enisa uit te breiden om rekening te houden met zijn grotere rol, taken en kritieke positie bij het verdedigen van het digitale ecosysteem van de Unie, zodat Enisa de aan hem bij dit voorstel toegekende taken op doeltreffende wijze kan uitvoeren.

De herziening zal ook helpen om versnipperde praktijken uit te bannen, de coördinatie te verbeteren en tegelijkertijd de nalevings- en operationele kosten op lange termijn te verlagen. Door de huidige cyberbeveiligingsverordening in te trekken en een hervormd ECCF in te voeren, voorziet het voorstel in een doeltreffender en efficiënter instrument dat zowel het vertrouwen tussen bedrijven, het grote publiek en overheidsinstanties bevordert als de naleving van de relevante Uniewetgeving vergemakkelijkt. Het voorstel verhoogt de efficiëntie doordat het governancemodel wordt herzien en meer voorspelbare, coherente en flexibele certificeringsprocedures worden ondersteund om een snellere ontwikkeling en uitvoering van de regeling mogelijk te maken.

Meer synergieën met relevante bestaande rechtskaders van de Unie zullen certificering als nalevingsinstrument voor bedrijven bevorderen en de administratieve lasten verminderen voor conformiteitsbeoordelingsinstanties die actief zijn in het kader van meerdere onderdelen van de cyberbeveiligingswetgeving. Door het toepassingsgebied van het ECCF uit te breiden en de ontwikkeling van een regeling voor de cyberbeveiligingspositie van entiteiten mogelijk te maken, verlaagt het voorstel bovendien de nalevingskosten voor entiteiten die onder de relevante cyberbeveiligingswetgeving van de Unie vallen, te beginnen met entiteiten die onder de NIS 2-richtlijn vallen. Dankzij deze aanpak zullen de regelgevingsverplichtingen voor entiteiten die aan meerdere nalevingsvereisten onderworpen zijn aanzienlijk worden vereenvoudigd en zullen middelen doeltreffender door de nationale autoriteiten worden gebruikt. Naast deze herziening heeft een voorstel voor een richtlijn tot invoering van gerichte wijzigingen van de NIS 2-richtlijn tot doel de naleving van specifieke aspecten van het cyberbeveiligingskader te vereenvoudigen en een meer gestroomlijnde en coherente uitvoering daarvan te waarborgen, onder meer met betrekking tot het toepassingsgebied, de definities, de melding van ransomware en het toezicht op entiteiten die grensoverschrijdende diensten verlenen.

Bij de nieuwe verordening wordt ook een geharmoniseerd kader vastgesteld voor het aanpakken van niet-technische risico’s die gevolgen hebben voor ICT-toeleveringsketens, waardoor de huidige versnippering van de benaderingen in de lidstaten wordt verminderd. Samen vormen deze aspecten een aanzienlijke vereenvoudiging en modernisering van het rechtskader van de Unie inzake cyberbeveiliging, volledig in overeenstemming met de Refit-beginselen van duidelijkheid, efficiëntie en digitale paraatheid.

•Verenigbaarheid met bestaande bepalingen op het beleidsterrein

De Unie heeft haar juridische en beleidsinstrumenten uitgebreid met de vaststelling van een aantal juridische instrumenten en beleidsmaatregelen: i) de NIS 2-richtlijn dient om de cyberbeveiliging van kritieke infrastructuur te versterken; ii) fysieke beveiligingsmaatregelen worden gedefinieerd in de “zusterrichtlijn” daarvan, de richtlijn betreffende de weerbaarheid van kritieke entiteiten (CER-richtlijn); iii) de verordening cyberweerbaarheid verbetert de cyberbeveiliging van producten; iv) met de verordening cybersolidariteit wordt EU-brede responscapaciteit opgebouwd; v) via de cyberblauwdruk van de EU 7 wordt de samenwerking op het gebied van crisisbeheersing op EU-niveau ondersteund, waarbij de Commissie en de hoge vertegenwoordiger een sleutelrol spelen bij de voorbereiding en respons op grootschalige cyberbeveiligingsincidenten; vi) met het instrumentarium voor 5G-cyberbeveiliging (5G-instrumentarium) wordt de cyberbeveiliging in 5G-netwerken ondersteund; vii) het Europees actieplan voor de cyberbeveiliging van ziekenhuizen en zorgaanbieders 8 draagt bij tot de verbetering van hun cyberbeveiliging; en viii) met de academie voor cyberbeveiligingsvaardigheden 9 wordt het groeiende probleem van het tekort aan cyberbeveiligingsprofessionals aangepakt.

•Verenigbaarheid met andere beleidsterreinen van de Unie

2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID

•Rechtsgrondslag

•Subsidiariteit (bij niet-exclusieve bevoegdheid)

De acties die onder de voorgestelde verordening vallen, bieden een duidelijke meerwaarde door harmonisatie, juridische duidelijkheid en een gecoördineerde respons op uitdagingen op het gebied van cyberbeveiliging te ondersteunen.

•Evenredigheid

•Keuze van het instrument

3.EVALUATIE, RAADPLEGING VAN BELANGHEBBENDEN EN EFFECTBEOORDELING

•Evaluatie van bestaande wetgeving en controle van de resultaatgerichtheid ervan

·Relevantie: De relevantie van Enisa op het gebied van cyberbeveiliging wordt benadrukt door zijn vermogen om in te spelen op de veranderende behoeften van belanghebbenden en zich aan te passen aan een veranderend landschap. Hoewel de tevredenheid van de belanghebbenden over het algemeen positief is, zijn er mogelijkheden om de impact van Enisa te vergroten. Dit kan worden bereikt door de ondersteuning en zichtbaarheid van diverse sectoren te verbeteren, met name kleine en middelgrote ondernemingen (kmo’s), die vaak worstelen met voorschriften op het gebied van cyberbeveiliging. Een betere organisatie van de middelen en een duidelijkere coördinatie met de nationale autoriteiten zijn van essentieel belang. Het herprioriteren van activiteiten en het optimaliseren van bestaande middelen zal ervoor zorgen dat Enisa beter kan inspelen op de dynamische behoeften van het Europese cyberbeveiligingslandschap.

Met betrekking tot het ECCF wordt het kader, ondanks de veelbelovende premisse ervan, nog steeds geacht meer potentieel dan praktische impact te hebben, aangezien slechts één certificeringsregeling onlangs operationeel is geworden. Het kader is ontworpen om naadloos met andere rechtshandelingen van de Unie te integreren om procedures te stroomlijnen en grensoverschrijdende handel te vergemakkelijken. Het belang ervan wordt benadrukt op gebieden met een hoge mate van zekerheid, zoals clouddiensten en 5G-infrastructuur.

·Doeltreffendheid: Enisa heeft zijn mandaat met succes vervuld door bijna alle geplande resultaten te leveren en tijdens crises zoals de COVID-19-pandemie en de Russische aanvalsoorlog tegen Oekraïne blijk te geven van flexibiliteit en veerkracht. Er is echter behoefte aan een betere prioritering, een duidelijke focus en een strategische toewijzing van middelen om de efficiëntie te vergroten. Een flexibelere aanpak van de interne governance is van essentieel belang om zich aan te passen aan de veranderende behoeften op het gebied van cyberbeveiliging en vertragingen tot een minimum te beperken.

Het ECCF was bedoeld om de cyberbeveiligingscertificering in de hele Unie te harmoniseren, maar werd geconfronteerd met aanzienlijke uitdagingen, waaronder procedurele beperkingen en versnippering, die leidden tot vertragingen en inefficiënties, zoals de vertraging bij de vaststelling van de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC). Externe factoren, zoals geopolitieke spanningen en de COVID-19-pandemie, hebben de verwezenlijking van de doelstellingen van het ECCF verder bemoeilijkt, wat de noodzaak benadrukt van aanpasbare maatregelen en consistente toewijzing van middelen onder belanghebbenden om uniformiteit en doeltreffendheid op het gebied van cyberbeveiligingscertificering te bereiken. Ondanks deze obstakels zijn er positieve resultaten geboekt, met name wat betreft de bewustmaking van de lidstaten van het belang en de complexiteit van cyberbeveiligingscertificering.

·Efficiëntie: Enisa werkte efficiënt binnen zijn matrixgebaseerde organisatorische kader, waarbij samenwerking en prioritering van taken werden bevorderd. Enisa werd bij het voldoen aan de toenemende vraag en het vervullen van gespecialiseerde functies echter geconfronteerd met uitdagingen, die nog werden verergerd door een wereldwijd tekort aan IT-specialisten, wat leidde tot vertragingen en een zware werklast. Om deze problemen aan te pakken, zou Enisa zijn interne personeelsbestand kunnen optimaliseren en middelen doeltreffend kunnen herschikken, zoals blijkt uit strategische aanpassingen zoals de verschuiving van middelen naar de ondersteunende actie op het gebied van cyberbeveiliging in 2022. Daarnaast zou een beter begrotingsbeheer en een vermindering van de administratieve uitgaven de operationele efficiëntie van het Agentschap verder verbeteren.

De efficiëntie van het ECCF is bekritiseerd vanwege de langere termijnen voor de vaststelling van cyberbeveiligingscertificeringsregelingen en de complexiteit daarvan, waarbij de eerste regeling pas begin 2024, bijna vijf jaar na de vaststelling van de cyberbeveiligingsverordening, werd vastgesteld. Politieke en technische uitdagingen, zoals debatten over gegevenssoevereiniteit en moeilijkheden bij het omzetten van ontwerpen in rechtshandelingen, hebben bijgedragen tot de vertragingen. Politieke uitdagingen en technische eisen hebben de vooruitgang belemmerd, zoals blijkt uit de Europese cyberbeveiligingscertificeringsregeling voor clouddiensten (EUCS) en de EU5G-regeling. Ondanks deze inefficiënties gaf het kader aanleiding tot verschillende positieve aspecten. Er is echter nog steeds behoefte aan verbeteringen op het gebied van de betrokkenheid van belanghebbenden en interne governance om een optimale werking en strategische input te waarborgen.

·Samenhang: De samenhang van Enisa wordt ondersteund door een aanzienlijke betrokkenheid van belanghebbenden en afstemming op recente wetgevingskaders. Om de samenhang en de toewijzing van middelen te verbeteren, is het echter van essentieel belang de synergieën met andere organen van de Unie, zoals het Europees Kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging (ECCC), en met nationale autoriteiten te verbeteren. Bovendien moeten de interne communicatie en het middelenbeheer binnen Enisa, samen met transparante interactie met particuliere belanghebbenden, worden verfijnd. Een duidelijke afbakening van de taken van Enisa, in overeenstemming met de verordening cyberweerbaarheid en de NIS 2-richtlijn, zal zowel de efficiëntie als de samenhang in de regelgeving verbeteren.

Wat het ECCF betreft, is volledige samenhang met andere rechtsinstrumenten van de Unie, zoals de NIS 2-richtlijn en de verordening cyberweerbaarheid, van cruciaal belang om een uniforme aanpak van cyberbeveiliging te waarborgen. Hoewel het ECCF theoretisch gezien op deze wetgevingsmaatregelen is afgestemd, blijft de integratie in de echte wereld complex en vereist zij zorgvuldig toezicht. De uitvoering van de goedgekeurde EUCC-regeling in het kader van de verordening cyberweerbaarheid zal in dit verband een belangrijke test zijn.

·Meerwaarde van de EU: Enisa heeft aanzienlijke bijdragen geleverd aan het cyberbeveiligingsecosysteem van de Unie door samenwerking te bevorderen en praktijken op elkaar af te stemmen. Het heeft een cruciale rol gespeeld bij het faciliteren van nationale inspanningen en het verschaffen van inzicht in nieuwe dreigingen. Uit kritiek van belanghebbenden uit de particuliere sector op de behoefte aan meer op maat gesneden steun blijkt echter dat de betrokkenheid van belanghebbenden en de samenwerking met de sector moeten worden verbeterd. Een strategische herbeoordeling van het middelenbeheer zou Enisa in staat stellen zich beter aan te passen aan de veranderende uitdagingen op het gebied van cyberbeveiliging en diverse belanghebbenden doeltreffender van dienst te zijn. Het ECCF was bedoeld om geharmoniseerde certificeringsprocessen in te voeren, maar kreeg te maken met uitvoeringsproblemen als gevolg van langere tijdschema’s en versnippering. De toegevoegde waarde van het ECCF is beperkt gebleven door de tekortkomingen ervan bij de verwezenlijking van zijn doelstellingen en het gebrek aan efficiëntie. Ondanks deze uitdagingen heeft het ECCF wel de harmonisatie tussen de lidstaten verbeterd en betere samenwerkingsmogelijkheden gecreëerd, met name door samenwerkingsfora voor belanghebbenden op te richten, zoals de Europese Groep voor cyberbeveiligingscertificering (EGC).

•Raadpleging van belanghebbenden

Tussen 2023 en 2025 zijn verschillende raadplegingen van belanghebbenden gehouden, zowel in het kader van de evaluatie van de cyberbeveiligingsverordening als van de herziening van de cyberbeveiligingsverordening, en wel als volgt:

–In 2023 werden 65 vraaggesprekken gehouden (waarvan er 52 meer gericht waren op Enisa en 13 voornamelijk op het ECCF), werd een enquêteprogramma uitgevoerd, waarop 209 reacties werden ontvangen (waarvan 70 over het ECCF), werd een openbare raadpleging afgerond en werden twee workshops georganiseerd over SWOT-analyse (sterke en zwakke punten, kansen en bedreigingen) en aanbevelingen met respectievelijk 26 en 70 deelnemers. Deze activiteiten waren er specifiek op gericht de standpunten van belanghebbenden te verzamelen om het effect, de doeltreffendheid en de efficiëntie van Enisa te evalueren. Het eindverslag van de Study to Support the Evaluation of the European Union Agency for Cybersecurity (ENISA) and the European Cybersecurity Certification Framework carried out for the Commission by PwC, Intellera Consulting and PPMI (2024) werd in december 2024 afgerond. 

–In 2025 deed de Commissie een verzoek om input. De belanghebbenden werd met name verzocht schriftelijke bijdragen in te dienen, waaronder standpuntnota’s, technische verslagen of opmerkingen over specifieke hervormingsvoorstellen.  In totaal werden 184 individuele bijdragen ontvangen van een breed scala aan categorieën belanghebbenden, waaronder brancheorganisaties, cyberbeveiligingsbedrijven, kmo’s, academische instellingen en organisaties van algemeen belang.

–Tussen april en juni 2025 organiseerde de Commissie in het kader van de herziening van de cyberbeveiligingsverordening een openbare raadpleging, waarop zij 193 antwoorden ontving. De raadpleging bestond uit 38 vragen, zowel gesloten als open vragen, over het mandaat van Enisa, het ECCF, de beveiliging van ICT-toeleveringsketens en vereenvoudiging.

–Gerichte raadpleging (vraaggesprekken): Er werd een reeks semigestructureerde vraaggesprekken gehouden met geselecteerde belanghebbenden. Daartoe behoorden vertegenwoordigers van Enisa en nationale overheidsinstanties die nationale meldingsplatforms hebben ontwikkeld of beheren. De vraaggesprekken waren gericht op de rol en capaciteit van Enisa, de operationele werking van het ECCF, praktische uitdagingen bij het op elkaar afstemmen van certificeringsprocessen op nationaal en Unieniveau, rapportagelasten en belemmeringen bij de uitvoering. Deze besprekingen leverden kwalitatieve inzichten op die de interpretatie van de resultaten van de openbare raadpleging hebben verrijkt en de verfijning van de beleidsopties hebben ondersteund.

–Raadpleging van vertegenwoordigers van de lidstaten in het kader van de werkgroep van de Raad 19 en in bilaterale besprekingen, waarbij de lidstaten hun standpunten over de herziening van de cyberbeveiligingsverordening kenbaar konden maken.

–Gerichte raadpleging (ECCF-groepen — EGC, Groep van belanghebbenden bij cyberbeveiligingscertificering (Stakeholder Cybersecurity Certification Group — SCCG)): De Commissie heeft in haar hoedanigheid van voorzitter van beide groepen de stand van zaken met betrekking tot de herziening van de cyberbeveiligingsverordening gepresenteerd tijdens de vergaderingen van de EGC op 12 maart en 3 juli 2025 en de vergadering van de SCCG op 17 maart 2025. Daarnaast werden aanvullende deskundigenadviezen van EGC-leden verzameld door middel van vragenlijsten.

·het mandaat en de operationele rol van Enisa, met inbegrip van steun voor de lidstaten en expertise op het gebied van opkomende technologieën;

·de doeltreffendheid van het Europees kader voor cyberbeveiligingscertificering, met inbegrip van governance- en ontwikkelingsprocessen;

·de complexiteit en versnippering van cyberbeveiligingsverplichtingen, met aandacht voor rapportagelasten en mogelijke vereenvoudiging;

·de evenredigheid van de vereisten voor kmo’s en het potentieel voor gedifferentieerde nalevingstrajecten; en

·de maatschappelijke en economische gevolgen van geharmoniseerde cyberbeveiligingsregels, met inbegrip van gevolgen voor consumenten, rechten, innovatie en concurrentievermogen.

•Effectbeoordeling

Het definitieve beleidsvoorstel wijkt niet af van de opties die in de effectbeoordeling zijn beoordeeld.

Opties om de incongruentie tussen het beleidskader van de Unie voor cyberbeveiliging en de behoeften van belanghebbenden in een steeds vijandigere omgeving aan te pakken

Opties voor het ECCF

Optie B.1: Het toepassingsgebied, de elementen en de doelstellingen van het ECCF verduidelijken en een onderhoudsmechanisme invoeren — Deze optie zou voorzien in een nieuw onderhoudsmechanisme voor de regelingen, na de vaststelling ervan, dat door Enisa moet worden uitgevoerd.

Optie B.2: Het ECCF hervormen door de procedures ervan te herzien en het toepassingsgebied uit te breiden om de vereenvoudiging van de naleving van de regelgeving te vergemakkelijken — Met deze optie zou de cyberbeveiligingsverordening worden ingetrokken en vervangen door een nieuwe verordening. Naast optie B.1 zouden de procedures voor het aanvragen, ontwikkelen en vaststellen van regelingen worden herzien om de verantwoordingsplicht en de efficiëntie te verbeteren.

Optie B.3: Het ECCF hervormen zoals beoogd in optie B.2 en verplichte certificering voor de cyberbeveiligingspositie invoeren — Met deze optie zou worden voortgebouwd op optie B.2, maar is het doel ervan het effect van het kader verder te vergroten door verplichte certificering van essentiële entiteiten in te voeren en daarbij rekening te houden met specifieke risicoscenario’s, in plaats van uitsluitend te vertrouwen op vrijwillige certificering van entiteiten.

Opties voor vereenvoudiging

Optie C.1: Een aanpak op basis van zachte wetgeving en niet-wetgevingsinstrumenten hanteren, met inbegrip van het gebruik van bestaande bevoegdheden (vaststelling van uitvoeringshandelingen op grond van artikel 21, lid 5, en artikel 23, lid 11, van de NIS 2-richtlijn) — Deze optie voorziet in de vaststelling van uitvoeringshandelingen met gebruikmaking van de bestaande bevoegdheden uit hoofde van de NIS 2-richtlijn om te zorgen voor een hogere mate van harmonisatie van maatregelen voor het beheer van cyberbeveiligingsrisico’s, drempels voor de melding van incidenten, alsook het soort informatie, de formaten en de procedure voor aanmeldingen. Deze optie voorziet ook in de vaststelling van een reeks richtsnoeren om de rechtszekerheid en een geharmoniseerde uitvoering te vergroten.

Optie C.2: Gerichte interventie — verdere vereenvoudiging van de naleving van het relevante wetgevingskader van de Unie inzake cyberbeveiliging — Deze optie omvat beperkte interventie door middel van wijzigingen van de cyberbeveiligingsverordening en de NIS 2-richtlijn met als doel specifieke aspecten van het cyberbeveiligingskader te vereenvoudigen, met inbegrip van aanpassingen van het toepassingsgebied, maximale harmonisatie voor uitvoeringshandelingen, bewijs van naleving door middel van certificering, en de vaststelling van de reeks richtsnoeren zoals beoogd in optie C.1.  

Optie D.1: Een aanpak op basis van zachte wetgeving hanteren om cyberbeveiligingsrisico’s voor ICT-toeleveringsketens aan te pakken — Deze optie voorziet niet in regelgevende maatregelen op EU-niveau. In plaats daarvan zou de Commissie het aantal gecoördineerde risicobeoordelingen en vrijwillige instrumentaria verhogen.

Optie D.2: Regelgevende ad-hocmaatregelen ter codificatie van het 5G-instrumentarium — Met deze optie zouden de maatregelen van het 5G-instrumentarium worden gecodificeerd. De lidstaten zouden worden verplicht ervoor te zorgen dat componenten van leveranciers met een hoog risico niet worden gebruikt in belangrijke activa van het netwerk.

Deze combinatie biedt een evenwichtig antwoord op vastgestelde beleidsproblemen en verbetert de doeltreffendheid, efficiëntie en samenhang in de hele Unie aanzienlijk.

Tegelijkertijd zullen gestroomlijnde en verminderde nalevingsverplichtingen over een periode van vijf jaar naar verwachting kostenbesparingen tot 15,3 miljard EUR opleveren voor bedrijven. Bovendien zou het verbeteren van de algemene cyberbeveiligingspositie en de technologische soevereiniteit van de Unie en het stimuleren van innovatie en concurrentievermogen aanzienlijke voordelen opleveren voor het grote publiek, overheidsinstanties en bedrijven. Dit zal naar verwachting de oorspronkelijke uitgaven op lange termijn grotendeels compenseren.

Door de fragmentatie van de markt te verminderen en de regelgevingsvereisten te harmoniseren, bevorderen de voorkeursopties gelijke concurrentievoorwaarden in de hele Unie en bieden zij bedrijven duidelijkere trajecten naar naleving en innovatie.

•Resultaatgerichtheid en vereenvoudiging

•Grondrechten

Het wetgevingsvoorstel werd beoordeeld op basis van het potentieel ervan om de grondrechten te versterken of in gevaar te brengen en gelijkheid en vertrouwen te bevorderen, met bijzondere aandacht voor maatschappelijke effecten en rechten, waaronder privacy, gegevensbescherming en het vermogen van personen om hun rechten te begrijpen, uit te oefenen en te handhaven.

De uitbreiding van het mandaat van Enisa zal bijdragen tot meer cyberweerbaarheid in de hele economie en samenleving in het algemeen, wat zal leiden tot een betere bescherming van de privacy en persoonsgegevens van mensen. Met het voorstel zullen ook onderwijs en opleiding op het gebied van cyberbeveiliging worden ondersteund, aangezien de rol van Enisa bij de ontwikkeling van vaardigheden voor arbeidskrachten op het gebied van de cyberbeveiliging erin wordt verduidelijkt. 

Bovendien zal met het ECCF het vertrouwen worden vergroot van het grote publiek en bedrijven in de Unie in gecertificeerde ICT-oplossingen die het dagelijks leven ondersteunen. De invoering van aanvullende regelingen zou dit effect vergroten.

4.GEVOLGEN VOOR DE BEGROTING

5.OVERIGE ELEMENTEN

•Uitvoeringsplanning en regelingen betreffende controle, evaluatie en rapportage

•Toelichtende stukken (bij richtlijnen)

•Artikelsgewijze toelichting

Titel II: ENISA (HET AGENTSCHAP VAN DE EUROPESE UNIE VOOR CYBERBEVEILIGING)

De Commissie kan door middel van uitvoeringshandelingen belangrijke ICT-activa identificeren die voor de vervaardiging van producten en de verlening van diensten worden gebruikt door de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 bedoelde soorten entiteiten. In artikel 102 wordt nader bepaald met welke elementen rekening moet worden gehouden bij de identificatie van belangrijke ICT-activa. In artikel 103 worden mogelijke risicobeperkende maatregelen in de ICT-toeleveringsketen vastgesteld. De Commissie kan door middel van uitvoeringshandelingen besluiten dat entiteiten die actief zijn in zeer kritieke sectoren en andere kritieke sectoren, moeten worden onderworpen aan specifieke risicobeperkende maatregelen, die in het artikel nader worden toegelicht.

De Commissie stelt door middel van uitvoeringshandelingen lijsten op van leveranciers met een hoog risico die relevant zijn voor de in de overeenkomstig artikel 103, lid 1, artikel 103, lid 7, vastgestelde uitvoeringshandelingen bedoelde verbodsbepalingen of de in artikel 110, lid 1, bedoelde verbodsbepaling, na een beoordeling van vestiging en eigendom en zeggenschap te hebben uitgevoerd. Zij moet de betrokken leveranciers en de bevoegde autoriteiten raadplegen (artikel 104).

Een entiteit die is gevestigd in of onder zeggenschap staat van overeenkomstig artikel 100 aangewezen entiteiten uit een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging, kan verzoeken om toestemming om ICT-componenten te leveren in belangrijke ICT-activa van entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 en om deel te nemen aan overheidsopdrachten met betrekking tot de levering van dergelijke ICT-componenten. In artikel 105 is bepaald wat het verzoek moet bevatten en wat de procedure voor een dergelijke vrijstelling is. In artikel 106 worden de rechten van verweer van een betrokken entiteit gespecificeerd. De Commissie houdt een openbaar register bij van de beslissingen inzake vrijstellingen (artikel 107). In de artikelen 108 en 109 worden vertrouwelijkheidsregels en vergoedingen in verband met de vrijstellingsprocedure gespecificeerd.

Hoofdstuk II voorziet in een toepassing van het kader voor betrouwbare ICT-toeleveringsketens op mobiele, vaste en satellietnetwerken voor elektronische communicatie, waarbij wordt gezorgd voor afstemming op de voorgestelde wet inzake digitale netwerken.

De belangrijke ICT-activa voor mobiele, vaste en satellietnetwerken voor elektronische communicatie zijn opgenomen in bijlage II. De overgangsperiode voor de uitfasering van ICT-componenten van leveranciers met een hoog risico voor de belangrijke ICT-activa van het mobiele elektronischecommunicatienetwerk bedraagt niet meer dan 36 maanden vanaf de inwerkingtreding van deze verordening. Overgangsperioden voor vaste en satellietnetwerken voor elektronische communicatie worden door de Commissie middels uitvoeringshandelingen vastgesteld. De Commissie is bevoegd gedelegeerde handelingen vast te stellen om aangewezen belangrijke ICT-activa en overgangsperioden te wijzigen, ook voor de toekomstige mobiele generaties (artikel 110). In artikel 111 is bepaald dat aanbieders van mobiele, vaste en satellietnetwerken voor elektronische communicatie in geen enkele vorm ICT-componenten van leveranciers met een hoog risico mogen gebruiken, installeren of integreren en geen algemene of individuele machtiging kunnen krijgen.

Bevoegde autoriteiten, toezicht en handhaving, jurisdictie, rechten van verweer (hoofdstuk III)

Hoofdstuk III bevat voorts de regels inzake bevoegde autoriteiten, toezicht en handhaving en jurisdictie. 

In de artikelen 112 tot en met 114 worden de bevoegdheden, middelen en verantwoordelijkheden van de lidstaten bepaald bij het waarborgen van de uitvoering en handhaving van de bepalingen van titel IV. De lidstaten moeten een of meer bevoegde autoriteiten aanwijzen, waarvan de Commissie in kennis moet worden gesteld. In artikel 113 is bepaald dat de Commissie een netwerk voor samenwerking tussen de bevoegde autoriteiten van de lidstaten en de Commissie moet opzetten om de naleving te vergemakkelijken, terwijl in artikel 114 de maatregelen op het gebied van toezicht en naleving worden gespecificeerd die de bevoegde autoriteiten mogen nemen. Sancties in geval van inbreuk op de bepalingen van titel IV worden gespecificeerd in artikel 115. In artikel 116 bevat een beschrijving van de mogelijkheid voor de lidstaten om elkaar wederzijds bij te staan wanneer entiteiten grensoverschrijdende activiteiten verrichten of wanneer hun belangrijke ICT-activa zich in verschillende lidstaten bevinden. Artikel 117 bevat de regels inzake jurisdictie en territorialiteit.

2026/0011 (COD)

Voorstel voor een

VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD

betreffende het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), het Europees kader voor cyberbeveiligingscertificering, en de beveiliging van ICT-toeleveringsketens, en tot intrekking van Verordening (EU) 2019/881 (de cyberbeveiligingsverordening 2)

(Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 114,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Gezien het advies van het Europees Economisch en Sociaal Comité 24 ,

Gezien het advies van het Comité van de Regio’s 25 ,

Handelend volgens de gewone wetgevingsprocedure,

Overwegende hetgeen volgt:

(1)Sinds de vaststelling van Verordening (EU) 2019/881 van het Europees Parlement en de Raad 26 hebben de geopolitieke, technologische en beleidslandschappen ingrijpende veranderingen ondergaan. Het aantal cyberbeveiligingsincidenten, of deze nu worden veroorzaakt door systeemstoringen, menselijke fouten, kwaadwillige handelingen of natuurverschijnselen, is sterk toegenomen en cyberaanvallen zijn geavanceerder geworden, met gevolgen voor essentiële entiteiten, bedrijven en het grote publiek. Het ecosysteem voor cybercriminaliteit heeft zich uitgebreid, waarbij activiteiten in verband met ransomware centraal staan. Het aantal incidenten in toeleveringsketens, veroorzaakt door criminelen voor financieel gewin of door overheidsactoren met het oog op verstoring, spionage, desinformatie of oorlogsvoering, is toegenomen. In het kader van een bredere hybride strategie overspoelen incidenten als gevolg van kwaadwillige cyberactiviteiten en systeemstoringen elkaar, waardoor essentiële diensten worden verstoord, het vertrouwen in instellingen wordt ondermijnd en de maatschappelijke en defensiegereedheid van de Unie wordt aangetast. Van dergelijke incidenten is gebleken dat zij gevolgen kunnen hebben voor de economische activiteit, de financiële stabiliteit en het leven van mensen. Tegelijkertijd vormt de kwetsbaarheid van kritieke civiele infrastructuur en systemen een risico voor de defensievermogens wanneer deze daarvan afhankelijk zijn.

(2)Tegelijkertijd hebben opkomende technologieën zoals artificiële intelligentie en kwantumcomputing een verstorend effect op cyberbeveiliging en cyberdefensie. Zij veranderen de defensie-instrumenten en de tactieken van tegenstanders, vormen bedreigingen voor de cyberbeveiliging en cyberdefensie en bieden tegelijkertijd mogelijkheden voor technologische vooruitgang. Hoewel zij kunnen bijdragen tot cyberbeveiliging door middel van betere dreigingsdetectie of geautomatiseerde respons op incidenten, vergroten zij ook het totale aanvalsoppervlak voor organisaties, zijn zij potentiële doelwitten voor manipulatie en kunnen zij de levensvatbaarheid op lange termijn van beveiligingsmaatregelen zoals encryptie ondermijnen.

(3)Om deze ontwikkelingen aan te pakken, heeft de Unie haar juridische en beleidsinstrumenten verbeterd. Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad 27 versterkt de cyberbeveiliging van kritieke infrastructuur, aangevuld met Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad 28 inzake fysieke beveiliging. Verordening (EU) 2024/2847 van het Europees Parlement en de Raad 29 verbetert de cyberbeveiliging van producten met digitale elementen. Met Verordening (EU) 2025/38 van het Europees Parlement en de Raad 30 wordt EU-brede responscapaciteit opgebouwd, en met de aanbeveling van de Raad van 6 juni 2025 voor een EU-blauwdruk voor cyberbeveiligingscrisisbeheer 31 (“aanbeveling over de cyberblauwdruk”) wordt de samenwerking op het gebied van crisisbeheersing op Unieniveau ondersteund. Het instrumentarium voor 5G-cyberbeveiliging 32 vormt een eerste stap in de richting van een gecoördineerde aanpak op het niveau van de Unie om 5G-netwerken te beveiligen. In de mededeling van de Commissie over de academie voor cyberbeveiligingsvaardigheden 33 wordt het groeiende probleem van het tekort aan cyberbeveiligingsprofessionals aangepakt. Daarnaast is het cyberbeveiligingskader versterkt door sectorspecifieke wetgeving, met name Verordening (EU) 2022/2554 van het Europees Parlement en de Raad 34 voor de financiële sector, Gedelegeerde Verordening (EU) 2024/1366 van de Commissie 35 voor de subsector elektriciteit, Gedelegeerde Verordening (EU) 2022/1645 van de Commissie 36 en Uitvoeringsverordening (EU) 2023/203 van de Commissie 37 (DEEL-IS), alsook relevante regels inzake de beveiliging van de luchtvaart die zijn vastgesteld in Verordening (EU) 2019/1583 van de Commissie 38 voor de subsector luchtvervoer, en andere beleidsdocumenten zoals de mededeling van de Commissie over een Europees actieplan voor de cyberbeveiliging van ziekenhuizen en zorgaanbieders 39 . De entiteiten van de Unie worden ook versterkt door Verordening (EU, Euratom) 2023/2841 van het Europees Parlement en de Raad 40 , waarin maatregelen zijn vastgesteld die zijn gericht op het bereiken van een hoog gezamenlijk niveau van cyberbeveiliging binnen de instellingen, organen en instanties van de Unie. Bij dit versterkte rechtskader voor cyberbeveiliging zijn de taken van Enisa verder gespecificeerd.

(4)In dit verband, en zoals vermeld in ProtectEU: Europese strategie voor interne veiligheid 41 , strategie voor een paraatheidsunie 42 , vereist het garanderen van de paraatheid, beveiliging en veerkracht van de samenleving en de economie van de Unie in Europees verband een sterke coördinatie, vertrouwen en informatie-uitwisseling tussen belanghebbenden, robuuste kaders om de beveiliging van ICT-producten, -diensten en -processen en beheerde beveiligingsdiensten te waarborgen, alsook een uitbreiding en versterking van het personeelsbestand op het gebied van cyberbeveiliging. Voorts wordt opgeroepen de ICT-toeleveringsketens te versterken door de Europese technologische soevereiniteit over belangrijke activa te waarborgen, wat de weerbaarheid van de Unie zou vergroten en de inspanningen op het gebied van cyberdefensie ten goede zou kunnen komen. Daarnaast worden in de mededeling over de versterking van de economische veiligheid van de EU 43 de noodzaak om de toegang tot gevoelige informatie en gegevens die de economische veiligheid van de EU zouden kunnen ondermijnen, te voorkomen en verstoringen van kritieke infrastructuur in de EU die gevolgen hebben voor de economie van de EU, te voorkomen en te beperken, als prioritaire doelstellingen aangemerkt. Ook wordt hierin de essentiële rol erkend die doeltreffende cyberbeveiligingsmaatregelen in dit verband spelen.

(5)Grootschalige cyberbeveiligingsincidenten die kritieke infrastructuur, digitale diensten of essentiële maatschappelijke functies treffen, kunnen gevolgen hebben voor de bevolking en een gecoördineerd optreden op het gebied van civiele bescherming en crisisbeheersing op het niveau van de Unie vereisen. In overeenstemming met de aanpak van alle risico’s in het kader van de strategie voor een paraatheidsunie en Besluit nr. 1313/2013/EU betreffende het Uniemechanisme voor civiele bescherming moeten regelingen voor situationeel bewustzijn, respons op incidenten en oefeningen in het kader van deze verordening worden meegenomen in de crisisbeheersing van de Unie, met name via het Coördinatiecentrum voor respons in noodsituaties (ERCC).

(6)Dit voorstel is in overeenstemming met en wordt aangevuld door het [voorstel voor een richtlijn tot aanvulling [van de herziening van Verordening (EU) 2019/881] en tot wijziging van Richtlijn (EU) 2022/2555 wat betreft de vereenvoudiging van de uitvoering van maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie], alsook met het [voorstel voor een verordening inzake de vereenvoudiging van de digitale wetgeving (digitale omnibus) 44 ], op grond waarvan Enisa verplicht is een centraal toegangspunt voor de melding van incidenten te ontwikkelen dat entiteiten in staat stelt tegelijkertijd aan hun verplichtingen inzake de melding van incidenten uit hoofde van meerdere rechtshandelingen te voldoen.

(7)Bij Verordening (EG) nr. 460/2004 van het Europees Parlement en de Raad 45 is Enisa opgericht teneinde bij te dragen tot een hoog en doeltreffend netwerk- en informatiebeveiligingsniveau in de Unie, en tot de ontwikkeling van een netwerk- en informatiebeveiligingscultuur ten bate van burgers, consumenten, ondernemingen en overheidsdiensten. Het mandaat van Enisa werd drie keer verlengd voordat Enisa bij Verordening (EU) 2019/881 een permanent mandaat kreeg. Om beter tegemoet te komen aan de behoeften die voortvloeien uit de veranderende dreiging en technologische landschappen, met name wat betreft de operationele samenwerking en de toegenomen behoefte aan cyberbeveiligingsprofessionals, moet het mandaat van Enisa verder worden versterkt. Ten behoeve van de rechtszekerheid moet Verordening (EU) 2019/881 worden vervangen.

(8)In een veranderend dreigingslandschap waarin cyberbeveiligingsincidenten een steeds grotere plaats innemen, is het belangrijker dan ooit om vertrouwen te wekken bij personen, overheden en bedrijven bij hun dagelijks gebruik van technologieën. Een toename van het vertrouwen kan worden bevorderd door middel van een versterkte Uniebrede certificering van het ECCF die voorziet in gemeenschappelijke cyberbeveiligingsvoorschriften en evaluatiecriteria, ongeacht de nationale markten en sectoren. In het nieuwe kader moeten de belangrijkste horizontale vereisten voor Europese cyberbeveiligingscertificeringsregelingen wordt vastgesteld en moet het mogelijk worden gemaakt dat Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen in alle lidstaten worden erkend en gebruikt. Daarbij moeten een procedure en een governancekader worden vastgesteld op basis waarvan Europese cyberbeveiligingscertificeringsregelingen tijdig en op voorspelbare wijze kunnen worden ontwikkeld en in stand kunnen worden gehouden. De Europese cyberbeveiligingscertificeringsregelingen moeten in alle lidstaten op uniforme wijze worden toegepast om een geharmoniseerde uitvoering van de cyberbeveiligingsvoorschriften te waarborgen, een gelijk speelveld te creëren en het “certificeringsshoppen” vanwege verschillende stringentieniveaus in de verschillende lidstaten tegen te gaan. Enisa moet een sleutelrol spelen door te voorzien in de ontwikkeling van de regelingen door middel van technische specificaties en door ervoor te zorgen dat dergelijke regelingen technisch actueel blijven. Om op doeltreffende wijze aan de behoeften van de markt te voldoen, moet het kader bovendien voorzien in de mogelijkheid van certificering van tot entiteiten gerichte maatregelen voor het beheer van cyberbeveiligingsrisico’s, en de naleving van andere toepasselijke Uniewetgeving op het gebied van cyberbeveiliging vergemakkelijken. Afstemming op bestaand Unierecht, zoals Verordening (EU) 2024/2847 en Richtlijn (EU) 2022/2555, is van essentieel belang om ervoor te zorgen dat Europese cyberbeveiligingscertificeringsregelingen bijdragen tot het verminderen van de nalevingslasten voor bedrijven, hun aantrekkelijkheid vergroten en de cyberweerbaarheid van de Unie versterken.

(9)De opdracht van Enisa zou erin moeten bestaan de lidstaten en entiteiten van de Unie te ondersteunen bij het bereiken van een hoog niveau van cyberbeveiliging, weerbaarheid en vertrouwen in de Unie. Daartoe moet Enisa fungeren als referentiepunt voor advies en expertise op het gebied van cyberbeveiliging, en moeten zijn werkzaamheden in de eerste plaats betrekking hebben op vier belangrijke cyberbeveiligingsgebieden op het niveau van de Unie. Ten eerste moet Enisa de lidstaten ondersteunen bij de consistente uitvoering van het beleid en de wetgeving van de Unie inzake cyberbeveiliging en de lidstaten bijstaan door middel van activiteiten voor capaciteitsopbouw om hun capaciteiten op het gebied van paraatheid, weerbaarheid en respons voortdurend te verbeteren. Ten tweede moet Enisa bijdragen aan de operationele samenwerking op het niveau van de Unie tussen de lidstaten en aan een beter gedeeld situationeel bewustzijn van cyberdreigingen en -incidenten tussen de lidstaten en de entiteiten van de Unie. Het derde belangrijke gebied moet cyberbeveiligingscertificering en -normalisatie zijn, terwijl het vierde betrekking moet hebben op de uitvoering van de academie voor cyberbeveiligingsvaardigheden, die moet bijdragen tot de ontwikkeling van een bloeiende Europese beroepsbevolking op het gebied van cyberbeveiliging met vaardigheden die in alle lidstaten overdraagbaar moeten zijn.

(10)Verordening (EU, Euratom) 2023/2841 tot vaststelling van maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie voorziet in het mandaat van CERT-EU, waarbij deze wordt opgericht als de cyberbeveiligingsdienst voor de instellingen, organen en instanties van de Unie om bij te dragen aan de beveiliging van de niet-gerubriceerde ICT-omgeving van de entiteiten van de Unie door hen te adviseren over cyberbeveiliging, hen te ondersteunen bij het voorkomen, opsporen, behandelen, beperken van en reageren op incidenten en daarvan te herstellen, en op te treden als knooppunt voor hun informatie-uitwisseling inzake cyberbeveiliging en responscoördinatie bij incidenten. Voorts is CERT-EU belast met het aanbieden van relevante cyberbeveiligingsdiensten aan entiteiten van de Unie. Enisa moet in het kader van zijn opdracht ook entiteiten van de Unie ondersteunen. Dit moet met name gebeuren door middel van gestructureerde samenwerking met CERT-EU op het gebied van capaciteitsopbouw, operationele samenwerking en strategische langetermijnanalyses van cyberdreigingen. Om synergieën van de inspanningen van CERT-EU te waarborgen, kan Enisa in voorkomend geval op gecoördineerde wijze gebruikmaken van de gestructureerde samenwerking met CERT-EU voor cyberbeveiligingsdiensten of -ondersteuning van Enisa die een toegevoegde waarde kunnen hebben voor entiteiten van de Unie.

(11)Een van de kerntaken van Enisa moet erin bestaan de lidstaten te ondersteunen bij de consistente uitvoering van het beleid en het recht van de Unie inzake cyberbeveiliging, met name wat betreft Richtlijn (EU) 2022/2555, Verordening (EU) 2024/2847 en Verordening (EU) 2025/38. Om een consistente en doeltreffende uitvoering van het cyberbeveiligingsacquis van de Unie te helpen verwezenlijken, moet Enisa technische richtsnoeren en verslagen uitbrengen, advies en beste praktijken verstrekken en de uitwisseling van beste praktijken tussen de bevoegde autoriteiten daartoe vergemakkelijken. Voorts beoordeelt Enisa de stand van zaken op het gebied van cyberbeveiliging in de Unie en stelt het daartoe een verslag op overeenkomstig artikel 18 van Richtlijn (EU) 2022/2555. Enisa moet ook kunnen reageren op verzoeken om advies en bijstand van de lidstaten en, in voorkomend geval, entiteiten van de Unie, met betrekking tot aangelegenheden die onder het mandaat van Enisa vallen.

(12)Om de samenwerking tussen de publieke en de particuliere sector en binnen de particuliere sector te stimuleren, met name om de bescherming van kritieke infrastructuur te ondersteunen, moet Enisa de uitwisseling van informatie binnen en tussen sectoren, met name de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren, en van informatie over producten met digitale elementen die onder Verordening (EU) 2024/2847 vallen, ondersteunen. Dergelijke steun kan de vorm aannemen van het verstrekken van beste praktijken en richtsnoeren over beschikbare instrumenten en procedures, alsook van richtsnoeren voor de wijze waarop regelgevingskwesties in verband met informatie-uitwisseling moeten worden aangepakt, bijvoorbeeld door de oprichting van sectorale centra voor informatie-uitwisseling en -analyse (Information Sharing and Analysis Centres — ISAC’s) te vergemakkelijken.

(13)Om de strategische samenwerking en de uitwisseling van informatie te ondersteunen en te vergemakkelijken, moet Enisa bijdragen aan de werkzaamheden van de bij Richtlijn (EU) 2022/2555 opgerichte samenwerkingsgroep (“NIS-samenwerkingsgroep”), met name door expertise en advies te verstrekken en door de uitwisseling van beste praktijken te vergemakkelijken, onder meer in verband met grensoverschrijdende afhankelijkheden, met betrekking tot risico’s en incidenten. Enisa moet ook bijdragen aan de werkzaamheden van de bij Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad 46 opgerichte Europese samenwerkingsgroep voor digitale identiteit, de Europese Groep voor cyberbeveiligingscertificering en de bij Verordening (EU) 2024/2847 opgerichte administratievesamenwerkingsgroep (ADCO).

(14)De openbare kern van het open internet, namelijk de belangrijkste protocollen en infrastructuur, die een mondiaal publiek goed zijn, vormen de essentiële functionaliteit van het internet als geheel en ondersteunen de normale werking ervan. Binnen zijn mandaat moet Enisa de beveiliging en weerbaarheid van de publieke kern van het open internet en de stabiliteit van de werking ervan ondersteunen, met inbegrip van, maar niet beperkt tot, de veilige uitrol en exploitatie van belangrijke protocollen (met name het domeinnaamsysteem, het Border Gateway Protocol en versie 6 van het internetprotocol) en de exploitatie van het domeinnaamsysteem (zoals de exploitatie van alle topniveaudomeinen), door beste praktijken, richtsnoeren en samenwerking te bevorderen, in overeenstemming met gevestigde mondiale regelingen inzake internetgovernance met meerdere belanghebbenden en de respectieve rollen en verantwoordelijkheden van de relevante internationale technische en operationele organen.

(15)Enisa fungeert als referentiepunt voor advies en expertise op het gebied van cyberbeveiliging. Daarom moet Enisa de Commissie op haar verzoek bijstaan door middel van expertise, technisch advies, informatie, analyses, met inbegrip van haalbaarheidsstudies, adviezen en voorbereidende werkzaamheden met betrekking tot specifieke aangelegenheden op het gebied van cyberbeveiliging, teneinde de beleidsvorming van de Commissie te onderbouwen en het toezicht door de Commissie op de uitvoering van de Uniewetgeving inzake cyberbeveiliging te vergemakkelijken.

(16)Rekening houdend met zijn expertise, moet Enisa evenzo de lidstaten bijstaan bij hun inspanningen om capaciteiten en paraatheid te ontwikkelen en te vergroten om cyberdreigingen en -incidenten in verband met de beveiliging van netwerk- en informatiesystemen te voorkomen, op te sporen en aan te pakken. Enisa moet met name steun verlenen bij de ontwikkeling en versterking van bij Richtlijn (EU) 2022/2555 voorziene computer security incident response teams (“CSIRT’s”), met het oog op een hoog gemeenschappelijk niveau aan volwassenheid van CSIRT’s in de Unie.

(17)Enisa heeft de lidstaten ondersteund en moet hen blijven ondersteunen bij de ontwikkeling en uitvoering van richtsnoeren voor hun nationale cyberbeveiligingsstrategieën die bijdragen tot de vaststelling en uitvoering van cyberbeveiligingsstrategieën door alle lidstaten. Enisa moet de verspreiding van dergelijke strategieën bevorderen via de interactieve kaart van nationale cyberbeveiligingsstrategieën en moet de voortgang van de uitvoering ervan verder volgen, onder meer door steun te verlenen bij de ontwikkeling van kernprestatie-indicatoren in dit verband.

(18)Bij Verordening (EU, Euratom) 2023/2841 wordt de interinstitutionele raad voor cyberbeveiliging opgedragen de entiteiten van de Unie te helpen om hun respectieve cyberbeveiligingspositie te verbeteren, en CERT-EU om bij te dragen aan de beveiliging van de niet-gerubriceerde ICT-omgeving van alle entiteiten van de Unie. Enisa moet, op basis van zijn ervaring op het gebied van cyberbeveiliging, de interinstitutionele raad voor cyberbeveiliging en CERT-EU ondersteunen bij hun taken overeenkomstig Verordening (EU, Euratom) 2023/2841, onder meer door bij te dragen aan de analyse van cyberdreigingen, situationeel bewustzijn, cyberbeveiligingsoefeningen, coördinatie van de respons op incidenten en de uitwisseling van knowhow en beste praktijken.

(19)Op basis van de expertise van Enisa en ter aanvulling van de capaciteiten van overheidsinstanties van de lidstaten en van de Unie moet Enisa opleidingen verstrekken op basis van het Europees kader voor cyberbeveiligingsvaardigheden, met name ter ondersteuning van een doeltreffende beleidsuitvoering, operationele samenwerking en bewustmaking.

(20)Om synergieën te waarborgen met het Europees Kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging (ECCC) en het netwerk van nationale coördinatiecentra dat is opgericht op grond van Verordening (EU) 2021/887 van het Europees Parlement en de Raad 47 , moet Enisa hen ondersteunen door informatie uit te wisselen over huidige en opkomende risico’s en cyberdreigingen, met inbegrip van risico’s en dreigingen met betrekking tot informatie- en communicatietechnologieën.

(21)In de strategie voor een paraatheidsunie wordt benadrukt dat digitale geletterdheid, die afhankelijk is van het verwerven van digitale basisvaardigheden, van essentieel belang is om burgers weerbaarder te maken tegen mogelijke crises. Zoals in de mededeling van de Commissie over de vaardigheidsunie 48 wordt benadrukt, beschikt bijna de helft van de volwassen bevolking echter niet over digitale basisvaardigheden, ondanks het feit dat deze voor meer dan 90 % van de banen zijn vereist. Om ervoor te zorgen dat de huidige en potentiële toekomstige beroepsbevolking in een snel veranderende digitale omgeving over de vereiste vaardigheden beschikt, en om bij te dragen aan de ontwikkeling van de Europese talentenpool op het gebied van cyberbeveiliging, moet Enisa bewustmakingsactiviteiten op het gebied van cyberbeveiliging ondersteunen die erop gericht zijn talent aan te trekken en informatie te verstrekken over de opleiding en vaardigheden die nodig zijn op het gebied van cyberbeveiliging, zoals de European Cybersecurity Challenge. In dit verband moet Enisa wedstrijden op het gebied van cyberbeveiliging, “capture-the-flag”-evenementen en soortgelijke praktische oefeningen coördineren, als middel om cyberbeveiligingsvaardigheden te ontwikkelen en capaciteitsopbouw in de hele Unie te bevorderen. Bij het uitvoeren van bewustmakingsactiviteiten moet Enisa ervoor zorgen dat deze tegemoetkomen aan de behoeften van nationale overheidsinstanties en entiteiten van de Unie, alsook aan de behoeften van bedrijven, met name kmo’s, en onderwijs- en opleidingsinstellingen, door praktische kaders en opleidingen, zoals bewustmakingscampagnes, in stand te houden. Enisa moet praktische en uitvoerbare richtsnoeren blijven ontwikkelen om de uitvoering van het beleid en de wetgeving van de Unie inzake cyberbeveiliging te ondersteunen. Enisa moet er tevens naar streven relevante informatie over toepasselijke certificeringsregelingen te verstrekken, bijvoorbeeld via richtsnoeren en aanbevelingen.

(22)Om bedrijven die actief zijn in de cyberbeveiligingssector en gebruikers van cyberbeveiligingsoplossingen te ondersteunen en een doeltreffende uitvoering van titel III van deze verordening te waarborgen, moet Enisa een “waarnemingspost voor de markt” ontwikkelen en onderhouden door regelmatig analyses uit te voeren en informatie te verspreiden over de belangrijkste trends op de cyberbeveiligingsmarkt, aan zowel de vraag- als de aanbodzijde. Om de gebruikers van de bij Verordening (EU) 2025/38 ingestelde EU-cyberbeveiligingsreserve te ondersteunen, moet Enisa bovendien de door die gebruikers benodigde diensten en de beschikbaarheid van die diensten in kaart brengen overeenkomstig die verordening.

(23)Cyberdreigingen zijn een wereldwijd probleem. Nauwere internationale samenwerking is noodzakelijk om de cyberbeveiliging te verbeteren, onder meer om gemeenschappelijke gedragsnormen en gemeenschappelijke benaderingen vast te stellen. Daartoe moet Enisa de samenwerking van de Unie met derde landen, met bijzondere aandacht voor landen die kandidaat zijn om tot de Unie toe te treden, en internationale organisaties, zoals de NAVO, ondersteunen door de Commissie en de relevante entiteiten van de Unie in voorkomend geval de nodige expertise en analyses te verstrekken. De activiteiten van Enisa op het internationale vlak moeten altijd in overeenstemming zijn met de prioriteiten van de Unie.

(24)Om een hoog niveau van cyberbeveiliging in de Unie te helpen bereiken, moet Enisa de operationele samenwerking tussen de lidstaten, in samenwerking met CERT-EU, tussen entiteiten van de Unie en tussen belanghebbenden ondersteunen. Daartoe moet de rol van Enisa worden versterkt. Enisa moet lid worden van het CSIRT-netwerk en bijdragen aan de uitwisseling en analyse van informatie binnen het netwerk. Enisa moet de samenwerking tussen de betrokken CSIRT’s verder bevorderen en ondersteunen in geval van incidenten, aanvallen of verstoringen van netwerken of infrastructuur die door de CSIRT’s worden beheerd of beschermd. De actieve steun van Enisa voor de werkzaamheden van het CSIRT-netwerk en het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) moet die netwerken in staat stellen hun maturiteitsniveau te blijven versterken. De rol van Enisa bij de ondersteuning van dergelijke samenwerking heeft onder meer betrekking op het bestrijden van bedreigingen voor de beveiliging en integriteit van democratische instellingen, verkiezingen en andere processen, en de kritieke infrastructuur waarvan zij afhankelijk zijn, in overeenstemming met het Europees schild voor de democratie: zorgen voor sterke en veerkrachtige democratieën 49 .

(25)Ter ondersteuning van capaciteitsopbouw, operationele samenwerking en strategische langetermijnanalyses van cyberdreigingen moet Enisa gebruikmaken van de beschikbare technische en operationele expertise van CERT-EU door middel van gestructureerde samenwerking, bijvoorbeeld via specifieke regelingen.

(26)Om de cyberbeveiliging in de hele Unie te versterken en te zorgen voor een snelle en doeltreffende respons op cyberdreigingen, moet Enisa de lidstaten op hun verzoek ondersteunen, onder meer door advies te verstrekken over de verbetering van hun capaciteiten om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen, door de technische afhandeling van significante incidenten in de zin van Richtlijn (EU) 2022/2555 te vergemakkelijken, met name door de vrijwillige uitwisseling van technische oplossingen tussen de lidstaten te ondersteunen, of door ervoor te zorgen dat cyberdreigingen en -incidenten worden geanalyseerd. Enisa moet EU-CyCLONe ook bijstaan bij het opstellen van verslagen op het politieke niveau van de Unie en de lidstaten.

(27)Om de blootstelling aan buitenlandse inmenging, manipulatie van de toeleveringsketen en strategische exfiltratie van gegeven te verminderen, moet Enisa binnen het CSIRT-netwerk en EU-CyCLONe gebruikmaken van beveiligde communicatie-instrumenten. Voortbouwend op de aanbeveling over de cyberblauwdruk, moeten dergelijke instrumenten worden geleverd door juridische entiteiten die zijn gevestigd of worden geacht te zijn gevestigd in de Unie en waarover de lidstaten of ingezetenen van de lidstaten zeggenschap hebben.

