# Publicatieblad L 333/2022

| | ISSN 1977-0758 |
| --- | --- |
| Publicatieblad
  van de Europese Unie | L 333 |
| | |
| Uitgave in de Nederlandse taal | Wetgeving | 65e jaargang27 december 2022 |

ISSN 1977-0758

Publicatieblad

van de Europese Unie

L 333

Uitgave in de Nederlandse taal

Wetgeving

65e jaargang27 december 2022

---

| Inhoud | | I   Wetgevingshandelingen | Bladzijde |
| --- | --- | --- | --- |
| | | VERORDENINGEN |
| | * | Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (
  1
  ) | 1 |
| | | RICHTLIJNEN |
| | * | Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (
  1
  ) | 80 |
| | * | Richtlijn (EU) 2022/2556 van het Europees Parlement en de Raad van 14 december 2022 tot wijziging van de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 wat betreft digitale operationele weerbaarheid voor de financiële sector (
  1
  ) | 153 |
| | * | Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (
  1
  ) | 164 |

Inhoud

I   Wetgevingshandelingen

Bladzijde

VERORDENINGEN

*

Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (
  1
  )

1

1

RICHTLIJNEN

*

Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (
  1
  )

1

80

*

Richtlijn (EU) 2022/2556 van het Europees Parlement en de Raad van 14 december 2022 tot wijziging van de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 wat betreft digitale operationele weerbaarheid voor de financiële sector (
  1
  )

1

153

*

Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Voor de EER relevante tekst. |

---

(1)   Voor de EER relevante tekst.

1

| NL | Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.
  Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten. |
| --- | --- |

NL

Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.

Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten.

---

I Wetgevingshandelingen

VERORDENINGEN

| 27.12.2022 | NL | Publicatieblad van de Europese Unie | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

NL

Publicatieblad van de Europese Unie

L 333/1

---

VERORDENING (EU) 2022/2554 VAN HET EUROPEES PARLEMENT EN DE RAAD

van 14 december 2022

betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011

(Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 114,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Gezien het advies van de Europese Centrale Bank (1)
  ,

Gezien het advies van het Europees Economisch en Sociaal Comité (2)
  ,

Handelend volgens de gewone wetgevingsprocedure (3),

Overwegende hetgeen volgt:

| (1) | In het digitale tijdperk ondersteunt informatie- en communicatietechnologie (ICT) complexe systemen die worden gebruikt voor dagelijkse activiteiten. ICT houdt belangrijke sectoren van onze economie draaiende, waaronder de financiële sector, en verbetert de werking van de interne markt. Meer digitalisering en onderlinge verwevenheid vergroten ook het ICT-risico, waardoor de samenleving als geheel, en het financiële stelsel in het bijzonder, kwetsbaarder wordt voor cyberdreigingen of ICT-verstoringen. Hoewel het alomtegenwoordige gebruik van ICT-systemen en een hoge mate van digitalisering en connectiviteit tegenwoordig belangrijke kenmerken zijn van de activiteiten van financiële entiteiten in de Unie, moet hun digitale weerbaarheid nog beter worden aangepakt en in hun ruimere operationele kaders worden ingebouwd. |
| --- | --- |

(1)

In het digitale tijdperk ondersteunt informatie- en communicatietechnologie (ICT) complexe systemen die worden gebruikt voor dagelijkse activiteiten. ICT houdt belangrijke sectoren van onze economie draaiende, waaronder de financiële sector, en verbetert de werking van de interne markt. Meer digitalisering en onderlinge verwevenheid vergroten ook het ICT-risico, waardoor de samenleving als geheel, en het financiële stelsel in het bijzonder, kwetsbaarder wordt voor cyberdreigingen of ICT-verstoringen. Hoewel het alomtegenwoordige gebruik van ICT-systemen en een hoge mate van digitalisering en connectiviteit tegenwoordig belangrijke kenmerken zijn van de activiteiten van financiële entiteiten in de Unie, moet hun digitale weerbaarheid nog beter worden aangepakt en in hun ruimere operationele kaders worden ingebouwd.

| (2) | Het gebruik van ICT heeft in de afgelopen decennia een centrale rol gekregen in de verlening van financiële diensten, zodat ICT nu van cruciaal belang is voor de werking van typische dagelijkse functies van alle financiële entiteiten. Digitalisering komt tegenwoordig onder andere naar voren bij bijvoorbeeld betalingen, die steeds minder met op contant geld en papier gebaseerde methoden plaatsvinden en steeds vaker met behulp van digitale oplossingen plaatsvinden, alsook effectenclearing en -afwikkeling, elektronische en algoritmische handel, lenings- en financieringsverrichtingen, peer-to-peerfinanciering, kredietbeoordeling, schadebeheer en backofficeverrichtingen. De verzekeringssector is ook getransformeerd door het gebruik van ICT-technologie, van de opkomst van verzekeringstussenpersonen die met InsurTech werken en hun diensten online aanbieden tot het digitaal afsluiten van verzekeringen. Niet alleen is het geldwezen in de hele sector grotendeels digitaal geworden, maar digitalisering heeft ook gezorgd voor sterkere onderlinge verbanden en afhankelijkheden binnen de financiële sector en met derde aanbieders van infrastructuur en diensten. |
| --- | --- |

(2)

Het gebruik van ICT heeft in de afgelopen decennia een centrale rol gekregen in de verlening van financiële diensten, zodat ICT nu van cruciaal belang is voor de werking van typische dagelijkse functies van alle financiële entiteiten. Digitalisering komt tegenwoordig onder andere naar voren bij bijvoorbeeld betalingen, die steeds minder met op contant geld en papier gebaseerde methoden plaatsvinden en steeds vaker met behulp van digitale oplossingen plaatsvinden, alsook effectenclearing en -afwikkeling, elektronische en algoritmische handel, lenings- en financieringsverrichtingen, peer-to-peerfinanciering, kredietbeoordeling, schadebeheer en backofficeverrichtingen. De verzekeringssector is ook getransformeerd door het gebruik van ICT-technologie, van de opkomst van verzekeringstussenpersonen die met InsurTech werken en hun diensten online aanbieden tot het digitaal afsluiten van verzekeringen. Niet alleen is het geldwezen in de hele sector grotendeels digitaal geworden, maar digitalisering heeft ook gezorgd voor sterkere onderlinge verbanden en afhankelijkheden binnen de financiële sector en met derde aanbieders van infrastructuur en diensten.

| (3) | Het Europees Comité voor systeemrisico’s (ESRB) heeft in een in 2020 uitgebracht verslag over systemisch cyberrisico bevestigd hoe de bestaande hoge mate van verwevenheid tussen financiële entiteiten, financiële markten en financiëlemarktinfrastructuren, en met name de onderlinge afhankelijkheid van hun ICT-systemen, een systeemkwetsbaarheid zou kunnen vormen, omdat lokale cyberincidenten zich snel van elk van de ongeveer 22 000 financiële entiteiten van de Unie zouden kunnen verspreiden naar het gehele financiële stelsel, niet gehinderd door geografische grenzen. Ernstige ICT-inbreuken die zich in de financiële sector voordoen, hebben niet alleen gevolgen voor afzonderlijke financiële entiteiten. Zij begunstigen ook de verspreiding van lokale kwetsbaarheden via de financiële transmissiekanalen en kunnen negatieve gevolgen voor de stabiliteit van het financiële stelsel van de Unie meebrengen, waaronder liquiditeitsruns en een algeheel verlies van vertrouwen in de financiële markten. |
| --- | --- |

(3)

Het Europees Comité voor systeemrisico’s (ESRB) heeft in een in 2020 uitgebracht verslag over systemisch cyberrisico bevestigd hoe de bestaande hoge mate van verwevenheid tussen financiële entiteiten, financiële markten en financiëlemarktinfrastructuren, en met name de onderlinge afhankelijkheid van hun ICT-systemen, een systeemkwetsbaarheid zou kunnen vormen, omdat lokale cyberincidenten zich snel van elk van de ongeveer 22 000 financiële entiteiten van de Unie zouden kunnen verspreiden naar het gehele financiële stelsel, niet gehinderd door geografische grenzen. Ernstige ICT-inbreuken die zich in de financiële sector voordoen, hebben niet alleen gevolgen voor afzonderlijke financiële entiteiten. Zij begunstigen ook de verspreiding van lokale kwetsbaarheden via de financiële transmissiekanalen en kunnen negatieve gevolgen voor de stabiliteit van het financiële stelsel van de Unie meebrengen, waaronder liquiditeitsruns en een algeheel verlies van vertrouwen in de financiële markten.

| (4) | De laatste jaren hebben internationale, uniale en nationale beleidsmakers, toezichthouders en normalisatie-instellingen zich beziggehouden met het ICT-risico en is geprobeerd de digitale weerbaarheid te vergroten, normen vast te stellen en regelgevings- of toezichtwerkzaamheden te coördineren. Op internationaal niveau streven het Bazels Comité voor bankentoezicht, het Comité betalingen en marktinfrastructuur, de Raad voor financiële stabiliteit, het Financial Stability Institute en de G-7 en G20 ernaar de bevoegde autoriteiten en marktdeelnemers in verschillende rechtsgebieden te voorzien van instrumenten om de weerbaarheid van hun financiële stelsels te verbeteren. Die werkzaamheden zijn ook ingegeven door de noodzaak om terdege rekening te houden met het ICT-risico in de context van een onderling zeer sterk verbonden mondiaal financieel stelsel en om te streven naar meer consistentie van relevante beste praktijken. |
| --- | --- |

(4)

De laatste jaren hebben internationale, uniale en nationale beleidsmakers, toezichthouders en normalisatie-instellingen zich beziggehouden met het ICT-risico en is geprobeerd de digitale weerbaarheid te vergroten, normen vast te stellen en regelgevings- of toezichtwerkzaamheden te coördineren. Op internationaal niveau streven het Bazels Comité voor bankentoezicht, het Comité betalingen en marktinfrastructuur, de Raad voor financiële stabiliteit, het Financial Stability Institute en de G-7 en G20 ernaar de bevoegde autoriteiten en marktdeelnemers in verschillende rechtsgebieden te voorzien van instrumenten om de weerbaarheid van hun financiële stelsels te verbeteren. Die werkzaamheden zijn ook ingegeven door de noodzaak om terdege rekening te houden met het ICT-risico in de context van een onderling zeer sterk verbonden mondiaal financieel stelsel en om te streven naar meer consistentie van relevante beste praktijken.

| (5) | Ondanks gerichte uniale en nationale beleids- en wetgevingsinitiatieven blijft het ICT-risico een uitdaging vormen voor de operationele weerbaarheid, prestaties en stabiliteit van het financiële stelsel van de Unie. De hervormingen die op de financiële crisis van 2008 volgden, hebben in de eerste plaats de financiële weerbaarheid van de financiële sector van de Unie versterkt en hadden als doel het concurrentievermogen en de stabiliteit van de Unie te waarborgen uit economisch, prudentieel en marktgedragsoogpunt. Hoewel ICT-beveiliging en digitale weerbaarheid deel uitmaken van operationeel risico, hebben zij in de regelgevingsagenda na de financiële crisis minder aandacht gekregen en zijn ze alleen op sommige gebieden van het financiëledienstenbeleid en het regelgevingslandschap van de Unie ontwikkeld, of slechts in een paar lidstaten. |
| --- | --- |

(5)

Ondanks gerichte uniale en nationale beleids- en wetgevingsinitiatieven blijft het ICT-risico een uitdaging vormen voor de operationele weerbaarheid, prestaties en stabiliteit van het financiële stelsel van de Unie. De hervormingen die op de financiële crisis van 2008 volgden, hebben in de eerste plaats de financiële weerbaarheid van de financiële sector van de Unie versterkt en hadden als doel het concurrentievermogen en de stabiliteit van de Unie te waarborgen uit economisch, prudentieel en marktgedragsoogpunt. Hoewel ICT-beveiliging en digitale weerbaarheid deel uitmaken van operationeel risico, hebben zij in de regelgevingsagenda na de financiële crisis minder aandacht gekregen en zijn ze alleen op sommige gebieden van het financiëledienstenbeleid en het regelgevingslandschap van de Unie ontwikkeld, of slechts in een paar lidstaten.

| (6) | In haar mededeling van 8 maart 2018 met als titel “FinTech-actieplan: voor een meer concurrerende en innovatieve Europese financiële sector”, benadrukte de Commissie dat het van het grootste belang is de financiële sector van de Unie weerbaarder te maken, onder andere vanuit operationeel oogpunt, om te zorgen voor de technologische veiligheid en goede werking ervan en voor een snel herstel van ICT-inbreuken en -incidenten, zodat uiteindelijk financiële diensten in de hele Unie doeltreffend en vlot kunnen worden verricht, ook in stresssituaties, terwijl het vertrouwen van consumenten en markten behouden blijft. |
| --- | --- |

(6)

In haar mededeling van 8 maart 2018 met als titel “FinTech-actieplan: voor een meer concurrerende en innovatieve Europese financiële sector”, benadrukte de Commissie dat het van het grootste belang is de financiële sector van de Unie weerbaarder te maken, onder andere vanuit operationeel oogpunt, om te zorgen voor de technologische veiligheid en goede werking ervan en voor een snel herstel van ICT-inbreuken en -incidenten, zodat uiteindelijk financiële diensten in de hele Unie doeltreffend en vlot kunnen worden verricht, ook in stresssituaties, terwijl het vertrouwen van consumenten en markten behouden blijft.

| (7) | In april 2019 hebben de Europese toezichthoudende autoriteit (Europese Bankautoriteit) (EBA) opgericht bij Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (4)
  , de Europese toezichthoudende autoriteit (Europese Autoriteit voor verzekeringen en bedrijfspensioenen) (Eiopa) opgericht bij Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (5) en de Europese toezichthoudende autoriteit (Europese Autoriteit voor effecten en markten) (ESMA) opgericht bij Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (6) (gezamenlijk bekend als “Europese toezichthoudende autoriteiten” of “ETA’s”) gezamenlijk technische adviezen uitgebracht waarin werd opgeroepen tot een samenhangende aanpak van het ICT-risico in de financiële sector en werd aanbevolen om op evenredige wijze de digitale operationele weerbaarheid van de financiëledienstensector te versterken door middel van een sectorspecifiek initiatief van de Unie. |
| --- | --- |

(7)

In april 2019 hebben de Europese toezichthoudende autoriteit (Europese Bankautoriteit) (EBA) opgericht bij Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (4)
  , de Europese toezichthoudende autoriteit (Europese Autoriteit voor verzekeringen en bedrijfspensioenen) (Eiopa) opgericht bij Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad (5) en de Europese toezichthoudende autoriteit (Europese Autoriteit voor effecten en markten) (ESMA) opgericht bij Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (6) (gezamenlijk bekend als “Europese toezichthoudende autoriteiten” of “ETA’s”) gezamenlijk technische adviezen uitgebracht waarin werd opgeroepen tot een samenhangende aanpak van het ICT-risico in de financiële sector en werd aanbevolen om op evenredige wijze de digitale operationele weerbaarheid van de financiëledienstensector te versterken door middel van een sectorspecifiek initiatief van de Unie.

| (8) | De financiële sector van de Unie wordt gereglementeerd door een gemeenschappelijk rulebook en is onderworpen aan een Europees systeem van financieel toezicht. Niettemin zijn de bepalingen inzake digitale operationele weerbaarheid en ICT-beveiliging nog niet volledig of consistent geharmoniseerd, hoewel digitale operationele weerbaarheid cruciaal is voor de financiële stabiliteit en marktintegriteit in het digitale tijdperk, en niet minder belangrijk is dan bijvoorbeeld gemeenschappelijke prudentiële of marktgedragsnormen. Het gemeenschappelijk rulebook en het toezichtsysteem moeten daarom ook voor digitale operationele weerbaarheid worden ontwikkeld, door de mandaten van de bevoegde autoriteiten te versterken om hen in staat te stellen toezicht te houden op het beheer van het ICT-risico in de financiële sector, teneinde de integriteit en efficiëntie van de interne markt te beschermen en de ordelijke werking ervan te vergemakkelijken. |
| --- | --- |

(8)

De financiële sector van de Unie wordt gereglementeerd door een gemeenschappelijk rulebook en is onderworpen aan een Europees systeem van financieel toezicht. Niettemin zijn de bepalingen inzake digitale operationele weerbaarheid en ICT-beveiliging nog niet volledig of consistent geharmoniseerd, hoewel digitale operationele weerbaarheid cruciaal is voor de financiële stabiliteit en marktintegriteit in het digitale tijdperk, en niet minder belangrijk is dan bijvoorbeeld gemeenschappelijke prudentiële of marktgedragsnormen. Het gemeenschappelijk rulebook en het toezichtsysteem moeten daarom ook voor digitale operationele weerbaarheid worden ontwikkeld, door de mandaten van de bevoegde autoriteiten te versterken om hen in staat te stellen toezicht te houden op het beheer van het ICT-risico in de financiële sector, teneinde de integriteit en efficiëntie van de interne markt te beschermen en de ordelijke werking ervan te vergemakkelijken.

| (9) | Verschillen in wetgeving en ongelijke nationale regelgevings- of toezichtsbenaderingen met betrekking tot het ICT-risico leiden tot obstakels voor de werking van de interne markt voor financiële diensten die de vlotte uitoefening van de vrijheid van vestiging en het verlenen van diensten belemmeren voor financiële entiteiten die grensoverschrijdend actief zijn. De concurrentie tussen hetzelfde type financiële entiteiten in verschillende lidstaten zou ook kunnen worden verstoord. Dit is in het bijzonder het geval op gebieden waar de harmonisatie op Unieniveau zeer beperkt is gebleven, zoals bij het testen van de digitale operationele weerbaarheid, of geheel ontbreekt, zoals bij het monitoren van het ICT-risico van derde aanbieders. Verschillen als gevolg van geplande ontwikkelingen op nationaal niveau zouden verdere belemmeringen voor de werking van de interne markt meebrengen, ten nadele van de marktdeelnemers en de financiële stabiliteit. |
| --- | --- |

(9)

Verschillen in wetgeving en ongelijke nationale regelgevings- of toezichtsbenaderingen met betrekking tot het ICT-risico leiden tot obstakels voor de werking van de interne markt voor financiële diensten die de vlotte uitoefening van de vrijheid van vestiging en het verlenen van diensten belemmeren voor financiële entiteiten die grensoverschrijdend actief zijn. De concurrentie tussen hetzelfde type financiële entiteiten in verschillende lidstaten zou ook kunnen worden verstoord. Dit is in het bijzonder het geval op gebieden waar de harmonisatie op Unieniveau zeer beperkt is gebleven, zoals bij het testen van de digitale operationele weerbaarheid, of geheel ontbreekt, zoals bij het monitoren van het ICT-risico van derde aanbieders. Verschillen als gevolg van geplande ontwikkelingen op nationaal niveau zouden verdere belemmeringen voor de werking van de interne markt meebrengen, ten nadele van de marktdeelnemers en de financiële stabiliteit.

| (10) | Doordat ICT-risico tot nu toe slechts ten dele op Unieniveau is aangepakt, bestaan op belangrijke gebieden — zoals het melden van ICT-gerelateerde incidenten en het testen van digitale operationele weerbaarheid — lacunes of overlappingen, alsook inconsistenties als gevolg van uiteenlopende nationale regels of kosteninefficiënte toepassing van overlappende regels. Dit is met name nadelig voor een ICT-intensieve gebruiker als de financiële sector, aangezien technologische risico’s zich niet door grenzen laten tegenhouden en de financiële sector zijn diensten op brede grensoverschrijdende schaal binnen en buiten de Unie verleent. Individuele financiële entiteiten die grensoverschrijdend actief zijn of over meerdere vergunningen beschikken (een financiële entiteit kan bijvoorbeeld vergunningen als bank, als beleggingsonderneming en als betalingsinstelling hebben die elk zijn afgegeven door verschillende bevoegde autoriteiten in een of meer lidstaten) hebben te maken met operationele uitdagingen wanneer zij zelf op samenhangende en kosteneffectieve manier het ICT-risico moeten aanpakken en de negatieve gevolgen van ICT-incidenten moeten beperken. |
| --- | --- |

(10)

Doordat ICT-risico tot nu toe slechts ten dele op Unieniveau is aangepakt, bestaan op belangrijke gebieden — zoals het melden van ICT-gerelateerde incidenten en het testen van digitale operationele weerbaarheid — lacunes of overlappingen, alsook inconsistenties als gevolg van uiteenlopende nationale regels of kosteninefficiënte toepassing van overlappende regels. Dit is met name nadelig voor een ICT-intensieve gebruiker als de financiële sector, aangezien technologische risico’s zich niet door grenzen laten tegenhouden en de financiële sector zijn diensten op brede grensoverschrijdende schaal binnen en buiten de Unie verleent. Individuele financiële entiteiten die grensoverschrijdend actief zijn of over meerdere vergunningen beschikken (een financiële entiteit kan bijvoorbeeld vergunningen als bank, als beleggingsonderneming en als betalingsinstelling hebben die elk zijn afgegeven door verschillende bevoegde autoriteiten in een of meer lidstaten) hebben te maken met operationele uitdagingen wanneer zij zelf op samenhangende en kosteneffectieve manier het ICT-risico moeten aanpakken en de negatieve gevolgen van ICT-incidenten moeten beperken.

| (11) | Aangezien het gemeenschappelijk rulebook niet vergezeld ging van een uitgebreid kader voor ICT- of operationeel risico, is verdere harmonisatie van essentiële vereisten inzake digitale operationele weerbaarheid voor alle financiële entiteiten geboden. Indien financiële entiteiten op basis van die essentiële vereisten hun ICT-capaciteiten en algehele weerbaarheid opbouwden om operationele storingen te weerstaan, zou dit helpen om de stabiliteit en integriteit van de financiële markten van de Unie te behouden en aldus bijdragen tot het waarborgen van een hoog niveau van bescherming van beleggers en consumenten in de Unie. Aangezien deze verordening beoogt bij te dragen tot de vlotte werking van de interne markt, moet zij gebaseerd zijn op de bepalingen van artikel 114 van het Verdrag betreffende de werking van de Europese Unie (“VWEU”), geïnterpreteerd in overeenstemming met de vaste rechtspraak van het Hof van Justitie van de Europese Unie (“Hof van Justitie”). |
| --- | --- |

(11)

Aangezien het gemeenschappelijk rulebook niet vergezeld ging van een uitgebreid kader voor ICT- of operationeel risico, is verdere harmonisatie van essentiële vereisten inzake digitale operationele weerbaarheid voor alle financiële entiteiten geboden. Indien financiële entiteiten op basis van die essentiële vereisten hun ICT-capaciteiten en algehele weerbaarheid opbouwden om operationele storingen te weerstaan, zou dit helpen om de stabiliteit en integriteit van de financiële markten van de Unie te behouden en aldus bijdragen tot het waarborgen van een hoog niveau van bescherming van beleggers en consumenten in de Unie. Aangezien deze verordening beoogt bij te dragen tot de vlotte werking van de interne markt, moet zij gebaseerd zijn op de bepalingen van artikel 114 van het Verdrag betreffende de werking van de Europese Unie (“VWEU”), geïnterpreteerd in overeenstemming met de vaste rechtspraak van het Hof van Justitie van de Europese Unie (“Hof van Justitie”).

| (12) | Deze verordening is gericht op het consolideren en verbeteren van de vereisten inzake ICT-risico die deel uitmaken van de vereisten inzake operationeel risico, en welke tot dusver afzonderlijk zijn behandeld in verschillende rechtshandelingen van de Unie. Hoewel de belangrijkste categorieën financiële risico’s (bv. kredietrisico, marktrisico, tegenpartijkredietrisico en liquiditeitsrisico, marktgedragrisico) in die rechtshandelingen aan bod kwamen, werden ten tijde van de vaststelling ervan niet alle componenten van operationele weerbaarheid behandeld. In de regels inzake operationeel risico die in die rechtshandelingen van de Unie verder zijn uitgewerkt, is vaak gekozen voor een traditionele kwantitatieve aanpak van risico’s (namelijk de vaststelling van een kapitaalvereiste om het ICT-risico te dekken), in plaats van gerichte kwalitatieve regels voor bescherming, opsporing, inperking, herstel en reparatie bij ICT-gerelateerde incidenten of voor capaciteit inzake rapportage en digitale tests. Die handelingen waren in de eerste plaats bedoeld om essentiële regels inzake prudentieel toezicht, marktintegriteit of marktgedrag vast te stellen en deze bij te werken. Door de verschillende regels inzake ICT-risico te consolideren en bij te werken, zouden alle bepalingen met betrekking tot digitaal risico in de financiële sector voor de eerste keer op consistente wijze in één wetgevingshandeling moeten worden samengebracht. Deze verordening vult dus leemten op in sommige van de eerdere rechtshandelingen of neemt inconsistenties daarin weg, ook wat betreft de daarin gebruikte terminologie, en verwijst expliciet naar ICT-risico door middel van gerichte regels inzake ICT-risicobeheercapaciteiten, rapportage van incidenten, tests van de operationele weerbaarheid en bewaking van het ICT-risico van derde aanbieders. Deze verordening moet dus ook het bewustzijn inzake het ICT-risico vergroten en erkennen dat ICT-incidenten en een gebrek aan operationele weerbaarheid de gezondheid van financiële entiteiten in gevaar kunnen brengen. |
| --- | --- |

(12)

Deze verordening is gericht op het consolideren en verbeteren van de vereisten inzake ICT-risico die deel uitmaken van de vereisten inzake operationeel risico, en welke tot dusver afzonderlijk zijn behandeld in verschillende rechtshandelingen van de Unie. Hoewel de belangrijkste categorieën financiële risico’s (bv. kredietrisico, marktrisico, tegenpartijkredietrisico en liquiditeitsrisico, marktgedragrisico) in die rechtshandelingen aan bod kwamen, werden ten tijde van de vaststelling ervan niet alle componenten van operationele weerbaarheid behandeld. In de regels inzake operationeel risico die in die rechtshandelingen van de Unie verder zijn uitgewerkt, is vaak gekozen voor een traditionele kwantitatieve aanpak van risico’s (namelijk de vaststelling van een kapitaalvereiste om het ICT-risico te dekken), in plaats van gerichte kwalitatieve regels voor bescherming, opsporing, inperking, herstel en reparatie bij ICT-gerelateerde incidenten of voor capaciteit inzake rapportage en digitale tests. Die handelingen waren in de eerste plaats bedoeld om essentiële regels inzake prudentieel toezicht, marktintegriteit of marktgedrag vast te stellen en deze bij te werken. Door de verschillende regels inzake ICT-risico te consolideren en bij te werken, zouden alle bepalingen met betrekking tot digitaal risico in de financiële sector voor de eerste keer op consistente wijze in één wetgevingshandeling moeten worden samengebracht. Deze verordening vult dus leemten op in sommige van de eerdere rechtshandelingen of neemt inconsistenties daarin weg, ook wat betreft de daarin gebruikte terminologie, en verwijst expliciet naar ICT-risico door middel van gerichte regels inzake ICT-risicobeheercapaciteiten, rapportage van incidenten, tests van de operationele weerbaarheid en bewaking van het ICT-risico van derde aanbieders. Deze verordening moet dus ook het bewustzijn inzake het ICT-risico vergroten en erkennen dat ICT-incidenten en een gebrek aan operationele weerbaarheid de gezondheid van financiële entiteiten in gevaar kunnen brengen.

| (13) | Financiële entiteiten moeten, rekening houdend met hun omvang en algeheel risicoprofiel en de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen, dezelfde benadering en dezelfde op beginselen gebaseerde regels volgen wanneer zij ICT-risico aanpakken. Consistentie draagt bij tot een groter vertrouwen in het financiële stelsel en tot het behoud van de stabiliteit ervan, met name in tijden van grote afhankelijkheid van ICT-systemen, -platforms en -infrastructuren, waardoor het digitale risico stijgt. De inachtneming van elementaire cyberhygiëne kan ook grote schade voor de economie voorkomen door de gevolgen en kosten van ICT-verstoringen tot een minimum te beperken. |
| --- | --- |

(13)

Financiële entiteiten moeten, rekening houdend met hun omvang en algeheel risicoprofiel en de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen, dezelfde benadering en dezelfde op beginselen gebaseerde regels volgen wanneer zij ICT-risico aanpakken. Consistentie draagt bij tot een groter vertrouwen in het financiële stelsel en tot het behoud van de stabiliteit ervan, met name in tijden van grote afhankelijkheid van ICT-systemen, -platforms en -infrastructuren, waardoor het digitale risico stijgt. De inachtneming van elementaire cyberhygiëne kan ook grote schade voor de economie voorkomen door de gevolgen en kosten van ICT-verstoringen tot een minimum te beperken.

| (14) | Een verordening helpt de complexiteit van de regelgeving te verminderen, bevordert de convergentie van het toezicht en vergroot de rechtszekerheid, en draagt ook bij tot het beperken van de nalevingskosten, vooral voor financiële entiteiten die grensoverschrijdend actief zijn, en tot het verminderen van concurrentieverstoringen. Voor de vaststelling van een gemeenschappelijk kader voor de digitale operationele weerbaarheid van financiële entiteiten kan daarom het best een verordening worden gekozen om te zorgen voor een homogene en coherente toepassing van alle componenten van het ICT-risicobeheer door de financiële sector van de Unie. |
| --- | --- |

(14)

Een verordening helpt de complexiteit van de regelgeving te verminderen, bevordert de convergentie van het toezicht en vergroot de rechtszekerheid, en draagt ook bij tot het beperken van de nalevingskosten, vooral voor financiële entiteiten die grensoverschrijdend actief zijn, en tot het verminderen van concurrentieverstoringen. Voor de vaststelling van een gemeenschappelijk kader voor de digitale operationele weerbaarheid van financiële entiteiten kan daarom het best een verordening worden gekozen om te zorgen voor een homogene en coherente toepassing van alle componenten van het ICT-risicobeheer door de financiële sector van de Unie.

| (15) | Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (7) was het eerste horizontale kader voor cyberbeveiliging dat op Unieniveau werd vastgesteld en dat ook van toepassing is op drie soorten financiële entiteiten, namelijk kredietinstellingen, handelsplatformen en centrale tegenpartijen. Aangezien Richtlijn (EU) 2016/1148 voorziet in een mechanisme voor de identificatie op nationaal niveau van aanbieders van essentiële diensten, werden echter alleen bepaalde door de lidstaten geïdentificeerde kredietinstellingen, handelsplatformen en centrale tegenpartijen in de praktijk binnen het toepassingsgebied ervan gebracht zodat zij moeten voldoen aan de daarin vastgestelde vereisten inzake ICT-beveiliging en melding van incidenten. Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (8) stelt een uniform criterium vast om te bepalen welke entiteiten binnen het toepassingsgebied ervan vallen (size-capregel) en behoudt ook de drie soorten financiële entiteiten binnen dat toepassingsgebied. |
| --- | --- |

(15)

Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (7) was het eerste horizontale kader voor cyberbeveiliging dat op Unieniveau werd vastgesteld en dat ook van toepassing is op drie soorten financiële entiteiten, namelijk kredietinstellingen, handelsplatformen en centrale tegenpartijen. Aangezien Richtlijn (EU) 2016/1148 voorziet in een mechanisme voor de identificatie op nationaal niveau van aanbieders van essentiële diensten, werden echter alleen bepaalde door de lidstaten geïdentificeerde kredietinstellingen, handelsplatformen en centrale tegenpartijen in de praktijk binnen het toepassingsgebied ervan gebracht zodat zij moeten voldoen aan de daarin vastgestelde vereisten inzake ICT-beveiliging en melding van incidenten. Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (8) stelt een uniform criterium vast om te bepalen welke entiteiten binnen het toepassingsgebied ervan vallen (size-capregel) en behoudt ook de drie soorten financiële entiteiten binnen dat toepassingsgebied.

| (16) | Aangezien deze verordening het niveau van harmonisatie van de verschillende onderdelen van digitale weerbaarheid verhoogt door vereisten inzake ICT-risicobeheer en rapportage van ICT-gerelateerde incidenten in te voeren die strenger zijn dan die welke in het huidige Unierecht inzake financiële diensten zijn opgenomen, komt dit hogere niveau echter ook neer op een grotere harmonisatie in vergelijking met de vereisten van Richtlijn (EU) 2022/2555. Deze verordening is dus een lex specialis ten opzichte van Richtlijn (EU) 2022/2555. Tegelijkertijd is het cruciaal om een sterke relatie tussen de financiële sector en het thans in Richtlijn (EU) 2022/2555 vastgelegde horizontale cyberbeveiligingskader van de Unie te handhaven, teneinde te zorgen voor samenhang met de door de lidstaten ingevoerde cyberbeveiligingsstrategieën, en financiële toezichthouders te kunnen wijzen op cyberincidenten die gevolgen hebben voor de andere sectoren die onder die Richtlijn vallen. |
| --- | --- |

(16)

Aangezien deze verordening het niveau van harmonisatie van de verschillende onderdelen van digitale weerbaarheid verhoogt door vereisten inzake ICT-risicobeheer en rapportage van ICT-gerelateerde incidenten in te voeren die strenger zijn dan die welke in het huidige Unierecht inzake financiële diensten zijn opgenomen, komt dit hogere niveau echter ook neer op een grotere harmonisatie in vergelijking met de vereisten van Richtlijn (EU) 2022/2555. Deze verordening is dus een lex specialis ten opzichte van Richtlijn (EU) 2022/2555. Tegelijkertijd is het cruciaal om een sterke relatie tussen de financiële sector en het thans in Richtlijn (EU) 2022/2555 vastgelegde horizontale cyberbeveiligingskader van de Unie te handhaven, teneinde te zorgen voor samenhang met de door de lidstaten ingevoerde cyberbeveiligingsstrategieën, en financiële toezichthouders te kunnen wijzen op cyberincidenten die gevolgen hebben voor de andere sectoren die onder die Richtlijn vallen.

| (17) | Overeenkomstig artikel 4, lid 2, van het Verdrag betreffende de Europese Unie en onverminderd de rechterlijke toetsing door het Hof van Justitie, mag deze verordening geen afbreuk doen aan de verantwoordelijkheid van de lidstaten met betrekking tot essentiële staatsfuncties op het gebied van openbare veiligheid, defensie en de bescherming van de nationale veiligheid, bijvoorbeeld met betrekking tot het verstrekken van informatie die in strijd zou zijn met de bescherming van de nationale veiligheid. |
| --- | --- |

(17)

Overeenkomstig artikel 4, lid 2, van het Verdrag betreffende de Europese Unie en onverminderd de rechterlijke toetsing door het Hof van Justitie, mag deze verordening geen afbreuk doen aan de verantwoordelijkheid van de lidstaten met betrekking tot essentiële staatsfuncties op het gebied van openbare veiligheid, defensie en de bescherming van de nationale veiligheid, bijvoorbeeld met betrekking tot het verstrekken van informatie die in strijd zou zijn met de bescherming van de nationale veiligheid.

| (18) | Om sectoroverschrijdend leren mogelijk te maken en daadwerkelijk gebruik te maken van de ervaringen van andere sectoren bij de aanpak van cyberdreigingen, moeten de in Richtlijn (EU) 2022/2555 bedoelde financiële entiteiten deel blijven uitmaken van het “ecosysteem” van die richtlijn (bijvoorbeeld de samenwerkingsgroep en computer security incident response teams (CSIRT’s)). De ETA’s en nationale bevoegde autoriteiten moeten in staat zijn deel te nemen aan de strategische beleidsdiscussies en de technische werkzaamheden van de samenwerkingsgroep uit hoofde van die richtlijn, en daarnaast moeten zij in staat zijn informatie uit te wisselen en te blijven samenwerken met de overeenkomstig die richtlijn aangewezen of ingestelde centrale contactpunten. De bevoegde autoriteiten in de zin van deze verordening moeten ook overleg plegen en samenwerken met de CSIRT’s. De bevoegde autoriteiten moeten ook technisch advies kunnen inwinnen bij de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten, en samenwerkingsovereenkomsten kunnen sluiten om te zorgen voor coördinatiemechanismen voor doeltreffende en snelle respons. |
| --- | --- |

(18)

Om sectoroverschrijdend leren mogelijk te maken en daadwerkelijk gebruik te maken van de ervaringen van andere sectoren bij de aanpak van cyberdreigingen, moeten de in Richtlijn (EU) 2022/2555 bedoelde financiële entiteiten deel blijven uitmaken van het “ecosysteem” van die richtlijn (bijvoorbeeld de samenwerkingsgroep en computer security incident response teams (CSIRT’s)). De ETA’s en nationale bevoegde autoriteiten moeten in staat zijn deel te nemen aan de strategische beleidsdiscussies en de technische werkzaamheden van de samenwerkingsgroep uit hoofde van die richtlijn, en daarnaast moeten zij in staat zijn informatie uit te wisselen en te blijven samenwerken met de overeenkomstig die richtlijn aangewezen of ingestelde centrale contactpunten. De bevoegde autoriteiten in de zin van deze verordening moeten ook overleg plegen en samenwerken met de CSIRT’s. De bevoegde autoriteiten moeten ook technisch advies kunnen inwinnen bij de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten, en samenwerkingsovereenkomsten kunnen sluiten om te zorgen voor coördinatiemechanismen voor doeltreffende en snelle respons.

| (19) | Gezien de sterke verwevenheid tussen de digitale en de fysieke weerbaarheid van financiële entiteiten behoeft deze verordening en Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad (9) een coherente aanpak met betrekking tot de weerbaarheid van kritieke entiteiten. Aangezien de fysieke weerbaarheid van financiële entiteiten breed wordt aangepakt door de in deze verordening genoemde verplichtingen inzake ICT-risicobeheer en -rapportage, mogen de in de hoofdstukken III en IV van Richtlijn (EU)2022/2557/ vastgelegde verplichtingen niet van toepassing zijn op financiële entiteiten die binnen het toepassingsgebied van die richtlijn vallen. |
| --- | --- |

(19)

Gezien de sterke verwevenheid tussen de digitale en de fysieke weerbaarheid van financiële entiteiten behoeft deze verordening en Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad (9) een coherente aanpak met betrekking tot de weerbaarheid van kritieke entiteiten. Aangezien de fysieke weerbaarheid van financiële entiteiten breed wordt aangepakt door de in deze verordening genoemde verplichtingen inzake ICT-risicobeheer en -rapportage, mogen de in de hoofdstukken III en IV van Richtlijn (EU)2022/2557/ vastgelegde verplichtingen niet van toepassing zijn op financiële entiteiten die binnen het toepassingsgebied van die richtlijn vallen.

| (20) | Aanbieders van cloudcomputingdiensten zijn een van de categorieën digitale infrastructuur die onder Richtlijn (EU) 2022/2555 vallen. Het bij deze verordening vastgestelde oversightkader van de Unie (oversightkader) is van toepassing op alle kritieke derde aanbieders van ICT-diensten, waaronder aanbieders van cloudcomputingdiensten die ICT-diensten aan financiële entiteiten verlenen, en moet als complementair aan het krachtens Richtlijn (EU) 2022/2555 verrichte toezicht worden beschouwd. Bovendien moet het bij deze verordening vastgestelde oversightkader betrekking hebben op aanbieders van cloudcomputingdiensten, gezien het ontbreken van een horizontaal kader van de Unie tot oprichting van een autoriteit voor digitale oversight. |
| --- | --- |

(20)

Aanbieders van cloudcomputingdiensten zijn een van de categorieën digitale infrastructuur die onder Richtlijn (EU) 2022/2555 vallen. Het bij deze verordening vastgestelde oversightkader van de Unie (oversightkader) is van toepassing op alle kritieke derde aanbieders van ICT-diensten, waaronder aanbieders van cloudcomputingdiensten die ICT-diensten aan financiële entiteiten verlenen, en moet als complementair aan het krachtens Richtlijn (EU) 2022/2555 verrichte toezicht worden beschouwd. Bovendien moet het bij deze verordening vastgestelde oversightkader betrekking hebben op aanbieders van cloudcomputingdiensten, gezien het ontbreken van een horizontaal kader van de Unie tot oprichting van een autoriteit voor digitale oversight.

| (21) | Om het ICT-risico volledig onder controle te houden, moeten financiële entiteiten beschikken over alomvattende capaciteiten die een krachtig en doeltreffend ICT-risicobeheer mogelijk maken, evenals specifieke mechanismen en beleidsmaatregelen voor de respons op alle ICT-gerelateerde incidenten en voor het melden van ernstige ICT-gerelateerde incidenten. Evenzo moeten financiële entiteiten beschikken over beleidsmaatregelen voor het testen van ICT-systemen, -controles en -procedés en voor het beheren van het ICT-risico van derde aanbieders. Het referentieniveau voor de digitale operationele weerbaarheid van financiële entiteiten moet worden verhoogd, terwijl eveneens een evenredige toepassing van de vereisten mogelijk moet zijn voor bepaalde financiële entiteiten, in het bijzonder micro-ondernemingen, evenals financiële entiteiten die onderworpen zijn aan een vereenvoudigd kader voor ICT-risicobeheer. Om een efficiënt toezicht op instellingen voor bedrijfspensioenvoorziening te bewerkstelligen dat evenredig is en de administratieve lasten voor de bevoegde autoriteiten vermindert, moet in de betrokken nationale toezichtregelingen voor dergelijke financiële entiteiten rekening worden gehouden met hun omvang en algeheel risicoprofiel en met de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen, zelfs wanneer de in artikel 5 van Richtlijn (EU) 2016/2341 van het Europees Parlement en de Raad (10) vastgestelde drempels worden overschreden. De toezichtactiviteiten moeten in de eerste plaats gericht zijn op de noodzaak om ernstige risico’s in verband met het ICT-risicobeheer van een bepaalde entiteit aan te pakken.
  De bevoegde autoriteiten moeten ook een waakzame maar evenredige aanpak hanteren met betrekking tot het toezicht op instellingen voor bedrijfspensioenvoorziening die overeenkomstig artikel 31 van Richtlijn (EU) 2016/2341 een aanzienlijk deel van hun kernactiviteiten, zoals vermogensbeheer, actuariële berekeningen, boekhouding en gegevensbeheer, uitbesteden aan dienstverleners. |
| --- | --- |

(21)

Om het ICT-risico volledig onder controle te houden, moeten financiële entiteiten beschikken over alomvattende capaciteiten die een krachtig en doeltreffend ICT-risicobeheer mogelijk maken, evenals specifieke mechanismen en beleidsmaatregelen voor de respons op alle ICT-gerelateerde incidenten en voor het melden van ernstige ICT-gerelateerde incidenten. Evenzo moeten financiële entiteiten beschikken over beleidsmaatregelen voor het testen van ICT-systemen, -controles en -procedés en voor het beheren van het ICT-risico van derde aanbieders. Het referentieniveau voor de digitale operationele weerbaarheid van financiële entiteiten moet worden verhoogd, terwijl eveneens een evenredige toepassing van de vereisten mogelijk moet zijn voor bepaalde financiële entiteiten, in het bijzonder micro-ondernemingen, evenals financiële entiteiten die onderworpen zijn aan een vereenvoudigd kader voor ICT-risicobeheer. Om een efficiënt toezicht op instellingen voor bedrijfspensioenvoorziening te bewerkstelligen dat evenredig is en de administratieve lasten voor de bevoegde autoriteiten vermindert, moet in de betrokken nationale toezichtregelingen voor dergelijke financiële entiteiten rekening worden gehouden met hun omvang en algeheel risicoprofiel en met de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen, zelfs wanneer de in artikel 5 van Richtlijn (EU) 2016/2341 van het Europees Parlement en de Raad (10) vastgestelde drempels worden overschreden. De toezichtactiviteiten moeten in de eerste plaats gericht zijn op de noodzaak om ernstige risico’s in verband met het ICT-risicobeheer van een bepaalde entiteit aan te pakken.

