Cyberbeveiliging van netwerk- en informatiesystemen

KERNPUNTEN

Cyberbeveiliging heeft betrekking op de activiteiten die nodig zijn om netwerk- en informatiesystemen, de gebruikers van dergelijke systemen en andere mensen die getroffen worden door cyberdreigingen, te beschermen.

Kritieke sectoren

De richtlijn is in de eerste plaats van toepassing op middelgrote en grote entiteiten die actief zijn in de volgende, in bijlage I gedefinieerde zeer kritieke sectoren:

• energie:
  • elektriciteit, daaronder productie-, distributie- en transmissiesystemen en oplaadpunten,
  • stadsverwarming en -koeling,
  • olie, daaronder productie-, opslag- en transmissiepijpleidingen,
  • gas, daaronder leverings-, distributie- en transmissiesystemen en opslag, en
  • waterstof;
• vervoer per lucht, spoor, over water en over de weg;
• infrastructuur voor banken en financiële markten zoals kredietinstellingen, exploitanten van handelsplatformen en centrale tegenpartijen;
• gezondheidszorg, daaronder zorgaanbieders, fabrikanten van farmaceutische basisproducten en kritieke medische hulpmiddelen, en EU-referentielaboratoria;
• drinkwater;
• afvalwater.
• digitale infrastructuur, daaronder aanbieders van datacenterdiensten, cloudcomputingdiensten, openbare elektronischecommunicatienetwerken en openbare elektronischecommunicatiediensten;
• beheer van ICT-diensten (business-to-business);
• ruimtevaart;
• openbaar bestuur op centraal en regionaal niveau, met uitzondering van de rechterlijke macht, het parlement en de centrale banken, maar de richtlijn is niet van toepassing op overheidsinstanties die activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving.

De richtlijn is ook van toepassing op andere kritieke sectoren, zoals gedefinieerd in bijlage II:

• post- en koeriersdiensten;
• afvalbeheer;
• chemische vervaardiging, productie en distributie;
• levensmiddelenproductie, -verwerking en -distributie;
• vervaardiging, met name medische hulpmiddelen, computer-, elektronische en optische producten, bepaalde soorten elektrische apparatuur en machines, motorvoertuigen en andere vervoersmiddelen;
• digitale aanbieders van onlinemarktplaatsen, zoekmachines en sociale netwerken; en
• onderzoeksinstellingen.

Nationale strategie voor cyberbeveiliging

Elke lidstaat moet beschikken over een nationale strategie voor het bereiken en het in stand houden van een hoog niveau van cyberbeveiliging in de kritieke sectoren, waarbij moet worden ingegaan op:

• een bestuurskader waarin de rol en verantwoordelijkheden van de relevante belanghebbenden op nationaal niveau worden verduidelijkt;
• beleid dat gericht is op de veiligheid van toeleveringsketens;
• beleid voor de beheersing van kwetsbaarheden;
• beleid voor het bevorderen en ontwikkelen van onderwijs en opleiding op het gebied van cyberbeveiliging, en
• maatregelen om het cyberbeveiligingsbewustzijn bij de burgers te verbeteren.

Lidstaten moeten uiterlijk op 17 april 2025 een lijst opstellen van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Ze evalueren die lijst regelmatig, en daarna ten minste om de twee jaar, en werken deze zo nodig bij. De Europese Commissie heeft richtsnoeren vastgesteld met betrekking tot de informatie die moet worden verzameld bij het opstellen van deze lijsten, samen met een model daarvoor.

De Commissie heeft ook richtsnoeren uitgegeven waarin de regels worden verduidelijkt over de relatie tussen Richtlijn (EU) 2022/2555 en huidige en toekomstige sectorspecifieke EU-rechtshandelingen betreffende maatregelen voor cyberbeveiligingsbeheer of vereisten voor de rapportage van incidenten. De bijlage bij de richtsnoeren bevat een niet-uitputtende lijst van sectorspecifieke rechtshandelingen die de Commissie beschouwt als een rechtshandeling die onder het toepassingsgebied van Artikel 4 van Richtlijn (EU) 2022/2555 valt.

Computer security incident response teams

Computer security incident response teams (CSIRT’s) verlenen technische bijstand aan entiteiten, onder meer door:

• het monitoren en analyseren van cyberdreigingen, kwetsbaarheden en incidenten op nationaal niveau;
• het geven van vroegtijdige waarschuwingen, meldingen, aankondigingen en informatie aan de betrokken entiteiten en andere belanghebbenden over cyberdreigingen, kwetsbaarheden en incidenten, indien mogelijk nagenoeg realtime;
• het reageren op incidenten en waar nodig bijstand verlenen;
• het verzamelen en analyseren van forensische gegevens en het verstrekken van dynamische risico- en incidentanalyses en situatiekennis op het gebied van cyberbeveiliging, en
• het op verzoek aanbieden van een proactieve scan van de netwerk- en informatiesystemen voor de opsporing van kwetsbaarheden die een significant effect kunnen hebben.

Netwerk van CSIRT’s

Met de richtlijn wordt een netwerk van nationale CSIRT’s opgezet om snelle en doeltreffende operationele samenwerking te bevorderen.