(28)Om bij te dragen tot de paraatheid en respons op Unieniveau in het geval van grootschalige cyberbeveiligingsincidenten en -crises, moet Enisa activiteiten op het gebied van situationeel bewustzijn met betrekking tot cyberbeveiliging uitvoeren.

(29) Toegang tot realtime-, geverifieerde en betrouwbare inlichtingen over cyberdreigingen is van cruciaal belang voor het opbouwen van gedeeld situationeel bewustzijn in de Unie. Enisa, de Commissie, CERT-EU en het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) van Europol hebben reeds registers van inlichtingen over cyberdreigingen ontwikkeld die zijn afgestemd op hun specifieke behoeften. Enisa en andere relevante entiteiten van de Unie moeten vrijwillig samenwerken om registers van realtime-, geverifieerde en betrouwbare inlichtingen over cyberdreigingen te ontwikkelen en synergieën na te streven om schaalvoordelen te waarborgen en goed financieel beheer te versterken. Deze werkzaamheden moeten ook sectorale entiteiten van de Unie omvatten, zoals het Agentschap van de Europese Unie voor het ruimtevaartprogramma. Zij mogen alleen afgeleide analyses, trends en tactieken, technieken en procedures delen, geen onbewerkte bronnen, en moeten de onafhankelijkheid van de entiteiten eerbiedigen om hun eigen levenscyclus van inlichtingen over cyberdreigingen te beheren in overeenstemming met hun mandaten en de regels inzake de noodzaak van kennisneming.

(30)Om bij te dragen tot een tijdige en gecoördineerde respons moet Enisa vroegtijdige waarschuwingen over een potentieel of lopend significant of grootschalig incident of een cyberdreiging met een mogelijk grensoverschrijdend karakter kunnen afgeven aan het betrokken CSIRT of de betrokken CSIRT’s en, in voorkomend geval, aan het CSIRT-netwerk en EU-CyCLONe, met name met betrekking tot de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde entiteiten. De informatie in dergelijke vroegtijdige waarschuwingen kan betrekking hebben op bekende kwetsbaarheden en op de vraag of zij van invloed zijn op producten met digitale elementen die vallen onder Verordening (EU) 2024/2847, alsook op technieken en procedures, indicatoren voor aantasting, vijandige tactieken, dreigingsactorspecifieke informatie en aanbevelingen over risicobeperkende maatregelen.

(31) Om het vertrouwen te behouden en de informatie-uitwisseling niet in gevaar te brengen, is het belangrijk dat Enisa zichtbare markeringen aanbrengt die aangeven in welke mate een door hem geproduceerd of ontvangen document of informatie verder mag worden gedeeld. Evenzo moet Enisa documenten of informatie die het ontvangt, gebruiken voor de uitvoering van zijn activiteiten, met inachtneming van eventuele beperkingen door middel van een zichtbare markering bij de verdere verspreiding van die informatie.

(32)Om het bewustzijn van indicatoren voor cyberdreigingen en aanbevelingen inzake risicobeperkende maatregelen te helpen vergroten, moet Enisa een dienst voor vroegtijdige waarschuwing beschikbaar stellen aan entiteiten die actief zijn in de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren. Dergelijke algemene, vrijwillige vroegtijdige waarschuwingen moeten met name gunstig zijn voor kmo’s, worden verstrekt in een machineleesbaar formaat en openbaar worden gemaakt. In elk geval staat een dergelijke vrijwillige dienst los van en houdt deze geen verband met publiek-private partnerschappen die Enisa kan oprichten of reeds heeft opgericht.

(33)Om op Unieniveau gedeeld situationeel bewustzijn te ondersteunen, moet Enisa in nauwe samenwerking met de lidstaten regelmatig een grondig technisch situatieverslag inzake de EU-cyberbeveiliging opstellen met betrekking tot incidenten en cyberdreigingen, op basis van publiek beschikbare informatie, eigen analyses, en verslagen die hem ter beschikking worden gesteld door de CSIRT’s van de lidstaten of de centrale contactpunten voor de beveiliging van netwerk- en informatiesystemen (“centrale contactpunten”) zoals opgericht bij Richtlijn (EU) 2022/2555, beide op vrijwillige basis, Europol en CERT-EU. Dat verslag moet ter beschikking worden gesteld van de Raad, de Europese Dienst voor extern optreden, EU-CyCLONe, het CSIRT-netwerk, de Commissie en Europol.

(34)Om het gedeelde situationele bewustzijn van het landschap van cyberdreigingen en -incidenten onder belanghebbenden te vergroten, moet Enisa trends op het gebied van cyberdreigingen en -incidenten analyseren. Dit moet een regelmatige analyse omvatten van de zeer kritieke sectoren en andere kritieke sectoren die zijn opgenomen in de bijlagen I en II bij Richtlijn (EU) 2022/2555, met inbegrip van de sectoren gezondheidszorg, energie en vervoer. Bij een dergelijke analyse moet het maturiteitsniveau van sectoren in aanmerking worden genomen en moeten onder meer mogelijke uitdagingen in kaart worden gebracht die specifiek zijn voor een bepaalde sector. In voorkomend geval, en om effecten op de toeleveringsketen vast te stellen, moeten met de analyse cyberdreigingen en -trends met betrekking tot onder Verordening (EU) 2024/2847 vallende productcategorieën worden aangetoond. Enisa moet expertise ontwikkelen op het gebied van de cyberbeveiliging van infrastructuren en hun kritieke afhankelijkheid van toeleveringsketens, met name ter ondersteuning van de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 genoemde sectoren en van de uitvoering van Verordening (EU) 2024/2847. Daartoe moet Enisa in voorkomend geval ook samenwerken met andere relevante entiteiten van de Unie.

(35)Om een beter inzicht te krijgen in de uitdagingen op het gebied van cyberbeveiliging, moet Enisa bovendien bestaande en opkomende technologieën analyseren en themaspecifieke beoordelingen verstrekken over de verwachte maatschappelijke, juridische, economische en regelgevende gevolgen van technologische innovaties voor cyberbeveiliging. Om de toegang van het publiek tot informatie over cyberbeveiligingsrisico’s en mogelijke oplossingen te vergemakkelijken, kan Enisa op een gebruikersvriendelijke en goed gestructureerde wijze relevante informatie op zijn website verstrekken.

(36)De versterkte rol van Enisa bij het bevorderen van situationeel bewustzijn, het analyseren van dreigingen en het verstrekken van technisch advies zal helpen de collectieve inspanningen op het gebied van cyberbeveiliging met betrekking tot producten met digitale elementen op te voeren en de uitvoering van Verordening (EU) 2024/2847 ondersteunen. Overeenkomstig Verordening (EU) 2024/2847 kan Enisa gezamenlijke activiteiten aan markttoezichtautoriteiten voorstellen om de conformiteit van producten met digitale elementen te controleren en categorieën producten met digitale elementen vast te stellen waarvoor bezemacties kunnen worden georganiseerd. Informatie die voortvloeit uit de analyse van cyberdreigingen en vroegtijdige waarschuwingen moet de steun van Enisa aan die autoriteiten versterken en bijdragen tot een doeltreffende handhaving van Verordening (EU) 2024/2847 om effecten van cyberaanvallen op de toeleveringsketen in de hele interne markt te voorkomen en de algemene paraatheid van de Unie te verbeteren.

(37)Ransomware-aanvallen vormen een ernstige cyberdreiging voor de Unie. Om de cyberbeveiliging van de Unie te verbeteren en ransomware te bestrijden, moet Enisa capaciteiten voor situationeel bewustzijn en steun voor respons op en herstel van incidenten ontwikkelen. Wanneer Enisa individuele essentiële en belangrijke entiteiten bijstaat bij het reageren op en herstellen van een ransomware-aanval, moet het nauw samenwerken met Europol en, in voorkomend geval, met CSIRT’s of bevoegde autoriteiten, en daarbij putten uit de ervaring die Europol heeft opgedaan met de bestrijding van ransomware-criminaliteit. Dergelijke bijstand moet een aanvulling vormen op de activiteiten van de CSIRT’s ter ondersteuning van de respons op incidenten. Om synergieën tot stand te brengen bij zijn werkzaamheden tegen ransomware, moet Enisa een helpdesk oprichten en daartoe relevante capaciteiten en diensten ter bestrijding van ransomware bundelen en gemakkelijk toegankelijke informatie, richtsnoeren en instrumenten ter beschikking stellen die essentiële en belangrijke entiteiten kunnen helpen te reageren op en te herstellen van een ransomware-incident.

(38)Enisa moet de Commissie technische expertise en ondersteuning bieden bij de voorbereiding van een doorlopend jaarprogramma van cyberbeveiligingsoefeningen op het niveau van de Unie in overeenstemming met de aanbeveling over de cyberblauwdruk om zich voor te bereiden op cybercrises, het cyberbeveiligingsniveau van de entiteiten die aan dergelijke oefeningen deelnemen te testen en dubbel werk tot een minimum te beperken. Enisa moet bijvoorbeeld advies geven over de geschikte soorten oefeningen, zoals tabletop, hybride of volledige live, alsook over de doelstellingen, scenario’s en deelname.

(39)Toegang tot correcte en tijdige informatie over kwetsbaarheden en een robuust kwetsbaarheidsbeheer zijn absoluut noodzakelijk om een hoog niveau van cyberbeveiliging op de interne markt te waarborgen. Om die reden moet Enisa een Europese kwetsbaarheidsdatabase overeenkomstig Richtlijn (EU) 2022/2555 bijhouden en een gemeenschappelijke Uniebrede capaciteit voor kwetsbaarheidsbeheersdiensten in het leven roepen, waarbij een veerkrachtig en duurzaam dienstverleningsniveau wordt gewaarborgd en het risico op verstoringen wordt beperkt. Daartoe moet Enisa de mogelijkheden onderzoeken om de gestructureerde samenwerking met programma’s, registers of gegevensbanken die vergelijkbaar zijn met de Europese kwetsbaarheidsdatabase te verdiepen, teneinde dubbel werk te voorkomen en in voorkomend geval te streven naar complementariteit op internationaal niveau. Voorts moet Enisa gecoördineerde bekendmaking van kwetsbaarheden door meerdere partijen op het niveau van de Unie ondersteunen en diensten met toegevoegde waarde aanbieden, zoals kwetsbaarheidsadviezen, scores voor de ernst van dreigingen, en productlijsten, en een verbeterde Europese catalogus van bekende uitgebuite kwetsbaarheden verstrekken om entiteiten te helpen bij hun kwetsbaarheidsbeheer.

(40)De rol van Enisa bij de ontwikkeling van het ECCF moet een belangrijk aspect van zijn mandaat zijn. Enisa moet gedurende de hele levenscyclus van Europese cyberbeveiligingscertificeringsregelingen zijn technische expertise ter beschikking stellen. Met het oog op een toekomstige regeling moet Enisa bestaande normen of technische specificaties identificeren die aan die regeling ten grondslag kunnen liggen en, in voorkomend geval, zelf technische specificaties opstellen waarnaar in een regeling kan worden verwezen. Enisa moet verantwoordelijk zijn voor de opstelling van potentiële regelingen naar aanleiding van een verzoek van de Commissie. Voor reeds bestaande regelingen moet Enisa verantwoordelijk zijn voor de instandhouding ervan. Op die manier moet Enisa bijdragen aan de opbouw en ontwikkeling van een certificeringsecosysteem waarin de lidstaten en particuliere belanghebbenden wordt verzocht feedback te verstrekken en hun certificeringscapaciteiten worden versterkt. Hierbij moet ook een speciale certificeringswebsite worden geëxploiteerd waar relevante informatie met betrekking tot vastgestelde regelingen, met inbegrip van certificaten en conformiteitsverklaringen, vrij en openbaar toegankelijk is.

(41)Om de uitvoering van de desbetreffende Uniewetgeving te ondersteunen, moet Enisa vorm geven aan de stand van de techniek op het gebied van cyberbeveiliging door technische specificaties te verstrekken ter ondersteuning van de uitvoering van de desbetreffende Uniewetgeving, onder meer met het oog op de mogelijke verwijzing ernaar in Europese cyberbeveiligingscertificeringsregelingen. Enisa moet ook toezicht houden op de opstelling en ontwikkeling van normen door relevante normalisatie-instellingen om normalisatietrends op Europees en mondiaal niveau te volgen, en waar nodig dergelijke normen vormgeven door deel te nemen aan, onder meer door bijdragen op te stellen, en het voortouw te nemen bij de activiteiten van normalisatieorganisaties. Daarbij moet Enisa onpartijdig blijven. Er kunnen zich bijvoorbeeld situaties voordoen waarin Enisa zich moet terugtrekken uit relevante activiteiten bij normalisatie-instellingen indien Enisa wordt verzocht Europese normen te beoordelen waarom de Commissie ter ondersteuning van de Uniewetgeving heeft verzocht. Enisa mag niet deelnemen aan het opstellen van de normen die het moet beoordelen.

(42)Om de uitvoering van het beleid van de Unie en de voorbereiding van mogelijke normalisatieactiviteiten te ondersteunen, moet Enisa bijdragen aan de ontwikkeling en evaluatie van cryptografische algoritmen, met name op het gebied van post-kwantumcryptografie. In dat verband kan Enisa, op verzoek van de Commissie en onder voorbehoud van een bijdrageovereenkomst zoals gedefinieerd in Verordening (EU, Euratom) 2024/2509 van het Europees Parlement en de Raad 50 , een proces instellen om te verzoeken om algoritmen voor cryptografische algoritmen en deze te laten evalueren door belanghebbenden, met name de cryptografische, academische en onderzoeksgemeenschappen, alsook fabrikanten, CSIRT’s, nationale cyberbeveiligingscertificeringsautoriteiten en bevoegde autoriteiten overeenkomstig Richtlijn (EU) 2022/2555. Wanneer Enisa bijdraagt aan de vaststelling van dergelijke processen, moet het de samenwerking tussen de belanghebbenden bevorderen en de organisatorische aspecten uitvoeren. Het proces moet formeel, open, transparant en inclusief zijn, waarbij belanghebbenden worden geraadpleegd over ontwerpen van minimumeisen en het evaluatieproces en evaluatiecriteria, met name voor de beveiliging en de uitvoering van evaluaties.

(43)Om de uitvoering van conformiteitsbeoordelingsactiviteiten in het kader van Europese cyberbeveiligingscertificeringsregelingen en andere relevante Uniewetgeving te ondersteunen, kan Enisa relevante technische testinstrumenten ter beschikking stellen om de lidstaten, bedrijven en conformiteitsbeoordelingsinstanties bij evaluatieactiviteiten te ondersteunen. Met dergelijke instrumenten moet worden gestreefd naar de totstandbrenging van synergieën op het niveau van de Unie en een efficiënte werking van conformiteitsbeoordelingsprocedures om tegemoet te komen aan de behoeften van de lidstaten en de markt. Dergelijke behoeften kunnen bijvoorbeeld ontstaan op het gebied van beveiliging door ontwerp om bedrijven, met inbegrip van kleine en middelgrote ondernemingen, te ondersteunen bij hun uitvoeringsinspanningen in het kader van Verordening (EU) 2024/2847. In dit verband moet Enisa vergoedingen in rekening brengen ter dekking van de relevante kosten in verband met het opzetten, ontwerpen, ontwikkelen, onderhouden en actualiseren van de benodigde software- en hardwarecapaciteiten voor dergelijke testinstrumenten.

(44)Om de lidstaten te ondersteunen bij hun inspanningen om het tekort aan cyberbeveiligingsprofessionals en de toenemende behoefte aan geschoolde, diverse, onder meer met betrekking tot genderevenwicht, en flexibele arbeidskrachten aan te pakken, en om arbeidsmobiliteit en paraatheid tussen de lidstaten mogelijk te maken, moet Enisa voortbouwen op de beginselen en werkzaamheden die zijn geïnitieerd in het kader van de academie voor cyberbeveiligingsvaardigheden. Enisa moet met name het Europees kader voor cyberbeveiligingsvaardigheden (European Cybersecurity Skills Framework — ECSF) opzetten als een gemeenschappelijk kader voor rolprofielen van cyberbeveiligingsprofessionals. Enisa moet de lidstaten verder ondersteunen bij het aanpakken van genderverschillen in rollen op het gebied van cyberbeveiliging. Deze aanpak is in overeenstemming met de visie die is uiteengezet in de mededeling van de Commissie over de vaardigheidsunie en zou bijdragen tot de doelstellingen ervan. Een kwaliteitskeurmerk voor Europese individuele attesteringen van cyberbeveiligingsvaardigheden moet verder worden onderzocht.

(45)Het ECSF moet een praktisch en flexibel instrument zijn dat op vrijwillige basis kan worden gebruikt en dat een gemeenschappelijke interpretatie en terminologie biedt van de relevante rollen en de bijbehorende taken, vaardigheden en kennis die het meest nodig zijn in rollen op het gebied van cyberbeveiliging, teneinde de identificatie te ondersteunen van kritieke vaardigheden, met inbegrip van transversale vaardigheden, waarover de beroepsbevolking moet beschikken, en die aanbieders van leermogelijkheden, waaronder bedrijven, instellingen voor hoger onderwijs of aanbieders van beroepsonderwijs en -opleiding, in staat te stellen programma’s te ontwerpen en beleidsmakers te helpen initiatieven te ontwikkelen om vaardigheidskloven aan te pakken. Aangezien het kan worden gebruikt als referentiekader voor de erkenning van vaardigheden, moet het ook interoperabel zijn met de Europese classificatie van vaardigheden en beroepen (ESCO) om de personeelsdiensten te helpen inzicht te krijgen in de vereisten voor personeelsplanning, aanwerving en loopbaanontwikkeling ter ondersteuning van cyberbeveiligingsbehoeften. Terwijl DigComp 3.0 de kennis, vaardigheden en attitudes beschrijft die nodig zijn om digitaal bekwaam te zijn voor het dagelijks leven, deelname aan de samenleving, werken en leren, en zowel door volwassenen als kinderen kan worden gebruikt, biedt het ECSF een eenvoudig kader voor het identificeren van rollen op het gebied van cyberbeveiliging en de bijbehorende taken, kennis en vaardigheden die nodig zijn om deze te vervullen. In dit verband richt het zich tot een gespecialiseerd publiek op het gebied van cyberbeveiliging, variërend van daadwerkelijke of potentiële cyberbeveiligingsprofessionals en onderwijsinstellingen tot werkgevers. Het ECSF moet ook de ontwikkeling van Europese individuele attesteringen van cyberbeveiligingsvaardigheden ondersteunen door het belangrijkste instrument te zijn dat wordt gebruikt om de regelingen te ontwikkelen, de opkomst van nieuwe marktspelers mogelijk te maken en de concurrentie op de markt binnen een gemeenschappelijk kader te ondersteunen. Het ECSF moet regelmatig worden geëvalueerd en geactualiseerd om ervoor te zorgen dat naar behoren rekening wordt gehouden met de behoeften van de cyberbeveiligingsarbeidsmarkt en de technologische en beleidsontwikkelingen. Enisa moet het gebruik van het ECSF door en binnen de lidstaten en de entiteiten van de Unie ondersteunen en passende steun verlenen wanneer dergelijke bijstand nodig is.

(46)Vaardigheden en kwalificaties op het gebied van cyberbeveiliging moeten in de hele interne markt vergelijkbaar, transparant en betrouwbaar worden gemaakt. Daartoe moeten Europese individuele attesteringen van cyberbeveiligingsvaardigheden 51 werkgevers, met inbegrip van kmo’s en start-ups, ondersteunen om daadwerkelijke of potentiële cyberbeveiligingsprofessionals binnen en tussen de lidstaten op doeltreffende wijze aan te werven, in overeenstemming met de doelstellingen van de mededeling over de vaardigheidsunie. Om een consistente uitvoering in alle lidstaten te waarborgen, moeten Europese individuele attesteringen van cyberbeveiligingsvaardigheden zijn gebaseerd op een gemeenschappelijke interpretatie, op het niveau van de Unie, van de vaardigheden die nodig zijn om die doelstellingen te verwezenlijken, en moeten zij worden verstrekt door aanbieders die op basis van een gemeenschappelijke reeks criteria door Enisa zijn gemachtigd. Deze aanpak moet in overeenstemming zijn met en bijdragen tot de doelstellingen van het toekomstige initiatief voor de overdraagbaarheid van vaardigheden.

(47)De ontwikkeling van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden moet erop gericht zijn de acties van de lidstaten aan te vullen door overheidsinstanties en economische actoren de mogelijkheid te bieden gebruik te maken van een Europees attesteringsmechanisme, in overeenstemming met de ondersteunende bevoegdheid van de Unie op het gebied van onderwijs en beroepsopleiding, zoals bedoeld in artikel 6, punt e), en artikel 165, lid 1, en artikel 166, lid 1, VWEU. De regelingen kunnen, samen met de werkzaamheden van de academie voor cyberbeveiligingsvaardigheden, ook de basis vormen voor de hogeronderwijsprogramma’s, zoals sectorale Europese diploma’s, en voor de ontwikkeling van microcredentials. Daarom mogen de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden niet tot doel hebben de wet- en regelgeving in de lidstaten te harmoniseren, maar moeten zij worden beschouwd als een faciliterende factor en een kans die de lidstaten en economische actoren mogelijk willen benutten en bevorderen.

(48)Enisa moet ervoor zorgen dat regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden dicht bij de behoeften van de markt blijven en voortbouwen op de ervaring van zowel publieke als particuliere aanbieders van individuele certificeringen, waaronder lidstaten, instellingen voor hoger onderwijs, instellingen voor beroepsonderwijs en -opleiding en bedrijven. Enisa moet de Commissie raadplegen over de prioritering van de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden en daarbij naar behoren rekening houden met de uitvoering van het beleid en de behoeften van de markt.

(49)Om de afstemming tussen het ECSF en de regelingen te waarborgen, moet de herziening van een ECSF-rolprofiel automatisch aanleiding geven tot een evaluatie van de geschiktheid van de bijbehorende regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden, die kan leiden tot de herziening ervan.

(50)Rekening houdend met de diversiteit van de rolprofielen op het gebied van cyberbeveiliging en de bijbehorende taken, vaardigheden en kennis, moeten de beoordeling van personen en beoordelingsmethoden mogelijk worden aangepast in elke regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden. Elke regeling moet ervoor zorgen dat de beoordeling van de vereiste vaardigheden van een persoon wat betreft leerresultaten, met inbegrip van, in voorkomend geval, de evaluatie van het bekwaamheidsniveau, systematisch wordt getoetst aan de hand van een ECSF-rolprofiel of een subset daarvan. Beoordelingsmethoden kunnen elementen omvatten zoals het testen van theoretische kennis, een praktijkexamen, essentiële voorwaarden en collegiale toetsing. Er moet terdege rekening worden gehouden met de ervaring van individuele personen.

(51)Om te zorgen voor een consistente uitvoering van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden, met name met betrekking tot de beoordeling van personen, moet Enisa voorzien in verplichte opleiding voor het personeel dat verantwoordelijk is voor de beoordeling van personen. Dergelijk personeel moet ervaring hebben op het gebied van cyberbeveiliging, die kan worden aangetoond door te beschikken over een Europese individuele attestering van cyberbeveiligingsvaardigheden voor het rolprofiel waarvoor zij de beoordeling uitvoeren en op een bekwaamheidsniveau dat ten minste gelijkwaardig is aan dat van de personen die zij beoordelen.

(52)De rol van de gemachtigde aanbieders van attesteringen bestaat erin de kennis en competenties van een persoon te bevestigen om een van de ECSF-rollen te kunnen vervullen en de werkgevers in de hele Unie zekerheid te bieden. Aangezien ook werkgevers die kritieke infrastructuur van de Unie exploiteren, zouden kijken naar de waarborging van de kwaliteit van de vaardigheden en competenties van personen die een Europese individuele attestering van cyberbeveiligingsvaardigheden verwerven, moeten de gemachtigde aanbieders van attesteringen van het niveau van de vaardigheden en competenties betrouwbaar zijn vanuit het oogpunt van cyberbeveiliging en mogen zij niet worden blootgesteld aan ongepaste beïnvloeding door een derde land die aanleiding kan geven tot bezorgdheid over cyberbeveiliging. Daarom mogen in een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging gevestigde entiteiten die overeenkomstig deze verordening zijn aangewezen of onder zeggenschap staan van dat derde land, van een in dat derde land gevestigde entiteit of van een onderdaan van dat derde land (leveranciers met een hoog risico) overeenkomstig deze verordening, niet in aanmerking komen om gemachtigde aanbieders van Europese individuele attesteringen van cyberbeveiligingsvaardigheden te worden overeenkomstig titel II, afdeling 4.

(53) Om ervoor te zorgen dat personen die houder zijn van een Europese individuele attestering van cyberbeveiligingsvaardigheden deze gemakkelijk kunnen gebruiken en delen, en dat een dergelijke attestering in alle lidstaten kan worden gebruikt, moeten gemachtigde aanbieders van attesteringen ervoor zorgen dat elektronische attesteringen van de Europese individuele attesteringen van cyberbeveiligingsvaardigheden op verzoek van de persoon worden afgegeven aan de bij Verordening (EU) nr. 910/2014 ingestelde Europese portemonnee voor digitale identiteit. Gemachtigde aanbieders van attesteringen moeten worden beschouwd als verleners van vertrouwensdiensten en onderworpen zijn aan de toezicht- en aansprakelijkheidsregelingen van Verordening (EU) nr. 910/2014. De overeenkomstig Uitvoeringsverordening (EU) 2025/1569 van de Commissie 52 gebruikte regeling voor de attestering van attributen moet worden geregistreerd in de catalogus van regelingen voor de attestering van attributen waarin die uitvoeringsverordening voorziet.

(54)Om bij te dragen tot de ontwikkeling van de arbeidskrachten op het gebied van cyberbeveiliging en de overdraagbaarheid van vaardigheden in de hele Unie, moet Enisa de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden en de lijst van gemachtigde aanbieders van attesteringen via een speciale website ter beschikking stellen van het publiek.

(55)Bij het beheer en de werking van Enisa moet rekening worden gehouden met de beginselen van de gemeenschappelijke aanpak inzake de gedecentraliseerde agentschappen, die op 19 juli 2012 door het Europees Parlement, de Raad en de Commissie is aangenomen 53 . Ook de aanbevelingen in de gemeenschappelijke aanpak moeten, waar passend, in de werkprogramma’s, evaluaties, verslaglegging en administratieve werkwijzen van Enisa tot uiting komen.

(56)Om de raad van bestuur in staat te stellen zijn taken op doeltreffende wijze uit te voeren, met name bij het sturen van de algemene richting van de activiteiten van Enisa en het vaststellen van zijn strategische prioriteiten, is het van essentieel belang dat de raad van bestuur bestaat uit vertegenwoordigers op hoog niveau van de lidstaten en de Commissie. Daartoe moet elke lidstaat het hoofd van een overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen nationale bevoegde autoriteit van die lidstaat die verantwoordelijk is voor cyberbeveiliging, benoemen als lid van de raad van bestuur.

(57)Om ervoor te zorgen dat plaatsvervangers in de raad van bestuur hun taken naar behoren kunnen vervullen, moeten de lidstaten plaatsvervangers met de nodige professionele expertise en ervaring benoemen. Met betrekking tot plaatsvervangers moeten de Commissie en de lidstaten streven naar een evenwichtige vertegenwoordiging van mannen en vrouwen in de raad van bestuur en moeten zij hun verloop beperken om de continuïteit van de werkzaamheden van de raad van bestuur te waarborgen.

(58)Om Enisa in staat te stellen zijn opdracht op doeltreffende wijze te vervullen, moet de raad van bestuur, die bestaat uit vertegenwoordigers van de lidstaten en van de Commissie, de algemene richting van de activiteiten van Enisa bepalen, met inbegrip van zijn strategische prioriteiten, en ervoor zorgen dat het zijn taken overeenkomstig deze verordening uitvoert. De raad van bestuur moet de nodige bevoegdheden krijgen om de uitvoering van de begroting vast te stellen en te controleren, passende financiële regels vast te stellen, transparante werkprocedures voor de besluitvorming door Enisa vast te stellen, het enkelvoudig programmeringsdocument van Enisa vast te stellen, zijn eigen reglement van orde vast te stellen, de uitvoerend directeur te benoemen, te beslissen over de verlenging en beëindiging van de ambtstermijn van de uitvoerend directeur, en te beslissen of er een functie van plaatsvervangend uitvoerend directeur moet worden gecreëerd en, indien een dergelijke functie wordt gecreëerd, over zijn of haar benoeming en de verlenging en beëindiging van zijn of haar ambtstermijn. Elke persoon die binnen Enisa een uitvoerende functie uitoefent, moet daarom door de raad van bestuur worden benoemd. De raad van bestuur moet ook verantwoordelijk zijn voor het benoemen of ontslaan van leden van de kamer van beroep, alsook voor het vaststellen van regels om belangenconflicten in dit verband te voorkomen of te beheren.

(59)Om ervoor te helpen zorgen dat Enisa zijn strategische prioriteiten vaststelt en deze actueel houdt, moet de raad van bestuur ten minste één vergadering per jaar houden die gewijd is aan de strategische prioriteiten van Enisa. Om ervoor te zorgen dat de vergaderingen van de raad van bestuur doeltreffend en goed met informatie onderbouwd zijn, kan de raad van bestuur op zijn vergaderingen eenieder uitnodigen wiens mening relevant en van belang kan zijn voor de besproken onderwerpen, om inzichten, expertise of advies te verstrekken. Een dergelijke persoon zou een ad-hocwaarnemer zonder stemrecht zijn.

(60)De raad van bestuur moet besluiten bij absolute meerderheid van zijn stemgerechtigde leden nemen, tenzij in deze verordening anders is bepaald. Gezien het belang van aangelegenheden op het gebied van de begroting en de personele middelen, met name aangelegenheden met betrekking tot de jaarlijkse begroting, het jaarlijkse activiteitenverslag, de fraudebestrijdingsstrategie, de uitvoeringsbepalingen ter uitvoering van het Statuut, de benoeming van de uitvoerend directeur, de plaatsvervangend uitvoerend directeur en de rekenplichtige, de follow-up van de bevindingen van het Europees Bureau voor fraudebestrijding (OLAF) en het Europees Openbaar Ministerie (EOM), en de vaststelling van de financiële regels van Enisa, mag de raad van bestuur dergelijke besluiten alleen vaststellen indien de vertegenwoordiger van de Commissie een positieve stem uitbrengt. Voor het nemen van een besluit over de vaststelling van een definitief enkelvoudig programmeringsdocument na het advies van de Commissie in aanmerking te hebben genomen, mag een positieve stem van de vertegenwoordiger van de Commissie alleen vereist zijn voor de elementen van het besluit die geen verband houden met het jaarlijkse en meerjarige werkprogramma van Enisa.

(61)Het dagelijks bestuur moet bijdragen tot het doeltreffend functioneren van de raad van bestuur. In het kader van de voorbereidende werkzaamheden met betrekking tot besluiten van de raad van bestuur, moet het dagelijks bestuur relevante informatie nauwkeurig onderzoeken, de beschikbare opties verkennen alsmede advies en oplossingen bieden ter voorbereiding van de besluiten van de raad van bestuur. Het moet de uitvoerend directeur ook bijstaan en adviseren bij de uitvoering van de besluiten van de raad van bestuur.

(62)Voor het goed functioneren van Enisa is het noodzakelijk dat de uitvoerend directeur wordt benoemd op grond van zowel verdiensten en aantoonbare administratieve en leidinggevende vaardigheden, als bekwaamheid en ervaring die relevant is voor cyberbeveiliging. De uitvoerend directeur moet zijn taken op volledig onafhankelijke wijze uitvoeren. De raad van bestuur moet de uitvoerend directeur benoemen uit de door de Commissie opgestelde kandidatenlijst, na een open en transparante procedure waarbij het beginsel van genderevenwicht in acht wordt genomen.

(63) De uitvoerend directeur moet een voorstel voor het enkelvoudig programmeringsdocument van Enisa voorbereiden, na voorafgaand overleg met de Commissie, en alle nodige stappen ondernemen om te zorgen voor de goede uitvoering van dat enkelvoudig programmeringsdocument. Hij moet een jaarverslag opstellen over onder andere de uitvoering van het jaarlijkse werkprogramma van Enisa, dat moet worden voorgelegd aan de raad van bestuur, een ontwerpverklaring van de geraamde inkomsten en uitgaven van Enisa opstellen en de begroting uitvoeren. De uitvoerend directeur moet voorts over de mogelijkheid beschikken om ad-hocwerkgroepen op te richten voor specifieke aangelegenheden, met name van wetenschappelijke, technische, juridische of sociaaleconomische aard. Met name voor het opstellen van een specifieke potentiële Europese cyberbeveiligingscertificeringsregeling (potentiële regeling) wordt het nodig geacht een ad-hocwerkgroep in te stellen. Het kan ook nodig zijn een ad-hocwerkgroep op te richten voor instandhoudingsactiviteiten in verband met specifieke vastgestelde Europese cyberbeveiligingscertificeringsregelingen. Er moeten ook ad-hocwerkgroepen worden opgericht om regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden te ontwikkelen en in stand te houden en het Agentschap bij te staan bij het beheer, de uitvoering en de ontwikkeling van het ECSF. De uitvoerend directeur moet erop toezien dat de leden van de ad-hocwerkgroepen overeenkomstig de hoogste normen inzake expertise worden geselecteerd, waarbij gestreefd wordt naar een evenwicht tussen mannen en vrouwen en, afhankelijk van de specifieke aangelegenheid, een passend evenwicht tussen de overheidsinstanties van de lidstaten, de entiteiten van de Unie en de particuliere sector, waaronder het bedrijfsleven, de gebruikers en wetenschappelijke deskundigen op het gebied van netwerk- en informatiebeveiliging, alsook wetenschappelijke deskundigen op het gebied van producten met digitale elementen.

(64)De raad van bestuur kan besluiten een functie van plaatsvervangend uitvoerend directeur in het leven te roepen om de uitvoerend directeur bij te staan, indien de raad van bestuur van oordeel is dat een dergelijke functie noodzakelijk is om de soepele werking van Enisa te waarborgen of te handhaven. Bij het nemen van een besluit over het al dan niet creëren van die functie kan de raad van bestuur rekening houden met het advies van de uitvoerend directeur.

(65)Enisa moet een adviesgroep hebben om te zorgen voor een regelmatige dialoog met de particuliere sector, consumentenorganisaties en andere belanghebbenden. De op voorstel van de uitvoerend directeur door de raad van bestuur opgerichte Enisa-adviesgroep moet zich richten op voor de belanghebbenden relevante vraagstukken en deze onder de aandacht van Enisa brengen. De Enisa-adviesgroep wordt in het bijzonder geraadpleegd met betrekking tot het ontwerp van het jaarlijks werkprogramma van Enisa. De samenstelling van de Enisa-adviesgroep en de aan deze groep toegewezen taken, moeten waarborgen dat de belanghebbenden voldoende worden vertegenwoordigd in de werkzaamheden van Enisa. De vertegenwoordigers van de rechtshandhavings-, gegevensbeschermings- en markttoezichtautoriteiten van de lidstaten en de Unie moeten recht hebben op vertegenwoordiging in de Enisa-adviesgroep.

(66)Aanvragers die een gemachtigde aanbieder van attesteringen willen worden of die hun machtiging willen verlengen, moeten toegang tot de nodige rechtsmiddelen hebben wanneer zij worden beïnvloed door besluiten van Enisa. Daartoe moet een passend beroepsmechanisme worden opgezet, zodat tegen de desbetreffende besluiten van Enisa bezwaar kan worden ingesteld bij een kamer van beroep; de beslissingen van deze kamer kunnen vervolgens overeenkomstig de Verdragen worden getoetst door het Hof van Justitie van de Europese Unie. Het vereiste om de beroepsprocedure binnen Enisa uit te putten alvorens beroep in te stellen bij het Hof van Justitie van de Europese Unie is alleen van toepassing op de personen die de kamer van beroep kunnen aanzoeken.

(67)Om de volledige autonomie en onafhankelijkheid van Enisa te waarborgen en Enisa in staat te stellen zijn taken uit te voeren, moet Enisa een toereikende en autonome begroting krijgen die in de eerste plaats wordt gefinancierd uit een bijdrage van de Unie, maar ook uit bijdragen van derde landen die deelnemen aan de werkzaamheden van Enisa, en uit vergoedingen die worden betaald door gemachtigde aanbieders van attesteringen en door conformiteitsbeoordelingsinstanties die deelnemen aan regelingen en Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen afgeven. De lidstaat van vestiging of enige andere lidstaat mag een vrijwillige bijdrage leveren aan de inkomsten van Enisa. De onafhankelijkheid en onpartijdigheid van Enisa mag niet worden aangetast door financiële bijdragen of bijdragen in natura die het van lidstaten, derde landen of andere entiteiten of personen ontvangt. De begrotingsprocedure van de Unie moet van toepassing zijn op de bijdrage van de Unie en andere subsidies die ten laste komen van de algemene begroting van de Unie. De Rekenkamer controleert de rekeningen van Enisa teneinde transparantie en verantwoording zeker te stellen. Om het Agentschap in staat te stellen deel te nemen aan alle relevante toekomstige projecten, moet het de mogelijkheid krijgen subsidies te ontvangen.

(68)Om ervoor te zorgen dat Enisa kan inspelen op de vraag naar de activiteiten die het uitvoert, met name wat betreft besluiten om aanbieders toe te staan Europese individuele attesteringen van cyberbeveiligingsvaardigheden af te geven, en wat betreft de instandhouding van de Europese cyberbeveiligingscertificeringsregelingen en van testinstrumenten, moet Enisa de bevoegdheid krijgen om vergoedingen in rekening te brengen. Vergoedingen in verband met de verwerking van aanvragen om een gemachtigde aanbieder van attesteringen te worden, moeten op passende wijze worden vastgesteld om voldoende bij te dragen aan het dekken van de geraamde kosten voor het ontwikkelen en in stand houden van de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden en om te evalueren of aan de vereisten en verplichtingen om een gemachtigde aanbieder van attesteringen te worden en te blijven, is voldaan en nog steeds wordt voldaan. Vergoedingen in verband met de kosten van het afgeven en verlengen van machtigingen aan gemachtigde aanbieders van attesteringen moeten de kosten omvatten die verband houden met evaluaties die door of onder toezicht van Enisa worden uitgevoerd. Vergoedingen in verband met de deelname aan Europese cyberbeveiligingscertificeringsregelingen en voor het afgeven van certificaten in het kader van dergelijke regelingen moeten op passende wijze worden vastgesteld om voldoende bij te dragen tot het dekken van de geraamde kosten van de instandhouding van dergelijke regelingen. De betaling van dergelijke vergoedingen moet aangemelde conformiteitsbeoordelingsinstanties en, in voorkomend geval, certificaathouders in het kader van een regeling in staat stellen deel te nemen aan dergelijke activiteiten en aan relevante activiteiten op het gebied van capaciteitsopbouw en promotie om de uitwisseling van beste praktijken te bevorderen en het gebruik van regelingen en gecertificeerde oplossingen te stimuleren.

(69)Om de evenredigheid, transparantie en rechtszekerheid te waarborgen, moeten vergoedingen op transparante en eerlijke wijze worden vastgesteld. Die kosten moeten een afspiegeling zijn van alle uitgaven van Enisa die worden toegerekend aan personeel dat is betrokken bij activiteiten waarvoor vergoedingen moeten worden betaald, met name de pro-rata-bijdrage van de werkgever aan de pensioenregeling, en de kosten in verband met de kamer van beroep. Vergoedingen mogen niet leiden tot onnodige financiële of administratieve lasten voor aanvragers. Er moeten redelijke termijnen worden vastgesteld voor de betaling van vergoedingen.

(70)Er moet een reeks indicatoren worden vastgesteld om de werklast, doeltreffendheid en efficiëntie van het Agentschap te meten met betrekking tot activiteiten die met vergoedingen worden gefinancierd. Rekening houdend met deze indicatoren moet het Agentschap zijn personeelsplanning en beheer van middelen in verband met vergoedingen aanpassen om adequaat te kunnen inspelen op die vraag en op eventuele schommelingen in de inkomsten uit vergoedingen.

(71)Om het risico van effectieve of als zodanig beschouwde belangenconflicten te herkennen en er goed mee om te gaan, moet Enisa beschikken over regels inzake het voorkomen en beheren van belangenconflicten. Enisa moet ook de regels inzake toegang tot documenten van Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad 54 toepassen. Persoonsgegevens moeten door Enisa worden verwerkt overeenkomstig Verordening (EU) 2018/1725 van het Europees Parlement en de Raad 55 . Enisa moet de bepalingen naleven die van toepassing zijn op de entiteiten van de Unie alsmede de nationale wetgeving inzake de behandeling van informatie, in het bijzonder gevoelige niet-gerubriceerde informatie en gerubriceerde informatie van de Europese Unie (EUCI).

(72)Enisa kan bij de uitvoering van zijn taken toegang hebben tot gevoelige informatie, zoals informatie over cyberdreigingen en -incidenten. Daarom is het van essentieel belang dat Enisa de vertrouwelijkheid van de informatie die het behandelt, eerbiedigt. In het bijzonder mogen ambtenaren en andere personeelsleden van Enisa, overeenkomstig artikel 339 van het Verdrag betreffende de werking van de Europese Unie (VWEU), zelfs na afloop van hun functie, geen informatie openbaar maken die naar haar aard valt onder de geheimhoudingsplicht, met name informatie over ondernemingen, hun zakelijke betrekkingen of hun kostencomponenten.

(73)Teneinde te waarborgen dat Enisa zijn doelstellingen volledig verwezenlijkt, moet het overleggen met de betrokken toezichthoudende autoriteiten van de Unie en met andere bevoegde autoriteiten in de Unie, de relevante entiteiten van de Unie, met inbegrip van CERT-EU, EC3 bij Europol, het ECCC, het Europees Defensieagentschap (EDA), het Agentschap van de Europese Unie voor het ruimtevaartprogramma (Euspa), het Orgaan van Europese regelgevende instanties voor elektronische communicatie (Berec), het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (eu-LISA), de Europese Centrale Bank (ECB), de Europese Bankautoriteit (EBA), het Europees Comité voor gegevensbescherming, het Agentschap voor de samenwerking tussen energieregulators (ACER), het Agentschap van de Europese Unie voor de veiligheid van de luchtvaart (EASA) en alle andere entiteiten van de Unie die bij cyberbeveiliging betrokken zijn. Enisa moet ook contact onderhouden met de bevoegde autoriteiten uit hoofde van Richtlijn (EU) 2022/2555, markttoezichtautoriteiten en autoriteiten die zich bezighouden met gegevensbescherming om knowhow en beste praktijken uit te wisselen, en moet advies verstrekken over cyberbeveiligingsvraagstukken die van invloed kunnen zijn op hun werkzaamheden.

(74)Europol speelt een belangrijke rol bij het voorkomen en bestrijden van cybercriminaliteit, met inbegrip van cybercriminaliteit in verband met incidenten op het gebied van netwerk- en informatiebeveiliging. Om synergieën tot stand te brengen tussen de respectieve taken van elk agentschap, moet Enisa samenwerken met Europol, met name door informatie uit te wisselen over trends in technieken, vereisten en gevolgen van ransomware-aanvallen. Een dergelijke samenwerking kan ook bestaan in het identificeren van de meest voorkomende ransomware-stammen die zijn gericht op de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde entiteiten om essentiële en belangrijke entiteiten te ondersteunen bij de respons op en het herstel van incidenten.

(75)Om operationele samenwerking en gedeeld situationeel bewustzijn van cyberdreigingen en -incidenten te ondersteunen, is het van essentieel belang dat Enisa samenwerkt met belanghebbenden en met name bedrijven en organisaties uit de particuliere sector, waarmee Enisa publiek-private partnerschappen kan opzetten.

(76)Om de in deze verordening uiteengezette doelstellingen op doeltreffende wijze te verwezenlijken, kan Enisa met name samenwerken met wetenschappelijke instellingen die onderzoek verrichten op de betreffende gebieden, en geëigende kanalen ontwikkelen voor de input van consumentenorganisaties en andere organisaties.

(77)Gezien het niet-grensgebonden karakter van cyberdreigingen en -incidenten kunnen de mate van cyberbeveiliging en de paraatheid van derde landen gevolgen hebben voor entiteiten in de Unie. Enisa moet daarom activiteiten voor capaciteitsopbouw kunnen aanbieden, met inbegrip van opleiding, capaciteitsopbouw en twinningactiviteiten in derde landen, en met name op maat gesneden activiteiten voor capaciteitsopbouw voor landen die kandidaat zijn om tot de Unie toe te treden of andere partnerlanden, in overeenstemming met de prioriteiten van de Unie. Dergelijke activiteiten moeten worden uitgevoerd naar aanleiding van een specifiek verzoek om passende steun te verlenen, rekening houdend met de prioriteiten van de Unie, en worden uitgevoerd door middel van speciale regelingen, onder meer via bijdrageovereenkomsten als bedoeld in Verordening (EU, Euratom) 2024/2509. Het Europees kader voor cyberbeveiligingscertificering heeft tot doel bescherming te bieden tegen cyberdreigingen zoals kwaadwillig uitgebuite kwetsbaarheden op het gebied van cyberbeveiliging of cyberbeveiligingsincidenten die van invloed zijn op de functionaliteit (ontwerp en werking) van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten. Door zich te richten op technische risico’s in verband met ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten, moet het ECCF een aanvulling vormen op het kader voor de beveiliging van ICT-toeleveringsketens, dat tot doel heeft een geharmoniseerde aanpak op het niveau van de Unie te waarborgen om niet-technische risico’s in zeer kritieke sectoren en andere kritieke sectoren aan te pakken.

(78)De lidstaten moeten een beroep kunnen doen op Europese cyberbeveiligingscertificering in het kader van overheidsopdrachten overeenkomstig Richtlijn 2014/24/EU van het Europees Parlement en de Raad 56 .

(79)Om de naleving voor entiteiten te vereenvoudigen, moet het ECCF voorzien in de mogelijkheid om hun cyberbeveiligingspositie te certificeren. Entiteiten, met name die welke meerdere soorten diensten in verschillende lidstaten aanbieden, kunnen worden geconfronteerd met verschillende verplichtingen op het gebied van cyberbeveiliging en gegevensbeveiliging in het kader van horizontale instrumenten, zoals Verordening (EU) 2016/679 van het Europees Parlement en de Raad 57 en Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad 58 , alsook sectorspecifieke instrumenten. Om de uitvoering van het algemene regelgevingskader voor cyberbeveiliging te stroomlijnen en de naleving ervan te vergemakkelijken, moet de wetgeving van de Unie entiteiten de mogelijkheid bieden om door middel van een Europees cyberbeveiligingscertificaat aan te tonen dat zij voldoen aan de voorschriften voor het beheer van cyberbeveiligingsrisico’s. Een relevante regeling kan bijdragen tot het stroomlijnen van de nalevingsvereisten die voortvloeien uit verschillende regelgevingsinstrumenten, zonder afbreuk te doen aan de specifieke certificeringsvereisten ervan. Dergelijke vereenvoudigingsmaatregelen kunnen de administratieve lasten verminderen en middelen vrijmaken om de operationele paraatheid van entiteiten op het gebied van cyberbeveiliging in kritieke sectoren van de Unie te versterken.

(80)De Europese certificering van binnen het ECCF ontwikkelde voorschriften voor het beheer van cyberbeveiligingsrisico’s moet entiteiten in staat stellen de naleving van de relevante Uniewetgeving aan te tonen indien een regeling betrekking heeft op de respectieve wettelijke vereisten van een dergelijke handeling en indien daarin is voorzien. Op basis daarvan kan een rechtshandeling van de Unie ook voorzien in een vermoeden van conformiteit met die vereisten. Dergelijke regelingen kunnen bijdragen tot een betere coherente uitvoering van de cyberbeveiligingsvoorschriften van de Uniewetgeving om een gelijk speelveld in alle lidstaten te creëren en de nalevingslasten te verlichten.

(81)Het Europees kader voor cyberbeveiligingscertificering moet voorzien in de mogelijkheid om ICT-processen te certificeren, die worden gedefinieerd als een reeks activiteiten die worden uitgevoerd om een ICT-product of ICT-dienst te ontwerpen, te ontwikkelen, te leveren of te onderhouden. Een beveiligingsprofiel is een voorbeeld van een ICT-proces, zoals gespecificeerd in Uitvoeringsverordening (EU) 2024/482 van de Commissie 59 . Een ander voorbeeld van een ICT-proces is de reeks activiteiten die een fabrikant onderneemt om een ICT-product veilig te ontwerpen en te ontwikkelen, met inbegrip van de fysieke, logische, procedurele, personeels- en andere beveiligingsmaatregelen die nodig zijn om de vertrouwelijkheid en integriteit van het ontwerp en de uitvoering van een ICT-product in zijn ontwikkelingsomgeving te beschermen. De certificering van dergelijke activiteiten wordt vaak “locatiecertificering” genoemd in het kader van een certificeringsproces uit hoofde van Uitvoeringsverordening (EU) 2024/482 van de Commissie.

(82)De definitie van beheerde beveiligingsdiensten in deze verordening moet stroken met die van aanbieders van beheerde beveiligingsdiensten in Richtlijn (EU) 2022/2555. Die diensten bestaan uit het uitvoeren van of het verlenen van bijstand voor activiteiten die verband houden met de beheersing van het cyberbeveiligingsrisico van hun klanten en zijn steeds belangrijker geworden bij de preventie en beperking van incidenten. De aanbieders van die diensten worden dan ook beschouwd als essentiële of belangrijke entiteiten die behoren tot een zeer kritieke sector overeenkomstig Richtlijn (EU) 2022/2555. Aanbieders van beheerde beveiligingsdiensten spelen op het gebied van bijvoorbeeld incidentrespons, penetratietesten, beveiligingsaudits en consultancy een bijzonder belangrijke rol in het bijstaan van entiteiten bij hun inspanningen om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen. Aanbieders van beheerde beveiligingsdiensten zijn zelf echter ook het doelwit van cyberaanvallen geweest en vormen een bijzonder risico vanwege hun nauwe integratie in de activiteiten van hun klanten. Het is daarom noodzakelijk dat essentiële en belangrijke entiteiten in de zin van Richtlijn (EU) 2022/2555 nog meer zorgvuldigheid betrachten bij de selectie van aanbieders van beheerde beveiligingsdiensten.

(83)Europese cyberbeveiligingscertificeringsregelingen zijn relevant voor een brede gemeenschap van belanghebbenden, zoals aanbieders van ICT-oplossingen, conformiteitsbeoordelingsinstanties en gebruikers. Om een brede betrokkenheid van belanghebbenden te bevorderen, moet de Europese Vergadering voor cyberbeveiligingscertificering (“de Vergadering”) ten minste eenmaal per jaar worden georganiseerd om de samenwerking tussen de Commissie, Enisa, de lidstaten en belanghebbenden te bevorderen. Zij zal een centrale rol spelen bij het in kaart brengen en aanpakken van nieuwe uitdagingen op het gebied van cyberbeveiliging en strategische prioriteiten voor certificering, en ervoor zorgen dat certificeringsregelingen de veilige integratie van digitale technologieën vergemakkelijken en geschikt zijn voor de behoeften van gebruikers. De Vergadering moet het leiderschap van de Unie op het gebied van certificeringsactiviteiten bevorderen en ervoor zorgen dat het certificeringskader vertrouwen kan blijven wekken bij bedrijven, overheidsinstanties en het publiek.

(84)De Commissie moet een speciale website onderhouden om transparantie te waarborgen door actuele informatie over de voortgang van de uitvoering van het ECCF te publiceren. De website moet informatie bevatten over certificeringsregelingen waaraan wordt gewerkt, strategische prioriteiten voor toekomstige certificeringsregelingen, verzoeken aan Enisa om potentiële certificeringsregelingen op te zetten en informatie over de vaststelling van certificeringsregelingen. De website van de Commissie zal een aanvulling vormen op de website van Enisa over Europese cyberbeveiligingscertificeringsregelingen, die uitgebreide informatie moet bevatten over de technische opstelling van potentiële regelingen en over de instandhouding van regelingen, met bijzondere aandacht voor afgegeven Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen.

(85)Om de dialoog tussen de instellingen van de Unie te versterken en bij te dragen tot een formeel, open, transparant en inclusief raadplegingsproces, moet de Commissie bij de evaluatie van deze verordening rekening houden met elementen die voortvloeien uit de standpunten van het Europees Parlement, de Raad en de Europese Vergadering voor cyberbeveiligingscertificering.

(86)Haalbaarheidsstudies die door Enisa worden uitgevoerd, moeten helpen bij de voorbereiding van de planning en ontwikkeling van cyberbeveiligingscertificeringsregelingen. Bij de studies moeten de standpunten van belanghebbenden in aanmerking worden gehouden en moeten de toekomstige certificeringsregelingen worden afgestemd op lopende activiteiten op het gebied van onderzoek, ontwikkeling en technologische beoordeling, waarbij met name de bijdragen van onderzoeksinitiatieven van de Unie en de lidstaten worden erkend. Dergelijke studies kunnen helpen om de beschikbare normen en technische specificaties in kaart te brengen. Zij moeten worden uitgevoerd op verzoek van de Commissie of in overeenstemming met de strategische prioriteiten van de Unie om ervoor te zorgen dat bij het aanvragen en ontwikkelen van regelingen op passende wijze rekening wordt gehouden met het veranderende technologische landschap en de veranderende behoeften op het gebied van cyberbeveiliging.

(87)Het ontwerp van de potentiële regeling en de dekking door deze regeling van beveiligingsdoelstellingen en -elementen moeten in verhouding staan tot het onderwerp en het toepassingsgebied van het voorwerp van de certificering. Zo kunnen met een certificeringsregeling voor clouddiensten daarom bijvoorbeeld beveiligingsdoelstellingen worden aangepakt die relevant zijn voor ICT-diensten en organisatorische beveiliging. Een ander voorbeeld is dat een beveiligingsdoelstelling die verband houdt met het niet opnemen van bekende kwetsbaarheden die kunnen worden uitgebuit, waarschijnlijk niet relevant zal zijn voor de certificering van ICT-processen.

(88)Om ervoor te zorgen dat Europese cyberbeveiligingscertificeringsregelingen in alle lidstaten op geharmoniseerde wijze worden uitgevoerd, moeten regels voor de handhaving van de regelingen worden vastgesteld. Er zijn ook instandhoudingsactiviteiten nodig om ervoor te zorgen dat de regelingen en de bijbehorende ondersteunende documentatie actueel blijven, met name op het gebied van cyberbeveiliging, waar het dreigingslandschap en de technologieën voortdurend evolueren. Certificeringsregelingen moeten daarom zodanig worden ontworpen en gehandhaafd dat het risico dat zij snel verouderd raken, wordt vermeden. Instandhoudingsactiviteiten moeten doorgaans betrekking hebben op het opstellen en actualiseren van ondersteunende documentatie, waaronder technische specificaties en richtsnoeren, en het vaststellen van normen of technische specificaties die relevant zijn voor de regeling. De analyse van de werking van de regeling, de mogelijke tekortkomingen ervan en de noodzakelijke verbeteringen moeten ook deel uitmaken van de instandhoudingsactiviteiten. Daarnaast moeten instandhoudingsactiviteiten de informatie-uitwisseling tussen de lidstaten omvatten met betrekking tot de uitvoering van de regelingen en bijdragen aan mechanismen voor collegiale toetsing.