De bevoegde autoriteiten moeten ook een waakzame maar evenredige aanpak hanteren met betrekking tot het toezicht op instellingen voor bedrijfspensioenvoorziening die overeenkomstig artikel 31 van Richtlijn (EU) 2016/2341 een aanzienlijk deel van hun kernactiviteiten, zoals vermogensbeheer, actuariële berekeningen, boekhouding en gegevensbeheer, uitbesteden aan dienstverleners.

| (22) | De drempels en taxonomieën voor de rapportage van ICT-gerelateerde incidenten variëren aanzienlijk op nationaal niveau. Hoewel via de relevante werkzaamheden van het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), dat is opgericht bij Verordening (EU) 2019/881 van het Europees Parlement en de Raad (11), en de samenwerkingsgroep uit hoofde van Richtlijn (EU) 2022/2555 overeenstemming kan worden bereikt, kunnen voor de overige financiële entiteiten verschillende benaderingen inzake het bepalen van de drempels en het gebruik van taxonomieën bestaan of ontstaan. Die verschillen brengen met zich mee dat financiële entiteiten aan vele vereisten moeten voldoen, vooral wanneer zij in verschillende lidstaten actief zijn en wanneer zij deel uitmaken van een financiële groep. Bovendien kunnen dergelijke verschillen een belemmering vormen voor de totstandbrenging van verdere uniforme of gecentraliseerde mechanismen van de Unie die het rapportageproces versnellen en een snelle en vlotte uitwisseling van informatie tussen bevoegde autoriteiten ondersteunen, wat cruciaal is voor het aanpakken van het ICT-risico in geval van grootschalige aanvallen met potentieel systemische gevolgen. |
| --- | --- |

(22)

De drempels en taxonomieën voor de rapportage van ICT-gerelateerde incidenten variëren aanzienlijk op nationaal niveau. Hoewel via de relevante werkzaamheden van het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), dat is opgericht bij Verordening (EU) 2019/881 van het Europees Parlement en de Raad (11), en de samenwerkingsgroep uit hoofde van Richtlijn (EU) 2022/2555 overeenstemming kan worden bereikt, kunnen voor de overige financiële entiteiten verschillende benaderingen inzake het bepalen van de drempels en het gebruik van taxonomieën bestaan of ontstaan. Die verschillen brengen met zich mee dat financiële entiteiten aan vele vereisten moeten voldoen, vooral wanneer zij in verschillende lidstaten actief zijn en wanneer zij deel uitmaken van een financiële groep. Bovendien kunnen dergelijke verschillen een belemmering vormen voor de totstandbrenging van verdere uniforme of gecentraliseerde mechanismen van de Unie die het rapportageproces versnellen en een snelle en vlotte uitwisseling van informatie tussen bevoegde autoriteiten ondersteunen, wat cruciaal is voor het aanpakken van het ICT-risico in geval van grootschalige aanvallen met potentieel systemische gevolgen.

| (23) | Om de administratieve lasten en mogelijk overlappende rapportageverplichtingen voor bepaalde financiële entiteiten te verminderen, mag de verplichting tot melding van incidenten krachtens Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad (12) niet langer van toepassing zijn op betalingsdienstaanbieders die binnen het toepassingsgebied van deze verordening vallen. Bijgevolg moeten kredietinstellingen, instellingen voor elektronisch geld, betalingsinstellingen en aanbieders van rekeninginformatiediensten, als bedoeld in artikel 33, lid 1, van die richtlijn, vanaf de datum van inwerkingtreding van deze verordening, krachtens deze verordening alle betalingsgerelateerde operationele of beveiligingsincidenten melden die eerder op grond van die richtlijn werden gemeld, ongeacht of dergelijke incidenten ICT-gerelateerd zijn. |
| --- | --- |

(23)

Om de administratieve lasten en mogelijk overlappende rapportageverplichtingen voor bepaalde financiële entiteiten te verminderen, mag de verplichting tot melding van incidenten krachtens Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad (12) niet langer van toepassing zijn op betalingsdienstaanbieders die binnen het toepassingsgebied van deze verordening vallen. Bijgevolg moeten kredietinstellingen, instellingen voor elektronisch geld, betalingsinstellingen en aanbieders van rekeninginformatiediensten, als bedoeld in artikel 33, lid 1, van die richtlijn, vanaf de datum van inwerkingtreding van deze verordening, krachtens deze verordening alle betalingsgerelateerde operationele of beveiligingsincidenten melden die eerder op grond van die richtlijn werden gemeld, ongeacht of dergelijke incidenten ICT-gerelateerd zijn.

| (24) | Om de bevoegde autoriteiten in staat te stellen toezicht te houden met behulp van een volledig overzicht van de aard, de frequentie, het belang en de impact van ICT-gerelateerde incidenten en om de uitwisseling van informatie tussen relevante overheidsinstanties, waaronder rechtshandhavingsinstanties en afwikkelingsautoriteiten, te bevorderen, moet bij deze verordening een robuuste regeling voor het melden van ICT-gerelateerde incidenten worden vastgesteld met voorschriften die tekortkomingen in het recht inzake financiële diensten aanpakken en tevens, ter verlichting van de kosten, bestaande overlappingen en doublures wegnemen. Het is essentieel de regeling voor het melden van ICT-gerelateerde incidenten te harmoniseren door te bepalen dat de rapportage van alle financiële entiteiten aan hun bevoegde autoriteiten gebeurt via één enkel gestroomlijnd kader zoals uiteengezet in deze verordening. Daarnaast moeten de ETA’s de bevoegdheid krijgen om voor de rapportage van ICT-gerelateerde incidenten relevante elementen nader uit te werken, zoals taxonomie, tijdschema’s, datasets, modellen en toepasselijke drempels. Ten behoeve van volledige overeenstemming met Richtlijn (EU) 2022/2555 moeten financiële entiteiten op vrijwillige basis significante cyberdreigingen aan de relevante bevoegde autoriteit kunnen melden wanneer zij van oordeel zijn dat de cyberdreiging relevant is voor het financiële stelsel, gebruikers van diensten of cliënten. |
| --- | --- |

(24)

Om de bevoegde autoriteiten in staat te stellen toezicht te houden met behulp van een volledig overzicht van de aard, de frequentie, het belang en de impact van ICT-gerelateerde incidenten en om de uitwisseling van informatie tussen relevante overheidsinstanties, waaronder rechtshandhavingsinstanties en afwikkelingsautoriteiten, te bevorderen, moet bij deze verordening een robuuste regeling voor het melden van ICT-gerelateerde incidenten worden vastgesteld met voorschriften die tekortkomingen in het recht inzake financiële diensten aanpakken en tevens, ter verlichting van de kosten, bestaande overlappingen en doublures wegnemen. Het is essentieel de regeling voor het melden van ICT-gerelateerde incidenten te harmoniseren door te bepalen dat de rapportage van alle financiële entiteiten aan hun bevoegde autoriteiten gebeurt via één enkel gestroomlijnd kader zoals uiteengezet in deze verordening. Daarnaast moeten de ETA’s de bevoegdheid krijgen om voor de rapportage van ICT-gerelateerde incidenten relevante elementen nader uit te werken, zoals taxonomie, tijdschema’s, datasets, modellen en toepasselijke drempels. Ten behoeve van volledige overeenstemming met Richtlijn (EU) 2022/2555 moeten financiële entiteiten op vrijwillige basis significante cyberdreigingen aan de relevante bevoegde autoriteit kunnen melden wanneer zij van oordeel zijn dat de cyberdreiging relevant is voor het financiële stelsel, gebruikers van diensten of cliënten.

| (25) | In bepaalde financiële subsectoren zijn voorschriften voor het testen van de digitale operationele weerbaarheid ontwikkeld, leidend tot niet altijd volledig op elkaar afgestemde kaders. Dit kan voor grensoverschrijdende financiële entiteiten leiden tot dubbele kosten en maakt de wederzijdse erkenning van de resultaten van digitale-operationele-weerbaarheidtests complex, wat dan weer tot versnippering van de interne markt kan leiden. |
| --- | --- |

(25)

In bepaalde financiële subsectoren zijn voorschriften voor het testen van de digitale operationele weerbaarheid ontwikkeld, leidend tot niet altijd volledig op elkaar afgestemde kaders. Dit kan voor grensoverschrijdende financiële entiteiten leiden tot dubbele kosten en maakt de wederzijdse erkenning van de resultaten van digitale-operationele-weerbaarheidtests complex, wat dan weer tot versnippering van de interne markt kan leiden.

| (26) | Bovendien blijven, wanneer ICT-tests niet verplicht zijn, kwetsbaarheden onontdekt, waardoor de financiële entiteit aan ICT-risico’s wordt blootgesteld en uiteindelijk de financiële sector een groter stabiliteits- en integriteitsrisico loopt. Zonder optreden van de Unie blijft het testen van de digitale operationele weerbaarheid inconsistent en komt er geen systeem voor de wederzijdse erkenning van testresultaten tussen verschillende rechtsgebieden. Daarnaast is het onwaarschijnlijk dat andere financiële subsectoren op betekenisvolle schaal testregelingen invoeren, waardoor zij verstoken blijven van de potentiële voordelen van een testkader als het gaat om het onthullen van ICT-kwetsbaarheden en -risico’s en het testen van verdedigingscapaciteiten en bedrijfscontinuïteit, zaken die helpen het vertrouwen van klanten, leveranciers en zakenpartners te vergroten. Om die overlappingen, verschillen en leemten te verhelpen, moeten regels worden vastgesteld voor een gecoördineerde testregeling door financiële entiteiten en bevoegde autoriteiten, zodat de wederzijdse erkenning van geavanceerde tests voor financiële entiteiten die de criteria van deze verordening vervullen, wordt vergemakkelijkt. |
| --- | --- |

(26)

Bovendien blijven, wanneer ICT-tests niet verplicht zijn, kwetsbaarheden onontdekt, waardoor de financiële entiteit aan ICT-risico’s wordt blootgesteld en uiteindelijk de financiële sector een groter stabiliteits- en integriteitsrisico loopt. Zonder optreden van de Unie blijft het testen van de digitale operationele weerbaarheid inconsistent en komt er geen systeem voor de wederzijdse erkenning van testresultaten tussen verschillende rechtsgebieden. Daarnaast is het onwaarschijnlijk dat andere financiële subsectoren op betekenisvolle schaal testregelingen invoeren, waardoor zij verstoken blijven van de potentiële voordelen van een testkader als het gaat om het onthullen van ICT-kwetsbaarheden en -risico’s en het testen van verdedigingscapaciteiten en bedrijfscontinuïteit, zaken die helpen het vertrouwen van klanten, leveranciers en zakenpartners te vergroten. Om die overlappingen, verschillen en leemten te verhelpen, moeten regels worden vastgesteld voor een gecoördineerde testregeling door financiële entiteiten en bevoegde autoriteiten, zodat de wederzijdse erkenning van geavanceerde tests voor financiële entiteiten die de criteria van deze verordening vervullen, wordt vergemakkelijkt.

| (27) | Dat financiële entiteiten sterk op het gebruik van ICT-diensten leunen, komt deels doordat zij zich moeten aanpassen aan een opkomende concurrerende digitale mondiale economie, zij hun bedrijfsefficiëntie moeten verbeteren, en zij voldoen moeten aan de vraag van de consument. De aard en de omvang van die afhankelijkheid is de laatste jaren voortdurend in beweging, resulterend in een daling van de kosten van financiële bemiddeling en in mogelijkheden tot bedrijfsuitbreiding en schaalbaarheid bij de ontplooiing van financiële activiteiten, en in een breed aanbod aan ICT-instrumenten voor de aansturing van complexe interne processen. |
| --- | --- |

(27)

Dat financiële entiteiten sterk op het gebruik van ICT-diensten leunen, komt deels doordat zij zich moeten aanpassen aan een opkomende concurrerende digitale mondiale economie, zij hun bedrijfsefficiëntie moeten verbeteren, en zij voldoen moeten aan de vraag van de consument. De aard en de omvang van die afhankelijkheid is de laatste jaren voortdurend in beweging, resulterend in een daling van de kosten van financiële bemiddeling en in mogelijkheden tot bedrijfsuitbreiding en schaalbaarheid bij de ontplooiing van financiële activiteiten, en in een breed aanbod aan ICT-instrumenten voor de aansturing van complexe interne processen.

| (28) | Het grootschalige gebruik van ICT-diensten komt tot uiting in complexe contractuele overeenkomsten, waarbij financiële entiteiten vaak moeilijkheden ondervinden om te onderhandelen over contractuele voorwaarden die zijn afgestemd op de prudentiële normen of andere regelgevingsvereisten waaraan zij onderworpen zijn. Het kan ook moeilijk zijn specifieke rechten af te dwingen, zoals toegangsrechten of auditrechten, zelfs wanneer deze laatste contractueel zijn vastgelegd. Bovendien voorzien veel van die contractuele overeenkomsten niet in voldoende waarborgen voor de volwaardige monitoring van onderaannemingsprocessen, zodat de financiële entiteit niet langer in staat is de bijbehorende risico’s te beoordelen. Aangezien derde aanbieders van ICT-diensten vaak gestandaardiseerde diensten aanbieden aan verschillende soorten klanten, houden de contractuele overeenkomsten ook niet altijd voldoende rekening met de individuele of specifieke behoeften van actoren uit de financiële sector. |
| --- | --- |

(28)

Het grootschalige gebruik van ICT-diensten komt tot uiting in complexe contractuele overeenkomsten, waarbij financiële entiteiten vaak moeilijkheden ondervinden om te onderhandelen over contractuele voorwaarden die zijn afgestemd op de prudentiële normen of andere regelgevingsvereisten waaraan zij onderworpen zijn. Het kan ook moeilijk zijn specifieke rechten af te dwingen, zoals toegangsrechten of auditrechten, zelfs wanneer deze laatste contractueel zijn vastgelegd. Bovendien voorzien veel van die contractuele overeenkomsten niet in voldoende waarborgen voor de volwaardige monitoring van onderaannemingsprocessen, zodat de financiële entiteit niet langer in staat is de bijbehorende risico’s te beoordelen. Aangezien derde aanbieders van ICT-diensten vaak gestandaardiseerde diensten aanbieden aan verschillende soorten klanten, houden de contractuele overeenkomsten ook niet altijd voldoende rekening met de individuele of specifieke behoeften van actoren uit de financiële sector.

| (29) | Het Unierecht inzake financiële diensten bevat enkele algemene voorschriften voor uitbesteding, maar daarmee is de monitoring van de contractuele dimensie nog niet volledig in het Unierecht verankerd. Bij ontstentenis van duidelijke, op maat gesneden Unienormen voor contractuele overeenkomsten met derde aanbieders van ICT-diensten wordt de externe bron van ICT-risico niet grondig aangepakt. Het is bijgevolg zaak bepaalde kernbeginselen vast te stellen als leidraad voor het beheer van ICT-risico’s van derden door financiële entiteiten. Die beginselen zijn des te belangrijker wanneer financiële entiteiten ter ondersteuning van kritieke of belangrijke functies een beroep op derde aanbieders van ICT-diensten doen. Aan die beginselen moet een reeks contractuele basisrechten worden gehangen met betrekking tot verschillende elementen van de uitvoering en beëindiging van contractuele overeenkomsten, teneinde bepaalde minimumwaarborgen te verstrekken die het vermogen van de financiële entiteiten moeten versterken om alle mogelijke ICT-risico’s op het niveau van derde aanbieders van diensten doeltreffend te monitoren. Die beginselen vormen een aanvulling op het voor uitbestedingen geldende sectorale recht. |
| --- | --- |

(29)

Het Unierecht inzake financiële diensten bevat enkele algemene voorschriften voor uitbesteding, maar daarmee is de monitoring van de contractuele dimensie nog niet volledig in het Unierecht verankerd. Bij ontstentenis van duidelijke, op maat gesneden Unienormen voor contractuele overeenkomsten met derde aanbieders van ICT-diensten wordt de externe bron van ICT-risico niet grondig aangepakt. Het is bijgevolg zaak bepaalde kernbeginselen vast te stellen als leidraad voor het beheer van ICT-risico’s van derden door financiële entiteiten. Die beginselen zijn des te belangrijker wanneer financiële entiteiten ter ondersteuning van kritieke of belangrijke functies een beroep op derde aanbieders van ICT-diensten doen. Aan die beginselen moet een reeks contractuele basisrechten worden gehangen met betrekking tot verschillende elementen van de uitvoering en beëindiging van contractuele overeenkomsten, teneinde bepaalde minimumwaarborgen te verstrekken die het vermogen van de financiële entiteiten moeten versterken om alle mogelijke ICT-risico’s op het niveau van derde aanbieders van diensten doeltreffend te monitoren. Die beginselen vormen een aanvulling op het voor uitbestedingen geldende sectorale recht.

| (30) | De homogeniteit en convergentie met betrekking tot de monitoring van het ICT-risico van derde aanbieders en de ICT-afhankelijkheden van derde partijen laat momenteel te wensen over. Ondanks inspanningen op het vlak van uitbestedingen, zoals de EBA-richtsnoeren inzake uitbesteding van 2019 en de ESMA-richtsnoeren over uitbesteding aan aanbieders van clouddiensten van 2021, komt de bredere kwestie van de bestrijding van systeemrisico’s die kunnen voortvloeien uit de blootstelling van de financiële sector aan een beperkt aantal kritieke derde aanbieders van ICT-diensten, in het Unierecht onvoldoende aan de orde. Dit wordt nog verergerd door het ontbreken van nationale regelgeving inzake mandaten en instrumenten waarmee financiële toezichthouders zich een goed inzicht in de afhankelijkheden van derden op ICT-gebied zouden kunnen verschaffen en de uit de concentratie van dergelijke afhankelijkheden voortvloeiende risico’s adequaat monitoren. |
| --- | --- |

(30)

De homogeniteit en convergentie met betrekking tot de monitoring van het ICT-risico van derde aanbieders en de ICT-afhankelijkheden van derde partijen laat momenteel te wensen over. Ondanks inspanningen op het vlak van uitbestedingen, zoals de EBA-richtsnoeren inzake uitbesteding van 2019 en de ESMA-richtsnoeren over uitbesteding aan aanbieders van clouddiensten van 2021, komt de bredere kwestie van de bestrijding van systeemrisico’s die kunnen voortvloeien uit de blootstelling van de financiële sector aan een beperkt aantal kritieke derde aanbieders van ICT-diensten, in het Unierecht onvoldoende aan de orde. Dit wordt nog verergerd door het ontbreken van nationale regelgeving inzake mandaten en instrumenten waarmee financiële toezichthouders zich een goed inzicht in de afhankelijkheden van derden op ICT-gebied zouden kunnen verschaffen en de uit de concentratie van dergelijke afhankelijkheden voortvloeiende risico’s adequaat monitoren.

| (31) | Rekening houdend met de potentiële systeemrisico’s die de toegenomen uitbesteding en de concentratie van ICT bij derden meebrengen, en met het feit dat nationale mechanismen financiële toezichthouders onvoldoende middelen bieden om de gevolgen van het ICT-risico bij kritieke derde aanbieders van ICT-diensten te kunnen kwantificeren, kwalificeren en herstellen, moet een passend oversightkader tot stand worden gebracht voor de voortdurende monitoring van activiteiten van voor financiële entiteiten kritieke derde aanbieders van ICT-diensten, daarbij zorgend voor vertrouwelijkheid en veiligheid van klanten die geen financiële entiteiten zijn. Aan ICT-dienstverlening binnen een financiële groep zijn specifieke risico’s en voordelen verbonden die evenwel niet automatisch aangemerkt mogen worden als minder risicovol dan ICT-dienstverlening door externe aanbieders. Interne ICT-dienstverlening moet derhalve aan hetzelfde regelgevingskader worden onderworpen. Dat neemt niet weg dat bij interne ICT-dienstverlening vanuit de financiële groep zelf, financiële entiteiten een betere grip op intragroepaanbieders zouden kunnen hebben, iets waarmee bij de algehele risicobeoordeling rekening gehouden moet worden. |
| --- | --- |

(31)

Rekening houdend met de potentiële systeemrisico’s die de toegenomen uitbesteding en de concentratie van ICT bij derden meebrengen, en met het feit dat nationale mechanismen financiële toezichthouders onvoldoende middelen bieden om de gevolgen van het ICT-risico bij kritieke derde aanbieders van ICT-diensten te kunnen kwantificeren, kwalificeren en herstellen, moet een passend oversightkader tot stand worden gebracht voor de voortdurende monitoring van activiteiten van voor financiële entiteiten kritieke derde aanbieders van ICT-diensten, daarbij zorgend voor vertrouwelijkheid en veiligheid van klanten die geen financiële entiteiten zijn. Aan ICT-dienstverlening binnen een financiële groep zijn specifieke risico’s en voordelen verbonden die evenwel niet automatisch aangemerkt mogen worden als minder risicovol dan ICT-dienstverlening door externe aanbieders. Interne ICT-dienstverlening moet derhalve aan hetzelfde regelgevingskader worden onderworpen. Dat neemt niet weg dat bij interne ICT-dienstverlening vanuit de financiële groep zelf, financiële entiteiten een betere grip op intragroepaanbieders zouden kunnen hebben, iets waarmee bij de algehele risicobeoordeling rekening gehouden moet worden.

| (32) | Aangezien ICT-risico’s steeds complexer en geavanceerder worden, staan of vallen goede opsporings- en preventiemaatregelen op het vlak van ICT-risico grotendeels met regelmatige uitwisseling van inlichtingen over dreigingen en kwetsbaarheid tussen financiële entiteiten. Uitwisseling van inlichtingen helpt de bewustwording over cyberdreigingen te vergroten. Dit helpt dan weer het vermogen van financiële entiteiten om te voorkomen dat cyberdreigingen tot werkelijke ICT-gerelateerde incidenten uitgroeien te vergroten, en ook kunnen financiële entiteiten dan de impact van ICT-gerelateerde incidenten beter beheersen en sneller ervan herstellen. Bij ontstentenis van richtsnoeren op Unieniveau zijn er verschillende factoren die een dergelijke informatie-uitwisseling lijken te verhinderen, met name onzekerheid over de verenigbaarheid met de regels inzake gegevensbescherming, antitrust en aansprakelijkheid. |
| --- | --- |

(32)

Aangezien ICT-risico’s steeds complexer en geavanceerder worden, staan of vallen goede opsporings- en preventiemaatregelen op het vlak van ICT-risico grotendeels met regelmatige uitwisseling van inlichtingen over dreigingen en kwetsbaarheid tussen financiële entiteiten. Uitwisseling van inlichtingen helpt de bewustwording over cyberdreigingen te vergroten. Dit helpt dan weer het vermogen van financiële entiteiten om te voorkomen dat cyberdreigingen tot werkelijke ICT-gerelateerde incidenten uitgroeien te vergroten, en ook kunnen financiële entiteiten dan de impact van ICT-gerelateerde incidenten beter beheersen en sneller ervan herstellen. Bij ontstentenis van richtsnoeren op Unieniveau zijn er verschillende factoren die een dergelijke informatie-uitwisseling lijken te verhinderen, met name onzekerheid over de verenigbaarheid met de regels inzake gegevensbescherming, antitrust en aansprakelijkheid.

| (33) | Voorts leidt twijfel over het soort informatie dat met andere marktdeelnemers of niet-toezichthoudende autoriteiten (zoals Enisa voor analytische input of Europol voor rechtshandhavingsdoeleinden) mag worden uitgewisseld, ertoe dat nuttige informatie wordt achtergehouden. De informatie-uitwisseling blijft derhalve zowel qua omvang als qua kwaliteit vooralsnog beperkt en gefragmenteerd, waarbij relevante uitwisselingen meestal lokaal plaatsvinden (via nationale initiatieven) zonder samenhangende Uniebrede regelingen voor informatie-uitwisseling die zijn toegesneden op de behoeften van een geïntegreerd financieel stelsel. Het is daarom belangrijk dat die communicatiekanalen versterkt worden. |
| --- | --- |

(33)

Voorts leidt twijfel over het soort informatie dat met andere marktdeelnemers of niet-toezichthoudende autoriteiten (zoals Enisa voor analytische input of Europol voor rechtshandhavingsdoeleinden) mag worden uitgewisseld, ertoe dat nuttige informatie wordt achtergehouden. De informatie-uitwisseling blijft derhalve zowel qua omvang als qua kwaliteit vooralsnog beperkt en gefragmenteerd, waarbij relevante uitwisselingen meestal lokaal plaatsvinden (via nationale initiatieven) zonder samenhangende Uniebrede regelingen voor informatie-uitwisseling die zijn toegesneden op de behoeften van een geïntegreerd financieel stelsel. Het is daarom belangrijk dat die communicatiekanalen versterkt worden.

| (34) | Financiële entiteiten moeten worden aangemoedigd informatie en inlichtingen over cyberdreigingen tussen elkaar uit te wisselen, en hun individuele kennis en praktische ervaring op strategisch, tactisch en operationeel niveau collectief te benutten, om zo via deelname in informatie-uitwisselingsregelingen beter in staat te zijn cyberdreigingen adequaat te beoordelen, te monitoren, af te weren en aan te pakken. Op Unieniveau moeten er derhalve mechanismen voor vrijwillige informatie-uitwisseling mogelijk worden gemaakt die, wanneer zij in vertrouwde omgevingen worden uitgevoerd, de gehele financiële sector helpen cyberdreigingen te voorkomen en collectief aan te pakken door de verspreiding van ICT-risico snel te beperken en mogelijke besmetting via de financiële kanalen te verhinderen. Die mechanismen moeten in overeenstemming zijn met de toepasselijke mededingingsregels van de Unie uiteengezet in de mededeling van de Commissie van 14 januari 2011 met als titel “Richtsnoeren inzake de toepasselijkheid van artikel 101 van het Verdrag betreffende de werking van de Europese Unie op horizontale samenwerkingsovereenkomsten”, en met haar gegevensbeschermingsregels, meer in het bijzonder Verordening (EU) 2016/679 van het Europees Parlement en de Raad (13). Ook moeten ze gevestigd worden op een of meer van de in artikel 6 van die verordening vastgestelde rechtsgrondslagen, zoals in de context van de verwerking van persoonsgegevens die noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, als bedoeld in artikel 6, lid 1, punt f), van die verordening, alsmede in de context van de verwerking van persoonsgegevens die noodzakelijk is om te voldoen aan een wettelijke verplichting waaraan de verwerkingsverantwoordelijke onderworpen is, noodzakelijk voor de vervulling van een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen, als bedoeld in artikel 6, lid 1, punt c) respectievelijk punt e), van die verordening. |
| --- | --- |

(34)

Financiële entiteiten moeten worden aangemoedigd informatie en inlichtingen over cyberdreigingen tussen elkaar uit te wisselen, en hun individuele kennis en praktische ervaring op strategisch, tactisch en operationeel niveau collectief te benutten, om zo via deelname in informatie-uitwisselingsregelingen beter in staat te zijn cyberdreigingen adequaat te beoordelen, te monitoren, af te weren en aan te pakken. Op Unieniveau moeten er derhalve mechanismen voor vrijwillige informatie-uitwisseling mogelijk worden gemaakt die, wanneer zij in vertrouwde omgevingen worden uitgevoerd, de gehele financiële sector helpen cyberdreigingen te voorkomen en collectief aan te pakken door de verspreiding van ICT-risico snel te beperken en mogelijke besmetting via de financiële kanalen te verhinderen. Die mechanismen moeten in overeenstemming zijn met de toepasselijke mededingingsregels van de Unie uiteengezet in de mededeling van de Commissie van 14 januari 2011 met als titel “Richtsnoeren inzake de toepasselijkheid van artikel 101 van het Verdrag betreffende de werking van de Europese Unie op horizontale samenwerkingsovereenkomsten”, en met haar gegevensbeschermingsregels, meer in het bijzonder Verordening (EU) 2016/679 van het Europees Parlement en de Raad (13). Ook moeten ze gevestigd worden op een of meer van de in artikel 6 van die verordening vastgestelde rechtsgrondslagen, zoals in de context van de verwerking van persoonsgegevens die noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, als bedoeld in artikel 6, lid 1, punt f), van die verordening, alsmede in de context van de verwerking van persoonsgegevens die noodzakelijk is om te voldoen aan een wettelijke verplichting waaraan de verwerkingsverantwoordelijke onderworpen is, noodzakelijk voor de vervulling van een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen, als bedoeld in artikel 6, lid 1, punt c) respectievelijk punt e), van die verordening.

| (35) | Voor een hoog niveau van digitale operationele weerbaarheid in de hele financiële sector en om daarbij gelijke tred te kunnen houden met de technologische ontwikkelingen, moet deze verordening betrekking hebben op risico’s die uit alle soorten ICT-diensten voortvloeien. Daartoe moet in de context van deze verordening de definitie van ICT-diensten breed worden opgevat en aldus mede digitale en gegevensdiensten omvatten die doorlopend via ICT-systemen aan een of meer interne of externe gebruikers worden geleverd. Die definitie moet onder meer betrekking hebben op zogeheten over-the-topdiensten, die onder de categorie elektronische-communicatiediensten vallen. Uitsluitend de beperkte categorie bestaande uit traditionele, als PSTN-diensten (Public Switched Telephone Network services) aan te merken analoge telefoondiensten, vaste telefoondiensten, verouderde telefoondiensten (Plain Old Telephone Service — POTS), en vastelijntelefoondiensten moet ervan worden uitgesloten. |
| --- | --- |

(35)

Voor een hoog niveau van digitale operationele weerbaarheid in de hele financiële sector en om daarbij gelijke tred te kunnen houden met de technologische ontwikkelingen, moet deze verordening betrekking hebben op risico’s die uit alle soorten ICT-diensten voortvloeien. Daartoe moet in de context van deze verordening de definitie van ICT-diensten breed worden opgevat en aldus mede digitale en gegevensdiensten omvatten die doorlopend via ICT-systemen aan een of meer interne of externe gebruikers worden geleverd. Die definitie moet onder meer betrekking hebben op zogeheten over-the-topdiensten, die onder de categorie elektronische-communicatiediensten vallen. Uitsluitend de beperkte categorie bestaande uit traditionele, als PSTN-diensten (Public Switched Telephone Network services) aan te merken analoge telefoondiensten, vaste telefoondiensten, verouderde telefoondiensten (Plain Old Telephone Service — POTS), en vastelijntelefoondiensten moet ervan worden uitgesloten.

| (36) | Ondanks de brede dekking waarin deze verordening voorziet, moet bij de toepassing van de regels inzake digitale operationele weerbaarheid rekening worden gehouden met aanzienlijke verschillen tussen financiële entiteiten qua omvang en qua algeheel risicoprofiel. Als algemeen beginsel geldt dat financiële entiteiten, wanneer zij middelen en capaciteiten vrijmaken voor de uitvoering van het kader voor ICT-risicobeheer, hun ICT-gerelateerde behoeften naar behoren moeten afstemmen op hun omvang en algeheel risicoprofiel, en op de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen terwijl de bevoegde autoriteiten de daarbij gehanteerde benadering moeten blijven beoordelen en evalueren. |
| --- | --- |

(36)

Ondanks de brede dekking waarin deze verordening voorziet, moet bij de toepassing van de regels inzake digitale operationele weerbaarheid rekening worden gehouden met aanzienlijke verschillen tussen financiële entiteiten qua omvang en qua algeheel risicoprofiel. Als algemeen beginsel geldt dat financiële entiteiten, wanneer zij middelen en capaciteiten vrijmaken voor de uitvoering van het kader voor ICT-risicobeheer, hun ICT-gerelateerde behoeften naar behoren moeten afstemmen op hun omvang en algeheel risicoprofiel, en op de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen terwijl de bevoegde autoriteiten de daarbij gehanteerde benadering moeten blijven beoordelen en evalueren.

| (37) | Aanbieders van rekeninginformatiediensten, in de zin van artikel 33, lid 1, van Richtlijn (EU) 2015/2366, vallen uitdrukkelijk onder het toepassingsgebied van deze verordening, rekening houdend met de specifieke aard van hun activiteiten en de daaruit voortvloeiende risico’s. Onder het toepassingsgebied van deze verordening vallen tevens alle instellingen voor elektronisch geld en betalingsinstellingen die krachtens artikel 9, lid 1, van Richtlijn 2009/110/EG van het Europees Parlement en de Raad (14) en artikel 32, lid 1, van Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad zijn vrijgesteld, zelfs indien zij niet over een vergunning overeenkomstig Richtlijn 2009/110/EG voor de uitgifte van elektronisch geld beschikken, of over een vergunning overeenkomstig Richtlijn (EU) 2015/2366 voor het aanbieden en uitvoeren van betalingsdiensten. Postcheque- en girodiensten als bedoeld in artikel 2, lid 5, punt 3, van Richtlijn 2013/36/EU van het Europees Parlement en de Raad (15) zijn evenwel uitgesloten van het toepassingsgebied van deze verordening. De bevoegde autoriteit die is aangewezen overeenkomstig artikel 22 van Richtlijn (EU) 2015/2366, dient de bevoegde autoriteit te zijn voor betalingsinstellingen die krachtens Richtlijn (EU) 2015/2366 zijn vrijgesteld, voor instellingen voor elektronisch geld die zijn vrijgesteld krachtens Richtlijn 2009/110/EG, en voor aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van Richtlijn (EU) 2015/2366. |
| --- | --- |

(37)

Aanbieders van rekeninginformatiediensten, in de zin van artikel 33, lid 1, van Richtlijn (EU) 2015/2366, vallen uitdrukkelijk onder het toepassingsgebied van deze verordening, rekening houdend met de specifieke aard van hun activiteiten en de daaruit voortvloeiende risico’s. Onder het toepassingsgebied van deze verordening vallen tevens alle instellingen voor elektronisch geld en betalingsinstellingen die krachtens artikel 9, lid 1, van Richtlijn 2009/110/EG van het Europees Parlement en de Raad (14) en artikel 32, lid 1, van Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad zijn vrijgesteld, zelfs indien zij niet over een vergunning overeenkomstig Richtlijn 2009/110/EG voor de uitgifte van elektronisch geld beschikken, of over een vergunning overeenkomstig Richtlijn (EU) 2015/2366 voor het aanbieden en uitvoeren van betalingsdiensten. Postcheque- en girodiensten als bedoeld in artikel 2, lid 5, punt 3, van Richtlijn 2013/36/EU van het Europees Parlement en de Raad (15) zijn evenwel uitgesloten van het toepassingsgebied van deze verordening. De bevoegde autoriteit die is aangewezen overeenkomstig artikel 22 van Richtlijn (EU) 2015/2366, dient de bevoegde autoriteit te zijn voor betalingsinstellingen die krachtens Richtlijn (EU) 2015/2366 zijn vrijgesteld, voor instellingen voor elektronisch geld die zijn vrijgesteld krachtens Richtlijn 2009/110/EG, en voor aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van Richtlijn (EU) 2015/2366.

| (38) | Aangezien grotere financiële entiteiten over meer middelen zouden kunnen beschikken en snel financiële middelen kunnen inzetten om governancestructuren te ontwikkelen en diverse bedrijfsstrategieën op te zetten, moeten alleen financiële entiteiten die geen micro-ondernemingen in de zin van deze verordening zijn, verplicht worden complexere governanceregelingen op te zetten. Dergelijke entiteiten zijn met name beter toegerust om specifieke beheersfuncties op te zetten voor het toezicht op regelingen met derde aanbieders van ICT-diensten of voor crisisbeheer, om hun ICT-risicobeheer te organiseren volgens het model van drie verdedigingslinies, of om een intern risicobeheer- en controlemodel op te zetten en hun ICT-risicobeheerkader aan interne audits te onderwerpen. |
| --- | --- |

(38)

Aangezien grotere financiële entiteiten over meer middelen zouden kunnen beschikken en snel financiële middelen kunnen inzetten om governancestructuren te ontwikkelen en diverse bedrijfsstrategieën op te zetten, moeten alleen financiële entiteiten die geen micro-ondernemingen in de zin van deze verordening zijn, verplicht worden complexere governanceregelingen op te zetten. Dergelijke entiteiten zijn met name beter toegerust om specifieke beheersfuncties op te zetten voor het toezicht op regelingen met derde aanbieders van ICT-diensten of voor crisisbeheer, om hun ICT-risicobeheer te organiseren volgens het model van drie verdedigingslinies, of om een intern risicobeheer- en controlemodel op te zetten en hun ICT-risicobeheerkader aan interne audits te onderwerpen.

| (39) | Sommige financiële entiteiten zijn uit hoofde van het desbetreffende sectorspecifieke Unierecht vrijgesteld of aan een zeer licht regelgevingskader onderworpen. Het gaat daarbij onder meer om beheerders van alternatieve beleggingsfondsen als bedoeld in artikel 3, lid 2, van Richtlijn 2011/61/EU van het Europees Parlement en de Raad (16), verzekerings- en herverzekeringsondernemingen als bedoeld in artikel 4 van Richtlijn 2009/138/EG van het Europees Parlement en de Raad (17), en instellingen voor bedrijfspensioenvoorziening die pensioenregelingen uitvoeren die samen niet meer dan 15 deelnemers tellen. In het licht van die vrijstellingen zou het niet evenredig zijn de betroffen financiële entiteiten onder het toepassingsgebied van deze verordening te laten vallen. Bovendien erkent deze verordening de specifieke kenmerken van de verzekeringsbemiddelingsmarktstructuur, om welke reden verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen die als micro-ondernemingen of als kleine of middelgrote ondernemingen kunnen worden aangemerkt, niet onder deze verordening dienen te vallen. |
| --- | --- |

(39)

Sommige financiële entiteiten zijn uit hoofde van het desbetreffende sectorspecifieke Unierecht vrijgesteld of aan een zeer licht regelgevingskader onderworpen. Het gaat daarbij onder meer om beheerders van alternatieve beleggingsfondsen als bedoeld in artikel 3, lid 2, van Richtlijn 2011/61/EU van het Europees Parlement en de Raad (16), verzekerings- en herverzekeringsondernemingen als bedoeld in artikel 4 van Richtlijn 2009/138/EG van het Europees Parlement en de Raad (17), en instellingen voor bedrijfspensioenvoorziening die pensioenregelingen uitvoeren die samen niet meer dan 15 deelnemers tellen. In het licht van die vrijstellingen zou het niet evenredig zijn de betroffen financiële entiteiten onder het toepassingsgebied van deze verordening te laten vallen. Bovendien erkent deze verordening de specifieke kenmerken van de verzekeringsbemiddelingsmarktstructuur, om welke reden verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen die als micro-ondernemingen of als kleine of middelgrote ondernemingen kunnen worden aangemerkt, niet onder deze verordening dienen te vallen.

| (40) | Aangezien de in artikel 2, lid 5, punten 4 tot en met 23, van Richtlijn 2013/36/EU bedoelde entiteiten niet onder het toepassingsgebied van die richtlijn vallen, moeten de lidstaten ervoor kunnen kiezen dit soort op hun respectieve grondgebied gevestigde entiteiten vrij te stellen van de toepassing van deze verordening. |
| --- | --- |

(40)

Aangezien de in artikel 2, lid 5, punten 4 tot en met 23, van Richtlijn 2013/36/EU bedoelde entiteiten niet onder het toepassingsgebied van die richtlijn vallen, moeten de lidstaten ervoor kunnen kiezen dit soort op hun respectieve grondgebied gevestigde entiteiten vrij te stellen van de toepassing van deze verordening.

| (41) | Om deze verordening in overeenstemming te brengen met het toepassingsgebied van Richtlijn 2014/65/EU van het Europees Parlement en de Raad (18), is het tevens passend natuurlijke en rechtspersonen als bedoeld in de artikelen 2 en 3 van die richtlijn die zonder een vergunning uit hoofde van Richtlijn 2014/65/EU beleggingsdiensten mogen verrichten, van het toepassingsgebied van deze verordening uit te sluiten. Artikel 2 van Richtlijn 2014/65/EU sluit echter ook entiteiten die voor de toepassing van deze verordening als financiële entiteiten kwalificeren, zoals centrale effectenbewaarinstellingen, instellingen voor collectieve belegging of verzekerings- en herverzekeringsondernemingen, uit van het toepassingsgebied van die richtlijn. De uitsluiting van de in de artikelen 2 en 3 van die richtlijn bedoelde personen en entiteiten van het toepassingsgebied van deze verordening mag niet gelden voor die centrale effectenbewaarinstellingen, instellingen voor collectieve belegging of verzekerings- en herverzekeringsondernemingen. |
| --- | --- |

(41)

Om deze verordening in overeenstemming te brengen met het toepassingsgebied van Richtlijn 2014/65/EU van het Europees Parlement en de Raad (18), is het tevens passend natuurlijke en rechtspersonen als bedoeld in de artikelen 2 en 3 van die richtlijn die zonder een vergunning uit hoofde van Richtlijn 2014/65/EU beleggingsdiensten mogen verrichten, van het toepassingsgebied van deze verordening uit te sluiten. Artikel 2 van Richtlijn 2014/65/EU sluit echter ook entiteiten die voor de toepassing van deze verordening als financiële entiteiten kwalificeren, zoals centrale effectenbewaarinstellingen, instellingen voor collectieve belegging of verzekerings- en herverzekeringsondernemingen, uit van het toepassingsgebied van die richtlijn. De uitsluiting van de in de artikelen 2 en 3 van die richtlijn bedoelde personen en entiteiten van het toepassingsgebied van deze verordening mag niet gelden voor die centrale effectenbewaarinstellingen, instellingen voor collectieve belegging of verzekerings- en herverzekeringsondernemingen.

| (42) | Op grond van sectorspecifiek Unierecht gelden voor sommige financiële entiteiten lichtere eisen of vrijstellingen om redenen die verband houden met hun omvang of de door hen verleende diensten. Die categorie van financiële entiteiten betreft onder meer kleine en niet-verweven beleggingsondernemingen, kleine instellingen voor bedrijfspensioenvoorziening die door de betrokken lidstaat van het toepassingsgebied van Richtlijn (EU) 2016/2341 kunnen worden uitgesloten onder de voorwaarden van artikel 5 van die richtlijn en die pensioenregelingen met bij elkaar niet meer dan 100 deelnemers uitvoeren, alsmede instellingen die krachtens Richtlijn 2013/36/EU zijn vrijgesteld. Het is derhalve overeenkomstig het evenredigheidsbeginsel en met het oog op de geest van het sectorspecifieke Unierecht, tevens passend die financiële entiteiten aan een vereenvoudigd kader voor ICT-risicobeheer in het kader van deze verordening te onderwerpen. Het evenredige karakter van het kader voor ICT-risicobeheer dat die financiële entiteiten bestrijkt, mag niet worden gewijzigd bij de door de ETA’s te ontwikkelen technische reguleringsnormen. Bovendien is het, overeenkomstig het evenredigheidsbeginsel, passend tevens betalingsinstellingen als bedoeld in artikel 32, lid 1, van Richtlijn (EU) 2015/2366 en instellingen voor elektronisch geld als bedoeld in artikel 9 van Richtlijn 2009/110/EG die overeenkomstig het nationale recht tot omzetting van die rechtshandelingen van de Unie zijn vrijgesteld, aan een vereenvoudigd kader voor ICT-risicobeheer uit hoofde van deze verordening te onderwerpen, waarbij zij aangetekend dat betalingsinstellingen en instellingen voor elektronisch geld die niet zijn vrijgesteld overeenkomstig hun respectieve nationale recht tot omzetting van sectoraal Unierecht wel in overeenstemming met het algemene kader van deze verordening moeten zijn. |
| --- | --- |

(42)

Op grond van sectorspecifiek Unierecht gelden voor sommige financiële entiteiten lichtere eisen of vrijstellingen om redenen die verband houden met hun omvang of de door hen verleende diensten. Die categorie van financiële entiteiten betreft onder meer kleine en niet-verweven beleggingsondernemingen, kleine instellingen voor bedrijfspensioenvoorziening die door de betrokken lidstaat van het toepassingsgebied van Richtlijn (EU) 2016/2341 kunnen worden uitgesloten onder de voorwaarden van artikel 5 van die richtlijn en die pensioenregelingen met bij elkaar niet meer dan 100 deelnemers uitvoeren, alsmede instellingen die krachtens Richtlijn 2013/36/EU zijn vrijgesteld. Het is derhalve overeenkomstig het evenredigheidsbeginsel en met het oog op de geest van het sectorspecifieke Unierecht, tevens passend die financiële entiteiten aan een vereenvoudigd kader voor ICT-risicobeheer in het kader van deze verordening te onderwerpen. Het evenredige karakter van het kader voor ICT-risicobeheer dat die financiële entiteiten bestrijkt, mag niet worden gewijzigd bij de door de ETA’s te ontwikkelen technische reguleringsnormen. Bovendien is het, overeenkomstig het evenredigheidsbeginsel, passend tevens betalingsinstellingen als bedoeld in artikel 32, lid 1, van Richtlijn (EU) 2015/2366 en instellingen voor elektronisch geld als bedoeld in artikel 9 van Richtlijn 2009/110/EG die overeenkomstig het nationale recht tot omzetting van die rechtshandelingen van de Unie zijn vrijgesteld, aan een vereenvoudigd kader voor ICT-risicobeheer uit hoofde van deze verordening te onderwerpen, waarbij zij aangetekend dat betalingsinstellingen en instellingen voor elektronisch geld die niet zijn vrijgesteld overeenkomstig hun respectieve nationale recht tot omzetting van sectoraal Unierecht wel in overeenstemming met het algemene kader van deze verordening moeten zijn.

| (43) | Evenzo mogen financiële entiteiten die als micro-ondernemingen worden aangemerkt of onder het vereenvoudigde kader voor ICT-risicobeheer in het kader van deze verordening vallen, niet worden verplicht om een functie in te stellen voor het toezicht op hun regelingen met derde aanbieders van ICT-diensten inzake het gebruik van ICT-diensten, of om een lid van het hoger management aan te wijzen dat verantwoordelijk is voor het toezicht op de desbetreffende risicoblootstelling en relevante documentatie; noch om de verantwoordelijkheid voor het beheer van en het toezicht op het ICT-risico aan een controlefunctie toe te wijzen en te zorgen voor passende onafhankelijkheid van die controlefunctie ter voorkoming van belangenconflicten; noch om het kader voor ICT-risicobeheer ten minste eenmaal per jaar te documenteren en te evalueren; noch om het kader voor ICT-risicobeheer regelmatig aan een interne audit te onderwerpen; noch om diepgaande analyses uit te voeren na grote veranderingen in hun infrastructuur en processen voor netwerk- en informatiesystemen; noch om regelmatig risicoanalyses uit te voeren voor legacy-ICT-systemen; noch om de uitvoering van de ICT-respons- en herstelplannen aan een onafhankelijke interne audit te onderwerpen; noch om over een crisisbeheersfunctie te beschikken, noch om de tests van bedrijfscontinuïteit en -respons en herstelplannen uit te breiden om rekening te houden met de scenario’s voor de overschakeling tussen primaire ICT-infrastructuur en de reservefaciliteiten; noch om bevoegde autoriteiten die hierom verzoeken een raming te verstrekken van de geaggregeerde jaarlijkse kosten en verliezen als gevolg van ernstige ICT-gerelateerde incidenten, noch om overbodige ICT-capaciteiten in stand te houden; noch om de nationale bevoegde autoriteiten in kennis te stellen van wijzigingen op basis van evaluaties naar aanleiding van ICT-gerelateerde incidenten; noch om voortdurend toezicht te houden op relevante technologische ontwikkelingen, noch om als integraal onderdeel van het kader voor ICT-risicobeheer waarin deze verordening voorziet een alomvattend programma voor het testen van digitale operationele weerbaarheid op te zetten, of om een strategie inzake ICT-risico’s van derden vast te stellen en regelmatig te evalueren. Daarnaast moet van micro-ondernemingen uitsluitend worden gevraagd op basis van hun risicoprofiel na te gaan of dergelijke overbodige ICT-capaciteiten behouden moeten worden. Voor micro-ondernemingen moet een flexibelere regeling worden ontworpen wat programma’s voor het testen van digitale operationele weerbaarheid betreft. Bij het bepalen van het type uit te voeren tests en de frequentie van die tests, moeten zij een goede afweging maken tussen de doelstelling een hoge digitale operationele weerbaarheid te handhaven, de beschikbare middelen en hun algehele risicoprofiel. Micro-ondernemingen en financiële entiteiten die onder het vereenvoudigde kader voor ICT-risicobeheer uit hoofde van deze verordening vallen, moeten worden vrijgesteld van de verplichting om ICT-instrumenten, -systemen en -processen aan geavanceerde tests op basis van dreigingsgestuurde penetratietests (threat led penetration testing — TLPT) te onderwerpen, aangezien alleen financiële entiteiten die de criteria van deze verordening vervullen verplicht moeten worden dergelijke tests uit te voeren. Gezien hun beperkte mogelijkheden moeten micro-ondernemingen met hun derde aanbieder van ICT-diensten kunnen overeenkomen de rechten van toegang, inspectie en audit van de financiële entiteit te delegeren aan een door de derde aanbieder aan te wijzen onafhankelijke derde partij, op voorwaarde dat de financiële entiteit te allen tijde alle relevante informatie en zekerheid met betrekking tot de prestaties van de derde aanbieder van ICT-diensten bij de respectieve onafhankelijke derde partij kan opvragen. |
| --- | --- |

(43)