Gecoördineerde bekendmaking van kwetsbaarheid

De lidstaten moeten:

• een van hun CSIRT’s aanwijzen om de bekendmaking te coördineren van kwetsbaarheden die zijn ontdekt in ICT-producten of -diensten, en
• ervoor zorgen dat de burgers in de lidstaten kwetsbaarheden kunnen melden, indien gewenst op anonieme wijze.

Het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) ontwikkelt en onderhoudt een kwetsbaarheidsdatabase.

Samenwerkingsgroep

Met de richtlijn wordt een samenwerkingsgroep opgericht om strategische samenwerking en informatie-uitwisseling te ondersteunen en te vergemakkelijken. De groep bestaat uit vertegenwoordigers van lidstaten, de Commissie en Enisa. In voorkomend geval kan de samenwerkingsgroep het Europees Parlement en vertegenwoordigers van relevante belanghebbenden uitnodigen om aan zijn werkzaamheden deel te nemen.

Europees netwerk van verbindingsorganisaties voor cybercrises

Het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) bestaat uit vertegenwoordigers van cybercrisisbeheerautoriteiten van de lidstaten en de Commissie in gevallen waarin een potentieel of aan de gang zijnd grootschalig incident met cyberbeveiliging een significant effect heeft of kan hebben op de sectoren die onder de richtlijn vallen. In andere gevallen neemt de Commissie als waarnemer deel aan de activiteiten van het netwerk.

Het netwerk ondersteunt het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en -crises op operationeel niveau en zorgt voor regelmatige uitwisseling van informatie tussen lidstaten en EU-instellingen, -organen, -kantoren en -agentschappen.

Het netwerk heeft onder andere de volgende taken:

• het coördineren van het beheer van grootschalige cyberbeveiligingsincidenten en -crises en het ondersteunen van besluitvorming op politiek niveau;
• het verhogen van de paraatheid;
• het ontwikkelen van een gedeeld situationeel bewustzijn, en
• het beoordelen van de gevolgen en het effect van grootschalige cyberbeveiligingsincidenten en -crises en het voorstellen van mogelijke mitigatiemaatregelen.

Maatregelen voor het beheer van cyberbeveiligingsrisico’s

Entiteiten moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen voor risicobeheer met betrekking tot cyberbeveiliging. De lijst van maatregelen omvat onder andere risicoanalyses en het veiligheidsbeleid van het informatiesysteem, de behandeling van incidenten, de bedrijfscontinuïteit, het herstel van rampen en het beheer van crises, de veiligheid van de toeleveringsketen, de behandeling en openbaarmaking van kwetsbaarheden, de fundamentele hygiënepraktijken, het beleid en de procedures met betrekking tot het gebruik van cryptografie (en, in voorkomend geval, versleuteling), de veiligheid van de menselijke hulpbronnen en het gebruik van multilaterale authenticatie- of continue authenticatieoplossingen. Deze maatregelen moeten zijn gebaseerd op een aanpak die alle risico's omvat.

Beheersorganen moeten deze maatregelen goedkeuren en toezien op de tenuitvoerlegging ervan en kunnen aansprakelijk worden gesteld voor inbreuken.

Rapportage

Entiteiten moeten hun CSIRT of relevante autoriteit in kennis stellen van elk incident dat:

• bij de entiteit tot een ernstige operationele verstoring of een ernstig financieel verlies leidt of kan leiden;
• anderen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Voorts zal Enisa samen met de Commissie en de samenwerkingsgroep een tweejaarlijks verslag over de stand van cyberbeveiliging in de EU opstellen, dat ook aan het Parlement wordt voorgelegd.

Toezicht en handhaving

De richtlijn voorziet in voorzieningen en sancties om handhaving te waarborgen.

Collegiale toetsingen

Er worden collegiale toetsingen ingesteld om van gedeelde ervaringen te leren, het wederzijds vertrouwen te versterken, een hoog gezamenlijk niveau van cyberbeveiliging te bereiken en de capaciteit en het beleid van de lidstaten op het gebied van cyberbeveiliging die nodig zijn voor de tenuitvoerlegging van deze richtlijn te versterken. Deze toetsingen brengen fysieke of virtuele bezoeken ter plaatse en informatie-uitwisselingen buiten de locatie met zich mee. Deelname aan deze collegiale toetsingen is vrijwillig.

Uitvoeringshandeling

Uitvoeringsverordening (EU) 2024/2690 bevat regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van maatregelen voor risicobeheer op het gebied van cyberbeveiliging en specificeert verder de gevallen waarin een incident als significant wordt beschouwd met betrekking tot:

• aanbieders van domeinnaamsystemen;
• registers voor topleveldomeinnamen,
• aanbieders van cloudcomputingdiensten,
• aanbieders van datacentrumdiensten,
• aanbieders van netwerken voor de levering van inhoud,
• aanbieders van beheerde diensten,
• aanbieders van beheerde beveiligingsdiensten,
• aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten
• verleners van vertrouwensdiensten.

Intrekking

Richtlijn (EU) 2022/2555 strekte tot intrekking van Richtlijn (EU) 2016/1148 (zie de samenvatting) van 18 oktober 2024, en Uitvoeringsverordening (EU) 2024/2690 tot intrekking van Uitvoeringsverordening (EU) 2018/151 tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2016/1148.