28.4.2007   

NL

Publicatieblad van de Europese Unie

C 97/21

1.1

Eén ding staat voor het Comité als een paal boven water: het probleem van de computerbeveiliging baart ondernemingen, bestuurlijke instanties, overheidsdiensten, particuliere organisaties én burgers steeds meer zorgen.

1.2

Over het algemeen stemt het Comité in met de argumenten voor een nieuwe strategie (en de analyses die de noodzaak daarvan bevestigen) om netwerken en informatie tegen zich niet aan geografische grenzen houdende computeraanvallen en -inbraak te beschermen.

1.3

In het licht van de omvang die dit fenomeen inmiddels heeft aangenomen en de weerslag ervan op economie en persoonlijke levenssfeer, zal de Commissie er echter wel nog een schepje bovenop moeten doen om een strategie te verwezenlijken die echt vernieuwend en voldoende gestructureerd is.

1.3.1

De Commissie heeft overigens onlangs nog een nieuwe mededeling over netwerk- en informatiebeveiliging goedgekeurd, terwijl er voor binnenkort nog een ander document over dit onderwerp is aangekondigd. Het Comité is dan ook voornemens om in een later stadium een uitvoeriger advies hierover uit te brengen, dat tegelijkertijd over alle mededelingen over dit onderwerp gaat.

1.4

Hoe dan ook kan het vraagstuk van de beveiliging van informaticasystemen niet worden losgezien van het in het Europees Verdrag voor de Rechten van de Mens (EVRM) vastgelegde recht op de bescherming van persoonsgegevens en van de burgerlijke vrijheden.

1.5

Het Comité vraagt zich af welke meerwaarde de voorgestelde strategie thans heeft in vergelijking met de al in 2001 goedgekeurde geïntegreerde aanpak, waarvan het doel samenvalt met dat van onderhavige mededeling (1).

1.5.1

In de bij het voorstel gevoegde effectbeoordeling (2) staan weliswaar enkele belangwekkende bijstellingen in vergelijking met de situatie in 2001, maar die tekst is maar één taal opgesteld en dus voor veel Europese burgers niet toegankelijk: de burgers van Europa zullen hun oordeel baseren op het officiële document waarvan wél versies in alle werktalen van de EU beschikbaar zijn.

1.6

Het Comité verwijst naar de conclusies die in 2005, tijdens de Wereldtop van Tunesië, over de informatiemaatschappij zijn getrokken en die op 27 maart 2006 door de Algemene Vergadering van de VN zijn onderschreven:

1.7

Voor een dynamische, geïntegreerde communautaire strategie is er volgens het Comité niet alleen behoefte aan „Dialoog, partnerschap en empowerment”, maar ook aan

1.8

Tot besluit stelt het Comité dat een dynamische, geïntegreerde communautaire strategie dode letter blijft zolang de financiële middelen niet volgen en als er geen maatregelen of acties worden ondernomen om te zorgen voor meer coördinatie in EU-verband, waardoor Europa in internationale gremia met één stem kan spreken.

2.1

Zorgen voor een veilige informatiemaatschappij, brengt uitdagingen met zich mee. Met de mate waarin aan die uitdagingen het hoofd kan worden geboden, staat of valt het vertrouwen dat wordt gesteld in communicatienetwerken en -diensten en de betrouwbaarheid daarvan. Dat vertrouwen en die betrouwbaarheid zijn op hun beurt essentiële voorwaarden voor de ontwikkeling van economie en samenleving.

2.2

Netwerken en informaticasystemen moeten worden beschermd om het concurrentievermogen en de commerciële waarde ervan in stand te houden, de integriteit en continuïteit van elektronische communicatie te garanderen, fraude te bestrijden en wettelijke bescherming van de persoonlijke levenssfeer te bieden.

2.3

Elektronische communicatiediensten vormen het leeuwendeel van de telecommunicatiesector: negen van de tien Europese ondernemingen maken actief gebruik van het internet; daarvan heeft 65 % een eigen webstek gecreëerd; ook is uitgerekend dat ongeveer de helft van alle burgers van Europa regelmatig op het internet surft en dat een kwart van de gezinnen een vaste breedbandverbinding heeft (cijfers voor 2004) (5).

2.4

De investeringen in informatietechnologie zitten in de lift, maar wat voor computerveiligheid wordt uitgegeven, komt niet hoger uit dan 5 à 13 % van het totale investeringsbedrag. Dat is uiteraard te weinig: recent onderzoek heeft uitgewezen dat op een gemiddelde van dertig protocollen voor de voornaamste structuren, er drieëntwintig kwetsbaar zijn voor multiprotocol attacks  (6), terwijl het aantal SPAM-mails (7) dat iedere dag wordt verstuurd, gemiddeld op 25 miljoen wordt geraamd. De Commissie heeft overigens onlangs terecht een voorstel voor de bestrijding van SPAM ingediend.