Evenzo mogen financiële entiteiten die als micro-ondernemingen worden aangemerkt of onder het vereenvoudigde kader voor ICT-risicobeheer in het kader van deze verordening vallen, niet worden verplicht om een functie in te stellen voor het toezicht op hun regelingen met derde aanbieders van ICT-diensten inzake het gebruik van ICT-diensten, of om een lid van het hoger management aan te wijzen dat verantwoordelijk is voor het toezicht op de desbetreffende risicoblootstelling en relevante documentatie; noch om de verantwoordelijkheid voor het beheer van en het toezicht op het ICT-risico aan een controlefunctie toe te wijzen en te zorgen voor passende onafhankelijkheid van die controlefunctie ter voorkoming van belangenconflicten; noch om het kader voor ICT-risicobeheer ten minste eenmaal per jaar te documenteren en te evalueren; noch om het kader voor ICT-risicobeheer regelmatig aan een interne audit te onderwerpen; noch om diepgaande analyses uit te voeren na grote veranderingen in hun infrastructuur en processen voor netwerk- en informatiesystemen; noch om regelmatig risicoanalyses uit te voeren voor legacy-ICT-systemen; noch om de uitvoering van de ICT-respons- en herstelplannen aan een onafhankelijke interne audit te onderwerpen; noch om over een crisisbeheersfunctie te beschikken, noch om de tests van bedrijfscontinuïteit en -respons en herstelplannen uit te breiden om rekening te houden met de scenario’s voor de overschakeling tussen primaire ICT-infrastructuur en de reservefaciliteiten; noch om bevoegde autoriteiten die hierom verzoeken een raming te verstrekken van de geaggregeerde jaarlijkse kosten en verliezen als gevolg van ernstige ICT-gerelateerde incidenten, noch om overbodige ICT-capaciteiten in stand te houden; noch om de nationale bevoegde autoriteiten in kennis te stellen van wijzigingen op basis van evaluaties naar aanleiding van ICT-gerelateerde incidenten; noch om voortdurend toezicht te houden op relevante technologische ontwikkelingen, noch om als integraal onderdeel van het kader voor ICT-risicobeheer waarin deze verordening voorziet een alomvattend programma voor het testen van digitale operationele weerbaarheid op te zetten, of om een strategie inzake ICT-risico’s van derden vast te stellen en regelmatig te evalueren. Daarnaast moet van micro-ondernemingen uitsluitend worden gevraagd op basis van hun risicoprofiel na te gaan of dergelijke overbodige ICT-capaciteiten behouden moeten worden. Voor micro-ondernemingen moet een flexibelere regeling worden ontworpen wat programma’s voor het testen van digitale operationele weerbaarheid betreft. Bij het bepalen van het type uit te voeren tests en de frequentie van die tests, moeten zij een goede afweging maken tussen de doelstelling een hoge digitale operationele weerbaarheid te handhaven, de beschikbare middelen en hun algehele risicoprofiel. Micro-ondernemingen en financiële entiteiten die onder het vereenvoudigde kader voor ICT-risicobeheer uit hoofde van deze verordening vallen, moeten worden vrijgesteld van de verplichting om ICT-instrumenten, -systemen en -processen aan geavanceerde tests op basis van dreigingsgestuurde penetratietests (threat led penetration testing — TLPT) te onderwerpen, aangezien alleen financiële entiteiten die de criteria van deze verordening vervullen verplicht moeten worden dergelijke tests uit te voeren. Gezien hun beperkte mogelijkheden moeten micro-ondernemingen met hun derde aanbieder van ICT-diensten kunnen overeenkomen de rechten van toegang, inspectie en audit van de financiële entiteit te delegeren aan een door de derde aanbieder aan te wijzen onafhankelijke derde partij, op voorwaarde dat de financiële entiteit te allen tijde alle relevante informatie en zekerheid met betrekking tot de prestaties van de derde aanbieder van ICT-diensten bij de respectieve onafhankelijke derde partij kan opvragen.

| (44) | Aangezien alleen die financiële entiteiten die worden aangemerkt voor geavanceerde tests op digitale weerbaarheid verplicht moeten zijn om dreigingsgestuurde penetratietests uit te voeren, moeten de administratieve processen en de financiële kosten die de uitvoering van dergelijke tests meebrengt, gedragen worden door een klein percentage van de financiële entiteiten. |
| --- | --- |

(44)

Aangezien alleen die financiële entiteiten die worden aangemerkt voor geavanceerde tests op digitale weerbaarheid verplicht moeten zijn om dreigingsgestuurde penetratietests uit te voeren, moeten de administratieve processen en de financiële kosten die de uitvoering van dergelijke tests meebrengt, gedragen worden door een klein percentage van de financiële entiteiten.

| (45) | Om te zorgen voor volledige afstemming en algehele samenhang tussen de bedrijfsstrategieën van financiële entiteiten enerzijds en de uitvoering van ICT-risicobeheer anderzijds, moeten de leidinggevende organen van de financiële entiteit worden verplicht een centrale en actieve rol te blijven spelen bij het sturen en aanpassen van het kader voor ICT-risicobeheer en de algemene strategie voor digitale operationele weerbaarheid. De door de leidinggevende organen te volgen aanpak moet niet alleen gericht zijn op middelen ter waarborging van de weerbaarheid van de ICT-systemen, maar ook op personen en processen. Daarvoor dient een reeks beleidsmaatregelen die alle niveaus van de organisatie en bij alle personeelsleden een sterk bewustzijn van cyberrisico’s bevorderen en de wil ondersteunen om op alle niveaus een strikte cyberhygiëne in acht te nemen. Een overkoepelend beginsel van die alomvattende aanpak moet zijn dat het leidinggevend orgaan de uiteindelijke verantwoordelijkheid draagt voor het beheer van het ICT-risico van een financiële entiteit, vertaald in een voortdurende betrokkenheid van het leidinggevend orgaan bij de controle van de monitoring van het ICT-risicobeheer. |
| --- | --- |

(45)

Om te zorgen voor volledige afstemming en algehele samenhang tussen de bedrijfsstrategieën van financiële entiteiten enerzijds en de uitvoering van ICT-risicobeheer anderzijds, moeten de leidinggevende organen van de financiële entiteit worden verplicht een centrale en actieve rol te blijven spelen bij het sturen en aanpassen van het kader voor ICT-risicobeheer en de algemene strategie voor digitale operationele weerbaarheid. De door de leidinggevende organen te volgen aanpak moet niet alleen gericht zijn op middelen ter waarborging van de weerbaarheid van de ICT-systemen, maar ook op personen en processen. Daarvoor dient een reeks beleidsmaatregelen die alle niveaus van de organisatie en bij alle personeelsleden een sterk bewustzijn van cyberrisico’s bevorderen en de wil ondersteunen om op alle niveaus een strikte cyberhygiëne in acht te nemen. Een overkoepelend beginsel van die alomvattende aanpak moet zijn dat het leidinggevend orgaan de uiteindelijke verantwoordelijkheid draagt voor het beheer van het ICT-risico van een financiële entiteit, vertaald in een voortdurende betrokkenheid van het leidinggevend orgaan bij de controle van de monitoring van het ICT-risicobeheer.

| (46) | Het beginsel dat het leidinggevend orgaan de volledige en uiteindelijke verantwoordelijkheid draagt voor het beheer van het ICT-risico van de financiële entiteit, betekent bovendien dat moet worden gezorgd voor voldoende ICT-gerelateerde investeringen en een budget waarmee de financiële entiteit grote digitale operationele weerbaarheid kan verwezenlijken. |
| --- | --- |

(46)

Het beginsel dat het leidinggevend orgaan de volledige en uiteindelijke verantwoordelijkheid draagt voor het beheer van het ICT-risico van de financiële entiteit, betekent bovendien dat moet worden gezorgd voor voldoende ICT-gerelateerde investeringen en een budget waarmee de financiële entiteit grote digitale operationele weerbaarheid kan verwezenlijken.

| (47) | Deze verordening, die geïnspireerd is op relevante internationale, nationale en sectorale beste praktijken, normen, richtsnoeren, aanbevelingen en benaderingen ten aanzien van het beheer van het cyberrisico, bevordert een reeks beginselen die de algemene structurering van het ICT-risicobeheer ondersteunen. Dat betekent dat zolang de belangrijkste door financiële entiteiten gecreëerde capaciteiten de uiteenlopende functies in het ICT-risicobeheer (identificatie, bescherming en voorkoming, detectie, respons en herstel, scholing en ontwikkeling en communicatie) ten goede komen, het de financiële entiteiten vrij zou moeten staan om anders opgezette of gecategoriseerde modellen voor ICT-risicobeheer te gebruiken. |
| --- | --- |

(47)

Deze verordening, die geïnspireerd is op relevante internationale, nationale en sectorale beste praktijken, normen, richtsnoeren, aanbevelingen en benaderingen ten aanzien van het beheer van het cyberrisico, bevordert een reeks beginselen die de algemene structurering van het ICT-risicobeheer ondersteunen. Dat betekent dat zolang de belangrijkste door financiële entiteiten gecreëerde capaciteiten de uiteenlopende functies in het ICT-risicobeheer (identificatie, bescherming en voorkoming, detectie, respons en herstel, scholing en ontwikkeling en communicatie) ten goede komen, het de financiële entiteiten vrij zou moeten staan om anders opgezette of gecategoriseerde modellen voor ICT-risicobeheer te gebruiken.

| (48) | Om gelijke tred te houden met ontwikkelingen in het cyberdreigingslandschap, moeten financiële entiteiten geactualiseerde ICT-systemen in stand houden die betrouwbaar zijn en niet alleen de gegevensverwerking kunnen garanderen die nodig is voor hun dienstverlening, maar die ook voor voldoende technologische weerbaarheid zorgen, opdat zij adequaat kunnen inspelen op extra verwerkingsbehoeften als gevolg van gespannen marktomstandigheden of andere ongunstige situaties. |
| --- | --- |

(48)

Om gelijke tred te houden met ontwikkelingen in het cyberdreigingslandschap, moeten financiële entiteiten geactualiseerde ICT-systemen in stand houden die betrouwbaar zijn en niet alleen de gegevensverwerking kunnen garanderen die nodig is voor hun dienstverlening, maar die ook voor voldoende technologische weerbaarheid zorgen, opdat zij adequaat kunnen inspelen op extra verwerkingsbehoeften als gevolg van gespannen marktomstandigheden of andere ongunstige situaties.

| (49) | Er zijn efficiënte bedrijfscontinuïteits- en herstelplannen nodig om financiële entiteiten in staat te stellen ICT-gerelateerde incidenten snel op te lossen, met name cyberaanvallen, door overeenkomstig hun backupbeleid de schade te beperken en prioriteit te geven aan de hervatting van activiteiten en aan herstelmaatregelen. Een dergelijke hervatting mag echter op geen enkele wijze ten koste gaan van de integriteit en veiligheid van de netwerk- en informatiesystemen of de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens. |
| --- | --- |

(49)

Er zijn efficiënte bedrijfscontinuïteits- en herstelplannen nodig om financiële entiteiten in staat te stellen ICT-gerelateerde incidenten snel op te lossen, met name cyberaanvallen, door overeenkomstig hun backupbeleid de schade te beperken en prioriteit te geven aan de hervatting van activiteiten en aan herstelmaatregelen. Een dergelijke hervatting mag echter op geen enkele wijze ten koste gaan van de integriteit en veiligheid van de netwerk- en informatiesystemen of de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens.

| (50) | Hoewel deze verordening financiële entiteiten toestaat op flexibele wijze hun eigen hersteltijd- en herstelpuntdoelstellingen vast te stellen en daarbij derhalve ten volle rekening te houden met de aard en het kritieke karakter van de betrokken functies en met eventuele specifieke bedrijfsbehoeften, moeten zij bij deze verordening verplicht worden om bij het vaststellen van dergelijke doelstellingen toch ook het mogelijke algemene effect op de marktefficiëntie te evalueren. |
| --- | --- |

(50)

Hoewel deze verordening financiële entiteiten toestaat op flexibele wijze hun eigen hersteltijd- en herstelpuntdoelstellingen vast te stellen en daarbij derhalve ten volle rekening te houden met de aard en het kritieke karakter van de betrokken functies en met eventuele specifieke bedrijfsbehoeften, moeten zij bij deze verordening verplicht worden om bij het vaststellen van dergelijke doelstellingen toch ook het mogelijke algemene effect op de marktefficiëntie te evalueren.

| (51) | Daders van cyberaanvallen zijn doorgaans op zoek naar financieel gewin rechtstreeks aan de bron, met alle verregaande gevolgen voor financiële entiteiten van dien. Om te voorkomen dat ICT-systemen aan integriteit inboeten of onbeschikbaar worden, en dus om inbreuken op gegevens en schade aan fysieke ICT-infrastructuur te voorkomen, moet de rapportage van ernstige ICT-gerelateerde incidenten door financiële entiteiten aanzienlijk worden verbeterd en gestroomlijnd. De rapportage van ICT-gerelateerde incidenten moet worden geharmoniseerd door alle financiële entiteiten te verplichten rechtstreeks aan hun desbetreffende bevoegde autoriteiten te rapporteren. Staat een financiële entiteit onder toezicht van meer dan één nationale bevoegde autoriteit, dan bepaalt de lidstaat aan welke ene daarvan de rapportage gericht moet worden. Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 van de Raad (19) als significant zijn geclassificeerd, moeten deze rapportage indienen bij de nationale bevoegde autoriteiten, die het verslag vervolgens aan de Europese Centrale Bank (ECB) toezenden. |
| --- | --- |

(51)

Daders van cyberaanvallen zijn doorgaans op zoek naar financieel gewin rechtstreeks aan de bron, met alle verregaande gevolgen voor financiële entiteiten van dien. Om te voorkomen dat ICT-systemen aan integriteit inboeten of onbeschikbaar worden, en dus om inbreuken op gegevens en schade aan fysieke ICT-infrastructuur te voorkomen, moet de rapportage van ernstige ICT-gerelateerde incidenten door financiële entiteiten aanzienlijk worden verbeterd en gestroomlijnd. De rapportage van ICT-gerelateerde incidenten moet worden geharmoniseerd door alle financiële entiteiten te verplichten rechtstreeks aan hun desbetreffende bevoegde autoriteiten te rapporteren. Staat een financiële entiteit onder toezicht van meer dan één nationale bevoegde autoriteit, dan bepaalt de lidstaat aan welke ene daarvan de rapportage gericht moet worden. Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 van de Raad (19) als significant zijn geclassificeerd, moeten deze rapportage indienen bij de nationale bevoegde autoriteiten, die het verslag vervolgens aan de Europese Centrale Bank (ECB) toezenden.

| (52) | De rechtstreekse rapportage moet het financiële toezichthouders mogelijk maken zich onmiddellijke toegang tot informatie over ernstige ICT-gerelateerde incidenten te verschaffen. Financiële toezichthouders moeten op hun beurt bijzonderheden over ernstige ICT-gerelateerde incidenten doorgeven aan publieke niet-financiële autoriteiten (bijvoorbeeld bevoegde autoriteiten en centrale contactpunten uit hoofde van Richtlijn (EU) 2022/2555, nationale gegevensbeschermingsautoriteiten en rechtshandhavingsautoriteiten voor ernstige ICT-gerelateerde incidenten van criminele aard), teneinde die autoriteiten bewuster van dergelijke incidenten te maken en, wat CSIRT’s betreft, om in voorkomend geval snelle bijstand aan financiële entiteiten te faciliteren. Voorts moeten de lidstaten financiële entiteiten kunnen verplichten dergelijke informatie zelf aan overheidsinstanties buiten het financiëledienstengebied te verstrekken. Dankzij die informatiestromen moeten financiële entiteiten snel hun voordeel kunnen doen met relevante technische input, advies over corrigerende maatregelen en daaropvolgende follow-up door deze overheidsinstanties. De informatie over ernstige ICT-gerelateerde incidenten moet onderling worden gedeeld: de financiële toezichthouders moeten de financiële entiteit alle nodige feedback of richtsnoeren geven, en de ETA’s moeten geanonimiseerde gegevens over cyberdreigingen en -kwetsbaarheden in verband met een incident delen, dit alles met het oog op een bredere collectieve verdediging. |
| --- | --- |

(52)

De rechtstreekse rapportage moet het financiële toezichthouders mogelijk maken zich onmiddellijke toegang tot informatie over ernstige ICT-gerelateerde incidenten te verschaffen. Financiële toezichthouders moeten op hun beurt bijzonderheden over ernstige ICT-gerelateerde incidenten doorgeven aan publieke niet-financiële autoriteiten (bijvoorbeeld bevoegde autoriteiten en centrale contactpunten uit hoofde van Richtlijn (EU) 2022/2555, nationale gegevensbeschermingsautoriteiten en rechtshandhavingsautoriteiten voor ernstige ICT-gerelateerde incidenten van criminele aard), teneinde die autoriteiten bewuster van dergelijke incidenten te maken en, wat CSIRT’s betreft, om in voorkomend geval snelle bijstand aan financiële entiteiten te faciliteren. Voorts moeten de lidstaten financiële entiteiten kunnen verplichten dergelijke informatie zelf aan overheidsinstanties buiten het financiëledienstengebied te verstrekken. Dankzij die informatiestromen moeten financiële entiteiten snel hun voordeel kunnen doen met relevante technische input, advies over corrigerende maatregelen en daaropvolgende follow-up door deze overheidsinstanties. De informatie over ernstige ICT-gerelateerde incidenten moet onderling worden gedeeld: de financiële toezichthouders moeten de financiële entiteit alle nodige feedback of richtsnoeren geven, en de ETA’s moeten geanonimiseerde gegevens over cyberdreigingen en -kwetsbaarheden in verband met een incident delen, dit alles met het oog op een bredere collectieve verdediging.

| (53) | Hoewel van alle financiële entiteiten moet worden vereist dat zij incidenten melden, wordt niet verwacht dat dit vereiste hen alle op dezelfde wijze treft. Relevante materialiteitsdrempels en rapportagetermijnen moeten immers naar behoren worden aangepast in het kader van gedelegeerde handelingen die gebaseerd zijn op de door de ETA’s te ontwikkelen technische reguleringsnormen, zodat alleen ernstige ICT-incidenten worden bestreken. Bovendien moet bij het vastleggen van termijnen voor rapportageverplichtingen rekening worden gehouden met de specifieke kenmerken van financiële entiteiten. |
| --- | --- |

(53)

Hoewel van alle financiële entiteiten moet worden vereist dat zij incidenten melden, wordt niet verwacht dat dit vereiste hen alle op dezelfde wijze treft. Relevante materialiteitsdrempels en rapportagetermijnen moeten immers naar behoren worden aangepast in het kader van gedelegeerde handelingen die gebaseerd zijn op de door de ETA’s te ontwikkelen technische reguleringsnormen, zodat alleen ernstige ICT-incidenten worden bestreken. Bovendien moet bij het vastleggen van termijnen voor rapportageverplichtingen rekening worden gehouden met de specifieke kenmerken van financiële entiteiten.

| (54) | Deze verordening moet kredietinstellingen, betalingsinstellingen, dienstverleners van rekeninginformatie en instellingen voor elektronisch geld verplichten, alle betalingsgerelateerde operationele of beveiligingsincidenten — die voorheen werden gemeld uit hoofde van Richtlijn (EU) 2015/2366 — te rapporteren, ongeacht de ICT-aard van het incident. |
| --- | --- |

(54)

Deze verordening moet kredietinstellingen, betalingsinstellingen, dienstverleners van rekeninginformatie en instellingen voor elektronisch geld verplichten, alle betalingsgerelateerde operationele of beveiligingsincidenten — die voorheen werden gemeld uit hoofde van Richtlijn (EU) 2015/2366 — te rapporteren, ongeacht de ICT-aard van het incident.

| (55) | De ETA’s moeten worden belast met het beoordelen van de haalbaarheid van en de voorwaarden voor een mogelijke centralisatie van rapporten over ICT-incidenten op Unieniveau. Een dergelijke centralisatie zou kunnen bestaan uit één EU-hub voor de melding van ernstige ICT-incidenten; deze ontvangt ofwel rechtstreeks rapporten en stelt de nationale bevoegde autoriteiten daarvan automatisch in kennis, ofwel ontvangt de hub slechts de relevante rapporten die hem door de nationale autoriteiten worden toegezonden, bewaart hij deze centraal en heeft hij zodoende een coördinerende rol. De ETA’s moeten belast worden met de opstelling, in overleg met de ECB en Enisa, van een gezamenlijk verslag waarin wordt nagegaan of het haalbaar is één EU-hub op te richten. |
| --- | --- |

(55)

De ETA’s moeten worden belast met het beoordelen van de haalbaarheid van en de voorwaarden voor een mogelijke centralisatie van rapporten over ICT-incidenten op Unieniveau. Een dergelijke centralisatie zou kunnen bestaan uit één EU-hub voor de melding van ernstige ICT-incidenten; deze ontvangt ofwel rechtstreeks rapporten en stelt de nationale bevoegde autoriteiten daarvan automatisch in kennis, ofwel ontvangt de hub slechts de relevante rapporten die hem door de nationale autoriteiten worden toegezonden, bewaart hij deze centraal en heeft hij zodoende een coördinerende rol. De ETA’s moeten belast worden met de opstelling, in overleg met de ECB en Enisa, van een gezamenlijk verslag waarin wordt nagegaan of het haalbaar is één EU-hub op te richten.

| (56) | Om een hoog niveau van digitale operationele weerbaarheid te bereiken, en in overeenstemming met zowel de relevante internationale normen (bv. de fundamentele elementen van de G-7 voor dreigingsgestuurde penetratietests) als de in de Unie gebruikte kaders zoals Tiber-EU, moeten financiële entiteiten hun ICT-systemen en hun personeel dat ICT-taken heeft, regelmatig testen op de effectiviteit van hun preventie-, detectie-, respons- en herstelcapaciteiten, om zo potentiële ICT-kwetsbaarheden aan het licht te brengen en te verhelpen. Gelet op de verschillende niveaus van cyberbeveiligingsparaatheid die tussen en binnen de verschillende financiële subsectoren van financiële entiteiten bestaan, moeten de tests verschillende instrumenten en acties omvatten, variërend van de beoordeling van basisvereisten (bv. kwetsbaarheidsbeoordelingen en -scans, open-sourceanalyses, beoordelingen van netwerkbeveiliging, kloofanalyses, fysieke beveiligingsonderzoeken, vragenlijsten, oplossingen voor scanningsoftware, beoordelingen van broncodes indien mogelijk, op scenario’s gebaseerde tests, compatibiliteitstests, prestatietests en end-to-endtests) tot geavanceerdere tests door middel van dreigingsgestuurde penetratietests. Zulke geavanceerde tests zouden alleen vereist moeten zijn voor financiële entiteiten die in ICT-opzicht voldoende ontwikkeld zijn om deze tests redelijkerwijs uit te kunnen voeren. Het testen van de digitale operationele weerbaarheid dat uit hoofde van deze verordening vereist is, moet dus strenger zijn voor die financiële entiteiten die de criteria van deze verordening vervullen (bijvoorbeeld grote, systemische en in ICT-opzicht ontwikkelde kredietinstellingen, effectenbeurzen, centrale effectenbewaarinstellingen en centrale tegenpartijen) dan voor andere financiële entiteiten. Het testen van digitale operationele weerbaarheid door middel van dreigingsgestuurde penetratietests moet worden toegespitst op financiële entiteiten die actief zijn in subsectoren van de belangrijkste financiële diensten en die een systemische rol hebben (bijvoorbeeld betalingen, bankieren, en clearing en afwikkeling) en minder van toepassing zijn op andere subsectoren (bijvoorbeeld vermogensbeheerders en kredietbeoordelaars). |
| --- | --- |

(56)

Om een hoog niveau van digitale operationele weerbaarheid te bereiken, en in overeenstemming met zowel de relevante internationale normen (bv. de fundamentele elementen van de G-7 voor dreigingsgestuurde penetratietests) als de in de Unie gebruikte kaders zoals Tiber-EU, moeten financiële entiteiten hun ICT-systemen en hun personeel dat ICT-taken heeft, regelmatig testen op de effectiviteit van hun preventie-, detectie-, respons- en herstelcapaciteiten, om zo potentiële ICT-kwetsbaarheden aan het licht te brengen en te verhelpen. Gelet op de verschillende niveaus van cyberbeveiligingsparaatheid die tussen en binnen de verschillende financiële subsectoren van financiële entiteiten bestaan, moeten de tests verschillende instrumenten en acties omvatten, variërend van de beoordeling van basisvereisten (bv. kwetsbaarheidsbeoordelingen en -scans, open-sourceanalyses, beoordelingen van netwerkbeveiliging, kloofanalyses, fysieke beveiligingsonderzoeken, vragenlijsten, oplossingen voor scanningsoftware, beoordelingen van broncodes indien mogelijk, op scenario’s gebaseerde tests, compatibiliteitstests, prestatietests en end-to-endtests) tot geavanceerdere tests door middel van dreigingsgestuurde penetratietests. Zulke geavanceerde tests zouden alleen vereist moeten zijn voor financiële entiteiten die in ICT-opzicht voldoende ontwikkeld zijn om deze tests redelijkerwijs uit te kunnen voeren. Het testen van de digitale operationele weerbaarheid dat uit hoofde van deze verordening vereist is, moet dus strenger zijn voor die financiële entiteiten die de criteria van deze verordening vervullen (bijvoorbeeld grote, systemische en in ICT-opzicht ontwikkelde kredietinstellingen, effectenbeurzen, centrale effectenbewaarinstellingen en centrale tegenpartijen) dan voor andere financiële entiteiten. Het testen van digitale operationele weerbaarheid door middel van dreigingsgestuurde penetratietests moet worden toegespitst op financiële entiteiten die actief zijn in subsectoren van de belangrijkste financiële diensten en die een systemische rol hebben (bijvoorbeeld betalingen, bankieren, en clearing en afwikkeling) en minder van toepassing zijn op andere subsectoren (bijvoorbeeld vermogensbeheerders en kredietbeoordelaars).

| (57) | Financiële entiteiten die werkzaam zijn in activiteiten over de grenzen heen en gebruikmaken van de vrijheid van vestiging of dienstverrichting binnen de Unie, moeten in hun lidstaat van herkomst voldoen aan één reeks geavanceerde testvereisten (d.w.z. dreigingsgestuurde penetratietests). Deze tests moeten uitgevoerd worden in de ICT-infrastructuur in alle rechtsgebieden waar de grensoverschrijdende financiële groep binnen de Unie actief is. Dit moet ervoor zorgen dat deze groepen in slechts één rechtsgebied ICT-testkosten hoeven te maken. |
| --- | --- |

(57)

Financiële entiteiten die werkzaam zijn in activiteiten over de grenzen heen en gebruikmaken van de vrijheid van vestiging of dienstverrichting binnen de Unie, moeten in hun lidstaat van herkomst voldoen aan één reeks geavanceerde testvereisten (d.w.z. dreigingsgestuurde penetratietests). Deze tests moeten uitgevoerd worden in de ICT-infrastructuur in alle rechtsgebieden waar de grensoverschrijdende financiële groep binnen de Unie actief is. Dit moet ervoor zorgen dat deze groepen in slechts één rechtsgebied ICT-testkosten hoeven te maken.

| (58) | Om gebruik te maken van de deskundigheid die sommige instanties reeds in huis hebben — met name in de uitvoering van het Tiber-EU-kader — moet deze verordening de lidstaten de mogelijkheid bieden één overheidsinstantie aan te wijzen als nationaal verantwoordelijke dienst voor alle dreigingsgestuurde penetratietests in de financiële sector, dan wel verschillende instanties die, indien er niet één enkele overheidsinstantie wordt aangewezen, de uitoefening van de met dreigingsgestuurde penetratietests verband houdende taken delegeren aan een andere bevoegde nationale financiële autoriteit. |
| --- | --- |

(58)

Om gebruik te maken van de deskundigheid die sommige instanties reeds in huis hebben — met name in de uitvoering van het Tiber-EU-kader — moet deze verordening de lidstaten de mogelijkheid bieden één overheidsinstantie aan te wijzen als nationaal verantwoordelijke dienst voor alle dreigingsgestuurde penetratietests in de financiële sector, dan wel verschillende instanties die, indien er niet één enkele overheidsinstantie wordt aangewezen, de uitoefening van de met dreigingsgestuurde penetratietests verband houdende taken delegeren aan een andere bevoegde nationale financiële autoriteit.

| (59) | Aangezien deze verordening niet vereist dat financiële entiteiten alle kritieke of belangrijke functies in één enkele dreigingsgestuurde penetratietest dekken, moeten financiële entiteiten vrijelijk kunnen bepalen welke en hoeveel kritieke of belangrijke functies in een dergelijke test worden opgenomen. |
| --- | --- |

(59)

Aangezien deze verordening niet vereist dat financiële entiteiten alle kritieke of belangrijke functies in één enkele dreigingsgestuurde penetratietest dekken, moeten financiële entiteiten vrijelijk kunnen bepalen welke en hoeveel kritieke of belangrijke functies in een dergelijke test worden opgenomen.

| (60) | Gebundeld testen in de zin van deze Verordening (dat wil zeggen: verschillende financiële entiteiten nemen deel aan een dreigingsgestuurde penetratietest, en een derde aanbieder van ICT-diensten kan rechtstreeks contractuele overeenkomsten treffen met een externe tester) mag alleen worden toegestaan indien redelijkerwijs kan worden verwacht dat de kwaliteit of de beveiliging van de diensten die door de derde aanbieder van ICT-diensten worden geleverd aan klanten die buiten het toepassingsgebied van deze verordening vallende entiteiten zijn, of de vertrouwelijkheid van de gegevens met betrekking tot dergelijke diensten, negatief worden beïnvloed. Gebundeld testen moet ook onderworpen zijn aan waarborgen (leiding in handen van één aangewezen financiële entiteit, ijking van het aantal deelnemende financiële entiteiten) om zo voor de betrokken financiële entiteiten een rigoureuze testoefening te garanderen die voldoet aan de doelstellingen van de dreigingsgestuurde penetratie uit hoofde van deze verordening. |
| --- | --- |

(60)

Gebundeld testen in de zin van deze Verordening (dat wil zeggen: verschillende financiële entiteiten nemen deel aan een dreigingsgestuurde penetratietest, en een derde aanbieder van ICT-diensten kan rechtstreeks contractuele overeenkomsten treffen met een externe tester) mag alleen worden toegestaan indien redelijkerwijs kan worden verwacht dat de kwaliteit of de beveiliging van de diensten die door de derde aanbieder van ICT-diensten worden geleverd aan klanten die buiten het toepassingsgebied van deze verordening vallende entiteiten zijn, of de vertrouwelijkheid van de gegevens met betrekking tot dergelijke diensten, negatief worden beïnvloed. Gebundeld testen moet ook onderworpen zijn aan waarborgen (leiding in handen van één aangewezen financiële entiteit, ijking van het aantal deelnemende financiële entiteiten) om zo voor de betrokken financiële entiteiten een rigoureuze testoefening te garanderen die voldoet aan de doelstellingen van de dreigingsgestuurde penetratie uit hoofde van deze verordening.

| (61) | Om te kunnen gebruikmaken van interne middelen op bedrijfsniveau moet deze verordening het gebruik van interne testers voor een dreigingsgestuurde penetratie toestaan, op voorwaarde dat er toestemming van de toezichthouder is, er geen belangenconflicten zijn, en het gebruik van interne testers periodiek (dat wil zeggen: ten minste om de drie tests) wordt afgewisseld met het gebruik van externe testers; daarbij moet ook worden geëist dat de verstrekker van de inlichtingen over dreigingen in de dreigingsgestuurde penetratie altijd extern is ten opzichte van de geteste financiële entiteit. De verantwoordelijkheid voor de uitvoering van dreigingsgestuurde penetraties moet volledig bij de financiële entiteit blijven berusten. Attesten die door de autoriteiten worden verstrekt, mogen uitsluitend wederzijdse erkenning tot doel hebben en niet in de weg staan van eventuele vervolgmaatregelen die nodig zijn om het ICT-risico te verhelpen waaraan de financiële entiteit is blootgesteld. Dergelijke attesten mogen ook niet worden beschouwd als een goedkeuring door de toezichthouder van het vermogen van een financiële entiteit ICT-risico’s te beheersen en te beperken. |
| --- | --- |

(61)

Om te kunnen gebruikmaken van interne middelen op bedrijfsniveau moet deze verordening het gebruik van interne testers voor een dreigingsgestuurde penetratie toestaan, op voorwaarde dat er toestemming van de toezichthouder is, er geen belangenconflicten zijn, en het gebruik van interne testers periodiek (dat wil zeggen: ten minste om de drie tests) wordt afgewisseld met het gebruik van externe testers; daarbij moet ook worden geëist dat de verstrekker van de inlichtingen over dreigingen in de dreigingsgestuurde penetratie altijd extern is ten opzichte van de geteste financiële entiteit. De verantwoordelijkheid voor de uitvoering van dreigingsgestuurde penetraties moet volledig bij de financiële entiteit blijven berusten. Attesten die door de autoriteiten worden verstrekt, mogen uitsluitend wederzijdse erkenning tot doel hebben en niet in de weg staan van eventuele vervolgmaatregelen die nodig zijn om het ICT-risico te verhelpen waaraan de financiële entiteit is blootgesteld. Dergelijke attesten mogen ook niet worden beschouwd als een goedkeuring door de toezichthouder van het vermogen van een financiële entiteit ICT-risico’s te beheersen en te beperken.

| (62) | Voor een gedegen bewaking van het ICT-derdenrisico in de financiële sector moet een reeks op beginselen gebaseerde regels worden vastgelegd als leidraad voor financiële entiteiten bij de bewaking van risico’s die ontstaan in functies die zijn uitbesteed aan derde aanbieders van ICT-diensten. Dit geldt met name voor ICT-diensten die kritieke of belangrijke functies ondersteunen, alsmede meer in het algemeen voor alle vormen van afhankelijkheid van ICT-derden. |
| --- | --- |

(62)

Voor een gedegen bewaking van het ICT-derdenrisico in de financiële sector moet een reeks op beginselen gebaseerde regels worden vastgelegd als leidraad voor financiële entiteiten bij de bewaking van risico’s die ontstaan in functies die zijn uitbesteed aan derde aanbieders van ICT-diensten. Dit geldt met name voor ICT-diensten die kritieke of belangrijke functies ondersteunen, alsmede meer in het algemeen voor alle vormen van afhankelijkheid van ICT-derden.

| (63) | Gelet op de complexiteit van de verschillende bronnen van ICT-risico en de veelheid en diversiteit van verleners van technologische oplossingen die een soepele verlening van financiële diensten mogelijk maken, moet deze verordening dienovereenkomstig betrekking hebben op een veelheid van derde aanbieders van ICT-diensten, waaronder verleners van cloudcomputingdiensten, software, diensten voor data-analyse en verleners van datacentrumdiensten. Aangezien financiële entiteiten op effectieve en coherente wijze alle soorten risico’s moeten kennen en beheersen — ook bij ICT-diensten die binnen een financiële groep worden aanbesteed — moet het duidelijk zijn dat ook ondernemingen die deel uitmaken van een financiële groep en die hoofdzakelijk ICT-diensten verlenen aan hun moederonderneming, aan dochterondernemingen of aan bijkantoren van hun moederonderneming, alsmede financiële entiteiten die ICT-diensten verlenen aan andere financiële entiteiten, moeten worden beschouwd als derde aanbieders van ICT-diensten in de zin van deze verordening. Tot slot moeten, in het licht van de zich ontwikkelende markt voor betalingsdiensten die steeds afhankelijker worden van complexe technische oplossingen, en in het licht van opkomende betalingsdiensten en betalingsoplossingen, deelnemers in het geheel van betalingsdiensten die betalingsverwerkingsactiviteiten verrichten of betalingsinfrastructuren exploiteren, ook worden beschouwd als derde aanbieders van ICT-diensten in de zin van deze verordening; een uitzondering geldt voor centrale banken wanneer deze betalings- of effectenafwikkelingen verrichten, en overheidsinstanties wanneer deze ICT-diensten verlenen in het kader van de verrichting van overheidsfuncties. |
| --- | --- |

(63)

Gelet op de complexiteit van de verschillende bronnen van ICT-risico en de veelheid en diversiteit van verleners van technologische oplossingen die een soepele verlening van financiële diensten mogelijk maken, moet deze verordening dienovereenkomstig betrekking hebben op een veelheid van derde aanbieders van ICT-diensten, waaronder verleners van cloudcomputingdiensten, software, diensten voor data-analyse en verleners van datacentrumdiensten. Aangezien financiële entiteiten op effectieve en coherente wijze alle soorten risico’s moeten kennen en beheersen — ook bij ICT-diensten die binnen een financiële groep worden aanbesteed — moet het duidelijk zijn dat ook ondernemingen die deel uitmaken van een financiële groep en die hoofdzakelijk ICT-diensten verlenen aan hun moederonderneming, aan dochterondernemingen of aan bijkantoren van hun moederonderneming, alsmede financiële entiteiten die ICT-diensten verlenen aan andere financiële entiteiten, moeten worden beschouwd als derde aanbieders van ICT-diensten in de zin van deze verordening. Tot slot moeten, in het licht van de zich ontwikkelende markt voor betalingsdiensten die steeds afhankelijker worden van complexe technische oplossingen, en in het licht van opkomende betalingsdiensten en betalingsoplossingen, deelnemers in het geheel van betalingsdiensten die betalingsverwerkingsactiviteiten verrichten of betalingsinfrastructuren exploiteren, ook worden beschouwd als derde aanbieders van ICT-diensten in de zin van deze verordening; een uitzondering geldt voor centrale banken wanneer deze betalings- of effectenafwikkelingen verrichten, en overheidsinstanties wanneer deze ICT-diensten verlenen in het kader van de verrichting van overheidsfuncties.

| (64) | Een financiële entiteit moet te allen tijde volledig verantwoordelijk blijven voor de naleving van haar in deze verordening vervatte verplichtingen. Financiële entiteiten moeten een evenredige benadering hanteren van de monitoring van de risico’s die zich voordoen op het niveau van derde aanbieders van ICT-diensten, en wel door terdege te letten op de aard, de omvang, de complexiteit en het belang van hun ICT-afhankelijkheden, alsook op het kritieke karakter of het belang van de diensten, processen of functies die onder de contractuele overeenkomsten vallen. Tot slot dient de monitoring gebaseerd te zijn op een zorgvuldige beoordeling van de mogelijke impact op de continuïteit en de kwaliteit van de financiële diensten die zij verlenen aan individuen en groepen, naargelang het geval. |
| --- | --- |

(64)

Een financiële entiteit moet te allen tijde volledig verantwoordelijk blijven voor de naleving van haar in deze verordening vervatte verplichtingen. Financiële entiteiten moeten een evenredige benadering hanteren van de monitoring van de risico’s die zich voordoen op het niveau van derde aanbieders van ICT-diensten, en wel door terdege te letten op de aard, de omvang, de complexiteit en het belang van hun ICT-afhankelijkheden, alsook op het kritieke karakter of het belang van de diensten, processen of functies die onder de contractuele overeenkomsten vallen. Tot slot dient de monitoring gebaseerd te zijn op een zorgvuldige beoordeling van de mogelijke impact op de continuïteit en de kwaliteit van de financiële diensten die zij verlenen aan individuen en groepen, naargelang het geval.

| (65) | De monitoring moet een strategische benadering volgen van het ICT-risico dat bestaat wanneer derde dienstverleners in de arm worden genomen. Deze benadering moet geformaliseerd worden doordat het leidinggevend orgaan van de financiële entiteit een specifieke strategie voor het ICT-risico van derde dienstverleners heeft die is gebaseerd op een continue screening van alle ICT-afhankelijkheden van derden. Om ervoor te zorgen dat toezichthouders zich beter bewust zijn van de afhankelijkheden van ICT-derden en om de werkzaamheden in verband met het bij deze verordening ingestelde oversightkader verder te ondersteunen, moeten alle financiële entiteiten worden verplicht een register bij te houden met informatie over alle contractuele overeenkomsten inzake het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten worden geleverd. Financiële toezichthouders moeten het volledige register kunnen opvragen of om bepaalde delen daarvan kunnen verzoeken om zo essentiële informatie te kunnen verkrijgen waarmee zij een beter inzicht kunnen krijgen in de ICT-afhankelijkheden van financiële entiteiten. |
| --- | --- |

(65)

De monitoring moet een strategische benadering volgen van het ICT-risico dat bestaat wanneer derde dienstverleners in de arm worden genomen. Deze benadering moet geformaliseerd worden doordat het leidinggevend orgaan van de financiële entiteit een specifieke strategie voor het ICT-risico van derde dienstverleners heeft die is gebaseerd op een continue screening van alle ICT-afhankelijkheden van derden. Om ervoor te zorgen dat toezichthouders zich beter bewust zijn van de afhankelijkheden van ICT-derden en om de werkzaamheden in verband met het bij deze verordening ingestelde oversightkader verder te ondersteunen, moeten alle financiële entiteiten worden verplicht een register bij te houden met informatie over alle contractuele overeenkomsten inzake het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten worden geleverd. Financiële toezichthouders moeten het volledige register kunnen opvragen of om bepaalde delen daarvan kunnen verzoeken om zo essentiële informatie te kunnen verkrijgen waarmee zij een beter inzicht kunnen krijgen in de ICT-afhankelijkheden van financiële entiteiten.

| (66) | Een grondige analyse voorafgaand aan het sluiten van contracten moet de basis vormen voor en voorafgaan aan de formele sluiting van contractuele overeenkomsten. De analyse moet zich met name richten op elementen als het kritieke karakter en het belang van de diensten waarop het beoogde ICT-contract betrekking heeft, de nodige goedkeuringen door de toezichthouder, eventuele andere voorwaarden, en het mogelijke concentratierisico van de contracten. Ook moet aandacht worden geschonken aan zorgvuldigheidseisen bij de selectie en beoordeling van derde aanbieders van ICT-diensten en aan mogelijke belangenconflicten. Bij contractuele overeenkomsten die kritieke of belangrijke functies betreffen, moeten financiële entiteiten letten op het gebruik door derde aanbieders van ICT-diensten van de meest actuele en hoogste normen voor informatiebeveiliging. De beëindiging van contractuele overeenkomsten zou in ieder geval het gevolg kunnen zijn van een reeks omstandigheden waaruit tekortkomingen op het niveau van de derde aanbieder van ICT-diensten blijken; met name valt te denken aan ernstige inbreuken op wetten of contractuele voorwaarden, omstandigheden waaruit een mogelijke wijziging van de uitvoering van de in de contractuele overeenkomsten voorziene functies blijkt, aanwijzingen dat er zwakke punten zijn bij de derde aanbieder van ICT-diensten in diens algemene ICT-risicobeheer, of omstandigheden die erop wijzen dat de relevante bevoegde autoriteit niet in staat is daadwerkelijk toezicht uit te oefenen op de financiële entiteit. |
| --- | --- |

(66)

Een grondige analyse voorafgaand aan het sluiten van contracten moet de basis vormen voor en voorafgaan aan de formele sluiting van contractuele overeenkomsten. De analyse moet zich met name richten op elementen als het kritieke karakter en het belang van de diensten waarop het beoogde ICT-contract betrekking heeft, de nodige goedkeuringen door de toezichthouder, eventuele andere voorwaarden, en het mogelijke concentratierisico van de contracten. Ook moet aandacht worden geschonken aan zorgvuldigheidseisen bij de selectie en beoordeling van derde aanbieders van ICT-diensten en aan mogelijke belangenconflicten. Bij contractuele overeenkomsten die kritieke of belangrijke functies betreffen, moeten financiële entiteiten letten op het gebruik door derde aanbieders van ICT-diensten van de meest actuele en hoogste normen voor informatiebeveiliging. De beëindiging van contractuele overeenkomsten zou in ieder geval het gevolg kunnen zijn van een reeks omstandigheden waaruit tekortkomingen op het niveau van de derde aanbieder van ICT-diensten blijken; met name valt te denken aan ernstige inbreuken op wetten of contractuele voorwaarden, omstandigheden waaruit een mogelijke wijziging van de uitvoering van de in de contractuele overeenkomsten voorziene functies blijkt, aanwijzingen dat er zwakke punten zijn bij de derde aanbieder van ICT-diensten in diens algemene ICT-risicobeheer, of omstandigheden die erop wijzen dat de relevante bevoegde autoriteit niet in staat is daadwerkelijk toezicht uit te oefenen op de financiële entiteit.

| (67) | Om de systemische impact van het risico van concentratie van ICT-derden te beperken, wordt in deze verordening een evenwichtige aanpak bepleit door middel van een flexibele en geleidelijke aanpak van zulk concentratierisico. Het opleggen van onwrikbare risicoplafonds of strikte beperkingen zou immers de bedrijfsvoering kunnen belemmeren en de contractvrijheid kunnen beperken. Financiële entiteiten moeten de contractuele overeenkomsten die zij willen sluiten, grondig onderzoeken om na te gaan hoe groot de kans is dat een dergelijk risico zich zal voordoen, onder meer door overeenkomsten tot onderaanbesteding onder de loep te nemen, met name indien die worden gesloten met derde aanbieders van ICT-diensten die in een derde land zijn gevestigd. Ten behoeve van een billijk evenwicht tussen contractuele vrijheid en financiële stabiliteit wordt het op dit ogenblik niet wenselijk geacht te voorzien in regels betreffende strikte plafonds voor en beperkingen van ICT-blootstellingen aan derden. Een lead overseer die conform deze verordening wordt aangewezen, moet in het kader van het oversightkader bijzondere aandacht schenken aan kritieke derde aanbieders van ICT-diensten en dient een volledig beeld te krijgen van de omvang van onderlinge afhankelijkheden, specifieke gevallen aan het licht te brengen waarin een hoge mate van concentratie van kritieke derde aanbieders van ICT-diensten in de Unie waarschijnlijk de stabiliteit en integriteit van het financiële stelsel van de Unie onder druk zal zetten, en, wanneer zo’n specifiek risico wordt ontdekt, in dialoog treden met de betrokken kritieke derde aanbieders van ICT-diensten. |
| --- | --- |

(67)

Om de systemische impact van het risico van concentratie van ICT-derden te beperken, wordt in deze verordening een evenwichtige aanpak bepleit door middel van een flexibele en geleidelijke aanpak van zulk concentratierisico. Het opleggen van onwrikbare risicoplafonds of strikte beperkingen zou immers de bedrijfsvoering kunnen belemmeren en de contractvrijheid kunnen beperken. Financiële entiteiten moeten de contractuele overeenkomsten die zij willen sluiten, grondig onderzoeken om na te gaan hoe groot de kans is dat een dergelijk risico zich zal voordoen, onder meer door overeenkomsten tot onderaanbesteding onder de loep te nemen, met name indien die worden gesloten met derde aanbieders van ICT-diensten die in een derde land zijn gevestigd. Ten behoeve van een billijk evenwicht tussen contractuele vrijheid en financiële stabiliteit wordt het op dit ogenblik niet wenselijk geacht te voorzien in regels betreffende strikte plafonds voor en beperkingen van ICT-blootstellingen aan derden. Een lead overseer die conform deze verordening wordt aangewezen, moet in het kader van het oversightkader bijzondere aandacht schenken aan kritieke derde aanbieders van ICT-diensten en dient een volledig beeld te krijgen van de omvang van onderlinge afhankelijkheden, specifieke gevallen aan het licht te brengen waarin een hoge mate van concentratie van kritieke derde aanbieders van ICT-diensten in de Unie waarschijnlijk de stabiliteit en integriteit van het financiële stelsel van de Unie onder druk zal zetten, en, wanneer zo’n specifiek risico wordt ontdekt, in dialoog treden met de betrokken kritieke derde aanbieders van ICT-diensten.

