06 maart 2024 - door Kristof Vlaeminck
Het Belgische Voorzitterschap van de Raad van de EU en de onderhandelaars van het Europees Parlement hebben een voorlopig akkoord bereikt over de zogenaamde cybersolidariteitsakte (Cyber solidarity Act) en over een gerichte wijziging van de cyberbeveiligingsakte (Cyberscurity Act - CSA).
Hiermee zal de solidariteit binnen de EU en de capaciteit om cyberdreigingen en -incidenten op te sporen, versterken.
Een betere cyberweerbaarheid van de EU zal de cyberbeveiliging verhogen door beter voorbereid te zijn en sneller te kunnen reageren.
Na dit voorlopige akkoord moeten beide teksten nog worden goedgekeurd door de Raad van de EU en het Europees Parlement met het oog op hun formele aanneming.
Naast een beter antwoord kunnen bieden op cyberdreigingen, worden ook de samenwerkingsmechanismen versterkt. De verordening is voornamelijk gericht op:
het ondersteunen van de opsporing en het bewustzijn van significante of grootschalige cyberbeveiligingsdreigingen en -incidenten;
het verhogen van de paraatheid om kritieke infrastructuren en essentiële diensten te beschermen, zoals ziekenhuizen en openbare nutsbedrijven;
het versterken van de solidariteit op EU-niveau, het gecoördineerde crisisbeheer en het reactievermogen van de lidstaten;
het bijdragen aan een veilig digitaal landschap voor burgers en bedrijven
Om grote cyberdreigingen snel en doeltreffend op te sporen, wordt met de nieuwe verordening een 'waarschuwingssysteem voor cyberveiligheid' opgezet. Dit is een pan-Europese infrastructuur bestaande uit nationale en grensoverschrijdende cyberknooppunten (cyber hubs). Die knooppunten zijn entiteiten die belast zijn met het delen van informatie en het opsporen van cyberdreigingen waardoor er gepast gereageerd kan worden.
De nieuwe verordening voorziet ook in de oprichting van een mechanisme voor noodsituaties om de paraatheid en de reactiecapaciteit bij incidenten te verhogen. Dit mechanisme zal ondersteuning bieden voor:
paraatheidsacties, waaronder het testen van infrastructuren in zeer kritieke sectoren (gezondheidszorg, vervoer, energie, enz.) op potentiële kwetsbaarheden;
een nieuwe EU-cyberbeveiligingsreserve bestaande uit incidentenbestrijdingsdiensten uit de private sector die op verzoek van een lidstaat, een geassocieerd land of een EU-instellingen kunnen optreden in geval van een ernstig of grootschalig cyberbeveiligingsincident;
wederzijdse financiële bijstand.
Tot slot voorziet de nieuwe verordening een evaluatie- en toetsingsmechanisme om onder meer de doeltreffendheid van de acties van het mechanisme voor noodsituaties en het gebruik van de cyberbeveiligingsreserve te beoordelen. De verordening zal uiteindelijk ook bijdragen aan de versterking van de industriële concurrentiepositie en die van de dienstensector.
De wijzigingen in de verordening cyberbeveiliging (Cybersecurity Act - CSA) zullen het mogelijk maken om Europese certificeringsregelingen aan te nemen voor ‘managed security services (MSS)’. MSS zijn diensten die door gespecialiseerde bedrijven aan klanten worden geleverd en zijn van cruciaal belang voor de preventie, detectie, respons en het herstel van cyberbeveiligingsincidenten. Ze kunnen bijvoorbeeld bestaan uit incidentafhandeling, penetratietests, beveiligingsaudits en technische ondersteuning.
De Europese certificeringsregelingen voor MSS zal de kwaliteit van de diensten verbeteren en het mogelijk maken deze diensten beter met elkaar te vergelijken. Het zal ook de opkomst van betrouwbare aanbieders bevorderen en de versnippering van de interne markt voorkomen. In afwachting van de evaluatie van de CSA, die uiterlijk op 28 juni 2024 moet plaatsvinden, wordt in de voorlopige overeenkomst:
de definitie van managed security services verduidelijkt en wordt er voor overeenstemming met de NIS2-richtlijn (Network and Information Security directive) gezorgd;
de beveiligingsdoelstellingen van deze certificeringsregelingen afgestemd met de beveiligingsdoelstellingen van de huidige CSA;
de bijlage bij de CSA gewijzigd, die een lijst bevat van eisen waaraan instanties verantwoordelijk voor conformiteitsbeoordelingen moeten voldoen;
gespecificeerd dat ENISA alle relevante actoren tijdig moet raadplegen en voorziet de mogelijkheid dat ENSIA of de Europese Commissie elk trimester een briefing geeft aan de medewetgevers over de werking van de certificeringsregelingen.
Na dit voorlopige akkoord moeten beide teksten nog worden goedgekeurd door de Raad van de EU en het Europees Parlement met het oog op hun formele aanneming. Wat de Raad betreft, zal het Belgische voorzitterschap de teksten zo spoedig mogelijk ter goedkeuring voorleggen aan de vertegenwoordigers van de lidstaten (Coreper). Na goedkeuring worden de teksten onderworpen aan een juridisch-taalkundig onderzoek voordat ze formeel worden aangenomen door de medewetgevers. Daarna worden de teksten gepubliceerd in het Publicatieblad van de EU en zullen ze 20 dagen later in werking treden.
De persmededeling met achtergronddocumentatie kan hier teruggevonden worden.
Webpagina van de Europese Commissie over de Cyber Solidarity Act.