(89)Gezien de technische aard van de instandhoudingsactiviteiten moet Enisa dergelijke activiteiten beheren, in samenwerking met de Commissie en met de steun van de Europese Groep voor cyberbeveiligingscertificering (EGC) en haar relevante subgroep voor instandhouding. Dankzij de oprichting van de EGC-subgroep voor instandhouding kunnen technische bijdragen en inzichten van de lidstaten worden verzameld met het oog op de harmonisatie van de benaderingen.

(90)Instandhoudingsactiviteiten moeten interacties met relevante groepen belanghebbenden omvatten om ervoor te zorgen dat regelingen relevant voor de markt en actueel blijven, onder meer door technische bijdragen te delen en te ontvangen. Dergelijke groepen belanghebbenden kunnen normalisatieorganisaties, conformiteitsbeoordelingsinstanties, verkopers, gebruikers, overheidsinstanties of bedrijfsverenigingen zijn. De specifieke kenmerken van elke regeling, met inbegrip van de bijbehorende technische fora en bedrijfstakken, houden in dat het mogelijk moet zijn om technische bijdragen op verschillende manieren van de ene regeling tot de andere te verzamelen. Voor sommige regelingen moet Enisa een beroep kunnen doen op een ad-hocwerkgroep waarin deskundigen van de overheidsdiensten van de lidstaten, entiteiten van de Unie en de particuliere sector bijeenkomen. Technische bijdragen kunnen ook afkomstig zijn van ISAC’s of normalisatie-instellingen. Enisa moet analyseren welk formaat het meest geschikt is voor elke regeling en in elke potentiële regeling een instandhoudingsstrategie opnemen.

(91)Europese cyberbeveiligingscertificeringsregelingen moeten zijn gebaseerd op normen of technische specificaties, met name voor de vaststelling van beveiligingsvereisten en evaluatiemethoden. Enisa moet de mogelijkheid krijgen om technische specificaties op te stellen ter ondersteuning van de opstelling en de instandhouding van regelingen, met name wanneer de resultaten van de werkzaamheden van normalisatieorganisaties ontbreken of niet geschikt zijn om de doelstellingen van de regeling te verwezenlijken. In het kader van het ontwerpproces moet Enisa worden ondersteund door de EGC en, in voorkomend geval, de ad-hocwerkgroep die voor de desbetreffende regeling is opgericht. Enisa moet ook bijdragen van groepen belanghebbenden proberen te verkrijgen. Daarnaast moet Enisa rekening houden met marktacceptatie en met Europese en internationale normen. Rekening houdend met de kwaliteit van de technische specificaties en de doelstellingen van de regeling, moet de Commissie kunnen verwijzen naar technische specificaties die door Enisa zijn opgesteld in het kader van een Europese cyberbeveiligingscertificeringsregeling.

(92)Technische specificaties die door Enisa zijn ontwikkeld en waarnaar in een regeling wordt verwezen, moeten beschikbaar worden gesteld op de website van Enisa over Europese cyberbeveiligingscertificeringsregelingen, zodat alle belanghebbende partijen er toegang toe hebben. In sommige specifieke gevallen kan publicatie op de website echter een risico inhouden voor de cyberbeveiliging van gecertificeerde ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten en, in het verlengde daarvan, voor de openbare veiligheid. Technische specificaties kunnen bijvoorbeeld nauwkeurige informatie bevatten over nieuwe aanvalspaden waarvan de openbare beschikbaarheid het voor kwaadwillige actoren mogelijk zou maken om er gebruik van te maken. Dit soort informatie moet in beperkte mate op een “need-to-know”-basis worden verspreid onder belanghebbenden, zoals nationale cyberbeveiligingscertificeringsautoriteiten, conformiteitsbeoordelingsinstanties en verkopers die worden gecertificeerd. Vanwege hun beperkte verspreiding mogen dergelijke technische specificaties niet worden vermeld in Europese cyberbeveiligingscertificeringsregelingen en mogen zij derhalve niet-bindend zijn.

(93)De certificeringsregelingen voor cyberbeveiligingsposities moeten modulair worden opgezet, zodat de naleving en het vermoeden van conformiteit met de relevante cyberbeveiligingsvoorschriften van andere Uniewetgeving kunnen worden aangetoond, indien die wetgeving in die mogelijkheid voorziet. Het vermoeden van conformiteit met de vereisten van deze rechtshandelingen zal daarom alleen van kracht worden als een mogelijke manier om naleving aan te tonen indien de respectieve rechtshandelingen een dergelijk vermoeden van conformiteit mogelijk maken. De details van een dergelijke regeling, namelijk doel, doelstellingen of elementen, zullen daarom waarschijnlijk verschillen van die van andere regelingen. Regelingen voor de certificering van de cyberbeveiligingspositie van entiteiten moeten met name worden ontwikkeld om te voorzien in een beoordeling van de voortdurende conformiteit van een entiteit met de wetgeving van de Unie. Derhalve is het niet nodig dat certificeringsregelingen voor cyberbeveiligingsposities betrekking hebben op alle elementen van de Europese cyberbeveiligingscertificeringsregelingen, zoals zekerheidsniveaus, en dit moet tot uiting komen in de regels voor de regelingen.

(94)Een kader voor de certificering van cyberbeveiligingsposities in het ECCF maakt het mogelijk een regeling te ontwikkelen die entiteiten die in verschillende lidstaten diensten verlenen, in staat stelt aan te tonen dat zij voldoen aan de verplichtingen inzake risicobeheer op het gebied van cyberbeveiliging die zijn vastgelegd in Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad. Op basis daarvan kunnen entiteiten, met de mogelijkheid om naleving aan te tonen, profiteren van meer samenhangende en minder belastende toezichtbenaderingen in de hele interne markt. De ontwikkeling van een dergelijke certificeringsregeling moet worden vergemakkelijkt met de vaststelling van uitvoeringshandelingen uit hoofde van Richtlijn (EU) 2022/2555. Door middel van uitbreidingsprofielen kan een certificeringsregeling voor cyberbeveiligingsposities aantonen dat aan de vereisten is voldaan wanneer een lidstaat bepalingen heeft vastgesteld of gehandhaafd waarmee een hoger niveau van cyberbeveiliging wordt gewaarborgd in overeenstemming met Richtlijn (EU) 2022/2555. Op basis hiervan kan een entiteit die diensten verleent in verschillende lidstaten de naleving van alle relevante uitbreidingsprofielen aantonen door middel van één Europees cyberbeveiligingscertificaat.

(95)De beveiligingsdoelstellingen en -vereisten die in Europese cyberbeveiligingscertificeringsregelingen zijn vastgesteld met betrekking tot productbeveiliging, moeten in overeenstemming zijn met de essentiële cyberbeveiligingsvoorschriften van bijlage I bij Verordening (EU) 2024/2847. Deze samenhang is noodzakelijk om ervoor te zorgen dat fabrikanten van wie de producten onder Verordening (EU) 2024/2847 vallen, niet worden geconfronteerd met tegenstrijdige vereisten wanneer zij hun producten certificeren in het kader van een Europese cyberbeveiligingscertificeringsregeling. Bovendien vergemakkelijkt de consistentie van de vereisten het vermoeden van conformiteit op grond van artikel 27 van Verordening (EU) 2024/2847, waarbij fabrikanten van producten met digitale elementen die zijn gecertificeerd in het kader van een Europese cyberbeveiligingscertificeringsregeling onder bepaalde voorwaarden kunnen profiteren van het vermoeden van conformiteit met de essentiële cyberbeveiligingsvoorschriften van bijlage I bij die verordening.

(96)Binnen de Europese cyberbeveiligingscertificeringsregeling moet het mogelijk zijn een uitbreidingsprofiel te specificeren door aanvullende of specifieke vereisten voor gebruiksgevallen vast te stellen, met inbegrip van aanvullende capaciteiten zoals verbeterde productkenmerken, het aanbod van gespecialiseerde diensten of activa, geoptimaliseerde processen en geavanceerde beveiligingsmaatregelen. Aangezien uitbreidingsprofielen niet overeenkomen met een specifiek zekerheidsniveau, moet het doel ervan in detail worden beschreven, met inbegrip van de aangepakte bedreigingen van de beveiliging. Uitbreidingsprofielen zijn met name bedoeld om aan te tonen dat wordt voldaan aan specifieke normen en regelgevingsvereisten, in voorkomend geval met inbegrip van vereisten met betrekking tot aanvullende maatregelen voor het beheer van cyberbeveiligingsrisico’s die door een lidstaat zijn vastgesteld volgens het beginsel van minimumharmonisatie overeenkomstig Richtlijn (EU) 2022/2555.

(97)Onverminderd het algemene systeem van collegiale toetsing dat moet worden ingevoerd bij alle nationale cyberbeveiligingscertificeringsautoriteiten binnen het ECCF, moet het mogelijk zijn om in de Europese cyberbeveiligingscertificeringsregelingen een mechanisme voor collegiale toetsing op te nemen voor de organen die Europese cyberbeveiligingscertificaten voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten afgeven, met name voor de organen die in het kader van dergelijke regelingen certificaten met een zekerheidsniveau “hoog” afgeven. Dergelijke organen moeten ook certificeringsinstanties omvatten van de nationale cyberbeveiligingscertificeringsautoriteiten die certificaten met het zekerheidsniveau “hoog” afgeven. De EGC moet de uitvoering van dergelijke collegialetoetsingsmechanismen steunen. Bij de collegiale toetsingen dient in het bijzonder te worden beoordeeld of de betrokken instanties hun taken op geharmoniseerde wijze uitvoeren, en kunnen beroepsmechanismen worden ingezet.

(98)Crises zoals oorlogen, natuurrampen en pandemieën kunnen negatieve gevolgen hebben voor certificeringsactiviteiten. In dergelijke crisisscenario’s kan het bijvoorbeeld niet haalbaar zijn om de beveiliging van locaties te waarborgen als gevolg van de vernietiging van infrastructuur, cyberaanvallen, de onbeschikbaarheid van personeel en de ontoegankelijkheid van de locatie. In een Europese cyberbeveiligingscertificeringsregeling moeten daarom tijdelijke regels inzake de continuïteit van certificeringsactiviteiten tijdens dergelijke scenario’s worden gespecificeerd.

(99)Het vertalen van potentiële technische regelingen in uitvoeringshandelingen vereist complexe technische en juridische kennis en kan aanzienlijke administratieve lasten met zich meebrengen. Bovendien zijn bepaalde elementen van Europese cyberbeveiligingscertificeringsregelingen, zoals kwetsbaarheidsbeheer of de voorwaarden waaronder dergelijke merktekens of labels mogen worden gebruikt, sectoroverschrijdend en kunnen zij profiteren van geharmoniseerde referentiebepalingen. Om de kwaliteit van vastgestelde Europese cyberbeveiligingscertificeringsregelingen te waarborgen en de nalevingslasten voor bedrijven te verminderen, moet de Commissie de bevoegdheid krijgen om modelbepalingen vast te stellen die betrekking hebben op bepaalde elementen van Europese cyberbeveiligingscertificeringsregelingen.

(100)Teneinde de samenhang van het Europees cyberbeveiligingscertificeringskader te waarborgen, moeten in een Europese cyberbeveiligingscertificeringsregeling zekerheidsniveaus kunnen worden aangegeven voor uit hoofde van die regeling afgegeven Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen. Een Europees cyberbeveiligingscertificaat moet betrekking hebben op een van de zekerheidsniveaus: “basis”, “substantieel” of “hoog”, terwijl de EU-conformiteitsverklaring alleen betrekking mag hebben op het zekerheidsniveau “basis”. De zekerheidsniveaus moeten de overeenkomstige grondigheid en diepgang van de evaluatie van het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit bepalen en moeten worden gekenmerkt door verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles, waarvan het doel is om incidenten te beperken of te voorkomen. Elk zekerheidsniveau moet in overeenstemming zijn met de diverse sectorale domeinen waar certificering wordt toegepast.

(101)De gebruikers van Europese cyberbeveiligingscertificaten moeten hun keuze van de passende certificering en de bijbehorende beveiligingsvoorschriften baseren op een analyse van de risico’s die verband houden met het gebruik van de ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de context van de certificering van entiteiten. Dienovereenkomstig moet het zekerheidsniveau in verhouding staan tot het risiconiveau dat verbonden is aan het beoogde gebruik van een ICT-product, -dienst of -proces of beheerde beveiligingsdienst, of de operationele omgeving en de aard van de entiteit waarvan de cyberbeveiligingspositie aan certificering onderworpen is.

(102)Voor het zekerheidsniveau “basis” moet de evaluatie ten minste worden geleid door de volgende zekerheidscomponenten: de evaluatie moet ten minste een beoordeling omvatten van de technische documentatie van het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit door de conformiteitsbeoordelingsinstantie. Indien de certificering ICT-processen omvat, moet de technische evaluatie ook betrekking hebben op het proces dat wordt gebruikt voor het ontwerpen, ontwikkelen en in stand houden van een ICT-product, ICT-dienst, beheerde beveiligingsdienst of cyberbeveiligingspositie van een entiteit. Indien een Europese cyberbeveiligingscertificeringsregeling voorziet in een conformiteitszelfbeoordeling, moet het volstaan dat de fabrikant of aanbieder van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten, of de entiteit waarvan de cyberbeveiligingspositie aan certificering onderworpen is, een zelfbeoordeling heeft uitgevoerd van de conformiteit van het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit, met de certificeringsregeling.

(103)Voor het zekerheidsniveau “substantieel” moet de evaluatie, naast de vereisten voor het zekerheidsniveau “basis”, ten minste worden geleid door de verificatie van de overeenstemming van de beveiligingsfuncties van het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit, met de technische documentatie ervan.

(104)Voor het zekerheidsniveau “hoog” moet de evaluatie, in aanvulling op de vereisten voor het zekerheidsniveau “substantieel”, worden geleid door ten minste een efficiëntietest waarbij wordt beoordeeld of de beveiligingsfuncties bestand zijn tegen mensen die complexe cyberaanvallen uitvoeren en over aanzienlijke vaardigheden en middelen beschikken. Conformiteitsbeoordelingsactiviteiten moeten in de Europese Economische Ruimte worden uitgevoerd voor het zekerheidsniveau “hoog” of wanneer een regeling is ontworpen om naleving aan te tonen en te voorzien in een vermoeden van conformiteit met andere wetgeving van de Unie. Deze eis wordt gerechtvaardigd door het feit dat beoordelingsactiviteiten die buiten de Europese Economische Ruimte plaatsvinden, aanleiding geven tot extra bedreigingen van de cyberbeveiliging, met name de intellectuele eigendom van de geëvalueerde ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of entiteiten. Zo kan de broncode van een ICT-product nauwkeurig worden onderzocht bij het overschrijden van de grens van een derde land, wat een risico vormt voor de intellectuele eigendom. Bovendien werken in derde landen gevestigde testlaboratoria niet in een omgeving waarop de cyberbeveiligingsmaatregelen van de EU-wetgeving, zoals Richtlijn (EU) 2022/2555 of Verordening (EU) 2024/2847, van toepassing zijn. Een testlaboratorium kan bijvoorbeeld een beroep doen op een derde aanbieder van clouddiensten die niet voldoet aan de cyberbeveiligingsvoorschriften van Richtlijn (EU) 2022/2555. Niettemin moet een certificeringsregeling kunnen voorzien in afwijkingsregelingen, bijvoorbeeld in verband met locatiecertificering of in andere gevallen waarin conformiteitsbeoordelingsactiviteiten redelijkerwijs niet in de Europese Economische Ruimte kunnen worden uitgevoerd.

(105)In sommige gevallen kunnen verschillende benaderingen om de beveiligingsdoelstellingen van een bepaald zekerheidsniveau te verwezenlijken nodig zijn om rekening te houden met de specifieke kenmerken van een ICT-product, ICT-dienst, ICT-proces, beheerde beveiligingsdiensten of cyberbeveiligingspositie van entiteiten. Om een meer gedetailleerde benadering mogelijk te maken, moeten in een Europese cyberbeveiligingscertificeringsregeling een of meer evaluatieniveaus kunnen worden gespecificeerd die overeenstemmen met een van de zekerheidsniveaus. Hierdoor zullen regelingen ontwikkeld kunnen worden waarbij meerdere evaluatieniveaus die voor een ander doel zijn ontworpen, overeenkomen met het beveiligingsniveau dat verbonden is aan een bepaald zekerheidsniveau.

(106)Europese cyberbeveiligingscertificeringsregelingen moeten kunnen voorzien in een conformiteitsbeoordeling die wordt uitgevoerd onder de uitsluitende verantwoordelijkheid van de fabrikant of aanbieder van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten, of de entiteit waarvan de cyberbeveiligingspositie wordt gecertificeerd (“conformiteitszelfbeoordeling”). In dergelijke gevallen moet het volstaan dat de fabrikant, aanbieder of entiteit waarvan de cyberbeveiligingspositie wordt gecertificeerd, zelf alle controles uitvoert om ervoor te zorgen dat de ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of cyberbeveiligingspositie van een entiteit in overeenstemming zijn met de Europese cyberbeveiligingscertificeringsregeling. Conformiteitszelfbeoordelingen moeten worden beschouwd als passend voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of cyberbeveiligingsposities van entiteiten die weinig complex zijn, een laag risico voor het publiek inhouden en een eenvoudig ontwerp of eenvoudige productiemechanismen hebben.

(107)Wanneer een Europese cyberbeveiligingscertificeringsregeling zowel conformiteitszelfbeoordelingen als certificeringen van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten mogelijk maakt, moet de certificeringsregeling in dat geval voorzien in duidelijke en begrijpelijke middelen voor consumenten of andere gebruikers om een onderscheid te maken tussen zelf beoordeelde en door derden gecertificeerde ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of cyberbeveiligingsposities van entiteiten.

(108)De fabrikant of aanbieder van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten, of de entiteiten waarvan de cyberbeveiligingspositie wordt gecertificeerd, moet de EU-conformiteitsverklaring kunnen afgeven en ondertekenen in het kader van de conformiteitsbeoordelingsprocedure. Een EU-conformiteitsverklaring is een document waarin staat dat een specifiek ICT-product, -dienst of -proces, beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit voldoet aan de voorschriften van de Europese cyberbeveiligingscertificeringsregeling. Door de EU-conformiteitsverklaring af te geven en te ondertekenen, neemt de fabrikant of aanbieder van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten, of de entiteit waarvan de cyberbeveiligingspositie wordt gecertificeerd, de verantwoordelijkheid op zich voor de conformiteit van het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie van de entiteit met de beveiligingsvoorschriften van de Europese cyberbeveiligingscertificeringsregeling. Van de EU-conformiteitsverklaring moet een exemplaar bij de nationale cyberbeveiligingscertificeringsautoriteit en bij Enisa worden ingediend.

(109)Fabrikanten of aanbieders van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten, of entiteiten waarvan de cyberbeveiligingspositie wordt gecertificeerd, moeten de EU-conformiteitsverklaring, technische documentatie en alle andere relevante informatie met betrekking tot de conformiteit met een Europese cyberbeveiligingscertificeringsregeling ter beschikking stellen van de bevoegde nationale cyberbeveiligingscertificeringsautoriteit gedurende een periode waarin de desbetreffende Europese cyberbeveiligingscertificeringsregeling voorziet en in overeenstemming met de toepasselijke wetgeving van de Unie. In de technische documentatie moeten de in het kader van de regeling toepasselijke voorschriften worden gespecificeerd voor zover deze relevant zijn voor de conformiteitszelfbeoordeling. De technische documentatie moet zodanig worden samengesteld dat kan worden beoordeeld of een ICT-product, -dienst, -proces of beheerde beveiligingsdienst, of de cyberbeveiligingspositie van de entiteit voldoet aan de voorschriften die van toepassing zijn in het kader van de regeling.

(110)Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen moeten gebruikers helpen geïnformeerde keuzes te maken. Daarom moet relevante informatie worden gepubliceerd op een website die door Enisa wordt beheerd. Voorts moeten ICT-producten, -diensten en -processen die zijn gecertificeerd of waarvoor een EU-conformiteitsverklaring is afgegeven, vergezeld gaan van gestructureerde informatie die aan het verwachte technische niveau van de beoogde gebruiker is aangepast. Alle gebruikers moeten toegang hebben tot informatie over het referentienummer van de certificeringsregeling, de instantie of het orgaan van afgifte en, in voorkomend geval, het zekerheidsniveau, of moeten een kopie van het Europees cyberbeveiligingscertificaat kunnen verkrijgen. Die informatie moet regelmatig worden geactualiseerd en op een specifieke website over Europese cyberbeveiligingscertificeringsregelingen beschikbaar worden gesteld. Om permanente toegankelijkheid te waarborgen, moeten fabrikanten en aanbieders bovendien worden verplicht de betrokken certificeringsinstantie in kennis te stellen indien de locatie van de online- of, in voorkomend geval, fysieke informatie verandert.

(111)Een conformiteitsbeoordeling is een procedure waarbij wordt geëvalueerd of aan gespecificeerde voorschriften met betrekking tot een ICT-product, -dienst of -proces, beheerde beveiligingsdienst of entiteit is voldaan. Die procedure wordt uitgevoerd door een onafhankelijke derde partij die niet de fabrikant of aanbieder is van de ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten die worden gecertificeerd, noch de entiteit waarvan de cyberbeveiligingspositie wordt beoordeeld. Een Europees cyberbeveiligingscertificaat moet worden afgegeven na de succesvolle evaluatie van een ICT-product, -dienst, -proces, beheerde beveiligingsdienst of cyberbeveiligingspositie van de entiteit. Een Europees cyberbeveiligingscertificaat moet worden gezien als een bevestiging dat de evaluatie correct is uitgevoerd.

(112)Het is belangrijk om de toezichts- en certificeringsactiviteiten strikt te scheiden om verstoringen en interferenties te voorkomen die kunnen worden veroorzaakt in situaties waarin de entiteit die toezicht houdt op de markt ook op dezelfde markt concurreert. Bijgevolg mogen activiteiten waarbij de nationale cyberbeveiligingscertificeringsautoriteiten louter hun toezichthoudende rol vervullen, zoals het verlenen van voorafgaande goedkeuring voor de afgifte van een certificaat, geen verdere interne scheiding van andere toezichthoudende activiteiten vereisen. Hieronder valt ook een situatie waarin de nationale cyberbeveiligingscertificeringsautoriteit actief informatie verzamelt tijdens het certificeringsproces dat door particuliere conformiteitsbeoordelingsinstanties wordt uitgevoerd en vervolgens advies uitbrengt over de afgifte van het certificaat door die instanties (“model van voorafgaande goedkeuring”).

(113)In Europese cyberbeveiligingscertificeringsregelingen moeten de voorwaarden worden gespecificeerd waaronder ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van een entiteit mogelijk opnieuw moeten worden gecertificeerd of waaronder het toepassingsgebied van een specifiek Europees cyberbeveiligingscertificaat mogelijk moet worden beperkt. Voorts moet in Europese cyberbeveiligingscertificeringsregelingen rekening worden gehouden met eventuele nadelige gevolgen van later ontdekte kwetsbaarheden of non-conformiteiten met betrekking tot het gecertificeerde ICT-product, de gecertificeerde ICT-dienst, het gecertificeerde ICT-proces, de gecertificeerde beheerde beveiligingsdienst of de gecertificeerde cyberbeveiligingspositie van een entiteit wat de conformiteit met de beveiligingsvoorschriften van dat certificaat betreft.

(114)Harmonisatie speelt een cruciale rol bij het waarborgen van robuuste cyberbeveiliging en het verbeteren van de markttoegang voor bedrijven. Versnippering en het gebrek aan wederzijdse erkenning van certificaten vormen daarentegen aanzienlijke belemmeringen voor de naadloze gegevensstroom, waardoor de operationele kosten voor de bedrijfstak van de Unie stijgen. Om deze uitdagingen te beperken, is het van essentieel belang versnippering te voorkomen, zowel wat het toepassingsgebied van de beveiligingscontroles als de conformiteitsbeoordelingsmethoden in de hele Unie betreft.

(115)De lidstaten moeten de Commissie en de EGC ruim van tevoren in kennis stellen voordat zij nieuwe nationale cyberbeveiligingscertificeringsregelingen voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten vaststellen, teneinde de Commissie en de EGC te helpen bij het evalueren van het effect van de nieuwe nationale cyberbeveiligingscertificeringsregeling op de goede werking van de interne markt, en in het licht van eventuele strategische belangen bij het aanvragen van een Europese cyberbeveiligingscertificeringsregeling.

(116)Verwijzingen in nationale wetgeving naar nationale normen die niet langer gelden door de inwerkingtreding van een Europese cyberbeveiligingscertificeringsregelingen, kunnen een bron van verwarring zijn. Daarom moeten de lidstaten, in voorkomend geval, de vaststelling van een Europese cyberbeveiligingscertificeringsregelingen in hun nationale wetgeving weerspiegelen.

(117)Om de groei van een betrouwbare interne markt te bevorderen en tegelijkertijd partnerschappen met derde landen tot stand te brengen, moet het binnen het ECCF vastgestelde certificeringsproces zodanig worden uitgevoerd dat internationale erkenning, wederzijdse erkenning en afstemming op internationale normen worden vergemakkelijkt.

(118)Om de handel verder te vergemakkelijken en in het besef dat ICT-toeleveringsketens internationaal zijn, kan de Unie overeenkomstig artikel 218 VWEU overeenkomsten inzake wederzijdse erkenning sluiten met betrekking tot Europese cyberbeveiligingscertificaten. De Commissie moet de bevoegdheid krijgen om uitvoeringshandelingen vast te stellen om eenzijdig de gelijkwaardigheid van certificaten van derde landen met Europese cyberbeveiligingscertificaten te erkennen. Het moet mogelijk zijn specifieke voorwaarden vast te stellen voor een dergelijke erkenning van certificaten van derde landen.

(119)Om binnen de hele Unie een gelijke uitvoering van het kader te bereiken teneinde wederzijdse erkenning te vergemakkelijken en de algemene acceptatie van Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen te bevorderen, moeten de nationale cyberbeveiligingscertificeringsautoriteiten een collegialetoetsingssysteem inrichten. Collegiale toetsing moet betrekking hebben op procedures voor het toezicht op de conformiteit van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten met Europese cyberbeveiligingscertificaten, voor het toezicht op de verplichtingen van fabrikanten of aanbieders van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en gecertificeerde entiteiten die de conformiteitszelfbeoordeling uitvoeren, voor het toezicht op conformiteitsbeoordelingsinstanties, alsook op de geschiktheid van de expertise van het personeel van instanties die certificaten voor het zekerheidsniveau “hoog” afgeven. Enisa moet als waarnemer aan de collegiale toetsingen deelnemen en de organisatie van het mechanisme voor collegiale toetsing en de collegiale toetsingen ondersteunen, onder meer door relevante richtsnoeren en modellen te ontwikkelen, in samenwerking met de Commissie en de EGC. Enisa moet op zijn website over Europese cyberbeveiligingscertificeringsregelingen ook de informatie over het schema van collegiale toetsingen en de lijst van collegiaal getoetste nationale cyberbeveiligingscertificeringsautoriteiten die het schema moeten uitvoeren, openbaar maken. Bij Uitvoeringsverordening (EU) 2025/2540 van de Commissie 60 , die is vastgesteld op grond van Verordening (EU) 2019/881, is het plan voor collegiale toetsingen vastgesteld, dat wordt gebruikt door de vastgestelde Europese cyberbeveiligingscertificeringsregelingen. Er moet voor worden gezorgd dat de collegiale toetsingen worden voortgezet. Niettemin moet de Commissie, waar nodig, door middel van uitvoeringshandelingen een nieuw plan voor collegiale toetsingen van ten minste vijf jaar kunnen vaststellen, alsook criteria en methoden voor de werking van het systeem van collegiale toetsing vastleggen.

(120) Zodra een Europese cyberbeveiligingscertificeringsregeling is vastgesteld, moeten fabrikanten of aanbieders van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de entiteiten waarvan de cyberbeveiligingspositie wordt gecertificeerd, overal in de Unie aanvragen voor certificering van hun ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of cyberbeveiligingspositie kunnen indienen bij de conformiteitsbeoordelingsinstantie van hun keuze. Conformiteitsbeoordelingsinstanties moeten door een nationale accreditatie-instantie worden geaccrediteerd indien zij voldoen aan de vereisten van deze verordening en, in voorkomend geval, aan de door de Commissie overeenkomstig deze verordening gespecificeerde vereisten. Het in deze verordening beschreven systeem moet worden aangevuld met het accreditatiesysteem van Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad 61 .

(121) Conformiteitsbeoordelingsinstanties die zijn geaccrediteerd of aangemeld uit hoofde van bestaande wetgeving van de Unie, met name Verordening (EU) 2024/2847 of Uitvoeringsverordening (EU) 2024/482, kunnen over bevoegdheden beschikken die relevant zijn voor nieuw vastgestelde Europese cyberbeveiligingscertificeringsregelingen. Om onnodige financiële en administratieve lasten te voorkomen, is het passend synergieën tot stand te brengen voor de accreditatie van conformiteitsbeoordelingsinstanties in het kader van deze verordening. Daarom moeten de accreditatievereisten van de regelingen zodanig worden vastgesteld dat zij zoveel mogelijk in overeenstemming zijn met de vereisten met betrekking tot aangemelde instanties van Verordening (EU) 2024/2847 en de accreditatievereisten uit hoofde van Uitvoeringsverordening (EU) 2024/482. Bovendien moeten conformiteitsbeoordelingsinstanties die een accreditatieprocedure uit hoofde van deze verordening ondergaan, kunnen vertrouwen op eerdere resultaten van de evaluatie van hun bekwaamheden uit hoofde van andere wetgeving van de Unie, wanneer de accreditatievereisten elkaar overlappen.

(122)Om geharmoniseerde conformiteitsbeoordelingsdiensten in de hele Unie te vergemakkelijken, moet het mogelijk zijn om in een Europese cyberbeveiligingscertificeringsregeling aanvullende of specifieke vereisten voor conformiteitsbeoordelingsinstanties vast te stellen. In het kader van certificering moet een machtiging worden opgevat als een besluit van een nationale cyberbeveiligingscertificeringsautoriteit dat een conformiteitsbeoordelingsinstantie voldoet aan de specifieke of aanvullende vereisten die in een Europese cyberbeveiligingscertificeringsregeling zijn vastgesteld om een specifieke conformiteitsbeoordelingsactiviteit uit te voeren.

(123)Indien in een Europese cyberbeveiligingscertificeringsregeling aanvullende of specifieke voorschriften overeenkomstig deze verordening zijn bepaald, moeten conformiteitsbeoordelingsinstanties door de nationale cyberbeveiligingscertificeringsautoriteiten worden gemachtigd om taken uit hoofde van een dergelijke regeling uit te voeren. Om meervoudige machtiging te voorkomen, de acceptatie en erkenning van machtigingsbesluiten te verbeteren en doeltreffend toezicht te houden op de gemachtigde conformiteitsbeoordelingsinstanties, zouden de conformiteitsbeoordelingsinstanties hun machtigingsverzoek moeten indienen bij de nationale cyberbeveiligingscertificeringsautoriteit van hun lidstaat van vestiging. Niettemin moet ervoor worden gezorgd dat een conformiteitsbeoordelingsinstantie ook om machtiging in een andere lidstaat moet kunnen verzoeken wanneer in haar lidstaat geen nationale cyberbeveiligingscertificeringsautoriteit bestaat of wanneer de nationale cyberbeveiligingscertificeringsautoriteit niet over de bekwaamheid beschikt om de gevraagde machtigingsdiensten te verlenen. In die gevallen moet worden gezorgd voor een passende samenwerking en uitwisseling van informatie tussen de nationale cyberbeveiligingscertificeringsautoriteiten. De Commissie moet de bevoegdheid krijgen om uitvoeringshandelingen vast te stellen tot vaststelling van de machtigingsprocedures, ook voor grensoverschrijdende samenwerking met betrekking tot machtigingen.

(124)Om het beschermingsniveau te waarborgen dat nodig is voor een ICT-product, -dienst, -proces, beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit, is het van essentieel belang dat de betrokken onderaannemers en dochterondernemingen bij de uitvoering van conformiteitsbeoordelingstaken aan dezelfde vereisten moeten voldoen als de aangemelde conformiteitsbeoordelingsinstanties. Dienovereenkomstig moet een conformiteitsbeoordelingsinstantie over de gepaste bekwaamheid beschikken en in staat zijn na te gaan of haar onderaannemers aan de toepasselijke eisen voldoen.

(125)De mate waarin de conformiteitsbeoordelingsinstantie voornemens is een beroep te doen op buiten de Unie gevestigde onderaannemers of toegang heeft tot personeel of faciliteiten buiten de lidstaat van aanmelding, moet door de aanmeldende autoriteit naar behoren worden beoordeeld. De overheidsinstantie van een lidstaat moet de mogelijkheid hebben om te besluiten dat zij als nationale cyberbeveiligingscertificeringsautoriteit niet de algemene verantwoordelijkheid voor een dergelijke regeling op zich kan nemen, en om het toepassingsgebied van de aanmelding in te trekken of te beperken.

(126)Om de cyberbeveiligingsvoorschriften voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten te evalueren, moeten geaccrediteerde conformiteitsbeoordelingsinstanties door de nationale cyberbeveiligingscertificeringsautoriteiten bij de Commissie en de andere lidstaten worden aangemeld. Uit de aanmelding van geaccrediteerde en, in voorkomend geval, gemachtigde conformiteitsbeoordelingsinstanties blijkt dat die instanties kunnen worden vertrouwd bij de uitvoering van evaluatie- en certificeringsactiviteiten overeenkomstig deze verordening en de Europese cyberbeveiligingscertificeringsregeling, wat bijdraagt tot de algemene reputatie van de Europese cyberbeveiligingscertificering. Daarom is het van essentieel belang ervoor te zorgen dat aangemelde conformiteitsbeoordelingsinstanties aan de eisen daarvan voldoen en mettertijd aan de verplichtingen daarvan, en dat de lijst van aangemelde conformiteitsbeoordelingsinstanties actueel wordt gehouden.

(127)Bij Uitvoeringsverordening (EU) 2024/3143 van de Commissie 62 , die is vastgesteld op grond van Verordening (EU) 2019/881, zijn de omstandigheden, vormen en procedures vastgesteld voor aanmeldingen van conformiteitsbeoordelingsinstanties die worden gebruikt door de vastgestelde Europese cyberbeveiligingscertificeringsregelingen. Daarom moet ervoor worden gezorgd dat de aanmeldingsactiviteiten worden voortgezet. Niettemin moet de Commissie de bevoegdheid krijgen om uitvoeringshandelingen vast te stellen om die omstandigheden, procedures en vormen voor de aanmelding van conformiteitsbeoordelingsinstanties aan te passen. In dit verband moet de Commissie voortbouwen op de ervaring die is opgedaan in het kader van bestaande regelingen en streven naar afstemming op andere relevante wetgeving en kaders van de Unie, met name Verordening (EU) 2024/2847 en het nieuwe wetgevingskader, teneinde de nalevingslasten te verminderen voor conformiteitsbeoordelingsinstanties die actief zijn in het kader van verschillende rechtsinstrumenten.

(128) Toeleveringsketens voor informatie- en communicatietechnologie (ICT) bestaan uit een reeks onderling verbonden middelen en processen tussen marktdeelnemers. ICT-toeleveringsketens spelen een cruciale rol bij het in stand houden van de maatschappelijke stabiliteit en het aanjagen van de economische activiteit in de hele Unie. Zij spelen ook een cruciale rol bij het mogelijk maken van de digitale infrastructuur in de Unie en ondersteunen de werking van de samenleving en de economie van de Unie. ICT-toeleveringsketens maken de vervaardiging, de productie, de distributie en het onderhoud mogelijk van ICT-diensten, ICT-systemen en ICT-producten die ten grondslag liggen aan verschillende kritieke en zeer kritieke sectoren, waaronder gezondheidszorg, financiën, vervoer, telecommunicatie, energie en douane. De beveiliging van de ICT-toeleveringsketens van die kritieke sectoren kan ook gevolgen hebben voor de beveiliging van defensie- en militaire infrastructuur, wanneer deze infrastructuur afhankelijk is van civiele kritieke sectoren en hun ICT-toeleveringsketens. Volgens het verslag van Enisa over de stand van zaken van de cyberdreigingen (ENISA Threat Landscape 2025) 63 behoren aanvallen op toeleveringsketens echter tot de vijf grootste bedreigingen van cyberbeveiliging, waaruit blijkt dat aanvallers actief gebruikmaken van indirecte paden via derde aanbieders en afhankelijkheden. Verstoring van ICT-toeleveringsketens kan de uitoefening van economische activiteiten in de interne markt belemmeren, financieel verlies veroorzaken, het vertrouwen van de gebruikers ondermijnen en grote schade toebrengen aan de economie en de samenleving van de Unie. Voor de goede werking van de interne markt zijn paraatheid en doeltreffendheid op het gebied van cyberbeveiliging daarom meer dan ooit van essentieel belang.

(129)Naast de technische risico’s die aan bod komen in Richtlijn (EU) 2022/55 van het Europees Parlement en de Raad 64 , Verordening (EU) 2024/2847 van het Europees Parlement en de Raad 65 en het bij Verordening (EU) 2019/881 vastgestelde Europees kader voor cyberbeveiligingscertificering, worden ICT-toeleveringsketens in toenemende mate blootgesteld aan risico’s van niet-technische aard. Dergelijke niet-technische risico’s kunnen verband houden met, maar niet beperkt zijn tot, de jurisdictie waaronder een leverancier van bepaalde componenten valt, met name wanneer een derde land of dreigingsactoren en die vanuit dat land worden gecontroleerd, zich bezighouden met economische spionage, kwaadwillige cyberactiviteiten of -campagnes tegen de Unie of haar lidstaten uitvoeren, of zich schuldig maken aan onverantwoordelijke overheidsgedragingen in de cyberruimte. Niet-technische risico’s kunnen ook verband houden met verborgen kwetsbaarheden of “backdoors” of mogelijke systemische verstoringen van de toelevering, met name in het geval van technologische lock-ins of afhankelijkheid van leveranciers. Zo zouden “kill switches” kunnen worden gebruikt om de beschikbaarheid van communicatienetwerken en elektriciteitsnetten negatief te beïnvloeden.

(130)In de gezamenlijke mededeling over de versterking van de economische veiligheid van de EU 66 werd gewezen op het risico dat derde landen toegang krijgen tot gevoelige informatie en gegevens in de Unie of haar lidstaten, hetzij als gevolg van industriële spionage, door hen geleverde hardware of software die in bepaalde producten wordt gebruikt, hetzij als gevolg van hun eigendom van en zeggenschap over bepaalde ondernemingen die over gevoelige informatie en gegevens beschikken. Ook werd gewezen op het risico dat kritieke infrastructuur van de Unie — waaronder kritieke vervoers-, ruimtevaart-, energie- en communicatie-infrastructuur, met name infrastructuur die van strategisch belang is voor militaire mobiliteit — wordt verstoord door buitenlandse actoren, wat kan leiden tot cascade-effecten op de economie van de Unie. Verstoringen kunnen zich voordoen door fysieke, cyber- of hybride aanvallen, met inbegrip van sabotage van volledige faciliteiten of delen of subcomponenten daarvan. Zij kunnen ook worden gelinkt aan ICT-toeleveringsketens, die instaan voor de levering van kritieke onderdelen of diensten voor kritieke infrastructuur.

(131)Als reactie op de uitdagingen op het gebied van de beveiliging van ICT-toeleveringsketens die voortvloeien uit niet-technische risico’s, hebben sommige lidstaten regelgevende maatregelen genomen, waaronder de aanwijzing van leveranciers met een hoog risico, terwijl andere lidstaten dit waarschijnlijk zullen doen. Dit kan leiden tot verdere verschillen in nationale benaderingen en uiteindelijk tot een grotere kwetsbaarheid van sommige lidstaten, met mogelijke overloopeffecten in de hele Unie. Daarom moeten bepaalde aspecten in verband met de niet-technische cyberbeveiligingsrisico’s voor de ICT-toeleveringsketen worden geharmoniseerd. Een dergelijk optreden op het niveau van de Unie is ook gerechtvaardigd in het licht van de noodzaak om een hoog niveau van cyberbeveiliging in de hele Unie te waarborgen. De bepalingen inzake de beveiliging van de ICT-toeleveringsketen hebben tot doel dergelijke grote verschillen tussen de lidstaten weg te nemen, met name door regels vast te stellen voor risicobeoordelingsmechanismen voor beveiligingsrisico’s in de ICT-toeleveringsketen op het niveau van de Unie en minimumnormen voor de bescherming tegen risico’s in de ICT-toeleveringsketen.

(132)Om kritieke afhankelijkheden en kwetsbaarheden te verminderen, moet een kader voor betrouwbare ICT-toeleveringsketens worden vastgesteld waarmee niet-technische risico’s in verband met leveranciers met een hoog risico en afhankelijkheden in zeer kritieke sectoren en andere kritieke sectoren moeten worden aangepakt. Daarom moet op het niveau van de Unie een objectief, risicogebaseerd, toekomstbestendig en technologieneutraal kader worden geschept om belangrijke ICT-activa te identificeren en te voorzien in een reeks evenredige risicobeperkende maatregelen om de risico’s aan te pakken.

(133)Cyberbeveiligingsrisico’s, met inbegrip van risico’s in verband met de afhankelijkheid van leveranciers met een hoog risico, kunnen worden waargenomen in verschillende kritieke ICT-toeleveringsketens in de Unie, waaronder detectieapparatuur, verbonden en geautomatiseerde voertuigen, elektriciteitsvoorzieningssystemen en elektriciteitsopslag, waterleidingssystemen, drones en droneafweersystemen, clouddiensten, medische apparatuur, bewakingsapparatuur, ruimtediensten en halfgeleiders. Kwetsbaarheden in beveiligingsdetectieapparatuur kunnen bijvoorbeeld toegang verlenen tot ICT-systemen die kwaadwillige actoren in staat stellen scanners zodanig te manipuleren dat verboden voorwerpen via de beveiligingscontrolepost kunnen worden binnengebracht zonder te worden gedetecteerd, met mogelijk rampzalige gevolgen.

(134)Deze verordening moet de lidstaten niet beletten om bepalingen vast te stellen of te handhaven die een hoger cyberbeveiligingsniveau waarborgen wat de beveiliging van ICT-toeleveringsketens betreft, mits dergelijke bepalingen stroken met de in het Unierecht vastgelegde verplichtingen van de lidstaten. Dergelijke bepalingen kunnen bijvoorbeeld inhouden dat strengere risicobeperkende maatregelen worden opgelegd met betrekking tot belangrijke ICT-activa.

(135)Om potentiële cyberbeveiligingsrisico’s voor specifieke ICT-toeleveringsketens in kaart te brengen, kan de bij artikel 14 van Richtlijn (EU) 2022/2555 opgerichte samenwerkingsgroep (“NIS-samenwerkingsgroep”) specifieke ICT-toeleveringsketens beoordelen door middel van op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen. Bij de op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen moet onder meer worden gekeken naar de belangrijkste dreigingsactoren en de belangrijkste dreigingen en kwetsbaarheden die van invloed zijn op de belangrijke ICT-activa. Met de op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen moeten een lijst van risicoscenario’s en een lijst van maatregelen ter beperking van de risico’s worden opgesteld. Op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen moeten binnen zes maanden worden voltooid. In specifieke dringende gevallen moet het mogelijk zijn de termijnen te verkorten.

(136)In gevallen waarin de Commissie voldoende redenen heeft om aan te nemen dat er sprake is van een significante cyberdreiging voor de beveiliging van de Unie in verband met kritieke ICT-toeleveringsketens en een actie nodig kan zijn om de goede werking van de interne markt te vrijwaren, moet zij de lidstaten onverwijld raadplegen over de noodzaak van risicobeperkende maatregelen en een beveiligingsrisicobeoordeling uitvoeren en daarbij de raadpleging van de lidstaten in aanmerking nemen.

(137)Indien uit een door de NIS-samenwerkingsgroep of de Commissie uitgevoerde beveiligingsrisicobeoordeling blijkt dat een specifiek derde land ernstige en structurele niet-technische cyberbeveiligingsrisico’s voor ICT-toeleveringsketens met zich meebrengt, moet de Commissie de dreiging die dat land vormt, verifiëren. De Commissie kan een dergelijke verificatie ook initiëren op basis van andere bronnen, zoals een publieke verklaring namens de Unie of een lidstaat naar aanleiding van gevallen van onverantwoordelijke overheidsgedragingen in de cyberruimte die tot een cyberbeveiligingsincident hebben geleid. Om het dreigingsniveau te beoordelen, moet de Commissie rekening houden met elementen zoals het bestaan van wetten of praktijken in het derde land die entiteiten onder hun jurisdictie verplichten informatie over kwetsbaarheden in software of hardware te melden aan de autoriteiten van dat derde land voordat bekend is dat die kwetsbaarheden zijn uitgebuit. Een ander relevant element is het ontbreken van doeltreffende voorzieningen in rechte en onafhankelijke en democratische controlemechanismen die bezorgdheid over beveiliging kunnen wegnemen, onder meer over bestaande praktijken, de onderbouwde informatie over incidenten van dreigingsactoren die buiten het grondgebied van dat land actief zijn en kwaadwillige cyberactiviteiten of -campagnes uitvoeren, en het gebrek aan vermogen of bereidheid van het derde land om met de Commissie of de lidstaten samen te werken om het risico dat voortvloeit uit de activiteiten van dergelijke dreigingsactoren aan te pakken. De Commissie moet ook rekening houden met informatie die afkomstig is van op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen of -verslagen van lidstaten of internationale organisaties zoals de NAVO.

(138)Voor de toepassing van deze verordening moet onder het begrip zeggenschap worden verstaan het vermogen om ofwel direct, ofwel indirect via een of meer intermediaire juridische entiteiten, beslissende invloed uit te oefenen op een juridische entiteit. De zeggenschap over entiteiten uit een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging moet ook worden vastgesteld in situaties waarin een dergelijke entiteit in dat land uitvoerende bestuursstructuren heeft.

(139)De Unie mag geen projecten financieren waarbij leveranciers met een hoog risico zijn betrokken, aangezien dit de veiligheid van de Unie in gevaar zou brengen en de belangen en geloofwaardigheid van de Unie zou ondermijnen. Leveranciers met een hoog risico die uit hoofde van deze verordening zijn vastgesteld, mogen daarom niet het recht hebben om deel te nemen aan financieringsprogramma’s en -instrumenten van de Unie die in direct en indirect beheer worden uitgevoerd overeenkomstig artikel 136 van Verordening (EU/Euratom) 2024/2509 en sectorspecifieke regels van de Unie, noch aan financieringsactiviteiten van de Unie die in gedeeld beheer worden uitgevoerd, onder meer in het kader van het volgende meerjarig financieel kader met betrekking tot de levering van ICT-componenten of componenten die ICT-componenten bevatten die in geïdentificeerde belangrijke ICT-activa moeten worden gebruikt. Uitvoerende partners van de Unie, zoals de Europese Investeringsbank Groep en nationale stimuleringsbanken en -instellingen, mogen geen projecten steunen die in strijd zijn met het bovenstaande, ook niet bij verrichtingen voor eigen risico.

(140)Overheidsopdrachten kunnen voor overheidsinstanties een krachtig instrument zijn om bij te dragen tot een meer innovatieve, duurzame en concurrerende economie en om overheidsgeld op strategische wijze te besteden. Overheidsopdrachten in verband met ICT-toeleveringsketens mogen niet worden gebruikt ten gunste van leveranciers die een bedreiging vormen voor de veiligheid van de kritieke infrastructuur van de Unie. Leveranciers met een hoog risico die uit hoofde van deze verordening zijn vastgesteld, mogen daarom niet het recht hebben deel te nemen aan overheidsopdrachten voor de levering van ICT-componenten of componenten die ICT-componenten bevatten die in geïdentificeerde belangrijke ICT-activa moeten worden gebruikt.

(141)Cyberbeveiligingscertificering speelt een rol bij het versterken van de algemene veiligheid en het bestrijden van cyberdreigingen en dient als benchmark voor vertrouwen. Dit vertrouwen zou kunnen worden uitgehold als attesteringen van cyberbeveiligingsvaardigheden zouden worden afgegeven door leveranciers met een hoog risico, die daarom niet het recht mogen hebben een aanvraag in te dienen om gemachtigde aanbieders van individuele attesteringen van cyberbeveiligingsvaardigheden van de Unie te worden. In dezelfde geest is het ook passend om uit te sluiten dat leveranciers met een hoog risico cyberbeveiligingscertificering in het kader van het ECCF kunnen verkrijgen en geaccrediteerde conformiteitsbeoordelingsinstanties om dergelijke certificaten af te geven, kunnen worden.

(142)Cyberbeveiligingsnormen spelen een cruciale rol bij de beveiliging en betrouwbaarheid van digitale infrastructuur. Er moeten passende maatregelen worden genomen om te zorgen voor normalisatie op het gebied van cyberbeveiliging. De betrokkenheid van entiteiten die zijn gevestigd in of onder zeggenschap staan van landen waarvan overeenkomstig deze verordening is vastgesteld dat zij aanleiding geven tot bezorgdheid over cyberbeveiliging in de ICT-toeleveringsketen, kan ertoe leiden dat cyberbeveiligingsnormen zodanig worden beïnvloed dat hun beveiliging en betrouwbaarheid worden ondermijnd.

(143)Op basis van de resultaten van de beveiligingsrisicobeoordelingen kan de Commissie door middel van uitvoeringshandelingen bepalen welke ICT-activa vanwege hun kritieke karakter als belangrijke ICT-activa moeten worden beschouwd en aan specifieke risicobeperkende maatregelen moeten worden onderworpen. Het loutere bestaan van de mogelijkheid van connectiviteit van het actief moet volstaan om het cyberbeveiligingsrisico ervan in aanmerking te nemen.

(144)Indien dit nodig is om een hoog niveau van cyberbeveiliging, cyberweerbaarheid en vertrouwen binnen de Unie te waarborgen, kunnen de risicobeperkende maatregelen worden toegepast op entiteiten met betrekking tot hun ICT-toeleveringsketen en met name op geïdentificeerde belangrijke ICT-activa. De voorgestelde risicobeperkende maatregelen moeten zijn gebaseerd op de beoordeling van potentiële risico’s en afhankelijkheden, met inbegrip van de potentiële economische en maatschappelijke gevolgen van dergelijke maatregelen voor de betrokken entiteiten die in zeer kritieke of andere kritieke sectoren actief zijn, en met name kmo’s. Bij de economische impact moet worden gekeken naar de kosten van de uitvoering van de risicobeperkende maatregelen, met inbegrip van de duur van de levenscyclus van de relevante componenten in de belangrijke ICT-activa indien de maatregelen betrekking hebben op de vervanging van leveranciers. De beschikbaarheid van alternatieve leveranciers op de markt moet ook worden beoordeeld om de continuïteit van de dienstverlening te waarborgen.

(145)Aangezien risicobeperkende maatregelen mogelijk een beperkend effect kunnen hebben op de internationale handel in goederen en diensten, moeten zij evenredig en gericht zijn op het nastreven van de legitieme doelstelling om de cyberbeveiliging van ICT-toeleveringsketens te waarborgen met betrekking tot entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555, in overeenstemming met de internationale verplichtingen van de Unie.

(146)Het gebruik, de installatie of enige andere vorm van integratie van componenten die door leveranciers met een hoog risico bij de exploitatie van belangrijke ICT-activa worden geleverd, kan verband houden met risico’s van latere gegevensoverdrachten naar een derde land. Er kunnen met name risico’s ontstaan door een ontoereikend beschermingsniveau voor de gegevens in het derde land, bijvoorbeeld voor de bescherming van grondrechten, intellectuele eigendom of bedrijfsgeheimen, of onrechtmatige toegang tot en exploitatie van die gegevens voor mogelijke toekomstige verstoringen van de toeleveringsketen en spionagedoeleinden. Om dergelijke risico’s te beperken, kunnen beperkingen met betrekking tot de doorgifte van specifieke soorten gegevens aan derde landen worden toegepast.

(147)Belangrijke kwetsbaarheden vloeien voort uit een gebrek aan diversiteit in apparatuur die wordt gebruikt door entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555. Afhankelijkheid van één enkele leverancier leidt tot afhankelijkheid van specifieke apparatuur of oplossingen. Een gebrek aan diversiteit van leveranciers vergroot de algemene kwetsbaarheid van kritieke infrastructuur, met name als entiteiten hun ICT-componenten die in gevoelige ICT-activa worden gebruikt, betrekken van een leverancier met een hoog risico. Afhankelijkheid heeft ook aanzienlijke gevolgen voor de nationale en Uniebrede weerbaarheid en creëert zwakke punten. Om dergelijke risico’s te beperken, kunnen vereisten worden toegepast om voor specifieke belangrijke ICT-activa meer dan één leverancier te hebben.

(148)Entiteiten van de Unie kunnen ook gebruikmaken van belangrijke activa zoals gedefinieerd in deze verordening. Daarom moeten de in deze verordening vastgestelde regels betreffende de beveiliging van ICT-toeleveringsketens ook op hen van toepassing zijn. Om ervoor te zorgen dat rekening wordt gehouden met het specifieke karakter van entiteiten van de Unie, is het belangrijk om bij de uitvoering van op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen rekening te houden met niet-technische risico’s die voortvloeien uit ICT-toeleveringsketens met betrekking tot entiteiten van de Unie.

(149)In uitzonderlijke omstandigheden die een onmiddellijk optreden rechtvaardigen om de goede werking van de interne markt te vrijwaren, en wanneer er duidelijke aanwijzingen zijn die de Commissie voldoende redenen geven om aan te nemen dat het gebruik van ICT-componenten of componenten die ICT-componenten van een specifieke leverancier bevatten, een significante cyberdreiging vormt voor de economische of maatschappelijke activiteiten van ten minste drie lidstaten, kan de Commissie, in nauw overleg met de lidstaten, voorstellen het gebruik, de installatie of de integratie van dergelijke componenten van deze leverancier per soort entiteit als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 te verbieden.

(150)Om de evenredigheid van de toegepaste maatregelen te waarborgen, kunnen entiteiten die zijn gevestigd in een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging en die overeenkomstig deze verordening zijn aangewezen, of onder zeggenschap staan van dat derde land, van een in dat derde land gevestigde entiteit of van een onderdaan van dat derde land, verzoeken om te worden vrijgesteld van het verbod om aan entiteiten van een soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 ICT-componenten of componenten die ICT-componenten bevatten te verstrekken voor gebruik, installatie of integratie in belangrijke ICT-activa van die entiteit en deel te nemen aan openbare aanbestedingsprocedures die zijn georganiseerd overeenkomstig de wetgeving tot omzetting van de Richtlijnen 2014/24/EU 67 en 2014/25/EU van het Europees Parlement en de Raad 68 met betrekking tot de levering van ICT-componenten of componenten die ICT-componenten bevatten die in geïdentificeerde belangrijke ICT-activa moeten worden gebruikt.  Daartoe moet de entiteit met duidelijk bewijs aantonen dat zij doeltreffende maatregelen toepast om de niet-technische risico’s aan te pakken en ervoor te zorgen dat er geen sprake is van mogelijke ongepaste inmenging door een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging.