| (68) | Om regelmatig het vermogen te evalueren en te monitoren van een derde aanbieder van ICT-diensten, veilig diensten aan een financiële entiteit te verlenen zonder nadelige gevolgen voor de digitale operationele weerbaarheid van een financiële entiteit, moeten een aantal belangrijke elementen in de contractuele overeenkomsten met derde aanbieders van ICT-diensten worden geharmoniseerd. Dergelijke harmonisatie moet minimumgebieden bestrijken die cruciaal zijn voor een volledige monitoring door de financiële entiteit van de risico’s die gepaard kunnen gaan met het in de arm nemen van derde aanbieders van ICT-diensten. Dit gelet op de noodzaak voor een financiële entiteit om haar digitale weerbaarheid veilig te stellen; een financiële entiteit is immers sterk afhankelijk van de stabiliteit, de functionaliteit, de beschikbaarheid en de veiligheid van de ICT-diensten die haar worden verleend. |
| --- | --- |

(68)

Om regelmatig het vermogen te evalueren en te monitoren van een derde aanbieder van ICT-diensten, veilig diensten aan een financiële entiteit te verlenen zonder nadelige gevolgen voor de digitale operationele weerbaarheid van een financiële entiteit, moeten een aantal belangrijke elementen in de contractuele overeenkomsten met derde aanbieders van ICT-diensten worden geharmoniseerd. Dergelijke harmonisatie moet minimumgebieden bestrijken die cruciaal zijn voor een volledige monitoring door de financiële entiteit van de risico’s die gepaard kunnen gaan met het in de arm nemen van derde aanbieders van ICT-diensten. Dit gelet op de noodzaak voor een financiële entiteit om haar digitale weerbaarheid veilig te stellen; een financiële entiteit is immers sterk afhankelijk van de stabiliteit, de functionaliteit, de beschikbaarheid en de veiligheid van de ICT-diensten die haar worden verleend.

| (69) | Indien er opnieuw moet worden onderhandeld over contractuele overeenkomsten om deze af te stemmen op de vereisten van deze verordening, moeten financiële entiteiten en derde aanbieders van ICT-diensten ervoor zorgen dat de belangrijkste contractuele bepalingen die deze verordening voorschrijft, in de nieuwe overeenkomsten worden opgenomen. |
| --- | --- |

(69)

Indien er opnieuw moet worden onderhandeld over contractuele overeenkomsten om deze af te stemmen op de vereisten van deze verordening, moeten financiële entiteiten en derde aanbieders van ICT-diensten ervoor zorgen dat de belangrijkste contractuele bepalingen die deze verordening voorschrijft, in de nieuwe overeenkomsten worden opgenomen.

| (70) | De definitie van “kritieke of belangrijke functie” in deze verordening omvat de “kritieke functies” als bedoeld in artikel 2, lid 1, punt 35, van Richtlijn 2014/59/EU van het Europees Parlement en de Raad (20). Dienovereenkomstig worden functies die overeenkomstig Richtlijn 2014/59/EU als kritiek worden beschouwd, opgenomen in de definitie van kritieke functies in de zin van deze verordening. |
| --- | --- |

(70)

De definitie van “kritieke of belangrijke functie” in deze verordening omvat de “kritieke functies” als bedoeld in artikel 2, lid 1, punt 35, van Richtlijn 2014/59/EU van het Europees Parlement en de Raad (20). Dienovereenkomstig worden functies die overeenkomstig Richtlijn 2014/59/EU als kritiek worden beschouwd, opgenomen in de definitie van kritieke functies in de zin van deze verordening.

| (71) | Ongeacht het kritieke karakter of het belang van de door ICT-diensten ondersteunde functie, moeten contractuele overeenkomsten met name de volledige beschrijvingen bevatten van functies en diensten, van de locaties waar dergelijke functies worden geleverd en waar data worden verwerkt, alsmede een indicatie van de beschrijvingen van het dienstverleningsniveau. Andere cruciale elementen om de monitoring door de financiële entiteit van het ICT-risico van derde aanbieders mogelijk te maken, zijn: contractuele bepalingen waarin wordt gespecificeerd hoe derde aanbieders van ICT-diensten de toegankelijkheid, beschikbaarheid, integriteit, beveiliging en bescherming van persoonsgegevens verzekeren, bepalingen tot vaststelling van de relevante garanties inzake de toegang, het herstel en de teruggave in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten. Ook belangrijk zijn contractuele bepalingen waarin van de derde aanbieder van ICT-diensten wordt verlangd dat deze assistentie biedt bij ICT-incidenten in verband met de diensten die hij verleent, en wel zonder extra kosten of tegen kosten die van tevoren zijn afgesproken, alsmede contractuele bepalingen waarin de derde aanbieder van ICT-diensten wordt verplicht volledig samen te werken met de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, en bepalingen inzake beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten. |
| --- | --- |

(71)

Ongeacht het kritieke karakter of het belang van de door ICT-diensten ondersteunde functie, moeten contractuele overeenkomsten met name de volledige beschrijvingen bevatten van functies en diensten, van de locaties waar dergelijke functies worden geleverd en waar data worden verwerkt, alsmede een indicatie van de beschrijvingen van het dienstverleningsniveau. Andere cruciale elementen om de monitoring door de financiële entiteit van het ICT-risico van derde aanbieders mogelijk te maken, zijn: contractuele bepalingen waarin wordt gespecificeerd hoe derde aanbieders van ICT-diensten de toegankelijkheid, beschikbaarheid, integriteit, beveiliging en bescherming van persoonsgegevens verzekeren, bepalingen tot vaststelling van de relevante garanties inzake de toegang, het herstel en de teruggave in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten. Ook belangrijk zijn contractuele bepalingen waarin van de derde aanbieder van ICT-diensten wordt verlangd dat deze assistentie biedt bij ICT-incidenten in verband met de diensten die hij verleent, en wel zonder extra kosten of tegen kosten die van tevoren zijn afgesproken, alsmede contractuele bepalingen waarin de derde aanbieder van ICT-diensten wordt verplicht volledig samen te werken met de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, en bepalingen inzake beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten.

| (72) | Benevens dergelijke contractuele bepalingen, en om ervoor te zorgen dat financiële entiteiten de volledige controle behouden over alle ontwikkelingen op het niveau van derde partijen die hun ICT-beveiliging in het gedrang kunnen brengen, moeten de contracten voor de levering van ICT-diensten die kritieke of belangrijke functies ondersteunen, ook voorzien in het volgende: specificatie van de volledige beschrijvingen van het dienstenniveau, met precieze kwantitatieve en kwalitatieve prestatiedoelstellingen, opdat zonder onnodige vertraging corrigerende maatregelen kunnen worden getroffen indien de overeengekomen dienstenniveaus niet gehaald worden; de relevante kennisgevingsperioden en rapportageverplichtingen van de derde aanbieder van ICT-diensten in geval van ontwikkelingen met een potentiële materiële impact op het vermogen van de derde aanbieder van ICT-diensten om hun respectieve ICT-diensten daadwerkelijk te leveren; een verplichting voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen uit te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidsmaatregelen die een veilige dienstverlening mogelijk maken, en om deel te nemen aan en volledig mee te werken aan de TLPT die door de financiële entiteit wordt uitgevoerd. |
| --- | --- |

(72)

Benevens dergelijke contractuele bepalingen, en om ervoor te zorgen dat financiële entiteiten de volledige controle behouden over alle ontwikkelingen op het niveau van derde partijen die hun ICT-beveiliging in het gedrang kunnen brengen, moeten de contracten voor de levering van ICT-diensten die kritieke of belangrijke functies ondersteunen, ook voorzien in het volgende: specificatie van de volledige beschrijvingen van het dienstenniveau, met precieze kwantitatieve en kwalitatieve prestatiedoelstellingen, opdat zonder onnodige vertraging corrigerende maatregelen kunnen worden getroffen indien de overeengekomen dienstenniveaus niet gehaald worden; de relevante kennisgevingsperioden en rapportageverplichtingen van de derde aanbieder van ICT-diensten in geval van ontwikkelingen met een potentiële materiële impact op het vermogen van de derde aanbieder van ICT-diensten om hun respectieve ICT-diensten daadwerkelijk te leveren; een verplichting voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen uit te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidsmaatregelen die een veilige dienstverlening mogelijk maken, en om deel te nemen aan en volledig mee te werken aan de TLPT die door de financiële entiteit wordt uitgevoerd.

| (73) | Contracten voor het leveren van ICT-diensten ter ondersteuning van kritieke of belangrijke functies moeten tevens bepalingen bevatten inzake rechten van toegang, inspectie en audit door de financiële entiteit of een aangewezen derde, alsook het recht om kopieën te maken. Dit zijn cruciale instrumenten voor de permanente monitoring door de financiële entiteit van de prestaties van de derde aanbieder van ICT-diensten, evenals de volledige medewerking van de dienstverlener tijdens inspecties. Evenzo moet de autoriteit van de financiële entiteit het recht hebben om, na kennisgeving, de derde aanbieder van ICT-diensten te inspecteren en te auditen, onder het voorbehoud van de bescherming van vertrouwelijke informatie. |
| --- | --- |

(73)

Contracten voor het leveren van ICT-diensten ter ondersteuning van kritieke of belangrijke functies moeten tevens bepalingen bevatten inzake rechten van toegang, inspectie en audit door de financiële entiteit of een aangewezen derde, alsook het recht om kopieën te maken. Dit zijn cruciale instrumenten voor de permanente monitoring door de financiële entiteit van de prestaties van de derde aanbieder van ICT-diensten, evenals de volledige medewerking van de dienstverlener tijdens inspecties. Evenzo moet de autoriteit van de financiële entiteit het recht hebben om, na kennisgeving, de derde aanbieder van ICT-diensten te inspecteren en te auditen, onder het voorbehoud van de bescherming van vertrouwelijke informatie.

| (74) | Dergelijke contractuele overeenkomsten moeten ook voorzien in specifieke exitstrategieën die met name verplichte overgangsperioden mogelijk maken waarin de derde aanbieder van ICT-diensten de relevante diensten moeten blijven verrichten om zo het risico op verstoringen bij de financiële entiteit te beperken, dan wel de financiële entiteit in staat te stellen daadwerkelijk over te stappen naar andere derde aanbieders van ICT-diensten, of anders over te gaan op interne oplossingen, een en ander in overeenstemming met de complexiteit van de verleende ICT-dienst. Bovendien moeten financiële entiteiten die binnen het toepassingsgebied van Richtlijn 2014/59/EU vallen, ervoor zorgen dat de relevante contracten voor ICT-diensten degelijk en volledig afdwingbaar zijn in geval van afwikkeling van die financiële entiteiten. Daarom moeten die financiële entiteiten erop toezien dat, in overeenstemming met de verwachtingen van de afwikkelingsautoriteiten, hun contracten voor ICT-diensten afwikkelingsbestendig zijn. Zolang zij aan hun betalingsverplichtingen blijven voldoen, moeten die financiële entiteiten er onder meer voor zorgen dat hun contracten voor ICT-diensten clausules bevatten voor niet-beëindiging, niet-opschorting en niet-wijziging op grond van herstructurering of afwikkeling. |
| --- | --- |

(74)

Dergelijke contractuele overeenkomsten moeten ook voorzien in specifieke exitstrategieën die met name verplichte overgangsperioden mogelijk maken waarin de derde aanbieder van ICT-diensten de relevante diensten moeten blijven verrichten om zo het risico op verstoringen bij de financiële entiteit te beperken, dan wel de financiële entiteit in staat te stellen daadwerkelijk over te stappen naar andere derde aanbieders van ICT-diensten, of anders over te gaan op interne oplossingen, een en ander in overeenstemming met de complexiteit van de verleende ICT-dienst. Bovendien moeten financiële entiteiten die binnen het toepassingsgebied van Richtlijn 2014/59/EU vallen, ervoor zorgen dat de relevante contracten voor ICT-diensten degelijk en volledig afdwingbaar zijn in geval van afwikkeling van die financiële entiteiten. Daarom moeten die financiële entiteiten erop toezien dat, in overeenstemming met de verwachtingen van de afwikkelingsautoriteiten, hun contracten voor ICT-diensten afwikkelingsbestendig zijn. Zolang zij aan hun betalingsverplichtingen blijven voldoen, moeten die financiële entiteiten er onder meer voor zorgen dat hun contracten voor ICT-diensten clausules bevatten voor niet-beëindiging, niet-opschorting en niet-wijziging op grond van herstructurering of afwikkeling.

| (75) | Bovendien kan het vrijwillige gebruik van modelcontractbepalingen die door overheidsinstellingen of de instellingen van de Unie zijn ontwikkeld, en in het bijzonder het gebruik van door de Commissie ontwikkelde bepalingen inzake cloudcomputingdiensten, de financiële entiteiten en derde aanbieders van ICT-diensten meer zekerheid bieden doordat zij meer rechtszekerheid hebben over het gebruik van cloudcomputingdiensten in de financiële sector, in volledige overeenstemming met de vereisten en verwachtingen van het Unierecht inzake financiële diensten. De ontwikkeling van modelcontractbepalingen bouwt voort op maatregelen die al waren gepland in het FinTech-actieplan uit 2018. Daarin werd het voornemen van de Commissie aangekondigd om de ontwikkeling van modelcontractbepalingen voor de uitbesteding van cloudcomputingdiensten door financiële entiteiten aan te moedigen en te vergemakkelijken, waarbij gebruik wordt gemaakt van sectoroverschrijdende inspanningen van belanghebbenden op het gebied van cloudcomputingdiensten, die de Commissie met hulp van de financiële sector heeft vergemakkelijkt. |
| --- | --- |

(75)

Bovendien kan het vrijwillige gebruik van modelcontractbepalingen die door overheidsinstellingen of de instellingen van de Unie zijn ontwikkeld, en in het bijzonder het gebruik van door de Commissie ontwikkelde bepalingen inzake cloudcomputingdiensten, de financiële entiteiten en derde aanbieders van ICT-diensten meer zekerheid bieden doordat zij meer rechtszekerheid hebben over het gebruik van cloudcomputingdiensten in de financiële sector, in volledige overeenstemming met de vereisten en verwachtingen van het Unierecht inzake financiële diensten. De ontwikkeling van modelcontractbepalingen bouwt voort op maatregelen die al waren gepland in het FinTech-actieplan uit 2018. Daarin werd het voornemen van de Commissie aangekondigd om de ontwikkeling van modelcontractbepalingen voor de uitbesteding van cloudcomputingdiensten door financiële entiteiten aan te moedigen en te vergemakkelijken, waarbij gebruik wordt gemaakt van sectoroverschrijdende inspanningen van belanghebbenden op het gebied van cloudcomputingdiensten, die de Commissie met hulp van de financiële sector heeft vergemakkelijkt.

| (76) | Om de convergentie en efficiëntie van de verschillende benaderingen voor toezicht op risico’s bij derde aanbieders van ICT-diensten in de financiële sector te bevorderen, alsmede om de digitale operationele weerbaarheid te versterken van financiële entiteiten die afhankelijk zijn van kritieke derde aanbieders van ICT-diensten voor het verlenen van ICT-diensten die het leveren van financiële diensten ondersteunen, en zo bij te dragen aan het behoud van de stabiliteit van het financiële stelsel van de Unie en de integriteit van de interne markt voor financiële diensten, moeten kritieke derde aanbieders van ICT-diensten onderworpen zijn aan een oversightkader van de Unie. Hoewel de oprichting van het oversightkader gerechtvaardigd is door de toegevoegde waarde van maatregelen op het niveau van de Unie en door de inherente rol en specifieke kenmerken van het gebruik van ICT-diensten bij de verlening van financiële diensten, moet tegelijkertijd in herinnering worden gebracht dat deze oplossing alleen geschikt lijkt in het kader van deze verordening, die specifiek betrekking heeft op digitale operationele weerbaarheid in de financiële sector. Dit oversightkader mag echter niet worden beschouwd als een nieuw model voor Unietoezicht op andere gebieden van financiële diensten en activiteiten. |
| --- | --- |

(76)

Om de convergentie en efficiëntie van de verschillende benaderingen voor toezicht op risico’s bij derde aanbieders van ICT-diensten in de financiële sector te bevorderen, alsmede om de digitale operationele weerbaarheid te versterken van financiële entiteiten die afhankelijk zijn van kritieke derde aanbieders van ICT-diensten voor het verlenen van ICT-diensten die het leveren van financiële diensten ondersteunen, en zo bij te dragen aan het behoud van de stabiliteit van het financiële stelsel van de Unie en de integriteit van de interne markt voor financiële diensten, moeten kritieke derde aanbieders van ICT-diensten onderworpen zijn aan een oversightkader van de Unie. Hoewel de oprichting van het oversightkader gerechtvaardigd is door de toegevoegde waarde van maatregelen op het niveau van de Unie en door de inherente rol en specifieke kenmerken van het gebruik van ICT-diensten bij de verlening van financiële diensten, moet tegelijkertijd in herinnering worden gebracht dat deze oplossing alleen geschikt lijkt in het kader van deze verordening, die specifiek betrekking heeft op digitale operationele weerbaarheid in de financiële sector. Dit oversightkader mag echter niet worden beschouwd als een nieuw model voor Unietoezicht op andere gebieden van financiële diensten en activiteiten.

| (77) | Het oversightkader moet alleen van toepassing zijn op kritieke derde aanbieders van ICT-diensten. Daarom moet er een aanwijzingsregeling komen waarmee de omvang en de aard van de afhankelijkheid van de financiële sector van dergelijke derde aanbieders van ICT-diensten kan worden beoordeeld. Die regeling moet kwantitatieve en kwalitatieve criteria omvatten om de kritische parameters vast te stellen op basis waarvan entiteiten al dan niet onder het oversightkader vallen. Om de nauwkeurigheid van die beoordeling te waarborgen, en ongeacht de bedrijfsstructuur van de derde aanbieder van ICT-diensten, moet in deze criteria in het geval van een derde aanbieder van ICT-diensten die deel uitmaakt van een grotere groep, gekeken worden naar de gehele groepsstructuur van de derde aanbieder van ICT-diensten. Enerzijds moeten kritieke derde aanbieders van ICT-diensten die niet automatisch worden aangewezen op grond van de toepassing van die criteria, de mogelijkheid hebben om vrijwillig deel te nemen aan het oversightkader. Anderzijds moeten derde aanbieders van ICT-diensten die reeds onderworpen zijn aan oversightregelingen die de uitvoering van de taken van het Europees Stelsel van centrale banken als bedoeld in artikel 127, lid 2, VWEU, steunen, worden vrijgesteld. |
| --- | --- |

(77)

Het oversightkader moet alleen van toepassing zijn op kritieke derde aanbieders van ICT-diensten. Daarom moet er een aanwijzingsregeling komen waarmee de omvang en de aard van de afhankelijkheid van de financiële sector van dergelijke derde aanbieders van ICT-diensten kan worden beoordeeld. Die regeling moet kwantitatieve en kwalitatieve criteria omvatten om de kritische parameters vast te stellen op basis waarvan entiteiten al dan niet onder het oversightkader vallen. Om de nauwkeurigheid van die beoordeling te waarborgen, en ongeacht de bedrijfsstructuur van de derde aanbieder van ICT-diensten, moet in deze criteria in het geval van een derde aanbieder van ICT-diensten die deel uitmaakt van een grotere groep, gekeken worden naar de gehele groepsstructuur van de derde aanbieder van ICT-diensten. Enerzijds moeten kritieke derde aanbieders van ICT-diensten die niet automatisch worden aangewezen op grond van de toepassing van die criteria, de mogelijkheid hebben om vrijwillig deel te nemen aan het oversightkader. Anderzijds moeten derde aanbieders van ICT-diensten die reeds onderworpen zijn aan oversightregelingen die de uitvoering van de taken van het Europees Stelsel van centrale banken als bedoeld in artikel 127, lid 2, VWEU, steunen, worden vrijgesteld.

| (78) | Evenzo moeten financiële entiteiten die ICT-diensten verlenen aan andere financiële entiteiten, en die weliswaar behoren tot de categorie van derde aanbieders van ICT-diensten als bedoeld in deze verordening, ook van het oversightkader worden vrijgesteld. Zij zijn immers reeds onderworpen zijn aan toezichtsregelingen die zijn opgericht bij het desbetreffende Unierecht inzake financiële diensten. In voorkomend geval moeten de bevoegde autoriteiten bij hun toezichtactiviteiten letten op het ICT-risico voor financiële entiteiten dat uitgaat van financiële entiteiten die zelf ICT-diensten verlenen. Evenzo moet, gelet op de reeds bestaande regelingen voor risicobewaking op groepsniveau, dezelfde vrijstelling gelden voor derde aanbieders van ICT-diensten die hoofdzakelijk diensten verlenen aan entiteiten van hun eigen groep. Derde aanbieders van ICT-diensten die uitsluitend in één lidstaat ICT-diensten verlenen aan financiële entiteiten die ook uitsluitend in die lidstaat actief zijn, moeten ook van de aanwijzingsregeling worden vrijgesteld wegens het beperkte karakter van hun activiteiten en het ontbreken van gevolgen over de grenzen heen. |
| --- | --- |

(78)

Evenzo moeten financiële entiteiten die ICT-diensten verlenen aan andere financiële entiteiten, en die weliswaar behoren tot de categorie van derde aanbieders van ICT-diensten als bedoeld in deze verordening, ook van het oversightkader worden vrijgesteld. Zij zijn immers reeds onderworpen zijn aan toezichtsregelingen die zijn opgericht bij het desbetreffende Unierecht inzake financiële diensten. In voorkomend geval moeten de bevoegde autoriteiten bij hun toezichtactiviteiten letten op het ICT-risico voor financiële entiteiten dat uitgaat van financiële entiteiten die zelf ICT-diensten verlenen. Evenzo moet, gelet op de reeds bestaande regelingen voor risicobewaking op groepsniveau, dezelfde vrijstelling gelden voor derde aanbieders van ICT-diensten die hoofdzakelijk diensten verlenen aan entiteiten van hun eigen groep. Derde aanbieders van ICT-diensten die uitsluitend in één lidstaat ICT-diensten verlenen aan financiële entiteiten die ook uitsluitend in die lidstaat actief zijn, moeten ook van de aanwijzingsregeling worden vrijgesteld wegens het beperkte karakter van hun activiteiten en het ontbreken van gevolgen over de grenzen heen.

| (79) | De digitale transformatie in de financiële dienstverlening heeft geleid tot een ongekende mate van gebruik van en afhankelijkheid van ICT-diensten. Aangezien het ondenkbaar is geworden dat financiële diensten worden verleend zonder gebruik te maken van cloudcomputingdiensten, softwareoplossingen en datadiensten, is het financiële ecosysteem van de Unie intrinsiek afhankelijk geworden van bepaalde ICT-diensten die door leveranciers van die diensten worden verleend. Sommige van die leveranciers die innovatoren zijn in de ontwikkeling en toepassing van op ICT gebaseerde technologieën, spelen een belangrijke rol bij de levering van financiële diensten of zijn geïntegreerd in de waardeketen van financiële diensten. Zo zijn zij kritiek geworden voor de stabiliteit en integriteit van het financiële stelsel van de Unie. Deze wijdverbreide afhankelijkheid van diensten van kritieke derde aanbieders van ICT-diensten, in combinatie met de onderlinge afhankelijkheid van de informatiesystemen van verschillende marktdeelnemers, creëert een rechtstreeks en potentieel ernstig risico voor het systeem van financiële diensten van de Unie en voor de continuïteit van de verlening van financiële diensten indien kritieke derde aanbieders van ICT-diensten zouden worden getroffen door operationele verstoringen of belangrijke cyberincidenten. Cyberincidenten kunnen zich bij uitstek veel sneller in het gehele financiële stelsel vermenigvuldigen en zich daarin in een aanzienlijk sneller tempo verspreiden dan andere soorten risico’s die in de financiële sector worden gemonitord. Ook kunnen cyberincidenten zich over meerdere sectoren en over geografische grenzen heen uitstrekken. Zij kunnen uitgroeien tot een systemische crisis waarin het vertrouwen in het financiële stelsel wordt uitgehold door de verstoring van functies die de reële economie ondersteunen, of door aanzienlijke financiële verliezen die een niveau kunnen bereiken waar het financiële stelsel niet tegen bestand is of waarvoor zware maatregelen ter schokabsorptie moeten worden genomen. Om dit soort scenario’s die de financiële stabiliteit en integriteit van de Unie in gevaar te brengen, te voorkomen, is het essentieel de praktijken inzake toezicht op ICT-risico’s bij derden in de financiële sector meer op één lijn te brengen, met name door middel van nieuwe regels die oversight van de Unie op kritieke derde aanbieders van ICT-diensten mogelijk maken. |
| --- | --- |

(79)

De digitale transformatie in de financiële dienstverlening heeft geleid tot een ongekende mate van gebruik van en afhankelijkheid van ICT-diensten. Aangezien het ondenkbaar is geworden dat financiële diensten worden verleend zonder gebruik te maken van cloudcomputingdiensten, softwareoplossingen en datadiensten, is het financiële ecosysteem van de Unie intrinsiek afhankelijk geworden van bepaalde ICT-diensten die door leveranciers van die diensten worden verleend. Sommige van die leveranciers die innovatoren zijn in de ontwikkeling en toepassing van op ICT gebaseerde technologieën, spelen een belangrijke rol bij de levering van financiële diensten of zijn geïntegreerd in de waardeketen van financiële diensten. Zo zijn zij kritiek geworden voor de stabiliteit en integriteit van het financiële stelsel van de Unie. Deze wijdverbreide afhankelijkheid van diensten van kritieke derde aanbieders van ICT-diensten, in combinatie met de onderlinge afhankelijkheid van de informatiesystemen van verschillende marktdeelnemers, creëert een rechtstreeks en potentieel ernstig risico voor het systeem van financiële diensten van de Unie en voor de continuïteit van de verlening van financiële diensten indien kritieke derde aanbieders van ICT-diensten zouden worden getroffen door operationele verstoringen of belangrijke cyberincidenten. Cyberincidenten kunnen zich bij uitstek veel sneller in het gehele financiële stelsel vermenigvuldigen en zich daarin in een aanzienlijk sneller tempo verspreiden dan andere soorten risico’s die in de financiële sector worden gemonitord. Ook kunnen cyberincidenten zich over meerdere sectoren en over geografische grenzen heen uitstrekken. Zij kunnen uitgroeien tot een systemische crisis waarin het vertrouwen in het financiële stelsel wordt uitgehold door de verstoring van functies die de reële economie ondersteunen, of door aanzienlijke financiële verliezen die een niveau kunnen bereiken waar het financiële stelsel niet tegen bestand is of waarvoor zware maatregelen ter schokabsorptie moeten worden genomen. Om dit soort scenario’s die de financiële stabiliteit en integriteit van de Unie in gevaar te brengen, te voorkomen, is het essentieel de praktijken inzake toezicht op ICT-risico’s bij derden in de financiële sector meer op één lijn te brengen, met name door middel van nieuwe regels die oversight van de Unie op kritieke derde aanbieders van ICT-diensten mogelijk maken.

| (80) | Het oversightkader is grotendeels afhankelijk van de mate van samenwerking tussen de lead overseer en de kritieke derde aanbieder van ICT-diensten die aan financiële entiteiten diensten levert die van invloed zijn op de verlening van financiële diensten door deze entiteiten. Succesvol oversight is onder meer gebaseerd op het vermogen van de lead overseer, daadwerkelijk monitoringmissies en -inspecties uit te voeren om de regels, de controles en de processen die door kritieke derde aanbieders van ICT-diensten worden gebruikt, te beoordelen, alsook de potentiële cumulatieve impact van hun activiteiten op de financiële stabiliteit en de integriteit van het financiële stelsel te beoordelen. Tegelijkertijd is het cruciaal dat kritieke derde aanbieders van ICT-diensten de aanbevelingen van de lead overseer opvolgen en diens bevindingen op zorgwekkende punten ter harte nemen. Aangezien een gebrek aan medewerking van een kritieke derde aanbieder van ICT-diensten die diensten verleent welke van invloed zijn op de verlening van financiële diensten, zoals een weigering om toegang te verlenen tot zijn kantoren of informatie te verstrekken, uiteindelijk de lead overseer essentiële instrumenten voor de beoordeling van ICT-risico’s van derden zou ontnemen, alsook negatieve gevolgen zou kunnen hebben voor de financiële stabiliteit en de integriteit van het financiële stelsel, moet ook worden voorzien in een sanctieregeling die past bij een eventuele weigering om mee te werken. |
| --- | --- |

(80)

Het oversightkader is grotendeels afhankelijk van de mate van samenwerking tussen de lead overseer en de kritieke derde aanbieder van ICT-diensten die aan financiële entiteiten diensten levert die van invloed zijn op de verlening van financiële diensten door deze entiteiten. Succesvol oversight is onder meer gebaseerd op het vermogen van de lead overseer, daadwerkelijk monitoringmissies en -inspecties uit te voeren om de regels, de controles en de processen die door kritieke derde aanbieders van ICT-diensten worden gebruikt, te beoordelen, alsook de potentiële cumulatieve impact van hun activiteiten op de financiële stabiliteit en de integriteit van het financiële stelsel te beoordelen. Tegelijkertijd is het cruciaal dat kritieke derde aanbieders van ICT-diensten de aanbevelingen van de lead overseer opvolgen en diens bevindingen op zorgwekkende punten ter harte nemen. Aangezien een gebrek aan medewerking van een kritieke derde aanbieder van ICT-diensten die diensten verleent welke van invloed zijn op de verlening van financiële diensten, zoals een weigering om toegang te verlenen tot zijn kantoren of informatie te verstrekken, uiteindelijk de lead overseer essentiële instrumenten voor de beoordeling van ICT-risico’s van derden zou ontnemen, alsook negatieve gevolgen zou kunnen hebben voor de financiële stabiliteit en de integriteit van het financiële stelsel, moet ook worden voorzien in een sanctieregeling die past bij een eventuele weigering om mee te werken.

| (81) | Tegen deze achtergrond mag de noodzaak voor de lead overseer om dwangsommen op te leggen, waarmee kritieke derde aanbieders van ICT-diensten kunnen worden gedwongen te voldoen aan de transparantie- en toegangsverplichtingen van deze verordening, niet in gevaar komen door moeilijkheden bij de inning van deze dwangsommen wanneer het kritieke derde aanbieders van ICT-diensten betreft die in derde landen zijn gevestigd. Ten behoeve van de afdwingbaarheid van dergelijke sancties en om een snelle inzet mogelijk te maken van procedures waarbij de rechten van verdediging van kritieke derde aanbieders van ICT-diensten in het kader van de aanwijzingsregeling en de uitvaardiging van aanbevelingen worden gehandhaafd, moeten die kritieke derde aanbieders van ICT-diensten, die diensten aan financiële entiteiten verlenen welke van invloed zijn op de verlening van financiële diensten, worden verplicht een adequate zakelijke aanwezigheid in de Unie te hebben. Gezien de aard van het oversight en het ontbreken van vergelijkbare regelingen in andere rechtsgebieden, zijn er geen geschikte alternatieve mechanismen om deze doelstelling te waarborgen door middel van doeltreffende samenwerking met financiële toezichthouders in derde landen bij de monitoring van de impact van digitale operationele risico’s van systemische derde aanbieders van ICT-diensten die worden aangemerkt als kritieke derde aanbieders van ICT-diensten die in derde landen zijn gevestigd. Om ICT-diensten aan financiële entiteiten in de Unie te kunnen blijven verlenen, moet een in een derde land gevestigde derde aanbieder van ICT-diensten die overeenkomstig deze verordening als cruciaal is aangewezen, binnen twaalf maanden na aanwijzing al het nodige doen om ervoor te zorgen dat hij een aanwezigheid in de Unie heeft door een dochteronderneming op te richten, zoals gedefinieerd in het acquis van de Unie, namelijk in Richtlijn 2013/34/EU van het Europees Parlement en de Raad (21). |
| --- | --- |

(81)

Tegen deze achtergrond mag de noodzaak voor de lead overseer om dwangsommen op te leggen, waarmee kritieke derde aanbieders van ICT-diensten kunnen worden gedwongen te voldoen aan de transparantie- en toegangsverplichtingen van deze verordening, niet in gevaar komen door moeilijkheden bij de inning van deze dwangsommen wanneer het kritieke derde aanbieders van ICT-diensten betreft die in derde landen zijn gevestigd. Ten behoeve van de afdwingbaarheid van dergelijke sancties en om een snelle inzet mogelijk te maken van procedures waarbij de rechten van verdediging van kritieke derde aanbieders van ICT-diensten in het kader van de aanwijzingsregeling en de uitvaardiging van aanbevelingen worden gehandhaafd, moeten die kritieke derde aanbieders van ICT-diensten, die diensten aan financiële entiteiten verlenen welke van invloed zijn op de verlening van financiële diensten, worden verplicht een adequate zakelijke aanwezigheid in de Unie te hebben. Gezien de aard van het oversight en het ontbreken van vergelijkbare regelingen in andere rechtsgebieden, zijn er geen geschikte alternatieve mechanismen om deze doelstelling te waarborgen door middel van doeltreffende samenwerking met financiële toezichthouders in derde landen bij de monitoring van de impact van digitale operationele risico’s van systemische derde aanbieders van ICT-diensten die worden aangemerkt als kritieke derde aanbieders van ICT-diensten die in derde landen zijn gevestigd. Om ICT-diensten aan financiële entiteiten in de Unie te kunnen blijven verlenen, moet een in een derde land gevestigde derde aanbieder van ICT-diensten die overeenkomstig deze verordening als cruciaal is aangewezen, binnen twaalf maanden na aanwijzing al het nodige doen om ervoor te zorgen dat hij een aanwezigheid in de Unie heeft door een dochteronderneming op te richten, zoals gedefinieerd in het acquis van de Unie, namelijk in Richtlijn 2013/34/EU van het Europees Parlement en de Raad (21).

| (82) | De eis om een dochteronderneming op te richten in de Unie mag de kritieke derde aanbieder van ICT-diensten niet beletten ICT-diensten en de daarmee verband houdende technische ondersteuning te verlenen vanuit faciliteiten en infrastructuur die zich buiten de Unie bevinden. Deze verordening legt geen verplichting tot datalokalisatie op, aangezien de verordening niet voorziet in opslag of verwerking van data binnen de Unie. |
| --- | --- |

(82)

De eis om een dochteronderneming op te richten in de Unie mag de kritieke derde aanbieder van ICT-diensten niet beletten ICT-diensten en de daarmee verband houdende technische ondersteuning te verlenen vanuit faciliteiten en infrastructuur die zich buiten de Unie bevinden. Deze verordening legt geen verplichting tot datalokalisatie op, aangezien de verordening niet voorziet in opslag of verwerking van data binnen de Unie.

| (83) | Kritieke derde aanbieders van ICT-diensten moeten in staat zijn overal ter wereld ICT-diensten aan te bieden, dus niet noodzakelijk of niet alleen vanuit bedrijfsruimten die zich in de Unie bevinden. Oversightactiviteiten moeten eerst worden uitgevoerd in bedrijfsruimten binnen de Unie en door interactie met in de Unie gevestigde entiteiten, met inbegrip van de dochterondernemingen die zijn opgericht door kritieke derde aanbieders van ICT-diensten op grond van deze verordening. Het is evenwel denkbaar dat dit soort acties in de Unie ontoereikend zijn om de lead overseer in staat te stellen zijn taken uit hoofde van deze verordening volledig en doeltreffend uit te voeren. De lead overseer moet daarom ook in derde landen toezicht kunnen uitoefenen. De uitoefening van zijn bevoegdheid tot oversight in derde landen moet de lead overseer in staat stellen de faciliteiten te onderzoeken van waaruit de ICT-diensten of de technische ondersteuningsdiensten daadwerkelijk door de kritieke derde aanbieder van ICT-diensten worden geleverd of beheerd; ook moet dit oversight de lead overseer een volledig en operationeel inzicht bieden in het ICT-risicobeheer van de kritieke derde aanbieder van ICT-diensten. De mogelijkheid voor de lead overseer om, in zijn hoedanigheid van agentschap van de Unie, bevoegdheden uit te oefenen buiten het grondgebied van de Unie moet naar behoren aan voorwaarden zijn gebonden, met name de toestemming van de betrokken kritieke derde aanbieder van ICT-diensten. Evenzo moeten de relevante autoriteiten van het derde land in kennis worden gesteld van de uitoefening van de activiteiten van de lead overseer op hun grondgebied en moeten zij daartegen geen bezwaar hebben gemaakt. Gelet op het belang van een efficiënte uitvoering van deze activiteiten, en onverminderd de bevoegdheden van de instellingen van de Unie en van de lidstaten op dit terrein, moeten de bevoegdheden van de lead overseer tevens ten volle worden verankerd in regelingen voor administratieve samenwerking met de betrokken autoriteiten van het derde land. Daarom moet deze verordening de ETA’s in staat stellen met de autoriteiten in derde landen regelingen voor administratieve samenwerking te treffen die voor het overige geen wettelijke verplichtingen voor de Unie of de lidstaten mogen creëren. |
| --- | --- |

(83)

Kritieke derde aanbieders van ICT-diensten moeten in staat zijn overal ter wereld ICT-diensten aan te bieden, dus niet noodzakelijk of niet alleen vanuit bedrijfsruimten die zich in de Unie bevinden. Oversightactiviteiten moeten eerst worden uitgevoerd in bedrijfsruimten binnen de Unie en door interactie met in de Unie gevestigde entiteiten, met inbegrip van de dochterondernemingen die zijn opgericht door kritieke derde aanbieders van ICT-diensten op grond van deze verordening. Het is evenwel denkbaar dat dit soort acties in de Unie ontoereikend zijn om de lead overseer in staat te stellen zijn taken uit hoofde van deze verordening volledig en doeltreffend uit te voeren. De lead overseer moet daarom ook in derde landen toezicht kunnen uitoefenen. De uitoefening van zijn bevoegdheid tot oversight in derde landen moet de lead overseer in staat stellen de faciliteiten te onderzoeken van waaruit de ICT-diensten of de technische ondersteuningsdiensten daadwerkelijk door de kritieke derde aanbieder van ICT-diensten worden geleverd of beheerd; ook moet dit oversight de lead overseer een volledig en operationeel inzicht bieden in het ICT-risicobeheer van de kritieke derde aanbieder van ICT-diensten. De mogelijkheid voor de lead overseer om, in zijn hoedanigheid van agentschap van de Unie, bevoegdheden uit te oefenen buiten het grondgebied van de Unie moet naar behoren aan voorwaarden zijn gebonden, met name de toestemming van de betrokken kritieke derde aanbieder van ICT-diensten. Evenzo moeten de relevante autoriteiten van het derde land in kennis worden gesteld van de uitoefening van de activiteiten van de lead overseer op hun grondgebied en moeten zij daartegen geen bezwaar hebben gemaakt. Gelet op het belang van een efficiënte uitvoering van deze activiteiten, en onverminderd de bevoegdheden van de instellingen van de Unie en van de lidstaten op dit terrein, moeten de bevoegdheden van de lead overseer tevens ten volle worden verankerd in regelingen voor administratieve samenwerking met de betrokken autoriteiten van het derde land. Daarom moet deze verordening de ETA’s in staat stellen met de autoriteiten in derde landen regelingen voor administratieve samenwerking te treffen die voor het overige geen wettelijke verplichtingen voor de Unie of de lidstaten mogen creëren.

| (84) | Om de communicatie met de lead overseer te vergemakkelijken en een passende vertegenwoordiging te waarborgen, moeten kritieke derde aanbieders van ICT-diensten die deel uitmaken van een groep, één rechtspersoon als hun coördinatiepunt aanwijzen. |
| --- | --- |

(84)

Om de communicatie met de lead overseer te vergemakkelijken en een passende vertegenwoordiging te waarborgen, moeten kritieke derde aanbieders van ICT-diensten die deel uitmaken van een groep, één rechtspersoon als hun coördinatiepunt aanwijzen.

| (85) | Het oversightkader mag geen afbreuk doen aan de bevoegdheid van de lidstaten om hun eigen oversight- of monitoringtaken uit te voeren met betrekking tot derde aanbieders van ICT-diensten die niet als kritiek zijn aangewezen in de zin van deze verordening, maar die op nationaal niveau belangrijk worden geacht. |
| --- | --- |

(85)

Het oversightkader mag geen afbreuk doen aan de bevoegdheid van de lidstaten om hun eigen oversight- of monitoringtaken uit te voeren met betrekking tot derde aanbieders van ICT-diensten die niet als kritiek zijn aangewezen in de zin van deze verordening, maar die op nationaal niveau belangrijk worden geacht.

| (86) | Om de meerlagige institutionele architectuur op het gebied van financiële diensten te benutten, moet het Gemengd Comité van de ETA’s blijven zorgen voor algehele sectoroverschrijdende coördinatie van alle aangelegenheden die verband houden met ICT-risico’s, in overeenstemming met de taken van het Comité op het gebied van cyberbeveiliging. Het Comité moet worden ondersteund door een nieuw subcomité (het oversightforum) dat voorbereidende werkzaamheden verricht voor zowel de afzonderlijke besluiten die gericht zijn tot kritieke derde aanbieders van ICT-diensten als voor het doen van collectieve aanbevelingen, met name in verband met het benchmarken van de oversightprogramma’s voor kritieke derde aanbieders van ICT-diensten en het in kaart brengen van beste praktijken voor het omgaan van ICT-concentratierisico’s. |
| --- | --- |

(86)

Om de meerlagige institutionele architectuur op het gebied van financiële diensten te benutten, moet het Gemengd Comité van de ETA’s blijven zorgen voor algehele sectoroverschrijdende coördinatie van alle aangelegenheden die verband houden met ICT-risico’s, in overeenstemming met de taken van het Comité op het gebied van cyberbeveiliging. Het Comité moet worden ondersteund door een nieuw subcomité (het oversightforum) dat voorbereidende werkzaamheden verricht voor zowel de afzonderlijke besluiten die gericht zijn tot kritieke derde aanbieders van ICT-diensten als voor het doen van collectieve aanbevelingen, met name in verband met het benchmarken van de oversightprogramma’s voor kritieke derde aanbieders van ICT-diensten en het in kaart brengen van beste praktijken voor het omgaan van ICT-concentratierisico’s.

| (87) | Om ervoor te zorgen dat op het niveau van de Unie adequaat en doeltreffend toezicht wordt uitgeoefend op kritieke derde aanbieders van ICT-diensten, wordt in deze verordening bepaald dat ieder van de drie ETA’s kan worden aangewezen als lead overseer. De individuele toewijzing van een kritieke derde aanbieder van ICT-diensten aan een van de drie ETA’s moet gebaseerd zijn op een beoordeling van de dominerende positie van financiële entiteiten die actief zijn in de financiële sectoren waarvoor die ETA verantwoordelijk is. Deze benadering moet leiden tot een evenwichtige verdeling van taken en verantwoordelijkheden over de drie ETA’s die oversightfuncties hebben, en leiden tot een optimaal gebruik van personele middelen en technische expertise die in ieder van de drie ETA’s voorhanden zijn. |
| --- | --- |

(87)

Om ervoor te zorgen dat op het niveau van de Unie adequaat en doeltreffend toezicht wordt uitgeoefend op kritieke derde aanbieders van ICT-diensten, wordt in deze verordening bepaald dat ieder van de drie ETA’s kan worden aangewezen als lead overseer. De individuele toewijzing van een kritieke derde aanbieder van ICT-diensten aan een van de drie ETA’s moet gebaseerd zijn op een beoordeling van de dominerende positie van financiële entiteiten die actief zijn in de financiële sectoren waarvoor die ETA verantwoordelijk is. Deze benadering moet leiden tot een evenwichtige verdeling van taken en verantwoordelijkheden over de drie ETA’s die oversightfuncties hebben, en leiden tot een optimaal gebruik van personele middelen en technische expertise die in ieder van de drie ETA’s voorhanden zijn.

| (88) | Lead overseers moeten de nodige bevoegdheden krijgen om onderzoeken te verrichten, inspecties ter plaatse en daarbuiten uit te voeren in de gebouwen en op de locaties van kritieke derde aanbieders van ICT-diensten, en volledige en actuele informatie te verkrijgen. Die bevoegdheden moeten de lead overseer in staat stellen een gedegen inzicht te krijgen in het soort, de omvang en de impact van het ICT-risico van derden voor financiële entiteiten en, uiteindelijk, voor het financiële stelsel van de Unie. De ETA’s moeten de leiding over het oversight krijgen. Dit is een voorwaarde voor een goed begrip van en een betere greep op de systemische dimensie van ICT-risico’s in de financiële sector. De impact van kritieke derde aanbieders van ICT-diensten op de financiële sector in de Unie en de mogelijke problemen als gevolg van het daaraan verbonden ICT-concentratierisico vragen om een gezamenlijke aanpak op het niveau van de Unie. De gelijktijdige en afzonderlijke uitvoering van meerdere audits en toegangsrechten door een reeks van bevoegde autoriteiten, zonder enige of slechts met weinig coördinatie, zou het de financiële toezichthouders onmogelijk maken een volledig en alomvattend overzicht te krijgen van het ICT-risico van derden in de Unie. Ook zou dit leiden tot redundantie, extra lasten en complexiteit voor kritieke derde aanbieders van ICT-diensten, die immers zouden worden onderworpen aan tal van verzoeken om monitoring en inspectie. |
| --- | --- |

(88)

Lead overseers moeten de nodige bevoegdheden krijgen om onderzoeken te verrichten, inspecties ter plaatse en daarbuiten uit te voeren in de gebouwen en op de locaties van kritieke derde aanbieders van ICT-diensten, en volledige en actuele informatie te verkrijgen. Die bevoegdheden moeten de lead overseer in staat stellen een gedegen inzicht te krijgen in het soort, de omvang en de impact van het ICT-risico van derden voor financiële entiteiten en, uiteindelijk, voor het financiële stelsel van de Unie. De ETA’s moeten de leiding over het oversight krijgen. Dit is een voorwaarde voor een goed begrip van en een betere greep op de systemische dimensie van ICT-risico’s in de financiële sector. De impact van kritieke derde aanbieders van ICT-diensten op de financiële sector in de Unie en de mogelijke problemen als gevolg van het daaraan verbonden ICT-concentratierisico vragen om een gezamenlijke aanpak op het niveau van de Unie. De gelijktijdige en afzonderlijke uitvoering van meerdere audits en toegangsrechten door een reeks van bevoegde autoriteiten, zonder enige of slechts met weinig coördinatie, zou het de financiële toezichthouders onmogelijk maken een volledig en alomvattend overzicht te krijgen van het ICT-risico van derden in de Unie. Ook zou dit leiden tot redundantie, extra lasten en complexiteit voor kritieke derde aanbieders van ICT-diensten, die immers zouden worden onderworpen aan tal van verzoeken om monitoring en inspectie.