2.5

Op het gebied van computervirussen (8), ontwikkelen „worms”  (9) en „spyware”  (10) zich snel en op grote schaal, gelijk opgaand met de voortschrijdende ontwikkeling van netwerken en systemen voor elektronische communicatie, die almaar complexer en dus ook kwetsbaarder worden, ook afhankelijk van de convergentie van multimedia, mobiele telefonie en GRID infoware-systemen (11): de veiligheid van de informatiemaatschappij wordt in gevaar gebracht door denial-of-service-aanvallen („verstikkingsaanvallen”), online identiteitsdiefstal, phishing  (12), piracy  (13) enz. In de hieraan gewijde mededeling van 2001 (14), waarover het Comité advies (15) heeft uitgebracht, volgt de Commissie onderstaande actielijnen:

2.6

In een netwerksysteem vormt het opsporen van computeraanvallen, alsook de identificatie en preventie daarvan een uitdaging, omdat de zoektocht naar geschikte oplossingen wordt bemoeilijkt door de voortdurende configuratieveranderingen, de verscheidenheid aan netwerkprotocollen en aangeboden en ontwikkelde diensten, en de zeer grote complexiteit van de asynchrone gedragingen bij aanvallen (16).

2.7

Doordat de resultaten van investeringen in computerveiligheid niet erg tastbaar zijn en de burger/gebruiker zich er nauwelijks verantwoordelijk voor voelt, worden de risico's helaas onderschat en is de belangstelling voor de ontwikkeling van een veiligheidscultuur tanende.

3.1

De Commissie wil met onderhavige mededeling (17) de informatiemaatschappij veiliger maken door daarop een dynamische, geïntegreerde strategie toe te passen die berust op

3.2

Bovendien wordt in deze mededeling een lans gebroken voor een partnerschap (met adequate randvoorwaarden voor de inzameling van gegevens over veiligheidsincidenten, consumentenvertrouwen en de ontwikkelingen in de computerbeveiligingsindustrie) dat het ENISA zou moeten aangaan met

Daartoe zou een meertalig EU-webportaal met informatie over en waarschuwingen bij risico's moeten worden gecreëerd, met als doel te komen tot strategische samenwerking tussen bedrijfsleven, lidstaten en onderzoekers.

3.2.1

Ook wil de Commissie met deze mededeling belanghebbenden ervan doordringen dat zij worden geacht niet lijdzaam te blijven toezien als het gaat om hun beveiligingsbehoeften en de veiligheidsrisico's.

3.2.2

Over de samenwerking, wereldwijd en met landen buiten de EU, staat in het voorstel dat „De mondiale dimensie van netwerk- en informatieveiligheid … de Commissie voor de uitdaging (stelt) om de wereldwijde samenwerking op het gebied van netwerk- en informatieveiligheid, zowel in internationaal verband als wat betreft de coördinatie met de lidstaten, beter te promoten.”  (18), maar daarop wordt in de acties „Dialoog”, „Partnerschap ”en „Empowerment ”niet teruggekomen.

4.1

Het Comité stemt in met de analyses en de argumenten ten gunste van een geïntegreerde, dynamische strategie voor netwerk- en informatiebeveiliging: zonder veiligheid kan de drempel voor de toepassing van informatietechnologie onmogelijk worden verlaagd en wordt het consumentenvertrouwen in die technologie niet groter. De standpunten die het Comité daarover aanhangt, zijn overigens al in tal van adviezen naar voren gebracht (19).

4.1.1

Ook wijst het eens te meer op het volgende: „Het internet en de nieuwe online-communicatietechnologieën (zoals mobiele telefoons en elektronische zakagenda's met multimediafuncties, die sterk in opkomst zijn), zijn in de ogen van het EESC fundamentele instrumenten voor de ontwikkeling van de kenniseconomie, e-economie en e-government”  (20).

4.2.1

Toch kan de door de Commissie voorgestelde aanpak (die er dus in bestaat om bedoelde geïntegreerde, dynamische strategie te baseren op een open en inclusieve dialoog, partnerschap en empowerment, met en vóór alle belanghebbenden, waaronder met name ook de gebruikers) nog worden uitgebreid.