(151)Elektronischecommunicatienetwerken dienen als ruggengraat voor een brede waaier aan diensten die essentieel zijn voor de goede werking van de interne markt en de instandhouding en werking van vitale maatschappelijke en economische functies, zoals energie, vervoer, het bankwezen, de gezondheidszorg, defensie, evenals industriële besturingssystemen. Daarom zijn die zeer kritieke netwerken aantrekkelijke doelwitten voor alle soorten cyberaanvallen en hybride dreigingen, voor verstoringen, spionage, het verzamelen van inlichtingen, en voor fraude en financiële criminaliteit. Bij de risicobeoordeling van de NIS-samenwerkingsgroep inzake de cyberbeveiliging en weerbaarheid van de communicatie-infrastructuur en -netwerken van Europa is een aantal risico’s en dreigingen vastgesteld die vanuit het oogpunt van de Unie van strategisch belang zijn, zoals wiper-/ransomware, aanvallen, aanvallen op toeleveringsketens, indringing in netwerken en DDoS-aanvallen (Distributed Denial of Service).

(152)Gezien de onderlinge samenhang en onderlinge afhankelijkheid tussen de verschillende nationale elektronischecommunicatienetwerken is het noodzakelijk dat alle lidstaten passende maatregelen nemen om de veiligheid van hun netwerken te waarborgen. Om dezelfde redenen is er behoefte aan een doeltreffend rechtskader op het niveau van de Unie waarmee ook niet-technische risico’s worden aangepakt en de veiligheid van onderling verbonden elektronischecommunicatienetwerken op een alomvattende manier wordt gewaarborgd.

(153)Met name de cyberbeveiliging van 5G-netwerken is van strategisch belang voor de Unie, aangezien die netwerken de ruggengraat vormen voor een breed scala aan diensten die van essentieel belang zijn voor de werking van de interne markt en ook van cruciaal belang zijn voor het opbouwen van onze defensiegereedheid, onder meer met betrekking tot militaire mobiliteit. 5G-netwerken kunnen betrouwbare ultrasnelle connectiviteit bieden, bijvoorbeeld voor het delen van gegevens en informatie, de detectie van drones en de realtime-coördinatie van oorlogsvoering.

(154)De uitrol van 5G bestaat voornamelijk uit niet-autonome netwerken, waarbij alleen het radiotoegangsnetwerk wordt geüpgraded naar 5G-technologie, terwijl de rest van het netwerk nog steeds afhankelijk is van een bestaand 4G-kernnetwerk. Met niet-autonome 5G-netwerken wordt voornamelijk voortgebouwd op reeds bestaande infrastructuur, wat betekent dat de beveiliging van toekomstige 5G-netwerken tot op zekere hoogte wordt bepaald door reeds bestaande netwerkapparatuur en de configuratie van dergelijke apparatuur. Daarom moeten risicobeperkende maatregelen ook betrekking hebben op 4G-netwerken waarvan de uitrol van 5G afhankelijk is.

(155)Om belangrijke beveiligingsuitdagingen in 5G-netwerken aan te pakken, hebben de lidstaten in de NIS-samenwerkingsgroep samen met de Commissie en Enisa een op Unieniveau gecoördineerde beveiligingsrisicobeoordeling van 5G-netwerken uitgevoerd, waarbij zowel technische als niet-technische risico’s zijn onderzocht. Bij deze beoordeling werden verschillende risico’s vastgesteld, waaronder mogelijke inmenging door derde landen of actoren uit derde landen via de toeleveringsketen, en werden activa ingedeeld op basis van hun kritieke karakter. Deze beoordeling moet als uitgangspunt dienen voor de vaststelling van de belangrijke ICT-activa voor 5G-communicatienetwerken.

(156)Om de risico’s te beperken die zijn vastgesteld in de op Unieniveau gecoördineerde beveiligingsrisicobeoordeling van 5G-netwerken, heeft de NIS-samenwerkingsgroep het EU-instrumentarium voor 5G-cyberbeveiliging vastgesteld, met strategische en technische maatregelen. Hoewel een meerderheid van de lidstaten beschikt over rechtskaders die beperkingen of uitsluitingen van leveranciers met een hoog risico toestaan, zoals aanbevolen in het 5G-instrumentarium, zijn die kaders niet op uniforme wijze uitgevoerd. Dit leidt ertoe dat een groot aantal 5G-locaties in de hele Unie wordt bevoorraad door leveranciers met een hoog risico, zoals vermeld in de mededeling van de Commissie over de uitvoering van het 5G-instrumentarium 69 . Deze situatie leidt tot kwetsbaarheden, waaronder strategische afhankelijkheid en potentiële blootstelling aan inmenging van derde landen, die ook gevolgen kunnen hebben voor toekomstige 6G-infrastructuur die op bestaande 5G-netwerken wordt gebouwd. De versnipperde uitvoering van de aanbevolen maatregelen van het 5G-instrumentarium, met name met betrekking tot de reikwijdte van de beperkingen voor leveranciers met een hoog risico, heeft geleid tot verschillen tussen de lidstaten, wat resulteert in een ongelijk speelveld dat de interne markt verdeelt en de algemene netwerkbeveiliging verzwakt. De Europese Rekenkamer heeft deze verschillen benadrukt en gewaarschuwd dat het ontbreken van een gecoördineerde aanpak de werking van de interne markt ondermijnt. Aanhoudende afhankelijkheid van leveranciers met een hoog risico brengt ernstige risico’s met zich mee voor de beveiliging van kritieke infrastructuur in de Unie en kan het vertrouwen in de interne markt uithollen, aangezien inconsistente beveiligingsniveaus consumenten en bedrijven ervan kunnen weerhouden om in de hele Unie gebruik te maken van op 5G gebaseerde producten en diensten. Daarom is het van essentieel belang om op Unieniveau maatregelen te hebben om een geharmoniseerde aanpak van de beveiliging van 5G-netwerken te waarborgen.

(157)Met het oog op het vaststellen van een uitfaseringsperiode voor de belangrijke ICT-activa van vaste en satellietnetwerken voor elektronische communicatie moet de Commissie een beoordeling uitvoeren waarbij naar behoren rekening wordt gehouden met de mate van beveiligingsrisico’s in verband met elke specifiek belangrijk ICT-activum van de vaste en satellietnetwerken, de levensduur van relevante componenten en de economische gevolgen die de verwijdering van die componenten zou hebben voor de betrokken exploitanten. Op basis van de resultaten van die beoordeling kan de Commissie overwegen verschillende uitfaseringsperioden vast te stellen voor de specifieke belangrijke ICT-activa en de integrale elementen daarvan.

(158)Met het oog op een doeltreffend toezicht op en een doeltreffende handhaving van de verplichtingen met betrekking tot de aanbieders van mobiele, vaste en satellietnetwerken voor elektronische communicatie moeten de relevante bevoegde autoriteiten uit hoofde van deze verordening zorgen voor nauwe samenwerking met de bevoegde autoriteiten uit hoofde van het [voorstel voor de wet inzake digitale netwerken]. Op verzoek van een krachtens deze verordening aangewezen bevoegde instantie moeten de nationale regelgevende instanties of andere voor radiospectrum bevoegde instanties, in voorkomend geval, de in artikel 9 en artikel 20 [voorstel voor de wet inzake digitale netwerken] bedoelde rechten intrekken indien de aanbieder van openbare elektronischecommunicatienetwerken de verplichtingen uit hoofde van deze verordening niet nakomt, ook indien de aanbieder ICT-componenten of componenten die ICT-componenten van leveranciers met een hoog risico omvatten, niet binnen de overeenkomstig deze verordening vastgestelde termijn uitfaseert bij de exploitatie van belangrijke ICT-activa.

(159)Gezien de verschillen in nationale governancestructuren moeten de lidstaten een of meer bevoegde autoriteiten aanwijzen of oprichten die verantwoordelijk zijn voor de toezichts- en handhavingsmaatregelen uit hoofde van deze verordening.

(160)De bevoegde autoriteiten moeten entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 ondersteunen bij de naleving van hun verplichtingen uit hoofde van deze verordening. Daartoe moet de Commissie beoordelen of leveranciers waarop specifieke verbodsbepalingen van toepassing kunnen zijn, gevestigd zijn in een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging of onder zeggenschap staan van een dergelijk derde land, van een in dat derde land gevestigde entiteit of van een onderdaan van dat derde land. De bevoegde autoriteiten moeten nauw samenwerken met de Commissie en andere bevoegde autoriteiten binnen het bij deze verordening opgerichte netwerk. Op basis van de beoordeling door de Commissie moeten de bevoegde autoriteiten relevante informatie over leveranciers met een hoog risico delen met relevante entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555. Van entiteiten wordt niet verwacht dat zij nagaan of een leverancier onder buitenlandse zeggenschap staat, maar zij kunnen volledig vertrouwen op informatie die zij van bevoegde autoriteiten ontvangen. De bevoegde autoriteiten moeten ervoor zorgen dat deze entiteiten geen onnodige administratieve lasten worden opgelegd.

(161)Om een doeltreffende naleving te waarborgen, moet deze verordening voorzien in toezichts- en handhavingsmaatregelen waarmee de bevoegde autoriteiten toezicht kunnen houden op entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555. Wanneer de bevoegde autoriteiten hun toezichts- en handhavingstaken met betrekking tot die entiteiten uitvoeren, mogen zij niet verder gaan dan wat noodzakelijk is en moeten zij in verhouding staan tot de vastgestelde risico’s.

(162)Om de handhaving in de hele Unie doeltreffend en consistent te maken, moet worden voorzien in handhavingsbevoegdheden die de bevoegde autoriteiten kunnen uitoefenen in geval van schending van de in deze verordening vastgestelde verplichtingen. Bij de uitoefening van die handhavingsbevoegdheden moeten de bevoegde autoriteiten terdege rekening houden met een aantal factoren, waaronder de aard, de ernst en de duur van de inbreuk, de veroorzaakte materiële of immateriële schade, het opzettelijke of nalatige karakter van de inbreuk, de maatregelen die zijn genomen om de materiële of immateriële schade te voorkomen of te beperken, de mate van verantwoordelijkheid of eventuele relevante eerdere inbreuken, de mate van samenwerking met de bevoegde autoriteit en elke andere verzwarende of verzachtende omstandigheid. De handhavingsmaatregelen, met inbegrip van sancties, moeten evenredig zijn en het opleggen ervan moet onderworpen worden aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest van de grondrechten van de Europese Unie, met inbegrip van het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van verweer.

(163)Het is belangrijk dat ook wordt voorzien in de bevoegdheid om dwangsommen op te leggen om een entiteit van het soort als bedoeld in bijlage I of II bij Richtlijn (EU) 2022/2555 te dwingen een inbreuk op deze verordening te staken in overeenstemming met een voorafgaand besluit van de bevoegde autoriteit.

(164) Met het oog op een doeltreffende handhaving van de in deze verordening vastgestelde verplichtingen moet elke bevoegde autoriteit de bevoegdheid hebben om sancties op te leggen of om te verzoeken om het opleggen ervan.

(165)Voor het opleggen van sancties aan een entiteit van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 die een onderneming is, moet een onderneming worden opgevat als een onderneming in de zin van de artikelen 101 en 102 VWEU. Wanneer een boete wordt opgelegd aan een persoon die geen onderneming is, moet de bevoegde autoriteit bij het bepalen van het passende bedrag van de sanctie rekening houden met het algemene inkomensniveau in de lidstaat en met de economische situatie van de persoon. Het is aan de lidstaten om te bepalen of en in welke mate overheidsinstanties aan sancties moeten worden onderworpen. Het opleggen van een sanctie mag geen afbreuk doen aan de toepassing van andere bevoegdheden van de bevoegde autoriteiten.

(166)Om eenvormige voorwaarden voor de uitvoering van deze verordening te waarborgen, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend met betrekking tot de vaststelling van uitvoeringshandelingen tot vaststelling van gedetailleerde regels met betrekking tot door Enisa in rekening gebrachte vergoedingen, uitvoeringshandelingen tot vaststelling van een Europese cyberbeveiligingscertificeringsregeling voor ICT-producten, ICT-diensten, ICT-processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten, uitvoeringshandelingen tot vaststelling van gemeenschappelijke beginselen en referentiebepalingen die bedoeld zijn om te voorzien in elementen in alle Europese cyberbeveiligingscertificeringsregelingen, uitvoeringshandelingen tot nadere bepaling van procedures voor voorafgaande goedkeuring of modellen van algemene delegatie, uitvoeringshandelingen tot erkenning van cyberbeveiligingscertificaten van een derde land of internationale organisatie als gelijkwaardig aan Europese cyberbeveiligingscertificaten, uitvoeringshandelingen tot vaststelling van een plan voor collegiale toetsing, uitvoeringshandelingen tot vaststelling van de procedures, onder meer inzake grensoverschrijdende samenwerking, voor de machtiging van de conformiteitsbeoordelingsinstanties, uitvoeringshandelingen tot vaststelling van de omstandigheden, vormen en procedures voor aanmeldingen van conformiteitsbeoordelingsinstanties, uitvoeringshandelingen tot aanwijzing van een derde land als een land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging voor ICT-toeleveringsketens, uitvoeringshandelingen tot identificatie van belangrijke ICT-activa die worden gebruikt voor de vervaardiging van producten of de verlening van diensten door entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555, uitvoeringshandelingen tot vaststelling dat entiteiten die actief zijn in zeer kritieke sectoren en andere kritieke sectoren onderworpen zijn aan specifieke risicobeperkende maatregelen en tot nadere bepaling van de termijnen voor de uitfasering van ICT-componenten of componenten die ICT-componenten bevatten die worden geleverd door leveranciers met een hoog risico, uitvoeringshandelingen tot nadere bepaling van de voorwaarden voor de vrijstelling voor entiteiten die zijn gevestigd in of onder zeggenschap staan van entiteiten uit een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging, alsook de vaststelling van uitvoeringshandelingen met gedetailleerde regels met betrekking tot door de Commissie in rekening gebrachte vergoedingen. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad, en de onderzoeksprocedure moet worden gebruikt. Om te zorgen voor uniforme voorwaarden voor de uitvoering van deze verordening moeten aan de Commissie ook uitvoeringsbevoegdheden worden verleend met betrekking tot de vaststelling van een lijst van leveranciers met een hoog risico die relevant zijn voor bepaalde maatregelen waarin deze verordening voorziet.

(167)Het is noodzakelijk dat de Europese cyberbeveiligingscertificeringsregelingen de meest recente technologische ontwikkelingen, nieuwe gerelateerde dreigingen en de vaststelling van nieuwe wetgeving van de Unie weerspiegelen waarin het aantonen van de naleving en het vermoeden van conformiteit door middel van Europese cyberbeveiligingscertificering met de relevante cyberbeveiligingsvoorschriften van die wetgeving worden vastgesteld. Daarom moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 VWEU handelingen vast te stellen om beveiligingsdoelstellingen van de Europese cyberbeveiligingscertificeringsregelingen toe te voegen of te wijzigen. Evenzo moet, in het belang van een kader voor betrouwbare ICT-toeleveringsketens, aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 VWEU handelingen vast te stellen om bijlage II bij deze verordening te wijzigen teneinde deze aan te passen aan technologische ontwikkelingen. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen gebeuren in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven. Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen moeten het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip ontvangen als de deskundigen van de lidstaten, en moeten hun deskundigen systematisch toegang hebben tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.

(168)De werking van Enisa moet aan een regelmatige en onafhankelijke evaluatie worden onderworpen. Die evaluatie moet betrekking hebben op de verwezenlijking van de doelstellingen van Enisa en de relevantie van zijn taken, met name zijn taken met betrekking tot de operationele samenwerking op Unieniveau. In het geval van een evaluatie moet de Commissie evalueren hoe de rol van Enisa als referentiepunt voor advies en expertise kan worden versterkt.

(169)Uitvoeringsverordening (EU) 2024/482 van de Commissie bevat regels voor de vaststelling van de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC). De EUCC is de eerste en enige Europese cyberbeveiligingscertificeringsregeling die is vastgesteld op grond van Verordening (EU) 2019/881. De regeling heeft betrekking op de certificering van ICT-producten, met inbegrip van producten die behoren tot de technische domeinen “smartcards en soortgelijke componenten” en “hardwarecomponenten met beveiligingsboxen”, en beveiligingsprofielen (als ICT-processen). Daarom moet ervoor worden gezorgd dat de certificeringsactiviteiten en de activiteiten van het Agentschap worden voortgezet.

(170)Overeenkomstig artikel 42, lid 2, van Verordening (EU) 2018/1725 70 zijn de Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming geraadpleegd, en op [datum] hebben zij een gezamenlijk advies uitgebracht.

(171)Verordening (EU) 2019/881 moet worden ingetrokken.

(172)Daar de doelstellingen van deze verordening niet voldoende door de lidstaten kunnen worden verwezenlijkt, maar vanwege de omvang of de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie (VEU) neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze verordening niet verder dan nodig is om deze doelstellingen te verwezenlijken,

HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:

TITEL I 
ALGEMENE BEPALINGEN

Artikel 1
Onderwerp en toepassingsgebied

1.Bij deze verordening worden vastgesteld:

a)de opdracht, doelstellingen, taken en organisatorische aangelegenheden in verband met het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa);

b)een kader voor de vaststelling van Europese cyberbeveiligingscertificeringsregelingen teneinde een toereikend cyberbeveiligingsniveau van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten in de Unie te waarborgen, alsmede om versnippering van de interne markt wat betreft cyberbeveiligingscertificeringsregelingen in de Unie te vermijden; en

c)een kader voor betrouwbare ICT-toeleveringsketens.

2.Het in lid 1, punt b), bedoelde kader is van toepassing onverminderd specifieke bepalingen inzake vrijwillige of verplichte certificering in andere rechtshandelingen van de Unie.

3.Het in lid 1, punt c), bedoelde kader is van toepassing op publieke of private entiteiten van een soort als bedoeld in bijlage I of II bij Richtlijn (EU) 2022/2555 die hun diensten verlenen of hun activiteiten verrichten binnen de Unie.

4.Deze verordening doet geen afbreuk aan de essentiële staatsfuncties van de lidstaten, waaronder het waarborgen van de territoriale integriteit van de staat, de handhaving van de openbare orde en de bescherming van de nationale veiligheid. Met name de nationale veiligheid blijft uitsluitend de verantwoordelijkheid van elke lidstaat.

Artikel 2
Definities

Voor de toepassing van deze verordening wordt verstaan onder:

1)“cyberbeveiliging”: de activiteiten die nodig zijn om netwerk- en informatiesystemen, de gebruikers van dergelijke systemen, en andere personen die getroffen worden door cyberdreigingen, te beschermen;

2)“entiteiten van de Unie”: entiteiten van de Unie zoals gedefinieerd in artikel 3, punt 1, van Verordening (EU, Euratom) 2023/2841;

3)“gemachtigde aanbieder van attesteringen”: een publieke of particuliere entiteit waarvoor Enisa een besluit heeft vastgesteld waarbij die entiteit wordt gemachtigd Europese individuele attesteringen van cyberbeveiligingsvaardigheden toe te kennen zoals vastgelegd in een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden;

4)“Europese individuele attestering van cyberbeveiligingsvaardigheden”: een register, in digitale of fysieke vorm, waaruit blijkt dat een persoon de taken kent, begrijpt en kan uitvoeren die verband houden met een rolprofiel of een subset van een rolprofiel van het Europees kader voor cyberbeveiligingsvaardigheden (ECSF), naar aanleiding van een beoordeling zoals vastgesteld in een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden;

5)“regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden”: een uitgebreide reeks voorschriften, vereisten, normen en procedures die door Enisa zijn vastgesteld en verband houden met een rolprofiel van het ECSF of een subset daarvan, en die van toepassing zijn op en worden toegepast door gemachtigde aanbieders van attesteringen;

6)“netwerk- en informatiesysteem”: een netwerk- en informatiesysteem zoals gedefinieerd in artikel 6, punt 1, van Richtlijn (EU) 2022/2555;

7)“nationale cyberbeveiligingsstrategie”: een nationale cyberbeveiligingsstrategie zoals gedefinieerd in artikel 6, punt 4, van Richtlijn (EU) 2022/2555;

8)“incident”: een incident zoals gedefinieerd in artikel 6, punt 6, van Richtlijn (EU) 2022/2555;

9)“grootschalig cyberbeveiligingsincident”: een grootschalig cyberbeveiligingsincident zoals gedefinieerd in artikel 6, punt 7, van Richtlijn (EU) 2022/2555;

10)“incidentenbehandeling”: incidentenbehandeling zoals gedefinieerd in artikel 6, punt 8, van Richtlijn (EU) 2022/2555;

11)“cyberdreiging”: elke potentiële omstandigheid, gebeurtenis of actie die netwerk- en informatiesystemen, de gebruikers van dergelijke systemen en andere personen kan schaden, verstoren of op andere wijze negatief kan beïnvloeden;

12)“Europese cyberbeveiligingscertificeringsregeling”: een uitvoerige reeks voorschriften, technische vereisten, normen en procedures die op Unieniveau zijn vastgesteld en die van toepassing zijn op de certificering of conformiteitsbeoordeling van specifieke ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten;

13)“nationale cyberbeveiligingscertificeringsregeling”: een uitvoerige reeks voorschriften, technische vereisten, normen en procedures die door een nationale overheidsinstantie zijn ontwikkeld en vastgesteld en die van toepassing zijn op de certificering of conformiteitsbeoordeling van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten die binnen het toepassingsgebied van de specifieke regeling vallen;

14)“Europees cyberbeveiligingscertificaat”: een door een bevoegde instantie afgegeven document waarin wordt bevestigd dat is geëvalueerd of een bepaald ICT-product, een bepaalde ICT-dienst, een bepaald ICT-proces of een beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit voldoet aan de specifieke, in een Europese cyberbeveiligingscertificeringsregeling vastgestelde beveiligingsvoorschriften;

15)“EU-conformiteitsverklaring”: een door een fabrikant of aanbieder van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de entiteit waarvan de cyberbeveiligingspositie aan certificering is onderworpen, afgegeven document waarin wordt verklaard dat door middel van conformiteitszelfbeoordeling is aangetoond dat aan de in de Europese cyberbeveiligingscertificeringsregeling vastgestelde vereisten voor het zekerheidsniveau “basis” is voldaan;

16)“ICT-product”: een element of groep elementen van een netwerk- of informatiesysteem;

17)“ICT-dienst”: een dienst die volledig of hoofdzakelijk bestaat in de verzending, opslag, opvraging of verwerking van gegevens door middel van netwerk- en informatiesystemen;

18)“ICT-proces”: een reeks activiteiten die wordt uitgevoerd om een ICT-product of ICT-dienst te ontwerpen, ontwikkelen, leveren of onderhouden;

19)“beheerde beveiligingsdienst”: een aan een derde verleende dienst die bestaat uit het uitvoeren van of het verlenen van bijstand voor activiteiten die verband houden met de beheersing van cyberbeveiligingsrisico’s, zoals incidentenbehandeling, penetratietesten, beveiligingsaudits en adviesdiensten, met inbegrip van deskundig advies in verband met technische ondersteuning;

20)“accreditatie”: accreditatie zoals gedefinieerd in artikel 2, punt 10, van Verordening (EG) nr. 765/2008;

21)“nationale accreditatie-instantie”: een nationale accreditatie-instantie zoals gedefinieerd in artikel 2, punt 11, van Verordening (EG) nr. 765/2008;

22)“conformiteitsbeoordeling”: een conformiteitsbeoordeling zoals gedefinieerd in artikel 2, punt 12, van Verordening (EG) nr. 765/2008;

23)“conformiteitsbeoordelingsinstantie”: een conformiteitsbeoordelingsinstantie zoals gedefinieerd in artikel 2, punt 13, van Verordening (EG) nr. 765/2008;

24)“norm”: een norm zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad 71 ;

25)“technische specificatie”: een technische specificatie zoals gedefinieerd in artikel 2, punt 4, van Verordening (EU) nr. 1025/2012;

26)“geharmoniseerde norm”: een geharmoniseerde norm zoals gedefinieerd in artikel 2, punt 1, c), van Verordening (EU) nr. 1025/2012;

27)“zekerheidsniveau”: een basis voor vertrouwen dat een ICT-product, -dienst of -proces, een beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit aan de beveiligingsvoorschriften van een specifieke Europese cyberbeveiligingscertificeringsregeling voldoet, en die aangeeft op welk niveau het betrokken ICT-product, de betrokken ICT-dienst, het betrokken ICT-proces, de betrokken beheerde beveiligingsdienst of de betrokken cyberbeveiligingspositie van een entiteit is geëvalueerd maar als zodanig geen maatstaf is voor de beveiliging van het betrokken ICT-product, de betrokken ICT-dienst, het betrokken ICT-proces, de betrokken beheerde beveiligingsdienst of de betrokken cyberbeveiligingspositie van een entiteit;

28)“conformiteitszelfbeoordeling”: een maatregel die wordt uitgevoerd door een fabrikant of aanbieder van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de entiteit waarvan de cyberbeveiligingspositie aan certificering is onderworpen, en die evalueert of die ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten voldoen aan de in een specifieke Europese cyberbeveiligingscertificeringsregeling opgenomen voorschriften;

29)“cyberbeveiligingspositie van entiteiten”: het cyberbeveiligingsniveau van entiteiten met betrekking tot de specifieke beveiligingsvoorschriften;

30)“model van voorafgaande goedkeuring”: een model waarbij een conformiteitsbeoordelingsinstantie een Europees cyberbeveiligingscertificaat kan afgeven op basis van de beoordeling door een nationale cyberbeveiligingscertificeringsautoriteit tegen de achtergrond van een specifiek certificeringsproces in het kader van een relevante regeling;

31)“model van algemene delegatie”: een model waarbij een conformiteitsbeoordelingsinstantie een Europees cyberbeveiligingscertificaat kan afgeven op basis van een delegatie van certificeringsactiviteiten door een nationale cyberbeveiligingscertificeringsautoriteit;

32)“computer security incident response team” of “CSIRT”: een CSIRT zoals aangewezen of opgericht overeenkomstig artikel 10 van Richtlijn (EU) 2022/2555;

33)“ICT-componenten”: ICT-producten, -diensten of -processen die kunnen worden gebruikt bij de exploitatie van ICT-activa;

34)“ICT-activa”: software- of hardware-activa in de netwerk- en informatiesystemen die worden gebruikt door een entiteit van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555;

35)“belangrijke ICT-activa”: ICT-activa die overeenkomstig artikel 102 als zodanig zijn geïdentificeerd;

36)“elektronischecommunicatienetwerk”: een elektronischecommunicatienetwerk zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) XX/XXXX [voorstel voor de wetgeving inzake digitale netwerken];

37)“zeggenschap”: het vermogen om ofwel direct, ofwel indirect via een of meer intermediaire juridische entiteiten, beslissende invloed uit te oefenen op een juridische entiteit;

38)“vestiging”: de daadwerkelijke uitoefening van activiteiten door middel van stabiele regelingen in het land waar de entiteit haar hoofdbestuur of haar hoofdvestiging heeft;

39)“leverancier met een hoog risico”:

a)een entiteit die is gevestigd in een overeenkomstig artikel 100 aangewezen derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging, of die onder zeggenschap staat van een dergelijk derde land, van een in dat derde land gevestigde entiteit of van een onderdaan van dat derde land; of

b)een overeenkomstig artikel 103, lid 7, aangewezen entiteit en entiteiten die onder zeggenschap van die entiteit staan;

40)“ICT-toeleveringsketen”: een verzameling van ICT-diensten, -producten en -processen die activiteiten en actoren omvat die zijn betrokken in alle stadia voorafgaand aan het op de markt aanbieden van een product of een dienst;

41)“derde land”: een derde land in de zin van artikel 3, punt 4, van Verordening (EU) 2023/2675 van het Europees Parlement en de Raad 72 ;

42)“niet-technisch risico”: de waarschijnlijkheid dat de leverancier onderworpen is aan invloed van een derde land die verlies of verstoring van de verleende dienst kan veroorzaken, het door een entiteit vervaardigde product in gevaar kan brengen of tot exfiltratie van gegevens kan leiden, onder meer met het oog op spionage of het genereren van inkomsten;

43)“significant niet-technisch cyberbeveiligingsrisico”: een niet-technisch cyberbeveiligingsrisico waarvan kan worden aangenomen dat het zeer waarschijnlijk is dat het een incident veroorzaakt dat ernstige negatieve gevolgen kan hebben, onder meer door aanzienlijke materiële of immateriële verliezen of verstoringen te veroorzaken;

44)“kernnetwerkfuncties van mobiele elektronischecommunicatienetwerken”: het centrale architectonische element van de mobiele elektronischecommunicatienetwerken dat grote netwerkknooppunten met het internet verbindt en essentiële systeemfuncties beheert, waaronder de authenticatie van gebruikersapparatuur, legale-interceptiefuncties, security gateways (SeGW) aan de rand van het netwerk, signaleringsbeveiligingsfuncties, roaming- en sessiebeheer, transport van gegevens van gebruikers en controleplannen, toegangsbeleidbeheer, registratie en machtiging van netwerkdiensten, opslag van gegevens van eindgebruikers en netwerken, kritieke netwerkdiensten waaronder domeinnaamsysteem (DNS), interconnectie met mobiele netwerken van derden, blootstelling van kernnetwerkfuncties aan externe toepassingen, en de selectie en het beheer van netwerkslices;

45)“netwerkfunctievirtualisatie (NFV) en beheer en netwerkorkestratie (MANO) van mobiele elektronischecommunicatienetwerken”: de software en het architectonische kader voor het levenscyclusbeheer, de orkestratie en de automatisering van gevirtualiseerde netwerkfuncties (VNF’s), cloud-native netwerkfuncties (CNF’s) en de selectie en het beheer van netwerkslices binnen mobiele elektronischecommunicatienetwerken;

46)“radiotoegangsnetwerk (RAN) van mobiele elektronischecommunicatienetwerken”: het netwerk dat de mobiele gebruikersapparatuur verbindt met het kernnetwerk, met inbegrip van basisstations (eNodeB voor 4G, gNodeB voor 5G), radiozendontvangers op afstand (RRH) en basisbandeenheden (BBU), actieve antennesystemen (AAS) en, in voorkomend geval, uitgesplitste RAN-componenten zoals gecentraliseerde eenheden (CU) en gedistribueerde eenheden (DU), en de intelligente RAN-besturingseenheid (RIC);

47)“kernnetwerkfuncties van vaste elektronischecommunicatienetwerken”: de kernintelligentie van het netwerk, die de belangrijkste knooppunten met elkaar verbindt en een reeks essentiële functies verwerkt, waaronder gebruikersauthenticatie en -autorisatie (AAA), legale-interceptiefuncties (LI), domeinnaamsysteem (DNS) en diensten voor de toewijzing van IP-adressen (DHCP), toegangsbeleidbeheer, opslag van gegevens van eindgebruikers en netwerken, IP-schakeling en -routering, en internationale internetgateways (IIG);

48)“netwerkbeheersysteem van vaste elektronischecommunicatienetwerken”: alle gecentraliseerde platforms en softwarecomponenten die nodig zijn voor de exploitatie, het beheer, het onderhoud en de levering van het netwerk en de monitoring van netwerkgerelateerde informatie;

49)“transport- en transmissiefuncties van vaste elektronischecommunicatienetwerken”: alle componenten die nodig zijn voor de backhaul en aggregatie van het verkeer over het netwerk, met inbegrip van optische transportapparatuur, microgolfverbindingen en onderzeese kabelsystemen die zowel de onderwaterapparatuur als de eindapparatuur van onderzeese lijnen (SLTE) en de fysieke kopstationfaciliteiten omvatten;

50)“toegangsnetwerk van vaste elektronischecommunicatienetwerken”: het netwerk dat de gebouwen van de eindgebruiker verbindt met het aggregatie- of kernnetwerk, met inbegrip van de optische lijnterminal (OLT) en de optische netwerkterminal (ONT) voor glasvezelnetwerken; coaxiale kabelmodemaansluitingssystemen (CMTS) en kabelmodems voor coaxiale kabelnetwerken, en vaste componenten voor draadloze toegang indien gebruikt als substituut voor een vaste lijn.

TITEL II 
HET AGENTSCHAP VAN DE EUROPESE UNIE VOOR CYBERBEVEILIGING

Hoofdstuk I 
Opdracht en doelstellingen

Artikel 3
Opdracht van Enisa

1.De opdracht van Enisa bestaat erin de lidstaten en entiteiten van de Unie te ondersteunen bij het bereiken van een hoog niveau van cyberbeveiliging, cyberweerbaarheid en vertrouwen binnen de Unie.

2.Enisa fungeert voor de lidstaten en voor andere belanghebbenden van de Unie als referentiepunt voor advies en expertise op het gebied van cyberbeveiliging.

3.Door de taken uit te voeren die het krachtens deze verordening krijgt toegewezen, draagt Enisa bij tot het verminderen van de versnippering van de interne markt.

4.Enisa voert de taken uit die hem bij rechtshandelingen van de Unie zijn toegewezen.

5.Enisa ontwikkelt zijn eigen capaciteiten, met inbegrip van technische en menselijke capaciteiten en vaardigheden, om de uit hoofde van deze verordening toegewezen taken uit te voeren.

Artikel 4
Doelstellingen van Enisa

1.Enisa is een expertisecentrum voor cyberbeveiliging door zijn onafhankelijkheid, de wetenschappelijke en technische kwaliteit van zijn advies, bijdragen en bijstand, de informatie die het verstrekt, de transparantie van zijn werkwijzen en -methoden, en zijn toewijding bij de uitvoering van zijn taken.

2.Enisa staat de lidstaten en, in voorkomend geval, de entiteiten van de Unie bij bij de uitvoering van horizontale en sectorale beleidsmaatregelen en wetgeving van de Unie op het gebied van cyberbeveiliging, met inbegrip van markttoezichtactiviteiten.

3.Enisa stelt zijn expertise ter beschikking aan en staat de Commissie bij in de ontwikkeling van beleid en wetgeving van de Unie op het gebied van cyberbeveiliging.

4.Enisa ondersteunt de capaciteitsopbouw en paraatheid in de hele Unie door de lidstaten, entiteiten van de Unie, via de cyberbeveiligingsdienst voor de instellingen, organen en instanties van de Unie (CERT-EU) als bedoeld in hoofdstuk IV van Verordening (EU, Euratom) 2023/2841, en publieke en particuliere belanghebbenden bij te staan om de bescherming van hun netwerk- en informatiesystemen te verbeteren en de cyberweerbaarheid en responscapaciteit te ontwikkelen en te verbeteren.

5.Enisa draagt bij tot de uitvoering van de academie voor cyberbeveiligingsvaardigheden en de groei van het personeelsbestand op het gebied van cyberbeveiliging in de Unie door inspanningen te ondersteunen om de overdraagbaarheid van vaardigheden in de hele Unie te ontwikkelen, onder meer door de instandhouding en het gebruik van het ECSF en de ontwikkeling, de instandhouding en het gebruik van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden overeenkomstig hoofdstuk II, afdeling 4, van deze titel, en door te zorgen voor het aanbieden van opleiding overeenkomstig artikel 6, lid 8.

6.Enisa bevordert de samenwerking, met inbegrip van informatie-uitwisseling, en coördinatie op Unieniveau tussen de lidstaten, de entiteiten van de Unie overeenkomstig Verordening (EU, Euratom) 2023/2841, en betrokken particuliere en publieke belanghebbenden inzake aangelegenheden op het gebied van cyberbeveiliging.

7.Enisa draagt bij tot het versterken van de cyberbeveiligingscapaciteiten op Unieniveau ter ondersteuning van de maatregelen van de lidstaten om cyberdreigingen te voorkomen en daarop te reageren.

8.Enisa ondersteunt de operationele samenwerking op het niveau van de Unie, onder meer door bij te dragen tot een gedeeld situationeel bewustzijn van het landschap van cyberdreigingen en -incidenten tussen de lidstaten en, in samenwerking met CERT-EU, tussen entiteiten van de Unie.

9.Enisa werkt nauw samen met Europol, CSIRT’s en andere relevante nationale autoriteiten om de paraatheid op het gebied van cyberbeveiliging en de respons op ransomware-incidenten te verbeteren.

10.Enisa draagt bij tot de vaststelling en instandhouding van een Europees kader voor cyberbeveiligingscertificering overeenkomstig titel III van deze verordening. Enisa bevordert het gebruik van Europese cyberbeveiligingscertificering om versnippering van de interne markt te vermijden.

11.Enisa draagt bij tot de harmonisatie van de digitale eengemaakte markt door normalisatiewerkzaamheden uit te voeren die relevant zijn voor het cyberbeveiligingsbeleid van de Unie en door technische specificaties te ontwikkelen.

12.Enisa bevordert een hoog niveau van bewustmaking op het gebied van cyberbeveiliging bij organisaties en bedrijven.

Hoofdstuk II 
Taken

Afdeling 1 
Ondersteuning voor de uitvoering van Uniebeleid en -recht

Artikel 5
Ondersteuning voor de uitvoering van Uniebeleid en -recht

1.Enisa draagt bij tot de uitvoering van Uniebeleid en -recht door:

a)de lidstaten bij te staan bij de consistente uitvoering van het beleid en de wetgeving van de Unie inzake cyberbeveiliging, onder meer door technische richtsnoeren en verslagen uit te brengen, advies te verstrekken en beste praktijken te delen, en door de uitwisseling van beste praktijken tussen de bevoegde autoriteiten in dit verband te vergemakkelijken;

b)het ondersteunen van informatie-uitwisseling binnen en tussen sectoren, met name met betrekking tot de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren en producten met digitale elementen die onder Verordening (EU) 2024/2847 vallen, door beste praktijken en richtsnoeren over beschikbare instrumenten en procedures te verstrekken;

c)op verzoek van de Commissie de lidstaten bij te staan door ondersteuning te bieden, zoals technische richtsnoeren, onder meer over maatregelen voor het beheer van cyberbeveiligingsrisico’s, instrumenten voor de beoordeling van de maturiteit van de cyberbeveiliging en draaiboeken voor respons op incidenten, toegesneden op de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren, of ondersteuning bij de toepassing van “beveiliging door ontwerp”-beginselen voor producten met digitale elementen overeenkomstig Verordening (EU) 2024/2847, teneinde de verbetering van de maturiteitsniveaus van de cyberbeveiliging en de naleving van het Unierecht inzake cyberbeveiliging te vergemakkelijken;

d)bij te dragen aan de werkzaamheden van de op grond van artikel 14, lid 1, van Richtlijn (EU) 2022/2555 opgerichte samenwerkingsgroep (NIS-samenwerkingsgroep), de op grond van artikel 46 sexies, lid 1, van Verordening (EU) nr. 910/2014 opgerichte Europese samenwerkingsgroep voor digitale identiteit, de in artikel 90 van deze verordening bedoelde Europese Groep voor cyberbeveiligingscertificering (EGC) en de op grond van artikel 52, lid 15, van Verordening (EU) 2024/2847 opgerichte administratievesamenwerkingsgroep (ADCO);

e)de lidstaten en de relevante entiteiten van de Unie bij te staan in de ontwikkeling en bevordering van cyberbeveiligingsbeleid in verband met het vrijwaren van de algemene beschikbaarheid en integriteit van de openbare kern van het open internet;

f)overeenkomstig Verordening (EU) 2024/2847 technisch advies en technische ondersteuning te verstrekken aan de lidstaten en de Commissie over aangelegenheden die verband houden met de uitvoering van die verordening;

g)de lidstaten te helpen bij het verlenen van wederzijdse bijstand en bij het faciliteren van dergelijke samenwerkingsprocessen voor essentiële en belangrijke entiteiten overeenkomstig [artikel 37 bis van Richtlijn (EU) 2022/2555];

h)op verzoek van het Europees Comité voor gegevensbescherming advies te verstrekken over de uitvoering van specifieke cyberbeveiligingsaspecten van het beleid en de wetgeving van de Unie met betrekking tot gegevensbescherming en privacy.

2.Enisa draagt bij aan gecoördineerde risicobeoordelingen op het gebied van cyberbeveiliging op het niveau van de Unie, met inbegrip van die welke worden uitgevoerd op grond van artikel 22 van Richtlijn (EU) 2022/2555.

3.Enisa vaardigt richtsnoeren uit met betrekking tot de interoperabiliteit van netwerk- en informatiesystemen die worden gebruikt voor informatie-uitwisseling, onder meer met betrekking tot landsgrensoverschrijdende cyberhubs als bedoeld in artikel 6, lid 3, van Verordening (EU) 2025/38.

4.Enisa is lid van de NIS-samenwerkingsgroep overeenkomstig artikel 14, lid 3, van Richtlijn (EU) 2022/2555.

5.Op verzoek van de Commissie verstrekt Enisa expertise, technisch advies, informatie of analyses of verricht het voorbereidende werkzaamheden met betrekking tot specifieke aangelegenheden op het gebied van cyberbeveiliging om de beleidsvorming van de Commissie en de monitoring van de uitvoering van de wetgeving van de Unie te onderbouwen.

Artikel 6
Capaciteitsopbouw

Enisa verleent bijstand aan:

(1)de lidstaten bij hun inspanningen ter verbetering van de preventie, opsporing en analyse van en de capaciteit om te reageren op cyberdreigingen en -incidenten, door hen te voorzien van kennis en expertise;

(2)op hun verzoek, de lidstaten bij de vaststelling en uitvoering op vrijwillige basis van openbaarmakingsbeleid inzake kwetsbaarheden;

(3)overeenkomstig Verordening (EU, Euratom) 2023/2841, CERT-EU en de interinstitutionele raad voor cyberbeveiliging bij hun inspanningen om entiteiten van de Unie te ondersteunen bij het versterken van hun cyberbeveiliging, de preventie, opsporing en analyse van cyberdreigingen en -incidenten te verbeteren en hun vermogen om op dergelijke cyberdreigingen en -incidenten te reageren, te verbeteren;

(4)de lidstaten, bij de ontwikkeling van nationale CSIRT’s, indien het daarom wordt verzocht op grond van artikel 10, lid 10, van Richtlijn (EU) 2022/2555;

(5)de lidstaten bij de ontwikkeling of actualisering van een nationale cyberbeveiligingsstrategie en kernprestatie-indicatoren voor de beoordeling van die strategie, indien het daarom wordt verzocht op grond van artikel 7, lid 4, van Richtlijn (EU) 2022/2555, het bevordert de verspreiding van die strategieën en neemt kennis van de voortgang van hun uitvoering in de hele Unie teneinde beste praktijken te bevorderen;

(6)op hun verzoek, de instellingen van de Unie bij de ontwikkeling en evaluatie van Uniestrategieën inzake cyberbeveiliging, door de verspreiding van die strategieën te bevorderen en de voortgang van de uitvoering ervan te volgen;

(7)de nationale CSIRT’s bij het verhogen van het niveau van hun capaciteiten, onder meer door de dialoog en de informatie-uitwisseling te bevorderen, met als doel ervoor te zorgen dat iedere CSIRT, rekening houdend met de stand van de techniek, over een gemeenschappelijke set minimumcapaciteiten beschikt en overeenkomstig de beste praktijken te werk gaat;

(8)De lidstaten, entiteiten van de Unie en publieke en private belanghebbenden bij hun inspanningen om het personeelsbestand op het gebied van cyberbeveiliging te beoordelen, te laten groeien en te vergroten, onder meer door het ontwikkelen, in stand houden en bevorderen van het gebruik van relevante instrumenten, zoals het ECSF en regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden overeenkomstig afdeling 4 van dit hoofdstuk;

(9)relevante overheidsinstanties en particuliere belanghebbenden door gerichte opleidingen te organiseren, in voorkomend geval in samenwerking met belanghebbenden;

(10)de NIS-samenwerkingsgroep bij de uitwisseling van beste praktijken en informatie, met name met betrekking tot de uitvoering van Richtlijn (EU) 2022/2555 overeenkomstig artikel 14, lid 4, punt c), van die richtlijn;

(11)de krachtens Verordening (EU) 2024/2847 aangewezen markttoezichtautoriteiten bij hun activiteiten die gericht zijn op het waarborgen van de doeltreffende uitvoering van die verordening, met inbegrip van ondersteuning voor richtsnoeren en technisch advies aan marktdeelnemers, ondersteuning voor nalevingscontroles, risicobeoordeling, gezamenlijke activiteiten en bezemacties zoals vastgelegd in Verordening (EU) 2024/2847;

(12)de leden van de EGC bij de uitwisseling van beste praktijken en op verzoek van individuele lidstaten de nationale cyberbeveiligingscertificeringsautoriteiten bij de uitvoering van de Europese cyberbeveiligingscertificeringsregelingen op nationaal niveau;

(13)overheidsinstanties en particuliere belanghebbenden met betrekking tot conformiteitsbeoordelings- en evaluatieactiviteiten, met inbegrip van conformiteitsbeoordelingsinstanties en kleine en middelgrote ondernemingen, ter ondersteuning van een robuust, concurrerend, inclusief en geharmoniseerd ecosysteem voor conformiteitsbeoordeling ter ondersteuning van de uitvoering van Verordening (EU) 2024/2847 en het Europees kader voor cyberbeveiligingscertificering;

(14)het Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging en het netwerk van nationale coördinatiecentra dat is opgericht op grond van Verordening (EU) 2021/887, door informatie uit te wisselen over huidige en opkomende risico’s en cyberdreigingen, onder meer met betrekking tot nieuwe en opkomende informatie- en communicatietechnologieën;

(15)de lidstaten door technische ondersteuning te bieden, onder meer voor de totstandbrenging en exploitatie van testomgevingen voor regelgeving op het gebied van cyberbeveiliging overeenkomstig de relevante wetgeving van de Unie.

Artikel 7
Bewustmaking en talentenpool

Enisa helpt de lidstaten bij hun inspanningen om het beleid en de wetgeving van de Unie inzake cyberbeveiliging onder de aandacht te brengen en de zichtbaarheid ervan te bevorderen door bruikbare instrumenten en richtsnoeren te ontwikkelen. Enisa ondersteunt initiatieven die zijn gericht op het vergroten van de Europese talentenpool op het gebied van cyberbeveiliging, met name door vergelijkende onderzoeken te coördineren.

Artikel 8
Marktkennis en -analyses

1.Enisa verricht en verspreidt analyses van de belangrijkste markttrends op de cyberbeveiligingsmarkt aan zowel de vraag- als de aanbodzijde, met name met betrekking tot de terreinen waarop Europese cyberbeveiligingscertificeringsregelingen bestaan of zijn gepland, de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren en de productcategorieën die onder Verordening (EU) 2024/2847 vallen, met inbegrip van de bijlagen III en IV bij die verordening.

2.Enisa verricht en verspreidt analyses van technologische trends op het gebied van cyberbeveiliging, met name in verband met activiteiten en entiteiten die onder Richtlijn (EU) 2022/2555 vallen en producten met digitale elementen die onder Verordening (EU) 2024/2847 vallen.

3.Enisa bouwt kennis op en verspreidt technisch advies en analyses over geavanceerde cyberbeveiligingsinstrumenten, kaders, normen en beste praktijken.

Artikel 9
Internationale samenwerking

Enisa draagt bij aan de inspanningen van de Unie om met derde landen en internationale organisaties evenals binnen de toepasselijke internationale samenwerkingskaders samen te werken teneinde de internationale samenwerking op het gebied van cyberbeveiliging te bevorderen, door:

a)waar passend, als waarnemer betrokken te zijn bij de organisatie van internationale oefeningen, en de resultaten van dergelijke oefeningen te analyseren en er verslag over uit te brengen aan de raad van bestuur;

b)op verzoek van de Commissie de uitwisseling van beste praktijken met derde landen en internationale organisaties te vergemakkelijken;

c)de Commissie, op verzoek, van expertise te voorzien;

d)de Commissie van deskundig advies te voorzien en te ondersteunen bij aangelegenheden in verband met de internationale erkenning van Europese cyberbeveiligingscertificaten overeenkomstig artikel 87;

e)de Commissie van deskundig advies te voorzien en bij te staan bij aangelegenheden in verband met internationale normalisatie en door samen te werken met relevante internationale normalisatieorganisaties, in voorkomend geval in samenwerking met de bij artikel 90 ingestelde EGC.

Afdeling 2

Operationele samenwerking

Artikel 10
Operationele samenwerking op Unieniveau

1.Enisa ondersteunt de operationele samenwerking tussen de lidstaten, de entiteiten van de Unie via CERT-EU, en tussen andere belanghebbenden.

2.Enisa is lid van het op grond van artikel 15, lid 1, van Richtlijn (EU) 2022/2555 opgerichte netwerk van nationale CSIRT’s en verzorgt het secretariaat van het CSIRT-netwerk op grond van artikel 15, lid 2, van Richtlijn (EU) 2022/2555.

3.Enisa verzorgt het secretariaat van het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) overeenkomstig artikel 16, lid 2, tweede alinea, van Richtlijn (EU) 2022/2555.

4.Enisa ondersteunt de technische en operationele samenwerking tussen de lidstaten, met name via het CSIRT-netwerk en EU-CyCLONe. Deze vorm van ondersteuning omvat het volgende:

a)adviseren over het verbeteren van de capaciteit om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen;

b)op verzoek van een of meer lidstaten advies en beoordelingen geven met betrekking tot een specifiek potentieel of lopend incident of een specifieke potentiële of lopende cyberdreiging, onder meer door expertise aan te reiken en de technische afhandeling van dergelijke incidenten te vergemakkelijken, en door de vrijwillige uitwisseling van relevante informatie en technische oplossingen tussen de lidstaten te ondersteunen;

c)kwetsbaarheden, dreigingen en incidenten analyseren;

d)op verzoek van een of meer lidstaten steun verlenen in verband met technische onderzoeken achteraf van significante incidenten in de zin van artikel 23, lid 3, van Richtlijn (EU) 2022/2555;

e)bijdragen tot de ondersteuning van het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en -crises op operationeel niveau, met name door EU-CyCLONe bij te staan bij het opstellen van verslagen op politiek niveau en door de tijdige uitwisseling van informatie tussen het CSIRT-netwerk en EU-CyCLONe te vergemakkelijken.

5.Op verzoek van een lidstaat of een entiteit van de Unie in samenwerking met CERT-EU ondersteunt Enisa consistente communicatie met het publiek in verband met een incident of cyberdreiging.

6.Enisa ondersteunt de samenwerking tussen de lidstaten en via CERT-EU tussen de entiteiten van de Unie met betrekking tot de uitrol van beveiligde communicatie-instrumenten. Enisa maakt binnen het CSIRT-netwerk en EU-CyCLONe gebruik van beveiligde communicatie-instrumenten die worden geleverd door juridische entiteiten die zijn gevestigd of worden geacht te zijn gevestigd in de Unie en waarover de lidstaten of ingezetenen van de lidstaten zeggenschap hebben.

Artikel 11
Gedeeld situationeel bewustzijn op het gebied van cyberbeveiliging

1.Met het oog op een beter gedeeld situationeel bewustzijn van het landschap van cyberdreigingen en -incidenten tussen de lidstaten en tussen entiteiten van de Unie, doet Enisa het volgende:

a)in samenwerking met EU-CyCLONe, het CSIRT-netwerk, de Commissie, CERT-EU, Europol en andere relevante entiteiten van de Unie databanken van geverifieerde en betrouwbare inlichtingen over cyberdreigingen ontwikkelen, met inbegrip van trends op het gebied van incidenten, tactieken, technieken en procedures;

b)overeenkomstig artikel 12 vroegtijdige waarschuwingen afgeven over een potentieel of lopend significant of grootschalig incident, of een cyberdreiging met een potentieel grensoverschrijdend karakter, met name met betrekking tot de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren;

c)op verzoek van het CSIRT-netwerk, EU-CyCLONe of de Commissie tijdig ad-hocanalyses verstrekken over opkomende trends op het gebied van incidenten;

d)op verzoek van de lidstaten of de Commissie analyses of andere informatie verstrekken met betrekking tot een feitelijk of vermeend cyberbeveiligingsrisico of -dreiging;

e)analyses en technisch advies verstrekken met betrekking tot cyberbeveiligingsrisico’s in producten met digitale elementen, onder meer om markttoezicht te ondersteunen en door om de twee jaar een technisch verslag over opkomende trends overeenkomstig artikel 17, lid 3, van Verordening (EU) 2024/2847 op te stellen;

f)regelmatig een diepgaand technisch situatieverslag inzake de EU-cyberbeveiliging over incidenten en cyberdreigingen opstellen en het verslag ter beschikking stellen van de Raad, EU-CyCLONe, het CSIRT-netwerk, de Commissie, de Europese Dienst voor extern optreden en Europol;

g)trends monitoren op het gebied van de technieken, eisen en gevolgen van ransomware-aanvallen en informatie over dergelijke trends verstrekken aan de Commissie, het CSIRT-netwerk en EU-CyCLONe en Europol.

2.Met het oog op een beter gedeeld situationeel bewustzijn van het landschap van cyberdreigingen en -incidenten tussen belanghebbenden, doet Enisa het volgende:

a)analyses uitvoeren van cyberdreigingen, -incidenten, trends, opkomende technologieën en de effecten daarvan, met inbegrip van een regelmatige analyse van de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren en relevante productcategorieën die onder Verordening (EU) 2024/2847 vallen;

b)in samenwerking met de Commissie en, in voorkomend geval, het CSIRT-netwerk, advies, richtsnoeren en beste praktijken voor de beveiliging van netwerk- en informatiesystemen verstrekken, met name voor de beveiliging van de infrastructuur ter ondersteuning van de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren;

c)strategische langetermijnanalyses van cyberdreigingen en -incidenten uitvoeren teneinde nieuwe tendensen in kaart te brengen en incidenten te helpen voorkomen.

3.Enisa kan de in lid 2 bedoelde analyses, adviezen, richtsnoeren, beste praktijken en verslagen openbaar maken, in overleg met de in lid 2 bedoelde bijdragende entiteiten.

4.Bij de uitvoering van de in lid 1, punten a) tot en met d) en f), en lid 2 genoemde activiteiten maakt Enisa gebruik van zijn eigen analyses en, in voorkomend geval, van de informatie die het bij de uitvoering van zijn taken heeft ontvangen, met inbegrip van:

a)informatie die wordt verstrekt in openbaar beschikbare bronnen, met inbegrip van openbaar bekende kwetsbaarheden in ICT-producten of -diensten die beschikbaar zijn in de op grond van artikel 12, lid 2, van Richtlijn (EU) 2022/2555 opgezette Europese kwetsbaarheidsdatabase;

b)informatie die wordt gedeeld door de lidstaten, entiteiten van de Unie, CERT-EU, partners uit de particuliere sector of niet-gouvernementele partners en organisaties uit derde landen en internationale organisaties, met inachtneming van eventuele beperkingen door middel van een zichtbare markering bij de verdere verspreiding van die informatie.

5.Enisa werkt nauw samen met de lidstaten bij het opstellen van het in lid 1, punt e), bedoelde technisch situatieverslag inzake de EU-cyberbeveiliging. Het verslag wordt gebaseerd op publiek beschikbare informatie, eigen analyses, en verslagen die ter beschikking worden gesteld door onder meer de CSIRT’s van de lidstaten of de bij de Richtlijn (EU) 2022/2555 opgerichte centrale contactpunten, beide op vrijwillige basis, EC3 en CERT-EU. In overleg met de bijdragende entiteiten kan Enisa een geaggregeerde versie van het verslag openbaar maken.