| (89) | Gezien de aanzienlijke gevolgen voor de derde aanbieder van ICT-diensten die als kritiek wordt aangewezen, moet deze verordening ervoor zorgen dat de rechten van eenmaal aangewezen derde aanbieders van ICT-diensten gedurende de gehele tenuitvoerlegging van het oversightkader worden geëerbiedigd. Voordat een dienstverlener als kritiek wordt aangewezen, moet deze bijvoorbeeld het recht hebben een gemotiveerde verklaring in te dienen bij de lead overseer met alle informatie die relevant is voor de beoordeling in verband met de eventuele aanwijzing. Aangezien de lead overseer de bevoegdheid moet hebben om aanbevelingen over ICT-risico’s te doen en oplossingen daarvoor aan te dragen — waaronder de bevoegdheid zich te verzetten tegen contractueleovereenkomsten die uiteindelijk gevolgen zullen hebben voor de stabiliteit van de financiële entiteit of zelfs van het gehele financiële stelsel — moeten kritieke derde aanbieders van ICT-diensten ook de mogelijkheid krijgen om voorafgaand aan de definitieve opstelling van deze aanbevelingen uitleg te geven over de verwachte gevolgen van de in de aanbeveling opgenomen oplossingen voor klanten die entiteiten zijn welke buiten het toepassingsgebied van deze verordening vallen en om oplossingen te formuleren om risico’s te mitigeren. Kritieke derde aanbieders van ICT-diensten die het niet eens zijn met de aanbevelingen, moeten de gelegenheid hebben een gemotiveerde uitleg te geven van hun voornemen om de aanbevelingen niet te onderschrijven. Indien zulk een gemotiveerde toelichting niet wordt gegeven of ontoereikend wordt bevonden, moet de lead overseer een openbare kennisgeving van de niet-naleving doen. |
| --- | --- |

(89)

Gezien de aanzienlijke gevolgen voor de derde aanbieder van ICT-diensten die als kritiek wordt aangewezen, moet deze verordening ervoor zorgen dat de rechten van eenmaal aangewezen derde aanbieders van ICT-diensten gedurende de gehele tenuitvoerlegging van het oversightkader worden geëerbiedigd. Voordat een dienstverlener als kritiek wordt aangewezen, moet deze bijvoorbeeld het recht hebben een gemotiveerde verklaring in te dienen bij de lead overseer met alle informatie die relevant is voor de beoordeling in verband met de eventuele aanwijzing. Aangezien de lead overseer de bevoegdheid moet hebben om aanbevelingen over ICT-risico’s te doen en oplossingen daarvoor aan te dragen — waaronder de bevoegdheid zich te verzetten tegen contractueleovereenkomsten die uiteindelijk gevolgen zullen hebben voor de stabiliteit van de financiële entiteit of zelfs van het gehele financiële stelsel — moeten kritieke derde aanbieders van ICT-diensten ook de mogelijkheid krijgen om voorafgaand aan de definitieve opstelling van deze aanbevelingen uitleg te geven over de verwachte gevolgen van de in de aanbeveling opgenomen oplossingen voor klanten die entiteiten zijn welke buiten het toepassingsgebied van deze verordening vallen en om oplossingen te formuleren om risico’s te mitigeren. Kritieke derde aanbieders van ICT-diensten die het niet eens zijn met de aanbevelingen, moeten de gelegenheid hebben een gemotiveerde uitleg te geven van hun voornemen om de aanbevelingen niet te onderschrijven. Indien zulk een gemotiveerde toelichting niet wordt gegeven of ontoereikend wordt bevonden, moet de lead overseer een openbare kennisgeving van de niet-naleving doen.

| (90) | In het kader van het prudentieel toezicht op financiële entiteiten moeten de bevoegde autoriteiten naar behoren nagaan of de aanbevelingen van de lead overseer inhoudelijk worden nageleefd. De bevoegde autoriteiten moeten van financiële entiteiten kunnen vereisen dat zij aanvullende maatregelen nemen om de in de aanbevelingen van de lead overseer genoemde risico’s te verhelpen, en dat zij te zijner tijd bericht doen uitgaan dat dit gebeurd is. Indien de lead overseer aanbevelingen richt tot kritieke derde aanbieders van ICT-diensten die onder toezicht staan uit hoofde van Richtlijn (EU) 2022/2555 , moeten de bevoegde autoriteiten op vrijwillige basis en alvorens aanvullende maatregelen te nemen de bevoegde autoriteiten uit hoofde van die richtlijn kunnen raadplegen om zo een gecoördineerde aanpak van de betrokken kritieke derde aanbieders van ICT-diensten te bevorderen. |
| --- | --- |

(90)

In het kader van het prudentieel toezicht op financiële entiteiten moeten de bevoegde autoriteiten naar behoren nagaan of de aanbevelingen van de lead overseer inhoudelijk worden nageleefd. De bevoegde autoriteiten moeten van financiële entiteiten kunnen vereisen dat zij aanvullende maatregelen nemen om de in de aanbevelingen van de lead overseer genoemde risico’s te verhelpen, en dat zij te zijner tijd bericht doen uitgaan dat dit gebeurd is. Indien de lead overseer aanbevelingen richt tot kritieke derde aanbieders van ICT-diensten die onder toezicht staan uit hoofde van Richtlijn (EU) 2022/2555 , moeten de bevoegde autoriteiten op vrijwillige basis en alvorens aanvullende maatregelen te nemen de bevoegde autoriteiten uit hoofde van die richtlijn kunnen raadplegen om zo een gecoördineerde aanpak van de betrokken kritieke derde aanbieders van ICT-diensten te bevorderen.

| (91) | Bij de uitoefening van het oversight moeten drie operationele beginselen gelden, die gericht zijn op: a) nauwe coördinatie tussen de ETA’s in hun rol van lead overseer, en wel via een gezamenlijk oversightnetwerk (joint oversight network — JON); b) consistentie met het kader dat is vastgelegd in Richtlijn (EU) 2022/2555 (door middel van een vrijwillige raadpleging van organen uit hoofde van die richtlijn om zo overlapping van maatregelen ten aanzien van kritieke derde aanbieders van ICT-diensten te voorkomen, en c) het toepassen van zorgvuldigheid om het potentiële risico te beperken van verstoring van diensten die door kritieke derde aanbieders van ICT-diensten worden verleend aan klanten die entiteiten zijn welke buiten het toepassingsgebied van deze verordening vallen. |
| --- | --- |

(91)

Bij de uitoefening van het oversight moeten drie operationele beginselen gelden, die gericht zijn op: a) nauwe coördinatie tussen de ETA’s in hun rol van lead overseer, en wel via een gezamenlijk oversightnetwerk (joint oversight network — JON); b) consistentie met het kader dat is vastgelegd in Richtlijn (EU) 2022/2555 (door middel van een vrijwillige raadpleging van organen uit hoofde van die richtlijn om zo overlapping van maatregelen ten aanzien van kritieke derde aanbieders van ICT-diensten te voorkomen, en c) het toepassen van zorgvuldigheid om het potentiële risico te beperken van verstoring van diensten die door kritieke derde aanbieders van ICT-diensten worden verleend aan klanten die entiteiten zijn welke buiten het toepassingsgebied van deze verordening vallen.

| (92) | Het oversightkader mag niet in de plaats komen van, noch op enigerlei wijze of ten enigen dele in de plaats treden van het vereiste voor financiële entiteiten om zelf de risico’s te beheren die voortvloeien uit het gebruik van derde aanbieders van ICT-diensten, óók hun verplichting om permanent de contractuele overeenkomsten te monitoren die zijn gesloten met kritieke derde aanbieders van ICT-diensten. Evenzo mag het oversightkader geen afbreuk doen aan de volledige verantwoordelijkheid van financiële entiteiten voor de naleving en de kwijting van alle wettelijke verplichtingen die zijn vastgelegd in deze verordening en in het desbetreffende recht inzake financiële diensten. |
| --- | --- |

(92)

Het oversightkader mag niet in de plaats komen van, noch op enigerlei wijze of ten enigen dele in de plaats treden van het vereiste voor financiële entiteiten om zelf de risico’s te beheren die voortvloeien uit het gebruik van derde aanbieders van ICT-diensten, óók hun verplichting om permanent de contractuele overeenkomsten te monitoren die zijn gesloten met kritieke derde aanbieders van ICT-diensten. Evenzo mag het oversightkader geen afbreuk doen aan de volledige verantwoordelijkheid van financiële entiteiten voor de naleving en de kwijting van alle wettelijke verplichtingen die zijn vastgelegd in deze verordening en in het desbetreffende recht inzake financiële diensten.

| (93) | Om doublures en overlappingen te voorkomen, moeten de bevoegde autoriteiten ervan afzien, zelf maatregelen te nemen om de risico’s van de kritieke derde aanbieder van ICT-diensten te monitoren. Zij moeten in dit verband vertrouwen op de beoordeling van de lead overseer in kwestie. Alle maatregelen moeten in ieder geval van tevoren worden gecoördineerd en overeengekomen met de lead overseer, gelet op de uitoefening van diens taken in het oversightkader. |
| --- | --- |

(93)

Om doublures en overlappingen te voorkomen, moeten de bevoegde autoriteiten ervan afzien, zelf maatregelen te nemen om de risico’s van de kritieke derde aanbieder van ICT-diensten te monitoren. Zij moeten in dit verband vertrouwen op de beoordeling van de lead overseer in kwestie. Alle maatregelen moeten in ieder geval van tevoren worden gecoördineerd en overeengekomen met de lead overseer, gelet op de uitoefening van diens taken in het oversightkader.

| (94) | Om convergentie op internationaal niveau inzake het gebruik van beste praktijken bij de toetsing en monitoring van digitaal risicobeheer bij derde aanbieders van ICT-diensten te bevorderen, moeten de ETA’s worden aangemoedigd samenwerkingsregelingen te sluiten met toezichthoudende en regelgevende autoriteiten van derde landen die op dit terrein werkzaam zijn. |
| --- | --- |

(94)

Om convergentie op internationaal niveau inzake het gebruik van beste praktijken bij de toetsing en monitoring van digitaal risicobeheer bij derde aanbieders van ICT-diensten te bevorderen, moeten de ETA’s worden aangemoedigd samenwerkingsregelingen te sluiten met toezichthoudende en regelgevende autoriteiten van derde landen die op dit terrein werkzaam zijn.

| (95) | Om de specifieke vaardigheden, de technische expertise en de expertise van deskundigen op het gebied van operationele en ICT-risico’s binnen de bevoegde autoriteiten, de drie ETA’s, en, op vrijwillige basis, de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten ten volle te benutten, moet de lead overseer gebruikmaken van nationale toezichtcapaciteiten en -kennis, en specifieke onderzoeksteams oprichten voor iedere kritieke derde aanbieder van ICT-diensten. Multidisciplinaire teams moeten worden samengebracht ter ondersteuning van de voorbereiding en de uitvoering van oversightactiviteiten, inclusief algemene onderzoeken en inspecties ter plaatse bij kritieke derde aanbieders van ICT-diensten, alsook ter ondersteuning van eventuele follow-up hiervan indien dit nodig is. |
| --- | --- |

(95)

Om de specifieke vaardigheden, de technische expertise en de expertise van deskundigen op het gebied van operationele en ICT-risico’s binnen de bevoegde autoriteiten, de drie ETA’s, en, op vrijwillige basis, de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten ten volle te benutten, moet de lead overseer gebruikmaken van nationale toezichtcapaciteiten en -kennis, en specifieke onderzoeksteams oprichten voor iedere kritieke derde aanbieder van ICT-diensten. Multidisciplinaire teams moeten worden samengebracht ter ondersteuning van de voorbereiding en de uitvoering van oversightactiviteiten, inclusief algemene onderzoeken en inspecties ter plaatse bij kritieke derde aanbieders van ICT-diensten, alsook ter ondersteuning van eventuele follow-up hiervan indien dit nodig is.

| (96) | Hoewel het de bedoeling is dat de kosten van oversighttaken volledig worden gefinancierd uit vergoedingen die worden aangerekend aan kritieke derde aanbieders van ICT-diensten, zullen de ETA’s waarschijnlijk vóór de start van het oversightkader kosten maken voor de implementatie van specifieke ICT-systemen ter ondersteuning van het aanstaande oversight, aangezien deze specifieke systemen vooraf moeten worden ontwikkeld en uitgerold. Deze verordening voorziet daarom in een hybride financieringsmodel: het oversightkader moet volledig worden gefinancierd uit vergoedingen, terwijl de ontwikkeling van de ICT-systemen van de ETA’s moet worden gefinancierd uit bijdragen van de Unie en de bevoegde nationale autoriteiten. |
| --- | --- |

(96)

Hoewel het de bedoeling is dat de kosten van oversighttaken volledig worden gefinancierd uit vergoedingen die worden aangerekend aan kritieke derde aanbieders van ICT-diensten, zullen de ETA’s waarschijnlijk vóór de start van het oversightkader kosten maken voor de implementatie van specifieke ICT-systemen ter ondersteuning van het aanstaande oversight, aangezien deze specifieke systemen vooraf moeten worden ontwikkeld en uitgerold. Deze verordening voorziet daarom in een hybride financieringsmodel: het oversightkader moet volledig worden gefinancierd uit vergoedingen, terwijl de ontwikkeling van de ICT-systemen van de ETA’s moet worden gefinancierd uit bijdragen van de Unie en de bevoegde nationale autoriteiten.

| (97) | De bevoegde autoriteiten moeten over alle toezicht-, onderzoeks- en sanctiebevoegdheden beschikken die vereist zijn willen zij de taken uit hoofde van deze verordening naar behoren kunnen uitvoeren. Zij moeten in beginsel de administratieve strafmaatregelen die zij opleggen, bekendmaken. Aangezien financiële entiteiten en derde aanbieders van ICT-diensten gevestigd kunnen zijn in verschillende lidstaten en kunnen ressorteren onder het toezicht van verschillende bevoegde autoriteiten, moet de toepassing van deze verordening vergemakkelijkt worden via, enerzijds, nauwe samenwerking tussen de relevante bevoegde autoriteiten, waaronder de ECB wat betreft de specifieke taken die de bank bij Verordening (EU) nr. 1024/2013 van de Raad zijn opgedragen, en, anderzijds, overleg met de ETA’s via wederzijdse uitwisseling van informatie en verlening van bijstand bij relevante toezichtactiviteiten. |
| --- | --- |

(97)

De bevoegde autoriteiten moeten over alle toezicht-, onderzoeks- en sanctiebevoegdheden beschikken die vereist zijn willen zij de taken uit hoofde van deze verordening naar behoren kunnen uitvoeren. Zij moeten in beginsel de administratieve strafmaatregelen die zij opleggen, bekendmaken. Aangezien financiële entiteiten en derde aanbieders van ICT-diensten gevestigd kunnen zijn in verschillende lidstaten en kunnen ressorteren onder het toezicht van verschillende bevoegde autoriteiten, moet de toepassing van deze verordening vergemakkelijkt worden via, enerzijds, nauwe samenwerking tussen de relevante bevoegde autoriteiten, waaronder de ECB wat betreft de specifieke taken die de bank bij Verordening (EU) nr. 1024/2013 van de Raad zijn opgedragen, en, anderzijds, overleg met de ETA’s via wederzijdse uitwisseling van informatie en verlening van bijstand bij relevante toezichtactiviteiten.

| (98) | Om de criteria voor de aanwijzing van derde aanbieders van ICT-diensten tot kritieke dienstverleners kwantitatief en kwalitatief aan te scherpen en om de oversightvergoedingen te harmoniseren, moet aan de Commissie de bevoegdheid worden gedelegeerd om overeenkomstig artikel 290 VWEU handelingen vast te stellen ter aanvulling van deze verordening, en wel door nader te specificeren welke systemische impact een storing of een operationele uitval van een derde aanbieder van ICT-diensten zou kunnen hebben voor de financiële entiteiten waaraan deze derde aanbieder ICT-diensten verleent, het aantal mondiaal systeemrelevante instellingen (MSI’s) of andere systeemrelevante instellingen (ASI’s) die afhankelijk zijn van de derde aanbieder van ICT-diensten in kwestie, het aantal derde aanbieders van ICT-diensten dat op een bepaalde markt actief is, de kosten van de migratie van data en de ICT-werkbelasting naar een andere derde aanbieder van ICT-diensten, alsook het bedrag van de oversightvergoedingen en de wijze waarop deze moeten worden betaald. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat deze raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (22). Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen moeten het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip ontvangen als de deskundigen van de lidstaten, en moeten hun deskundigen systematisch toegang hebben tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen. |
| --- | --- |

(98)

Om de criteria voor de aanwijzing van derde aanbieders van ICT-diensten tot kritieke dienstverleners kwantitatief en kwalitatief aan te scherpen en om de oversightvergoedingen te harmoniseren, moet aan de Commissie de bevoegdheid worden gedelegeerd om overeenkomstig artikel 290 VWEU handelingen vast te stellen ter aanvulling van deze verordening, en wel door nader te specificeren welke systemische impact een storing of een operationele uitval van een derde aanbieder van ICT-diensten zou kunnen hebben voor de financiële entiteiten waaraan deze derde aanbieder ICT-diensten verleent, het aantal mondiaal systeemrelevante instellingen (MSI’s) of andere systeemrelevante instellingen (ASI’s) die afhankelijk zijn van de derde aanbieder van ICT-diensten in kwestie, het aantal derde aanbieders van ICT-diensten dat op een bepaalde markt actief is, de kosten van de migratie van data en de ICT-werkbelasting naar een andere derde aanbieder van ICT-diensten, alsook het bedrag van de oversightvergoedingen en de wijze waarop deze moeten worden betaald. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat deze raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (22). Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen moeten het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip ontvangen als de deskundigen van de lidstaten, en moeten hun deskundigen systematisch toegang hebben tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.

| (99) | Technische reguleringsnormen moeten een consistente harmonisatie van de in deze verordening neergelegde voorschriften bewerkstelligen. In hun rol van organen met hooggespecialiseerde expertise moeten de ETA’s ontwerpen van technische reguleringsnormen ontwikkelen die geen beleidskeuzen inhouden en die aan de Commissie moeten worden voorgelegd. Er moeten technische reguleringsnormen worden ontwikkeld op het gebied van ICT-risicobeheer, rapportage van ernstige ICT-incidenten, tests, en op het gebied van essentiële vereisten voor een degelijke monitoring van het ICT-risico van derde dienstverleners. De Commissie en de ETA’s dienen ervoor te zorgen dat deze normen en vereisten door alle financiële entiteiten kunnen worden toegepast op een wijze die in verhouding staat tot hun omvang en algehele risicoprofiel, alsook de aard, de omvang en de complexiteit van de entiteiten en hun activiteiten. De Commissie dient bevoegd te zijn deze technische uitvoeringsnormen vast te stellen bij gedelegeerde handeling, krachtens artikel 290 VWEU en in overeenstemming met artikel 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010. |
| --- | --- |

(99)

Technische reguleringsnormen moeten een consistente harmonisatie van de in deze verordening neergelegde voorschriften bewerkstelligen. In hun rol van organen met hooggespecialiseerde expertise moeten de ETA’s ontwerpen van technische reguleringsnormen ontwikkelen die geen beleidskeuzen inhouden en die aan de Commissie moeten worden voorgelegd. Er moeten technische reguleringsnormen worden ontwikkeld op het gebied van ICT-risicobeheer, rapportage van ernstige ICT-incidenten, tests, en op het gebied van essentiële vereisten voor een degelijke monitoring van het ICT-risico van derde dienstverleners. De Commissie en de ETA’s dienen ervoor te zorgen dat deze normen en vereisten door alle financiële entiteiten kunnen worden toegepast op een wijze die in verhouding staat tot hun omvang en algehele risicoprofiel, alsook de aard, de omvang en de complexiteit van de entiteiten en hun activiteiten. De Commissie dient bevoegd te zijn deze technische uitvoeringsnormen vast te stellen bij gedelegeerde handeling, krachtens artikel 290 VWEU en in overeenstemming met artikel 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

| (100) | Om de vergelijkbaarheid van meldingen van ernstige ICT-incidenten en van ernstige betalingsgerelateerde operationele of beveiligingsincidenten te vergemakkelijken en om te zorgen voor transparantie inzake contractuele overeenkomsten voor het gebruik van derde aanbieders van ICT-diensten moeten de ETA’s technische uitvoeringsnormen ontwikkelen waarin gestandaardiseerde templates, formulieren en procedures voor het melden van ernstige ICT-incidenten en van ernstige betalingsgerelateerde operationele of beveiligingsincidenten door financiële entiteiten worden vastgelegd, alsook gestandaardiseerde templates voor het informatieregister. Bij het ontwikkelen van deze normen moeten de ETA’s letten op de omvang en het algemene risicoprofiel van de financiële entiteit, alsook met de aard, de schaal en de complexiteit van haar diensten en activiteiten. De Commissie dient bevoegd te zijn bij uitvoeringshandeling deze technische uitvoeringsnormen vast te stellen, krachtens artikel 291 VWEU en in overeenstemming met artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010. |
| --- | --- |

(100)

Om de vergelijkbaarheid van meldingen van ernstige ICT-incidenten en van ernstige betalingsgerelateerde operationele of beveiligingsincidenten te vergemakkelijken en om te zorgen voor transparantie inzake contractuele overeenkomsten voor het gebruik van derde aanbieders van ICT-diensten moeten de ETA’s technische uitvoeringsnormen ontwikkelen waarin gestandaardiseerde templates, formulieren en procedures voor het melden van ernstige ICT-incidenten en van ernstige betalingsgerelateerde operationele of beveiligingsincidenten door financiële entiteiten worden vastgelegd, alsook gestandaardiseerde templates voor het informatieregister. Bij het ontwikkelen van deze normen moeten de ETA’s letten op de omvang en het algemene risicoprofiel van de financiële entiteit, alsook met de aard, de schaal en de complexiteit van haar diensten en activiteiten. De Commissie dient bevoegd te zijn bij uitvoeringshandeling deze technische uitvoeringsnormen vast te stellen, krachtens artikel 291 VWEU en in overeenstemming met artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

| (101) | Aangezien verdere vereisten reeds zijn vastgesteld bij gedelegeerde en uitvoeringshandelingen op basis van technische regulerings- en uitvoeringsnormen in de Verordeningen (EG) nr. 1060/2009 (23), (EU) nr. 648/2012 (24), (EU) nr. 600/2014 (25) en (EU) nr. 909/2014 van het Europees Parlement en de Raad (26), is het passend de ETA’s, afzonderlijk of gezamenlijk via het Gemengd Comité, opdracht te geven bij de Commissie technische regulerings- of uitvoeringsnormen in te dienen met het oog op de vaststelling van gedelegeerde en uitvoeringshandelingen waarin de bestaande regels voor ICT-risicobeheer worden overgenomen en bijgewerkt. |
| --- | --- |

(101)

Aangezien verdere vereisten reeds zijn vastgesteld bij gedelegeerde en uitvoeringshandelingen op basis van technische regulerings- en uitvoeringsnormen in de Verordeningen (EG) nr. 1060/2009 (23), (EU) nr. 648/2012 (24), (EU) nr. 600/2014 (25) en (EU) nr. 909/2014 van het Europees Parlement en de Raad (26), is het passend de ETA’s, afzonderlijk of gezamenlijk via het Gemengd Comité, opdracht te geven bij de Commissie technische regulerings- of uitvoeringsnormen in te dienen met het oog op de vaststelling van gedelegeerde en uitvoeringshandelingen waarin de bestaande regels voor ICT-risicobeheer worden overgenomen en bijgewerkt.

| (102) | Aangezien deze verordening, samen met Richtlijn (EU) 2022/2556 van het Europees Parlement en de Raad (27) , een consolidatie inhoudt van de bepalingen inzake ICT-risicobeheer in verschillende verordeningen en richtlijnen van het acquis van de Unie op het gebied van financiële diensten, onder meer de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, en (EU) nr. 909/2014 en Verordening (EU) 2016/1011 van het Europees Parlement en de Raad (28), moeten deze verordeningen ten behoeve van volledige consistentie worden gewijzigd om te verduidelijken dat de relevante bepalingen inzake ICT-risico’s in de onderhavige verordening zijn opgenomen. |
| --- | --- |

(102)

Aangezien deze verordening, samen met Richtlijn (EU) 2022/2556 van het Europees Parlement en de Raad (27) , een consolidatie inhoudt van de bepalingen inzake ICT-risicobeheer in verschillende verordeningen en richtlijnen van het acquis van de Unie op het gebied van financiële diensten, onder meer de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, en (EU) nr. 909/2014 en Verordening (EU) 2016/1011 van het Europees Parlement en de Raad (28), moeten deze verordeningen ten behoeve van volledige consistentie worden gewijzigd om te verduidelijken dat de relevante bepalingen inzake ICT-risico’s in de onderhavige verordening zijn opgenomen.

| (103) | Bijgevolg moet de werkingssfeer van de relevante artikelen in verband met operationele risico’s, waarvoor in de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 machtigingen zijn verleend om gedelegeerde handelingen en uitvoeringshandelingen vast te stellen, worden beperkt teneinde alle bepalingen betreffende de aspecten van digitale operationele weerbaarheid die thans deel uitmaken van genoemde verordeningen, over te nemen in de onderhavige verordening. |
| --- | --- |

(103)

Bijgevolg moet de werkingssfeer van de relevante artikelen in verband met operationele risico’s, waarvoor in de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 machtigingen zijn verleend om gedelegeerde handelingen en uitvoeringshandelingen vast te stellen, worden beperkt teneinde alle bepalingen betreffende de aspecten van digitale operationele weerbaarheid die thans deel uitmaken van genoemde verordeningen, over te nemen in de onderhavige verordening.

| (104) | Het potentiële systemische cyberrisico bij het gebruik van ICT-infrastructuren die de exploitatie van betalingssystemen en de verrichting van activiteiten ter betalingsverwerking mogelijk maken, moet op het niveau van de Unie naar behoren worden aangepakt door middel van geharmoniseerde regels inzake digitale weerbaarheid. Daartoe moet de Commissie onverwijld beoordelen of het toepassingsgebied van deze verordening moet worden herzien en moet zij deze evaluatie afstemmen op de resultaten van de uitgebreide evaluatie waarin Richtlijn (EU) 2015/2366 voorziet. Talrijke grootschalige aanvallen in de afgelopen tien jaar tonen aan hoe betalingssystemen kwetsbaar zijn geworden voor cyberdreigingen. Betalingssystemen en activiteiten inzake betalingsverwerkingen vormen de belangrijkste schakel van de keten van betalingsdiensten en zijn sterk verweven met het algemene financiële stelsel, waardoor zij van cruciaal belang zijn geworden voor de werking van de financiële markten van de Unie. Cyberaanvallen op dergelijke systemen kunnen ernstige operationele bedrijfsverstoringen veroorzaken met rechtstreekse gevolgen voor belangrijke economische functies, zoals het faciliteren van betalingen, en met indirecte gevolgen voor de daaraan gerelateerde economische processen. Totdat op Unieniveau een geharmoniseerde regeling en het toezicht op exploitanten van betalingssystemen en verwerkingsentiteiten zijn ingevoerd, kunnen de lidstaten, met het oog op de toepassing van soortgelijke marktpraktijken, inspiratie putten uit de in deze verordening vastgestelde vereisten inzake digitale operationele weerbaarheid wanneer zij regels toepassen op exploitanten van betalingssystemen en op verwerkingsentiteiten die onder toezicht staan in hun eigen rechtsgebied. |
| --- | --- |

(104)

Het potentiële systemische cyberrisico bij het gebruik van ICT-infrastructuren die de exploitatie van betalingssystemen en de verrichting van activiteiten ter betalingsverwerking mogelijk maken, moet op het niveau van de Unie naar behoren worden aangepakt door middel van geharmoniseerde regels inzake digitale weerbaarheid. Daartoe moet de Commissie onverwijld beoordelen of het toepassingsgebied van deze verordening moet worden herzien en moet zij deze evaluatie afstemmen op de resultaten van de uitgebreide evaluatie waarin Richtlijn (EU) 2015/2366 voorziet. Talrijke grootschalige aanvallen in de afgelopen tien jaar tonen aan hoe betalingssystemen kwetsbaar zijn geworden voor cyberdreigingen. Betalingssystemen en activiteiten inzake betalingsverwerkingen vormen de belangrijkste schakel van de keten van betalingsdiensten en zijn sterk verweven met het algemene financiële stelsel, waardoor zij van cruciaal belang zijn geworden voor de werking van de financiële markten van de Unie. Cyberaanvallen op dergelijke systemen kunnen ernstige operationele bedrijfsverstoringen veroorzaken met rechtstreekse gevolgen voor belangrijke economische functies, zoals het faciliteren van betalingen, en met indirecte gevolgen voor de daaraan gerelateerde economische processen. Totdat op Unieniveau een geharmoniseerde regeling en het toezicht op exploitanten van betalingssystemen en verwerkingsentiteiten zijn ingevoerd, kunnen de lidstaten, met het oog op de toepassing van soortgelijke marktpraktijken, inspiratie putten uit de in deze verordening vastgestelde vereisten inzake digitale operationele weerbaarheid wanneer zij regels toepassen op exploitanten van betalingssystemen en op verwerkingsentiteiten die onder toezicht staan in hun eigen rechtsgebied.

| (105) | Daar de doelstelling van deze verordening, te weten het bereiken van een hoog niveau van digitale operationele weerbaarheid voor gereguleerde financiële entiteiten, niet voldoende door de lidstaten kan worden verwezenlijkt, omdat zulks de harmonisatie vereist van een aantal verschillende voorschriften van Unie- en nationaal recht, maar vanwege de omvang en de gevolgen ervan beter door de Unie kan worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze verordening niet verder dan nodig is om die doelstelling te verwezenlijken. |
| --- | --- |

(105)

Daar de doelstelling van deze verordening, te weten het bereiken van een hoog niveau van digitale operationele weerbaarheid voor gereguleerde financiële entiteiten, niet voldoende door de lidstaten kan worden verwezenlijkt, omdat zulks de harmonisatie vereist van een aantal verschillende voorschriften van Unie- en nationaal recht, maar vanwege de omvang en de gevolgen ervan beter door de Unie kan worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze verordening niet verder dan nodig is om die doelstelling te verwezenlijken.

| (106) | Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (29) is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 10 mei 2021 heeft hij een advies uitgebracht (30), |
| --- | --- |

(106)

Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (29) is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 10 mei 2021 heeft hij een advies uitgebracht (30),

HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:

HOOFDSTUK I

Algemene bepalingen

Artikel 1

Onderwerp

1.   Om een hoog gemeenschappelijk niveau van digitale operationele weerbaarheid te bereiken, worden in deze verordening uniforme vereisten vastgesteld met betrekking tot de beveiliging van netwerk- en informatiesystemen ter ondersteuning van bedrijfsprocessen van financiële entiteiten, te weten:

| a) | vereisten die van toepassing zijn op financiële entiteiten met betrekking tot:






  i) | het risicobeheer op het gebied van informatie- en communicatietechnologie (ICT); |
| --- | --- | --- |

a)

vereisten die van toepassing zijn op financiële entiteiten met betrekking tot:

i)

het risicobeheer op het gebied van informatie- en communicatietechnologie (ICT);

| ii) | de melding van ernstige ICT-gerelateerde incidenten en, op vrijwillige basis, van significante cyberdreigingen aan de bevoegde autoriteiten; |
| --- | --- |

ii)

de melding van ernstige ICT-gerelateerde incidenten en, op vrijwillige basis, van significante cyberdreigingen aan de bevoegde autoriteiten;

| iii) | de melding van ernstige betalingsgerelateerde operationele of beveiligingsincidenten aan de bevoegde autoriteiten door de financiële entiteiten als bedoeld in artikel 2, lid 1, punten a) tot en met d); |
| --- | --- |

iii)

de melding van ernstige betalingsgerelateerde operationele of beveiligingsincidenten aan de bevoegde autoriteiten door de financiële entiteiten als bedoeld in artikel 2, lid 1, punten a) tot en met d);

| iv) | het testen van de digitale operationele weerbaarheid; |
| --- | --- |

iv)

het testen van de digitale operationele weerbaarheid;

| v) | de uitwisseling van informatie en inlichtingen met betrekking tot cyberdreigingen en -kwetsbaarheden; |
| --- | --- |

v)

de uitwisseling van informatie en inlichtingen met betrekking tot cyberdreigingen en -kwetsbaarheden;

| vi) | maatregelen voor het goede beheer van het ICT-risico van derde aanbieders; |
| --- | --- |

vi)

maatregelen voor het goede beheer van het ICT-risico van derde aanbieders;

| b) | vereisten met betrekking tot de contractuele overeenkomsten tussen derde aanbieders van ICT-diensten en financiële entiteiten; |
| --- | --- |

b)

vereisten met betrekking tot de contractuele overeenkomsten tussen derde aanbieders van ICT-diensten en financiële entiteiten;

| c) | regels voor de vaststelling en het beheren van het oversightkader voor kritieke derde aanbieders van ICT-diensten bij het verlenen van diensten aan financiële entiteiten; |
| --- | --- |

c)

regels voor de vaststelling en het beheren van het oversightkader voor kritieke derde aanbieders van ICT-diensten bij het verlenen van diensten aan financiële entiteiten;

| d) | regels inzake samenwerking tussen bevoegde autoriteiten en regels inzake toezicht en handhaving door bevoegde autoriteiten met betrekking tot alle aangelegenheden die onder deze verordening vallen. |
| --- | --- |

d)

regels inzake samenwerking tussen bevoegde autoriteiten en regels inzake toezicht en handhaving door bevoegde autoriteiten met betrekking tot alle aangelegenheden die onder deze verordening vallen.

2.   Met betrekking tot de financiële entiteiten die overeenkomstig de nationale voorschriften tot omzetting van artikel 3 van Richtlijn (EU) 2022/2555 als essentiële of belangrijke entiteiten zijn aangewezen, wordt deze verordening voor de toepassing van artikel 4 van die richtlijn beschouwd als een sectorspecifieke rechtshandeling van de Unie.

3.   Deze verordening laat de verantwoordelijkheid van de lidstaten inzake essentiële staatsfuncties op het gebied van de openbare veiligheid, defensie en nationale veiligheid overeenkomstig het Unierecht onverlet.

Artikel 2

Toepassingsgebied

1.   Onverminderd de leden 3 en 4 is deze verordening van toepassing op de volgende entiteiten:

| a) | kredietinstellingen; |
| --- | --- |

a)

kredietinstellingen;

| b) | betalingsinstellingen, met inbegrip van bij Richtlijn (EU) 2015/2366 vrijgestelde betalingsinstellingen; |
| --- | --- |

b)

betalingsinstellingen, met inbegrip van bij Richtlijn (EU) 2015/2366 vrijgestelde betalingsinstellingen;

| c) | aanbieders van rekeninginformatiediensten; |
| --- | --- |

c)

aanbieders van rekeninginformatiediensten;

| d) | instellingen voor elektronisch geld, met inbegrip van krachtens Richtlijn 2009/110/EG vrijgestelde instellingen voor elektronisch geld; |
| --- | --- |

d)

instellingen voor elektronisch geld, met inbegrip van krachtens Richtlijn 2009/110/EG vrijgestelde instellingen voor elektronisch geld;

| e) | beleggingsondernemingen; |
| --- | --- |

e)

beleggingsondernemingen;

| f) | aanbieders van cryptoactivadiensten met een vergunning op grond van een Verordening van het Europees Parlement en de Raad betreffende markten in cryptoactiva en tot wijziging van Verordeningen (EU) nr. 1093/2010 en (EU) nr. 1095/2010 en Richtlijnen 2013/36/EU en (EU) 2019/1937 (“de verordening betreffende markten in cryptoactiva”) en emittenten van asset-referenced tokens; |
| --- | --- |

f)

aanbieders van cryptoactivadiensten met een vergunning op grond van een Verordening van het Europees Parlement en de Raad betreffende markten in cryptoactiva en tot wijziging van Verordeningen (EU) nr. 1093/2010 en (EU) nr. 1095/2010 en Richtlijnen 2013/36/EU en (EU) 2019/1937 (“de verordening betreffende markten in cryptoactiva”) en emittenten van asset-referenced tokens;

| g) | centrale effectenbewaarinstellingen; |
| --- | --- |

g)

centrale effectenbewaarinstellingen;

| h) | centrale tegenpartijen; |
| --- | --- |

h)

centrale tegenpartijen;

| i) | handelsplatformen; |
| --- | --- |

i)

handelsplatformen;

| j) | transactieregisters; |
| --- | --- |

j)

transactieregisters;

| k) | beheerders van alternatieve beleggingsinstellingen; |
| --- | --- |

k)

beheerders van alternatieve beleggingsinstellingen;

| l) | beheermaatschappijen; |
| --- | --- |

l)

beheermaatschappijen;

| m) | aanbieders van datarapporteringsdiensten; |
| --- | --- |

m)

aanbieders van datarapporteringsdiensten;

| n) | verzekerings- en herverzekeringsondernemingen; |
| --- | --- |

n)

verzekerings- en herverzekeringsondernemingen;

| o) | verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen; |
| --- | --- |

o)

verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen;

| p) | instellingen voor bedrijfspensioenvoorziening; |
| --- | --- |

p)

instellingen voor bedrijfspensioenvoorziening;

| q) | ratingbureaus; |
| --- | --- |

q)

ratingbureaus;

| r) | beheerders van kritieke benchmarks; |
| --- | --- |

r)

beheerders van kritieke benchmarks;

| s) | aanbieders van crowdfundingdiensten; |
| --- | --- |

s)

aanbieders van crowdfundingdiensten;

| t) | securitisatieregisters; |
| --- | --- |

t)

securitisatieregisters;

| u) | derde aanbieders van ICT-diensten. |
| --- | --- |

u)

derde aanbieders van ICT-diensten.

2.   Voor de toepassing van deze verordening worden de in lid 1, punten a) tot en met t), bedoelde entiteiten “financiële entiteiten” genoemd.

3.   Deze verordening is niet van toepassing op:

| a) | beheerders van alternatieve beleggingsinstellingen, als bedoeld in artikel 3, lid 2, van Richtlijn 2011/61/EU; |
| --- | --- |

a)

beheerders van alternatieve beleggingsinstellingen, als bedoeld in artikel 3, lid 2, van Richtlijn 2011/61/EU;

| b) | verzekerings- en herverzekeringsondernemingen, als bedoeld in artikel 4 van Richtlijn 2009/138/EG; |
| --- | --- |

b)

verzekerings- en herverzekeringsondernemingen, als bedoeld in artikel 4 van Richtlijn 2009/138/EG;

| c) | instellingen voor bedrijfspensioenvoorzieningen die pensioenregelingen uitvoeren die samen niet meer dan 15 leden hebben; |
| --- | --- |

c)

instellingen voor bedrijfspensioenvoorzieningen die pensioenregelingen uitvoeren die samen niet meer dan 15 leden hebben;

| d) | bij de artikelen 2 en 3 van Richtlijn 2014/65/EU vrijgestelde natuurlijke of rechtspersonen; |
| --- | --- |

d)

bij de artikelen 2 en 3 van Richtlijn 2014/65/EU vrijgestelde natuurlijke of rechtspersonen;

| e) | verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen die micro-ondernemingen, dan wel kleine of middelgrote ondernemingen zijn; |
| --- | --- |

e)

verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen die micro-ondernemingen, dan wel kleine of middelgrote ondernemingen zijn;

| f) | postcheque- en girodiensten als bedoeld in artikel 2, lid 5, punt 3), van Richtlijn 2013/36/EU. |
| --- | --- |

f)

postcheque- en girodiensten als bedoeld in artikel 2, lid 5, punt 3), van Richtlijn 2013/36/EU.

4.   De lidstaten kunnen entiteiten als bedoeld in artikel 2, lid 5, punten 4) tot en met 23), van Richtlijn 2013/36/EU die op hun respectieve grondgebied gevestigd zijn, uitsluiten van het toepassingsgebied van deze verordening. Wanneer een lidstaat van deze mogelijkheid gebruikmaakt, stelt hij de Commissie daarvan in kennis, alsmede van alle latere wijzigingen in dat verband. De Commissie maakt die informatie openbaar op haar website of via andere gemakkelijk toegankelijke middelen.