4.2.2

Hierop heeft het Comité al gewezen in eerdere adviezen, zoals in CESE 1651/2004 van 16 december 2004(par. 3.14): „Om doeltreffend te zijn moet de bestrijding (van schadelijke of ongeschikte inhoud (21)) rechtstreeks zijn gericht tot alle gebruikers van het internet; zij moeten worden onderricht en voorgelicht over de te nemen voorzorgsmaatregelen en de middelen waarmee zij zich kunnen wapenen tegen schadelijke of ongewenste inhoud, of om te voorkomen dat zij als doorgeefluik voor dergelijke inhoud worden gebruikt. In het onderdeel van het actieplan dat betrekking heeft op voorlichting en vorming moet volgens het EESC een hoge prioriteit worden toegekend aan het mobiliseren van de gebruikers, …”  (22)

4.2.3

Bij de wijze waarop burgers/gebruikers inspraak wordt gegeven, mag echter geen strijdigheid ontstaan tussen enerzijds de noodzaak om voor de veiligheid van netwerken en informatie te ijveren, en anderzijds de burgerlijke vrijheden en het recht van gebruikers op een gegarandeerde toegang tegen een redelijke prijs.

4.2.4

Er mag niet worden vergeten dat de inspanningen om computerveiligheid te garanderen, voor de consument ook kosten met zich meebrengen, al was het maar omdat er tijd verloren gaat met het verwijderen en omzeilen van obstakels. Het zou volgens het Comité verplicht moeten worden om in iedere computer een anti-virussysteem in te bouwen: de gebruiker zou zo'n anti-virussysteem dan al dan niet kunnen activeren, maar het moet in ieder geval ab origine in het product aanwezig zijn.

4.3.1

Daarenboven zou de EU ambitieuzere doelstellingen moeten kiezen en een vernieuwende, geïntegreerde en dynamische strategie moeten uitstippelen, met daaraan gekoppeld bijvoorbeeld de volgende nieuwe initiatieven:

4.3.2

Het Comité is voorstander van de oprichting van een inter-DG ICT-Security Focal Point  (24). Daarmee zou kunnen worden opgetreden

4.4.1

Het Comité hecht ook veel belang aan de oprichting van een Europees netwerk en een netwerk voor computerveiligheid, waarmee onderzoek, studies en workshops over veiligheidssystemen en hun interoperabiliteit, geavanceerde cryptografie en de bescherming van de persoonlijke levenssfeer kunnen worden gestimuleerd.

4.4.2

Ook is het van mening dat de rol van het Europese onderzoek voor deze gevoelige sector moet worden geoptimaliseerd door de inhoud van de volgende programma's, ter vergroting van het nut daarvan, te bundelen:

4.4.3

Verder zou er een Europese dag voor computerveiligheid kunnen worden ingesteld, met nationale campagnes voor educatie op scholen en voorlichting van de consument over de procedures ter bescherming van informatie via PC. Bovenop, uiteraard, informatie over de technologische vooruitgang in de zo ruime en veranderlijke wereld van de computer.

4.4.4

Het Comité heeft er al vaak op gehamerd: „… In hoeverre ondernemingen ICT willen toepassen hangt af van de vraag hoe veilig zij digitale transacties vinden en of ze er vertrouwen in hebben. Of consumenten hun creditcardnummer willen doorgeven op een bepaalde website hangt sterk af van de vraag of zij dit veilig vinden.” (27)

4.4.5

Vanwege het enorme groeipotentieel van deze sector is hier beslist specifiek beleid nodig en moet het huidige beleid aan de nieuwe ontwikkelingen worden aangepast. Alle Europese initiatieven voor veilige informatica moet worden gebundeld door middel van een geïntegreerde strategie, die dwars door alle sectoren heen wordt toegepast en waarmee een homogene en veilige verspreiding van ICT in de samenleving wordt gegarandeerd.

4.4.6

Er zijn belangrijke strategieën, zoals de strategie waarover dit advies gaat, die veel te langzaam vorderen vanwege bureaucratische rompslomp en culturele verschillen die de lidstaten opwerpen tegen de onontbeerlijke besluiten die in EU-verband moeten worden genomen.

4.4.7

Het Comité vindt ook dat er niet genoeg EU-geld is uitgetrokken voor de talrijke dringende projecten waarmee de nieuwe problemen van de globalisering alleen kunnen worden aangepakt als zij in EU-verband worden uitgevoerd.

4.5.1

De technologische beveiligingsmaatregelen en beheersprocedures voor de veiligheid die de lidstaten hebben ingesteld, beantwoorden aan interne vereisten, waarbij de zwaartepunten verschillen van land tot land. Alleen al daarom is het moeilijk om een eensluidende, doeltreffende oplossing voor veiligheidsproblemen te vinden. Behalve in een aantal administratieve netwerken, wordt niet stelselmatig grensoverschrijdend samengewerkt, ook al kunnen de lidstaten veiligheidsproblemen onmogelijk op eigen houtje oplossen.

4.5.2

De Raad heeft met Besluit 2005/222/JHA een samenwerkingsverband tussen rechters en alle andere bevoegde autoriteiten in het leven geroepen dat tot doel heeft om samenhang te brengen in de aanpak van de lidstaten. Daartoe moeten de nationale strafrechtelijke regelingen ter beveiliging van informatiesystemen op de volgende punten op elkaar worden afgestemd:

4.5.3

Daarnaast zijn in Besluit 2005/222/JHA de criteria vastgelegd aan de hand waarvan de verantwoordelijkheid van de rechtspersoon wordt vastgesteld, alsmede de sancties die de als verantwoordelijk aangeduide rechtspersoon kunnen worden opgelegd.