Artikel 12
Vroegtijdige waarschuwingen

1.Vroegtijdige waarschuwingen als bedoeld in artikel 11, lid 1, eerste alinea, punt b), van deze verordening bevatten relevante informatie over een potentieel of lopend significant of grootschalig incident, of een cyberdreiging met een potentieel grensoverschrijdend karakter, met name met betrekking tot de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren. Dergelijke informatie kan betrekking hebben op bekende kwetsbaarheden en op de vraag of zij van invloed zijn op producten met digitale elementen die vallen onder Verordening (EU) 2024/2847, technieken en procedures, indicatoren voor aantasting, vijandige tactieken, dreigingsactorspecifieke informatie en aanbevelingen over risicobeperkende maatregelen.

2.Vroegtijdige waarschuwingen als bedoeld in artikel 11, lid 1, eerste alinea, punt b), worden zo spoedig mogelijk afgegeven aan het betrokken CSIRT of de betrokken CSIRT’s en, in voorkomend geval, aan het CSIRT-netwerk en EU-CyCLONe.

3.Enisa biedt een dienst voor vroegtijdige waarschuwing aan aan entiteiten die actief zijn in de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren.

4.De in lid 3 bedoelde dienst wordt verleend op verzoek van de entiteit en in een machineleesbaar formaat openbaar gemaakt. Die dienst omvat het delen van informatie over indicatoren voor cyberdreigingen en aanbevelingen voor risicobeperkende maatregelen.

5.Enisa stelt een procedure vast voor de verspreiding van vroegtijdige waarschuwingen onder de in lid 3 bedoelde entiteiten.

Artikel 13
Ondersteuning bij respons op en evaluatie van incidenten

1.Enisa exploiteert en beheert de EU-cyberbeveiligingsreserve geheel of gedeeltelijk overeenkomstig Verordening (EU) 2025/38.

2.Op verzoek van de Commissie of EU-CyCLONe evalueert en beoordeelt Enisa, met de steun van het CSIRT-netwerk en met de goedkeuring van de betrokken lidstaat, significante cyberbeveiligingsincidenten of grootschalige cyberbeveiligingsincidenten overeenkomstig artikel 21 van Verordening (EU) 2025/38.

3.Enisa verleent, in samenwerking met Europol en CSIRT’s of andere bevoegde autoriteiten, naargelang het geval, individuele essentiële en belangrijke entiteiten zoals vermeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 bijstand bij de voorbereiding op, de respons op en het herstel van een ransomware-incident. Daartoe richt Enisa een helpdesk op en maakt het met name gebruik van het versterkte gedeelde situationele bewustzijn van het landschap van cyberdreigingen en -incidenten overeenkomstig artikel 11, lid 1, eerste alinea, punten a) en g), van deze verordening.

Artikel 14
Cyberbeveiligingsoefeningen op Unieniveau

1.Enisa ondersteunt de Commissie bij het opstellen van een doorlopend jaarprogramma van cyberbeveiligingsoefeningen op het niveau van de Unie.

2.Enisa houdt een register bij van de lessen die zijn getrokken uit de in lid 1 bedoelde oefeningen en doet de lidstaten en, in voorkomend geval, de entiteiten van de Unie aanbevelingen voor de wijze waarop de geleerde lessen doeltreffend en efficiënt kunnen worden uitgevoerd.

3.Op verzoek van EU-CyCLONe of de Commissie organiseert Enisa of draagt het bij aan de organisatie van cyberbeveiligingsoefeningen op het niveau van de Unie, waarbij onder meer de paraatheid om te reageren op grootschalige cyberbeveiligingsincidenten en -crises op het niveau van de Unie wordt getest.

4.Op verzoek van de lidstaten ondersteunt Enisa hen bij het organiseren van nationale cyberbeveiligingsoefeningen.

5.Op verzoek van CERT-EU draagt Enisa bij aan de organisatie van cyberbeveiligingsoefeningen die CERT-EU overeenkomstig artikel 13, lid 7, van Verordening (EU, Euratom) 2023/2841 organiseert.

Artikel 15
Terbeschikkingstelling van instrumenten en platforms

1.Enisa zorgt voor de oprichting, verstrekking, exploitatie, instandhouding en actualisering, voor zover nodig, van operationele technische instrumenten, met inbegrip van platforms die verband houden met cyberbeveiliging op het niveau van de Unie, met name het centrale meldingsplatform dat is opgericht op grond van artikel 16, lid 1, van Verordening (EU) 2024/2847 [en het centrale toegangspunt voor de melding van incidenten dat is ingesteld op grond van artikel 23 bis van Richtlijn (EU) 2022/2555], en testinstrumenten ter ondersteuning van de uitvoering van conformiteitsbeoordelingsprocedures overeenkomstig de desbetreffende wetgeving van de Unie.

2.Waar passend voor de toepassing van lid 1 werkt Enisa samen en wisselt het informatie uit met het CSIRT-netwerk en, in voorkomend geval, met markttoezichtautoriteiten.

Artikel 16
Kwetsbaarheidsbeheersdiensten

Enisa ontwikkelt een gemeenschappelijke Uniebrede capaciteit voor kwetsbaarheidsbeheersdiensten en verleent diensten op het gebied van kwetsbaarheidsbeheer aan belanghebbenden door:

a)de krachtens artikel 12, lid 2, van Richtlijn (EU) 2022/2555 opgezette Europese kwetsbaarheidsdatabase bij te houden;

b)kwetsbaarheidsbeheersdiensten te verlenen aan belanghebbenden, voortbouwend op de Europese kwetsbaarheidsdatabase en gebruikmakend van relevante informatie waarover Enisa beschikt;

c)in voorkomend geval, gestructureerde samenwerking aan te gaan met organisaties die programma’s, registers of databases aanbieden die vergelijkbaar zijn met de Europese kwetsbaarheidsdatabase;

d)actieve ondersteuning te bieden aan de CSIRT’s die overeenkomstig artikel 12, lid 1, van Richtlijn (EU) 2022/2555 als coördinatoren zijn aangewezen met betrekking tot het beheer van de gecoördineerde bekendmaking van kwetsbaarheden die significante gevolgen kunnen hebben voor entiteiten in meer dan één lidstaat;

e)methodologieën en governancemechanismen voor de identificatie van kwetsbaarheden en gecoördineerde bekendmaking te ontwikkelen en in stand te houden, in samenwerking met nationale bevoegde autoriteiten, CSIRT’s, het bedrijfsleven en de onderzoeksgemeenschap.

Afdeling 3

Certificering en normalisatie op het gebied van cyberbeveiliging

Artikel 17
Cyberbeveiligingscertificering

1.Enisa draagt bij tot en bevordert de ontwikkeling en uitvoering van het beleid van de Unie inzake cyberbeveiligingscertificering zoals vastgesteld in titel III van deze verordening. Enisa is verantwoordelijk voor:

a)het voorbereiden van potentiële Europese cyberbeveiligingscertificeringsregelingen (“potentiële regelingen”) voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten overeenkomstig artikel 74 en, in voorkomend geval, het ontwikkelen van technische specificaties overeenkomstig artikel 77;

b)het in stand houden van vastgestelde Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 75, onder meer met het oog op een mogelijke herziening van de vastgestelde Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 76;

c)het bevorderen van het gebruik van vastgestelde regelingen en het onderhouden van een speciale website met informatie over, en bekendmaking van, Europese cyberbeveiligingscertificeringsregelingen, Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen overeenkomstig artikel 79;

d)het organiseren van capaciteitsopbouw met betrekking tot certificeringsprocessen, evaluatieactiviteiten, collegiale toetsing, onder meer door de lidstaten op hun verzoek ondersteuning te bieden overeenkomstig artikel 6, punt 12.

2.Enisa ondersteunt de Commissie bij de volgende activiteiten:

a)de governance van de EGC overeenkomstig artikel 90;

b)het organiseren van een Europese Vergadering voor cyberbeveiligingscertificering overeenkomstig artikel 72, lid 1;

c)met betrekking tot de internationale erkenning van Europese cyberbeveiligingscertificaten overeenkomstig artikel 87;

d)het organiseren van collegiale toetsingen overeenkomstig artikel 89;

e)het opstellen van modelbepalingen waarnaar moet worden verwezen in de Europese cyberbeveiligingscertificeringsregelingen voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten overeenkomstig artikel 81, lid 5.

Artikel 18
Normalisatie, technische specificaties en richtsnoeren

1.Enisa stelt technische specificaties en richtsnoeren op ter ondersteuning van de toepassing van Uniewetgeving op het gebied van cyberbeveiliging. Bij het opstellen van die technische specificaties houdt Enisa rekening met bestaande Europese en internationale normen en andere relevante technische specificaties. Enisa zorgt voor de consistentie van zijn technische specificaties en richtsnoeren.

2.Enisa houdt toezicht op en neemt, in voorkomend geval, deel aan en geeft leiding aan activiteiten inzake de ontwikkeling van normalisatie op het niveau van de Unie en, overeenkomstig artikel 9, op internationaal niveau, teneinde het beleid van de Unie op het gebied van cyberbeveiliging te ondersteunen.

3.Enisa ondersteunt de ontwikkeling en evaluatie van cryptografische algoritmen. Wanneer Enisa een cryptografisch algoritme positief beoordeelt, werkt Enisa overeenkomstig Verordening (EU) nr. 1025/2012 samen met de Europese normalisatie-instellingen om de normalisatie ervan te ondersteunen.

4.Enisa verstrekt de Commissie en, in voorkomend geval, de lidstaten technisch advies over passende normen of technische specificaties ter ondersteuning van het cyberbeveiligingsbeleid van de Unie, onder meer voor harmonisatiewetgeving van de Unie op het gebied van cyberbeveiliging, met name Verordening (EU) 2024/2847, technische gebieden voor de toepassing van artikel 25 van Richtlijn (EU) 2022/2555, en Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 81, lid 1, punt d).

5.Enisa staat de Commissie bij in de beoordeling van ontwerpen van geharmoniseerde normen ter ondersteuning van de uitvoering van de harmonisatiewetgeving van de Unie op het gebied van cyberbeveiliging.

6.Enisa bevordert de toepassing van Europese en internationale normen voor cyberbeveiliging.

7.Enisa voert de in de leden 1 tot en met 6 bedoelde taken op integere, onpartijdige en vertrouwelijke wijze uit, onder meer door zijn deelname aan specifieke technische organen in te trekken of te onderbreken wanneer die deelname in strijd is met andere taken of doelstellingen.

Afdeling 4 
Uitvoering van de academie voor cyberbeveiligingsvaardigheden

Artikel 19
Europees kader voor cyberbeveiligingsvaardigheden

1.Enisa ontwikkelt een Europees kader voor cyberbeveiligingsvaardigheden (ECSF) en maakt dit publiek toegankelijk. Alvorens het ECSF publiek toegankelijk te maken of te actualiseren overeenkomstig lid 4, raadpleegt Enisa de Commissie.

2.In het ECSF worden profielen van cyberbeveiligingsprofessionals vastgesteld en worden specifieke taken, vaardigheden en kennis aan een bepaald rolprofiel gekoppeld. Het gebruik van het ECSF is vrijwillig voor publieke en private entiteiten.

3.Enisa kan belanghebbenden raadplegen bij de ontwikkeling en het gebruik van het ECSF.

4.Enisa beoordeelt regelmatig of het nodig is het ECSF te actualiseren en werkt het in voorkomend geval bij.

Artikel 20
Ontwikkeling, vaststelling en instandhouding van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden

1.Enisa zorgt voor de ontwikkeling, de vaststelling en de instandhouding van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden. Het gebruik van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden is vrijwillig voor nationale overheidsinstanties en particuliere entiteiten, tenzij anders bepaald in het nationale recht.

2.Alvorens een nieuwe regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden op te zetten, raadpleegt Enisa de Commissie. Enisa stelt een dergelijke regeling pas vast na een positief advies van de Commissie. Bij het voorbereiden van een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden kan Enisa belanghebbenden raadplegen.

3.Een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden omvat het volgende:

a)onderwerp en toepassingsgebied van de attesteringsregeling op basis van ECSF-rolprofielen of subsets daarvan;

b)eisen die van toepassing zijn op personen die zijn opgeleid om beoordelingen uit te voeren (“beoordelaars”) overeenkomstig artikel 21, de nodige vaardigheden, kennis en ervaring, alsook opleidingsmethoden;

c)een analyse van de marktacceptatie die specifiek is voor elke attesteringsregeling;

d)de leerresultaten, beoordelingsmethoden en voorwaarden die gemachtigde aanbieders van attesteringen moeten gebruiken om te beoordelen of een persoon de vereiste vaardigheden overeenkomstig artikel 21 heeft aangetoond;

e)in voorkomend geval, één of meer bekwaamheidsniveaus;

f)regels betreffende het bewaren van gegevens door gemachtigde aanbieders van attesteringen;

g)de inhoud en de vorm van de Europese individuele attestering van cyberbeveiligingsvaardigheden, met inachtneming van artikel 21, lid 5, punt e);

h)de maximale geldigheidsduur van een Europese individuele attestering van cyberbeveiligingsvaardigheden die uit hoofde van de attesteringsregeling zijn afgegeven.

4.Een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden kan de indicatieve kosten van een Europese individuele attestering van cyberbeveiligingsvaardigheden omvatten.

5.Enisa zorgt voor nauwe samenwerking met de lidstaten tijdens de opstelling van de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden.

6.De wijziging van een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden heeft geen gevolgen voor de overeenkomstig artikel 22, lid 3, punt a), verleende machtiging, die geldig blijft voor de periode waarvoor zij is verleend.

Artikel 21
Gemachtigde aanbieders van attesteringen

1.Gemachtigde aanbieders van attesteringen beoordelen of personen voldoen aan de vereisten van een regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden en geven, indien aan die vereisten is voldaan, Europese individuele attesteringen van cyberbeveiligingsvaardigheden af. Aanbieders van attesteringen kunnen houder zijn van meerdere machtigingen, die elk zijn verleend voor één regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden.

2.Enisa verstrekt richtsnoeren aan beoordelaars en verzorgt verplichte opleidingen voor beoordelaars met betrekking tot de vereisten en beoordelingsmethoden die zijn opgenomen in de in artikel 20, lid 3, punt b), bedoelde regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden.

3.Entiteiten die gemachtigde aanbieders van attesteringen willen worden of hun machtiging willen verlengen (“aanvragers”), dienen een aanvraag in bij Enisa. Zij moeten aan de volgende eisen voldoen:

a)zij bezitten rechtspersoonlijkheid;

b)zij zijn in staat de in deze verordening vastgestelde taken met betrekking tot Europese individuele attesteringen van cyberbeveiligingsvaardigheden uit te voeren, ongeacht of de beoordeling door de gemachtigde aanbieder van attesteringen zelf of namens hem en onder zijn verantwoordelijkheid wordt uitgevoerd;

c)zij beschikken over de nodige middelen om de technische en administratieve taken in verband met de regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden passend uit te voeren en hebben toegang tot alle vereiste apparatuur en faciliteiten.

Voor de toepassing van de eerste alinea, punt b), wordt elke uitbesteding aan of raadpleging van extern personeel naar behoren gedocumenteerd, brengt deze geen tussenpersonen met zich mee en geschiedt deze bij schriftelijke overeenkomst waarin onder meer de vertrouwelijkheid en belangenconflicten worden geregeld.

4.Aanvragers mogen geen leveranciers met een hoog risico zijn.

5.Gemachtigde aanbieders van attesteringen moeten aan de volgende verplichtingen voldoen:

a)voor de uitvoering van elke regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden:

i)beschikken over de nodige beoordelaars en personeelsleden om hun in die regeling vastgestelde activiteiten tijdig uit te voeren;

ii)ervoor zorgen dat beoordelaars het beroepsgeheim in acht nemen, onpartijdig zijn en hun werkzaamheden onafhankelijk en met de hoogste mate van professionele integriteit uitvoeren;

iii)beschikken over schriftelijke procedures voor het uitvoeren van hun activiteiten in het kader van de regeling waarvoor zij gemachtigd zijn;

b)geen Europese individuele attesteringen van cyberbeveiligingsvaardigheden beoordelen of afgeven aan hun eigen beoordelaars;

c)ervoor zorgen, in voorkomend geval door passende waarborgen in te voeren, dat hun beoordelaars hun werkzaamheden onafhankelijk kunnen uitvoeren, met name wanneer dergelijke personen tot hun eigen structuur behoren of werknemers of lerenden van een dergelijke structuur zijn;

d)geen activiteiten uitoefenen die de onafhankelijkheid van het oordeel of de integriteit van hun beoordelaars in het gedrang kunnen brengen;

e)ervoor zorgen dat, op verzoek van de individuele persoon, elektronische attesteringen van Europese individuele attesteringen van cyberbeveiligingsvaardigheden worden afgegeven als elektronische attesteringen van attributen in een formaat dat kan worden opgeslagen in de Europese portemonnees voor digitale identiteit als bedoeld in Verordening (EU) nr. 910/2014.

6.Gemachtigde aanbieders van attesteringen stellen Enisa onmiddellijk in kennis indien niet langer wordt voldaan aan een van de in de leden 3 en 4 vermelde eisen of de in lid 5 vermelde verplichtingen, of indien er twijfel rijst of niet aan die eisen of verplichtingen is voldaan, onder meer met betrekking tot de onafhankelijkheid van beoordelaars.

7.Gemachtigde aanbieders van attesteringen kunnen personen om een vergoeding vragen voor de beoordeling en afgifte van de Europese individuele attesteringen van cyberbeveiligingsvaardigheden, rekening houdend met de indicatieve kosten van een Europese individuele attestering van cyberbeveiligingsvaardigheden overeenkomstig artikel 20, lid 4, die openbaar zijn gemaakt op een speciale website overeenkomstig artikel 23, punt d).

8.Aanvragers en gemachtigde aanbieders van attesteringen staan Enisa toe beoordelingen uit te voeren in het kader van de aanvraagprocedure of de handhaving van de machtiging en delen alle relevante informatie om ervoor te zorgen dat aan de eisen van de leden 3 en 4 of de verplichtingen van lid 5 is voldaan of nog steeds wordt voldaan overeenkomstig artikel 22, lid 2.

Artikel 22
Behandeling van aanvragen om gemachtigde aanbieder van attesteringen te worden en behoud van machtigingen

1.Aanvragers betalen Enisa een vergoeding voor de behandeling van hun aanvraag. Gemachtigde aanbieders van attesteringen betalen Enisa een vergoeding voor het behoud van hun machtiging.

2.Enisa evalueert of aanvragers en gemachtigde aanbieders van attesteringen hebben voldaan of nog steeds voldoen aan de eisen van artikel 21, leden 3 en 4, en aan de verplichtingen van artikel 21, lid 5.

3.Na een verzoek te hebben behandeld op basis van de vereisten van artikel 21, leden 3 en 4, kan Enisa een van de volgende besluiten nemen:

a)de aanvrager de status van gemachtigde aanbieder van attesteringen verlenen of deze status verlengen;

b)de aanvraag om gemachtigde aanbieder van attesteringen te worden, afwijzen of niet verlengen;

c)de behandeling van de aanvraag afsluiten omdat de aanvrager geen actie heeft ondernomen naar aanleiding van een verzoek om aanvullende informatie van Enisa.

Enisa kan dergelijke besluiten wijzigen, opschorten of intrekken op basis van zijn evaluatie overeenkomstig artikel 22, lid 2, of in het in artikel 21, lid 6, bedoelde geval.

4.Enisa neemt het in lid 3 bedoelde besluit binnen drie maanden na de datum van indiening van een aanvraag overeenkomstig artikel 21, lid 3. Indien Enisa de aanvrager om de aanvullende informatie heeft verzocht, neemt Enisa het in lid 3 bedoelde besluit binnen een maand na ontvangst van de aanvullende informatie.

5.Het in lid 3, punt a), bedoelde besluit heeft een looptijd van maximaal drie jaar en vermeldt de vergoeding voor het jaarlijkse behoud van de vergunning.

6.Enisa zorgt ervoor dat zijn activiteiten in verband met de ontwikkeling en vaststelling van regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden als bedoeld in artikel 20 strikt gescheiden zijn en onafhankelijk van de in de leden 2 en 3 van dit artikel bedoelde activiteiten inzake de behandeling van aanvragen en evaluaties worden uitgevoerd.

Artikel 23
Mededeling van gegevens aan de bevolking

Enisa onderhoudt en actualiseert regelmatig een speciale website met openbare informatie over:

a)het ECSF, met inbegrip van het kader en tijdschema voor de actualisering ervan;

b)de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden, en de voortgang en tijdschema’s voor de ontwikkeling ervan;

c)de vergoedingen in verband met elke op grond van artikel 47 van deze verordening vastgestelde regeling voor de Europese individuele attestering van cyberbeveiligingsvaardigheden;

d)de indicatieve kosten van een Europese individuele attestering van cyberbeveiligingsvaardigheden overeenkomstig artikel 20, lid 4;

e)de lijst van gemachtigde aanbieders van attesteringen.

Hoofdstuk III 
Organisatie van Enisa

Artikel 24
Administratieve en beheersstructuur van Enisa

De administratieve en beheersstructuur van Enisa omvat:

a)een raad van bestuur, die de in artikel 28 vastgestelde taken uitvoert;

b)een dagelijks bestuur, dat de in artikel 30 vastgestelde taken uitvoert;

c)een uitvoerend directeur met de in artikel 32 vastgestelde verantwoordelijkheden;

d)een plaatsvervangend uitvoerend directeur, die verantwoordelijk is voor de in artikel 34 genoemde taken;

e)een Enisa-adviesgroep;

f)een kamer van beroep, die de in de artikelen 39 tot en met 42 genoemde taken uitvoert.

Afdeling 1 
Raad van bestuur

Artikel 25
Samenstelling van de raad van bestuur

1.De raad van bestuur bestaat uit per lidstaat één lid dat door die lidstaat is benoemd en twee door de Commissie benoemde leden. Alle leden hebben stemrecht.

2.Elk lid van de raad van bestuur heeft een plaatsvervanger. De plaatsvervangers vertegenwoordigen de leden indien zij afwezig zijn.

3.Elke lidstaat benoemt het hoofd van een overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen nationale bevoegde autoriteit als lid van de raad van bestuur. Indien dit niet haalbaar blijkt, benoemen de lidstaten een vertegenwoordiger op hoog niveau van een overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen nationale bevoegde autoriteit als lid van de raad van bestuur.

4.De door de Commissie benoemde leden en plaatsvervangers van de leden van de raad van bestuur worden benoemd op grond van hun kennis op het gebied van cyberbeveiliging, met inachtneming van hun relevante bestuurlijke, administratieve en budgettaire vaardigheden. Met betrekking tot plaatsvervangers streven de Commissie en de lidstaten naar een evenwichtige vertegenwoordiging van mannen en vrouwen in de raad van bestuur en stellen ze alles in het werk om hun verloop te beperken om de continuïteit van de werkzaamheden van de raad van bestuur te waarborgen.

5.De ambtstermijn van de door de lidstaten benoemde leden is gelijk aan de in lid 3 bedoelde termijn van hun functie.

6.De ambtstermijn van de plaatsvervangers en van de door de Commissie benoemde leden bedraagt vier jaar. Die termijn kan worden verlengd.

Artikel 26
Voorzitter van de raad van bestuur

1.De raad van bestuur kiest uit zijn stemgerechtigde leden een voorzitter en een vicevoorzitter. De voorzitter en de vicevoorzitter worden bij tweederde meerderheid gekozen door de stemgerechtigde leden van de raad van bestuur.

2.De vicevoorzitter vervangt automatisch de voorzitter wanneer deze verhinderd is.

3.De ambtstermijn van de voorzitter en de vicevoorzitter bedraagt vier jaar en kan eenmaal worden verlengd. Indien tijdens hun ambtstermijn hun lidmaatschap van de raad van bestuur echter eindigt, loopt die ambtstermijn op dezelfde datum als die van deze eindiging automatisch af.

Artikel 27
Vergaderingen van de raad van bestuur

1.De voorzitter roept de vergaderingen van de raad van bestuur bijeen.

2.De uitvoerend directeur neemt aan de vergaderingen van de raad van bestuur deel, maar heeft geen stemrecht.

3.De raad van bestuur houdt ten minste twee gewone vergaderingen per jaar. Daarnaast komt de raad bijeen op initiatief van de voorzitter, op verzoek van de Commissie of op verzoek van ten minste een derde van zijn leden.

4.Een vertegenwoordiger van het bij Verordening (EU) 2021/887 opgerichte Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging is een permanente waarnemer zonder stemrecht bij de vergaderingen van de raad van bestuur.

5.De raad van bestuur kan eenieder wiens advies van belang kan zijn, uitnodigen om een vergadering of een deel van een vergadering bij te wonen als ad-hocwaarnemer, zonder stemrecht en met inachtneming van het reglement van orde van de raad van bestuur.

6.De leden van de raad van bestuur en hun plaatsvervangers kunnen zich, overeenkomstig de bepalingen van het reglement van orde. tijdens de vergaderingen van de raad van bestuur laten bijstaan door adviseurs of deskundigen.

Artikel 28
Taken van de raad van bestuur

1.De raad van bestuur:

a)stelt de algemene opzet vast van de werkzaamheden van Enisa en ziet erop toe dat de werkzaamheden van Enisa in overeenstemming zijn met de in deze verordening vastgestelde regels en beginselen; en zorgt ook voor samenhang tussen de werkzaamheden van Enisa en de op het niveau van de lidstaten en de Unie verrichte activiteiten;

b)stelt het in artikel 44 bedoelde ontwerp van het enkelvoudig programmeringsdocument van Enisa vast, voordat het bij de Commissie voor advies wordt ingediend;

c)stelt, rekening houdend met het advies van de Commissie, het enkelvoudig programmeringsdocument van Enisa vast overeenkomstig artikel 29, lid 2, punt a);

d)oefent toezicht uit op de uitvoering van het meerjarige en jaarlijkse programma dat in het enkelvoudig programmeringsdocument is opgenomen;

e)stelt de jaarlijkse begroting van Enisa vast overeenkomstig artikel 29, lid 2, punt b), en oefent andere functies uit met betrekking tot de begroting van Enisa overeenkomstig hoofdstuk IV;

f)beoordeelt het geconsolideerde jaarverslag over de activiteiten van Enisa, dat de rekeningen bevat en beschrijft hoe Enisa zijn prestatie-indicatoren heeft nageleefd, en keurt dit jaarverslag goed; doet zowel het jaarverslag als zijn beoordeling daarvan uiterlijk op 1 juli van het volgende jaar toekomen aan het Europees Parlement, de Raad, de Commissie en de Rekenkamer, en maakt dit jaarverslag openbaar;

g)stelt overeenkomstig artikel 50 de financiële regels vast die van toepassing zijn op Enisa;

h)stelt een fraudebestrijdingsstrategie vast die in verhouding staat tot de frauderisico’s, rekening houdend met een kosten-batenanalyse van de uit te voeren maatregelen;

i)waarborgt een passende opvolging van de bevindingen en aanbevelingen naar aanleiding van interne of externe auditverslagen en evaluaties, en naar aanleiding van onderzoeken van het Europees Bureau voor fraudebestrijding (OLAF) of het Europees Openbaar Ministerie (EOM);

j)stelt zijn reglement van orde vast, met inbegrip van voorlopige besluiten over de delegatie van specifieke taken op grond van artikel 30, lid 7;

k)oefent, overeenkomstig lid 2 van dit artikel, met betrekking tot het personeel van Enisa, de bevoegdheden uit die zijn toegekend bij het Statuut van de ambtenaren van de Europese Unie (“het Statuut”) en bij de Regeling welke van toepassing is op de andere personeelsleden van de Europese Unie (“de Regeling”), die zijn vastgelegd in Verordening (EEG, Euratom, EGKS) nr. 259/68 van de Raad 73 , aan respectievelijk het tot aanstelling bevoegde gezag en het tot het sluiten van arbeidsovereenkomsten bevoegde gezag (“bevoegdheden van het tot aanstelling bevoegde gezag”);

l)stelt regels ter uitvoering van het Statuut en de Regeling vast, overeenkomstig artikel 110, lid 2, van het Statuut;

m)benoemt de uitvoerend directeur en, indien het besluit de functie van plaatsvervangend uitvoerend directeur in het leven te roepen, de plaatsvervangend uitvoerend directeur, en verlengt in voorkomend geval hun ambtstermijn of ontheft hen uit hun functie overeenkomstig artikel 31;

n)benoemt overeenkomstig het Statuut en de Regeling een rekenplichtige die onafhankelijk is bij de uitvoering van zijn/haar taken;

o)neemt alle beslissingen in verband met het opzetten van de interne structuren van Enisa en, waar nodig, de wijziging van die interne structuren, rekening houdend met de activiteitenbehoeften van Enisa en met het oog op een gezond begrotingsbeheer;

p)geeft machtiging tot het sluiten van werkregelingen ten aanzien van artikel 68;

q)geeft machtiging tot het sluiten van werkregelingen overeenkomstig artikel 70;

r)benoemt en ontslaat de leden van de kamer van beroep overeenkomstig artikel 29, lid 2, punt d);

s)stelt regels vast voor de preventie en beheersing van belangenconflicten met betrekking tot de leden van de kamer van beroep.

2.Overeenkomstig artikel 110, lid 2, van het Statuut neemt de raad van bestuur op grond van artikel 2, lid 1, van het Statuut alsmede op grond van artikel 6 van de Regeling een besluit waarbij hij de nodige bevoegdheden van het tot aanstelling bevoegde gezag delegeert aan de uitvoerend directeur en de voorwaarden bepaalt voor de opschorting van die gedelegeerde bevoegdheden. De uitvoerend directeur kan die bevoegdheden op zijn beurt delegeren.

3.Wanneer uitzonderlijke omstandigheden dat vereisen, kan de raad van bestuur door middel van een besluit de delegatie van de bevoegdheden van het tot aanstelling bevoegde gezag aan de uitvoerend directeur en de bevoegdheden van het tot aanstelling bevoegde gezag die de uitvoerend directeur op zijn beurt heeft gedelegeerd, tijdelijk opschorten en die bevoegdheden in diens plaats zelf uitoefenen of delegeren aan een van zijn leden of aan een ander personeelslid dan de uitvoerend directeur.

Artikel 29
Stemregels in de raad van bestuur

1.De raad van bestuur stelt zijn besluiten vast bij volstrekte meerderheid van zijn stemgerechtigde leden, tenzij in deze verordening anders is bepaald.

2.Een tweederdemeerderheid van de stemgerechtigde leden van de raad van bestuur is vereist voor:

a)de vaststelling van het enkelvoudig programmeringsdocument als bedoeld in artikel 28, lid 1, punt c);

b) de vaststelling van de jaarlijkse begroting als bedoeld in artikel 28, lid 1, punt e);

c) de benoeming, de verlenging van de ambtstermijn of het ontslag van de uitvoerend directeur en van de plaatsvervangend uitvoerend directeur, als bedoeld in de artikelen 31 en 33;

d)de benoeming en het ontslag van de leden van de kamer van beroep, als bedoeld in artikel 36.

3.Besluiten over begrotings- of personeelsaangelegenheden, met name de in artikel 28, lid 1, punten c), e), f), g), h), i), k), l), m) en n), bedoelde aangelegenheden, worden alleen vastgesteld indien de vertegenwoordigers van de Commissie een positieve stem uitbrengen. Voor de vaststelling van de in artikel 28, lid 1, punt c), bedoelde besluiten met betrekking tot het enkelvoudig programmeringsdocument van Enisa is alleen een positieve stem van de vertegenwoordiger van de Commissie vereist over de elementen van het besluit die geen verband houden met het jaarlijkse en meerjarige werkprogramma van Enisa.

4.Elk stemgerechtigd lid heeft één stem. Bij afwezigheid van een stemgerechtigd lid is zijn of haar plaatsvervanger gerechtigd het stemrecht van het lid uit te oefenen.

5.De voorzitter van de raad van bestuur neemt deel aan de stemming.

6.De uitvoerend directeur neemt niet deel aan de stemming.

7.In het reglement van orde van de raad van bestuur wordt de stemprocedure nader uitgewerkt, met name betreffende de gevallen waarin een lid mag handelen namens een ander lid.

Afdeling 2 
Dagelijks bestuur

Artikel 30
Dagelijks bestuur

1.De raad van bestuur wordt bijgestaan door een dagelijks bestuur.

2.Het dagelijks bestuur:

a)stelt besluiten op die ter goedkeuring aan de raad van bestuur worden voorgelegd;

b)zorgt samen met de raad van bestuur voor de passende opvolging van de bevindingen en aanbevelingen in interne of externe auditverslagen en evaluaties, alsook van de bevindingen en aanbevelingen die voortvloeien uit de onderzoeken van OLAF en het EOM;

c)ondersteunt en adviseert de uitvoerend directeur bij de uitvoering van de besluiten van de raad van bestuur, teneinde het toezicht op het administratief en begrotingsbeheer te versterken, onverminderd de verantwoordelijkheden van de uitvoerend directeur als omschreven in artikel 32.

3.Het dagelijks bestuur bestaat uit de voorzitter van de raad van bestuur, één vertegenwoordiger van de Commissie in de raad van bestuur en drie andere leden die de raad van bestuur benoemt uit zijn stemgerechtigde leden. De voorzitter van de raad van bestuur is ook de voorzitter van het dagelijks bestuur. Bij de benoemingen van de leden van het dagelijks bestuur wordt een evenwicht tussen mannen en vrouwen nagestreefd. De uitvoerend directeur neemt deel aan de vergaderingen van het dagelijks bestuur, maar heeft geen stemrecht.

4.De ambtstermijn van de leden van het dagelijks bestuur bedraagt vier jaar. Die termijn kan worden verlengd. De ambtstermijn van de leden van het dagelijks bestuur eindigt wanneer hun lidmaatschap van de raad van bestuur eindigt.

5.Het dagelijks bestuur houdt ten minste één gewone vergadering per kwartaal. Daarnaast komt de uitvoerende raad bijeen op initiatief van zijn voorzitter of op verzoek van zijn leden.

6.De raad van bestuur stelt het reglement van orde van het dagelijks bestuur vast.

7.Indien nodig als gevolg van hoogdringendheid kan het dagelijks bestuur namens de raad van bestuur bepaalde voorlopige besluiten nemen, met name op het gebied van administratief beheer, met inbegrip van de opschorting van de delegatie van de bevoegdheden van het tot aanstelling bevoegde gezag en begrotingsaangelegenheden. Een dergelijk voorlopig besluit wordt onverwijld ter kennis gebracht van de raad van bestuur. De raad van bestuur besluit vervolgens, uiterlijk drie maanden nadat dat besluit was genomen, of het voorlopig besluit wordt goedgekeurd of afgewezen. Het dagelijks bestuur neemt geen besluiten namens de raad van bestuur waarvoor een tweederdemeerderheid van de leden van de raad van bestuur met stemrecht is vereist.

Afdeling 3 
Uitvoerend directeur

Artikel 31
Benoeming, ontslag en verlenging van de ambtstermijn

1.De uitvoerend directeur wordt benoemd door de raad van bestuur op basis van verdiensten en vaardigheden uit een kandidatenlijst die door de Commissie wordt opgesteld na een open en transparante selectieprocedure.

2.Vóór de benoeming wordt de door de raad van bestuur gekozen kandidaat uitgenodigd een verklaring voor de betreffende commissie van het Europees Parlement af te leggen en vragen van leden te beantwoorden.

3.De uitvoerend directeur wordt aangesteld als tijdelijk functionaris van Enisa, overeenkomstig artikel 2, punt a), van de Regeling welke van toepassing is op de andere personeelsleden.

4.Voor het sluiten van de arbeidsovereenkomst met de uitvoerend directeur wordt Enisa vertegenwoordigd door de voorzitter van de raad van bestuur.

5.De ambtstermijn van de uitvoerend directeur bedraagt vijf jaar. Tegen het eind van die termijn voert de Commissie een beoordeling uit waarbij rekening wordt gehouden met een evaluatie van de prestaties van de uitvoerend directeur en de toekomstige taken en uitdagingen van Enisa.

6.Op grond van een voorstel van de Commissie, waarin rekening wordt gehouden met de in lid 5 bedoelde beoordeling, kan de raad van bestuur de ambtstermijn van de uitvoerend directeur eenmaal verlengen met ten hoogste vijf jaar.

7.Een uitvoerend directeur wiens ambtstermijn is verlengd, kan na afloop van de volledige termijn niet deelnemen aan een nieuwe selectieprocedure voor hetzelfde ambt.

8.De raad van bestuur stelt het Europees Parlement in kennis van zijn voornemen om de ambtstermijn van de directeur te verlengen overeenkomstig lid 6. Binnen drie maanden voorafgaand aan een dergelijke verlenging legt de uitvoerend directeur desgevraagd een verklaring af voor de betreffende commissie van het Europees Parlement en beantwoordt hij of zij vragen van leden.

9.De uitvoerend directeur kan uitsluitend uit zijn functie worden ontheven bij besluit van de raad van bestuur op voorstel van de Commissie.

Artikel 32
Taken en verantwoordelijkheden van de uitvoerend directeur

1.De uitvoerend directeur beheert Enisa en legt verantwoording af aan de raad van bestuur.

2.De uitvoerend directeur voert zijn/haar taken onafhankelijk uit en vraagt noch ontvangt instructies van regeringen of andere organen.

3.De uitvoerend directeur brengt desgevraagd verslag uit over de uitoefening van zijn of haar taken aan het Europees Parlement. De Raad kan de uitvoerend directeur verzoeken verslag uit te brengen over de uitoefening van zijn of haar taken.

4.De uitvoerend directeur is de wettelijke vertegenwoordiger van Enisa.

5.De uitvoerend directeur is verantwoordelijk voor de uitvoering van de taken die bij deze verordening aan Enisa zijn toegekend. De uitvoerend directeur is met name belast met de volgende taken:

a)zorgen voor de dagelijks leiding van Enisa;

b)het uitvoeren van de besluiten van de raad van bestuur;

c)ervoor zorgen dat de financiële regels van Enisa worden nageleefd;

d)het enkelvoudig programmeringsdocument opstellen en ter goedkeuring indienen bij de raad van bestuur voordat het bij de Commissie wordt ingediend;

e)het enkelvoudig programmeringsdocument uitvoeren en verslag over de uitvoering ervan uitbrengen aan de raad van bestuur;

f)het geconsolideerde jaarlijkse activiteitenverslag van Enisa opstellen, waaronder de uitvoering van het jaarlijkse werkprogramma van Enisa, en dit ter beoordeling en goedkeuring indienen bij de raad van bestuur;

g)een actieplan opstellen voor de opvolging van de conclusies van de evaluaties achteraf van Enisa als bedoeld in artikel 121, en elke twee jaar verslag uitbrengen aan de Commissie over de geboekte vooruitgang;

h)een actieplan opstellen waarmee follow-up wordt gegeven aan de conclusies van interne of externe auditverslagen en evaluaties, en van onderzoeken van OLAF en van het EOM, en tweemaal per jaar verslag over de geboekte vooruitgang uitbrengen aan de Commissie en op gezette tijden aan de raad van bestuur;

i)het ontwerp van de in artikel 50 bedoelde financiële regels opstellen die van toepassing zijn op Enisa;

j)de ontwerpraming van ontvangsten en uitgaven van Enisa opstellen en de begroting van Enisa uitvoeren;

k)de financiële belangen van de Unie beschermen door, zonder afbreuk te doen aan de onderzoeksbevoegdheid van OLAF en het EOM, preventieve maatregelen tegen fraude, corruptie en andere onwettige activiteiten te nemen, doeltreffende controles uit te voeren en bij onregelmatigheden de ten onrechte betaalde bedragen terug te vorderen en indien passend doeltreffende, evenredige en afschrikkende administratieve sancties op te leggen, en financiële sancties;

l)een strategie voor fraudebestrijding, een strategie voor efficiëntiewinsten en synergieën, een strategie voor samenwerking met derde landen of internationale organisaties en een strategie voor het organisatorisch beheer en internecontrolesystemen voor Enisa opstellen en ter goedkeuring voorleggen aan de raad van bestuur;

m)contacten met het bedrijfsleven en consumentenorganisaties leggen en onderhouden om een regelmatige dialoog met de belanghebbenden te waarborgen;

n)regelmatig standpunten en informatie uitwisselen met relevante entiteiten van de Unie over hun activiteiten in verband met cyberbeveiliging om te zorgen voor samenhang bij de uitvoering van het beleid van de Unie op dat gebied;

o)diversiteit en genderevenwicht bij de aanwerving van Enisa-personeel bevorderen;

p)regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden zoals bedoeld in artikel 20, lid 1, vaststellen;

q)besluiten vaststellen met betrekking tot aanvragers die gemachtigde aanbieders van attesteringen willen worden of om hun machtiging te verlengen, als bedoeld in artikel 22, lid 3;

r)andere taken verrichten waarmee de uitvoerend directeur krachtens deze verordening is belast.

6.Indien noodzakelijk en in overeenstemming met de doelstellingen en taken van Enisa, kan de uitvoerend directeur ad-hocwerkgroepen instellen, samengesteld uit deskundigen, waaronder deskundigen van de bevoegde autoriteiten van de lidstaten. De raad van bestuur wordt daarvan van tevoren door de uitvoerend directeur in kennis gesteld. De procedures betreffende met name de samenstelling van de werkgroepen, de benoeming van de deskundigen van de werkgroepen door de uitvoerend directeur en de werkwijze van de werkgroepen worden in het huishoudelijk reglement van Enisa vastgesteld.

7.De uitvoerend directeur kan, indien nodig voor de efficiënte en doeltreffende uitvoering van de taken van Enisa en op basis van een passende kosten-batenanalyse besluiten in een of meer lidstaten een of meer lokale kantoren op te zetten. Voordat de uitvoerend directeur besluit een lokaal kantoor op te zetten, vraagt hij advies van de betrokken lidstaten, waaronder de lidstaat waar de zetel van Enisa zich bevindt, en verkrijgt hij daarvoor voorafgaande toestemming van de Commissie en de raad van bestuur. Indien tijdens het overleg tussen de uitvoerend directeur en de betrokken lidstaten geen overeenstemming kan worden bereikt, wordt de aangelegenheid ter bespreking aan de Raad voorgelegd. Het aantal personeelsleden in alle lokale kantoren wordt tot een minimum beperkt en maakt in totaal maximaal 40 % uit van het voltallige personeel van Enisa in de lidstaat waar de zetel van Enisa zich bevindt. Het aantal personeelsleden in elk lokaal kantoor maakt maximaal 10 % uit van het totaal aantal personeelsleden van Enisa in de lidstaat waar de zetel van Enisa zich bevindt.

8.In het besluit tot het opzetten van een lokaal kantoor wordt het toepassingsgebied van de in dat lokale kantoor te verrichten activiteiten omschreven, op zodanige wijze dat onnodige kosten en verdubbeling van administratieve functies van Enisa worden vermeden.

Afdeling 4 
Plaatsvervangend uitvoerend directeur

Artikel 33
Plaatsvervangend uitvoerend directeur

1.De raad van bestuur kan besluiten een functie van plaatsvervangend uitvoerend directeur in het leven te roepen om de uitvoerend directeur bij te staan.

2.Wanneer de raad van bestuur besluit een functie van plaatsvervangend uitvoerend directeur in het leven te roepen, zijn de bepalingen van artikel 31 dienovereenkomstig van toepassing op de plaatsvervangend uitvoerend directeur.

Artikel 34
Taken en verantwoordelijkheden van de plaatsvervangend uitvoerend directeur

De plaatsvervangend uitvoerend directeur staat de uitvoerend directeur bij in het beheer van Enisa en bij het uitvoeren van de in artikel 32 bedoelde taken. Indien de uitvoerend directeur afwezig of verhinderd is, of indien de functie vacant is, neemt de plaatsvervangend uitvoerend directeur zijn plaats in tijdens de afwezigheid of totdat de functie is ingevuld.

Afdeling 5 
Enisa-adviesgroep

Artikel 35
Enisa-adviesgroep

1.De raad van bestuur richt, op voorstel van de uitvoerend directeur, op transparante wijze de Enisa-adviesgroep op. De Enisa-adviesgroep is samengesteld uit erkende deskundigen die belanghebbenden vertegenwoordigen, zoals de cyberbeveiligingsbranche, de ICT-sector, kmo’s, entiteiten die actief zijn in de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren, fabrikanten van producten met digitale elementen en opensourcesoftwarestewards in de zin van Verordening (EU) 2024/2847, conformiteitsbeoordelingsinstanties die zijn aangemeld uit hoofde van het in artikel 93 en Verordening (EU) 2024/2847 bedoelde Europees kader voor cyberbeveiligingscertificering, entiteiten die actief zijn op het gebied van elektronische identificatiemiddelen, consumentenorganisaties, academische deskundigen op het gebied van cyberbeveiliging, Europese normalisatieorganisaties en toezichthoudende autoriteiten op het gebied van rechtshandhaving en gegevensbescherming. Deze erkende deskundigen zijn onderdanen van de lidstaten. De raad van bestuur streeft naar een passend evenwicht tussen mannen en vrouwen, een geografisch evenwicht en een evenwicht tussen de verschillende groepen belanghebbenden.

2.Procedures voor de Enisa-adviesgroep, met name betreffende de samenstelling, het in lid 1 bedoelde voorstel van de uitvoerend directeur, het aantal, en de benoeming van zijn leden en de werking van de Enisa-adviesgroep, worden in het huishoudelijk reglement van Enisa vastgelegd en gepubliceerd.

3.De Enisa-adviesgroep wordt voorgezeten door de uitvoerend directeur of door een andere persoon die door de uitvoerend directeur per geval wordt benoemd.

4.De ambtstermijn van de leden van de Enisa-adviesgroep bedraagt tweeënhalf jaar en kan eenmaal worden verlengd. Leden van de raad van bestuur zijn geen lid van de Enisa-adviesgroep. Deskundigen van de Commissie en deskundigen uit de lidstaten mogen de vergaderingen van de Enisa-adviesgroep bijwonen en aan de werkzaamheden ervan deelnemen. De uitvoerend directeur kan vertegenwoordigers van andere organen die geen lid zijn van de Enisa-adviesgroep uitnodigen de vergaderingen van de Enisa-adviesgroep bij te wonen en deel te nemen aan de werkzaamheden ervan.

5.De Enisa-adviesgroep adviseert Enisa met betrekking tot de uitvoering van zijn activiteiten, behalve voor de toepassing van de bepalingen van de titels III, IV en V van deze verordening. Zij adviseert met name de uitvoerend directeur met betrekking tot de opstelling van een voorstel voor het jaarlijkse werkprogramma van Enisa en met betrekking tot de communicatie met de belanghebbenden over met het jaarlijkse werkprogramma verband houdende aangelegenheden.

6.De Enisa-adviesgroep informeert de raad van bestuur regelmatig over haar activiteiten.

7.De logistieke steun die de Enisa-adviesgroep nodig heeft en het secretariaat voor zijn vergaderingen worden geleverd door Enisa.

Afdeling 6 
Kamer van beroep

Artikel 36
Instelling en samenstelling van de kamer van beroep

1.Enisa stelt bij besluit van de raad van bestuur een kamer van beroep in.

2.De kamer van beroep is samengesteld uit een voorzitter en drie andere leden. Elk lid van de kamer van beroep heeft een plaatsvervanger. Die plaatsvervanger vertegenwoordigt het lid in geval van diens afwezigheid.

3.De raad van bestuur benoemt de voorzitter, de andere leden en hun plaatsvervangers uit een door de Commissie opgestelde lijst van gekwalificeerde kandidaten. De lijst van gekwalificeerde kandidaten is vier jaar geldig. De geldigheid van deze lijst kan op voorstel van de Commissie door de raad van bestuur worden verlengd voor bijkomende termijnen van vier jaar.

4.Wanneer de kamer van beroep van oordeel is dat de aard van het beroep dit vereist, kan deze de raad van bestuur verzoeken twee extra leden en plaatsvervangers te benoemen op basis van de in lid 3 genoemde lijst.

5.De kamer van beroep stelt haar reglement van orde vast en maakt het bekend.

Artikel 37
Leden van de kamer van beroep

1.De ambtstermijn van de leden en de plaatsvervangers van de kamer van beroep bedraagt vier jaar. Hun ambtstermijn kan door de raad van bestuur worden verlengd voor bijkomende termijnen van vier jaar, op voorstel van de Commissie.

2.De leden van een kamer van beroep zijn onafhankelijk en mogen geen andere taken binnen Enisa vervullen. Bij het nemen van hun beslissingen vragen noch aanvaarden zij instructies van regeringen, andere organen of particuliere entiteiten.

3.De leden van de kamer van beroep kunnen tijdens hun ambtstermijn niet uit hun functie worden ontheven, noch uit de lijst van gekwalificeerde kandidaten worden geschrapt, tenzij er ernstige gronden zijn voor deze ontheffing en de raad van bestuur op voorstel van de Commissie hiertoe besluit.

Artikel 38
Uitsluiting en wraking

1.De leden van de kamer van beroep mogen niet aan een beroepsprocedure deelnemen wanneer zij daarbij enig persoonlijk belang hebben of voordien betrokken zijn geweest als vertegenwoordiger van een van de partijen in de procedure, of wanneer zij hebben deelgenomen aan de vaststelling van het besluit waartegen beroep wordt ingediend.

2.Indien een lid van een kamer van beroep om een van de in lid 1 genoemde redenen of om andere reden van mening is dat hij/zij niet aan een beroepsprocedure kan deelnemen, stelt hij/zij de kamer van beroep daarvan in kennis.

3.Een partij bij de beroepsprocedure kan een lid van een kamer van beroep wraken om een van de in lid 1 genoemde redenen, of indien het lid in kwestie verdacht wordt van partijdigheid. Zulke wraking is niet ontvankelijk indien de partij in de beroepsprocedure, ofschoon zij op de hoogte is van een grond voor wraking, reeds een proceshandeling heeft verricht. Bezwaren kunnen niet worden gebaseerd op de nationaliteit van de leden van de kamer van beroep.

4.De kamer van beroep beslist in de in de leden 2 en 3 genoemde gevallen zonder de deelneming van het betrokken lid over de te ondernemen actie. Voor het nemen van deze beslissing wordt het betrokken lid in de kamer van beroep vervangen door zijn/haar plaatsvervanger.

Artikel 39
Beroep tegen beslissingen en nalaten te handelen

1.Bij de kamer van beroep kan beroep worden ingesteld tegen:

a)door Enisa op grond van artikel 22, lid 3, vastgestelde besluiten;

b)nalatigheid van Enisa om te handelen binnen de in artikel 22, lid 4, gestelde toepasselijke termijnen.

2.Een overeenkomstig lid 1 ingesteld beroep wordt onderworpen aan een prejudiciële herziening overeenkomstig artikel 41 alvorens het voor onderzoek aan de kamer van beroep wordt voorgelegd.

3.Een ingevolge lid 1 van dit artikel aangetekend beroep heeft geen opschortende werking.

Artikel 40
Personen die beroep kunnen instellen, termijn en vorm

1.Verzoekers in de zin van artikel 21, lid 3, kunnen beroep instellen tegen:

a)een tot hen gericht besluit van Enisa overeenkomstig artikel 22, lid 3;

b)nalatigheid van Enisa om ten aanzien van een bij hem ingediende aanvraag te handelen binnen de in artikel 22, lid 4, gestelde toepasselijke termijnen.

2.In het in lid 1, punt a), bedoelde geval wordt het beroep, samen met de uiteenzetting van de gronden voor het beroep, binnen twee maanden na de kennisgeving van de beslissing aan de betrokken aanvrager of, bij gebreke daarvan, op de dag waarop de aanvrager van de beslissing kennis heeft gekregen, schriftelijk ingediend overeenkomstig het in artikel 36, lid 5, bedoelde reglement van orde.

3.In het in lid 1, punt b), bedoelde geval wordt het beroep binnen twee maanden na het verstrijken van de in artikel 22, lid 4, vastgestelde termijn schriftelijk bij Enisa ingediend overeenkomstig het in artikel 36, lid 5, bedoelde reglement van orde.

Artikel 41
Prejudiciële herziening

1.Indien Enisa het beroep ontvankelijk en gegrond acht, corrigeert het zijn beslissing of nalaten te handelen bedoeld in artikel 40, lid 1.

2.Indien Enisa de beslissing niet binnen één maand na ontvangst van het beroep corrigeert, beslist het onmiddellijk of het de toepassing van zijn beslissing al dan niet opschort, en legt het het beroep voor aan de kamer van beroep.

Artikel 42
Onderzoek van beslissingen inzake beroepen

1.De kamer van beroep beslist binnen drie maanden na indiening van het beroep over het al dan niet in aanmerking nemen van het beroep. Bij de behandeling van een beroep houdt de kamer van beroep zich aan de in het reglement van orde vastgestelde termijnen. De kamer nodigt zo vaak als noodzakelijk is de partijen in de beroepsprocedure uit om binnen een bepaalde termijn opmerkingen in te dienen over de kennisgevingen van de kamer of de mededelingen van de andere partijen in de beroepsprocedure. Het is partijen in de beroepsprocedure toegestaan een mondelinge uiteenzetting te geven.

2.Wanneer de kamer van beroep van mening is dat het beroep gegrond is, verwijst zij de zaak terug naar Enisa. Enisa neemt een definitieve beslissing overeenkomstig de bevindingen van de kamer van beroep, en motiveert deze beslissing. Enisa stelt de partijen in de beroepsprocedure hiervan op de hoogte.

Artikel 43
Beroep bij het Hof van Justitie van de Europese Unie

1.Een beroep tot nietigverklaring van de besluiten die Enisa krachtens artikel 22, lid 3, heeft genomen, of een beroep wegens nalaten te handelen binnen de toepasselijke termijnen op grond van artikel 22, lid 4, kan bij het Hof van Justitie van de Europese Unie worden ingeleid nadat de in de artikelen 39 tot en met 42 vastgestelde beroepsprocedure binnen Enisa is uitgeput of in geval van nalaten te handelen binnen de toepasselijke termijn op grond van artikel 41, lid 2.

2.Enisa treft alle noodzakelijke maatregelen om in overeenstemming te zijn met de uitspraak van het Hof van Justitie van de Europese Unie.

Afdeling 7 
Operationele activiteiten

Artikel 44
Enkelvoudig programmeringsdocument

1.Enisa voert zijn werkzaamheden uit overeenkomstig een enkelvoudig programmeringsdocument, bestaande uit een jaarlijks en meerjarig werkprogramma, dat al zijn geplande activiteiten bevat.

2.Elk jaar stelt de uitvoerend directeur overeenkomstig artikel 32 van Gedelegeerde Verordening (EU) 2019/715 van de Commissie 74 een ontwerp van het in lid 1 bedoelde enkelvoudig programmeringsdocument op met de bijbehorende planning van financiële en personele middelen, rekening houdend met de richtsnoeren van de Commissie.

3.Uiterlijk op 30 november van elk jaar stelt de raad van bestuur het in lid 1 bedoelde enkelvoudig programmeringsdocument vast, rekening houdend met het in artikel 32, lid 7, van Gedelegeerde Verordening (EU) 2019/715 bedoelde advies van de Commissie. Als de raad van bestuur besluit op bepaalde onderdelen geen rekening te houden met het advies van de Commissie, motiveert hij dat besluit grondig. De raad van bestuur stuurt het enkelvoudig programmeringsdocument uiterlijk op 31 januari van het jaar daarna toe aan het Europees Parlement, de Raad en de Commissie; dit gebeurt ook met alle daarna bijgewerkte versies van dat document.

4.Het enkelvoudig programmeringsdocument wordt definitief na de definitieve vaststelling van de algemene begroting van de Unie en wordt waar nodig aangepast.