Artikel 3

Definities

Voor de toepassing van deze verordening wordt verstaan onder:

| 1) | “digitale operationele weerbaarheid”: het vermogen van een financiële entiteit om haar operationele integriteit en betrouwbaarheid op te bouwen, te waarborgen en te evalueren, door direct of indirect via gebruik van diensten die door derde aanbieders van ICT-diensten worden verleend te voorzien in het volledige scala van ICT-gerelateerde capaciteiten die nodig zijn voor de beveiliging van de netwerk- en informatiesystemen waarvan een financiële entiteit gebruikmaakt, en die de permanente verlening van financiële diensten en de kwaliteit ervan, onder meer gedurende storingen, ondersteunen; |
| --- | --- |

1)

“digitale operationele weerbaarheid”: het vermogen van een financiële entiteit om haar operationele integriteit en betrouwbaarheid op te bouwen, te waarborgen en te evalueren, door direct of indirect via gebruik van diensten die door derde aanbieders van ICT-diensten worden verleend te voorzien in het volledige scala van ICT-gerelateerde capaciteiten die nodig zijn voor de beveiliging van de netwerk- en informatiesystemen waarvan een financiële entiteit gebruikmaakt, en die de permanente verlening van financiële diensten en de kwaliteit ervan, onder meer gedurende storingen, ondersteunen;

| 2) | “netwerk- en informatiesysteem”: een netwerk- en informatiesysteem in de zin van artikel 6, punt 1, van Richtlijn (EU) 2022/2555 ; |
| --- | --- |

2)

“netwerk- en informatiesysteem”: een netwerk- en informatiesysteem in de zin van artikel 6, punt 1, van Richtlijn (EU) 2022/2555 ;

| 3) | “legacy-ICT-systeem”: een ICT-systeem dat het einde van zijn levenscyclus (einde van de levensduur) heeft bereikt, dat om technologische of commerciële redenen niet geschikt is voor upgrades of reparaties, of dat niet langer wordt ondersteund door de leverancier of een derde aanbieder van ICT-diensten, maar dat nog steeds in gebruik is en de functies van de financiële entiteit ondersteunt; |
| --- | --- |

3)

“legacy-ICT-systeem”: een ICT-systeem dat het einde van zijn levenscyclus (einde van de levensduur) heeft bereikt, dat om technologische of commerciële redenen niet geschikt is voor upgrades of reparaties, of dat niet langer wordt ondersteund door de leverancier of een derde aanbieder van ICT-diensten, maar dat nog steeds in gebruik is en de functies van de financiële entiteit ondersteunt;

| 4) | “beveiliging van netwerk- en informatiesystemen”: beveiliging van netwerk- en informatiesystemen in de zin van artikel 6, punt 2, van Richtlijn (EU) 2022/2555 ; |
| --- | --- |

4)

“beveiliging van netwerk- en informatiesystemen”: beveiliging van netwerk- en informatiesystemen in de zin van artikel 6, punt 2, van Richtlijn (EU) 2022/2555 ;

| 5) | “ICT-risico”: elke redelijkerwijs aan te wijzen omstandigheid met betrekking tot het gebruik van netwerk- en informatiesystemen die, indien zij zich voordoet, de beveiliging van het netwerk- en informatiesysteem, van technologieafhankelijke instrumenten of processen, van verrichtingen en processen, of van de levering van de diensten in gevaar kan brengen, door schadelijke effecten met zich mee te brengen in de digitale of fysieke omgeving; |
| --- | --- |

5)

“ICT-risico”: elke redelijkerwijs aan te wijzen omstandigheid met betrekking tot het gebruik van netwerk- en informatiesystemen die, indien zij zich voordoet, de beveiliging van het netwerk- en informatiesysteem, van technologieafhankelijke instrumenten of processen, van verrichtingen en processen, of van de levering van de diensten in gevaar kan brengen, door schadelijke effecten met zich mee te brengen in de digitale of fysieke omgeving;

| 6) | “informatieactief”: een reeks, al dan niet tastbare, gegevens die beschermenswaardig zijn; |
| --- | --- |

6)

“informatieactief”: een reeks, al dan niet tastbare, gegevens die beschermenswaardig zijn;

| 7) | “ICT-actief”: een software- of hardwareactief in de netwerk- en informatiesystemen die door de financiële entiteit worden gebruikt; |
| --- | --- |

7)

“ICT-actief”: een software- of hardwareactief in de netwerk- en informatiesystemen die door de financiële entiteit worden gebruikt;

| 8) | “ICT-gerelateerd incident”: één gebeurtenis of een reeks gekoppelde gebeurtenissen die niet door de financiële entiteit zijn gepland en die de beveiliging van de netwerk- en informatiesystemen in gevaar brengen en een nadelig effect hebben op de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens of op de door de financiële entiteit verleende diensten; |
| --- | --- |

8)

“ICT-gerelateerd incident”: één gebeurtenis of een reeks gekoppelde gebeurtenissen die niet door de financiële entiteit zijn gepland en die de beveiliging van de netwerk- en informatiesystemen in gevaar brengen en een nadelig effect hebben op de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens of op de door de financiële entiteit verleende diensten;

| 9) | “betalingsgerelateerd operationeel of beveiligingsincident”: één gebeurtenis of een reeks gekoppelde gebeurtenissen die niet door de in artikel 2, lid 1, punten a) tot en met d), bedoelde financiële entiteiten gepland zijn, die al dan niet ICT-gerelateerd zijn, en die een nadelig effect hebben op de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van betalingsgerelateerde gegevens, of op de door de financiële entiteit verleende betalingsgerelateerde diensten; |
| --- | --- |

9)

“betalingsgerelateerd operationeel of beveiligingsincident”: één gebeurtenis of een reeks gekoppelde gebeurtenissen die niet door de in artikel 2, lid 1, punten a) tot en met d), bedoelde financiële entiteiten gepland zijn, die al dan niet ICT-gerelateerd zijn, en die een nadelig effect hebben op de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van betalingsgerelateerde gegevens, of op de door de financiële entiteit verleende betalingsgerelateerde diensten;

| 10) | “ernstig ICT-gerelateerd incident”: een ICT-gerelateerd incident met grote nadelige gevolgen voor de netwerk- en informatiesystemen die kritieke of belangrijke functies van de financiële entiteit ondersteunen; |
| --- | --- |

10)

“ernstig ICT-gerelateerd incident”: een ICT-gerelateerd incident met grote nadelige gevolgen voor de netwerk- en informatiesystemen die kritieke of belangrijke functies van de financiële entiteit ondersteunen;

| 11) | “ernstig betalingsgerelateerd operationeel of beveiligingsincident”: een betalingsgerelateerd operationeel of beveiligingsincident dat een groot negatief effect heeft op de verleende betalingsgerelateerde diensten; |
| --- | --- |

11)

“ernstig betalingsgerelateerd operationeel of beveiligingsincident”: een betalingsgerelateerd operationeel of beveiligingsincident dat een groot negatief effect heeft op de verleende betalingsgerelateerde diensten;

| 12) | “cyberdreiging”: cyberdreiging in de zin van artikel 2, punt 8), van Verordening (EU) 2019/881; |
| --- | --- |

12)

“cyberdreiging”: cyberdreiging in de zin van artikel 2, punt 8), van Verordening (EU) 2019/881;

| 13) | “significante cyberdreiging”: een cyberdreiging waarvan de technische kenmerken erop wijzen dat zij kan leiden tot een ernstig ICT-gerelateerd incident of een ernstig betalingsgerelateerd operationeel of beveiligingsincident; |
| --- | --- |

13)

“significante cyberdreiging”: een cyberdreiging waarvan de technische kenmerken erop wijzen dat zij kan leiden tot een ernstig ICT-gerelateerd incident of een ernstig betalingsgerelateerd operationeel of beveiligingsincident;

| 14) | “cyberaanval”: een kwaadwillig ICT-gerelateerd incident dat het gevolg is van een door een dreigingsactor gepleegde poging om een actief te vernietigen, bloot te stellen, te veranderen, buiten werking te stellen, te stelen of er ongeoorloofde toegang toe te verkrijgen of er ongeoorloofd gebruik van te maken; |
| --- | --- |

14)

“cyberaanval”: een kwaadwillig ICT-gerelateerd incident dat het gevolg is van een door een dreigingsactor gepleegde poging om een actief te vernietigen, bloot te stellen, te veranderen, buiten werking te stellen, te stelen of er ongeoorloofde toegang toe te verkrijgen of er ongeoorloofd gebruik van te maken;

| 15) | “inlichtingen over dreigingen”: informatie die is geaggregeerd, getransformeerd, geanalyseerd, geïnterpreteerd of verrijkt om de noodzakelijke achtergrond voor besluitvorming te bieden en om relevant en toereikend inzicht te verschaffen om de gevolgen van een ICT-gerelateerd incident of van een cyberdreiging te beperken, met inbegrip van de technische details van een cyberaanval, de voor de aanval verantwoordelijke personen en hun werkwijze en motieven; |
| --- | --- |

15)

“inlichtingen over dreigingen”: informatie die is geaggregeerd, getransformeerd, geanalyseerd, geïnterpreteerd of verrijkt om de noodzakelijke achtergrond voor besluitvorming te bieden en om relevant en toereikend inzicht te verschaffen om de gevolgen van een ICT-gerelateerd incident of van een cyberdreiging te beperken, met inbegrip van de technische details van een cyberaanval, de voor de aanval verantwoordelijke personen en hun werkwijze en motieven;

| 16) | “kwetsbaarheid”: een zwakte, gevoeligheid of tekortkoming in een actief, systeem, proces of controle die kan worden misbruikt; |
| --- | --- |

16)

“kwetsbaarheid”: een zwakte, gevoeligheid of tekortkoming in een actief, systeem, proces of controle die kan worden misbruikt;

| 17) | “dreigingsgestuurde penetratietest” (threat led penetration testing — TLPT): een kader waarin de tactiek, technieken en procedures van levensechte, als een reële cyberdreiging ervaren dreigingsactoren worden nagebootst en waarin een gecontroleerde, op maat gesneden, door inlichtingen gestuurde (red team) test van de kritieke reëel bestaande productiesystemen van de financiële entiteit wordt voorgebracht; |
| --- | --- |

17)

“dreigingsgestuurde penetratietest” (threat led penetration testing — TLPT): een kader waarin de tactiek, technieken en procedures van levensechte, als een reële cyberdreiging ervaren dreigingsactoren worden nagebootst en waarin een gecontroleerde, op maat gesneden, door inlichtingen gestuurde (red team) test van de kritieke reëel bestaande productiesystemen van de financiële entiteit wordt voorgebracht;

threat led penetration testing

| 18) | “ICT-risico van derde aanbieders”: een ICT-risico dat voor een financiële entiteit kan ontstaan met betrekking tot het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten of door onderaannemers daarvan, onder meer via onderaanbestedingsovereenkomsten, worden verleend; |
| --- | --- |

18)

“ICT-risico van derde aanbieders”: een ICT-risico dat voor een financiële entiteit kan ontstaan met betrekking tot het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten of door onderaannemers daarvan, onder meer via onderaanbestedingsovereenkomsten, worden verleend;

| 19) | “derde aanbieder van ICT-diensten”: een onderneming die ICT-diensten verleent; |
| --- | --- |

19)

“derde aanbieder van ICT-diensten”: een onderneming die ICT-diensten verleent;

| 20) | “aanbieder van ICT-diensten binnen een groep”: een onderneming die deel uitmaakt van een financiële groep en hoofdzakelijk ICT-diensten verleent aan financiële entiteiten binnen dezelfde groep of aan financiële entiteiten die tot hetzelfde institutionele protectiestelsel behoren, met inbegrip van hun moedermaatschappijen, dochterondernemingen, bijkantoren of andere entiteiten die gezamenlijk eigendom zijn of onder gezamenlijke zeggenschap staan; |
| --- | --- |

20)

“aanbieder van ICT-diensten binnen een groep”: een onderneming die deel uitmaakt van een financiële groep en hoofdzakelijk ICT-diensten verleent aan financiële entiteiten binnen dezelfde groep of aan financiële entiteiten die tot hetzelfde institutionele protectiestelsel behoren, met inbegrip van hun moedermaatschappijen, dochterondernemingen, bijkantoren of andere entiteiten die gezamenlijk eigendom zijn of onder gezamenlijke zeggenschap staan;

| 21) | “ICT-diensten”: digitale en gegevensdiensten die doorlopend via ICT-systemen aan een of meer interne of externe gebruikers worden verleend, waaronder hardware als dienst en hardwarediensten, met inbegrip van het verlenen van technische ondersteuning via software- of firmware-updates door de hardwareaanbieder, met uitzondering van traditionele analoge telefoondiensten; |
| --- | --- |

21)

“ICT-diensten”: digitale en gegevensdiensten die doorlopend via ICT-systemen aan een of meer interne of externe gebruikers worden verleend, waaronder hardware als dienst en hardwarediensten, met inbegrip van het verlenen van technische ondersteuning via software- of firmware-updates door de hardwareaanbieder, met uitzondering van traditionele analoge telefoondiensten;

| 22) | “kritieke of belangrijke functie”: een functie waarvan de verstoring wezenlijk afbreuk zou doen aan de financiële prestaties van een financiële entiteit of aan de soliditeit of de continuïteit van haar diensten en activiteiten, of waarvan de beëindiging of gebrekkige of mislukte uitvoering wezenlijk afbreuk zou doen aan de permanente naleving door een financiële entiteit van de voorwaarden en verplichtingen uit hoofde van haar vergunning of haar andere verplichtingen uit hoofde van het toepasselijke recht inzake financiële diensten; |
| --- | --- |

22)

“kritieke of belangrijke functie”: een functie waarvan de verstoring wezenlijk afbreuk zou doen aan de financiële prestaties van een financiële entiteit of aan de soliditeit of de continuïteit van haar diensten en activiteiten, of waarvan de beëindiging of gebrekkige of mislukte uitvoering wezenlijk afbreuk zou doen aan de permanente naleving door een financiële entiteit van de voorwaarden en verplichtingen uit hoofde van haar vergunning of haar andere verplichtingen uit hoofde van het toepasselijke recht inzake financiële diensten;

| 23) | “kritieke derde aanbieder van ICT-diensten”: een derde aanbieder van ICT-diensten die overeenkomstig artikel 31 is aangewezen als cruciaal; |
| --- | --- |

23)

“kritieke derde aanbieder van ICT-diensten”: een derde aanbieder van ICT-diensten die overeenkomstig artikel 31 is aangewezen als cruciaal;

| 24) | “in een derde land gevestigde derde aanbieder van ICT-diensten”: een derde aanbieder van ICT-diensten die een in een derde land gevestigde rechtspersoon is en die een contractuele overeenkomst met een financiële entiteit heeft gesloten voor de levering van ICT-diensten; |
| --- | --- |

24)

“in een derde land gevestigde derde aanbieder van ICT-diensten”: een derde aanbieder van ICT-diensten die een in een derde land gevestigde rechtspersoon is en die een contractuele overeenkomst met een financiële entiteit heeft gesloten voor de levering van ICT-diensten;

| 25) | “dochteronderneming”: een dochteronderneming in de zin van artikel 2, punt 10), en artikel 22 van Richtlijn 2013/34/EU; |
| --- | --- |

25)

“dochteronderneming”: een dochteronderneming in de zin van artikel 2, punt 10), en artikel 22 van Richtlijn 2013/34/EU;

| 26) | “groep”: een groep in de zin van artikel 2, punt 11), van Richtlijn 2013/34/EU; |
| --- | --- |

26)

“groep”: een groep in de zin van artikel 2, punt 11), van Richtlijn 2013/34/EU;

| 27) | “moederonderneming”: een moederonderneming in de zin van artikel 2, punt 9), en artikel 22 van Richtlijn 2013/34/EU; |
| --- | --- |

27)

“moederonderneming”: een moederonderneming in de zin van artikel 2, punt 9), en artikel 22 van Richtlijn 2013/34/EU;

| 28) | “in een derde land gevestigde ICT-subcontractant”: een ICT-subcontractant die een in een derde land gevestigde rechtspersoon is en die een contractuele overeenkomst heeft gesloten met een derde aanbieder van ICT-diensten of met een in een derde land gevestigde derde aanbieder van ICT-diensten; |
| --- | --- |

28)

“in een derde land gevestigde ICT-subcontractant”: een ICT-subcontractant die een in een derde land gevestigde rechtspersoon is en die een contractuele overeenkomst heeft gesloten met een derde aanbieder van ICT-diensten of met een in een derde land gevestigde derde aanbieder van ICT-diensten;

| 29) | “ICT-concentratierisico”: een blootstelling aan individuele of aan meerdere onderling verbonden kritieke derde aanbieders van ICT-diensten, waardoor een bepaalde mate van afhankelijkheid ten aanzien van deze aanbieders ontstaat, zodat de onbeschikbaarheid, het falen of een ander soort tekortkoming van deze aanbieder het vermogen van een financiële entiteit om kritieke of belangrijke functies te vervullen in gevaar kan brengen, ertoe kan leiden dat zij andere soorten nadelige effecten, waaronder grote verliezen, ondervindt, of de financiële stabiliteit van de Unie in haar geheel in gevaar kan brengen; |
| --- | --- |

29)

“ICT-concentratierisico”: een blootstelling aan individuele of aan meerdere onderling verbonden kritieke derde aanbieders van ICT-diensten, waardoor een bepaalde mate van afhankelijkheid ten aanzien van deze aanbieders ontstaat, zodat de onbeschikbaarheid, het falen of een ander soort tekortkoming van deze aanbieder het vermogen van een financiële entiteit om kritieke of belangrijke functies te vervullen in gevaar kan brengen, ertoe kan leiden dat zij andere soorten nadelige effecten, waaronder grote verliezen, ondervindt, of de financiële stabiliteit van de Unie in haar geheel in gevaar kan brengen;

| 30) | “leidinggevend orgaan”: een leidinggevend orgaan in de zin van artikel 4, lid 1, punt 36), van Richtlijn 2014/65/EU, artikel 3, lid 1, punt 7), van Richtlijn 2013/36/EU, artikel 2, lid 1, punt s), van Richtlijn 2009/65/EG van het Europees Parlement en de Raad (31), artikel 2, lid 1, punt 45), van Verordening (EU) nr. 909/2014, artikel 3, lid 1, punt 20), van Verordening (EU) 2016/1011, en in de relevante bepaling van de verordening betreffende markten in cryptoactiva, of de gelijkwaardige personen die de entiteit daadwerkelijk besturen of sleutelfuncties vervullen overeenkomstig het toepasselijke Unie- of nationale recht; |
| --- | --- |

30)

“leidinggevend orgaan”: een leidinggevend orgaan in de zin van artikel 4, lid 1, punt 36), van Richtlijn 2014/65/EU, artikel 3, lid 1, punt 7), van Richtlijn 2013/36/EU, artikel 2, lid 1, punt s), van Richtlijn 2009/65/EG van het Europees Parlement en de Raad (31), artikel 2, lid 1, punt 45), van Verordening (EU) nr. 909/2014, artikel 3, lid 1, punt 20), van Verordening (EU) 2016/1011, en in de relevante bepaling van de verordening betreffende markten in cryptoactiva, of de gelijkwaardige personen die de entiteit daadwerkelijk besturen of sleutelfuncties vervullen overeenkomstig het toepasselijke Unie- of nationale recht;

31

| 31) | “kredietinstelling”: een kredietinstelling in de zin van artikel 4, lid 1, punt 1, van Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad (32); |
| --- | --- |

31)

“kredietinstelling”: een kredietinstelling in de zin van artikel 4, lid 1, punt 1, van Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad (32);

32

| 32) | “bij Richtlijn 2013/36/EU vrijgestelde instelling”: een entiteit zoals vermeld in artikel 2, lid 5, punten 4) tot en met 23), van Richtlijn 2013/36/EU; |
| --- | --- |

32)

“bij Richtlijn 2013/36/EU vrijgestelde instelling”: een entiteit zoals vermeld in artikel 2, lid 5, punten 4) tot en met 23), van Richtlijn 2013/36/EU;

| 33) | “beleggingsonderneming”: een beleggingsonderneming in de zin van artikel 4, lid 1, punt 1, van Richtlijn 2014/65/EU; |
| --- | --- |

33)

“beleggingsonderneming”: een beleggingsonderneming in de zin van artikel 4, lid 1, punt 1, van Richtlijn 2014/65/EU;

| 34) | “kleine en niet-verweven beleggingsonderneming”: een beleggingsonderneming die voldoet aan de voorwaarden in artikel 12, lid 1, van Verordening (EU) 2019/2033 van het Europees Parlement en de Raad (33); |
| --- | --- |

34)

“kleine en niet-verweven beleggingsonderneming”: een beleggingsonderneming die voldoet aan de voorwaarden in artikel 12, lid 1, van Verordening (EU) 2019/2033 van het Europees Parlement en de Raad (33);

33

| 35) | “betalingsinstelling”: een betalingsinstelling in de zin van artikel 4, punt 4), van Richtlijn (EU) 2015/2366; |
| --- | --- |

35)

“betalingsinstelling”: een betalingsinstelling in de zin van artikel 4, punt 4), van Richtlijn (EU) 2015/2366;

| 36) | “bij Richtlijn (EU) 2015/2366 vrijgestelde betalingsinstelling”: een betalingsinstelling die is vrijgesteld op grond van artikel 32, lid 1, van Richtlijn (EU) 2015/2366; |
| --- | --- |

36)

“bij Richtlijn (EU) 2015/2366 vrijgestelde betalingsinstelling”: een betalingsinstelling die is vrijgesteld op grond van artikel 32, lid 1, van Richtlijn (EU) 2015/2366;

| 37) | “aanbieder van rekeninginformatiediensten”: een aanbieder van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van Richtlijn (EU) 2015/2366; |
| --- | --- |

37)

“aanbieder van rekeninginformatiediensten”: een aanbieder van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van Richtlijn (EU) 2015/2366;

| 38) | “instelling voor elektronisch geld”: een instelling voor elektronisch geld in de zin van artikel 2, punt 1), van Richtlijn 2009/110/EG van het Europees Parlement en de Raad; |
| --- | --- |

38)

“instelling voor elektronisch geld”: een instelling voor elektronisch geld in de zin van artikel 2, punt 1), van Richtlijn 2009/110/EG van het Europees Parlement en de Raad;

| 39) | “bij Richtlijn 2009/110/EG vrijgestelde instelling voor elektronisch geld”: een instelling voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel 9, lid 1, van Richtlijn 2009/110/EG; |
| --- | --- |

39)

“bij Richtlijn 2009/110/EG vrijgestelde instelling voor elektronisch geld”: een instelling voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel 9, lid 1, van Richtlijn 2009/110/EG;

| 40) | “centrale tegenpartij”: een centrale tegenpartij in de zin van artikel 2, punt 1), van Verordening (EU) nr. 648/2012; |
| --- | --- |

40)

“centrale tegenpartij”: een centrale tegenpartij in de zin van artikel 2, punt 1), van Verordening (EU) nr. 648/2012;

| 41) | “transactieregister”: een transactieregister in de zin van artikel 2, punt 2), van Verordening (EU) nr. 648/2012; |
| --- | --- |

41)

“transactieregister”: een transactieregister in de zin van artikel 2, punt 2), van Verordening (EU) nr. 648/2012;

| 42) | “centrale effectenbewaarinstelling”: een centrale effectenbewaarinstelling in de zin van artikel 2, lid 1, punt 1), van Verordening (EU) nr. 909/2014; |
| --- | --- |

42)

“centrale effectenbewaarinstelling”: een centrale effectenbewaarinstelling in de zin van artikel 2, lid 1, punt 1), van Verordening (EU) nr. 909/2014;

| 43) | “handelsplatform” een handelsplatform in de zin van artikel 4, lid 1, punt 24, van Richtlijn 2014/65/EU; |
| --- | --- |

43)

“handelsplatform” een handelsplatform in de zin van artikel 4, lid 1, punt 24, van Richtlijn 2014/65/EU;

| 44) | “beheerder van alternatieve beleggingsinstellingen”: een beheerder van alternatieve beleggingsinstellingen in de zin van artikel 4, lid 1, punt b), van Richtlijn 2011/61/EU; |
| --- | --- |

44)

“beheerder van alternatieve beleggingsinstellingen”: een beheerder van alternatieve beleggingsinstellingen in de zin van artikel 4, lid 1, punt b), van Richtlijn 2011/61/EU;

| 45) | “beheermaatschappij”: een beheermaatschappij in de zin van artikel 2, lid 1, punt b), van Richtlijn 2009/65/EG; |
| --- | --- |

45)

“beheermaatschappij”: een beheermaatschappij in de zin van artikel 2, lid 1, punt b), van Richtlijn 2009/65/EG;

| 46) | “aanbieder van datarapporteringsdiensten”: een aanbieder van datarapporteringsdiensten in de zin van Verordening (EU) nr. 600/2014, als bedoeld in artikel 2, lid 1, punten 34 tot en met 36, van die verordening; |
| --- | --- |

46)

“aanbieder van datarapporteringsdiensten”: een aanbieder van datarapporteringsdiensten in de zin van Verordening (EU) nr. 600/2014, als bedoeld in artikel 2, lid 1, punten 34 tot en met 36, van die verordening;

| 47) | “verzekeringsonderneming”: een verzekeringsonderneming in de zin van artikel 13, punt 1, van Richtlijn 2009/138/EG; |
| --- | --- |

47)

“verzekeringsonderneming”: een verzekeringsonderneming in de zin van artikel 13, punt 1, van Richtlijn 2009/138/EG;

| 48) | “herverzekeringsonderneming”: een herverzekeringsonderneming in de zin van artikel 13, punt 4, van Richtlijn 2009/138/EG; |
| --- | --- |

48)

“herverzekeringsonderneming”: een herverzekeringsonderneming in de zin van artikel 13, punt 4, van Richtlijn 2009/138/EG;

| 49) | “verzekeringstussenpersoon”: een verzekeringstussenpersoon in de zin van artikel 2, lid 1, punt 3, van Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad (34); |
| --- | --- |

49)

“verzekeringstussenpersoon”: een verzekeringstussenpersoon in de zin van artikel 2, lid 1, punt 3, van Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad (34);

34

| 50) | “nevenverzekeringstussenpersoon”: een nevenverzekeringstussenpersoon in de zin van artikel 2, lid 1, punt 4, van Richtlijn (EU) 2016/97; |
| --- | --- |

50)

“nevenverzekeringstussenpersoon”: een nevenverzekeringstussenpersoon in de zin van artikel 2, lid 1, punt 4, van Richtlijn (EU) 2016/97;

| 51) | “herverzekeringstussenpersoon”: een herverzekeringstussenpersoon in de zin van artikel 2, lid 1, punt 5, van Richtlijn (EU) 2016/97; |
| --- | --- |

51)

“herverzekeringstussenpersoon”: een herverzekeringstussenpersoon in de zin van artikel 2, lid 1, punt 5, van Richtlijn (EU) 2016/97;

| 52) | “instelling voor bedrijfspensioenvoorziening”: een instelling voor bedrijfspensioenvoorziening in de zin van artikel 6, punt 1), van Richtlijn (EU) 2016/2341; |
| --- | --- |

52)

“instelling voor bedrijfspensioenvoorziening”: een instelling voor bedrijfspensioenvoorziening in de zin van artikel 6, punt 1), van Richtlijn (EU) 2016/2341;

| 53) | “kleine instelling voor bedrijfspensioenvoorziening”: een instelling voor bedrijfspensioenvoorziening die pensioenregelingen uitvoert die samen minder dan 100 leden hebben; |
| --- | --- |

53)

“kleine instelling voor bedrijfspensioenvoorziening”: een instelling voor bedrijfspensioenvoorziening die pensioenregelingen uitvoert die samen minder dan 100 leden hebben;

| 54) | “ratingbureau”: een ratingbureau in de zin van artikel 3, lid 1, punt b), van Verordening (EG) nr. 1060/2009; |
| --- | --- |

54)

“ratingbureau”: een ratingbureau in de zin van artikel 3, lid 1, punt b), van Verordening (EG) nr. 1060/2009;

| 55) | “aanbieder van cryptoactivadiensten”: een aanbieder van cryptoactivadiensten in de zin van de relevante bepaling van de verordening betreffende markten in cryptoactiva; |
| --- | --- |

55)

“aanbieder van cryptoactivadiensten”: een aanbieder van cryptoactivadiensten in de zin van de relevante bepaling van de verordening betreffende markten in cryptoactiva;

| 56) | “emittent van asset-referenced tokens”: een emittent van asset-referenced tokens in de zin van de relevante bepaling van de verordening betreffende markten in cryptoactiva; |
| --- | --- |

56)

“emittent van asset-referenced tokens”: een emittent van asset-referenced tokens in de zin van de relevante bepaling van de verordening betreffende markten in cryptoactiva;

| 57) | “beheerder van kritieke benchmarks”: een beheerder van kritieke benchmarks in de zin van artikel 3, lid 1, punt 25), van Verordening (EU) 2016/1011; |
| --- | --- |

57)

“beheerder van kritieke benchmarks”: een beheerder van kritieke benchmarks in de zin van artikel 3, lid 1, punt 25), van Verordening (EU) 2016/1011;

| 58) | “crowdfundingdienstverlener”: een crowdfundingdienstverlener in de zin van artikel 2, lid 1, punt e), van Verordening (EU) 2020/1503 van het Europees Parlement en de Raad (35); |
| --- | --- |

58)

“crowdfundingdienstverlener”: een crowdfundingdienstverlener in de zin van artikel 2, lid 1, punt e), van Verordening (EU) 2020/1503 van het Europees Parlement en de Raad (35);

35

| 59) | “securitisatieregister”: een securitisatieregister in de zin van artikel 2, punt 23), van Verordening (EU) 2017/2402 van het Europees Parlement en de Raad (36); |
| --- | --- |

59)

“securitisatieregister”: een securitisatieregister in de zin van artikel 2, punt 23), van Verordening (EU) 2017/2402 van het Europees Parlement en de Raad (36);

36

| 60) | “micro-onderneming”: een financiële entiteit die geen handelsplatform, centrale tegenpartij, transactieregister of centrale effectenbewaarinstelling is, en waar minder dan 10 personen werkzaam zijn en waarvan de jaaromzet en/of het jaarlijkse balanstotaal niet hoger liggen dan 2 miljoen EUR; |
| --- | --- |

60)

“micro-onderneming”: een financiële entiteit die geen handelsplatform, centrale tegenpartij, transactieregister of centrale effectenbewaarinstelling is, en waar minder dan 10 personen werkzaam zijn en waarvan de jaaromzet en/of het jaarlijkse balanstotaal niet hoger liggen dan 2 miljoen EUR;

| 61) | “lead overseer”: de overeenkomstig artikel 31, lid 1, punt b), van deze verordening aangewezen Europese toezichthoudende autoriteit; |
| --- | --- |

61)

“lead overseer”: de overeenkomstig artikel 31, lid 1, punt b), van deze verordening aangewezen Europese toezichthoudende autoriteit;

| 62) | “Gemengd Comité”: het in artikel 54 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 bedoelde comité; |
| --- | --- |

62)

“Gemengd Comité”: het in artikel 54 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 bedoelde comité;

| 63) | “kleine onderneming”: een financiële entiteit met 10 of meer werknemers, maar minder dan 50 werknemers, en een jaaromzet en/of een jaarlijks balanstotaal van meer dan 2 miljoen EUR, maar van ten hoogste 10 miljoen EUR; |
| --- | --- |

63)

“kleine onderneming”: een financiële entiteit met 10 of meer werknemers, maar minder dan 50 werknemers, en een jaaromzet en/of een jaarlijks balanstotaal van meer dan 2 miljoen EUR, maar van ten hoogste 10 miljoen EUR;

| 64) | “middelgrote onderneming”: een financiële entiteit die geen kleine onderneming is, minder dan 250 personen in dienst heeft en een jaaromzet van ten hoogste 50 miljoen EUR en/of een jaarlijkse balans van ten hoogste 43 miljoen EUR heeft; |
| --- | --- |

64)

“middelgrote onderneming”: een financiële entiteit die geen kleine onderneming is, minder dan 250 personen in dienst heeft en een jaaromzet van ten hoogste 50 miljoen EUR en/of een jaarlijkse balans van ten hoogste 43 miljoen EUR heeft;

| 65) | “overheidsinstantie”: een regerings- of andere overheidsinstantie, met inbegrip van nationale centrale banken. |
| --- | --- |

65)

“overheidsinstantie”: een regerings- of andere overheidsinstantie, met inbegrip van nationale centrale banken.

Artikel 4

Evenredigheidsbeginsel

1.   Financiële entiteiten passen de bij hoofdstuk II ingevoerde regels toe overeenkomstig het evenredigheidsbeginsel, rekening houdend met hun omvang, algehele risicoprofiel en de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen.

2.   Daarnaast staat de toepassing door financiële entiteiten van de hoofdstukken III en IV en hoofdstuk V, afdeling I, in verhouding tot hun omvang en algehele risicoprofiel en tot de aard, schaal en complexiteit van hun diensten, activiteiten en verrichtingen, zoals specifiek bepaald in de desbetreffende regels van die hoofdstukken.

3.   De bevoegde autoriteiten houden rekening met de toepassing van het evenredigheidsbeginsel door financiële entiteiten wanneer zij de consistentie van het kader voor ICT-risicobeheer toetsen op basis van de verslagen die op verzoek van de bevoegde autoriteiten krachtens artikel 6, lid 5, en artikel 16, lid 2, zijn ingediend.

HOOFDSTUK II

ICT-risicobeheer

Afdeling I

Artikel 5

Governance en organisatie

1.   Financiële entiteiten beschikken over een intern governance- en controlekader dat een doeltreffend en prudent beheer van het ICT-risico waarborgt, overeenkomstig artikel 6, lid 4, teneinde een hoog niveau van digitale operationele weerbaarheid te verkrijgen.

2.   Het leidinggevend orgaan van een financiële entiteit bepaalt alle regelingen met betrekking tot het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer, keurt deze goed, houdt toezicht op de uitvoering ervan en is ervoor verantwoordelijk.

Voor de toepassing van de eerste alinea is het leidinggevend orgaan belast met:

| a) | de eindverantwoordelijkheid voor het beheer van het ICT-risico van de financiële entiteit; |
| --- | --- |

a)

de eindverantwoordelijkheid voor het beheer van het ICT-risico van de financiële entiteit;

| b) | de invoering van beleidslijnen die erop gericht zijn de handhaving van hoge normen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens te waarborgen; |
| --- | --- |

b)

de invoering van beleidslijnen die erop gericht zijn de handhaving van hoge normen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens te waarborgen;

| c) | de vaststelling van duidelijke taken en verantwoordelijkheden voor alle ICT-gerelateerde functies en van passende governanceregelingen om te zorgen voor doeltreffende en tijdige communicatie, samenwerking en coördinatie tussen die functies; |
| --- | --- |

c)

de vaststelling van duidelijke taken en verantwoordelijkheden voor alle ICT-gerelateerde functies en van passende governanceregelingen om te zorgen voor doeltreffende en tijdige communicatie, samenwerking en coördinatie tussen die functies;

| d) | de algemene verantwoordelijkheid voor het vaststellen en goedkeuren van de strategie voor digitale operationele weerbaarheid als bedoeld in artikel 6, lid 8, met inbegrip van de bepaling van het passende risicotolerantieniveau voor het ICT-risico van de financiële entiteit, als bedoeld in artikel 6, lid 8, punt b); |
| --- | --- |

d)

de algemene verantwoordelijkheid voor het vaststellen en goedkeuren van de strategie voor digitale operationele weerbaarheid als bedoeld in artikel 6, lid 8, met inbegrip van de bepaling van het passende risicotolerantieniveau voor het ICT-risico van de financiële entiteit, als bedoeld in artikel 6, lid 8, punt b);

| e) | de goedkeuring van, het toezicht op en de periodieke evaluatie van de uitvoering van het beleid inzake ICT-bedrijfscontinuïteit en van de ICT-respons- en herstelplannen van de financiële entiteit, als bedoeld in respectievelijk artikel 11, leden 1 en 3, die kunnen worden aangenomen als een specifiek afzonderlijk beleid en als integrerend onderdeel van het ruimere beleid inzake bedrijfscontinuïteit en het respons- en herstelplan van de financiële entiteit; |
| --- | --- |

e)

de goedkeuring van, het toezicht op en de periodieke evaluatie van de uitvoering van het beleid inzake ICT-bedrijfscontinuïteit en van de ICT-respons- en herstelplannen van de financiële entiteit, als bedoeld in respectievelijk artikel 11, leden 1 en 3, die kunnen worden aangenomen als een specifiek afzonderlijk beleid en als integrerend onderdeel van het ruimere beleid inzake bedrijfscontinuïteit en het respons- en herstelplan van de financiële entiteit;

| f) | de goedkeuring en de periodieke evaluatie van de interne ICT-auditplannen en ICT-audits van de financiële entiteit en materiële wijzigingen daarvan; |
| --- | --- |

f)

de goedkeuring en de periodieke evaluatie van de interne ICT-auditplannen en ICT-audits van de financiële entiteit en materiële wijzigingen daarvan;

| g) | de toewijzing en de periodieke evaluatie van het passende budget om te voldoen aan de behoeften inzake digitale operationele weerbaarheid van de financiële entiteit met betrekking tot alle soorten middelen, waaronder relevante bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid zoals bedoeld in artikel 13, lid 6, en ICT-vaardigheden voor al het personeel; |
| --- | --- |

g)

de toewijzing en de periodieke evaluatie van het passende budget om te voldoen aan de behoeften inzake digitale operationele weerbaarheid van de financiële entiteit met betrekking tot alle soorten middelen, waaronder relevante bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid zoals bedoeld in artikel 13, lid 6, en ICT-vaardigheden voor al het personeel;

| h) | de goedkeuring en de periodieke evaluatie van het beleid van de financiële entiteit inzake regelingen betreffende het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten worden verleend; |
| --- | --- |

h)

de goedkeuring en de periodieke evaluatie van het beleid van de financiële entiteit inzake regelingen betreffende het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten worden verleend;

| i) | het opzetten van meldingskanalen op bedrijfsniveau die het in staat stellen informatie in te winnen over:






  i) | overeenkomsten met derde aanbieders van ICT-diensten inzake het gebruik van ICT-diensten; |
| --- | --- | --- |

i)

het opzetten van meldingskanalen op bedrijfsniveau die het in staat stellen informatie in te winnen over:

i)

overeenkomsten met derde aanbieders van ICT-diensten inzake het gebruik van ICT-diensten;

| ii) | elke relevante geplande materiële wijziging betreffende de derde aanbieders van ICT-diensten; |
| --- | --- |

ii)

elke relevante geplande materiële wijziging betreffende de derde aanbieders van ICT-diensten;

| iii) | de potentiële effecten van deze veranderingen voor de kritieke of belangrijke functies die onder die overeenkomsten vallen, inclusief door middel van een samenvatting van de risicoanalyse om het effect te beoordelen van die veranderingen en op zijn minst ernstige ICT-gerelateerde incidenten en de gevolgen daarvan, alsook respons-, herstel- en corrigerende maatregelen. |
| --- | --- |

iii)

de potentiële effecten van deze veranderingen voor de kritieke of belangrijke functies die onder die overeenkomsten vallen, inclusief door middel van een samenvatting van de risicoanalyse om het effect te beoordelen van die veranderingen en op zijn minst ernstige ICT-gerelateerde incidenten en de gevolgen daarvan, alsook respons-, herstel- en corrigerende maatregelen.

3.   Andere financiële entiteiten dan micro-ondernemingen stellen een taak vast om de overeenkomsten met derde aanbieders van ICT-diensten met betrekking tot het gebruik van deze diensten te monitoren, of wijzen een lid van het hoger leidinggevend personeel aan dat verantwoordelijk is voor het toezicht op de desbetreffende risicoblootstelling en de relevante documentatie.

4.   De leden van het leidinggevend orgaan van de financiële entiteit onderhouden actief voldoende kennis en vaardigheden om ICT-risico en de gevolgen daarvan voor de verrichtingen van de financiële entiteit te begrijpen en te beoordelen, onder meer door regelmatig specifieke opleidingen te volgen die in verhouding staan tot het te beheren ICT-risico.

Afdeling II

Artikel 6

Kader voor ICT-risicobeheer

1.   Financiële entiteiten beschikken over een solide, alomvattend en goed gedocumenteerd kader voor ICT-risicobeheer, als onderdeel van hun algemeen risicobeheersysteem, dat hen in staat stelt ICT-risico snel, efficiënt en zo volledig mogelijk aan te pakken en een hoog niveau van digitale operationele weerbaarheid te waarborgen.

2.   Het kader voor ICT-risicobeheer omvat ten minste strategieën, beleidslijnen, procedures, ICT-protocollen en instrumenten die nodig zijn om alle informatie- en ICT-activa, met inbegrip van computersoftware, hardware, servers naar behoren en toereikend te beschermen, en om alle relevante fysieke elementen en infrastructuur, zoals gebouwen en terreinen, datacentra en als gevoelig aangewezen gebieden te beschermen, teneinde te waarborgen dat alle informatie- en ICT-activa toereikend worden beschermd tegen risico’s, waaronder schade, ongeoorloofde toegang en ongeoorloofd gebruik.

3.   Overeenkomstig hun kader voor ICT-risicobeheer beperken financiële entiteiten de impact van ICT-risico tot een minimum door passende strategieën, beleidslijnen, procedures, ICT-protocollen en instrumenten in te zetten. Op verzoek van de bevoegde autoriteiten verstrekken zij aan die autoriteiten volledige en geactualiseerde informatie over ICT-risico en over hun kader voor ICT-risicobeheer.

4.   Andere financiële entiteiten dan micro-ondernemingen wijzen de verantwoordelijkheid voor het beheer van en toezicht op ICT-risico toe aan een controlefunctie en waarborgen een passend niveau van onafhankelijkheid van die controlefunctie om belangenconflicten te voorkomen. Financiële entiteiten waarborgen een passende scheiding en onafhankelijkheid van ICT-risicobeheerfuncties, controlefuncties en interne auditfuncties, overeenkomstig het model van de drie verdedigingslijnen of een model voor intern risicobeheer en -controle.

5.   Het kader voor ICT-risicobeheer wordt ten minste eenmaal per jaar, of periodiek in het geval van micro-ondernemingen, gedocumenteerd en geëvalueerd, alsook wanneer zich ernstige ICT-gerelateerde incidenten voordoen en na toezichtinstructies of -conclusies die voortvloeien uit relevante tests of auditprocessen op het gebied van digitale operationele weerbaarheid. Het wordt voortdurend verbeterd op basis van de lessen die uit de uitvoering en de monitoring naar voren komen. Aan de bevoegde autoriteit wordt een verslag bezorgd over de evaluatie van het kader voor ICT-risicobeheer indien zij daarom verzoekt.

6.   Het kader voor ICT-risicobeheer van andere financiële entiteiten dan micro-ondernemingen wordt regelmatig onderworpen aan een interne audit door auditors, in overeenstemming met het auditplan van de financiële entiteiten. Deze auditors beschikken over voldoende kennis, vaardigheden en deskundigheid op het gebied van ICT-risico en over de nodige onafhankelijkheid. De frequentie en de focus van de ICT-audits staan in verhouding tot het ICT-risico van de financiële entiteit.

7.   Op basis van de conclusies van de interne audit stellen financiële entiteiten een formeel follow-upproces vast, met regels voor de tijdige verificatie en remediëring van kritieke ICT-auditbevindingen.

8.   Het kader voor ICT-risicobeheer omvat een strategie voor digitale operationele weerbaarheid waarin de wijze van tenuitvoerlegging van het kader wordt vastgesteld. Daartoe omvat de strategie voor digitale operationele weerbaarheid methoden om ICT-risico aan te pakken en specifieke ICT-doelstellingen te verwezenlijken, door:

| a) | toe te lichten hoe het kader voor ICT-risicobeheer de bedrijfsstrategie en -doelstellingen van de financiële entiteit ondersteunt; |
| --- | --- |

a)

toe te lichten hoe het kader voor ICT-risicobeheer de bedrijfsstrategie en -doelstellingen van de financiële entiteit ondersteunt;

| b) | het risicotolerantieniveau voor ICT-risico vast te stellen in overeenstemming met de risicobereidheid van de financiële entiteit, en de tolerantie ten aanzien van de effecten van ICT-storingen te analyseren; |
| --- | --- |

b)

het risicotolerantieniveau voor ICT-risico vast te stellen in overeenstemming met de risicobereidheid van de financiële entiteit, en de tolerantie ten aanzien van de effecten van ICT-storingen te analyseren;

| c) | duidelijke informatiebeveiligingsdoelstellingen vast te stellen, met inbegrip van kernprestatie-indicatoren en kernrisicomaatstaven; |
| --- | --- |

c)

duidelijke informatiebeveiligingsdoelstellingen vast te stellen, met inbegrip van kernprestatie-indicatoren en kernrisicomaatstaven;

| d) | de ICT-referentiearchitectuur toe te lichten alsmede eventuele wijzigingen daarin die noodzakelijk zijn om specifieke bedrijfsdoelstellingen te bereiken; |
| --- | --- |

d)

de ICT-referentiearchitectuur toe te lichten alsmede eventuele wijzigingen daarin die noodzakelijk zijn om specifieke bedrijfsdoelstellingen te bereiken;

| e) | de verschillende mechanismen te beschrijven die zijn ingesteld om ICT-gerelateerde incidenten op te sporen, de effecten ervan te voorkomen en te voorzien in beveiliging tegen deze effecten; |
| --- | --- |

e)

de verschillende mechanismen te beschrijven die zijn ingesteld om ICT-gerelateerde incidenten op te sporen, de effecten ervan te voorkomen en te voorzien in beveiliging tegen deze effecten;

| f) | de huidige situatie op het gebied van digitale operationele weerbaarheid aan te tonen op basis van het aantal gemelde ernstige ICT-gerelateerde incidenten en de doeltreffendheid van preventieve maatregelen; |
| --- | --- |

f)

de huidige situatie op het gebied van digitale operationele weerbaarheid aan te tonen op basis van het aantal gemelde ernstige ICT-gerelateerde incidenten en de doeltreffendheid van preventieve maatregelen;

| g) | tests te verrichten van de digitale operationele weerbaarheid, overeenkomstig hoofdstuk IV van deze verordening; |
| --- | --- |

g)

tests te verrichten van de digitale operationele weerbaarheid, overeenkomstig hoofdstuk IV van deze verordening;

| h) | en een communicatiestrategie uit te stippelen in het geval van ICT-gerelateerde incidenten die overeenkomstig artikel 14 openbaar moeten worden gemaakt. |
| --- | --- |

h)

en een communicatiestrategie uit te stippelen in het geval van ICT-gerelateerde incidenten die overeenkomstig artikel 14 openbaar moeten worden gemaakt.

9.   Financiële entiteiten kunnen, in het kader van de in lid 8 bedoelde strategie voor digitale operationele weerbaarheid, op groeps- of entiteitsniveau een holistische multivendorstrategie op ICT-gebied vaststellen, waarin belangrijke afhankelijkheden van derde aanbieders van ICT-diensten worden aangegeven en de motivering voor de mix van aanbestedingen bij derde aanbieders van ICT-diensten wordt toegelicht.

10.   Financiële entiteiten kunnen, in overeenstemming met het Unie- en nationale sectorale recht, de verificatietaken inzake naleving van de vereisten op het gebied van ICT-risicobeheer uitbesteden aan intragroeps- of externe ondernemingen. In het geval van een dergelijke uitbesteding blijft de financiële entiteit volledig verantwoordelijk voor de controle op de naleving van de vereisten inzake ICT-risicobeheer.

Artikel 7

ICT-systemen, -protocollen en -instrumenten

Om ICT-risico aan te pakken en te beheren, gebruiken en onderhouden financiële entiteiten geactualiseerde ICT-systemen, -protocollen en -instrumenten die:

| a) | geschikt zijn gezien de omvang van de verrichtingen ter ondersteuning van hun activiteiten, in overeenstemming met het evenredigheidsbeginsel als bedoeld in artikel 4; |
| --- | --- |

a)

geschikt zijn gezien de omvang van de verrichtingen ter ondersteuning van hun activiteiten, in overeenstemming met het evenredigheidsbeginsel als bedoeld in artikel 4;

| b) | betrouwbaar zijn; |
| --- | --- |

b)

betrouwbaar zijn;

| c) | voldoende capaciteit hebben voor een nauwkeurige verwerking van de gegevens die nodig zijn voor de uitvoering van activiteiten en de tijdige verlening van diensten, en om zo nodig volumepieken in orders, orderberichten of transacties op te vangen, onder meer wanneer nieuwe technologie wordt ingevoerd; |
| --- | --- |

c)

voldoende capaciteit hebben voor een nauwkeurige verwerking van de gegevens die nodig zijn voor de uitvoering van activiteiten en de tijdige verlening van diensten, en om zo nodig volumepieken in orders, orderberichten of transacties op te vangen, onder meer wanneer nieuwe technologie wordt ingevoerd;

| d) | technologisch gezien voldoende weerbaar zijn om indien nodig in gespannen marktomstandigheden of andere ongunstige situaties naar behoren te voorzien in bijkomende gegevensverwerking. |
| --- | --- |

d)

technologisch gezien voldoende weerbaar zijn om indien nodig in gespannen marktomstandigheden of andere ongunstige situaties naar behoren te voorzien in bijkomende gegevensverwerking.

Artikel 8

Identificatie

1.   In het kader van het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer identificeren, classificeren en documenteren financiële entiteiten naar behoren alle door ICT ondersteunde bedrijfsfuncties, taken en verantwoordelijkheden, de informatie- en ICT-activa die deze functies ondersteunen, en hun taken en afhankelijkheden met betrekking tot ICT-risico’s. Financiële entiteiten evalueren indien nodig en ten minste eenmaal per jaar of deze classificatie en de relevante documentatie adequaat is.

2.   Financiële entiteiten identificeren permanent alle bronnen van ICT-risico, met name de wederzijdse risicoblootstelling ten aanzien van andere financiële entiteiten, en beoordelen de cyberdreigingen en ICT-kwetsbaarheden die relevant zijn voor hun door ICT ondersteunde bedrijfsfuncties en informatie- en ICT-activa. Financiële entiteiten evalueren regelmatig en ten minste eenmaal per jaar de risicoscenario’s die op hen van invloed zijn.

3.   Andere financiële entiteiten dan micro-ondernemingen verrichten een risicobeoordeling bij elke belangrijke wijziging in de netwerk- en informatiesysteeminfrastructuur en in de processen of procedures die van invloed zijn op hun door ICT ondersteunde bedrijfsfuncties en informatie- of ICT-activa.

4.   Financiële entiteiten identificeren alle informatie- en ICT-activa, met inbegrip van die welke zich op afgelegen locaties bevinden, netwerkmiddelen en hardware-uitrusting, en inventariseren die welke zij cruciaal achten. Zij inventariseren de configuratie van de informatie- en ICT-activa en de verbanden en onderlinge afhankelijkheden tussen de verschillende informatie- en ICT-activa.

5.   Financiële entiteiten identificeren en documenteren alle processen die afhankelijk zijn van derde aanbieders van ICT-diensten en identificeren interconnecties met derde aanbieders van ICT-diensten die diensten verlenen die kritieke of belangrijke functies ondersteunen.

6.   Voor de toepassing van de leden 1, 4 en 5 houden financiële entiteiten desbetreffende inventarissen bij en actualiseren zij deze periodiek en telkens wanneer zich een belangrijke wijziging als bedoeld in lid 3 voordoet.

7.   Andere financiële entiteiten dan micro-ondernemingen verrichten regelmatig en ten minste eenmaal per jaar een specifieke ICT-risicobeoordeling op alle legacy-ICT-systemen en in ieder geval voor en na de aansluiting van technologieën, toepassingen of systemen.

Artikel 9

Bescherming en voorkoming

1.   Om ICT-systemen op passende wijze te beschermen en met het oog op de organisatie van responsmaatregelen monitoren en controleren financiële entiteiten voortdurend de beveiliging en werking van de ICT-systemen en -instrumenten en beperken zij de effecten van ICT-risico op ICT-systemen door de inzet van passende ICT-beveiligingsinstrumenten, -beleidslijnen en -procedures.

2.   Financiële entiteiten zorgen voor het ontwerp, de aanbesteding en de uitvoering van ICT-beveiligingsbeleidslijnen, -procedures, -protocollen en -instrumenten die er op gericht zijn de weerbaarheid, continuïteit en beschikbaarheid van ICT-systemen, met name die welke kritieke of belangrijke functies ondersteunen, te waarborgen alsmede hoge normen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, zowel in rusttoestand, bij gebruik als bij doorvoer, te handhaven.