4.5.4

Het voorstel van de Commissie om die overheden, in het kader van de dialoog met de nationale overheden, een vergelijkende analyse te laten maken van het beleid dat de lidstaten voor de veiligheid van hun netwerken en informaticasystemen (m.i.v. speciale informaticasystemen voor de overheidssector) voeren, krijgt de instemming van het Comité, dat die suggestie zelf al in een advies van 2001 (28) heeft gedaan.

4.6.1

De betrokkenheid van de industrie die zich bezighoudt met de veiligheid van informatica, bestaat erin dat deze, voor de bescherming van het recht van haar cliënten op een persoonlijke levenssfeer en op geheimhouding, daadwerkelijk de garantie moet bieden dat gebruik wordt gemaakt van de systemen voor de materiële bewaking van de eigen installaties en de encryptie van gegevens, afhankelijk van de evolutie van de techniek (29).

4.6.2

Verder moet er, wat de bewustmaking van de gebruikers betreft, een echte „veiligheidscultuur ”komen, waaraan gestalte wordt gegeven op een wijze die volledig verenigbaar is met de vrijheid van informatie, communicatie en meningsuiting. Daar staat tegenover dat veel gebruikers geen besef hebben van alle risico's van computerpiraterij, terwijl degenen die de informaticasystemen bedienen, alsook de verkopers en de dienstverleners vaak niet kunnen inschatten wat de zwakke punten zijn en hoe groot hun kwetsbaarheid is.

4.6.3

De bescherming van de persoonlijke levenssfeer en van persoonsgegevens heeft voorrang, maar consumenten hebben er ook recht op echt doeltreffend tegen de onrechtmatige praktijk van het nominatief bijhouden van een gebruikersprofiel via spyware, web bugs e.d. te worden beschermd. Ook spamming  (30) (het massaal toesturen van ongevraagde berichten), dat vaak de volgende etappe is na spyware, moet een halt worden toegeroepen. Het binnendringen van dergelijke malware brengt voor de slachtoffers kosten met zich mee (31).

4.7.1

Het Comité is voorstander van een krachtdadigere en actievere rol voor het ENISA, dat er niet alleen aan kan meewerken dat de gebruikers zich bewust worden gemaakt van de risico's, maar dat ook en vooral technici en gebruikers kan informeren en opleiden. Hiervoor wordt overigens al gepleit in een recent EESC-advies over het aanbieden van openbare elektronische-communicatiediensten (32).

4.7.2

De maatregelen die worden voorgesteld om alle groepen belanghebbenden op hun verantwoordelijkheid te wijzen, lijken vooral te zijn gericht op een strikte naleving van het subsidiariteitsbeginsel. Het gaat hier om maatregelen die moeten worden genomen door de lidstaten, c.q. door particuliere ondernemingen, naar gelang van hun specifieke verantwoordelijkheden.

4.7.3

Het ENISA zou gebruik moeten kunnen maken van de voordelen van het European Network and Information Security Network: gemeenschappelijke activiteiten, een meertalig webportaal met een alarmsysteem voor computerveiligheid, persoonsgebonden en interactieve informatie, en een taalgebruik dat voor kleine en middelgrote ondernemers en individuele gebruikers in alle leeftijdsgroepen gemakkelijk te begrijpen is.

—

EESC-advies over het Voorstel voor een richtlijn van de Raad en het Europees Parlement betreffende de bewaring van gegevens die zijn verwerkt in verband met het aanbieden van openbare elektronischecommunicatiediensten en tot wijziging van Richtlijn 2002/58/EG, PB C 69 van 21 maart 2006, blz. 16

—

EESC-advies over de Mededeling van de Commissie aan de Raad, het Europees Parlement, het Europees Economisch en Sociaal Comité en het Comité van de Regio's i2010 — Een Europese informatiemaatschappij voor groei en werkgelegenheid, PB C 110 van 9 mei 2006, blz. 83

—

EESC-advies over het Voorstel voor een beschikking van het Europees Parlement en de Raad betreffende de vaststelling van een communautair meerjarenprogramma ter bevordering van een veiliger gebruik van het internet en nieuwe online-technologieën, PB C 157 van 28 juni 2005, blz. 136

—

EESC-advies over de Mededeling van de Commissie aan de Raad, het Europees Parlement, hetEconomisch en Sociaal Comité en het Comité van de Regio's — Netwerk- en informatieveiligheid: Voorstel voor een Europese Beleidsaanpak, PB C 48 van 21 februari 2002, blz. 33.