5.Het jaarlijkse werkprogramma bevat gedetailleerde doelstellingen en de beoogde resultaten, met inbegrip van prestatie-indicatoren. Het bevat voorts een beschrijving van de te financieren acties en een indicatie van de financiële en personele middelen die aan iedere actie worden toegewezen overeenkomstig de beginselen betreffende activiteitsgestuurde begroting en beheer. Het jaarlijkse werkprogramma is consistent met het in lid 7 bedoelde meerjarige werkprogramma. Het vermeldt duidelijk de taken die zijn toegevoegd, gewijzigd of geschrapt ten opzichte van het vorige begrotingsjaar.

6.De raad van bestuur past het vastgestelde jaarlijkse werkprogramma aan wanneer een nieuwe taak aan Enisa wordt toegewezen. Iedere wezenlijke wijziging van het jaarlijkse werkprogramma wordt vastgesteld door middel van dezelfde procedure als die welke voor het oorspronkelijke jaarlijkse werkprogramma geldt. De raad van bestuur kan aan de uitvoerend directeur de bevoegdheid delegeren om niet-wezenlijke wijzigingen door te voeren in het jaarlijkse werkprogramma.

7.Het meerjarige werkprogramma omvat een beschrijving van de algemene strategische programmering, met inbegrip van de doelstellingen, beoogde resultaten en prestatie-indicatoren. Het bevat ook de programmering van de middelen, met inbegrip van de meerjarige begroting en de personele middelen.

8.Deze programmering van de middelen wordt jaarlijks geactualiseerd. De strategische programmering wordt in voorkomend geval geactualiseerd, met name indien zulks nodig is om rekening te houden met de resultaten van de in artikel 120 bedoelde evaluatie.

HOOFDSTUK IV 
Vaststelling en structuur van de begroting van Enisa

Artikel 45
Vaststelling van de begroting van Enisa

1.Elk jaar stelt de uitvoerend directeur een voorlopige ontwerpraming op van de ontvangsten en uitgaven van Enisa voor het volgende begrotingsjaar, waarin de personeelsformatie is opgenomen, en zendt hij deze naar de raad van bestuur.

2.De voorlopige ontwerpraming stoelt op de doelstellingen en verwachte resultaten van het jaarlijkse werkprogramma en houdt rekening met de financiële middelen die nodig zijn voor het verwezenlijken van die doelstellingen en verwachte resultaten, in overeenstemming met het beginsel van goed financieel beheer en prestaties.

3.De raad van bestuur stelt op basis van de voorlopige ontwerpraming een ontwerpraming van de ontvangsten en uitgaven van Enisa voor het volgende begrotingsjaar vast en zendt deze uiterlijk op 31 januari van elk jaar aan de Commissie toe.

4.De Commissie stuurt de ontwerpraming samen met het ontwerp van de algemene begroting van de Unie naar de begrotingsautoriteit. De ontwerpraming wordt tevens beschikbaar gesteld aan Enisa.

5.Op basis van de ontwerpraming neemt de Commissie de geraamde bedragen die zij nodig acht voor de personeelsformatie alsook de bijdrage ten laste van de algemene begroting van de Unie op in het ontwerp van algemene begroting van de Unie, dat zij overeenkomstig de artikelen 313 en 314 VWEU voorlegt aan de begrotingsautoriteit.

6.De begrotingsautoriteit keurt de kredieten goed voor de bijdrage uit de algemene begroting van de Unie aan het Enisa.

7.De begrotingsautoriteit stelt de personeelsformatie van Enisa vast.

8.De raad van bestuur stelt de begroting van Enisa vast. De begroting wordt definitief na de definitieve vaststelling van de algemene begroting van de Unie en zo nodig wordt zij dienovereenkomstig aangepast.

9.Gedelegeerde Verordening (EU) 2019/715 is van toepassing op alle bouwprojecten die significante gevolgen kunnen hebben voor de begroting van Enisa.

Artikel 46
Structuur van de begroting van Enisa

1.Voor elk begrotingsjaar worden alle ontvangsten en uitgaven van Enisa geraamd en vervolgens in de begroting van Enisa opgenomen. Het begrotingsjaar valt samen met het kalenderjaar.

2.De ontvangsten en uitgaven van Enisa moeten in evenwicht zijn.

3.Onverminderd andere middelen zijn de ontvangsten van Enisa samengesteld uit:

a)een bijdrage van de Unie die wordt opgenomen in de algemene begroting van de Unie;

b)bestemmingsontvangsten voor de financiering van specifieke uitgaven in overeenstemming met de in artikel 50 bedoelde financiële regels;

c)financiering van de Unie in de vorm van bijdrageovereenkomsten of ad-hocsubsidies in overeenstemming met de in artikel 50 bedoelde financiële regeling van Enisa en met de bepalingen van de relevante instrumenten ter ondersteuning van het beleid van de Unie;

d)de vergoedingen die aan de aanvragers worden aangerekend voor activiteiten in verband met de in artikel 22, lid 1, bedoelde regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden;

e)de vergoedingen die aan de conformiteitsbeoordelingsinstanties worden aangerekend voor deelname aan en afgifte van Europese cyberbeveiligingscertificaten in het kader van een in artikel 47, lid 2, bedoelde Europese cyberbeveiligingscertificeringsregeling;

f)de vergoedingen die aan overheidsinstanties of particuliere organen worden aangerekend voor de in artikel 47, lid 3, bedoelde testinstrumenten;

g)eventuele bijdragen van derde landen die aan de werkzaamheden van Enisa deelnemen op grond van artikel 70, lid 4;

h)eventuele vrijwillige bijdragen in geld of in natura van de lidstaten.

4.Lidstaten die vrijwillig bijdragen als bedoeld in lid 3, punt g), leveren, kunnen geen aanspraak maken op specifieke rechten of diensten op grond daarvan.

5.De uitgaven van Enisa omvatten de bezoldiging van het personeel, uitgaven voor administratie en infrastructuur en werkingskosten.

Artikel 47
Vergoedingen

1.Voor elke activiteit in het kader van de Europese attesteringsregeling als bedoeld in artikel 22, lid 1, worden de volgende vergoedingen aangerekend aan aanvragers in de zin van artikel 21, lid 3, of aan gemachtigde aanbieders van attesteringen om bij te dragen aan de dekking van de volledige kosten van de door Enisa uitgevoerde activiteiten:

a)het verlenen van machtigingen na onderzoek van de eisen van artikel 21, leden 3 en 4, met inbegrip van het uitvoeren van evaluaties;

b)jaarlijkse instandhouding van de machtiging;

c)het verlengen van machtigingen voor aanbieders van Europese individuele attesteringen van cyberbeveiligingsvaardigheden, met inbegrip van het uitvoeren van evaluaties.

2.Met betrekking tot certificering worden de volgende vergoedingen aangerekend aan de conformiteitsbeoordelingsinstanties voor de instandhouding van Europese cyberbeveiligingscertificeringsregelingen in het kader waarvan Europese cyberbeveiligingscertificaten worden afgegeven, met name:

a)een jaarlijkse vergoeding voor deelname aan een Europese cyberbeveiligingscertificeringsregeling;

b)een vergoeding voor de afgifte van Europese cyberbeveiligingscertificaten in het kader van Europese cyberbeveiligingscertificeringsregelingen.

De in punt b) bedoelde vergoedingen worden aangerekend wanneer de conformiteitsbeoordelingsinstantie Europese cyberbeveiligingscertificaten indient bij Enisa met het oog op publicatie op zijn website overeenkomstig artikel 79.

3.Met betrekking tot de in artikel 15, lid 1, bedoelde testinstrumenten wordt een vergoeding aangerekend aan een overheidsinstantie of particulier orgaan voor het gebruik ervan.

4.De vergoedingen worden uitgedrukt en betaald in euro.

5.De Commissie stelt uitvoeringshandelingen vast met gedetailleerde regels voor het bepalen van de door Enisa aan te rekenen vergoedingen, waarin met name de geraamde kosten worden gespecificeerd die zijn toe te schrijven aan elk van de aangelegenheden waarvoor vergoedingen uit hoofde van de leden 1, 2 en 3 worden aangerekend, en de individuele aan te rekenen vergoedingsbedragen, alsook de manieren waarop en de voorwaarden waaronder de vergoedingen moeten worden betaald. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld. De Commissie raadpleegt Enisa bij het opstellen van die ontwerpuitvoeringshandelingen.

6.De vergoedingen die bij de in lid 5 bedoelde uitvoeringshandelingen worden bepaald, worden vooraf vastgesteld om in verhouding te staan tot de geraamde kosten van de uitgevoerde activiteiten of verleende diensten zoals bepaald op een kosteneffectieve wijze, en zijn toereikend om die kosten te dekken. Alle uitgaven van Enisa die worden toegerekend aan personeel dat betrokken is bij de in de leden 1, 2 en 3 bedoelde activiteiten, worden weerspiegeld in de te dekken kosten. De vergoedingen worden op een zodanig niveau vastgesteld dat een tekort of een aanzienlijke accumulatie van overschotten in de begroting van Enisa wordt vermeden. Begrotingsoverschotten uit vergoedingen worden overgedragen naar de financiering van activiteiten van Enisa, met name toekomstige activiteiten in verband met vergoedingen, of naar de compensatie van de geleden verliezen. Indien een aanzienlijk positief saldo in de begroting als gevolg van door vergoedingen gedekte activiteiten zich herhaaldelijk voordoet, of indien een aanzienlijk negatief saldo het gevolg is van de verlening van de door vergoedingen gedekte diensten, wijzigt de Commissie de in lid 5 bedoelde uitvoeringshandelingen om de methode voor het berekenen van de vergoedingen overeenkomstig artikel 118, lid 2, te herzien.

Het bedrag van de vergoedingen voor de in lid 1 bedoelde taken wordt op een zodanig niveau vastgesteld dat de inkomsten daaruit in voldoende mate bijdragen tot de dekking van de kosten van de activiteiten in verband met de ontwikkeling en instandhouding van Europese individuele attesteringsregelingen, de behandeling van aanvragen en de afgifte en verlenging van machtigingen en de kosten die nodig zijn voor die toezichtactiviteiten door Enisa.

Het bedrag van de vergoedingen voor de in lid 2 bedoelde taken wordt op een zodanig niveau vastgesteld dat de inkomsten daaruit voldoende bijdragen tot het dekken van de volledige kosten van de activiteiten in verband met de instandhouding van de in artikel 75 bedoelde Europese cyberbeveiligingscertificeringsregelingen.

Het bedrag van de vergoedingen voor de in lid 3 bedoelde taken wordt op een zodanig niveau vastgesteld dat de inkomsten daaruit in voldoende mate bijdragen tot de dekking van de kosten van de activiteiten in verband met de verstrekking van de in artikel 15, lid 1, bedoelde testinstrumenten.

7.Enisa brengt verslag uit over de aangerekende vergoedingen en de gevolgen daarvan voor zijn begroting in het kader van de in artikel 50 vastgestelde procedure voor de indiening van de rekeningen.

8.Enisa moet een reeks indicatoren vaststellen om de werklast, doeltreffendheid en efficiëntie te meten met betrekking tot activiteiten die met vergoedingen worden gefinancierd. Enisa past dienovereenkomstig zijn personeelsplanning en beheer van middelen in verband met vergoedingen aan om adequaat te kunnen inspelen op die vraag en op eventuele schommelingen in de inkomsten uit vergoedingen. Enisa deelt het verslag met de Commissie, die het kan gebruiken voor de in artikel 120, lid 1, bedoelde evaluatie.

Artikel 48
Uitvoering van de begroting van Enisa

1.De uitvoerend directeur is verantwoordelijk voor de uitvoering van de begroting van Enisa en treeft op als ordonnateur.

2.De interne controleur van de Commissie heeft ten aanzien van Enisa dezelfde bevoegdheden als ten aanzien van de diensten van de Commissie.

3.De uitvoerend directeur zendt jaarlijks alle informatie met betrekking tot de resultaten van de evaluatieprocedures toe aan de begrotingsautoriteit.

Artikel 49
Indiening van de rekeningen en kwijting

1.De rekenplichtige van Enisa dient de voorlopige rekeningen van het begrotingsjaar (jaar N) in bij de rekenplichtige van de Commissie en bij de Rekenkamer uiterlijk op 1 maart van het jaar dat volgt op het begrotingsjaar (jaar N + 1).

2.De rekenplichtige van Enisa verstrekt ook de voor consolidatiedoeleinden vereiste boekhoudkundige informatie uiterlijk op 1 maart van het jaar N + 1 aan de rekenplichtige van de Commissie op de wijze en in de vorm die door deze laatste worden vereist.

3.Enisa zendt uiterlijk op 31 maart van het jaar N + 1 een verslag over het budgettair en financieel beheer voor het jaar N toe aan het Europees Parlement, de Raad, de Commissie en de Rekenkamer.

4.Na ontvangst van de opmerkingen van de Rekenkamer over de voorlopige rekeningen van Enisa voor het jaar N stelt de rekenplichtige van Enisa onder eigen verantwoordelijkheid de definitieve rekeningen van Enisa op. De uitvoerend directeur legt deze voor advies voor aan de raad van bestuur.

5.De raad van bestuur brengt advies uit over de definitieve rekeningen van Enisa voor het jaar N.

6.De rekenplichtige van Enisa zendt uiterlijk op 1 juli van het jaar N + 1 de definitieve rekeningen voor het jaar N samen met het advies van de raad van bestuur toe aan het Europees Parlement, de Raad, de Commissie en de Rekenkamer.

7.Uiterlijk op 15 november van het jaar N + 1 wordt in het Publicatieblad van de Europese Unie een link bekendgemaakt naar de webpagina’s met de definitieve rekeningen van Enisa.

8.Uiterlijk op 30 september van het jaar N + 1 stuurt de uitvoerend directeur de Rekenkamer een antwoord op de opmerkingen die de Rekenkamer in haar jaarverslag heeft gemaakt. De uitvoerend directeur stuurt dat antwoord ook naar de raad van bestuur en de Commissie.

9.Overeenkomstig artikel 267, lid 3, van Verordening (EU, Euratom) 2024/2509 van het Europees Parlement en de Raad verstrekt de uitvoerend directeur het Europees Parlement op verzoek alle inlichtingen die nodig zijn voor het goede verloop van de kwijtingsprocedure voor het jaar N.

10.Op aanbeveling van de Raad, die bij gekwalificeerde meerderheid van stemmen een besluit neemt, verleent het Europees Parlement de uitvoerend directeur vóór 15 mei van het jaar N + 2 kwijting voor de uitvoering van de begroting van het jaar N.

Artikel 50
Financiële regels

1.De financiële regels die van toepassing zijn op Enisa worden vastgesteld door de raad van bestuur, na raadpleging van de Commissie. Die regels wijken niet af van Gedelegeerde Verordening (EU) 2019/715 tenzij dat in verband met de werking van Enisa specifiek vereist is en de Commissie vooraf toestemming heeft verleend.

2.Enisa stelt zijn begroting op en voert deze uit in overeenstemming met zijn financiële regels en Verordening (EU, Euratom) 2024/2509.

Artikel 51
Fraudebestrijding

1.Met het oog op de bestrijding van fraude, corruptie en andere illegale handelingen zijn de bepalingen van Verordening (EU, Euratom) nr. 883/2013 van het Europees Parlement en de Raad 75 onverminderd de activiteiten van Enisa van toepassing.

2.Enisa treedt binnen de zes maanden na [OP please insert the exact date, as referred to in Art. 127] toe tot het Interinstitutioneel akkoord van 25 mei 1999 tussen het Europees Parlement, de Raad van de Europese Unie en de Commissie van de Europese Gemeenschappen betreffende de interne onderzoeken verricht door het Europees Bureau voor fraudebestrijding (OLAF) 76 en stelt onverwijld de overeenkomstige voorschriften vast die op het personeel van het Agentschap van toepassing zijn, waarbij het gebruik maakt van het model in de bijlage bij dat akkoord.

3.De Rekenkamer is bevoegd om bij alle begunstigden van subsidies, contractanten en subcontractanten die van Enisa Uniemiddelen hebben ontvangen, audits te verrichten zowel op basis van documenten als door middel van controles ter plaatse.

4.OLAF kan overeenkomstig de bepalingen en procedures van Verordening (EU, Euratom) nr. 883/2013 en Verordening (EG, Euratom) nr. 2185/96 van de Raad 77 onderzoeken verrichten, waaronder controles en inspecties ter plaatse, om vast te stellen of er in verband met een subsidie of een door Enisa gefinancierde overeenkomst sprake is van fraude, corruptie of andere onwettige activiteiten waardoor de financiële belangen van de Unie worden geschaad.

5.Werkregelingen met derde landen en internationale organisaties, overeenkomsten, subsidieovereenkomsten en subsidiebesluiten van het Enisa bevatten, onverminderd de leden 1 tot en met 4, bepalingen die de Rekenkamer en OLAF uitdrukkelijk de bevoegdheid verlenen dergelijke audits en onderzoeken binnen hun respectieve bevoegdheden te verrichten.

6.Overeenkomstig Verordening (EU) 2017/1939 van de Raad kan het EOM overgaan tot onderzoek en vervolging van fraude en andere onwettige activiteiten waardoor de financiële belangen van de Unie worden geschaad in de zin van Richtlijn (EU) 2017/1371 van het Europees Parlement en de Raad 78 .

Artikel 52
Belangenverklaring

1.De leden van de raad van bestuur, de uitvoerend directeur, de plaatsvervangend uitvoerend directeur, en de door de lidstaten op tijdelijke basis gedetacheerde ambtenaren leggen elk een verklaring over hun verplichtingen en een verklaring over hun belangen af waaruit blijkt dat zij wel of geen directe of indirecte belangen hebben die als nadelig voor hun onafhankelijkheid kunnen worden beschouwd. De verklaringen zijn nauwkeurig en volledig, en worden jaarlijks schriftelijk afgelegd en telkens wanneer dat nodig is bijgewerkt.

2.De leden van de raad van bestuur, de uitvoerend directeur, plaatsvervangend uitvoerend directeur en de externe deskundigen die deelnemen aan ad-hocwerkgroepen leggen elk uiterlijk aan het begin van elke vergadering een nauwkeurige en volledige verklaring af over belangen die met betrekking tot de agendapunten als nadelig voor hun onafhankelijkheid zouden kunnen worden beschouwd, en nemen niet deel aan de bespreking van en de stemming over die aangelegenheden.

3.Enisa legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 bedoelde bepalingen inzake belangenverklaring vast.

Artikel 53
Transparantie

1.Enisa voert zijn activiteiten uit met een hoog niveau van transparantie en overeenkomstig artikel 55.

2.Enisa zorgt ervoor dat geïnteresseerden en alle belanghebbenden worden voorzien van passende, objectieve, betrouwbare en gemakkelijk toegankelijke informatie, in het bijzonder met betrekking tot de resultaten van zijn werkzaamheden. Tevens maakt het de overeenkomstig artikel 52 afgelegde belangenverklaringen openbaar beschikbaar.

3.De raad van bestuur kan op voorstel van de uitvoerend directeur belanghebbenden toestemming geven om de uitvoering van sommige activiteiten van Enisa als waarnemer bij te wonen.

4.Enisa legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 vervatte transparantiebepalingen vast.

Artikel 54
Vertrouwelijkheid binnen Enisa

1.Onverminderd artikel 55 maakt Enisa aan derden geen verwerkte of ontvangen informatie bekend waarvoor een met redenen omkleed verzoek om vertrouwelijke behandeling is ingediend.

2.De leden van de raad van bestuur, de uitvoerend directeur, de plaatsvervangend uitvoerend directeur, de leden van de Enisa-adviesgroep, de externe deskundigen die deelnemen aan ad-hocwerkgroepen en de personeelsleden van Enisa, met inbegrip van de door de lidstaten tijdelijk gedetacheerde ambtenaren, leven ook na de beëindiging van hun functie de geheimhoudingsplicht uit hoofde van artikel 339 VWEU na.

3.Enisa legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 bedoelde vertrouwelijkheidsregels vast.

Artikel 55
Toegang tot documenten

1.Verordening (EG) nr. 1049/2001 is van toepassing op de documenten die gehouden worden door Enisa.

2.De raad van bestuur stelt regelingen vast voor de uitvoering van Verordening (EG) nr. 1049/2001.

3.Tegen besluiten van Enisa ingevolge artikel 8 van Verordening (EG) nr. 1049/2001 kan een klacht bij de Europese Ombudsman worden ingediend op grond van artikel 228 VWEU of beroep bij het Hof van Justitie van de Europese Unie worden ingesteld op grond van artikel 263 VWEU.

HOOFDSTUK V 
Personeel en verbindingsfunctionarissen

Artikel 56
Algemene bepalingen

1.Het Statuut van de ambtenaren en de Regeling welke van toepassing is op de andere personeelsleden, alsook de voorschriften die onderling overeengekomen zijn tussen de instellingen van de Unie om daaraan uitvoering te geven, zijn van toepassing op het personeel van Enisa.

2.Het personeel van Enisa, de verbindingsfunctionarissen en de bij Enisa gedetacheerde nationale deskundigen ondergaan een passende veiligheidsmachtigingsprocedure.

Artikel 57
Voorrechten en immuniteiten

Protocol nr. 7 betreffende de voorrechten en immuniteiten van de Europese Unie, dat aan het VWEU is gehecht, is van toepassing op Enisa en zijn personeelsleden.

Artikel 58
Verbindingsfunctionarissen

1.Elke lidstaat wijst ten minste twee verbindingsfunctionarissen van een overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen nationale bevoegde autoriteit aan als gedetacheerde nationale deskundigen bij Enisa om overeenkomstig artikel 59, lid 2, op zijn zetel of zijn lokale kantoor te werken. De Commissie kan ook een verbindingsfunctionaris aanwijzen.

2.Verbindingsfunctionarissen dragen bij tot de uitvoering van de taken van Enisa, onder meer door operationele samenwerking en informatie-uitwisseling als bedoeld in artikel 11 te vergemakkelijken. Verbindingsfunctionarissen ondersteunen Enisa ook bij het verspreiden van informatie over zijn activiteiten, bevindingen en aanbevelingen onder belanghebbenden in de hele Unie. Zij fungeren ook als nationaal contactpunt voor vragen van en over hun lidstaten, hetzij door die vragen rechtstreeks te beantwoorden, hetzij door contact met hun nationale overheidsdiensten te leggen.

3.Door hun lidstaten aangewezen verbindingsfunctionarissen hebben het recht, zoals bepaald bij deze verordening, om bij hun lidstaten om alle relevante informatie te verzoeken en om deze informatie te ontvangen, met volledige inachtneming van het nationale recht en de praktijken van de lidstaat, met name wat gegevensbescherming en geheimhouding betreft.

Artikel 59
Gedetacheerde nationale deskundigen en andere personeelsleden

1.Enisa kan op al haar werkgebieden gebruikmaken van gedetacheerde nationale deskundigen of ander personeel dat niet in dienst is van Enisa. Het Statuut en de Regeling zijn niet van toepassing op dit personeel.

2.De raad van bestuur stelt een besluit vast houdende voorschriften inzake de detachering van nationale deskundigen, met inbegrip verbindingsfunctionarissen, bij Enisa.

HOOFDSTUK VI 
ALGEMENE BEPALINGEN BETREFFENDE ENISA

Artikel 60
Juridische status van Enisa

1.Enisa is een orgaan van de Unie met rechtspersoonlijkheid.

2.In elke lidstaat heeft Enisa de ruimste handelingsbevoegdheid die door de nationale wetgeving van die lidstaat aan rechtspersonen wordt toegekend. Enisa kan in het bijzonder roerende en onroerende zaken verkrijgen of vervreemden en kan in rechte optreden.

3.Enisa wordt vertegenwoordigd door de uitvoerend directeur.

Artikel 61
Zetel

Enisa heeft zijn zetel in Athene, Griekenland.

Artikel 62
Zetelovereenkomst en voorwaarden voor de werking

1.De nodige regelingen betreffende de huisvesting van Enisa in de gastlidstaat en de faciliteiten die die lidstaat ter beschikking moet stellen, alsmede de specifieke voorschriften die in de gastlidstaat gelden voor de uitvoerend directeur, de leden van de raad van bestuur, de personeelsleden van Enisa en hun gezinsleden, worden vastgelegd in een zetelovereenkomst tussen Enisa en de gastlidstaat, die gesloten wordt nadat de raad van bestuur daarmee heeft ingestemd.

2.De gastlidstaat van Enisa verschaft zo goed mogelijke voorwaarden om een goede werking van Enisa te waarborgen, rekening houdend met de bereikbaarheid van de locatie, de aanwezigheid van passende onderwijsvoorzieningen voor de kinderen van personeelsleden en passende arbeidsmogelijkheden, sociale zekerheid en medische zorg voor kinderen en echtgenoten van personeelsleden.

Artikel 63
Administratief toezicht

De Europese Ombudsman ziet overeenkomstig artikel 228 VWEU toe op de activiteiten van Enisa.

Artikel 64
Aansprakelijkheid van Enisa

1.De contractuele aansprakelijkheid van Enisa valt onder het recht dat van toepassing is op de betrokken overeenkomst.

2.Het Hof van Justitie van de Europese Unie is bevoegd uitspraak te doen krachtens een arbitrageclausule in een door Enisa gesloten overeenkomst.

3.In geval van niet-contractuele aansprakelijkheid vergoedt Enisa alle schade die Enisa zelf of zijn personeelsleden in de uitoefening van hun functie hebben veroorzaakt, overeenkomstig de algemene beginselen die de wetgevingen van de lidstaten gemeen hebben.

4.Het Hof van Justitie van de Europese Unie is bevoegd kennis te nemen van geschillen over de vergoeding van de in lid 3 bedoelde schade.

5.De persoonlijke aansprakelijkheid van de personeelsleden van Enisa jegens Enisa wordt beheerst door de bepalingen van het Statuut of die van de Regeling welke van toepassing is op de andere personeelsleden.

Artikel 65
Talenregeling

1.Verordening nr. 1 van de Raad 79 is van toepassing op Enisa. De lidstaten en de overige door de lidstaten aangewezen instanties mogen hun verzoeken aan Enisa richten en daarop een antwoord verlangen in de officiële taal van de instellingen van de Unie van hun keuze.

2.Vertaling en alle andere taalkundige diensten die nodig zijn voor de werking van Enisa, behalve vertolking, worden verricht door het Vertaalbureau voor de organen van de Europese Unie.

Artikel 66
Bescherming van persoonsgegevens

1.Op de verwerking van persoonsgegevens door Enisa is Verordening (EU) 2018/1725 van toepassing.

2.De raad van bestuur stelt uitvoeringsvoorschriften als bedoeld in artikel 45, lid 3, van Verordening (EU) 2018/1725 vast. De raad van bestuur kan aanvullende maatregelen vaststellen met het oog op de toepassing van Verordening (EU) 2018/1725 door Enisa.

Artikel 67
Beveiligingsvoorschriften voor de bescherming van gevoelige niet-gerubriceerde informatie en gerubriceerde informatie

Enisa stelt in overleg met de Commissie beveiligingsvoorschriften vast en past daarbij de beveiligingsbeginselen toe die zijn vervat in de veiligheidsvoorschriften van de Commissie voor de bescherming van gevoelige niet-gerubriceerde gegevens en EUCI, als vermeld in Besluiten (EU, Euratom) 2015/443 80 en 2015/444 81 . Dat beveiligingsreglement omvat onder meer bepalingen betreffende de uitwisseling, de verwerking en de opslag van dergelijke gegevens.

Artikel 68
Samenwerking met entiteiten van de Unie en nationale autoriteiten

1.Om consistentie te waarborgen, synergieën tot stand te brengen en kwesties van gemeenschappelijk belang aan te pakken, werkt Enisa op het gebied van cyberbeveiliging samen met CERT-EU en relevante entiteiten van de Unie, waaronder Europol, het bij Verordening (EU) 2021/887 opgerichte Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging en het in artikel 68, lid 1, van Verordening (EU) 2016/679 opgerichte Europees Comité voor gegevensbescherming.

2.De in lid 1 bedoelde samenwerking kan worden gewaarborgd door:

a)het uitwisselen van kennis en beste praktijken;

b)het verstrekken van advies en het afgeven van richtsnoeren over aangelegenheden in verband met cyberbeveiliging;

c)het vaststellen van praktische regelingen voor de uitvoering van specifieke taken, na raadpleging van de Commissie.

3.Enisa gaat een gestructureerde samenwerking aan met CERT-EU, met name op het gebied van capaciteitsopbouw, operationele samenwerking en strategische langetermijnanalyses van cyberdreigingen.

4.Enisa werkt samen en wisselt informatie uit met relevante markttoezichtautoriteiten en toezichthoudende autoriteiten die zijn aangewezen uit hoofde van de Uniewetgeving op het gebied van cyberbeveiliging, met inbegrip van Verordening (EU) 2024/2847.

Artikel 69
Samenwerken met belanghebbenden

1.Wanneer dit nodig is om de doelstellingen van deze verordening te verwezenlijken, werkt Enisa samen met belanghebbenden, zoals de cyberbeveiligingsbranche, de ICT-sector, kmo’s, entiteiten die actief zijn in de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 vermelde sectoren, fabrikanten, importeurs of distributeurs van producten met digitale elementen in de zin van Verordening (EU) 2024/2847, conformiteitsbeoordelingsinstanties die zijn aangemeld in het kader van het Europees kader voor cyberbeveiligingscertificering en Verordening (EU) 2024/2847, entiteiten die actief zijn op het gebied van elektronische identificatiemiddelen, consumentenorganisaties en academische deskundigen op het gebied van cyberbeveiliging. Daartoe kan Enisa publiek-private partnerschappen aangaan.

2.Enisa ondersteunt, in overleg met de Commissie, de samenwerking tussen aangemelde conformiteitsbeoordelingsinstanties overeenkomstig artikel 93. Het kan met name een groep aangemelde conformiteitsbeoordelingsinstanties oprichten om beste praktijken uit te wisselen en synergieën tot stand te brengen met andere relevante wetgeving van de Unie, met name Verordening (EU) 2024/2847.

Artikel 70
Samenwerking met derde landen en internationale organisaties

1.Voor zover dat voor de verwezenlijking van de doelstellingen van deze verordening noodzakelijk is, kan Enisa samenwerken met de bevoegde autoriteiten van derde landen of met internationale organisaties, of met beide, in overeenstemming met de prioriteiten van de Unie. Daartoe kan Enisa werkregelingen treffen met de autoriteiten van derde landen en met internationale organisaties, onder voorbehoud van voorafgaande goedkeuring door de Commissie. Die werkregelingen scheppen geen wettelijke verplichtingen voor de Unie en haar lidstaten.

2.De raad van bestuur stelt een strategie op voor betrekkingen met derde landen en internationale organisaties wat betreft aangelegenheden waarvoor Enisa bevoegd is en in overeenstemming met de in lid 1 bedoelde prioriteiten. De Commissie zorgt ervoor dat Enisa binnen zijn mandaat en het bestaande institutionele kader handelt door passende werkregelingen met de uitvoerend directeur te sluiten.

3.Ter ondersteuning van de samenwerking met derde landen, met name landen die kandidaat zijn om tot de Unie toe te treden, kan Enisa zijn expertise op het gebied van capaciteitsopbouw ter beschikking stellen, met name op de volgende gebieden:

a)beoordeling van het maturiteitsniveau van cyberbeveiligingscapaciteiten en -middelen;

b)groei en verbetering van het personeelsbestand op het gebied van cyberbeveiliging, onder meer door het ECSF en de regelingen voor de Europese individuele attestering van cyberbeveiligingsvaardigheden te bevorderen en leer- en opleidingsactiviteiten aan te bieden;

c)ondersteuning van de planning en uitvoering van cyberbeveiligingsoefeningen.

4.Enisa staat open voor deelname aan de werkzaamheden van Enisa door derde landen die met de Unie overeenkomsten in die zin hebben gesloten. Krachtens de desbetreffende bepalingen van overeenkomsten tussen derde landen en de Unie worden, onder voorbehoud van voorafgaande goedkeuring door de Commissie, werkregelingen uitgewerkt voor met name de aard, de omvang en de wijze van deelname van elk van die derde landen aan de werkzaamheden van Enisa, met inbegrip van bepalingen betreffende de deelname aan de initiatieven van Enisa en betreffende financiële en personele bijdragen. Wat personeelszaken betreft, voldoen die werkregelingen in elk geval aan het Statuut en de Regeling.

5.Enisa brengt regelmatig verslag uit aan de Raad en de Commissie over de uitvoering van de in de leden 1 en 4 bedoelde werkregelingen.

TITEL III

EUROPEES KADER VOOR CYBERBEVEILIGINGSCERTIFICERING

HOOFDSTUK I 
Doelstellingen, toepassingsgebied en procedures

Artikel 71
Doelstellingen en toepassingsgebied van het Europees kader voor cyberbeveiligingscertificering

1.Het Europees kader voor cyberbeveiligingscertificering wordt vastgesteld met het oog op de totstandbrenging van een digitale eengemaakte markt voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en entiteiten. Daartoe verhoogt het kader het cyberbeveiligingsniveau in de Unie, maakt het een geharmoniseerde aanpak van Europese cyberbeveiligingscertificeringsregelingen mogelijk en gebruikt het certificering om de naleving van de toepasselijke wetgeving van de Unie te vergemakkelijken.

2.Het Europees kader voor cyberbeveiligingscertificering voorziet in een mechanisme om Europese cyberbeveiligingscertificeringen vast te stellen en het volgende te bevestigen:

a)dat ICT-producten, -diensten en -processen die door middel van dergelijke regelingen zijn geëvalueerd, aan gespecificeerde beveiligingsvoorschriften voldoen met als doel de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of de functies of diensten die via die producten, diensten en processen worden aangeboden of toegankelijk zijn, te beschermen gedurende hun gehele levenscyclus;

b)dat beheerde beveiligingsdiensten die door middel van dergelijke regelingen zijn geëvalueerd, aan gespecificeerde beveiligingsvoorschriften voldoen met als doel de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens die in verband met de verlening van die diensten worden opgevraagd, verwerkt, opgeslagen of verzonden, te beschermen, en dat die diensten permanent met de vereiste bekwaamheid, expertise en ervaring worden verleend door personeel met een voldoende en passend niveau van relevante technische kennis en professionele integriteit;

c)dat de cyberbeveiligingspositie van een entiteit die overeenkomstig dergelijke regelingen is geëvalueerd, voldoet aan specifieke cyberbeveiligingsvoorschriften.

3.Europese cyberbeveiligingscertificering geschiedt op basis van vrijwilligheid, tenzij in het recht van de Unie of de lidstaten anders is bepaald.

4.Een Europees cyberbeveiligingscertificaat en een EU-conformiteitsverklaring die zijn afgegeven in het kader van het Europees kader voor cyberbeveiligingscertificering worden automatisch erkend in alle lidstaten.

Artikel 72
Voorlichting en raadpleging van het publiek

1.De Commissie organiseert, met de steun van Enisa, ten minste eenmaal per jaar een Europese Vergadering voor cyberbeveiligingscertificering, waarbij leden van de EGC en andere relevante deskundigen uit de lidstaten, relevante deskundigen van entiteiten van de Unie en belanghebbenden worden uitgenodigd om strategische prioriteiten voor harmonisatie op het gebied van cyberbeveiligingscertificering te bespreken.

2.De Commissie onderhoudt en actualiseert regelmatig een speciale website met informatie over de volgende aspecten:

a)Europese cyberbeveiligingscertificeringsregelingen die overeenkomstig artikel 73 voor ontwikkeling worden aangevraagd;

b)strategische prioriteiten voor de harmonisatie van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten, de cyberbeveiligingspositie van entiteiten of beveiligingsvoorschriften van de wetgeving van de Unie, met inbegrip van mogelijke terreinen waarvoor een Europese cyberbeveiligingscertificeringsregeling kan worden aangevraagd.

3.De Commissie maakt op de in lid 2 van dit artikel bedoelde website de informatie openbaar over haar verzoek aan Enisa om een potentiële regeling als bedoeld in artikel 73 op te stellen en haar besluit om een door Enisa overeenkomstig artikel 74, lid 7, toegezonden potentiële regeling te aanvaarden, af te wijzen of stop te zetten.

4.Tijdens de opstelling van een potentiële regeling door Enisa overeenkomstig artikel 74 kunnen het Europees Parlement en de Raad de Commissie (in haar hoedanigheid van voorzitter van de EGC) en Enisa verzoeken om relevante informatie over het ontwerp van potentiële regeling te verstrekken. Op verzoek van het Europees Parlement of de Raad kan Enisa, in overleg met de Commissie en onverminderd artikel 54, relevante delen van een ontwerp van potentiële regeling ter beschikking stellen van het Europees Parlement en de Raad op een wijze die past bij het vereiste vertrouwelijkheidsniveau, en in voorkomend geval op beperkte wijze.

5.Het Europees Parlement en de Raad kunnen de Commissie en Enisa verzoeken kwesties te bespreken met betrekking tot de uitvoering van Europese cyberbeveiligingscertificeringsregelingen voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten.

Artikel 73
Verzoek om een Europese cyberbeveiligingscertificeringsregeling

1.De Commissie kan Enisa verzoeken een potentiële Europese cyberbeveiligingscertificeringsregeling voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten op te stellen.

2.In naar behoren gemotiveerde gevallen kan de EGC de Commissie voorstellen een in lid 1 bedoeld verzoek in te dienen.

3.In het in lid 1 bedoelde verzoek worden het doel, het toepassingsgebied en de modaliteiten van de verwezenlijking van de in de artikelen 80 en 81 vastgestelde relevante beveiligingsdoelstellingen en -elementen nader omschreven. In het verzoek worden ook het ontwikkelingsplan van de potentiële Europese cyberbeveiligingscertificeringsregeling en de relevante technische specificaties vermeld waarnaar in de regeling moet worden verwezen of die in de regeling moeten worden gedefinieerd.

4.Bij het opstellen van het in lid 1 bedoelde verzoek raadpleegt de Commissie Enisa en de EGC naar behoren en houdt zij rekening met de standpunten van alle belanghebbenden en andere entiteiten van de Unie, met inbegrip van, in voorkomend geval, zij die relevant zijn uit hoofde van de wetgeving van de Unie waarin een Europese cyberbeveiligingscertificeringsregeling naleving aantoont en een vermoeden van conformiteit vestigt.

Artikel 74
Voorbereiding en vaststelling van Europese cyberbeveiligingscertificeringsregelingen

1.Uiterlijk twaalf maanden na ontvangst van een verzoek van de Commissie overeenkomstig artikel 73 stelt Enisa, tenzij in het verzoek anders is bepaald, een potentiële Europese cyberbeveiligingscertificeringsregeling op die voldoet aan de vereisten van de artikelen 80 en 81.

2.Voor de opstelling van elke potentiële regeling stelt Enisa overeenkomstig artikel 32, lid 6, een ad-hocwerkgroep in, met het doel Enisa van deskundig advies te voorzien.

3.Bij de opstelling van de potentiële regeling werkt Enisa nauw samen met de EGC. De EGC verleent Enisa bijstand en deskundig advies met betrekking tot de opstelling van de potentiële regeling en, in voorkomend geval, ondersteunende technische specificaties.

4.Bij de opstelling van de potentiële regeling met inbegrip van, in voorkomend geval, ondersteunende technische specificaties, raadpleegt Enisa tijdig belanghebbenden door middel van een formele, open, transparante en inclusieve raadplegingsprocedure. Enisa werkt ook samen met relevante overheidsinstanties in de lidstaten en met relevante entiteiten van de Unie om hun deskundig advies in te winnen met betrekking tot de opstelling van de potentiële regeling en, in voorkomend geval, ondersteunende technische specificaties. Bij de toezending van de potentiële regeling aan de Commissie overeenkomstig lid 6, beschrijft Enisa de wijze waarop het aan dit lid heeft voldaan.

5.Alvorens de potentiële regeling en, in voorkomend geval, ondersteunende technische specificaties aan de Commissie toe te zenden, verzoekt Enisa de leden van de EGC schriftelijke adviezen over de potentiële regeling te verstrekken. De adviezen worden uiterlijk dertig dagen na de datum van het verzoek verstrekt. Enisa houdt zoveel mogelijk rekening met de adviezen van de leden van de EGC. Het ontbreken van dergelijke adviezen belet Enisa niet de potentiële regeling aan de Commissie door te geven.

6.Enisa zendt de potentiële regeling uiterlijk zestig dagen na de datum van het in lid 5 bedoelde verzoek toe aan de Commissie.

7.Wanneer de Commissie de potentiële regeling ontvangt, beoordeelt zij of de regeling beantwoordt aan het overeenkomstig artikel 73 ingediende verzoek. Binnen dertig dagen na de datum van toezending van die potentiële regeling onderneemt de Commissie een van de volgende acties:

a)de potentiële regeling aanvaarden;

b)de potentiële regeling voor herziening terugzenden aan Enisa, samen met een motivering voor deze terugzending en een termijn van ten hoogste negentig dagen, binnen welke Enisa een herziene potentiële regeling verstrekt;

c)de potentiële regeling stopzetten.

8.Indien de Commissie een potentiële regeling terugzendt naar Enisa voor herziening overeenkomstig lid 7, punt b), zijn de leden 4, 5 en 7 van overeenkomstige toepassing.

9.De Commissie is bevoegd om, op basis van de door Enisa opgestelde aanvaarde potentiële regeling, uitvoeringshandelingen vast te stellen die voorzien in een Europese cyberbeveiligingscertificeringsregeling voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten die voldoet aan de vereisten van de artikelen 80 en 81. Die uitvoeringshandeling wordt volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

10.De Commissie kan overeenkomstig de artikelen 18 en 77 in de in lid 9 van dit artikel bedoelde uitvoeringshandelingen verwijzen naar technische specificaties die Enisa heeft ontwikkeld.

11.De Commissie kan de voorwaarden voor de internationale erkenning van Europese cyberbeveiligingscertificaten specificeren in de in lid 9 van dit artikel bedoelde uitvoeringshandelingen, overeenkomstig artikel 87.

Artikel 75
Instandhouding van een Europese cyberbeveiligingscertificeringsregeling

1.Voor elke Europese cyberbeveiligingscertificeringsregeling wordt een instandhoudingsstrategie vastgesteld. In de instandhoudingsstrategie worden de verwachtingen met betrekking tot instandhoudingsactiviteiten uiteengezet, met name die welke verband houden met de normen of technische specificaties waarnaar in de regeling wordt verwezen en met de interactie met belanghebbenden.

2.Enisa zorgt, in samenwerking met de Commissie en met steun van de EGC en haar relevante subgroep voor instandhouding, voor de instandhouding van Europese cyberbeveiligingscertificeringsregelingen, onder meer met het oog op de mogelijke herziening van dergelijke regelingen door de Commissie. Enisa werkt samen en wisselt informatie uit met relevante entiteiten en groepen van de Unie met betrekking tot instandhoudingsactiviteiten.

3.Enisa kan de betrokkenheid van de particuliere sector bij de instandhouding van een regeling organiseren in de vorm van een ad-hocwerkgroep overeenkomstig de in lid 1 bedoelde instandhoudingsstrategie.

4.De instandhoudingsactiviteiten van Europese cyberbeveiligingscertificeringsregelingen omvatten het volgende:

a)het opstellen, actualiseren en bekrachtigen van technische specificaties en richtsnoeren ter ondersteuning van de geharmoniseerde en uniforme werking van de regelingen;

b)het vaststellen van normen of technische specificaties die relevant zijn voor de regeling;

c)interacties en, in voorkomend geval, het aangaan van contacten met belanghebbenden, waaronder Europese of internationale normalisatieorganisaties, onder meer met het oog op het leveren of ontvangen van technische bijdragen;

d)het doen van aanbevelingen aan de Commissie over noodzakelijke verbeteringen en actualiseringen van de regelingen, onder meer met het oog op een mogelijke herziening van de regelingen;

e)het uitwisselen van informatie over de praktische uitvoering van de regelingen tussen de lidstaten;

f)bijdragen aan mechanismen voor collegiale toetsing en analyses van de resultaten van dergelijke beoordelingen om de werking van de regelingen te verbeteren en de mogelijke herziening ervan te ondersteunen.

5.De EGC kan een advies uitbrengen over de instandhouding van Europese cyberbeveiligingscertificeringsregelingen.

Artikel 76
Evaluatie, herziening en intrekking van een Europese cyberbeveiligingscertificeringsregeling

1.Ten minste om de vier jaar na de inwerkingtreding van een Europese cyberbeveiligingscertificeringsregeling evalueert Enisa het effect en de doeltreffendheid van die regeling, in samenwerking met de relevante subgroep voor instandhouding van de EGC en rekening houdend met de feedback van belanghebbenden. Enisa voert de evaluatie uit door de marktanalyse overeenkomstig artikel 8, lid 1, uit te voeren.

2.Naar aanleiding van de in lid 1 bedoelde evaluatie kan de Commissie uitvoeringshandelingen die voorzien in een Europese cyberbeveiligingscertificeringsregeling overeenkomstig artikel 74, lid 9, herzien of intrekken.

3.Bij het herzien of intrekken van Europese cyberbeveiligingscertificeringsregelingen raadpleegt de Commissie Enisa, de EGC en haar relevante subgroep voor instandhouding, en houdt zij rekening met de standpunten van belanghebbenden en andere entiteiten van de Unie.

4.De EGC kan een advies uitbrengen over de herziening of intrekking van een Europese cyberbeveiligingscertificeringsregeling. De Commissie houdt daar bij de herziening of intrekking van de Europese cyberbeveiligingscertificeringsregeling terdege rekening mee.

Artikel 77
Technische specificaties in Europese cyberbeveiligingscertificeringsregelingen

1.Enisa kan technische specificaties ontwikkelen met het oog op een toekomstige Europese cyberbeveiligingscertificeringsregeling of ter ondersteuning van de instandhouding van een Europese cyberbeveiligingscertificeringsregeling.

2.De in lid 1 van dit artikel bedoelde technische specificaties worden tijdig ontwikkeld, met de steun van de EGC en haar subgroepen voor instandhouding en, in voorkomend geval, de overeenkomstige ad-hocwerkgroep als bedoeld in artikel 75, lid 3. Daartoe vraagt Enisa ook om bijdragen van relevante groepen belanghebbenden, rekening houdend met de in artikel 75, lid 1, bedoelde instandhoudingsstrategie.

3.Wanneer in een Europese regeling voor cyberbeveiligingscertificering als bedoeld in artikel 74, lid 10, naar technische specificaties wordt verwezen, worden deze beschikbaar gesteld op de in artikel 79 bedoelde website.

4.In naar behoren gemotiveerde gevallen, met name wanneer de technische specificaties informatie bevatten die de beveiliging van gecertificeerde ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten in gevaar kan brengen, worden zij alleen verspreid onder de belanghebbenden waarop de voorschriften van de regeling van toepassing zijn. Naar dergelijke technische specificaties wordt niet verwezen in een Europese cyberbeveiligingscertificeringsregeling als bedoeld in artikel 74, lid 10.

Artikel 78 
Vergemakkelijken van de naleving van de wetgeving van de Unie

1.Indien een specifieke rechtshandeling van de Unie daarin voorziet, toont een in het kader van een Europese cyberbeveiligingscertificeringsregeling afgegeven certificaat naleving met de overeenkomstige voorschriften van die rechtshandeling aan en vestigt het een vermoeden van conformiteit daarmee.

2.Evaluatieactiviteiten in het kader van een Europese cyberbeveiligingscertificeringsregeling zijn in overeenstemming met de overeenkomstige rechtshandeling van de Unie waarin het aantonen van de naleving en het vermoeden van conformiteit zijn vastgelegd. Indien dergelijke evaluatieactiviteiten niet in de overeenkomstige rechtshandeling van de Unie zijn gespecificeerd, worden zij in de regeling gespecificeerd. Een conformiteitsbeoordeling voor certificering die het vermoeden van conformiteit met de in de wetgeving van de Unie vastgestelde voorschriften vestigt, wordt uitgevoerd door een derde instantie.

3.Bij ontstentenis van geharmoniseerde Uniewetgeving, kan in nationaal recht ook worden bepaald dat een Europese cyberbeveiligingscertificeringsregeling kan worden gebruikt voor het aantonen van naleving van en voor het vestigen van het vermoeden van conformiteit met specifieke wettelijke voorschriften van het nationaal recht.

Artikel 79
Gebruik van Europese cyberbeveiligingscertificeringsregelingen, de website van Enisa en de bekendmaking van certificaten

1.Enisa organiseert activiteiten om het gebruik van vastgestelde Europese cyberbeveiligingscertificeringsregelingen te bevorderen, onder meer door de in lid 2 van dit artikel bedoelde website te onderhouden.

2.Enisa onderhoudt en actualiseert regelmatig een speciale website met openbaar toegankelijke informatie over het volgende:

a)Europese cyberbeveiligingscertificeringsregelingen;

b)de vergoedingen in verband met de instandhouding van elke Europese cyberbeveiligingscertificeringsregeling;

c)relevante technische specificaties van Enisa;

d)Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen, met inbegrip van informatie over dergelijke certificaten en verklaringen die niet langer geldig zijn of die zijn opgeschort, ingetrokken of verlopen;

e)relevante informatie over cyberbeveiliging die wordt verstrekt overeenkomstig artikel 84;

f)samenvattingen van collegiale toetsingen overeenkomstig artikel 89, lid 7;

g)technische specificaties waarnaar wordt verwezen in een Europese cyberbeveiligingscertificeringsregeling overeenkomstig artikel 74, lid 10.

3.Waar van toepassing staan op de in lid 2 bedoelde website ook de nationale cyberbeveiligingscertificeringsregelingen die zijn vervangen door een Europese cyberbeveiligingscertificeringsregeling.

HOOFDSTUK II 
Inhoud van Europese cyberbeveiligingscertificeringsregelingen

Artikel 80
Beveiligingsdoelstellingen van Europese cyberbeveiligingscertificeringsregelingen

1.Met een Europese cyberbeveiligingscertificeringsregeling worden, in voorkomend geval, de volgende beveiligingsdoelstellingen nagestreefd:

a)ervoor zorgen dat ICT-producten, -diensten en -processen en beheerde beveiligingsdiensten door standaardinstellingen en door ontwerp veilig zijn;

b)opgeslagen, verzonden of anderszins verwerkte gegevens met behulp van geschikte technische middelen beschermen tegen onbedoelde of onbevoegde opslag, verwerking, toegang of openbaarmaking, rekening houden met de gehele levensduur van de ICT-producten, -diensten of -processen;

c)de integriteit van opgeslagen, verzonden of anderszins verwerkte persoonsgegevens of andere gegevens, commando’s, programma’s en configuraties beschermen tegen manipulatie of wijziging die niet door de gebruiker is toegestaan, en corruptie melden, rekening houdend met de gehele levenscyclus van de ICT-producten, -diensten of -processen;

d)zorgen voor bescherming tegen ongeoorloofde toegang door middel van passende controlemechanismen, met inbegrip van maar niet beperkt tot authenticatie-, identiteits- of toegangsbeheersystemen, en melding maken van eventuele ongeoorloofde toegang;

e)componenten en kwetsbaarheden identificeren en documenteren, onder meer, in voorkomend geval, door het opstellen van een softwarestuklijst waarin ten minste de afhankelijkheden op het hoogste niveau worden aangegeven;

f)beveiligingsgerelateerde informatie verstrekken door relevante interne activiteiten te registreren en te monitoren, met inbegrip van toegang tot of wijziging van gegevens, diensten of functies, in voorkomend geval, met een opt-outmechanisme voor de gebruiker;

g)verifiëren dat ICT-producten, -diensten en -processen geen bekende kwetsbaarheden bevatten die kunnen worden uitgebuit;

h)de beschikbaarheid van essentiële en basisfuncties beschermen, ook na een incident, onder meer door middel van weerbaarheids- en beperkingsmaatregelen tegen denial of serviceaanvallen;

i)de negatieve gevolgen voor de beschikbaarheid van door andere netwerken en apparaten verleende diensten in geval van een fysiek of technisch incident tot een minimum beperken;

j)ervoor zorgen dat ICT-producten, -diensten en -processen regelmatig worden getest en dat de beveiliging ervan wordt geëvalueerd;

k)ervoor zorgen dat kwetsbaarheden onverwijld worden aangepakt en verholpen, onder meer door middel van beveiligingsupdates, en dat informatie over verholpen kwetsbaarheden wordt gedeeld en openbaar wordt gemaakt, tenzij de risico’s van openbaarmaking groter zijn dan de beveiligingsvoordelen;

l)zorgen voor een beleid inzake gecoördineerde bekendmaking van kwetsbaarheden;

m)de uitwisseling van informatie over potentiële kwetsbaarheden in ICT-producten, -diensten en -processen vergemakkelijken;

n)ervoor zorgen dat, wanneer beveiligingsupdates beschikbaar zijn om vastgestelde beveiligingsproblemen aan te pakken, die beveiligingsupdates onverwijld worden verspreid;

o)ervoor zorgen dat de beheerde beveiligingsdiensten worden verleend met de vereiste bekwaamheid, expertise en ervaring, en dat het personeel dat belast is met het verlenen van die diensten beschikt over een voldoende en passend niveau van technische kennis en bekwaamheid op het specifieke gebied, over voldoende en passende ervaring en over de hoogste mate van professionele integriteit;

p)ervoor zorgen dat de ICT-producten, -diensten en -processen die bij de verlening van de beheerde beveiligingsdiensten worden ingezet, qua ontwerp en standaard veilig zijn en, in voorkomend geval, voorzien zijn van de recentste beveiligingsupdates en geen bekende kwetsbaarheden bevatten.

q)ervoor zorgen dat de gecertificeerde entiteit over passende interne procedures beschikt om te waarborgen dat de diensten op een voldoende en passend kwaliteitsniveau worden verleend;

r)ervoor zorgen dat de gecertificeerde entiteit incidenten kan identificeren, zich ertegen kan beschermen, ze op kan sporen, erop kan reageren en ervan kan herstellen;

s)ervoor zorgen dat de gecertificeerde entiteit de risico’s voor de beveiliging van de netwerk- en informatiesystemen die de entiteit voor zijn werkzaamheden of voor het verlenen van zijn diensten gebruikt, kan beheren en incidenten kan voorkomen of de gevolgen van incidenten voor de afnemers van zijn diensten en voor andere diensten kan beperken;

t)ervoor zorgen dat de gecertificeerde entiteit haar operationele integriteit en betrouwbaarheid kan opbouwen, waarborgen en evalueren, door direct of indirect via het gebruik van diensten die door derde aanbieders van ICT-diensten worden verleend te voorzien in het volledige scala van ICT-gerelateerde capaciteiten die nodig zijn voor de beveiliging van de netwerk- en informatiesystemen die door de entiteit worden gebruikt, en waarmee de permanente verlening van diensten en de kwaliteit ervan worden ondersteund, onder meer gedurende storingen;

u)ervoor zorgen dat de gecertificeerde entiteit een beheersysteem voor informatiebeveiliging kan invoeren en onderhouden;

v)weerstand bieden aan elke gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via het netwerk- en informatiesysteem dat door de entiteit wordt gebruikt, in gevaar kan brengen, en de permanente verlening van diensten en de kwaliteit ervan waarborgen, onder meer gedurende storingen;

w)ervoor zorgen dat de entiteit de beveiliging van de verwerking van persoonsgegevens kan waarborgen.