3.   Om de in lid 2 bedoelde doelstellingen te verwezenlijken, maken financiële entiteiten gebruik van ICT-technologieën en -processen die geschikt zijn overeenkomstig artikel 4. Die ICT-oplossingen en -processen:

| a) | waarborgen de beveiliging van de middelen voor overdracht van gegevens; |
| --- | --- |

a)

waarborgen de beveiliging van de middelen voor overdracht van gegevens;

| b) | beperken het risico op aantasting of verlies van gegevens, ongeoorloofde toegang en technische gebreken die de bedrijfsactiviteit kunnen belemmeren; |
| --- | --- |

b)

beperken het risico op aantasting of verlies van gegevens, ongeoorloofde toegang en technische gebreken die de bedrijfsactiviteit kunnen belemmeren;

| c) | voorkomen een gebrek aan beschikbaarheid, de aantasting van de authenticiteit en integriteit, de inbreuken op de vertrouwelijkheid en het verlies van gegevens; |
| --- | --- |

c)

voorkomen een gebrek aan beschikbaarheid, de aantasting van de authenticiteit en integriteit, de inbreuken op de vertrouwelijkheid en het verlies van gegevens;

| d) | zorgen ervoor dat gegevens worden beschermd tegen risico’s bij het gegevensbeheer, met inbegrip van slecht bestuur, risico’s bij de verwerking en menselijke fouten. |
| --- | --- |

d)

zorgen ervoor dat gegevens worden beschermd tegen risico’s bij het gegevensbeheer, met inbegrip van slecht bestuur, risico’s bij de verwerking en menselijke fouten.

4.   In het kader van het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer zorgen financiële entiteiten voor het volgende:

| a) | zij ontwikkelen en documenteren een beleid inzake informatiebeveiliging waarin regels worden vastgesteld ter bescherming van de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, informatie- en ICT-activa, inclusief die van hun klanten, in voorkomend geval; |
| --- | --- |

a)

zij ontwikkelen en documenteren een beleid inzake informatiebeveiliging waarin regels worden vastgesteld ter bescherming van de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, informatie- en ICT-activa, inclusief die van hun klanten, in voorkomend geval;

| b) | zij voeren op grond van een op risico’s gebaseerde aanpak een degelijke structuur voor netwerk- en infrastructuurbeheer in met gebruik van passende technieken, methoden en protocollen, eventueel met toepassing van geautomatiseerde mechanismen om in geval van cyberaanvallen de getroffen informatieactiva te isoleren; |
| --- | --- |

b)

zij voeren op grond van een op risico’s gebaseerde aanpak een degelijke structuur voor netwerk- en infrastructuurbeheer in met gebruik van passende technieken, methoden en protocollen, eventueel met toepassing van geautomatiseerde mechanismen om in geval van cyberaanvallen de getroffen informatieactiva te isoleren;

| c) | zij voeren een beleid waarbij de fysieke of logische toegang tot informatie- en ICT-activa wordt beperkt tot hetgeen alleen voor legitieme en goedgekeurde functies en activiteiten noodzakelijk is, en voeren daartoe een reeks beleidslijnen, procedures en controles in om toegangsrechten en een degelijk beheer daarvan te waarborgen; |
| --- | --- |

c)

zij voeren een beleid waarbij de fysieke of logische toegang tot informatie- en ICT-activa wordt beperkt tot hetgeen alleen voor legitieme en goedgekeurde functies en activiteiten noodzakelijk is, en voeren daartoe een reeks beleidslijnen, procedures en controles in om toegangsrechten en een degelijk beheer daarvan te waarborgen;

| d) | zij voeren beleidslijnen en protocollen in voor strenge authenticatiemechanismen die gebaseerd zijn op relevante normen, specifieke controlesystemen en beschermingsmaatregelen voor cryptografische sleutels, waarbij gegevens worden versleuteld uitgaande van de resultaten van goedgekeurde processen van gegevensclassificatie en ICT-risicobeoordeling; |
| --- | --- |

d)

zij voeren beleidslijnen en protocollen in voor strenge authenticatiemechanismen die gebaseerd zijn op relevante normen, specifieke controlesystemen en beschermingsmaatregelen voor cryptografische sleutels, waarbij gegevens worden versleuteld uitgaande van de resultaten van goedgekeurde processen van gegevensclassificatie en ICT-risicobeoordeling;

| e) | zij voeren gedocumenteerde beleidslijnen, procedures en controles in voor het beheer van veranderingen in ICT, met inbegrip van veranderingen in software, hardware, firmwarecomponenten, systemen of beveiligingsparameters, die uitgaan van een op risicobeoordeling gebaseerde aanpak en integrerend deel uitmaken van het algemene veranderingsbeheerproces van de financiële entiteit, teneinde te garanderen dat alle veranderingen in ICT-systemen op gecontroleerde wijze worden geregistreerd, getest, beoordeeld, goedgekeurd, ingevoerd en geverifieerd; |
| --- | --- |

e)

zij voeren gedocumenteerde beleidslijnen, procedures en controles in voor het beheer van veranderingen in ICT, met inbegrip van veranderingen in software, hardware, firmwarecomponenten, systemen of beveiligingsparameters, die uitgaan van een op risicobeoordeling gebaseerde aanpak en integrerend deel uitmaken van het algemene veranderingsbeheerproces van de financiële entiteit, teneinde te garanderen dat alle veranderingen in ICT-systemen op gecontroleerde wijze worden geregistreerd, getest, beoordeeld, goedgekeurd, ingevoerd en geverifieerd;

| f) | zij beschikken over een passend en alomvattend gedocumenteerd beleid voor patches en updates. |
| --- | --- |

f)

zij beschikken over een passend en alomvattend gedocumenteerd beleid voor patches en updates.

Voor de toepassing van de eerste alinea, punt b) ontwerpen financiële entiteiten de netwerkaansluitinfrastructuur op zodanige wijze dat deze onmiddellijk kan worden afgekoppeld of gesegmenteerd teneinde besmetting te beperken en te voorkomen, met name voor onderling gekoppelde financiële processen.

Voor de toepassing van de eerste alinea, punt e) wordt het beheerproces inzake ICT-veranderingen goedgekeurd door passende beheerlijnen en voorzien van specifieke protocollen.

Artikel 10

Detectie

1.   Financiële entiteiten beschikken over mechanismen om overeenkomstig artikel 17 afwijkende activiteiten zo spoedig mogelijk te detecteren, met inbegrip van kwesties op het gebied van ICT-netwerkprestaties en ICT-gerelateerde incidenten, en om potentiële zwakke fysieke punten (“single points of failure”) te identificeren.

Alle in de eerste alinea bedoelde detectiemechanismen worden regelmatig getest overeenkomstig artikel 25.

2.   De in lid 1 bedoelde detectiemechanismen maken meerdere controlelagen mogelijk en bepalen waarschuwingsdrempels en criteria om processen voor respons op ICT-gerelateerde incidenten in werking te stellen, met inbegrip van automatische waarschuwingsmechanismen voor de betrokken personeelsleden die belast zijn met de respons op ICT-gerelateerde incidenten.

3.   Financiële entiteiten zetten voldoende middelen en capaciteiten in om toezicht te houden op activiteiten van gebruikers en het optreden van ICT-anomalieën en ICT-gerelateerde incidenten, met name cyberaanvallen.

4.   Aanbieders van datarapporteringsdiensten beschikken daarnaast over systemen die transactiemeldingen doeltreffend op volledigheid kunnen controleren, omissies en aperte fouten kunnen opsporen en om hernieuwde transmissie van die meldingen kunnen verzoeken.

Artikel 11

Respons en herstel

1.   Binnen het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer en op basis van de in artikel 8 gestelde identificatievereisten voeren financiële entiteiten een alomvattend ICT-bedrijfscontinuïteitsbeleid dat kan worden aangenomen als een specifiek beleid en een integrerend onderdeel vormt van het ruimere bedrijfsbrede beleid inzake bedrijfscontinuïteit van de financiële entiteit.

2.   Financiële entiteiten voeren het ICT-bedrijfscontinuïteitsbeleid uit via specifieke, aangepaste en gedocumenteerde regelingen, plannen, procedures en mechanismen die erop gericht zijn:

| a) | de continuïteit van de kritieke of belangrijke functies van de financiële entiteit te verzekeren; |
| --- | --- |

a)

de continuïteit van de kritieke of belangrijke functies van de financiële entiteit te verzekeren;

| b) | op een snelle, passende en doeltreffende wijze een respons en een oplossing te bieden voor alle ICT-gerelateerde incidenten waarbij de schade wordt beperkt en prioriteit wordt verleend aan de hervatting van de activiteiten en aan herstelmaatregelen; |
| --- | --- |

b)

op een snelle, passende en doeltreffende wijze een respons en een oplossing te bieden voor alle ICT-gerelateerde incidenten waarbij de schade wordt beperkt en prioriteit wordt verleend aan de hervatting van de activiteiten en aan herstelmaatregelen;

| c) | onverwijld specifieke plannen in werking te stellen om inperkingsmaatregelen, -processen en -technologieën mogelijk te maken die aangepast zijn aan elk type ICT-gerelateerd incident en waarmee verdere schade kan worden voorkomen, alsmede op maat gesneden respons- en herstelprocedures in overeenstemming met artikel 12; |
| --- | --- |

c)

onverwijld specifieke plannen in werking te stellen om inperkingsmaatregelen, -processen en -technologieën mogelijk te maken die aangepast zijn aan elk type ICT-gerelateerd incident en waarmee verdere schade kan worden voorkomen, alsmede op maat gesneden respons- en herstelprocedures in overeenstemming met artikel 12;

| d) | de voorlopige effecten, schade en verliezen te ramen; |
| --- | --- |

d)

de voorlopige effecten, schade en verliezen te ramen;

| e) | maatregelen voor communicatie en crisisbeheersing op te stellen die garanderen dat aan alle betrokken interne personeelsleden en externe belanghebbenden geactualiseerde informatie wordt verstrekt overeenkomstig artikel 14, en verslag uit te brengen aan de bevoegde autoriteiten overeenkomstig artikel 19. |
| --- | --- |

e)

maatregelen voor communicatie en crisisbeheersing op te stellen die garanderen dat aan alle betrokken interne personeelsleden en externe belanghebbenden geactualiseerde informatie wordt verstrekt overeenkomstig artikel 14, en verslag uit te brengen aan de bevoegde autoriteiten overeenkomstig artikel 19.

3.   Binnen het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer voeren financiële entiteiten bijbehorende ICT-respons- en herstelplannen in die, in het geval van andere financiële entiteiten dan micro-ondernemingen, aan onafhankelijke interne audits worden onderworpen.

4.   Financiële entiteiten voeren passende ICT-bedrijfscontinuïteitsplannen in, handhaven deze en zorgen voor periodieke tests, met name wat betreft kritieke of belangrijke functies die zijn uitbesteed of via contractuele overeenkomsten met derde aanbieders van ICT-diensten zijn overeengekomen.

5.   In het kader van het algemene bedrijfscontinuïteitsbeleid voeren financiële entiteiten een bedrijfsimpactanalyse (business impact analysis — BIA) uit van hun blootstelling aan ernstige verstoringen van de bedrijfsactiviteiten. In het kader van de BIA beoordelen financiële entiteiten de potentiële gevolgen van ernstige verstoringen van de bedrijfsactiviteiten aan de hand van kwantitatieve en kwalitatieve criteria, in voorkomend geval met behulp van interne en externe gegevens en scenarioanalyse. In de BIA wordt rekening gehouden met de kritieke aard van geïdentificeerde en in kaart gebrachte bedrijfsfuncties, ondersteuningsprocessen, afhankelijkheden van derden en informatieactiva, en hun onderlinge afhankelijkheden. Financiële entiteiten zorgen ervoor dat ICT-activa en ICT-diensten worden ontworpen en gebruikt in volledige overeenstemming met de BIA, met name om de redundantie van alle kritieke onderdelen adequaat te waarborgen.

6.   In het kader van hun alomvattend ICT-risicobeheer testen financiële entiteiten:

| a) | ten minste jaarlijks en in geval van substantiële wijzigingen in ICT-systemen die kritieke of belangrijke functies ondersteunen, de ICT-bedrijfscontinuïteitsplannen en de ICT-respons- en herstelplannen met betrekking tot ICT-systemen die kritieke of belangrijke functies ondersteunen; |
| --- | --- |

a)

ten minste jaarlijks en in geval van substantiële wijzigingen in ICT-systemen die kritieke of belangrijke functies ondersteunen, de ICT-bedrijfscontinuïteitsplannen en de ICT-respons- en herstelplannen met betrekking tot ICT-systemen die kritieke of belangrijke functies ondersteunen;

| b) | de overeenkomstig artikel 14 opgestelde crisiscommunicatieplannen. |
| --- | --- |

b)

de overeenkomstig artikel 14 opgestelde crisiscommunicatieplannen.

Voor de toepassing van de eerste alinea, punt a), nemen andere financiële entiteiten dan micro-ondernemingen in de testplannen scenario’s op van cyberaanvallen en omschakelingen tussen de primaire ICT-infrastructuur en de reservecapaciteit, backups en reservefaciliteiten die noodzakelijk zijn om te voldoen aan de in artikel 12 bedoelde verplichtingen.

Financiële entiteiten evalueren regelmatig hun ICT-bedrijfscontinuïteitsbeleid en hun ICT-respons- en herstelplannen, rekening houdend met de resultaten van de overeenkomstig de eerste alinea uitgevoerde tests en de aanbevelingen die voortvloeien uit audits of toezichtbeoordelingen.

7.   Andere financiële entiteiten dan micro-ondernemingen beschikken over een functie voor crisisbeheer die in geval van activering van hun ICT-bedrijfscontinuïteitsplannen of ICT-respons- en herstelplannen onder meer duidelijke procedures bepaalt voor het beheer van interne en externe crisiscommunicatie in overeenstemming met artikel 14.

8.   Financiële entiteiten houden gemakkelijk toegankelijke registers bij van hun activiteiten vóór en tijdens storingen wanneer hun ICT-bedrijfscontinuïteitsplannen en ICT-respons- en herstelplannen worden geactiveerd.

9.   Centrale effectenbewaarinstellingen verstrekken de bevoegde autoriteiten kopieën van de resultaten van de ICT-bedrijfscontinuïteitstests of van soortgelijke oefeningen.

10.   Andere financiële entiteiten dan micro-ondernemingen verstrekken de bevoegde autoriteiten op hun verzoek een raming van de geaggregeerde jaarlijkse kosten en verliezen als gevolg van ernstige ICT-gerelateerde incidenten.

11.   Overeenkomstig artikel 16 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 ontwikkelen de ETA’s, via het Gemengd Comité, uiterlijk op 17 juli 2024 gemeenschappelijke richtsnoeren voor de raming van de geaggregeerde jaarlijkse kosten en verliezen als bedoeld in lid 10.

Artikel 12

Back-upbeleid en -procedures, terugzettings- en herstelprocedures en -methoden

1.   Teneinde het terugzetten van ICT-systemen en gegevens te verzekeren met een minimale uitval en een beperkte verstoring en beperkt verlies, ontwikkelen en documenteren financiële entiteiten als onderdeel van hun kader voor ICT-risicobeheer:

| a) | back-upbeleid en -procedures waarin nader wordt bepaald op welke gegevens de back-up en de minimale frequentie van de back-up worden toegepast, op basis van het kritieke karakter van de informatie of het vertrouwelijkheidsniveau van de gegevens; |
| --- | --- |

a)

back-upbeleid en -procedures waarin nader wordt bepaald op welke gegevens de back-up en de minimale frequentie van de back-up worden toegepast, op basis van het kritieke karakter van de informatie of het vertrouwelijkheidsniveau van de gegevens;

| b) | terugzettings- en herstelprocedures en -methoden. |
| --- | --- |

b)

terugzettings- en herstelprocedures en -methoden.

2.   Financiële entiteiten zetten back-upsystemen op die kunnen worden geactiveerd in overeenstemming met het back-upbeleid, de back-upprocedures, en de terugzettings- en herstelprocedures en -methoden. De activering van back-upsystemen mag de beveiliging van de netwerk- en informatiesystemen of de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens niet in gevaar brengen. De back-upprocedures en de terugzettings- en herstelprocedures en -methoden worden periodiek getest.

3.   Wanneer financiële entiteiten back-upgegevens terugzetten met behulp van eigen systemen, maken zij gebruik van ICT-systemen die fysiek of logisch gescheiden zijn van het bron-ICT-systeem. De ICT-systemen zijn tegen ongeoorloofde toegang of beschadiging van ICT beveiligd en maken het mogelijk diensten indien nodig tijdig terug te zetten met gebruikmaking van gegevens en systeemback-ups.

Voor centrale tegenpartijen maken de herstelplannen het herstel mogelijk van alle transacties ten tijde van de verstoring, om de centrale tegenpartij in staat te stellen haar activiteiten met zekerheid voort te zetten en de transactie af te wikkelen op de geplande datum.

Aanbieders van datarapporteringsdiensten houden daarnaast voldoende middelen aan en beschikken over back-up- en terugzetfaciliteiten om hun diensten te allen tijde aan te bieden en te onderhouden.

4.   Andere financiële entiteiten dan micro-ondernemingen houden ICT-capaciteiten in reserve met middelen, capaciteiten en functies die geschikt zijn om te voorzien in de zakelijke behoeften. Micro-ondernemingen gaan op basis van hun risicoprofiel na of dergelijke reservecapaciteiten behouden moeten worden.

5.   Centrale effectenbewaarinstellingen handhaven ten minste één secundaire verwerkingslocatie, met adequate middelen, capaciteiten, functies en personeelsvoorziening om te voorzien in de zakelijke behoeften.

De secundaire verwerkingslocatie is:

| a) | fysiek gevestigd op een bepaalde afstand van de primaire verwerkingslocatie om te verzekeren dat de locatie een ander risicoprofiel heeft en om te voorkomen dat deze wordt getroffen door de gebeurtenis die de primaire locatie heeft getroffen; |
| --- | --- |

a)

fysiek gevestigd op een bepaalde afstand van de primaire verwerkingslocatie om te verzekeren dat de locatie een ander risicoprofiel heeft en om te voorkomen dat deze wordt getroffen door de gebeurtenis die de primaire locatie heeft getroffen;

| b) | in staat de continuïteit van kritieke of belangrijke functies op dezelfde manier te waarborgen als de primaire locatie of het niveau van diensten te leveren dat noodzakelijk is om ervoor te zorgen dat de financiële entiteit haar kritieke activiteiten verricht binnen het kader van de hersteldoelstellingen; |
| --- | --- |

b)

in staat de continuïteit van kritieke of belangrijke functies op dezelfde manier te waarborgen als de primaire locatie of het niveau van diensten te leveren dat noodzakelijk is om ervoor te zorgen dat de financiële entiteit haar kritieke activiteiten verricht binnen het kader van de hersteldoelstellingen;

| c) | onmiddellijk toegankelijk voor het personeel van de financiële entiteit om de continuïteit van kritieke of belangrijke functies te waarborgen ingeval de primaire verwerkingslocatie niet langer beschikbaar is. |
| --- | --- |

c)

onmiddellijk toegankelijk voor het personeel van de financiële entiteit om de continuïteit van kritieke of belangrijke functies te waarborgen ingeval de primaire verwerkingslocatie niet langer beschikbaar is.

6.   Bij het bepalen van de doelstellingen inzake hersteltijd en herstelpunt voor elke functie houden financiële entiteiten rekening met de vraag of het een kritieke of belangrijke functie betreft en met het potentiële algemene effect op de marktefficiëntie. Deze tijdsdoelstellingen zorgen ervoor dat de overeengekomen niveaus in extreme scenario’s worden gehaald.

7.   Bij herstel van een ICT-gerelateerd incident verrichten financiële entiteiten de benodigde controles, ook meerdere controles, waaronder afstemmingen, om ervoor te zorgen dat het hoogste niveau van gegevensintegriteit wordt gehandhaafd. Deze controles worden ook verricht bij het reconstrueren van gegevens van externe belanghebbenden om te waarborgen dat alle gegevens consistent zijn tussen de systemen.

Artikel 13

Scholing en ontwikkeling

1.   Financiële entiteiten beschikken over capaciteiten en personele middelen om informatie te verzamelen over kwetsbaarheden en cyberdreigingen, ICT-gerelateerde incidenten, met name cyberaanvallen, en om de waarschijnlijke gevolgen ervan voor hun digitale operationele weerbaarheid te analyseren.

2.   Financiële entiteiten verrichten ICT-gerelateerde post-incidentevaluaties na verstoringen van hun kernactiviteiten ten gevolge van een ernstig ICT-gerelateerd incident, analyseren daarbij de oorzaken van de verstoring en identificeren de verbeteringen die moeten worden aangebracht in de ICT-activiteiten of in het kader van het ICT-bedrijfscontinuïteitsbeleid als bedoeld in artikel 11.

Andere financiële entiteiten dan micro-ondernemingen delen op verzoek de bevoegde autoriteiten de wijzigingen mee die na de in de eerste alinea bedoelde ICT-gerelateerde post-incidentevaluaties zijn doorgevoerd.

In de in de eerste alinea bedoelde ICT-gerelateerde post-incidentevaluaties wordt bepaald of de vastgestelde procedures zijn gevolgd en of de genomen maatregelen doeltreffend zijn geweest, onder meer met betrekking tot:

| a) | de snelheid waarmee is gereageerd op veiligheidswaarschuwingen en de effecten en de ernst van ICT-gerelateerde incidenten zijn vastgesteld; |
| --- | --- |

a)

de snelheid waarmee is gereageerd op veiligheidswaarschuwingen en de effecten en de ernst van ICT-gerelateerde incidenten zijn vastgesteld;

| b) | de kwaliteit en de snelheid bij het verrichten van een forensische analyse, indien deze passend wordt geacht; |
| --- | --- |

b)

de kwaliteit en de snelheid bij het verrichten van een forensische analyse, indien deze passend wordt geacht;

| c) | de doeltreffendheid van incidentescalatie binnen de financiële entiteit; |
| --- | --- |

c)

de doeltreffendheid van incidentescalatie binnen de financiële entiteit;

| d) | de doeltreffendheid van interne en externe communicatie. |
| --- | --- |

d)

de doeltreffendheid van interne en externe communicatie.

3.   In het ICT-risicobeoordelingsproces wordt voortdurend naar behoren rekening gehouden met lessen die voortspruiten uit de overeenkomstig de artikelen 26 en 27 uitgevoerde tests op de digitale operationele weerbaarheid en uit ICT-gerelateerde incidenten die zich in het reële leven hebben voorgedaan, met name cyberaanvallen, alsmede met problemen die zich voordoen bij de activering van ICT-bedrijfscontinuïteitsplannen en ICT-respons- en -herstelplannen, samen met relevante informatie die met tegenpartijen wordt uitgewisseld en tijdens toetsingen in het toezicht worden beoordeeld. Die bevindingen vormen de basis voor passende herzieningen van relevante onderdelen van het kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1.

4.   Financiële entiteiten zien toe erop toe dat hun strategie voor digitale operationele weerbaarheid als bedoeld in artikel 6, lid 8, op doeltreffende wijze wordt uitgevoerd. Zij inventariseren de ontwikkeling van ICT-risico’s in de tijd, analyseren de frequentie, de types, de omvang en de evolutie van ICT-gerelateerde incidenten, met name cyberaanvallen en de patronen daarvan, teneinde inzicht te krijgen in het niveau van blootstelling aan ICT-risico’s, met name met betrekking tot kritieke of belangrijke functies, en de maturiteit en paraatheid van de financiële entiteit ten aanzien van deze risico’s te verhogen.

5.   Het leidinggevend ICT-personeel brengt bij het leidinggevend orgaan ten minste jaarlijks verslag uit over de in lid 3 bedoelde bevindingen en doet aanbevelingen.

6.   Financiële entiteiten ontwikkelen bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid als verplichte modules in de opleidingsprogramma’s voor het personeel. Die programma’s en opleidingen zijn van toepassing op alle werknemers en hoger leidinggevend personeel, en hebben een niveau van complexiteit dat in verhouding staat tot hun takenpakket. In voorkomend geval nemen financiële entiteiten overeenkomstig artikel 30, lid 2, punt i), ook derde aanbieders van ICT-diensten op in hun relevante opleidingsprogramma’s.

7.   Andere financiële entiteiten dan micro-ondernemingen houden voortdurend toezicht op relevante technologische ontwikkelingen, ook om inzicht te krijgen in de mogelijke effecten van de invoering van deze nieuwe technologieën op de ICT-beveiligingsvereisten en de digitale operationele weerbaarheid. Zij blijven op de hoogte van de meest recente processen voor ICT-risicobeheer, om bestaande of nieuwe vormen van cyberaanvallen doeltreffend aan te pakken.

Artikel 14

Communicatie

1.   Als onderdeel van het kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1, beschikken financiële entiteiten over crisiscommunicatieplannen die het mogelijk maken ten minste ernstige ICT-gerelateerde incidenten of kwetsbaarheden op verantwoordelijke wijze bekend te maken aan cliënten en tegenpartijen en, in voorkomend geval, aan het publiek.

2.   Als onderdeel van het kader voor ICT-risicobeheer voeren financiële entiteiten een communicatiebeleid in voor het interne personeel en externe belanghebbenden. In het communicatiebeleid voor het personeel wordt rekening gehouden met de noodzaak om een onderscheid te maken tussen personeel dat betrokken is bij het ICT-risicobeheer, met name het personeel dat verantwoordelijk is voor respons en herstel, en personeel dat moet worden geïnformeerd.

3.   Ten minste één persoon in de financiële entiteit wordt belast met de uitvoering van de communicatiestrategie voor ICT-gerelateerde incidenten en vervult daartoe de rol van woordvoerder bij het publiek en de media.

Artikel 15

Verdere harmonisatie van ICT-risicobeheersinstrumenten, -methoden, -processen en -beleidslijnen

De ETA’s stellen via het Gemengd Comité en in overleg met het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), gemeenschappelijke ontwerpen van technische reguleringsnormen op met het doel:

| a) | nadere elementen te specificeren die moeten worden opgenomen in de beleidslijnen, procedures, protocollen en instrumenten met betrekking tot ICT-beveiliging als bedoeld in artikel 9, lid 2, teneinde de veiligheid van netwerken te garanderen, passende waarborgen tegen inbreuken en misbruik van gegevens mogelijk te maken, de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, met inbegrip van cryptografische technieken, te beschermen en een nauwkeurige en snelle doorgifte van gegevens zonder ernstige verstoringen en onnodige vertragingen te waarborgen; |
| --- | --- |

a)

nadere elementen te specificeren die moeten worden opgenomen in de beleidslijnen, procedures, protocollen en instrumenten met betrekking tot ICT-beveiliging als bedoeld in artikel 9, lid 2, teneinde de veiligheid van netwerken te garanderen, passende waarborgen tegen inbreuken en misbruik van gegevens mogelijk te maken, de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, met inbegrip van cryptografische technieken, te beschermen en een nauwkeurige en snelle doorgifte van gegevens zonder ernstige verstoringen en onnodige vertragingen te waarborgen;

| b) | verdere onderdelen van de controle van rechten voor toegangsbeheer als bedoeld in artikel 9, lid 4, punt c), en het daarmee verband houdende personeelsbeleid te ontwikkelen, waarin de toegangsrechten en de procedures voor het toekennen en intrekken van rechten nader worden gespecificeerd, en toezicht wordt uitgeoefend op afwijkend gedrag met betrekking tot het ICT-risico via passende indicatoren, onder meer voor patronen en uren van netwerkgebruik, IT-activiteit en onbekende toestellen; |
| --- | --- |

b)

verdere onderdelen van de controle van rechten voor toegangsbeheer als bedoeld in artikel 9, lid 4, punt c), en het daarmee verband houdende personeelsbeleid te ontwikkelen, waarin de toegangsrechten en de procedures voor het toekennen en intrekken van rechten nader worden gespecificeerd, en toezicht wordt uitgeoefend op afwijkend gedrag met betrekking tot het ICT-risico via passende indicatoren, onder meer voor patronen en uren van netwerkgebruik, IT-activiteit en onbekende toestellen;

| c) | de mechanismen als bedoeld in artikel 10, lid 1, om een snelle detectie van afwijkende activiteiten mogelijk te maken, verder te ontwikkelen alsmede de criteria van artikel 10, lid 2, om processen voor detectie van ICT-gerelateerde incidenten en respons daarop in werking te stellen; |
| --- | --- |

c)

de mechanismen als bedoeld in artikel 10, lid 1, om een snelle detectie van afwijkende activiteiten mogelijk te maken, verder te ontwikkelen alsmede de criteria van artikel 10, lid 2, om processen voor detectie van ICT-gerelateerde incidenten en respons daarop in werking te stellen;

| d) | de onderdelen van het ICT-bedrijfscontinuïteitsbeleid als bedoeld in artikel 11, lid 1, verder te specificeren; |
| --- | --- |

d)

de onderdelen van het ICT-bedrijfscontinuïteitsbeleid als bedoeld in artikel 11, lid 1, verder te specificeren;

| e) | het testen van de ICT-bedrijfscontinuïteitsplannen als bedoeld in artikel 11, lid 6, verder te specificeren om ervoor te zorgen dat bij het testen naar behoren rekening wordt gehouden met scenario’s waarin de kwaliteit van voorziening van een kritieke of belangrijke functie tot op een onaanvaardbaar niveau verslechtert of deze functie uitvalt, en de potentiële effecten van de insolventie of andere gebreken van een relevante derde aanbieder van ICT-diensten en, indien van toepassing, de politieke risico’s in de rechtsgebieden van de respectieve aanbieders naar behoren in aanmerking worden genomen; |
| --- | --- |

e)

het testen van de ICT-bedrijfscontinuïteitsplannen als bedoeld in artikel 11, lid 6, verder te specificeren om ervoor te zorgen dat bij het testen naar behoren rekening wordt gehouden met scenario’s waarin de kwaliteit van voorziening van een kritieke of belangrijke functie tot op een onaanvaardbaar niveau verslechtert of deze functie uitvalt, en de potentiële effecten van de insolventie of andere gebreken van een relevante derde aanbieder van ICT-diensten en, indien van toepassing, de politieke risico’s in de rechtsgebieden van de respectieve aanbieders naar behoren in aanmerking worden genomen;

| f) | de onderdelen van de ICT-respons- en -herstelplannen als bedoeld in artikel 11, lid 3, verder te specificeren; |
| --- | --- |

f)

de onderdelen van de ICT-respons- en -herstelplannen als bedoeld in artikel 11, lid 3, verder te specificeren;

| g) | de inhoud en de vorm van het in artikel 6, lid 5, bedoelde evaluatieverslag van het kader voor ICT-risicobeheer verder te specificeren. |
| --- | --- |

g)

de inhoud en de vorm van het in artikel 6, lid 5, bedoelde evaluatieverslag van het kader voor ICT-risicobeheer verder te specificeren.

Bij het ontwikkelen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algemene risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan, waarbij zij terdege rekening houden met elk specifiek kenmerk dat voortvloeit uit de specifieke aard van de activiteiten in verschillende financiëledienstensectoren.

De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Artikel 16

Vereenvoudigd kader voor ICT-risicobeheer

1.   De artikelen 5 tot en met 15 van deze verordening zijn niet van toepassing op kleine en niet-verweven beleggingsondernemingen, betalingsinstellingen die krachtens Richtlijn (EU) 2015/2366 zijn vrijgesteld; instellingen die krachtens Richtlijn 2013/36/EU zijn vrijgesteld en waarvoor de lidstaten hebben besloten de in artikel 2, lid 4, van deze verordening bedoelde optie niet toe te passen; instellingen voor elektronisch geld die krachtens Richtlijn 2009/110/EG zijn vrijgesteld, en kleine instellingen voor bedrijfspensioenvoorziening.

Onverminderd de eerste alinea moeten de in de eerste alinea vermelde entiteiten:

| a) | een degelijk en gedocumenteerd kader voor ICT-risicobeheer tot stand brengen en handhaven, waarin de mechanismen en maatregelen worden beschreven die gericht zijn op een snel, efficiënt en alomvattend beheer van het ICT-risico, met inbegrip van de bescherming van relevante fysieke componenten en infrastructuur; |
| --- | --- |

a)

een degelijk en gedocumenteerd kader voor ICT-risicobeheer tot stand brengen en handhaven, waarin de mechanismen en maatregelen worden beschreven die gericht zijn op een snel, efficiënt en alomvattend beheer van het ICT-risico, met inbegrip van de bescherming van relevante fysieke componenten en infrastructuur;

| b) | voortdurend toezicht houden op de beveiliging en werking van alle ICT-systemen; |
| --- | --- |

b)

voortdurend toezicht houden op de beveiliging en werking van alle ICT-systemen;

| c) | de gevolgen van ICT-risico’s tot een minimum beperken door solide, weerbare en geactualiseerde ICT-systemen, -protocollen en -instrumenten te gebruiken die geschikt zijn voor het ondersteunen van de prestaties van hun activiteiten en de verlening van diensten, en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens in de netwerk- en informatiesystemen adequaat beschermen; |
| --- | --- |

c)

de gevolgen van ICT-risico’s tot een minimum beperken door solide, weerbare en geactualiseerde ICT-systemen, -protocollen en -instrumenten te gebruiken die geschikt zijn voor het ondersteunen van de prestaties van hun activiteiten en de verlening van diensten, en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens in de netwerk- en informatiesystemen adequaat beschermen;

| d) | ervoor zorgen dat bronnen van ICT-risico’s en anomalieën in de netwerk- en informatiesystemen zo spoedig mogelijk worden geïdentificeerd en gedetecteerd en ICT-gerelateerde incidenten snel kunnen worden afgehandeld; |
| --- | --- |

d)

ervoor zorgen dat bronnen van ICT-risico’s en anomalieën in de netwerk- en informatiesystemen zo spoedig mogelijk worden geïdentificeerd en gedetecteerd en ICT-gerelateerde incidenten snel kunnen worden afgehandeld;

| e) | de belangrijkste afhankelijkheden ten aanzien van derde aanbieders van ICT-diensten in kaart brengen; |
| --- | --- |

e)

de belangrijkste afhankelijkheden ten aanzien van derde aanbieders van ICT-diensten in kaart brengen;

| f) | de continuïteit van kritieke of belangrijke functies waarborgen door middel van bedrijfscontinuïteitsplannen en respons- en herstelmaatregelen, die ten minste back-up- en herstelmaatregelen omvatten; |
| --- | --- |

f)

de continuïteit van kritieke of belangrijke functies waarborgen door middel van bedrijfscontinuïteitsplannen en respons- en herstelmaatregelen, die ten minste back-up- en herstelmaatregelen omvatten;

| g) | de in punt f) bedoelde plannen en maatregelen, alsmede de doeltreffendheid van de overeenkomstig de punten a) en c) uitgevoerde controles regelmatig testen; |
| --- | --- |

g)

de in punt f) bedoelde plannen en maatregelen, alsmede de doeltreffendheid van de overeenkomstig de punten a) en c) uitgevoerde controles regelmatig testen;

| h) | in voorkomend geval de relevante operationele conclusies die voortvloeien uit de in punt g) bedoelde tests en uit de analyse na een incident opnemen in het ICT-risicobeoordelingsproces, en overeenkomstig de behoeften en het ICT-risicoprofiel bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleiding inzake digitale operationele weerbaarheid voor personeel en leidinggevenden ontwikkelen. |
| --- | --- |

h)

in voorkomend geval de relevante operationele conclusies die voortvloeien uit de in punt g) bedoelde tests en uit de analyse na een incident opnemen in het ICT-risicobeoordelingsproces, en overeenkomstig de behoeften en het ICT-risicoprofiel bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleiding inzake digitale operationele weerbaarheid voor personeel en leidinggevenden ontwikkelen.

2.   Het in lid 1, tweede alinea, punt a), bedoelde kader voor ICT-risicobeheer wordt overeenkomstig de toezichtinstructies op gezette tijden en bij ernstige ICT-gerelateerde incidenten gedocumenteerd en geëvalueerd. Het wordt voortdurend verbeterd op basis van de lessen die uit de uitvoering en de monitoring naar voren komen. Een evaluatieverslag van het kader voor ICT-risicobeheer wordt op verzoek bij de bevoegde autoriteit ingediend.

3.   De ETA’s stellen via het Gemengd Comité en in overleg met Enisa gemeenschappelijke ontwerpen van technische reguleringsnormen op met het doel:

| a) | de elementen die moeten worden opgenomen in het in lid 1, tweede alinea, punt a), bedoelde kader voor ICT-risicobeheer verder te specificeren; |
| --- | --- |

a)

de elementen die moeten worden opgenomen in het in lid 1, tweede alinea, punt a), bedoelde kader voor ICT-risicobeheer verder te specificeren;

| b) | de elementen met betrekking tot systemen, protocollen en instrumenten om de effecten van het in lid 1, tweede alinea, punt c), bedoelde ICT-risico tot een minimum te beperken verder te specificeren, teneinde de veiligheid van netwerken te garanderen, passende waarborgen tegen inbreuken en misbruik van gegevens mogelijk te maken en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens te beschermen; |
| --- | --- |

b)

de elementen met betrekking tot systemen, protocollen en instrumenten om de effecten van het in lid 1, tweede alinea, punt c), bedoelde ICT-risico tot een minimum te beperken verder te specificeren, teneinde de veiligheid van netwerken te garanderen, passende waarborgen tegen inbreuken en misbruik van gegevens mogelijk te maken en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens te beschermen;

| c) | de onderdelen van de in lid 1, tweede alinea, punt f), bedoelde ICT-bedrijfscontinuïteitsplannen verder te specificeren; |
| --- | --- |

c)

de onderdelen van de in lid 1, tweede alinea, punt f), bedoelde ICT-bedrijfscontinuïteitsplannen verder te specificeren;

| d) | de regels voor het testen van bedrijfscontinuïteitsplannen verder te specificeren, de doeltreffendheid van de in lid 1, tweede alinea, punt g), bedoelde controles te waarborgen, en ervoor te zorgen dat bij dergelijke tests terdege rekening wordt gehouden met scenario’s waarin de kwaliteit van voorziening van een kritieke of belangrijke functie tot op een onaanvaardbaar niveau verslechtert of deze functie uitvalt; |
| --- | --- |

d)

de regels voor het testen van bedrijfscontinuïteitsplannen verder te specificeren, de doeltreffendheid van de in lid 1, tweede alinea, punt g), bedoelde controles te waarborgen, en ervoor te zorgen dat bij dergelijke tests terdege rekening wordt gehouden met scenario’s waarin de kwaliteit van voorziening van een kritieke of belangrijke functie tot op een onaanvaardbaar niveau verslechtert of deze functie uitvalt;

| e) | de inhoud en de vorm van het in lid 2 bedoelde evaluatieverslag van het kader voor ICT-risicobeheer verder te specificeren. |
| --- | --- |

e)

de inhoud en de vorm van het in lid 2 bedoelde evaluatieverslag van het kader voor ICT-risicobeheer verder te specificeren.

Bij het opstellen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algemene risicoprofiel van de financiële entiteit, en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan.

De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

HOOFDSTUK III

Beheer, classificatie en rapportage van ICT-gerelateerde incidenten

Artikel 17

Beheerproces voor ICT-gerelateerde incidenten

1.   Financiële entiteiten omschrijven een beheerproces voor ICT-gerelateerde incidenten, stellen dit vast en leggen dit ten uitvoer, om ICT-gerelateerde incidenten te detecteren, te beheren en te melden.

2.   Financiële entiteiten registreren alle ICT-gerelateerde incidenten en significante cyberdreigingen. Financiële entiteiten stellen passende procedures en processen vast voor een consistente en geïntegreerde monitoring, behandeling en follow-up van ICT-gerelateerde incidenten, teneinde ervoor te zorgen dat onderliggende oorzaken worden opgespoord, gedocumenteerd en weggenomen om dergelijke incidenten te voorkomen.

3.   Het in lid 1 bedoelde beheerproces voor ICT-gerelateerde incidenten heeft tot doel:

| a) | indicatoren voor vroegtijdige waarschuwing in te voeren; |
| --- | --- |

a)

indicatoren voor vroegtijdige waarschuwing in te voeren;

| b) | procedures vast te stellen om ICT-gerelateerde incidenten te identificeren, te detecteren, te categoriseren en te classificeren op basis van de prioriteit en de ernst ervan en op basis van het kritieke karakter van de getroffen diensten in overeenstemming met de criteria van artikel 18, lid 1; |
| --- | --- |

b)

procedures vast te stellen om ICT-gerelateerde incidenten te identificeren, te detecteren, te categoriseren en te classificeren op basis van de prioriteit en de ernst ervan en op basis van het kritieke karakter van de getroffen diensten in overeenstemming met de criteria van artikel 18, lid 1;

| c) | functies en verantwoordelijkheden toe te wijzen die voor verschillende incidenttypes en -scenario’s moeten worden geactiveerd; |
| --- | --- |

c)

functies en verantwoordelijkheden toe te wijzen die voor verschillende incidenttypes en -scenario’s moeten worden geactiveerd;

| d) | plannen op te stellen voor communicatie met personeel, externe belanghebbenden en media in overeenstemming met artikel 14, en voor mededeling aan cliënten, voor interne escalatieprocedures, met inbegrip van ICT-gerelateerde klachten van cliënten, alsmede voor verstrekking van informatie, indien noodzakelijk, aan financiële entiteiten die optreden als tegenpartijen; |
| --- | --- |

d)

plannen op te stellen voor communicatie met personeel, externe belanghebbenden en media in overeenstemming met artikel 14, en voor mededeling aan cliënten, voor interne escalatieprocedures, met inbegrip van ICT-gerelateerde klachten van cliënten, alsmede voor verstrekking van informatie, indien noodzakelijk, aan financiële entiteiten die optreden als tegenpartijen;

| e) | te verzekeren dat ten minste ernstige ICT-gerelateerde incidenten aan het desbetreffende hoger leidinggevend personeel worden gemeld, en het leidinggevend orgaan te informeren over ten minste ernstige ICT-gerelateerde incidenten met toelichting bij de effecten, de respons en de in te stellen aanvullende controles ten gevolge van dergelijke ICT-gerelateerde incidenten; |
| --- | --- |

e)

te verzekeren dat ten minste ernstige ICT-gerelateerde incidenten aan het desbetreffende hoger leidinggevend personeel worden gemeld, en het leidinggevend orgaan te informeren over ten minste ernstige ICT-gerelateerde incidenten met toelichting bij de effecten, de respons en de in te stellen aanvullende controles ten gevolge van dergelijke ICT-gerelateerde incidenten;

| f) | responsprocedures voor ICT-gerelateerde incidenten in te stellen om de effecten daarvan te beperken en ervoor te zorgen dat de diensten tijdig operationeel en veilig worden. |
| --- | --- |

f)

responsprocedures voor ICT-gerelateerde incidenten in te stellen om de effecten daarvan te beperken en ervoor te zorgen dat de diensten tijdig operationeel en veilig worden.

Artikel 18

Classificatie van ICT-gerelateerde incidenten en cyberdreigingen

1.   Financiële entiteiten classificeren ICT-gerelateerde incidenten en bepalen de effecten daarvan op basis van de volgende criteria:

| a) | het aantal en/of de relevantie van cliënten of financiële tegenpartijen en, indien van toepassing, de hoeveelheid of het aantal transacties die door het ICT-gerelateerde incident zijn getroffen, en de vraag of het ICT-gerelateerde incident reputatieschade heeft veroorzaakt; |
| --- | --- |

a)

het aantal en/of de relevantie van cliënten of financiële tegenpartijen en, indien van toepassing, de hoeveelheid of het aantal transacties die door het ICT-gerelateerde incident zijn getroffen, en de vraag of het ICT-gerelateerde incident reputatieschade heeft veroorzaakt;

| b) | de duur van het ICT-gerelateerde incident, waaronder de uitvaltijd van de dienst; |
| --- | --- |

b)

de duur van het ICT-gerelateerde incident, waaronder de uitvaltijd van de dienst;

| c) | de geografische spreiding van de gebieden die door het ICT-gerelateerde incident zijn getroffen, met name indien meer dan twee lidstaten zijn getroffen; |
| --- | --- |

c)

de geografische spreiding van de gebieden die door het ICT-gerelateerde incident zijn getroffen, met name indien meer dan twee lidstaten zijn getroffen;

| d) | de gegevensverliezen ten gevolge van het ICT-gerelateerde incident met betrekking tot beschikbaarheid, authenticiteit, integriteit or vertrouwelijkheid van gegevens; |
| --- | --- |

d)

de gegevensverliezen ten gevolge van het ICT-gerelateerde incident met betrekking tot beschikbaarheid, authenticiteit, integriteit or vertrouwelijkheid van gegevens;

| e) | de mate waarin de getroffen diensten, waaronder de transacties en verrichtingen van de financiële entiteit, als cruciaal kunnen worden aangemerkt; |
| --- | --- |

e)

de mate waarin de getroffen diensten, waaronder de transacties en verrichtingen van de financiële entiteit, als cruciaal kunnen worden aangemerkt;

| f) | de economische effecten, met name directe en indirecte kosten en verliezen, van het ICT-gerelateerde incident in absolute en relatieve termen. |
| --- | --- |

f)

de economische effecten, met name directe en indirecte kosten en verliezen, van het ICT-gerelateerde incident in absolute en relatieve termen.

2.   Financiële entiteiten classificeren cyberdreigingen als significant op basis van de mate waarin de risicovolle diensten, waaronder de transacties en verrichtingen van de financiële entiteit, als cruciaal kunnen worden aangemerkt, het aantal en/of de relevantie van de beoogde cliënten of financiële tegenpartijen en de geografische spreiding van de risicogebieden.

3.   De ETA’s stellen via het Gemengd Comité en in overleg met de ECB en Enisa gemeenschappelijke ontwerpen van technische reguleringsnormen op waarin het volgende nader wordt gespecificeerd:

| a) | de criteria vastgesteld in lid 1, met inbegrip van materialiteitsdrempels voor het bepalen van ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten waarvoor de rapportageverplichting van artikel 19, lid 1, geldt; |
| --- | --- |

a)

de criteria vastgesteld in lid 1, met inbegrip van materialiteitsdrempels voor het bepalen van ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten waarvoor de rapportageverplichting van artikel 19, lid 1, geldt;

| b) | de door de bevoegde autoriteiten toe te passen criteria voor de beoordeling van de relevantie van ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten voor relevante bevoegde autoriteiten van andere lidstaten, en de nadere informatie van verslagen over ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten die overeenkomstig artikel 19, leden 6 en 7, aan andere bevoegde autoriteiten moeten worden meegedeeld; |
| --- | --- |

b)

de door de bevoegde autoriteiten toe te passen criteria voor de beoordeling van de relevantie van ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten voor relevante bevoegde autoriteiten van andere lidstaten, en de nadere informatie van verslagen over ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten die overeenkomstig artikel 19, leden 6 en 7, aan andere bevoegde autoriteiten moeten worden meegedeeld;

| c) | de criteria van lid 2 van dit artikel, met inbegrip van hoge materialiteitsdrempels voor het bepalen van significante cyberdreigingen. |
| --- | --- |

c)

de criteria van lid 2 van dit artikel, met inbegrip van hoge materialiteitsdrempels voor het bepalen van significante cyberdreigingen.

