(1)

De Europese energiesector maakt een belangrijke ontwikkeling naar een koolstofvrije economie door, waarbij ook de voorzieningszekerheid en het concurrentievermogen worden gewaarborgd. In het kader van deze energietransitie en de daarmee verband houdende decentralisatie van de opwekking van elektriciteit uit hernieuwbare bronnen, maken de technologische vooruitgang, de sectorkoppeling en de digitalisering dat het Europese elektriciteitsnet in een "slim net" verandert. Dit brengt ook nieuwe risico's met zich mee, aangezien digitalisering het energiesysteem steeds meer blootstelt aan cyberaanvallen en -incidenten die de energievoorzieningszekerheid in gevaar kunnen brengen.

(2)

Dankzij de aanneming van alle acht wetgevingsvoorstellen (1) van het pakket "Schone energie voor alle Europeanen", met de governance van de energie-unie als opstapje, kan een gunstig klimaat tot stand worden gebracht voor de digitale transformatie van de energiesector. Ook wordt belang gehecht aan cyberbeveiliging in de energiesector. Met name de herschikking van de verordening betreffende de interne markt voor elektriciteit (2) voorziet in de vaststelling van technische voorschriften voor elektriciteit, zoals een netcode inzake sectorspecifieke regels voor cyberbeveiligingsaspecten van grensoverschrijdende elektriciteitsstromen, inzake gemeenschappelijke minimumvereisten, planning, monitoring, rapportage en crisisbeheer. In de verordening betreffende de risicoparaatheid in de elektriciteitssector (3) wordt in grote lijnen de aanpak gevolgd die is gekozen in de verordening betreffende de veiligstelling van de gasleveringszekerheid (4), wordt benadrukt dat alle risico's naar behoren moeten worden geanalyseerd, inclusief de risico's in verband met cyberbeveiliging, en wordt voorgesteld maatregelen te nemen om deze risico's te voorkomen en te beperken.

(3)

Toen de Commissie in 2013 de strategie inzake cyberbeveiliging van de Europese Unie (5) vaststelde, werd de cyberweerbaarheid van de Unie als een prioriteit aangemerkt. Een van de belangrijkste resultaten van de strategie is de in juli 2016 vastgestelde richtlijn cyberbeveiliging (6) (hierna "NIS-richtlijn" genoemd). De NIS-richtlijn is de eerste horizontale EU-wetgeving inzake cyberbeveiliging en zorgt voor een hoger algeheel niveau van cyberbeveiliging in de Unie, omdat nationale cyberbeveiligingscapaciteiten worden ontwikkeld, de samenwerking op EU-niveau wordt opgevoerd en verplichtingen inzake beveiliging en de melding van incidenten worden opgelegd aan ondernemingen waarnaar wordt verwezen als "aanbieders van essentiële diensten". De melding van incidenten is verplicht in belangrijke sectoren zoals de energiesector.

(4)

Bij de uitvoering van paraatheidsmaatregelen op het gebied van cyberbeveiliging moeten de relevante belanghebbenden, waaronder de in de NIS-richtlijn vermelde aanbieders van essentiële diensten in de energiesector, rekening houden met de horizontale richtsnoeren van de op grond van artikel 11 van de NIS-richtlijn opgerichte NIS-samenwerkingsgroep. Die samenwerkingsgroep, die bestaat uit vertegenwoordigers van de lidstaten, het agentschap van de Europese Unie voor cyberbeveiliging (Enisa) en de Commissie, heeft richtsnoeren vastgesteld met betrekking tot beveiligingsmaatregelen en de melding van incidenten. In juni 2018 heeft de samenwerkingsgroep een specifieke werkstroom over energie opgezet.

(5)

In de gezamenlijke mededeling van 2017 over cyberbeveiliging (7) wordt het belang erkend van sectorspecifieke overwegingen en voorschriften op EU-niveau, onder meer in de energiesector. De voorbije jaren is in de Unie uitgebreid gedebatteerd over cyberbeveiliging en mogelijke gevolgen voor het beleid. Daarom groeit vandaag het besef dat bepaalde economische sectoren worden geconfronteerd met specifieke cyberbeveiligingsproblemen en dus een eigen sectorale benadering moeten ontwikkelen in het bredere kader van algemene cyberbeveiligingsstrategieën.

(6)

Informatie-uitwisseling en vertrouwen zijn essentieel als het om cyberbeveiliging gaat. De Commissie wil ervoor zorgen dat de relevante belanghebbenden beter informatie uitwisselen en doet dit door specifieke evenementen te organiseren, zoals de in maart 2017 in Rome georganiseerde rondetafelconferentie op hoog niveau over cyberbeveiliging in de energiesector en de in oktober 2018 in Brussel gehouden conferentie op hoog niveau over cyberbeveiliging in de energiesector. De Commissie wil ook zorgen voor meer samenwerking tussen relevante belanghebbenden en gespecialiseerde entiteiten zoals het European Energy Information Sharing and Analysis Centre (Europees Centrum voor uitwisseling en analyse van informatie over energie).

(7)

Met de verordening inzake Enisa (het agentschap van de Europese Unie voor cyberbeveiliging) en de verordening inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie ("de cyberbeveiligingsverordening") (8) wordt het mandaat van het agentschap van de Europese Unie voor cyberbeveiliging versterkt zodat het meer ondersteuning kan bieden aan de lidstaten bij hun aanpak van cyberdreigingen en -aanvallen. Ook creëert dit een Europees cyberbeveiligingskader voor de certificering van producten, processen en diensten, dat in de hele Unie geldig is en van bijzonder belang is voor de energiesector.

(8)

De Commissie heeft een aanbeveling (9) uitgebracht met betrekking tot cyberbeveiligingsrisico's in de netwerktechnologieën van de vijfde generatie (5G) door richtsnoeren vast te stellen over passende risicoanalyse en beheersmaatregelen op nationaal niveau, de ontwikkeling van een gecoördineerde Europese risicoanalyse en de vaststelling van een proces voor de ontwikkeling van een gemeenschappelijk instrumentarium van beste risicobeheersmaatregelen. Zodra ze zijn uitgerold zullen 5G-netwerken de ruggengraat vormen van een breed scala aan diensten die van essentieel belang zijn voor de werking van de interne markt en van onmisbare maatschappelijke en economische functies zoals energie.

(9)

Deze aanbeveling moet de lidstaten en relevante belanghebbenden, met name netbeheerders en technologieleveranciers, niet-exhaustieve leidraden bieden om een hoger niveau van cyberbeveiliging te bereiken, rekening houdend met de specifieke realtimevereisten die in de energiesector zijn vastgesteld, cascade-effecten en de combinatie van oudere en geavanceerde technologieën. Deze richtsnoeren zijn bedoeld om belanghebbenden te helpen rekening te houden met de specifieke eisen van de energiesector wanneer zij internationaal erkende cyberbeveiligingsnormen (10) toepassen.

(10)

De Commissie is voornemens deze aanbeveling regelmatig te herzien op basis van de in de Unie geboekte vooruitgang, in overleg met de lidstaten en de relevante belanghebbenden. De Commissie zal zich blijven inspannen om de cyberbeveiliging in de energiesector te versterken, met name via de NIS-samenwerkingsgroep, die zorgt voor strategische samenwerking en informatie-uitwisseling tussen de lidstaten op het gebied van cyberbeveiliging.

1)

2)

3)

4)

5)

6)

7)

8)

9)

10)

11)

12)

13)

14)

15)