2.De Commissie is bevoegd overeenkomstig artikel 119 gedelegeerde handelingen vast te stellen om lid 1 van dit artikel te wijzigen door beveiligingsdoelstellingen toe te voegen of te wijzigen om ervoor te zorgen dat daarin rekening wordt gehouden met de meest recente technologische ontwikkelingen en nieuwe daarmee verband houdende dreigingen, en door nieuwe wetgeving van de Unie vast te stellen waarin het aantonen van naleving en het vermoeden van conformiteit door middel van Europese cyberbeveiligingscertificering met de relevante cyberbeveiligingsvoorschriften van die wetgeving worden vastgesteld.

3.Een Europese cyberbeveiligingscertificeringsregeling voor producten met digitale elementen zoals gedefinieerd in artikel 3, punt 1, van Verordening (EU) 2024/2847 wordt ontworpen in overeenstemming met de essentiële cyberbeveiligingsvoorschriften van bijlage I bij die verordening en houdt rekening met de beschikbare geharmoniseerde normen.

Artikel 81
Elementen van Europese cyberbeveiligingscertificeringsregelingen

1.Een Europese cyberbeveiligingscertificeringsregeling omvat ten minste het volgende:

a)het onderwerp en het toepassingsgebied van de certificeringsregeling, met inbegrip van het soort of de categorieën ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten of de activa, diensten en functies van de entiteit die onder het toepassingsgebied van de certificering vallen;

b)een duidelijke beschrijving van het doel van de regeling en, in voorkomend geval, de vaststelling van Uniewetgeving tot vaststelling van vereisten waarvoor de Europese cyberbeveiligingscertificaten de naleving aantonen en een vermoeden van conformiteit vestigen;

c)de instandhoudingsstrategie waarin de in artikel 75 uiteengezette aanpak van instandhoudingsactiviteiten wordt gespecificeerd;

d)de specifieke cyberbeveiligingsvoorschriften, evaluatiecriteria en -methoden die moeten worden gebruikt voor de evaluatie van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten, en verwijzingen naar de internationale, Europese of nationale normen die worden toegepast bij de evaluatie van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten of, indien dergelijke normen niet beschikbaar of passend zijn, naar de door Enisa overeenkomstig artikel 77 opgestelde technische specificaties of, indien dergelijke specificaties niet beschikbaar zijn, naar andere technische specificaties;

e)de maximale geldigheidsduur van Europese cyberbeveiligingscertificaten die uit hoofde van de regeling zijn afgegeven.

2.Een Europese cyberbeveiligingscertificeringsregeling omvat ten minste regels en voorwaarden met betrekking tot het volgende:

a)het toezicht op de conformiteit van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten met de vereisten van de Europese cyberbeveiligingscertificaten of de EU-conformiteitsverklaringen, met inbegrip van de mechanismen om aan te tonen dat de vermelde cyberbeveiligingsvoorschriften nog altijd worden nageleefd;

b)de afgifte, bevestiging, intrekking en vernieuwing van de Europese cyberbeveiligingscertificaten, de uitbreiding of beperking van het toepassingsgebied van de certificering en de hercertificering;

c)de gevolgen voor ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of entiteiten die zijn gecertificeerd of waarvoor een EU-conformiteitsverklaring is afgegeven, maar die niet voldoen aan de voorschriften van de regeling;

d)de wijze waarop voorheen onopgemerkte kwetsbaarheden in de cyberbeveiliging van ICT-producten, -diensten en -processen moeten worden gemeld en aangepakt;

e)de inhoud en vorm van de af te geven Europees cyberbeveiligingscertificaten en EU-conformiteitsverklaringen;

f)de beschikbaarheidstermijn van de EU-conformiteitsverklaring, de technische documentatie en alle andere relevante informatie die door de fabrikant of aanbieder van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten of door de entiteit waarvan de cyberbeveiligingspositie onderworpen is aan certificering, ter beschikking moet worden gesteld;

g)eventuele mechanismen voor collegiale toetsing die zijn ingesteld in het kader van de regeling voor autoriteiten of organen die Europese cyberbeveiligingscertificaten afgeven overeenkomstig artikel 85, lid 4, onverminderd de collegiale toetsing waarin artikel 90 voorziet;

h)de vertrouwelijkheid van informatie en gegevens die door alle partijen zijn verkregen bij de uitvoering van taken en activiteiten in verband met de uitvoering van de bepalingen van deze titel;

i)vormen en procedures waaraan de fabrikanten of aanbieders van ICT-producten, -diensten of -processen zich moeten houden bij de verstrekking en actualisering van de aanvullende informatie over cyberbeveiliging overeenkomstig artikel 84; en

j)de continuïteit van certificeringsactiviteiten tijdens buitengewone crisissituaties, die onvermijdelijk zijn en de mogelijkheid belemmeren om de regels van de certificeringsregeling toe te passen.

3.Een Europese cyberbeveiligingscertificeringsregeling omvat, in voorkomend geval, ook het volgende:

a)een of meer zekerheidsniveaus en de bijbehorende evaluatieniveaus;

b)beveiligingsprofielen om de beveiligingsvoorschriften te specificeren die van toepassing zijn op een bepaalde categorie ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten;

c)uitbreidingsprofielen om aanvullende beveiligingsvoorschriften vast te stellen, met inbegrip van, in voorkomend geval, beveiligingsvoorschriften die zijn vastgesteld in nationale bepalingen tot omzetting van het Unierecht;

d)verduidelijking van welke conformiteitsbeoordelingsactiviteiten, met inbegrip van ijken, testen, certificeren en inspecteren, voor het zekerheidsniveau “hoog”, of om de naleving aan te tonen en een vermoeden van conformiteit te vestigen, buiten de Europese Economische Ruimte (EER) zijn toegestaan;

e)een overzicht van nationale of internationale cyberbeveiligingscertificeringsregelingen die betrekking hebben op hetzelfde soort of dezelfde categorieën ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten;

f)aanvullende of specifieke voorschriften voor conformiteitsbeoordelingsinstanties, om te garanderen dat zij beschikken over de technische bekwaamheid om de cyberbeveiligingsvoorschriften te evalueren;

g)de informatie die nodig is voor certificering en die een aanvrager aan de conformiteitsbeoordelingsinstanties moet verstrekken of anderszins ter beschikking moet stellen;

h)merktekens of labels en de voorwaarden waaronder dergelijke merktekens of labels mogen worden gebruikt;

i)voorwaarden voor de internationale erkenning van Europese cyberbeveiligingscertificaten overeenkomstig artikel 87.

4.De gespecificeerde voorschriften van de Europese cyberbeveiligingscertificeringsregeling zijn in overeenstemming met de voorschriften van de wetgeving van de Unie.

5.De Commissie is bevoegd uitvoeringshandelingen vast te stellen met gemeenschappelijke beginselen en modelbepalingen voor de in de leden 1, 2 en 3 bedoelde elementen in alle Europese cyberbeveiligingscertificeringsregelingen. Indien passend en beschikbaar kan een Europese cyberbeveiligingscertificeringsregeling verwijzingen naar die beginselen en modelbepalingen bevatten.

6.De in lid 5 bedoelde uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld. Bij de ontwikkeling of herziening van de gemeenschappelijke beginselen en modelbepalingen voor de elementen van Europese cyberbeveiligingscertificeringsregelingen raadpleegt de Commissie Enisa en houdt zij in voorkomend geval rekening met de standpunten van de EGC, belanghebbenden en andere relevante organen.

Artikel 82
Zekerheids- en evaluatieniveaus van Europese cyberbeveiligingscertificeringsregelingen

1.In een Europese cyberbeveiligingscertificeringsregeling kunnen voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten een of meer van de volgende zekerheidsniveaus worden gespecificeerd: “basis”, “substantieel” of “hoog”. Die zekerheidsniveaus staan in verhouding tot het risiconiveau dat verbonden is aan het beoogde gebruik van het ICT-product, de ICT-dienst, het ICT-proces of de beheerde beveiligingsdienst, of tot de aard van de entiteiten waarvan de cyberbeveiligingspositie onderworpen is aan certificering, en hun operationele omgeving, wat betreft de waarschijnlijkheid en de gevolgen van een incident.

2.In Europese cyberbeveiligingscertificaten wordt verwezen naar een zekerheidsniveau dat staat aangegeven in de Europese cyberbeveiligingscertificeringsregeling uit hoofde waarvan die certificaten zijn afgegeven. In EU-conformiteitsverklaringen wordt verwezen naar het zekerheidsniveau “basis”.

3.In de betrokken Europese cyberbeveiligingscertificeringsregeling worden de overeenkomstige beveiligingsvoorschriften voor elk zekerheidsniveau bepaald, waaronder de overeenkomstige beveiligingscontroles en de overeenkomstige evaluatie waaraan het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie van een entiteit moet worden onderworpen.

4.Het Europees cyberbeveiligingscertificaat of de EU-conformiteitsverklaring geeft de daaraan gerelateerde technische specificaties, normen en procedures, waaronder technische controles, weer, welke tot doel hebben het risico van cyberbeveiligingsincidenten te verminderen of die incidenten te voorkomen.

5.Een Europees cyberbeveiligingscertificaat of EU-conformiteitsverklaring voor het zekerheidsniveau “basis” biedt de zekerheid dat de ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten waarvoor dat certificaat of die EU-conformiteitsverklaring is afgegeven, voldoen aan de overeenkomstige beveiligingsvoorschriften, waaronder beveiligingscontroles, en dat zij geëvalueerd zijn op het niveau dat bedoeld is om de bekende basisrisico’s van cyberincidenten en -aanvallen tot een minimum te beperken. De te ondernemen evaluatiewerkzaamheden behelzen ten minste een toetsing van de technische documenten. Indien een dergelijke toetsing niet geschikt is, worden vervangende gelijkwaardige evaluatiewerkzaamheden ondernomen.

6.Een Europees cyberbeveiligingscertificaat voor het zekerheidsniveau “substantieel” biedt de zekerheid dat de ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten waarvoor dat certificaat is afgegeven, voldoen aan de overeenkomstige beveiligingsvoorschriften, waaronder beveiligingscontroles, en dat zij geëvalueerd zijn op een niveau dat bedoeld is om de bekende risico’s van incidenten en cyberaanvallen en het risico van cyberaanvallen door actoren met beperkte vaardigheden en middelen, tot een minimum te beperken. De te ondernemen evaluatiewerkzaamheden behelzen ten minste een verificatie dat er geen algemeen bekende kwetsbaarheden zijn, en testen om aan te tonen dat bij de ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of entiteiten de benodigde beveiligingscontroles correct worden uitgevoerd. Indien dergelijke evaluatiewerkzaamheden niet geschikt zijn, worden vervangende gelijkwaardige evaluatiewerkzaamheden ondernomen.

7.Een Europees cyberbeveiligingscertificaat voor het zekerheidsniveau “hoog” biedt de zekerheid dat de ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten waarvoor dat certificaat is afgegeven, voldoen aan de overeenkomstige beveiligingsvoorschriften, waaronder beveiligingscontroles, en dat zij geëvalueerd zijn op een niveau dat bedoeld is om het risico van incidenten en geavanceerde cyberaanvallen door actoren met aanzienlijke vaardigheden en middelen, tot een minimum te beperken. De te ondernemen evaluatiewerkzaamheden behelzen ten minste het volgende:

a)verifiëren dat er geen algemeen bekende kwetsbaarheden zijn;

b)testen of bij de ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of entiteiten de benodigde beveiligingscontroles correct worden uitgevoerd;

c)beoordelen van de weerstand van de ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of entiteiten tegen gekwalificeerde aanvallers, in voorkomend geval aan de hand van penetratietesten.

Indien dergelijke evaluatiewerkzaamheden niet geschikt zijn, worden vervangende gelijkwaardige evaluatiewerkzaamheden ondernomen. Alle conformiteitsbeoordelingsactiviteiten, met inbegrip van ijken, testen, certificeren en inspecteren, voor het zekerheidsniveau “hoog” worden in de Europese Economische Ruimte uitgevoerd, tenzij in een Europese cyberbeveiligingscertificeringsregeling anders is bepaald.

8.Wanneer een Europese regeling voor cyberbeveiligingscertificering is ontworpen om de naleving aan te tonen en een vermoeden van conformiteit met een specifieke rechtshandeling van de Unie te vestigen, biedt een Europees cyberbeveiligingscertificaat de zekerheid dat de gecertificeerde ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten voldoen aan de overeenkomstige cyberbeveiligingsvoorschriften van die rechtshandeling. Alle conformiteitsbeoordelingsactiviteiten, met inbegrip van ijken, testen, certificeren en inspecteren, worden met het oog op het vermoeden van overeenstemming in de Europese Economische Ruimte uitgevoerd, tenzij in een Europese cyberbeveiligingscertificeringsregeling anders is bepaald.

9.In een Europese cyberbeveiligingscertificeringsregeling kunnen voor een bepaald zekerheidsniveau verschillende evaluatieniveaus worden gespecificeerd. Elk evaluatieniveau komt overeen met een van de zekerheidsniveaus.

Artikel 83
Conformiteitszelfbeoordeling

1.Een Europese cyberbeveiligingscertificeringsregeling moet kunnen voorzien in een conformiteitszelfbeoordeling die wordt uitgevoerd onder de uitsluitende verantwoordelijkheid van de fabrikant of aanbieder van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de entiteit waarvan de cyberbeveiligingspositie onderworpen is aan certificering. Conformiteitszelfbeoordelingen worden uitsluitend toegestaan voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten met een laag risico dat overeenkomt met het zekerheidsniveau “basis”.

2.De fabrikant of aanbieder van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de entiteit waarvan de cyberbeveiligingspositie onderworpen is aan certificering kan een EU-conformiteitsverklaring afgeven waarin wordt verklaard dat is aangetoond dat aan de voorschriften van de Europese cyberbeveiligingscertificeringsregeling is voldaan. Door een dergelijke verklaring op te stellen, aanvaardt die fabrikant of aanbieder of entiteit verantwoordelijkheid voor de conformiteit van het ICT-product, de ICT-dienst, het ICT-proces, de beheerde beveiligingsdienst of de cyberbeveiligingspositie met de in die regeling bepaalde voorschriften.

3.De fabrikant of aanbieder van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of de entiteit waarvan de cyberbeveiligingspositie onderworpen is aan certificering, stelt de EU-conformiteitsverklaring, de technische documenten en alle andere relevante informatie over de conformiteit van de ICT-producten, -diensten, -processen, beheerde beveiligingsdiensten of cyberbeveiligingspositie met de Europese cyberbeveiligingscertificeringsregeling ter beschikking van de overeenkomstig artikel 89 aangewezen nationale cyberbeveiligingscertificeringsautoriteit voor de termijn die in die regeling is vastgesteld. Aan de nationale cyberbeveiligingscertificeringsautoriteit en aan Enisa wordt onverwijld een kopie van de EU-conformiteitsverklaring voorgelegd.

Artikel 84
Aanvullende cyberbeveiligingsinformatie voor gecertificeerde ICT-producten, -diensten en -processen

1.De fabrikant of aanbieder van ICT-producten, -diensten of -processen waarvoor een EU-conformiteitsverklaring of een Europees cyberbeveiligingscertificaat is afgegeven, stelt de volgende aanvullende cyberbeveiligingsinformatie ter beschikking van de gebruiker:

a)het beoogde doel van het betrokken ICT-product, de betrokken ICT-dienst of het betrokken ICT-proces, met inbegrip van de door de fabrikant of aanbieder verstrekte beveiligingsomgeving;

b)richtsnoeren en aanbevelingen om gebruikers te helpen met de beveiligde configuratie, installatie, inzet, exploitatie en onderhoud van de ICT-producten of -diensten;

c)het soort technische beveiligingsondersteuning dat door de fabrikant of aanbieder wordt aangeboden en de einddatum van de ondersteuningsperiode tijdens welke gebruikers kunnen verwachten dat kwetsbaarheden worden aangepakt en zij beveiligingsupdates ontvangen;

d)indien de fabrikant of aanbieder besluit een softwarestuklijst ter beschikking te stellen van de gebruiker, informatie over waar die lijst kan worden geraadpleegd.

2.De fabrikant of aanbieder van ICT-producten, -diensten of -processen waarvoor een EU-conformiteitsverklaring of een Europees cyberbeveiligingscertificaat is afgegeven, maakt de volgende aanvullende cyberbeveiligingsinformatie openbaar:

a)het centrale contactpunt waar informatie over kwetsbaarheden kan worden gemeld en ontvangen, en waar het beleid van de fabrikant inzake gecoördineerde openbaarmaking van kwetsbaarheden kan worden gevonden;

b)informatie over verholpen kwetsbaarheden, met inbegrip van een beschrijving van de kwetsbaarheden, met inbegrip van informatie aan de hand waarvan gebruikers het betreffende product met digitale elementen kunnen identificeren, de gevolgen van de kwetsbaarheden, de ernst ervan en duidelijke en toegankelijke informatie die gebruikers helpt de kwetsbaarheden te verhelpen; in naar behoren gemotiveerde gevallen kunnen fabrikanten, wanneer zij van mening zijn dat de beveiligingsrisico’s van openbaarmaking zwaarder wegen dan de beveiligingsvoordelen, het openbaar maken van informatie over een verholpen kwetsbaarheid uitstellen totdat de gebruikers de mogelijkheid hebben gekregen de desbetreffende patch uit te voeren.

3.De in de leden 1 en 2 bedoelde informatie wordt in elektronische vorm beschikbaar gesteld, blijft beschikbaar en wordt indien nodig bijgewerkt tijdens de geldigheidsperiode en ten minste voor een periode van vijf jaar na het verstrijken of de intrekking van het relevante Europese cyberbeveiligingscertificaat of de relevante EU-conformiteitsverklaring.

4.De in de leden 1 en 2 vastgestelde verplichtingen zijn niet van toepassing wanneer de beveiliging van het betrokken ICT-product, de betrokken ICT-dienst of het betrokken ICT-proces in het gedrang zou kunnen komen indien de informatie openbaar wordt gemaakt.

HOOFDSTUK III 
Governance voor het Europees kader voor cyberbeveiligingscertificering

Afdeling 1 
Algemene regels en beheer van Europese cyberbeveiligingscertificeringsregelingen

Artikel 85
Afgifte van Europese cyberbeveiligingscertificaten

1.ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten die zijn gecertificeerd uit hoofde van een Europese cyberbeveiligingscertificeringsregeling worden geacht te voldoen aan de voorschriften van een dergelijke regeling.

2.De in artikel 91 bedoelde conformiteitsbeoordelingsinstanties geven Europese cyberbeveiligingscertificaten af op basis van de criteria die zijn opgenomen in de op grond van artikel 74 vastgestelde Europese cyberbeveiligingscertificeringsregeling.

3.In afwijking van lid 2 kan een Europese cyberbeveiligingscertificeringsregeling erin voorzien dat uit die regeling voortvloeiende Europees cyberbeveiligingscertificaten alleen door een van de volgende overheidsinstanties kunnen worden afgegeven:

a)een nationale cyberbeveiligingscertificeringsautoriteit als bedoeld in artikel 88 die als een conformiteitsbeoordelingsinstantie overeenkomstig artikel 91, lid 1, is geaccrediteerd;

b)een overheidsinstantie die als een conformiteitsbeoordelingsinstantie overeenkomstig artikel 91, lid 1, is geaccrediteerd.

4.Indien in een uit hoofde van artikel 74 vastgestelde Europese cyberbeveiligingscertificeringsregeling het zekerheidsniveau “hoog” wordt vastgesteld of indien in een dergelijke regeling anders is bepaald, mag het Europees cyberbeveiligingscertificaat in het kader van die regeling alleen worden afgegeven door een nationale cyberbeveiligingscertificeringsautoriteit als bedoeld in artikel 88 die overeenkomstig artikel 91, lid 1, als conformiteitsbeoordelingsinstantie is geaccrediteerd, of in de volgende gevallen:

a)door een conformiteitsbeoordelingsinstantie op basis van een model van voorafgaande goedkeuring; of

b)door een conformiteitsbeoordelingsinstantie op basis van een model van algemene delegatie.

5.De Commissie is bevoegd uitvoeringshandelingen vast te stellen tot nadere bepaling van de procedures voor de in lid 4 van dit artikel bedoelde modellen van voorafgaande goedkeuring of algemene delegatie. Bij de voorbereiding van die uitvoeringshandelingen raadpleegt de Commissie de EGC. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

6.De natuurlijke of rechtspersoon die zijn ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten aan de certificering onderwerpt, of de entiteit die de certificering van haar cyberbeveiligingspositie aanvraagt, stelt aan de overeenkomstig artikel 89 aangewezen nationale cyberbeveiligingscertificeringsautoriteit, indien deze autoriteit de instantie is die het Europees cyberbeveiligingscertificaat afgeeft, of aan de in artikel 91 bedoelde conformiteitsbeoordelingsinstantie alle informatie ter beschikking die nodig is voor de uitvoering van de certificering.

7.Conformiteitsbeoordelingsinstanties en, in voorkomend geval, nationale cyberbeveiligingscertificeringsautoriteiten stellen Enisa onverwijld in kennis van hun besluiten die van invloed zijn op de status van Europese cyberbeveiligingscertificaten en EU-conformiteitsverklaringen overeenkomstig artikel 94.

8.De houder van een Europees cyberbeveiligingscertificaat stelt de conformiteitsbeoordelingsinstantie en, in voorkomend geval, de in lid 7 bedoelde nationale cyberbeveiligingscertificeringsautoriteit, in kennis van later vastgestelde kwetsbaarheden of non-conformiteiten met betrekking tot het gecertificeerde ICT-product, de gecertificeerde ICT-dienst, het gecertificeerde ICT-proces, de gecertificeerde beheerde beveiligingsdienst of de gecertificeerde cyberbeveiligingspositie van de entiteit, die waarschijnlijk gevolgen hebben voor de conformiteit ervan met het certificaat. Die instantie zendt die informatie onverwijld door aan de betrokken nationale cyberbeveiligingscertificeringsautoriteit en beoordeelt het effect op het certificaat volgens de in artikel 81, lid 2, punt d), bedoelde voorwaarden van de regeling.

9.Voor hun gecertificeerde ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten die overeenkomstig artikel 102 geheel of gedeeltelijk als belangrijke activa zijn geïdentificeerd, gebruiken, installeren of anderszins integreren de houders van een Europees cyberbeveiligingscertificaat geen ICT-componenten of componenten die ICT-componenten van leveranciers met een hoog risico bevatten in gecertificeerde ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten.

10.Een Europees cyberbeveiligingscertificaat wordt afgegeven voor de periode die is vastgesteld in de betrokken Europese cyberbeveiligingscertificeringsregeling en kan worden verlengd, mits nog steeds aan de desbetreffende voorschriften wordt voldaan.

11.De Commissie werkt samen met de lidstaten om de toepassing van bepalingen met betrekking tot de afgifte van Europese cyberbeveiligingscertificaten te waarborgen, ook met het oog op de toepassing van artikel 100, lid 4, punt b). De conformiteitsbeoordelingsinstantie en, in voorkomend geval, de nationale cyberbeveiligingscertificeringsautoriteit verstrekt de Commissie op verzoek en zonder onnodige vertraging alle informatie met betrekking tot de afgifte van de desbetreffende Europese cyberbeveiligingscertificaten of EU-conformiteitsverklaringen.

Artikel 86
Nationale cyberbeveiligingscertificeringsregelingen en -certificaten

1.Nationale cyberbeveiligingscertificeringsregelingen en de daaraan verbonden procedures voor de ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten die onder het onderwerp en toepassingsgebied van een Europese cyberbeveiligingscertificeringsregeling vallen, hebben niet langer gevolgen vanaf de datum die wordt bepaald in de op grond van artikel 74, lid 9, vastgestelde uitvoeringshandeling. Nationale cyberbeveiligingscertificeringsregelingen en de daaraan verbonden procedures voor de ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten die niet onder het onderwerp en toepassingsgebied van een Europese cyberbeveiligingscertificeringsregeling vallen, mogen blijven bestaan.

2.De lidstaten voeren geen nieuwe nationale cyberbeveiligingscertificeringsregelingen of daaraan verbonden procedures in voor de ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten die reeds onder het onderwerp en toepassingsgebied van een Europese cyberbeveiligingscertificeringsregeling vallen.

3.Bestaande certificaten die op grond van nationale cyberbeveiligingscertificeringsregelingen waren afgegeven en onder het onderwerp en toepassingsgebied van een Europese cyberbeveiligingscertificeringsregeling vallen, blijven geldig tot hun vervaldatum.

4.De lidstaten stellen de Commissie en de EGC in kennis alvorens nieuwe nationale cyberbeveiligingscertificeringsregelingen voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten vast te stellen.

5.De Commissie kan een lidstaat voorstellen een nationale cyberbeveiligingscertificeringsregeling voor ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten in te trekken indien reeds om de ontwikkeling van een Europese cyberbeveiligingscertificeringsregeling voor dergelijke producten, diensten, processen of cyberbeveiligingspositie is verzocht overeenkomstig artikel 73, rekening houdend met het ontwikkelingsplan van een dergelijke regeling.

Artikel 87
Internationale erkenning van Europese cyberbeveiligingscertificaten

1.Certificaten van derde landen van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten kunnen door middel van een uitvoeringshandeling of via het sluiten van een overeenkomst tussen de Unie en het betrokken derde land of een internationale organisatie als gelijkwaardig aan Europese cyberbeveiligingscertificaten worden erkend indien de vereisten van de regeling van het betrokken derde land of de regeling van de internationale organisatie als gelijkwaardig aan die van de Europese cyberbeveiligingscertificeringsregelingen worden beschouwd. De Commissie is bevoegd dergelijke uitvoeringshandelingen vast te stellen. De uitvoeringshandelingen worden vastgesteld volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure.

2.De in lid 1 bedoelde uitvoeringshandelingen en overeenkomsten zijn gebaseerd op de overeenkomstig artikel 74, lid 11, vastgestelde voorwaarden voor internationale erkenning van Europese cyberbeveiligingscertificaten.

3.Overeenkomsten inzake de erkenning van certificaten van derde landen of de in lid 1 bedoelde certificaten van internationale organisaties worden alleen gesloten indien zij ook Europese cyberbeveiligingscertificaten erkennen als gelijkwaardig aan de certificaten van derde landen.

Artikel 88 
Nationale cyberbeveiligingscertificeringsautoriteiten

1.Iedere lidstaat wijst één of meer nationale cyberbeveiligingscertificeringsautoriteiten op zijn grondgebied aan of, in onderlinge overeenstemming met een andere lidstaat, één of meer nationale cyberbeveiligingscertificeringsautoriteiten in die andere lidstaat die verantwoordelijk zijn voor de toezichthoudende taken in de aanwijzende lidstaat.

2.Elke lidstaat stelt de Commissie in kennis van de aangewezen nationale cyberbeveiligingscertificeringsautoriteiten. Wanneer een lidstaat meer dan één autoriteit aanwijst, stelt hij de Commissie ook in kennis van de aan elk van die autoriteiten toegewezen taken.

3.Elke nationale cyberbeveiligingscertificeringsautoriteit is onafhankelijk van de entiteiten waarop zij toezicht houdt met betrekking tot haar organisatie, financieringsbesluiten, juridische structuur en besluitvorming.

4.De activiteiten van de nationale cyberbeveiligingscertificeringsautoriteiten die verband houden met de afgifte van Europese cyberbeveiligingscertificaten uit hoofde van deze verordening worden strikt gescheiden van hun in dit artikel en in artikel 85, lid 4, punten a) en b), vastgestelde toezichtsactiviteiten, en die activiteiten worden onafhankelijk van elkaar uitgevoerd.

5.De lidstaten zorgen ervoor dat de nationale cyberbeveiligingscertificeringsautoriteiten over voldoende middelen beschikken om hun bevoegdheden uit te oefenen en hun taken op een doeltreffende en doelmatige wijze uit te voeren.

6.Nationale cyberbeveiligingscertificeringsautoriteiten hebben de volgende taken:

a)op grond van artikel 90, lid 2, deelnemen aan de EGC;

b)toezicht houden op de regels die zijn opgenomen in Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 81, lid 2, punt a), en deze handhaven om ervoor te zorgen dat ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten voldoen aan de voorschriften van de Europese cyberbeveiligingscertificaten die op hun respectieve grondgebied zijn afgegeven, in samenwerking met de relevante markttoezicht- of toezichthoudende autoriteiten, met inbegrip van de bevoegde autoriteiten uit hoofde van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad 82 of Verordening (EU) 2024/2847;

c)in samenwerking met de betrokken markttoezichtautoriteiten toezien op de naleving en handhaving van de verplichtingen van de fabrikanten of aanbieders van ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of entiteiten waarvan de cyberbeveiligingspositie overeenkomstig deze verordening is gecertificeerd, die op hun respectieve grondgebied zijn gevestigd en conformiteitszelfbeoordelingen uitvoeren in het kader van de overeenkomstige Europese cyberbeveiligingscertificeringsregeling;

d)onverminderd artikel 91, lid 3, bijstand verlenen en ondersteuning bieden aan de nationale accreditatie-instanties of andere relevante autoriteiten bij de monitoring van en het toezicht op de werkzaamheden van de conformiteitsbeoordelingsinstanties voor de toepassing van deze verordening;

e)samenwerken met de Commissie wanneer de bekwaamheid van een conformiteitsbeoordelingsinstantie op grond van artikel 94 wordt aangevochten;

f)de werkzaamheden van de in artikel 85, lid 3, bedoelde overheidsinstanties monitoren en er toezicht op houden;

g)in voorkomend geval, conformiteitsbeoordelingsinstanties machtigen overeenkomstig artikel 93, toezien op de naleving en handhaving van de verplichtingen van conformiteitsbeoordelingsinstanties met betrekking tot de aanvullende of specifieke voorschriften die zijn vastgesteld in Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 81, lid 3, punt f), en bestaande machtigingen beperken, opschorten of intrekken wanneer conformiteitsbeoordelingsinstanties niet aan de vereisten van deze verordening voldoen;

h)klachten behandelen van natuurlijke of rechtspersonen over door de nationale cyberbeveiligingscertificeringsautoriteiten of overeenkomstig artikel 85, lid 4, door conformiteitsbeoordelingsinstanties afgegeven Europese cyberbeveiligingscertificaten, of over uit hoofde van artikel 83 afgegeven EU-conformiteitsverklaringen, voor zover passend, de inhoud van dergelijke klachten onderzoeken en de klager binnen een redelijke termijn in kennis stellen van de voortgang en het resultaat van het onderzoek;

i)uiterlijk op 31 maart [jaar van inwerkingtreding + twaalf maanden] een jaarverslag over hun belangrijkste activiteiten indienen bij de Commissie, Enisa en de EGC, en deze verslagen ter beschikking stellen van het team voor collegiale toetsing wanneer de nationale cyberbeveiligingscertificeringsautoriteit onderworpen is aan collegiale toetsing overeenkomstig artikel 89;

j)samenwerken met andere nationale cyberbeveiligingscertificeringsautoriteiten, markttoezichtautoriteiten of andere overheidsinstanties, onder meer door informatie uit te wisselen over de mogelijke niet-conformiteit van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten of de cyberbeveiligingspositie van entiteiten met de voorschriften van deze verordening of met de voorschriften van specifieke Europese cyberbeveiligingscertificeringsregelingen;

k)de relevante ontwikkelingen op het gebied van cyberbeveiligingscertificering volgen.

7.Elke nationale cyberbeveiligingscertificeringautoriteit beschikt ten minste over de volgende bevoegdheden:

a)het verzoeken van conformiteitsbeoordelingsinstanties, houders van Europese cyberbeveiligingscertificaten en afgevers van EU-conformiteitsverklaringen om alle informatie te verstrekken die zij nodig heeft voor de uitvoering van haar taken;

b)het verrichten van onderzoeken, in de vorm van audits, naar conformiteitsbeoordelingsinstanties, houders van Europese cyberbeveiligingscertificaten en afgevers van EU-conformiteitsverklaringen om hun naleving van de voorschriften van deze titel te verifiëren;

c)het nemen van passende maatregelen, overeenkomstig het nationale recht, om ervoor te zorgen dat conformiteitsbeoordelingsinstanties, houders van Europese cyberbeveiligingscertificaten en afgevers van EU-conformiteitsverklaringen deze verordening of een Europese regeling voor cyberbeveiligingscertificering naleven;

d)het verkrijgen van toegang tot de gebouwen en terreinen van een conformiteitsbeoordelingsinstantie of houders van Europese cyberbeveiligingscertificaten voor het verrichten van onderzoeken overeenkomstig de Uniewetgeving of het nationale procesrecht;

e)het overeenkomstig nationaal recht intrekken van door nationale cyberbeveiligingscertificeringsautoriteiten of overeenkomstig artikel 85, lid 4, door conformiteitsbeoordelingsinstanties afgegeven Europese cyberbeveiligingscertificaten die niet voldoen aan deze verordening of aan een Europese cyberbeveiligingscertificeringsregeling;

f)het opleggen overeenkomstig nationaal recht van in artikel 97 bedoelde sancties en het eisen dat onmiddellijk een einde wordt gemaakt aan de niet-nakoming van de verplichtingen van deze verordening.

8.Nationale cyberbeveiligingscertificeringsautoriteiten werken samen met elkaar en met de Commissie en wisselen met name informatie, ervaringen en goede praktijken uit op het vlak van cyberbeveiligingscertificering en technische vraagstukken met betrekking tot de cyberbeveiliging van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten.

9.Uiterlijk op [inwerkingtreding + zes maanden] ontwikkelt Enisa in samenwerking met de Commissie en de EGC een model voor het in lid 6, punt i), van dit artikel bedoelde verslag.

Artikel 89
Collegiale toetsing

1.Nationale cyberbeveiligingscertificeringsautoriteiten worden aan collegiale toetsing onderworpen.

2.De collegiale toetsing wordt verricht op basis van deugdelijke en transparante toetsingscriteria en -procedures, met name op het gebied van structuur-, personeels- en procesvereisten, vertrouwelijkheid en klachten.

3.Bij collegiale toetsing wordt beoordeeld:

a)indien van toepassing, de vraag of de werkzaamheden van de nationale cyberbeveiligingscertificeringsautoriteiten met betrekking tot de in deze verordening bedoelde afgifte van Europese cyberbeveiligingscertificaten strikt gescheiden zijn van hun in artikel 88 bepaalde toezichthoudende werkzaamheden en of die werkzaamheden onafhankelijk van elkaar worden verricht;

b)de procedures voor het toezicht op en de handhaving van de regels voor het toezicht op de conformiteit van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en de cyberbeveiligingspositie van entiteiten met Europese cyberbeveiligingscertificaten op grond van artikel 88, lid 7, punt a);

c)de procedures voor de monitoring en handhaving van de verplichtingen van fabrikanten en aanbieders van ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten of entiteiten waarvan de cyberbeveiligingspositie wordt gecertificeerd, op grond van artikel 88, lid 7, punt b);

d)de procedures voor het monitoren en toestaan van en het toezien op de werkzaamheden van de conformiteitsbeoordelingsinstanties.

4.De collegiale toetsing wordt ten minste om de vijf jaar uitgevoerd door ten minste twee nationale cyberbeveiligingscertificeringsautoriteiten van andere lidstaten en door de Commissie. Enisa neemt ook deel aan de collegiale toetsing als waarnemer. Het team voor collegiale toetsing stelt het eindverslag en de samenvatting van de collegiale toetsing op.

5.Enisa ondersteunt de organisatie van het mechanisme voor collegiale toetsing en van de collegiale toetsingen zelf, onder meer door in samenwerking met de Commissie en de EGC relevante richtsnoeren en modellen te ontwikkelen.

6.De Commissie is bevoegd om uitvoeringshandelingen vast te stellen met een plan voor collegiale toetsingen dat een periode van ten minste vijf jaar beslaat, waarin criteria worden vastgesteld voor de samenstelling van het collegialetoetsingsteam, de bij de collegiale toetsing gebruikte methode, en het tijdschema, de frequentie en andere taken die verband houden met collegiale toetsing. Bij de voorbereiding van die uitvoeringshandelingen raadpleegt de Commissie de EGC en Enisa. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

7.Het eindverslag, met inbegrip van eventuele richtsnoeren of aanbevelingen, en de samenvatting van de collegiale toetsing worden onderzocht door de EGC, die de samenvatting bekrachtigt voor bekendmaking op de in artikel 79, lid 2, bedoelde website.

Artikel 90
Europese Groep voor cyberbeveiligingscertificering

1.De Europese Groep voor cyberbeveiligingscertificering (“de EGC”) wordt opgericht.

2.De EGC bestaat uit vertegenwoordigers van nationale cyberbeveiligingscertificeringsautoriteiten of vertegenwoordigers van andere relevante nationale autoriteiten. Een lid van de EGC vertegenwoordigt niet meer dan twee lidstaten.

3.De EGC heeft de volgende taken:

a)de Commissie adviseren en bijstaan bij haar werkzaamheden om te zorgen voor de consistente uitvoering en toepassing van de in deze titel vastgestelde regels, beleidskwesties op het gebied van cyberbeveiligingscertificering, en de coördinatie van beleidsbenaderingen;

b)de Commissie adviseren en bijstaan bij de voorbereiding van verzoeken om Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 73;

c)bijstand en advies verlenen aan en samenwerken met Enisa bij de voorbereiding van een potentiële regeling overeenkomstig artikel 74 en technische specificaties overeenkomstig artikel 77;

d)bijstand en advies verlenen aan en samenwerken met Enisa en de Commissie bij de instandhoudingsactiviteiten overeenkomstig artikel 75;

e)bijstand en advies verlenen aan en samenwerken met de Commissie bij de herziening of intrekking van bestaande Europese cyberbeveiligingscertificeringsregelingen overeenkomstig artikel 76;

f)voorstellen dat bij de Commissie een verzoek wordt ingediend met betrekking tot de opstelling van een potentiële Europese cyberbeveiligingscertificeringsregeling overeenkomstig artikel 73, lid 2;

g)adviezen aan de Commissie uitbrengen met betrekking tot de instandhouding, herziening en intrekking van bestaande Europese cyberbeveiligingscertificeringsregelingen;

h)de relevante ontwikkelingen op het gebied van cyberbeveiligingscertificering bestuderen, onder meer op nationaal niveau overeenkomstig artikel 86, en informatie en goede praktijken op het gebied van cyberbeveiligingscertificeringsregelingen uitwisselen;

i)de samenwerking tussen nationale cyberbeveiligingscertificeringsautoriteiten in het kader van de regels van deze titel vergemakkelijken door middel van capaciteitsopbouw en informatie-uitwisseling, met name met betrekking tot aangelegenheden in verband met cyberbeveiligingscertificering;

j)ondersteuning verlenen aan de uitvoering van het collegialetoetsingsmechanisme overeenkomstig artikel 89 en van collegialetoetsingsmechanismen overeenkomstig de regels die op grond van artikel 81, lid 2, punt g), in een Europese cyberbeveiligingscertificeringsregeling zijn vastgesteld;

k)de onderlinge afstemming van Europese cyberbeveiligingscertificeringsregelingen en internationaal erkende normen vergemakkelijken, onder andere in het kader van de instandhouding van bestaande Europese cyberbeveiligingscertificeringsregelingen en, in voorkomend geval, aanbevelingen doen aan Enisa om betrekkingen met relevante Europese of internationale normalisatieorganisaties aan te knopen om tekortkomingen of hiaten in beschikbare Europese of internationaal erkende normen aan te pakken.

4.De Commissie zit, bijgestaan door Enisa, de EGC voor en verzorgt het secretariaat van de EGC.

5.De Commissie kan EGC-subgroepen oprichten voor elk van de volgende doeleinden:

a)specifieke kwesties onderzoeken op basis van een door de Commissie opgesteld mandaat;

b)de Europese certificeringsregelingen in stand houden en herzien overeenkomstig deze verordening en op basis van een door de Commissie opgesteld mandaat.

6.De subgroepen rapporteren aan de EGC.

7.De subgroepen worden gezamenlijk voorgezeten door de Commissie en Enisa, en het secretariaat van de subgroepen wordt verzorgd door Enisa.

8.De EGC en haar subgroepen stellen hun reglement van orde vast bij gewone meerderheid van hun leden, op basis van een voorstel van en in overleg met de Commissie.

Afdeling 2 
Conformiteitsbeoordelingsinstanties

Artikel 91
Bekwaamheid van conformiteitsbeoordelingsinstanties

1.De conformiteitsbeoordelingsinstanties worden door de op grond van Verordening (EG) nr. 765/2008 aangestelde nationale accreditatie-instantie geaccrediteerd. Dergelijke accreditatie wordt enkel verstrekt indien de conformiteitsbeoordelingsinstantie aan de in bijlage I bij deze verordening vastgestelde voorschriften voldoet.

2.Indien op grond van deze verordening door een nationale cyberbeveiligingscertificeringsautoriteit een Europees cyberbeveiligingscertificaat wordt afgegeven, wordt de certificeringsinstantie van de nationale cyberbeveiligingscertificeringsautoriteit op grond van lid 1 geaccrediteerd als een conformiteitsbeoordelingsinstantie.

3.De in lid 1 bedoelde accreditatie wordt aan conformiteitsbeoordelingsinstanties afgegeven voor een maximumperiode van vijf jaar en kan worden verlengd, mits de conformiteitsbeoordelingsinstantie aan de in dit artikel gestelde eisen voldoet. Nationale accreditatie-instanties nemen binnen een redelijke termijn alle passende maatregelen om de op grond van lid 1 afgegeven accreditatie van een conformiteitsbeoordelingsinstantie te beperken, op te schorten of in te trekken wanneer niet of niet meer aan de voorwaarden voor de accreditatie wordt voldaan of wanneer de conformiteitsbeoordelingsinstantie niet voldoet aan deze verordening.

4.Bij de vaststelling van aanvullende of specifieke accreditatievereisten voor een Europese cyberbeveiligingscertificeringsregeling voor ICT-producten overeenkomstig artikel 92 worden, in voorkomend geval, synergieën nagestreefd met de vereisten met betrekking tot aangemelde instanties uit hoofde van Verordening (EU) 2024/2847 en de accreditatievereisten uit hoofde van de reeds vastgestelde cyberbeveiligingscertificeringsregelingen.

5.Wanneer een conformiteitsbeoordelingsinstantie overeenkomstig Verordening (EU) 2024/2847 is geaccrediteerd, kunnen de betrokken autoriteiten de resultaten van eerdere accreditatieprocedures met betrekking tot overlappende voorschriften hergebruiken als bewijsmateriaal tijdens de accreditatieprocedure uit hoofde van deze verordening.

Artikel 92
Aanvullende harmonisatie van de bekwaamheid van conformiteitsbeoordelingsinstanties

1.Indien in een Europese cyberbeveiligingscertificeringsregeling aanvullende of specifieke voorschriften overeenkomstig artikel 81, lid 3, punt f), zijn bepaald, worden conformiteitsbeoordelingsinstanties door een op grond van artikel 88, lid 1, aangewezen nationale cyberbeveiligingscertificeringsautoriteit gemachtigd om taken uit hoofde van een dergelijke regeling uit te voeren. Een dergelijke machtiging wordt alleen afgegeven indien de conformiteitsbeoordelingsinstantie is geaccrediteerd en voldoet aan de aanvullende of specifieke voorschriften van de Europese cyberbeveiligingscertificeringsregeling.

2.Wanneer een conformiteitsbeoordelingsinstantie verzoekt om een machtiging uit hoofde van dit artikel, dient zij het verzoek in bij de nationale cyberbeveiligingscertificeringsautoriteit van haar lidstaat van vestiging of bij de nationale cyberbeveiligingscertificeringsautoriteit waarop die lidstaat overeenkomstig artikel 88, lid 1, een beroep heeft gedaan.

3.Een conformiteitsbeoordelingsinstantie mag een verzoek om machtiging bij een andere nationale cyberbeveiligingscertificeringsautoriteit dan die welke in de lid 2 is bedoeld, indienen wanneer:

a)de in lid 1 bedoelde nationale cyberbeveiligingscertificeringsautoriteit geen machtigingen verleent voor de conformiteitsbeoordelingsactiviteiten waarvoor machtiging wordt gevraagd;

b)de in lid 1 bedoelde nationale cyberbeveiligingscertificeringsautoriteit niet de collegiale toetsing overeenkomstig artikel 89 heeft ondergaan met betrekking tot de conformiteitsbeoordelingsactiviteiten waarvoor machtiging wordt gevraagd.

4.Wanneer een nationale cyberbeveiligingscertificeringsautoriteit een verzoek overeenkomstig lid 3 ontvangt, stelt zij de nationale cyberbeveiligingscertificeringsautoriteit van de lidstaat van vestiging van de verzoekende conformiteitsbeoordelingsinstantie daarvan in kennis. In dergelijke gevallen kan de nationale cyberbeveiligingscertificeringsautoriteit van die lidstaat als waarnemer aan de machtiging deelnemen.

5.Een nationale cyberbeveiligingscertificeringsautoriteit kan een andere nationale cyberbeveiligingscertificeringsautoriteit vragen delen van de beoordelingsactiviteit uit te voeren. In dat geval wordt het machtigingscertificaat door de verzoekende autoriteit verleend.

6.De in lid 1 bedoelde machtiging is geldig voor een periode die niet langer is dan de geldigheidsduur van de accreditatie, en kan worden verlengd op voorwaarde dat de conformiteitsbeoordelingsinstantie voldoet aan de eisen van lid 1 en dat haar accreditatie ook is verlengd.

7.Nationale cyberbeveiligingscertificeringsautoriteiten nemen binnen een redelijke termijn alle passende maatregelen om de op grond van lid 1 afgegeven machtiging van een conformiteitsbeoordelingsinstantie te beperken, op te schorten of in te trekken wanneer niet of niet meer aan de voorwaarden voor de machtiging wordt voldaan of wanneer de conformiteitsbeoordelingsinstantie niet voldoet aan deze verordening.

8.De Commissie is bevoegd uitvoeringshandelingen vast te stellen om de procedures, onder meer inzake grensoverschrijdende samenwerking, voor de machtiging van conformiteitsbeoordelingsinstanties vast te stellen. Bij de voorbereiding van uitvoeringshandelingen raadpleegt de Commissie Enisa en de EGC. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 93
Aanmelding van conformiteitsbeoordelingsinstanties

1.Voor elke Europese cyberbeveiligingscertificeringsregeling stellen de nationale cyberbeveiligingscertificeringsautoriteiten van een lidstaat de Commissie en de andere lidstaten in kennis van de conformiteitsbeoordelingsinstanties die overeenkomstig artikel 92 zijn geaccrediteerd en, in voorkomend geval, gemachtigd.

2.De nationale cyberbeveiligingscertificeringsautoriteiten voeren de in lid 1 bedoelde aanmelding uit met behulp van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingsinstrument.

3.De Commissie is bevoegd uitvoeringshandelingen vast te stellen om de omstandigheden, vormen en procedures voor de in lid 1 van dit artikel bedoelde aanmeldingen vast te stellen, met inbegrip van de bezwaarprocedure door andere lidstaten tijdens het aanmeldingsproces, de unieke identificatie van conformiteitsbeoordelingsinstanties, alsook de omstandigheden voor de beperking, opschorting of intrekking van de aanmelding. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 94
Uitdagingen met betrekking tot de bekwaamheid van conformiteitsbeoordelingsinstanties

1.De Commissie onderzoekt alle gevallen waarin zij twijfelt of wordt gewezen op twijfels over de bekwaamheid van een conformiteitsbeoordelingsinstantie om aan de vereisten te voldoen en haar verantwoordelijkheden na te komen, of over de vraag of een conformiteitsbeoordelingsinstantie nog aan de vereisten voldoet en haar verantwoordelijkheden nakomt.

2.De nationale cyberbeveiligingscertificeringsautoriteit verstrekt de Commissie op verzoek alle informatie over de grondslag van de aanmelding of het op peil houden van de bekwaamheid van de betrokken nationale cyberbeveiligingscertificeringsautoriteit.

3.Alle gevoelige informatie die de Commissie in het kader van haar onderzoek ontvangt, wordt door haar vertrouwelijk behandeld.

4.Wanneer de Commissie vaststelt dat een conformiteitsbeoordelingsinstantie niet of niet meer aan de aanmeldingsvereisten voldoet, brengt zij de nationale cyberbeveiligingscertificeringsautoriteit daarvan op de hoogte en verzoekt zij haar de nodige corrigerende maatregelen te nemen en zo nodig de aanmelding in te trekken.

5.De lidstaten voorzien in een beroepsprocedure tegen besluiten van de aangemelde instanties.

Artikel 95
Informatie- en bewaarplicht voor conformiteitsbeoordelingsinstanties

1.Conformiteitsbeoordelingsinstanties stellen de nationale cyberbeveiligingscertificeringsautoriteit in kennis van het volgende:

a)elke weigering, beperking, opschorting of intrekking van certificaten;

b)omstandigheden die van invloed zijn op de reikwijdte van en de voorwaarden voor de in artikel 93, lid 1, bedoelde aanmelding;

c)informatieverzoeken over conformiteitsbeoordelingsactiviteiten die zij van markttoezichtautoriteiten ontvangen;

d)op verzoek, de binnen de werkingssfeer van hun aanmelding verrichte conformiteitsbeoordelingsactiviteiten en andere activiteiten, waaronder grensoverschrijdende activiteiten en onderaanneming.

2.Conformiteitsbeoordelingsinstanties verstrekken Enisa ook de in lid 1, punt a), bedoelde informatie om de uitvoering van hun taak uit hoofde van artikel 79 te vergemakkelijken.

3.Conformiteitsbeoordelingsinstanties verstrekken de andere conformiteitsbeoordelingsinstanties uit hoofde van deze verordening die soortgelijke conformiteitsbeoordelingsactiviteiten verrichten voor dezelfde ICT-producten, -diensten of -processen, beheerde beveiligingsdiensten of entiteiten waarvan de cyberbeveiligingspositie wordt gecertificeerd, onverwijld relevante informatie over kwesties in verband met negatieve en, op verzoek, positieve conformiteitsbeoordelingsresultaten.

4.Conformiteitsbeoordelingsinstanties houden een registratiesysteem bij met alle documenten en bewijsstukken die zij in verband met elke door hen uitgevoerde beoordeling en certificering hebben overgelegd of ontvangen. Het register wordt op een beveiligde en toegankelijke manier opgeslagen gedurende de periode die nodig is voor certificeringsdoeleinden en gedurende ten minste vijf jaar na de vervaldatum of intrekking van een relevant Europees cyberbeveiligingscertificaat.

Afdeling 3 
Overige bepalingen

Artikel 96
Recht om een klacht in te dienen en recht op een doeltreffende voorziening in rechte

1.Natuurlijke en rechtspersonen hebben het recht een klacht in te dienen bij de afgever van een Europees cyberbeveiligingscertificaat of, wanneer de klacht verband houdt met een Europees cyberbeveiligingscertificaat dat is afgegeven door een conformiteitsbeoordelingsinstantie handelend overeenkomstig artikel 85, lid 4, bij de bevoegde nationale cyberbeveiligingscertificeringsautoriteit.

2.De autoriteit of instantie waarbij de klacht is ingediend stelt de klager in kennis van de voortgang van de procedure, van het genomen besluit, en van het recht op een doeltreffende voorziening in rechte als bedoeld in de leden 3 en 4.

3.Onverminderd bestuurlijke of buitengerechtelijke rechtsmiddelen hebben natuurlijke en rechtspersonen recht op een doeltreffende voorziening in rechte met betrekking tot:

a)door de autoriteit of instantie bedoeld in lid 1, genomen besluiten, onder meer, in voorkomend geval, met betrekking tot onjuiste afgifte, nalaten van afgifte of erkenning van een Europees cyberbeveiligingscertificaat dat door die natuurlijke en rechtspersonen wordt gehouden;

b)het verzuim om gevolg te geven aan een klacht die is ingediend bij de in lid 1 bedoelde autoriteit of instantie.

4.Procedures op grond van dit artikel worden ingesteld bij een gerechtelijke instantie van de lidstaat waar de autoriteit of instantie jegens welke de voorziening in rechte wordt verzocht, is gevestigd.

Artikel 97
Sancties

De lidstaten stellen voorschriften vast betreffende sancties voor inbreuken op deze titel en voor inbreuken op Europese cyberbeveiligingscertificeringsregelingen en treffen alle nodige maatregelen om ervoor te zorgen dat die sancties worden toegepast. De sancties moeten doeltreffend, evenredig en afschrikkend zijn. De lidstaten stellen de Commissie onverwijld van die voorschriften en die maatregelen in kennis alsmede van alle eventuele latere wijzigingen ervan.

TITEL IV 
BEVEILIGING VAN ICT-TOELEVERINGSKETENS

HOOFDSTUK I 
Kader voor betrouwbare ICT-toeleveringsketens

Artikel 98
Toepassingsgebied van het kader

1.Het kader voor betrouwbare ICT-toeleveringsketens voorziet in een beveiligingsmechanisme op het niveau van de Unie om niet-technische risico’s in zeer kritieke sectoren en andere kritieke sectoren als bedoeld in Richtlijn (EU) 2022/2555 aan te pakken. Met het mechanisme worden belangrijke ICT-activa in kritieke ICT-toeleveringsketens geïdentificeerd en worden passende en evenredige risicobeperkende maatregelen vastgesteld voor entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555.

2.De in deze titel vastgestelde verplichtingen laten de verplichtingen van artikel 13 van Verordening (EU) 2024/2847 en de nationale bepalingen tot omzetting van artikel 21 van Richtlijn (EU) 2022/2555 onverlet.

3.De bepalingen van dit hoofdstuk beletten de lidstaten niet om bepalingen vast te stellen of te handhaven die een hoger cyberbeveiligingsniveau in ICT-toeleveringsketens waarborgen, mits dergelijke bepalingen stroken met hun verplichtingen uit hoofde van het Unierecht.

Artikel 99
Beveiligingsrisicobeoordelingen

1.De Commissie of een groep van ten minste drie lidstaten kan de bij artikel 14 van Richtlijn (EU) 2022/2555 opgerichte samenwerkingsgroep (“NIS-samenwerkingsgroep”) verzoeken de op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen uit te voeren overeenkomstig artikel 22 van die richtlijn. Wanneer naar aanleiding van een dergelijk verzoek een beveiligingsrisicobeoordeling wordt uitgevoerd, omvat deze met name de voorgestelde identificatie van de belangrijke ICT-activa van de respectieve ICT-toeleveringsketen en van de belangrijkste dreigingsactoren, risico’s en kwetsbaarheden die van invloed zijn op die activa. Met de op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen worden risicoscenario’s ontwikkeld en worden maatregelen voorgesteld om de vastgestelde risico’s te beperken.

2.De op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen worden voltooid binnen zes maanden na het in lid 1 bedoelde verzoek. Op verzoek van de Commissie kan de NIS-samenwerkingsgroep een kortere periode overeenkomen.

3.Indien de Commissie voldoende redenen heeft om aan te nemen dat er sprake is van een significante cyberdreiging voor de veiligheid van de Unie met betrekking tot een ICT-toeleveringsketen en dat maatregelen nodig zijn om de goede werking van de interne markt te waarborgen, zal de Commissie onverwijld:

a)de lidstaten raadplegen over de noodzaak om een of meer van de in artikel 103 bedoelde risicobeperkende maatregelen te nemen; en

b)een beveiligingsrisicobeoordeling uitvoeren, rekening houdend met de raadpleging van de lidstaten. De beveiligingsrisicobeoordeling omvat de voorgestelde identificatie van de belangrijke ICT-activa en de belangrijkste dreigingsactoren, risico’s en kwetsbaarheden die van invloed zijn op die activa. Met de beveiligingsrisicobeoordeling worden risicoscenario’s ontwikkeld en worden maatregelen voorgesteld om de vastgestelde risico’s te beperken.

Artikel 100
Aanwijzing van derde landen die aanleiding geven tot bezorgdheid over cyberbeveiliging

1.Wanneer uit de in artikel 99 bedoelde beveiligingsrisicobeoordeling of uit andere bronnen, zoals een publieke verklaring namens de Unie of een lidstaat, blijkt dat een derde land een ernstig en structureel niet-technisch risico voor ICT-toeleveringsketens oplevert, verifieert de Commissie het van dat land uitgaande risico, rekening houdend met de volgende elementen:

a)het bestaan van wetten in het derde land die entiteiten onder hun jurisdictie verplichten informatie over kwetsbaarheden in software of hardware te melden aan de autoriteiten van dat derde land voordat bekend is dat die kwetsbaarheden zijn uitgebuit;

b)bestaande praktijken in het derde land, aangetoond door onafhankelijke bronnen, die entiteiten onder de jurisdictie van het derde land verplichten informatie over kwetsbaarheden in software of hardware te melden aan de autoriteiten van dat derde land voordat bekend is dat die kwetsbaarheden zijn uitgebuit;

c)het ontbreken van doeltreffende voorzieningen in rechte en onafhankelijke en democratische controlemechanismen die de vastgestelde bezorgdheid over beveiliging kunnen wegnemen, onder meer met betrekking tot de in punt b) bedoelde bestaande praktijken;

d)onderbouwde informatie over een of meer incidenten van dreigingsactoren die vanuit dat land worden gecontroleerd en buiten het grondgebied van dat land actief zijn en kwaadwillige cyberactiviteiten of -campagnes uitvoeren, en het gebrek aan vermogen of bereidheid van het derde land om met de Commissie of de lidstaten samen te werken om het risico dat voortvloeit uit de activiteiten van dergelijke dreigingsactoren aan te pakken;

e)relevante informatie die afkomstig is van op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen of -verslagen van lidstaten of internationale organisaties.

2.Wanneer de Commissie naar aanleiding van de in lid 1 bedoelde verificatie concludeert dat een derde land ernstige en structurele niet-technische risico’s voor ICT-toeleveringsketens met zich meebrengt, kan zij dat derde land door middel van een uitvoeringshandeling aanwijzen als een land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging voor ICT-toeleveringsketens. Die uitvoeringshandeling wordt volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

3.De Commissie evalueert regelmatig de overeenkomstig lid 2 vastgestelde uitvoeringshandelingen.

4.Leveranciers met een hoog risico hebben niet het recht om:

a)deel te nemen aan de ontwikkeling van, de beoordeling van, de raadpleging over of de besluitvorming inzake Europese normen en Europese normalisatieproducten als bedoeld in artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 en gemeenschappelijke specificaties als bedoeld in artikel 27 van Verordening (EU) 2024/2847 op het gebied van cyberbeveiliging;

b)een aanvraag in te dienen voor Europese cyberbeveiligingscertificaten of om daarvan houder te zijn overeenkomstig titel III;

c)geaccrediteerde conformiteitsbeoordelingsinstanties te worden overeenkomstig titel III;

d)een aanvraag in te dienen om een gemachtigde aanbieder van attesteringen van Europese individuele attesteringen van cyberbeveiligingsvaardigheden te worden overeenkomstig titel II, afdeling 4;

e)deel te nemen aan openbare aanbestedingsprocedures, georganiseerd overeenkomstig de wetgeving tot omzetting van Richtlijn 2014/24/EU en 2014/25/EU met betrekking tot de levering van ICT-componenten of componenten die ICT-componenten bevatten voor gebruik in overeenkomstig artikel 102 geïdentificeerde belangrijke ICT-activa;

f)deel te nemen aan activiteiten in het kader van financieringsprogramma’s en -instrumenten van de Unie die in direct en indirect beheer worden uitgevoerd overeenkomstig artikel 136 van Verordening (EU, Euratom) 2024/2509 en sectorspecifieke regelgeving van de Unie, noch aan financieringsactiviteiten van de Unie die in gedeeld beheer worden uitgevoerd met betrekking tot de levering van ICT-componenten of componenten die ICT-componenten bevatten voor gebruik in overeenkomstig artikel 102 geïdentificeerde belangrijke ICT-activa.

De autoriteiten die belast zijn met de in de punten a) tot en met f) bedoelde procedures voeren de voor de toepassing van dit lid vereiste beoordelingen uit. De autoriteiten kunnen zich hiervoor ook baseren op de in artikel 104 bedoelde lijst.

5.In gevallen waarin een leverancier met een hoog risico reeds een Europees cyberbeveiligingscertificaat overeenkomstig titel III heeft verkregen, trekt de bevoegde autoriteit dit onverwijld in.

Artikel 101
Algemeen mechanisme voor de beveiliging van ICT-toeleveringsketens

Indien de NIS-samenwerkingsgroep een op Unieniveau gecoördineerde beveiligingsrisicobeoordeling heeft uitgevoerd overeenkomstig artikel 99, lid 1, van deze verordening, of na voltooiing van de procedure in geval van een significante cyberdreiging overeenkomstig artikel 99, lid 3, voor een ICT-toeleveringsketen, kan de Commissie maatregelen nemen als bedoeld in artikel 102 en artikel 103, leden 1 en 2.

Artikel 102
Identificatie van belangrijke ICT-activa

1.Wanneer de overeenkomstig artikel 99, lid 1, of 3, uitgevoerde risicobeoordeling wijst op significante cyberbeveiligingsrisico’s met betrekking tot een ICT-toeleveringsketen, is de Commissie bevoegd uitvoeringshandelingen vast te stellen om de belangrijke ICT-activa te identificeren die worden gebruikt voor de vervaardiging van producten of de verlening van diensten door entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555. Die uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 118, lid 2, van deze verordening bedoelde onderzoeksprocedure.

2.Bij het identificeren van de in lid 1 bedoelde belangrijke ICT-activa houdt de Commissie rekening met de volgende elementen:

a)of die activa essentiële en gevoelige functies hebben voor de werking van producten die worden vervaardigd of diensten die worden verleend door de entiteit van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555;

b)of incidenten, met inbegrip van incidenten die worden veroorzaakt door uitgebuite kwetsbaarheden met betrekking tot die activa, kunnen leiden tot ernstige verstoringen van de ICT-toeleveringsketens op de interne markt of tot exfiltratie van gegevens;

c)of er sprake is van afhankelijkheid van een beperkt aantal leveranciers van die activa;

d)de resultaten van de risicobeoordelingen als bedoeld in artikel 99;

Artikel 103
Beperkende maatregelen in de ICT-toeleveringsketens

1.De Commissie is bevoegd uitvoeringshandelingen vast te stellen om, indien nodig om een hoog niveau van cyberbeveiliging, cyberweerbaarheid en vertrouwen binnen de Unie te waarborgen, te bepalen dat het specifieke soort entiteiten als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 verboden is ICT-componenten of componenten die ICT-componenten van overeenkomstig artikel 104 geïdentificeerde leveranciers met een hoog risico bevatten, in welke vorm dan ook te gebruiken, te installeren of te integreren in overeenkomstig artikel 102 geïdentificeerde belangrijke ICT-activa. Dergelijke uitvoeringshandelingen voorzien in passende overgangsperioden, tijdens welke de Commissie de in artikel 104 bedoelde lijst van leveranciers met een hoog risico bekendmaakt, alsook in extra termijnen voor de uitfasering van de relevante ICT-componenten en componenten die ICT-componenten bevatten. In een dergelijke uitvoeringshandeling kunnen ook deze ICT-componenten of componenten die ICT-componenten bevatten, worden gespecificeerd.

2.De Commissie is bevoegd uitvoeringshandelingen vast te stellen om, indien nodig om een hoog niveau van cyberbeveiliging, cyberweerbaarheid en vertrouwen binnen de Unie te waarborgen, te bepalen dat het specifieke soort entiteiten als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 worden onderworpen aan een of meer van de volgende risicobeperkende maatregelen met betrekking tot hun ICT-toeleveringsketen en met name tot belangrijke ICT-activa die overeenkomstig artikel 102 zijn geïdentificeerd, om de risico’s te beperken die zijn vastgesteld in de overeenkomstig artikel 99 uitgevoerde beveiligingsrisicobeoordelingen:

a)toepassing van transparantievereisten met betrekking tot het verstrekken van informatie aan de bevoegde autoriteit over de leveranciers in de ICT-toeleveringsketen voor overeenkomstig artikel 102 aangewezen belangrijke ICT-activa;

b)een verbod met betrekking tot de doorgifte van gegevens aan derde landen en gegevensverwerking op afstand vanuit een derde land;

c)technische maatregelen die door een derde moeten worden gecontroleerd, waaronder:

i) het gebruik van verwerking op een apparaat;

ii) specifieke segmentatie van netwerksystemen;

iii) de uitschakeling van toegang op afstand of fysieke toegang tot belangrijke ICT-activa;

iv) de uitschakeling van niet-essentiële functies;

v) monitoring van het operationele netwerk;

vi) het testen van hardware en software;

d)beperkingen in verband met operationele controle, met inbegrip van uitbesteding van organisatorische taken aan aanbieders van beheerde diensten;

e)beperkingen in verband met de contractuele betrekkingen van de entiteit met haar leveranciers;

f)vereiste dat de dienst moet worden geëxploiteerd, beheerd, onderhouden of ondersteund door personeel dat door de relevante nationale bevoegde autoriteiten is gescreend;

g)diversificatie van het aanbod van ICT-componenten of componenten die in ICT-componenten zijn opgenomen.

3.Bij de invoering van de in lid 2 bedoelde maatregelen kan de Commissie technische en methodologische vereisten voor de maatregelen vaststellen.

4.Alvorens de in de leden 1 en 2 bedoelde uitvoeringshandelingen vast te stellen, beoordeelt de Commissie potentiële risico’s en afhankelijkheden en met name:

a)indien van toepassing, het risiconiveau dat verbonden is aan het gebruik, de installatie of de integratie, in welke vorm dan ook, van ICT-componenten of componenten die ICT-componenten van leveranciers met een hoog risico in belangrijke ICT-activa bevatten;

b)de potentiële economische en maatschappelijke gevolgen die de verplichting kan hebben voor entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555;

c)de beschikbaarheid van alternatieve leveranciers voor leveranciers met een hoog risico;

d)de mogelijke verstoring van grensoverschrijdende economische en maatschappelijke activiteiten als gevolg van een incident dat gevolgen heeft voor de ICT-toeleveringsketen van een entiteit.

5.De in de leden 1 en 2 van dit artikel bedoelde uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld en worden ten minste om de 36 maanden herzien.

6.In uitzonderlijke omstandigheden, die een interventie rechtvaardigen om de goede werking van de interne markt te vrijwaren, en wanneer de Commissie voldoende redenen heeft om aan te nemen dat het gebruik, de installatie of de integratie van ICT-componenten of componenten die ICT-componenten bevatten van een specifieke entiteit die is gevestigd in of onder zeggenschap staat van een derde land of van entiteiten uit een derde land, of van een onderdaan van een derde land, een significant niet-technisch cyberbeveiligingsrisico vormt voor de economische of maatschappelijke activiteiten van ten minste drie lidstaten, raadpleegt de Commissie onverwijld de lidstaten over de noodzaak om maatregelen op het niveau van de Unie te nemen.

7.De Commissie is bevoegd uitvoeringshandelingen vast te stellen om te bepalen dat het entiteiten van het specifieke soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 verboden is ICT-componenten of componenten die ICT-componenten van een in lid 6 bedoelde entiteit bevatten, te gebruiken, te installeren of te integreren. Daartoe raadpleegt zij de entiteiten van de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 bedoelde soorten waarop het verbod mogelijk betrekking heeft. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld. In voorkomend geval omvatten zij passende perioden voor de uitfasering van deze ICT-componenten of componenten die ICT-componenten bevatten. In een dergelijke uitvoeringshandeling kunnen ook deze ICT-componenten of componenten die ICT-componenten bevatten waarop het verbod van toepassing is, worden gespecificeerd. Dit verbod heeft ook betrekking op ICT-componenten of componenten die ICT-componenten bevatten van alle entiteiten die onder zeggenschap staan van de in lid 6 bedoelde specifieke entiteit.

8.In de in de leden 1, 2 en 7, bedoelde uitvoeringshandelingen kan ook worden gespecificeerd dat de risicobeperkende maatregelen alleen van toepassing zijn op de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 bedoelde soorten entiteiten van een specifieke omvang.

9.Artikel 100, lid 4, is van toepassing op de specifieke entiteit die is gevestigd in of onder zeggenschap staat van een derde land, van een entiteit uit een derde land of van een onderdaan van een derde land als bedoeld in lid 7. 

10.De overeenkomstig de leden 1, 2 en 7 vastgestelde uitvoeringshandelingen die van toepassing zijn op het soort entiteiten als bedoeld in bijlage I, punt 10, bij Richtlijn (EU) 2022/2555 zijn van overeenkomstige toepassing op de Europese instellingen, organen en instanties.

Artikel 104
Identificatie van leveranciers met een hoog risico

1.De Commissie stelt door middel van uitvoeringshandelingen lijsten op van leveranciers met een hoog risico die relevant zijn voor de in de overeenkomstig artikel 103, lid 1, artikel 103, lid 7, vastgestelde uitvoeringshandelingen bedoelde verbodsbepalingen of de in artikel 111, lid 1, bedoelde verbodsbepaling.

2.Daartoe brengt de Commissie de leveranciers in kaart die ICT-componenten en componenten die ICT-componenten bevatten, leveren die relevant zijn voor de in lid 1 bedoelde verbodsbepaling.

Op basis hiervan verricht de Commissie een eerste beoordeling om vast te stellen welke van de in kaart gebrachte leveranciers mogelijk zijn gevestigd in een derde land dat overeenkomstig artikel 100 is aangewezen of onder zeggenschap staan van dat derde land, van een in dat derde land gevestigde entiteit of een van onderdaan van dat derde land. De Commissie maakt ook een eerste inventarisatie van leveranciers die mogelijk onder zeggenschap staan van de in artikel 103, lid 6, bedoelde entiteit.

3.De Commissie beoordeelt de plaats van vestiging en de eigendoms- en zeggenschapsstructuur van de oorspronkelijk overeenkomstig lid 2, tweede alinea, aangewezen leveranciers.

4.Met het oog op de in lid 3 bedoelde beoordeling heeft de Commissie het recht de leveranciers om de nodige informatie te verzoeken. Indien de leverancier de nodige informatie niet binnen de gestelde termijn verstrekt, kan de Commissie concluderen dat de leverancier is gevestigd in een derde land dat overeenkomstig artikel 100 is aangewezen of onder zeggenschap staat van dat derde land, van entiteiten uit dat derde land of van onderdanen van dat derde land. Wanneer de Commissie een beoordeling uitvoert voor de toepassing van artikel 103, lid 7, en de leverancier de nodige informatie niet binnen de gestelde termijn verstrekt, kan de Commissie concluderen dat de leverancier onder zeggenschap staat van een overeenkomstig dat artikel aangewezen entiteit. De in artikel 112 bedoelde bevoegde autoriteiten delen op verzoek ook relevante informatie met de Commissie.

5.De Commissie deelt voorlopige bevindingen over de vaststelling, de zeggenschap en de eigendomsbeoordeling met de betrokken leverancier. De Commissie stelt de leverancier in de gelegenheid te worden gehoord over deze voorlopige bevindingen.

6.De Commissie kan een bevoegde autoriteit verzoeken de eerste vestigings-, eigendoms- en zeggenschapsbeoordeling van een leverancier uit te voeren, indien dit gerechtvaardigd is in het licht van de kenmerken van de activiteiten van deze leverancier. Een bevoegde autoriteit kan aanbieden een dergelijke eerste beoordeling uit te voeren. De Commissie controleert deze eerste bevindingen om te beslissen of de leverancier moet worden opgenomen in de lijst van leveranciers met een hoog risico.

7.De Commissie werkt de lijst van leveranciers met een hoog risico regelmatig bij met het oog op de schrapping of toevoeging van leveranciers met een hoog risico. In de lijst opgenomen leveranciers met een hoog risico kunnen de Commissie verzoeken hun vestigings-, zeggenschaps- en eigendomsstructuur opnieuw te beoordelen nadat zij het bewijs hebben geleverd dat er relevante wijzigingen zijn doorgevoerd.

8.Wanneer een bevoegde autoriteit, mede op basis van informatie die is verstrekt door een entiteit van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555, constateert dat een leverancier mogelijk moet worden opgenomen in een lijst van leveranciers met een hoog risico, stelt zij de Commissie daarvan onverwijld in kennis.

Artikel 105
Vrijstelling voor entiteiten die zijn gevestigd in of onder zeggenschap staan van entiteiten uit een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging

1.Een entiteit die is gevestigd in of onder zeggenschap staat van entiteiten uit een overeenkomstig artikel 100 aangewezen derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging, kan bij de Commissie een met redenen omkleed verzoek indienen om te worden vrijgesteld:

a)van het verbod voor entiteiten van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 om hun ICT-componenten of componenten die hun ICT-componenten bevatten in welke vorm dan ook te gebruiken, te installeren of te integreren in belangrijke ICT-activa van die entiteiten, in afwijking van artikel 111 of van op grond van artikel 103, lid 1, vastgestelde uitvoeringshandelingen;

b)van het verbod om deel te nemen aan openbare aanbestedingsprocedures, georganiseerd overeenkomstig de wetgeving tot omzetting van Richtlijn 2014/24/EU en Richtlijn 2014/25/EU met betrekking tot de levering van ICT-componenten of componenten die ICT-componenten bevatten voor gebruik in overeenkomstig artikel 102 gedefinieerde belangrijke ICT-activa, in afwijking van artikel 100, lid 4.

2.In het in lid 1 bedoelde verzoek:

a)wordt het belang gespecificeerd van de entiteit die is gevestigd in of onder zeggenschap staat van entiteiten uit een overeenkomstig artikel 100 aangewezen derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging, om de in lid 1 van dit artikel bedoelde vrijstelling te verkrijgen; en

b)wordt met duidelijk bewijs aangetoond dat doeltreffende risicobeperkende maatregelen zullen worden genomen om niet-technische risico’s aan te pakken en ervoor te zorgen dat er geen mogelijke ongepaste inmenging door het overeenkomstig artikel 100 aangewezen derde land kan plaatsvinden met betrekking tot de levering van ICT-componenten of componenten die ICT-componenten bevatten voor het gebruik, de installatie of de integratie in belangrijke ICT-activa van een entiteit van het soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555.

3.De Commissie is bevoegd uitvoeringshandelingen vast te stellen om de in lid 2, punt b), bedoelde voorwaarden nader te specificeren en om nadere regels vast te stellen met betrekking tot de in dit artikel bedoelde procedures. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

4.De Commissie beoordeelt het in lid 1 bedoelde verzoek aan de hand van een eerlijk en transparant proces, rekening houdend met:

a)de in artikel 100, leden 1 en 2, bedoelde omstandigheden en aanvullende elementen met betrekking tot het aangewezen land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging voor ICT-toeleveringsketens waar de entiteit is gevestigd of van waaruit de zeggenschap over de entiteit wordt uitgeoefend;

b)de doeltreffendheid van de in lid 2, punt b), bedoelde risicobeperkende maatregelen;

c)de vraag of de vrijstelling voor de entiteit die is gevestigd in of onder zeggenschap staat van entiteiten uit een derde land dat aanleiding geeft tot bezorgdheid over cyberbeveiliging, de belangen van de Unie niet zou schaden.

5.Wanneer de Commissie naar aanleiding van de beoordeling in lid 3 concludeert dat het gerechtvaardigd is een vrijstelling te verlenen, neemt zij daartoe een besluit, waarvan zij de aanvrager binnen negen maanden na ontvangst van het verzoek in kennis stelt.

6.Bij de vaststelling van een in lid 4 bedoeld besluit kan de Commissie de vrijstelling tot een specifieke periode beperken en afhankelijk stellen van voorwaarden voor de entiteit, waaronder:

a)een tijdschema voor de uitvoering van de in lid 2, punt b), bedoelde risicobeperkende maatregelen;

b)regelmatige controles door derden om de doeltreffende uitvoering van risicobeperkende maatregelen te waarborgen;

c)rapportageverplichtingen met betrekking tot de naleving.

7.Wanneer de Commissie naar aanleiding van de beoordeling in lid 3 concludeert dat het niet gerechtvaardigd is een vrijstelling te verlenen, neemt zij daartoe een besluit, waarvan zij de aanvragers binnen negen maanden na ontvangst van het verzoek in kennis stelt.

8.De Commissie kan het in lid 4 bedoelde besluit op eigen initiatief intrekken of wijzigen in een of meer van de volgende situaties:

a)er heeft zich een materiële wijziging voorgedaan in de feiten waarop het besluit berust;

b)de entiteit die om de vrijstelling heeft verzocht, handelt in strijd met haar verbintenissen;

c)de vrijstelling was gebaseerd op onvolledige, onjuiste of misleidende informatie die door de verzoekende entiteit was verstrekt.

Artikel 106
Recht van verweer

Alvorens op grond van artikel 103, lid 7, een uitvoeringshandeling vast te stellen, op grond van artikel 105, lid 7, een besluit tot weigering van de verlening van een vrijstelling vast te stellen op basis van elementen die niet door de aanvrager zijn ingediend, of op grond van artikel 105, lid 8, een besluit in te trekken, zorgt de Commissie ervoor dat de betrokken entiteit in de gelegenheid wordt gesteld te worden gehoord, rekening houdend met de noodzaak, in sommige gevallen, van een spoedprocedure.

Artikel 107
Register

De Commissie houdt een openbaar register bij van haar in artikel 105, lid 5, bedoelde besluiten. Het register vermeldt de namen van de entiteiten die het voorwerp zijn geweest van dergelijke besluiten. Het register wordt regelmatig door de Commissie geactualiseerd.

Artikel 108
Vertrouwelijkheid

De door de Commissie overeenkomstig de artikelen 105 en 106 ontvangen inlichtingen worden uitsluitend gebruikt voor het doel waarvoor zij zijn verkregen.

Artikel 109
Vergoedingen

1.De Commissie brengt vergoedingen in rekening voor verzoeken die overeenkomstig artikel 105, lid 1, worden ingediend.

2.De vergoedingen worden uitgedrukt en betaald in euro.

3.De vergoedingen staan in verhouding tot de kosten in verband met de behandeling van de in artikel 105, lid 1, bedoelde verzoeken, de beoordeling van de in artikel 105, lid 2, bedoelde criteria en informatie, en het opzetten, bijhouden en beheren van het in artikel 107 bedoelde register. Alle uitgaven van de Commissie voor personeel dat bij deze activiteiten is betrokken, worden in deze kosten opgenomen.

4.De Commissie stelt uitvoeringshandelingen met gedetailleerde regels voor de vergoedingen vast waarin het bedrag van de vergoedingen en de wijze waarop deze moeten worden betaald, worden gespecificeerd. Die uitvoeringshandelingen worden volgens de in artikel 118, lid 2, bedoelde onderzoeksprocedure vastgesteld.

HOOFDSTUK II 
ICT-toeleveringsketens in elektronischecommunicatienetwerken

Artikel 110
Belangrijke ICT-activa voor mobiele, vaste en satellietnetwerken voor elektronische communicatie

1.De belangrijkste ICT-activa voor mobiele, vaste en satellietnetwerken voor elektronische communicatie worden vastgesteld in bijlage II.

2.Het gebruik van ICT-componenten of componenten die ICT-componenten bevatten die door leveranciers met een hoog risico worden geleverd, wordt geleidelijk afgebouwd wat betreft de belangrijkste ICT-activa voor mobiele, vaste en satellietnetwerken voor elektronische communicatie.

3.De termijn voor de uitfasering van de ICT-componenten of componenten die ICT-componenten bevatten die door leveranciers met een hoog risico met betrekking tot mobiele elektronischecommunicatienetwerken worden geleverd, bedraagt niet meer dan 36 maanden vanaf de bekendmaking van de in artikel 104 bedoelde lijst van leveranciers met een hoog risico die relevant is voor de mobiele elektronischecommunicatienetwerken.

4.De Commissie is bevoegd overeenkomstig artikel 118, lid 2, uitvoeringshandelingen vast te stellen tot nadere bepaling van de termijnen voor de uitfasering van de ICT-componenten of componenten die ICT-componenten bevatten die door leveranciers met een hoog risico worden geleverd met betrekking tot vaste en satellietnetwerken voor elektronische communicatie.

5.De Commissie is bevoegd overeenkomstig artikel 119 gedelegeerde handelingen vast te stellen om bijlage II bij deze verordening te wijzigen teneinde deze aan te passen aan technologische ontwikkelingen door rekening te houden met de in artikel 103, lid 4, bedoelde elementen.

Artikel 111
Verbodsbepalingen betreffende mobiele, vaste en satellietnetwerken voor elektronische communicatie

1.Aanbieders van mobiele, vaste en satellietnetwerken voor elektronische communicatie gebruiken, installeren of integreren in geen enkele vorm ICT-componenten of componenten die ICT-componenten bevatten van leveranciers met een hoog risico, bij de exploitatie van de in bijlage II bedoelde essentiële ICT-activa.

2.In gevallen waarin de krachtens deze verordening in een lidstaat aangewezen bevoegde autoriteit verschilt van de krachtens Verordening (EU) XX/XXXX [voorstel voor een handeling inzake digitale netwerken] bevoegde autoriteit, stelt de krachtens deze verordening aangewezen bevoegde autoriteit de krachtens Verordening (EU) XX/XXXX [voorstel voor een handeling inzake digitale netwerken] bevoegde autoriteit onverwijld in kennis van de maatregelen die overeenkomstig artikel 114 aan aanbieders van mobiele, vaste en satellietnetwerken voor elektronische communicatie zijn opgelegd. De autoriteiten zorgen voor nauwe samenwerking met het oog op een effectief toezicht op en een effectieve handhaving van die maatregelen.

HOOFDSTUK III 
Bevoegde autoriteiten, toezicht en handhaving, rechtsmacht, rechten van verdediging

Artikel 112
Bevoegde autoriteiten

1.Elke lidstaat wijst de in artikel 8 van Richtlijn (EU) 2022/2555 bedoelde bevoegde autoriteiten aan als autoriteiten die verantwoordelijk zijn voor het nemen van de in artikel 114 bedoelde toezicht- en handhavingsmaatregelen.

2.De bevoegde autoriteiten zijn structureel en functioneel volledig onpartijdig en vrij van elke directe of indirecte invloed van buitenaf; met name vragen noch aanvaarden zij instructies van enige andere overheidsinstantie of particuliere partij.

3.De lidstaten zorgen ervoor dat hun bevoegde autoriteiten over passende bevoegdheden, voldoende personele en technische middelen en relevante deskundigheid beschikken om de in artikel 114 bedoelde toezicht- en handhavingsmaatregelen doeltreffend uit te voeren.

4.Elke lidstaat stelt de Commissie onverwijld in kennis van de namen van de overeenkomstig lid 1 aangewezen bevoegde autoriteiten, van de respectieve taken van die autoriteiten en van eventuele latere wijzigingen daarvan. Daarnaast maakt elke lidstaat de namen van de overeenkomstig lid 1 aangewezen bevoegde autoriteiten bekend.

Artikel 113
Netwerk voor samenwerking en ondersteunende diensten van de Commissie

Met het oog op effectief toezicht zet de Commissie een netwerk op voor samenwerking tussen de in artikel 112 bedoelde bevoegde autoriteiten van de lidstaten en de Commissie, dat als platform voor samenwerking en informatie-uitwisseling dient, met name met het oog op de in artikel 104 bedoelde oprichting, controle en eigendomsbeoordeling. De Commissie verleent de administratieve ondersteuning aan het netwerk.

Artikel 114
Toezichts- en handhavingsmaatregelen

1.De in artikel 112 bedoelde bevoegde autoriteiten hebben het recht toezicht- en handhavingsmaatregelen te nemen ten aanzien van entiteiten van de soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555. De lidstaten zorgen ervoor dat die maatregelen effectief, evenredig en afschrikkend zijn, rekening houdend met de omstandigheden van ieder afzonderlijk geval. De lidstaten stellen de Commissie in kennis van de daartoe vastgestelde regels en de latere wijzigingen daarvan.

2.Bij de uitoefening van hun toezichthoudende taken met betrekking tot de in de bijlagen I en II bij Richtlijn (EU) 2022/2555 bedoelde entiteiten hebben de bevoegde autoriteiten het recht om die entiteiten te verzoeken om:

a)een gedetailleerde en actuele lijst van hun relevante leveranciers en dienstverleners;

b)toegang tot gegevens, documenten en informatie die nodig zijn voor het controleren van de naleving van deze verordening;

c)inspecties ter plaatse en toezicht elders uit te voeren, met inbegrip van steekproefsgewijze controles die worden uitgevoerd door daartoe opgeleide professionals;

d)informatie met betrekking tot de samenstelling van hardware- of softwareproducten die in welke vorm dan ook in het netwerk of systeem zijn geïnstalleerd of geïntegreerd, met inbegrip van componenten en transitieve afhankelijkheden, in een algemeen gebruikt en machinaal leesbaar formaat.

3.Bij de uitoefening van hun handhavingsbevoegdheden met betrekking tot entiteiten als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 hebben de bevoegde autoriteiten het recht om:

a)waarschuwingen te geven over inbreuken op deze verordening door de betrokken entiteiten, met vermelding van de relevante feiten en juridische overwegingen;

b)besluiten vast te stellen waarbij de betrokken entiteiten worden verplicht de inbreuk op deze verordening of de bij de uitvoering van risicobeperkende maatregelen vastgestelde tekortkomingen te verhelpen;

c)de betrokken entiteiten te gelasten te stoppen met activiteiten die inbreuk maken op deze verordening en af te zien van herhaling van die activiteiten; en

d)overeenkomstig de regels sancties op te leggen met betrekking tot het in artikel 115 vastgestelde bedrag of te verzoeken om het opleggen van dergelijke sancties door de bevoegde organen of rechterlijke instanties, overeenkomstig het nationale recht.

4.Bij het nemen van de in het vorige lid bedoelde handhavingsmaatregelen houden de bevoegde autoriteiten rekening met de omstandigheden van elk afzonderlijk geval en houden zij terdege rekening met de volgende factoren:

a)de ernst van de inbreuk en het belang van de geschonden bepalingen;

b)de duur van de inbreuk;

c)de relevante omzet van de betrokken entiteit;

d)eventuele relevante eerdere inbreuken door de betrokken entiteit;

e)in voorkomend geval, de veroorzaakte materiële of immateriële schade, met inbegrip van financiële of economische schade, gevolgen voor andere entiteiten en het aantal getroffen gebruikers;

f)opzet of nalatigheid van de betrokken entiteit;

g)door de entiteit genomen maatregelen om de materiële of immateriële schade te voorkomen of te beperken;

h)de mate van samenwerking met de bevoegde autoriteiten door de verantwoordelijke natuurlijke personen of rechtspersonen.

Voor de toepassing van de eerste alinea, punt a), wordt het volgende beschouwd als een ernstige inbreuk:

i)herhaalde inbreuken;

j)het niet melden of niet verhelpen van significante incidenten;

k)het niet verhelpen van tekortkomingen naar aanleiding van bindende aanwijzingen van de bevoegde autoriteiten.

5.De bevoegde autoriteiten stellen de betrokken entiteiten in kennis van hun voorlopige bevindingen alvorens handhavingsmaatregelen te nemen. De betrokken entiteiten krijgen een redelijke termijn om opmerkingen over de voorlopige bevindingen in te dienen. De bevoegde autoriteiten geven een gedetailleerde motivering van hun handhavingsmaatregelen.

6.De bevoegde autoriteiten nemen de beginselen van vertrouwelijkheid en beroeps- en handelsgeheim in acht.

7.De bevoegde autoriteiten werken met elkaar en met de Commissie samen met het oog op het toezicht en de handhaving uit hoofde van deze titel overeenkomstig artikel 116.

Artikel 115
Sancties

1.De lidstaten stellen voorschriften vast ten aanzien van de sancties die van toepassing zijn op overtredingen van deze verordening en nemen alle nodige maatregelen om ervoor te zorgen dat deze sancties worden uitgevoerd.

2.De sancties moeten doeltreffend, evenredig en afschrikkend zijn. De lidstaten stellen de Commissie van die voorschriften en maatregelen in kennis en delen haar onverwijld alle latere wijzigingen daarvan mede.

3.Sancties worden opgelegd boven op een of meer van de in artikel 114, lid 3, punten a), b) en c), bedoelde maatregelen.

4.Bij het besluit om een sanctie op te leggen en bij de vaststelling van het bedrag ervan in elk afzonderlijk geval wordt er ten minste naar behoren rekening gehouden met de in artikel 114, lid 4, eerste alinea, genoemde factoren.

5.Inbreuken op artikel 103, lid 2, punt a), worden overeenkomstig lid 3 van dit artikel bestraft met sancties van maximaal 1 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de entiteit behoort.

6.Inbreuken op artikel 103, lid 2, punten b) tot en met g), worden overeenkomstig lid 3 van dit artikel bestraft met sancties van maximaal 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de entiteit behoort.

7.Inbreuken op artikel 103, lid 1, en artikel 111 worden overeenkomstig lid 3 van dit artikel bestraft met sancties van maximaal 7 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de entiteit behoort.

Artikel 116
Wederzijdse bijstand

1.Wanneer een entiteit van de soort als bedoeld in bijlage I of II bij Richtlijn (EU) 2022/2555 diensten verleent in meer dan één lidstaat of diensten verleent in één of meer lidstaten en haar belangrijkste ICT-activa zich in één of meer andere lidstaten bevinden, werken de bevoegde autoriteiten van de betrokken lidstaten met elkaar en met de Commissie samen en verlenen zij elkaar en de Commissie bijstand om de effectieve en efficiënte toepassing van de verordening te waarborgen. Daartoe zijn ten minste de volgende regels van toepassing:

a)de bevoegde autoriteiten die in een lidstaat toezichts- of handhavingsmaatregelen toepassen, informeren en raadplegen de bevoegde autoriteiten in de andere betrokken lidstaten over de genomen toezichts- en handhavingsmaatregelen;

b)een bevoegde autoriteit in een lidstaat kan een andere bevoegde autoriteit in een andere lidstaat verzoeken toezichts- of handhavingsmaatregelen te nemen;

c)een bevoegde autoriteit in een lidstaat verleent, na ontvangst van een gemotiveerd verzoek van een andere bevoegde autoriteit in een andere lidstaat, die andere bevoegde autoriteit naar beste vermogen wederzijdse bijstand, zodat de toezichts- of handhavingsmaatregelen op een effectieve, efficiënte en consistente wijze kunnen worden uitgevoerd.

2.De in lid 1, punt c), bedoelde wederzijdse bijstand kan betrekking hebben op verzoeken om informatie en toezichtsmaatregelen, met inbegrip van verzoeken om inspecties ter plaatse of toezicht elders of gerichte beveiligingsaudits uit te voeren. Een bevoegde autoriteit waaraan een verzoek om bijstand is gericht, mag dat verzoek niet weigeren, tenzij wordt vastgesteld dat zij niet bevoegd is om de gevraagde bijstand te verlenen, dat de gevraagde bijstand niet in verhouding staat tot de toezichtstaken van de bevoegde autoriteit, of dat het verzoek betrekking heeft op informatie of activiteiten inhoudt die, indien ze openbaar zouden worden gemaakt of zouden worden uitgevoerd, in strijd zouden zijn met de wezenlijke belangen van de nationale of openbare veiligheid of defensie van de lidstaat. Alvorens een dergelijk verzoek af te wijzen, raadpleegt de bevoegde autoriteit de andere betrokken bevoegde autoriteiten alsmede, op verzoek van een van de betrokken lidstaten, de Commissie.

3.In voorkomend geval kunnen de bevoegde autoriteiten van verschillende lidstaten in onderlinge overeenstemming gezamenlijke toezichtsacties uitvoeren.

4.Gezien de verplichting om de beginselen van vertrouwelijkheid en beroeps- en handelsgeheim als bedoeld in artikel 114, lid 6, in acht te nemen, wordt alle informatie die in het kader van een verzoek om bijstand wordt uitgewisseld en uit hoofde van dit artikel wordt verstrekt, alleen gebruikt voor de aangelegenheid waarvoor om bijstand is verzocht.

Artikel 117
Jurisdictie en territorialiteit

1.Entiteiten van de soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 die binnen het toepassingsgebied van deze verordening vallen, worden geacht onder de jurisdictie te vallen van de lidstaat waar zij zijn gevestigd, behalve in het geval van:

a)aanbieders van openbare elektronischecommunicatienetwerken of aanbieders van openbare elektronischecommunicatiediensten, die worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun diensten aanbieden;

b)DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines of van platforms voor socialenetwerkdiensten, die worden geacht onder de jurisdictie te vallen van de lidstaat waar zij hun hoofdvestiging in de Unie overeenkomstig lid 2 hebben;

c)overheidsinstanties, die worden geacht te vallen onder de jurisdictie van de lidstaat waartoe zij behoren;

d)luchtvaartmaatschappijen, die worden geacht onder de jurisdictie te vallen van de lidstaat waarvan de bevoegde vergunningverlenende autoriteit de exploitatievergunning aan de entiteit heeft verleend op grond van Verordening (EG) nr. 1008/2008 van het Europees Parlement en de Raad 83 , of, indien de exploitatievergunning of het equivalent daarvan niet overeenkomstig die verordening is verleend, die worden geacht onder de jurisdictie te vallen van de lidstaat waar zij hun hoofdvestiging in de Unie hebben op grond van lid 2.

2.Voor de toepassing van deze verordening wordt een in lid 1, punt b), bedoelde entiteit geacht haar hoofdvestiging in de Unie te hebben in de lidstaat waar de beslissingen met betrekking tot de maatregelen voor het beheer van cyberbeveiligingsrisico’s hoofdzakelijk worden genomen. Indien niet kan worden bepaald welke lidstaat dat is of indien dergelijke besluiten niet in de Unie worden genomen, wordt de hoofdvestiging geacht zich te bevinden in de lidstaat waar de meeste cyberbeveiligingsactiviteiten worden uitgevoerd. Indien niet kan worden bepaald welke lidstaat dat is, wordt de hoofdvestiging geacht zich te bevinden in de lidstaat waar de betrokken entiteit de vestiging met het grootste aantal werknemers in de Unie heeft.

3.Indien een entiteit van een soort als bedoeld in de bijlagen I en II bij Richtlijn (EU) 2022/2555 niet in de Unie is gevestigd, maar diensten in de Unie aanbiedt, wijst zij een vertegenwoordiger in de Unie aan. De vertegenwoordiger is gevestigd in een van de lidstaten waar de diensten worden aangeboden. Deze entiteit wordt geacht onder de jurisdictie te vallen van de lidstaat waar de vertegenwoordiger is gevestigd. Indien een dergelijke entiteit een entiteit is als bedoeld in lid 1, punt a), wordt zij geacht onder de jurisdictie te vallen van de lidstaat waar zij haar diensten aanbiedt. Bij ontstentenis van een overeenkomstig dit lid aangewezen vertegenwoordiger in de Unie kan elke lidstaat waar de entiteit diensten verricht, juridische stappen ondernemen tegen de entiteit wegens inbreuk op deze verordening.

4.De aanwijzing van een vertegenwoordiger door een entiteit als bedoeld in lid 1, punt b), doet geen afbreuk aan juridische stappen die tegen de entiteit zelf kunnen worden ingesteld.

5.Lidstaten die een verzoek om wederzijdse bijstand hebben ontvangen met betrekking tot een entiteit als bedoeld in lid 1, punt b), kunnen, binnen de grenzen van dat verzoek, passende toezichts- en handhavingsmaatregelen nemen ten aanzien van de betrokken entiteit als deze entiteit op hun grondgebied diensten verleent of een netwerk- en informatiesysteem van de entiteit zich op hun grondgebied bevindt.

TITEL VI 
SLOTBEPALINGEN

Artikel 118
Comitéprocedure

1.De Commissie wordt bijgestaan door een comité. Dat comité heeft twee samenstellingen. Ten aanzien van de titels II en III wordt de Commissie bijgestaan door een comité in de eerste samenstelling, terwijl ten aanzien van titel IV de Commissie wordt bijgestaan door een comité in de tweede samenstelling. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011.

2.Wanneer naar dit lid wordt verwezen, is artikel 5 van Verordening (EU) nr. 182/2011 van toepassing.

Artikel 119
Uitoefening van de bevoegdheidsdelegatie

1.De bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend onder de in dit artikel neergelegde voorwaarden.

2.De in artikel 80, lid 2, en artikel 110, lid 5, bedoelde bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend voor onbepaalde tijd met ingang van de datum van inwerkingtreding van deze verordening.

3.Het Europees Parlement of de Raad kan de in de artikel 80, lid 2, en artikel 110, lid 5, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet. 

4.Vóór de vaststelling van een gedelegeerde handeling raadpleegt de Commissie de door elke lidstaat aangewezen deskundigen overeenkomstig de beginselen die zijn neergelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven.

5.Zodra de Commissie een gedelegeerde handeling heeft vastgesteld, doet zij daarvan gelijktijdig kennisgeving aan het Europees Parlement en de Raad.

6.Een overeenkomstig de artikelen 80, lid 2, en artikel 110, lid 5, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van twee maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben meegedeeld dat zij daartegen geen bezwaar zullen maken. Die termijn wordt op initiatief van het Europees Parlement of de Raad met twee maanden verlengd. 

Artikel 120
Evaluatie en toetsing

1.Uiterlijk op [DD MM YYYY] en vervolgens om de vijf jaar geeft de Commissie opdracht tot een evaluatie die wordt uitgevoerd overeenkomstig de richtsnoeren van de Commissie.

2.De in lid 1 bedoelde evaluatie omvat een analyse van de volgende punten:

a)de prestaties van Enisa met betrekking tot zijn doelstellingen, mandaat, opdracht, taken, bestuur en locatie;

b)de doeltreffendheid, de efficiëntie en de EU-meerwaarde van de Europese regelingen voor individuele attesteringen van cyberbeveiligingsvaardigheden zoals vastgesteld in titel II, hoofdstuk II, afdeling 4, van deze verordening;

c)de gevolgen, de doeltreffendheid en de efficiëntie van de bepalingen van titel III van deze verordening met betrekking tot de doelstellingen om een adequaat cyberbeveiligingsniveau van ICT-producten, -diensten en -processen, beheerde beveiligingsdiensten en entiteiten in de Unie te waarborgen en de werking van de interne markt te verbeteren;

d)de gevolgen, de doeltreffendheid en de efficiëntie van de bepalingen van titel IV van deze verordening met betrekking tot de doelstellingen van het kader voor betrouwbare ICT-toeleveringsketens.

3.De in de lid 1, punt a), bedoelde evaluatie richt zich in het bijzonder op de vraag of het mandaat van Enisa moet worden gewijzigd en op de financiële gevolgen van een dergelijke wijziging.

4.Bij elke tweede evaluatie als bedoeld in lid 1, punt a), toetst de Commissie de door Enisa bereikte resultaten in het licht van zijn doelstellingen, mandaat, bestuur en taken, met inbegrip van een beoordeling of het voortbestaan van Enisa nog steeds gerechtvaardigd is gelet op deze doelstellingen, dit mandaat, dit bestuur en deze taken.

5.De Commissie brengt verslag uit aan het Europees Parlement, de Raad en de raad van bestuur over de resultaten van de evaluatie. De resultaten van de evaluatie worden openbaar gemaakt.

Artikel 121
Intrekking en voortzetting van activiteiten

1.Verordening (EU) 2019/881 van het Europees Parlement en de Raad wordt ingetrokken met ingang van DD MM JJJJ.

2.Verwijzingen naar Verordening (EU) 2019/881, Enisa en de bij die verordening vastgestelde Europese regelingen voor cyberbeveiligingscertificering gelden als verwijzingen naar deze verordening en worden gelezen volgens de concordantietabel in bijlage III bij deze verordening.

3.Enisa, vallend onder de onderhavige verordening, zet de handelingen en activiteiten voort van Enisa zoals opgericht bij Verordening (EU) 2019/881, wat alle eigendommen, overeenkomsten, juridische verplichtingen, arbeidsovereenkomsten, financiële verbintenissen en aansprakelijkheden betreft. Alle overeenkomstig Verordening (EU) 2019/881 vastgestelde besluiten van de raad van bestuur en het dagelijks bestuur blijven geldig, mits zij stroken met deze verordening.

4.De overeenkomstig artikel 15, lid 1, punt n), van Verordening (EU) 2019/881 aangewezen uitvoerend directeur blijft in functie en oefent de taken en verantwoordelijkheden uit van de uitvoerend directeur als bedoeld in artikel 32 van deze verordening voor het resterende gedeelte van de ambtstermijn van de uitvoerend directeur. De overige voorwaarden van hun overeenkomst blijven ongewijzigd.

5.De potentiële regelingen waarvan de voorbereiding is aangevraagd op grond van artikel 49 van Verordening (EU) 2019/881, worden geacht te zijn aangevraagd op grond van de overeenkomstige bepalingen van deze verordening. De bepalingen van titel III van deze verordening zijn dienovereenkomstig van toepassing op die potentiële regelingen.

6.De overeenkomstig artikel 14 van Verordening (EU) 2019/881 door de Commissie aangewezen leden van de raad van bestuur en hun plaatsvervangers blijven in functie en oefenen de taken uit van de raad van bestuur als bedoeld in artikel 27 van deze verordening voor het resterende gedeelte van hun ambtstermijn. De overeenkomstig artikel 14 van Verordening (EU) 2019/881 door de lidstaten aangewezen leden van de raad van bestuur blijven in functie en oefenen de taken uit van de raad van bestuur als bedoeld in artikel 27 van deze verordening, voor zover zij functies vervullen als bedoeld in artikel 24, lid 3, van deze verordening.

Artikel 122
Inwerkingtreding

Deze verordening treedt in werking op de [...] dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Straatsburg,

FINANCIEEL EN DIGITAAL MEMORANDUM

1.KADER VAN HET VOORSTEL/INITIATIEF3

1.1.Benaming van het voorstel/initiatief3

1.2.Betrokken beleidsterreinen3

1.3.Doelstellingen3

1.3.1.Algemene doelstellingen3

1.3.2.Specifieke doelstellingen3

1.3.3.Verwachte resultaten en gevolgen3

1.3.4.Prestatie-indicatoren3

1.4.Het voorstel/initiatief betreft:4

1.5.Motivering van het voorstel/initiatief4

1.5.1.Behoeften waarin op korte of lange termijn moet worden voorzien, met een gedetailleerd tijdschema voor de uitrol van het initiatief4

1.5.2.Toegevoegde waarde van de deelname van de EU (deze kan het resultaat zijn van verschillende factoren, bijvoorbeeld coördinatiewinst, rechtszekerheid, grotere doeltreffendheid of complementariteit). Voor de toepassing van dit punt wordt onder “toegevoegde waarde van het optreden van de EU” verstaan de waarde die het optreden van de Unie oplevert boven op de waarde die door een optreden van alleen de lidstaten zou zijn gecreëerd.4

1.5.3.Nuttige ervaring die bij soortgelijke activiteiten in het verleden is opgedaan4

1.5.4.Verenigbaarheid met het meerjarig financieel kader en eventuele synergie met andere passende instrumenten5

1.5.5.Beoordeling van de verschillende beschikbare financieringsopties, waaronder mogelijkheden voor herschikking5

1.6.Duur en financiële gevolgen van het voorstel/initiatief6

1.7.Wijzen van uitvoering van de begroting6

2.BEHEERSMAATREGELEN8

2.1.Regels inzake het toezicht en de verslagen8

2.2.Beheers- en controlesystemen8

2.2.1.Rechtvaardiging van de voorgestelde wijzen van uitvoering van de begroting, uitvoeringsmechanismen voor financiering, betalingsvoorwaarden en controlestrategie8

2.2.2.Informatie over de vastgestelde risico’s en het systeem of de systemen voor interne controle die zijn opgezet om die risico’s te beperken8

2.2.3.Raming en motivering van de kosteneffectiviteit van de controles (verhouding tussen de controlekosten en de waarde van de desbetreffende financiële middelen) en evaluatie van het verwachte foutenrisico (bij betaling en bij afsluiting).8

2.3.Maatregelen ter voorkoming van fraude en onregelmatigheden9

3.GERAAMDE FINANCIËLE GEVOLGEN VAN HET VOORSTEL/INITIATIEF10

3.1.Rubrieken van het meerjarig financieel kader en betrokken begrotingsonderdelen voor uitgaven10

3.2.Geraamde financiële gevolgen van het voorstel inzake kredieten12

3.2.1.Samenvatting van de geraamde gevolgen voor de beleidskredieten12

3.2.1.1.Kredieten uit goedgekeurde begroting12

3.2.1.2.Kredieten uit externe bestemmingsontvangsten17

3.2.2.Geraamde output, gefinancierd uit beleidskredieten22

3.2.3.Samenvatting van de geraamde gevolgen voor de administratieve kredieten24

3.2.3.1. Kredieten uit goedgekeurde begroting24

3.2.3.2.Kredieten uit externe bestemmingsontvangsten24

3.2.3.3.Totaal kredieten24

3.2.4.Geraamde personeelsbehoeften25

3.2.4.1.Gefinancierd uit goedgekeurde begroting25

3.2.4.2.Gefinancierd uit externe bestemmingsontvangsten26

3.2.4.3.Totale personeelsbehoeften26

3.2.5.Overzicht van het geschatte effect op met digitale technologie samenhangende investeringen28

3.2.6.Verenigbaarheid met het huidige meerjarig financieel kader28

3.2.7.Bijdragen van derden28

3.3.Geraamde gevolgen voor de ontvangsten29

4.Digitale dimensies29

4.1.Voorschriften met digitale relevantie30

4.2.Gegevens30

4.3.Digitale oplossingen31

4.4.Interoperabiliteitsbeoordeling31

4.5.Maatregelen ter ondersteuning van de digitale uitvoering32

1.KADER VAN HET VOORSTEL/INITIATIEF 

1.1.Benaming van het voorstel/initiatief

1.2.Betrokken beleidsterreinen 

1.3.Doelstellingen

1.3.1.Algemene doelstellingen

1.3.2.Specifieke doelstellingen

1.3.3.Verwachte resultaten en gevolgen

Vermeld de gevolgen die het voorstel/initiatief zou moeten hebben op de begunstigden/doelgroepen.

1.3.4.Prestatie-indicatoren

Vermeld de indicatoren voor de monitoring van de voortgang en de beoordeling van de resultaten

1.4.Het voorstel/initiatief betreft: 

 een nieuwe actie (titel IV, Toeleveringsketen, en titel V, Vereenvoudiging)

 een nieuwe actie na een proefproject/voorbereidende actie 84 ; 

 de verlenging van een bestaande actie (titel II, Mandaat van Enisa, en titel III, Certificering)

 de samenvoeging of ombuiging van een of meer acties naar een andere/een nieuwe actie

1.5.Motivering van het voorstel/initiatief 

1.5.1.Behoeften waarin op korte of lange termijn moet worden voorzien, met een gedetailleerd tijdschema voor de uitrol van het initiatief

1.5.2.Toegevoegde waarde van de deelname van de EU (deze kan het resultaat zijn van verschillende factoren, bijvoorbeeld coördinatiewinst, rechtszekerheid, grotere doeltreffendheid of complementariteit). Voor de toepassing van dit punt wordt onder “toegevoegde waarde van het optreden van de EU” verstaan de waarde die het optreden van de Unie oplevert boven op de waarde die door een optreden van alleen de lidstaten zou zijn gecreëerd.

1.5.3.Nuttige ervaring die bij soortgelijke activiteiten in het verleden is opgedaan

1.5.4.Verenigbaarheid met het meerjarig financieel kader en eventuele synergie met andere passende instrumenten

1.5.5.Beoordeling van de verschillende beschikbare financieringsopties, waaronder mogelijkheden voor herschikking

1.6.Duur en financiële gevolgen van het voorstel/initiatief

 beperkte geldigheidsduur: 

– van kracht vanaf [DD/MM/]JJJJ tot en met [DD/MM/]JJJJ;

– financiële gevolgen vanaf JJJJ tot en met JJJJ voor vastleggingskredieten en vanaf JJJJ tot en met JJJJ voor betalingskredieten;

 onbeperkte geldigheidsduur:

–Uitvoering met een opstartperiode vanaf JJJJ tot en met JJJJ,

–gevolgd door een volledige uitvoering.

1.7.Wijzen van uitvoering van de begroting 

 Direct beheer door de Commissie:

– door haar diensten, waaronder het personeel in de delegaties van de Unie;

– door de uitvoerende agentschappen;

 Gedeeld beheer met de lidstaten;

 Indirect beheer door begrotingsuitvoeringstaken te delegeren aan:

– derde landen of de door hen aangewezen organen;

– internationale organisaties en hun agentschappen (geef aan welke);

– de Europese Investeringsbank en het Europees Investeringsfonds;

– de in de artikelen 70 en 71 van het Financieel Reglement bedoelde organen;

– overheidsinstanties;

– organen met een openbare dienstverleningstaak, voor zover zij zijn voorzien van voldoende financiële garanties;

– privaatrechtelijke organen van een lidstaat, waaraan de uitvoering van een publiek-privaat partnerschap is toevertrouwd en die voldoende financiële garanties bieden;

– organen waaraan of personen aan wie de uitvoering van specifieke maatregelen op het gebied van het gemeenschappelijk buitenlands en veiligheidsbeleid in het kader van titel V van het Verdrag betreffende de Europese Unie is toevertrouwd en die worden genoemd in de betrokken basishandeling;

– in een lidstaat gevestigde organen die onder het privaatrecht van een lidstaat of onder het Unierecht vallen en die in aanmerking komen om overeenkomstig sectorspecifieke regelgeving te worden belast met de uitvoering van middelen van de Unie of begrotingsgaranties, voor zover dergelijke organen onder zeggenschap staan van overheidsinstanties of privaatrechtelijke organen met een openbaredienstverleningstaak, en beschikken over voldoende financiële garanties in de vorm van hoofdelijke aansprakelijkheid van de controlerende organen of gelijkwaardige financiële garanties, die voor elke actie beperkt kunnen blijven tot het maximumbedrag van de steun van de Unie.

Opmerkingen

2.BEHEERSMAATREGELEN 

2.1.Regels inzake het toezicht en de verslagen 

2.2.Beheers- en controlesystemen 

2.2.1.Rechtvaardiging van de voorgestelde wijzen van uitvoering van de begroting, uitvoeringsmechanismen voor financiering, betalingsvoorwaarden en controlestrategie

2.2.2.Informatie over de vastgestelde risico’s en het systeem of de systemen voor interne controle die zijn opgezet om die risico’s te beperken

2.2.3.Raming en motivering van de kosteneffectiviteit van de controles (verhouding tussen de controlekosten en de waarde van de desbetreffende financiële middelen) en evaluatie van het verwachte foutenrisico (bij betaling en bij afsluiting). 

2.3.Maatregelen ter voorkoming van fraude en onregelmatigheden 

3.GERAAMDE FINANCIËLE GEVOLGEN VAN HET VOORSTEL/INITIATIEF 

3.1.Rubrieken van het meerjarig financieel kader en betrokken begrotingsonderdelen voor uitgaven 

·Bestaande begrotingsonderdelen

In volgorde van de rubrieken van het meerjarig financieel kader en de begrotingsonderdelen.