4.   Bij het opstellen van de in lid 3 van dit artikel bedoelde gemeenschappelijke ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de criteria van artikel 4, lid 2, en met internationale normen, richtsnoeren en specificaties die door Enisa zijn ontwikkeld en gepubliceerd, met inbegrip van, in voorkomend geval, specificaties voor andere economische sectoren. Voor de toepassing van de criteria van artikel 4, lid 2, houden de ETA’s er terdege rekening mee dat micro-ondernemingen en kleine en middelgrote ondernemingen voldoende middelen en capaciteit moeten kunnen mobiliseren om ICT-gerelateerde incidenten snel onder controle te krijgen.

De ETA’s leggen die gemeenschappelijke ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in lid 3 bedoelde technische reguleringsnormen overeenkomstig de artikelen 10 tot en met 14 van Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 vast te stellen.

Artikel 19

Rapportage van ernstige ICT-gerelateerde incidenten en vrijwillige melding van significante cyberdreigingen

1.   Financiële entiteiten melden overeenkomstig lid 4 van dit artikel ernstige ICT-gerelateerde incidenten aan de relevante bevoegde autoriteit als bedoeld in artikel 46.

Staat een financiële entiteit onder toezicht van meer dan een nationale bevoegde autoriteit als bedoeld in artikel 46, dan wijzen de lidstaten één bevoegde autoriteit aan als de relevante bevoegde autoriteit die verantwoordelijk is voor de uitvoering van de in dit artikel bedoelde functies en taken.

Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als significant zijn geclassificeerd, rapporteren ernstige ICT-gerelateerde incidenten aan de relevante nationale bevoegde autoriteit die overeenkomstig artikel 4 van Richtlijn 2013/36/EU is aangewezen, die dat verslag onverwijld doorzendt aan de ECB.

Voor de toepassing van de eerste alinea stellen financiële entiteiten, na het verzamelen en analyseren van alle relevante informatie, de in lid 4 van dit artikel bedoelde eerste kennisgeving en verslagen op met gebruikmaking van de modellen als bedoeld in artikel 20, en dienen zij deze in bij de bevoegde autoriteit. Indien het technisch niet mogelijk is de eerste kennisgeving met gebruikmaking van het model in te dienen, stellen de financiële entiteiten de bevoegde autoriteit met gebruikmaking van alternatieve middelen daarvan in kennis.

De in lid 4 bedoelde eerste kennisgeving en verslagen bevatten alle informatie die de bevoegde autoriteit nodig heeft om de draagwijdte van het ernstige ICT-gerelateerde incident te bepalen en mogelijke grensoverschrijdende effecten te beoordelen.

Onverminderd de rapportage op grond van de eerste alinea door de financiële entiteit aan de relevante bevoegde autoriteit, kunnen de lidstaten ook bepalen dat sommige of alle financiële entiteiten de in lid 4 van dit artikel bedoelde eerste kennisgeving en verslagen die met gebruikmaking van de in artikel 20 bedoelde modellen zijn opgesteld, eveneens moeten worden verstrekt aan de bevoegde autoriteiten of de computer security incident response teams (CSIRT’s) die zijn aangewezen of ingesteld overeenkomstig Richtlijn (EU) 2022/2555.

2.   Financiële entiteiten kunnen significante cyberdreigingen op vrijwillige basis melden aan de relevante bevoegde autoriteit wanneer zij van oordeel zijn dat de dreiging relevant is voor het financiële stelsel, de gebruikers van diensten of de cliënten. De relevante bevoegde autoriteit kan dergelijke informatie aan de in lid 6 genoemde andere relevante autoriteiten verstrekken.

Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als significant zijn geclassificeerd, kunnen op vrijwillige basis significante cyberdreigingen melden aan de relevante nationale bevoegde autoriteit die overeenkomstig artikel 4 van Richtlijn 2013/36/EU is aangewezen, die de melding onverwijld doorzendt aan de ECB.

De lidstaten kunnen bepalen dat de financiële entiteiten die overeenkomstig de eerste alinea op vrijwillige basis kennisgeving doen, die kennisgeving ook kunnen doorsturen naar de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde CSIRT’s.

3.   Wanneer een ernstig ICT-gerelateerd incident optreedt en gevolgen heeft voor de financiële belangen van cliënten, stellen financiële entiteiten, zodra zij het incident hebben opgemerkt, hun cliënten onverwijld in kennis van het ernstige ICT-gerelateerde incident en van de maatregelen die zijn genomen om de negatieve gevolgen van een dergelijk incident te beperken.

In het geval van een significante cyberdreiging stellen financiële entiteiten, in voorkomend geval, hun cliënten die mogelijk getroffen zijn in kennis van passende beschermingsmaatregelen die zij kunnen nemen.

4.   Financiële entiteiten dienen, binnen de overeenkomstig artikel 20, eerste alinea, punt a), ii), vast te stellen termijnen, bij de relevante bevoegde autoriteit het volgende in:

| a) | een eerste kennisgeving; |
| --- | --- |

a)

een eerste kennisgeving;

| b) | een tussentijds verslag na de eerste kennisgeving als bedoeld in punt a), zodra de status van het oorspronkelijke incident ingrijpend is gewijzigd of de behandeling van het ernstige ICT-gerelateerde incident is gewijzigd op basis van beschikbare nieuwe informatie, in voorkomend geval gevolgd door geactualiseerde kennisgevingen telkens wanneer een relevante actualisering van de status beschikbaar is, alsmede op specifiek verzoek van de bevoegde autoriteit; |
| --- | --- |

b)

een tussentijds verslag na de eerste kennisgeving als bedoeld in punt a), zodra de status van het oorspronkelijke incident ingrijpend is gewijzigd of de behandeling van het ernstige ICT-gerelateerde incident is gewijzigd op basis van beschikbare nieuwe informatie, in voorkomend geval gevolgd door geactualiseerde kennisgevingen telkens wanneer een relevante actualisering van de status beschikbaar is, alsmede op specifiek verzoek van de bevoegde autoriteit;

| c) | een eindverslag, wanneer de analyse van de onderliggende oorzaken is voltooid, ongeacht of er reeds beperkende maatregelen zijn uitgevoerd, en wanneer de werkelijke impactcijfers beschikbaar zijn in plaats van ramingen. |
| --- | --- |

c)

een eindverslag, wanneer de analyse van de onderliggende oorzaken is voltooid, ongeacht of er reeds beperkende maatregelen zijn uitgevoerd, en wanneer de werkelijke impactcijfers beschikbaar zijn in plaats van ramingen.

5.   Financiële entiteiten mogen de rapportageverplichtingen uit hoofde van dit artikel aan een derde aanbieder van diensten uitbesteden overeenkomstig Unie- en nationaal sectoraal recht. In het geval van een dergelijke uitbesteding blijft de financiële entiteit volledig verantwoordelijk voor het naleven van de vereisten inzake incidentrapportage.

6.   Na ontvangst van de in lid 4 bedoelde eerste kennisgeving en verslagen verstrekt de bevoegde autoriteit tijdig nadere bijzonderheden over het ernstige ICT-gerelateerde incident aan de volgende ontvangers op basis van hun respectieve bevoegdheden:

| a) | de EBA, de ESMA of de Eiopa; |
| --- | --- |

a)

de EBA, de ESMA of de Eiopa;

| b) | de ECB, in het geval van financiële entiteiten als bedoeld in artikel 2, lid 1, punten a), b) en d): |
| --- | --- |

b)

de ECB, in het geval van financiële entiteiten als bedoeld in artikel 2, lid 1, punten a), b) en d):

| c) | de bevoegde autoriteiten, de centrale contactpunten of de CSIRT’s die overeenkomstig Richtlijn (EU) 2022/2555 zijn aangewezen of ingesteld; |
| --- | --- |

c)

de bevoegde autoriteiten, de centrale contactpunten of de CSIRT’s die overeenkomstig Richtlijn (EU) 2022/2555 zijn aangewezen of ingesteld;

| d) | de afwikkelingsautoriteiten, als bedoeld in artikel 3 van Richtlijn 2014/59/EU, en de Gemeenschappelijke Afwikkelingsraad (GAR) met betrekking tot de in artikel 7, lid 2, van Verordening (EU) nr. 806/2014 van het Europees Parlement en de Raad (37) bedoelde entiteiten, en met betrekking tot de in artikel 7, lid 4, punt b), en lid 5, van Verordening (EU) nr. 806/2014 bedoelde entiteiten en groepen, indien die bijzonderheden betrekking hebben op incidenten die een risico vormen voor het waarborgen van kritieke functies in de zin van artikel 2, lid 1, punt 35), van Richtlijn 2014/59/EU, en |
| --- | --- |

d)

de afwikkelingsautoriteiten, als bedoeld in artikel 3 van Richtlijn 2014/59/EU, en de Gemeenschappelijke Afwikkelingsraad (GAR) met betrekking tot de in artikel 7, lid 2, van Verordening (EU) nr. 806/2014 van het Europees Parlement en de Raad (37) bedoelde entiteiten, en met betrekking tot de in artikel 7, lid 4, punt b), en lid 5, van Verordening (EU) nr. 806/2014 bedoelde entiteiten en groepen, indien die bijzonderheden betrekking hebben op incidenten die een risico vormen voor het waarborgen van kritieke functies in de zin van artikel 2, lid 1, punt 35), van Richtlijn 2014/59/EU, en

| e) | andere relevante overheidsinstanties naar nationaal recht. |
| --- | --- |

e)

andere relevante overheidsinstanties naar nationaal recht.

7.   Na ontvangst van informatie overeenkomstig lid 6 beoordelen de EBA, de ESMA of de Eiopa en de ECB, in overleg met Enisa en in samenwerking met de relevante bevoegde autoriteit, of het ernstige ICT-gerelateerde incident relevant is voor andere bevoegde autoriteiten van andere lidstaten. Na die beoordeling stelt de EBA, de ESMA of de Eiopa de relevante bevoegde autoriteiten van andere lidstaten daarvan zo spoedig mogelijk in kennis. De ECB stelt de leden van het Europees Stelsel van centrale banken in kennis van kwesties die van belang zijn voor het betalingssysteem. Op basis van die kennisgeving nemen de bevoegde autoriteiten, in voorkomend geval, alle nodige maatregelen om de onmiddellijke stabiliteit van het financiële systeem te beschermen.

8.   De overeenkomstig lid 7 van dit artikel door de ESMA te geven kennisgeving doet geen afbreuk aan de verantwoordelijkheid van de bevoegde autoriteit om de bijzonderheden van het ernstige ICT-gerelateerde incident onverwijld aan de relevante autoriteit van de lidstaat van ontvangst door te geven, indien een centrale effectenbewaarinstelling aanzienlijke grensoverschrijdende activiteiten in de lidstaat van ontvangst heeft, het ernstige ICT-gerelateerde incident waarschijnlijk ernstige gevolgen voor de financiële markten van de lidstaat van ontvangst zal hebben en indien de bevoegde autoriteiten samenwerkingsovereenkomsten hebben gesloten voor het toezicht op financiële entiteiten.

Artikel 20

Harmonisatie van inhoud en modellen van rapportage

De ETA’s ontwikkelen via het Gemengd Comité en in overleg met Enisa en de ECB:

| a) | gemeenschappelijke ontwerpen van technische reguleringsnormen om:






  i) | de inhoud van de rapporten voor ernstige ICT-gerelateerde incidenten vast te stellen, waarbij de in artikel 18, lid 1, vastgelegde criteria worden gehanteerd en verdere elementen worden opgenomen, zoals bijzonderheden voor de vaststelling van de relevantie van rapportage voor andere lidstaten en voor het bepalen of het incident al dan niet een ernstig betalingsgerelateerd operationeel of beveiligingsincident is; |
| --- | --- | --- |

a)

gemeenschappelijke ontwerpen van technische reguleringsnormen om:

i)

de inhoud van de rapporten voor ernstige ICT-gerelateerde incidenten vast te stellen, waarbij de in artikel 18, lid 1, vastgelegde criteria worden gehanteerd en verdere elementen worden opgenomen, zoals bijzonderheden voor de vaststelling van de relevantie van rapportage voor andere lidstaten en voor het bepalen of het incident al dan niet een ernstig betalingsgerelateerd operationeel of beveiligingsincident is;

| ii) | de uiterste termijnen vast te stellen voor de in artikel 19, lid 4, bedoelde eerste kennisgeving en verslagen; |
| --- | --- |

ii)

de uiterste termijnen vast te stellen voor de in artikel 19, lid 4, bedoelde eerste kennisgeving en verslagen;

| iii) | de inhoud van de kennisgeving voor significante cyberdreigingen vast te stellen. |
| --- | --- |

iii)

de inhoud van de kennisgeving voor significante cyberdreigingen vast te stellen.

Bij de ontwikkeling van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algemene risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan, met name om ervoor te zorgen dat voor de toepassing van deze alinea, punt a), ii), de uiterste termijnen zijn afgestemd op de eventuele specifieke kenmerken van de financiële sectoren, zonder dat afbreuk wordt gedaan aan een consistente aanpak van ICT-gerelateerde incidentrapportage op grond van deze verordening en Richtlijn (EU) 2022/2555. De ETA’s motiveren eventuele afwijkingen van de in het kader van die richtlijn gevolgde aanpak;

| b) | gemeenschappelijke ontwerpen van technische uitvoeringsnormen tot vaststelling van de standaardformulieren, modellen en procedures voor het rapporteren van ernstige ICT-gerelateerde incidenten en het melden van significante cyberdreigingen door financiële entiteiten. |
| --- | --- |

b)

gemeenschappelijke ontwerpen van technische uitvoeringsnormen tot vaststelling van de standaardformulieren, modellen en procedures voor het rapporteren van ernstige ICT-gerelateerde incidenten en het melden van significante cyberdreigingen door financiële entiteiten.

De ETA’s leggen de gemeenschappelijke ontwerpen van technische reguleringsnormen bedoeld in de eerste alinea, punt a), en de gemeenschappelijke ontwerpen van technische uitvoeringsnormen bedoeld in de eerste alinea, punt b), uiterlijk op 17 juli 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea, punt a), bedoelde gemeenschappelijke technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Aan de Commissie wordt de bevoegdheid toegekend om de in de eerste alinea, punt b), bedoelde technische uitvoeringsnormen vast te stellen overeenkomstig artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Artikel 21

Centralisatie van meldingen van ernstige ICT-gerelateerde incidenten

1.   De ETA’s stellen, via het Gemengd Comité en in overleg met de ECB en Enisa, een gezamenlijk verslag op waarin de haalbaarheid wordt beoordeeld van verdere centralisatie van incidentrapportage door middel van de oprichting van één EU-hub voor de melding van ernstige ICT-gerelateerde incidenten door financiële entiteiten. In het gezamenlijk verslag wordt onderzocht op welke wijze de stroom van ICT-gerelateerde incidentrapportage kan worden vergemakkelijkt, de daarmee gepaard gaande kosten kunnen worden verlaagd en thematische analyses kunnen worden onderbouwd met het oog op een grotere convergentie van het toezicht.

2.   Het in lid 1 bedoelde gezamenlijk verslag bevat ten minste:

| a) | de vereisten voor de oprichting van een unieke EU-hub; |
| --- | --- |

a)

de vereisten voor de oprichting van een unieke EU-hub;

| b) | de voordelen, beperkingen en risico’s, met inbegrip van de risico’s in verband met de hoge concentratie van gevoelige informatie; |
| --- | --- |

b)

de voordelen, beperkingen en risico’s, met inbegrip van de risico’s in verband met de hoge concentratie van gevoelige informatie;

| c) | de nodige capaciteit om interoperabiliteit met andere relevante rapportagesystemen te waarborgen; |
| --- | --- |

c)

de nodige capaciteit om interoperabiliteit met andere relevante rapportagesystemen te waarborgen;

| d) | elementen van operationeel beheer; |
| --- | --- |

d)

elementen van operationeel beheer;

| e) | de voorwaarden voor het lidmaatschap; |
| --- | --- |

e)

de voorwaarden voor het lidmaatschap;

| f) | technische regels voor financiële entiteiten en nationale bevoegde autoriteiten om toegang tot de unieke EU-hub te verkrijgen; |
| --- | --- |

f)

technische regels voor financiële entiteiten en nationale bevoegde autoriteiten om toegang tot de unieke EU-hub te verkrijgen;

| g) | een voorlopige beoordeling van de financiële kosten voor de oprichting van het operationele platform ter ondersteuning van de unieke EU-hub, met inbegrip van de vereiste deskundigheid. |
| --- | --- |

g)

een voorlopige beoordeling van de financiële kosten voor de oprichting van het operationele platform ter ondersteuning van de unieke EU-hub, met inbegrip van de vereiste deskundigheid.

3.   De ETA’s leggen het verslag bedoeld in lid 1 uiterlijk op 17 januari 2025 voor aan het Europees Parlement, de Raad en de Commissie.

Artikel 22

Feedback van toezichthouders

1.   Onverminderd de technische input, het advies of de corrigerende maatregelen en de daaropvolgende follow-up die, in voorkomend geval, overeenkomstig het nationale recht door de CSIRT’s kunnen worden verstrekt op grond van Richtlijn (EU) 2022/2555 , bevestigt de bevoegde autoriteit na ontvangst van de in artikel 19, lid 4, bedoelde eerste kennisgeving en verslagen, de ontvangst ervan en kan zij, waar mogelijk, tijdig relevante en evenredige feedback of richtsnoeren op hoog niveau aan de financiële entiteit verstrekken, met name door relevante geanonimiseerde informatie en inlichtingen over soortgelijke bedreigingen beschikbaar te stellen, en kan zij de op het niveau van de financiële entiteit toegepaste corrigerende maatregelen bespreken en onderzoeken hoe de nadelige effecten in de financiële sector zo veel mogelijk kunnen worden beperkt en verzacht. Onverminderd de ontvangen feedback van toezichthouders blijven financiële entiteiten volledig verantwoordelijk voor de behandeling en de gevolgen van de ICT-gerelateerde incidenten die op grond van artikel 19, lid 1, zijn gerapporteerd.

2.   De ETA’s brengen jaarlijks via het Gemengd Comité een geanonimiseerd en geaggregeerd verslag uit over de ernstige ICT-gerelateerde incidenten, de details waarvan door de bevoegde autoriteiten overeenkomstig artikel 19, lid 6, worden verstrekt, met vermelding van ten minste het aantal ernstige ICT-gerelateerde incidenten, de aard ervan, de gevolgen ervan voor de werking van financiële entiteiten of cliënten, de genomen corrigerende maatregelen en de kosten.

De ETA’s geven waarschuwingen en stellen statistieken op hoog niveau op ter ondersteuning van ICT-dreigings- en kwetsbaarheidsbeoordelingen.

Artikel 23

Betalingsgerelateerde operationele of beveiligingsincidenten die kredietinstellingen, betalingsinstellingen, aanbieders van rekeninginformatiediensten en instellingen voor elektronisch geld betreffen

De in dit hoofdstuk vastgestelde vereisten zijn ook van toepassing bij betalingsgerelateerde operationele of beveiligingsincidenten en ernstige betalingsgerelateerde operationele of beveiligingsincidenten die kredietinstellingen, betalingsinstellingen, aanbieders van rekeninginformatiediensten en instellingen voor elektronisch geld betreffen.

HOOFDSTUK IV

Testen van digitale operationele weerbaarheid

Artikel 24

Algemene vereisten voor uitvoering van tests van digitale operationele weerbaarheid

1.   Voor de beoordeling van de paraatheid ten aanzien van de behandeling van ICT-gerelateerde incidenten, de omschrijving van zwakheden, gebreken en lacunes in de digitale operationele weerbaarheid, en de snelle uitvoering van corrigerende maatregelen zorgen andere financiële entiteiten dan micro-ondernemingen, rekening houdend met de criteria in artikel 4, lid 2, voor het vaststellen, handhaven en evalueren van een degelijk en alomvattend programma voor het testen van de digitale operationele weerbaarheid als integrerend onderdeel van het kader voor ICT-risicobeheer als bedoeld in artikel 6.

2.   Het testprogramma voor digitale operationele weerbaarheid omvat een reeks beoordelingen, tests, methodologieën, praktijken en instrumenten die overeenkomstig de artikelen 25 en 26 moeten worden toegepast.

3.   Bij de uitvoering van het in lid 1 van dit artikel bedoelde programma voor het testen van de digitale operationele weerbaarheid volgen andere financiële entiteiten dan micro-ondernemingen een risicogebaseerde benadering, waarbij rekening wordt gehouden met de criteria van artikel 4, lid 2, en met het veranderende landschap van het ICT-risico, eventuele specifieke risico’s waaraan de betrokken financiële entiteit wordt of kan worden blootgesteld, de kritieke aard van informatieactiva en verleende diensten, alsmede alle andere factoren die de financiële entiteit passend acht.

4.   Andere financiële entiteiten dan micro-ondernemingen zorgen ervoor dat de tests worden uitgevoerd door interne of externe onafhankelijke partijen. Wanneer tests worden uitgevoerd door een interne tester, zetten financiële entiteiten voldoende middelen in en zorgen zij ervoor dat belangenconflicten gedurende de hele ontwerp- en uitvoeringsfase van de test worden voorkomen.

5.   Andere financiële entiteiten dan micro-ondernemingen stellen procedures en beleidslijnen vast om alle problemen die tijdens de uitvoering van de tests aan het licht zijn gekomen, te prioriteren, te classificeren en te verhelpen, en stellen interne valideringsmethoden vast om na te gaan of alle vastgestelde zwakheden, gebreken of lacunes volledig worden aangepakt.

6.   Andere financiële entiteiten dan micro-ondernemingen zorgen ervoor dat ten minste eenmaal per jaar passende tests worden uitgevoerd op alle ICT-systemen en -toepassingen die kritieke of belangrijke functies ondersteunen.

Artikel 25

Testen van ICT-instrumenten en -systemen

1.   Het testprogramma voor digitale operationele weerbaarheid bedoeld in artikel 24 voorziet, overeenkomstig de criteria in artikel 4, lid 2, in de uitvoering van passende tests, zoals kwetsbaarheidsbeoordelingen en -scans, opensourceanalyses, netwerkbeveiligingsbeoordelingen, kloofanalyses, beoordelingen van fysieke beveiliging, vragenlijsten en scanningsoftwareoplossingen, beoordelingen van broncodes indien mogelijk, scenariogebaseerde tests, compatibiliteitstests, prestatietests, eind-tot-eindtests en penetratietests.

2.   Centrale effectenbewaarinstellingen en centrale tegenpartijen verrichten kwetsbaarheidsbeoordelingen voordat nieuwe of bestaande toepassingen en infrastructuurcomponenten, en ICT-diensten ter ondersteuning van kritieke of belangrijke functies van de financiële entiteit worden ingezet of opnieuw worden ingezet.

3.   Voor de uitvoering van de in lid 1 bedoelde tests combineren de micro-ondernemingen een op risico’s gebaseerde aanpak met een strategische planning van ICT-tests, en houden zij hierbij naar behoren rekening met het noodzakelijke evenwicht tussen enerzijds de hoeveelheid middelen en tijd die aan de in dit artikel bedoelde ICT-tests moet worden toegewezen, en anderzijds de urgentie, het soort risico, de kritieke aard van informatieactiva en van de geleverde diensten, alsmede alle andere relevante factoren, met inbegrip van het vermogen van de financiële entiteit om berekende risico’s te nemen.

Artikel 26

Geavanceerde tests van ICT-instrumenten, -systemen en -processen op basis van TLPT

1.   Overeenkomstig lid 8, derde alinea, van dit artikel aangewezen andere financiële entiteiten dan de in artikel 16, lid 1, eerste alinea, bedoelde entiteiten en dan micro-ondernemingen verrichten ten minste om de drie jaar geavanceerde tests uit door middel van TLPT. Op basis van het risicoprofiel van de financiële entiteit en rekening houdend met operationele omstandigheden kan de bevoegde autoriteit, indien nodig, de financiële entiteit verzoeken deze frequentie te verlagen of te verhogen.

2.   Elke dreigingsgestuurde penetratietest heeft betrekking op meerdere of alle kritieke of belangrijke functies van een financiële entiteit en worden uitgevoerd op systemen die prestaties in het reële leven verrichten ter ondersteuning van deze functies.

Financiële entiteiten bepalen alle relevante onderliggende ICT-systemen, -processen en technologieën ter ondersteuning van kritieke of belangrijke functies en ICT-diensten, met inbegrip van die ter ondersteuning van uitbestede of met derde aanbieders van ICT-diensten contractueel overeengekomen kritieke of belangrijke functies.

Financiële entiteiten beoordelen voor welke kritieke of belangrijke functies TLPT moeten worden verricht. Het resultaat van die beoordeling bepaalt het exacte toepassingsgebied van TLPT en wordt door de bevoegde autoriteiten gevalideerd.

3.   Wanneer derde aanbieders van ICT-diensten binnen het toepassingsgebied van de TLPT vallen, neemt de financiële entiteit de nodige maatregelen en waarborgen om de deelname van deze derde aanbieders van ICT-diensten aan de TLPT te waarborgen en behoudt de financiële entiteit de volledige verantwoordelijkheid voor het waarborgen van de naleving van deze verordening.

4.   Onverminderd lid 2, eerste en tweede alinea, kunnen, indien redelijkerwijs mag worden verwacht dat de deelname van een derde aanbieder van ICT-diensten aan de TLPT, als bedoeld in lid 3, een negatief effect zal hebben op de kwaliteit of de beveiliging van diensten die door de derde aanbieder van ICT-diensten worden verleend aan klanten die entiteiten zijn die buiten het toepassingsgebied van deze verordening vallen, of op de vertrouwelijkheid van de gegevens met betrekking tot dergelijke diensten, de financiële entiteit en de derde aanbieder van ICT-diensten schriftelijk overeenkomen dat de derde aanbieder van ICT-diensten rechtstreeks een contractuele overeenkomst sluit met een externe tester voor de uitvoering, onder leiding van één aangewezen financiële entiteit, van een gebundelde TLPT waarbij meerdere financiële entiteiten betrokken zijn waaraan de derde aanbieder van ICT-diensten ICT-diensten verleent (gebundelde tests).

Deze gebundelde tests hebben betrekking op het relevante gamma van ICT-diensten die kritieke of belangrijke functies ondersteunen waarvoor de financiële entiteiten met de respectieve derde aanbieders van ICT-diensten een contract hebben gesloten. De gebundelde tests worden beschouwd als TLPT die worden uitgevoerd door de financiële entiteiten die aan deze tests deelnemen.

Het aantal financiële entiteiten dat deelneemt aan de gebundelde tests wordt afgestemd op de complexiteit en de aard van de betrokken diensten.

5.   Met de medewerking van derde aanbieders van ICT-diensten en andere betrokken partijen, inclusief testers, maar exclusief de bevoegde autoriteiten, passen de financiële entiteiten doeltreffende risicobeheerscontroles toe om de risico’s van potentiële effecten op gegevens, schade aan activa en verstoring van kritieke of belangrijke functies, diensten of activiteiten bij de financiële entiteit zelf, bij haar tegenhangers of in de financiële sector te mitigeren.

6.   Na afloop van de tests, nadat overeenstemming is bereikt over verslagen en correctieplannen, verstrekken de financiële entiteit en, waar van toepassing, de externe testers aan de autoriteit een overeenkomstig de leden 9 en 10 opgestelde samenvatting van de relevante bevindingen, de correctieplannen en de documentatie waaruit blijkt dat de TLPT in overeenstemming met de vereisten is verricht.

7.   Die autoriteit bezorgt een attest aan de financiële entiteit waarin wordt bevestigd dat de test in overeenstemming met de in de documentatie genoemde vereisten is verricht om de wederzijdse erkenning van dreigingsgestuurde penetratietests tussen bevoegde autoriteiten mogelijk te maken. De financiële entiteit stelt de relevante bevoegde autoriteit in kennis van het attest, de samenvatting van de relevante bevindingen en de correctieplannen.

Onverminderd een dergelijk attest, blijven financiële entiteiten te allen tijde volledig verantwoordelijk voor de gevolgen van de in lid 4 genoemde tests.

8.   Financiële entiteiten stellen testers aan om TLPT te verrichten overeenkomstig artikel 27. Wanneer financiële entiteiten interne testers gebruiken om TLPT te verrichten, stellen zij om de drie tests externe testers aan.

Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als belangrijk zijn aangemerkt, zetten alleen externe testers in overeenkomstig artikel 27, lid 1, punten a) tot en met e).

De bevoegde autoriteiten bepalen welke financiële entiteiten de verplichting opgelegd krijgen TLPT te verrichten, rekening houdend met de criteria in artikel 4, lid 2, op basis van een beoordeling van:

| a) | effectgerelateerde factoren, met name de mate waarin de diensten en de activiteiten van de financiële entiteit effecten hebben op de financiële sector; |
| --- | --- |

a)

effectgerelateerde factoren, met name de mate waarin de diensten en de activiteiten van de financiële entiteit effecten hebben op de financiële sector;

| b) | mogelijke bezorgdheid over financiële stabiliteit, met inbegrip van het systemisch karakter van de financiële entiteit op Unieniveau of op nationaal niveau, indien van toepassing; |
| --- | --- |

b)

mogelijke bezorgdheid over financiële stabiliteit, met inbegrip van het systemisch karakter van de financiële entiteit op Unieniveau of op nationaal niveau, indien van toepassing;

| c) | het specifieke ICT-risicoprofiel, het niveau van maturiteit inzake ICT van de financiële entiteit of de technologische kenmerken in het geding. |
| --- | --- |

c)

het specifieke ICT-risicoprofiel, het niveau van maturiteit inzake ICT van de financiële entiteit of de technologische kenmerken in het geding.

9.   De lidstaten kunnen één enkele overheidsinstantie in de financiële sector aanwijzen die verantwoordelijk is voor TLPT-gerelateerde aangelegenheden in de financiële sector op nationaal niveau en belasten die instantie daartoe met alle nodige bevoegdheden en taken.

10.   Indien een aanwijzing van één enkele overheidsinstantie overeenkomstig lid 9 van dit artikel ontbreekt, en onverminderd haar bevoegdheid te bepalen welke financiële entiteiten de verplichting krijgen opgelegd TLPT te verrichten, kan een bevoegde autoriteit de uitvoering van sommige of al de in dit artikel en artikel 27 genoemde taken aan een andere nationale autoriteit in de financiële sector delegeren.

11.   De ETA’s ontwikkelen, in overeenstemming met de ECB gemeenschappelijke ontwerpen van technische reguleringsnormen overeenkomstig het Tiber-EU-kader, tot nadere bepaling van:

| a) | de voor de toepassing van lid 8, tweede alinea, gebruikte criteria; |
| --- | --- |

a)

de voor de toepassing van lid 8, tweede alinea, gebruikte criteria;

| b) | de vereisten en normen inzake het inzetten van interne testers; |
| --- | --- |

b)

de vereisten en normen inzake het inzetten van interne testers;

| c) | de vereisten met betrekking tot:






  i) | het toepassingsgebied van de in lid 2 bedoelde TLPT; |
| --- | --- | --- |

c)

de vereisten met betrekking tot:

i)

het toepassingsgebied van de in lid 2 bedoelde TLPT;

| ii) | de te volgen testmethodologie en -aanpak voor elke specifieke fase van het testproces; |
| --- | --- |

ii)

de te volgen testmethodologie en -aanpak voor elke specifieke fase van het testproces;

| iii) | de resultaten, de afsluitings- en de correctiefase van de tests; |
| --- | --- |

iii)

de resultaten, de afsluitings- en de correctiefase van de tests;

| d) | het soort samenwerking op het gebied van toezicht evenals andere relevante vormen van samenwerking die noodzakelijk zijn voor de uitvoering van TLPT en ter facilitering van wederzijdse erkenning van die tests, in het geval van financiële entiteiten die in meer dan een lidstaat actief zijn, teneinde een passend niveau van betrokkenheid van toezichthouders en een flexibele uitvoering mogelijk te maken rekening houdend met de specifieke kenmerken van financiële subsectoren of lokale financiële markten. |
| --- | --- |

d)

het soort samenwerking op het gebied van toezicht evenals andere relevante vormen van samenwerking die noodzakelijk zijn voor de uitvoering van TLPT en ter facilitering van wederzijdse erkenning van die tests, in het geval van financiële entiteiten die in meer dan een lidstaat actief zijn, teneinde een passend niveau van betrokkenheid van toezichthouders en een flexibele uitvoering mogelijk te maken rekening houdend met de specifieke kenmerken van financiële subsectoren of lokale financiële markten.

Bij het ontwikkelen van die ontwerpen van technische reguleringsnormen, houden de ETA’s terdege rekening met elk specifiek kenmerk dat voortvloeit uit de specifieke aard van de activiteiten in verschillende financiëledienstensectoren.

De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 juli 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Artikel 27

Vereisten voor testers voor het uitvoeren van TLPT

1.   Financiële entiteiten maken voor het uitvoeren van TLPT alleen gebruik van testers die:

| a) | in de hoogste mate geschikt en deugdelijk zijn; |
| --- | --- |

a)

in de hoogste mate geschikt en deugdelijk zijn;

| b) | technische en organisatorische capaciteiten bezitten en blijk geven van specifieke deskundigheid op het gebied van inlichtingen over dreigingen, penetratietests en red-teamtests; |
| --- | --- |

b)

technische en organisatorische capaciteiten bezitten en blijk geven van specifieke deskundigheid op het gebied van inlichtingen over dreigingen, penetratietests en red-teamtests;

| c) | door een accrediteringsinstantie in een lidstaat zijn gecertificeerd of formele gedragscodes of ethische kaders hebben onderschreven; |
| --- | --- |

c)

door een accrediteringsinstantie in een lidstaat zijn gecertificeerd of formele gedragscodes of ethische kaders hebben onderschreven;

| d) | een onafhankelijke waarborg of een auditverslag verstrekken met betrekking tot het deugdelijk beheer van risico’s die verbonden zijn aan de uitvoering van TLPT, met inbegrip van de gepaste bescherming van de vertrouwelijke informatie van de financiële entiteit en herstel voor de bedrijfsrisico’s van de financiële entiteit; |
| --- | --- |

d)

een onafhankelijke waarborg of een auditverslag verstrekken met betrekking tot het deugdelijk beheer van risico’s die verbonden zijn aan de uitvoering van TLPT, met inbegrip van de gepaste bescherming van de vertrouwelijke informatie van de financiële entiteit en herstel voor de bedrijfsrisico’s van de financiële entiteit;

| e) | naar behoren en volledig door de desbetreffende beroepsaansprakelijkheidsverzekeringen zijn gedekt, onder meer tegen het risico van fouten en nalatigheid. |
| --- | --- |

e)

naar behoren en volledig door de desbetreffende beroepsaansprakelijkheidsverzekeringen zijn gedekt, onder meer tegen het risico van fouten en nalatigheid.

2.   Bij het inzetten van interne testers zorgen de financiële entiteiten ervoor dat, naast de vereisten van lid 1, de volgende voorwaarden worden vervuld:

| a) | dergelijk inzetten van interne testers is goedgekeurd door de relevante bevoegde autoriteit of de overeenkomstig artikel 26, leden 9 en 10, aangewezen enige overheidsinstantie; |
| --- | --- |

a)

dergelijk inzetten van interne testers is goedgekeurd door de relevante bevoegde autoriteit of de overeenkomstig artikel 26, leden 9 en 10, aangewezen enige overheidsinstantie;

| b) | de relevante bevoegde autoriteit heeft geverifieerd dat de financiële entiteit voldoende middelen heeft ingezet en heeft ervoor gezorgd dat belangenconflicten gedurende de hele ontwerp- en uitvoeringsfase van de test worden voorkomen, en |
| --- | --- |

b)

de relevante bevoegde autoriteit heeft geverifieerd dat de financiële entiteit voldoende middelen heeft ingezet en heeft ervoor gezorgd dat belangenconflicten gedurende de hele ontwerp- en uitvoeringsfase van de test worden voorkomen, en

| c) | de verstrekker van inlichtingen over dreigingen is extern ten opzichte van de financiële entiteit. |
| --- | --- |

c)

de verstrekker van inlichtingen over dreigingen is extern ten opzichte van de financiële entiteit.

3.   Financiële entiteiten zorgen ervoor dat de contracten met externe testers een degelijk beheer van de resultaten van de TLPT opleggen en dat de gegevensverwerking daarvan, met inbegrip van het genereren, opslaan, aggregeren, ontwerpen, rapporteren, communiceren of vernietigen van resultaten, geen risico’s voor de financiële entiteit meebrengt.

HOOFDSTUK V

Beheer van ICT-risico van derde aanbieders

Afdeling I

Basisbeginselen voor een degelijk beheer van het ICT-risico van derde aanbieders

Artikel 28

Algemene beginselen

1.   Financiële entiteiten beheren het ICT-risico van derde aanbieders als integrerend onderdeel van het ICT-risico binnen hun kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1, en in overeenstemming met de volgende beginselen:

| a) | financiële entiteiten die contractuele overeenkomsten voor het gebruik van ICT-diensten voor hun bedrijfsactiviteiten hebben getroffen, blijven te allen tijde volledig verantwoordelijk voor de naleving en de verantwoording van alle verplichtingen uit hoofde van deze verordening en het toepasselijke recht inzake financiële diensten; |
| --- | --- |

a)

financiële entiteiten die contractuele overeenkomsten voor het gebruik van ICT-diensten voor hun bedrijfsactiviteiten hebben getroffen, blijven te allen tijde volledig verantwoordelijk voor de naleving en de verantwoording van alle verplichtingen uit hoofde van deze verordening en het toepasselijke recht inzake financiële diensten;

| b) | het beheer van het ICT-risico van derde aanbieders door financiële entiteiten wordt uitgevoerd aan de hand van het evenredigheidsbeginsel, rekening houdend met:






  i) | de aard, de schaal, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden, |
| --- | --- | --- |

b)

het beheer van het ICT-risico van derde aanbieders door financiële entiteiten wordt uitgevoerd aan de hand van het evenredigheidsbeginsel, rekening houdend met:

i)

de aard, de schaal, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden,

| ii) | de risico’s die voortvloeien uit contractuele overeenkomsten met derde aanbieders inzake het gebruik van ICT-diensten, rekening houdend met het kritieke karakter of het belang van de respectieve diensten, processen of functies en met de potentiële gevolgen voor de continuïteit en de beschikbaarheid van financiële diensten en activiteiten, op individueel en groepsniveau. |
| --- | --- |

ii)

de risico’s die voortvloeien uit contractuele overeenkomsten met derde aanbieders inzake het gebruik van ICT-diensten, rekening houdend met het kritieke karakter of het belang van de respectieve diensten, processen of functies en met de potentiële gevolgen voor de continuïteit en de beschikbaarheid van financiële diensten en activiteiten, op individueel en groepsniveau.

2.   Als onderdeel van hun kader voor ICT-risicobeheer stellen financiële entiteiten die geen entiteiten zijn in de zin van artikel 16, lid 1, eerste alinea, en geen micro-ondernemingen zijn, een strategie inzake ICT-risico van derde aanbieders vast en herzien zij deze regelmatig, rekening houdend met de in artikel 6, lid 9, bedoelde multi-vendorstrategie, indien van toepassing. De strategie inzake ICT-risico van derde aanbieders omvat een beleid inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen en is van toepassing op individuele basis en, in voorkomend geval, op gesubconsolideerde en geconsolideerde basis. Op basis van een beoordeling van het algehele risicoprofiel van de financiële entiteit en de schaal en complexiteit van de zakelijke diensten, evalueert het leidinggevend orgaan regelmatig de vastgestelde risico’s met betrekking tot de contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen.

3.   Als onderdeel van hun kader voor ICT-risicobeheer handhaven en actualiseren financiële entiteiten op het niveau van de entiteit en op gesubconsolideerd en geconsolideerd niveau een informatieregister met betrekking tot alle contractuele overeenkomsten over het gebruik van door derde aanbieders verleende ICT-diensten.

De in de eerste alinea bedoelde contractuele overeenkomsten worden naar behoren gedocumenteerd, met een onderscheid tussen die welke van toepassing zijn op ICT-diensten ter ondersteuning van kritieke of belangrijke functies en die welke daarop niet van toepassing zijn.

Financiële entiteiten rapporteren ten minste jaarlijks aan de bevoegde autoriteiten over het aantal nieuwe overeenkomsten inzake het gebruik van ICT-diensten, de categorieën van derde aanbieders van ICT-diensten, het soort contractuele overeenkomsten en de ICT-diensten en -functies die worden geleverd.

Financiële entiteiten stellen de bevoegde autoriteit op verzoek het volledige informatieregister of desgevraagd specifieke onderdelen daarvan ter beschikking, samen met alle informatie die noodzakelijk wordt geacht om doeltreffend toezicht op de financiële entiteit mogelijk te maken.

Financiële entiteiten stellen de bevoegde autoriteit tijdig in kennis van geplande contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen en van het feit dat een functie cruciaal of belangrijk is geworden.

4.   Vóór het sluiten van een contractuele overeenkomst inzake het gebruik van ICT-diensten:

| a) | beoordelen financiële entiteiten of de contractuele overeenkomst betrekking heeft op het gebruik van ICT-diensten die een kritieke of belangrijke functie ondersteunen; |
| --- | --- |

a)

beoordelen financiële entiteiten of de contractuele overeenkomst betrekking heeft op het gebruik van ICT-diensten die een kritieke of belangrijke functie ondersteunen;

| b) | beoordelen zij of aan de toezichtvoorwaarden voor het sluiten van het contract is voldaan; |
| --- | --- |

b)

beoordelen zij of aan de toezichtvoorwaarden voor het sluiten van het contract is voldaan;

| c) | identificeren en beoordelen zij alle relevante risico’s met betrekking tot de contractuele overeenkomst, met inbegrip van de mogelijkheid dat deze contractuele overeenkomst kan leiden tot een versterking van het ICT-concentratierisico als bedoeld in artikel 29; |
| --- | --- |

c)

identificeren en beoordelen zij alle relevante risico’s met betrekking tot de contractuele overeenkomst, met inbegrip van de mogelijkheid dat deze contractuele overeenkomst kan leiden tot een versterking van het ICT-concentratierisico als bedoeld in artikel 29;

| d) | verrichten zij due-diligenceonderzoeken over toekomstige derde aanbieders van ICT-diensten en waarborgen zij gedurende de gehele selectie- en beoordelingsprocedure dat de derde aanbieder van ICT-diensten geschikt is; |
| --- | --- |

d)

verrichten zij due-diligenceonderzoeken over toekomstige derde aanbieders van ICT-diensten en waarborgen zij gedurende de gehele selectie- en beoordelingsprocedure dat de derde aanbieder van ICT-diensten geschikt is;

| e) | identificeren en beoordelen zij belangenconflicten die kunnen voortkomen uit de contractuele overeenkomst. |
| --- | --- |

e)

identificeren en beoordelen zij belangenconflicten die kunnen voortkomen uit de contractuele overeenkomst.

5.   Financiële entiteiten mogen alleen contractuele overeenkomsten sluiten met derde aanbieders van ICT-diensten die voldoen aan passende normen op het gebied van informatiebeveiliging. Wanneer die contractuele overeenkomsten kritieke of belangrijke functies betreffen, letten financiële entiteiten er vóór het sluiten van de overeenkomsten op dat derde aanbieders van ICT-diensten gebruikmaken van de meest actuele en hoogste normen voor informatiebeveiliging.

6.   Bij het uitoefenen van toegangs-, inspectie- en auditrechten ten aanzien van de derde aanbieder van ICT-diensten bepalen financiële entiteiten op basis van een risicogebaseerde benadering vooraf de frequentie van de audits en inspecties alsook de te controleren gebieden, door algemeen aanvaarde auditnormen in acht te nemen in overeenstemming met de instructies van de toezichthouder inzake het gebruik en de integratie van deze auditnormen.

Indien met derde aanbieders van ICT-diensten afgesloten contractuele overeenkomsten inzake het gebruik van ICT-diensten een hoog niveau van technische complexiteit inhouden, verifieert de financiële entiteit dat interne of externe auditors, of een pool van auditors, over passende vaardigheden en kennis beschikken om de desbetreffende audits en beoordelingen doeltreffend uit te voeren.

7.   Financiële entiteiten zorgen ervoor dat contractuele overeenkomsten inzake het gebruik van ICT-diensten in elk van de volgende omstandigheden kunnen worden beëindigd:

| a) | bij ernstige overtreding van de toepasselijke wetten, voorschriften of contractuele voorwaarden door de derde aanbieder van ICT-diensten; |
| --- | --- |

a)

bij ernstige overtreding van de toepasselijke wetten, voorschriften of contractuele voorwaarden door de derde aanbieder van ICT-diensten;

| b) | in omstandigheden die in de loop van de monitoring van het ICT-risico van derde aanbieders worden vastgesteld, waarvan wordt aangenomen dat deze wijzigingen kunnen brengen in de uitvoering van de functies waarin de contractuele overeenkomst voorziet, met inbegrip van materiële wijzigingen die de overeenkomst of de situatie van de derde aanbieder van ICT-diensten nadelig beïnvloeden; |
| --- | --- |

b)

in omstandigheden die in de loop van de monitoring van het ICT-risico van derde aanbieders worden vastgesteld, waarvan wordt aangenomen dat deze wijzigingen kunnen brengen in de uitvoering van de functies waarin de contractuele overeenkomst voorziet, met inbegrip van materiële wijzigingen die de overeenkomst of de situatie van de derde aanbieder van ICT-diensten nadelig beïnvloeden;

| c) | bij klaarblijkelijke zwakheden van de derde aanbieder van ICT-diensten in verband met zijn algemeen beheer van het ICT-risico en in het bijzonder met de manier waarop hij zorgt voor de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van persoonlijke of anderszins gevoelige gegevens of niet-persoonsgebonden gegevens; |
| --- | --- |

c)

bij klaarblijkelijke zwakheden van de derde aanbieder van ICT-diensten in verband met zijn algemeen beheer van het ICT-risico en in het bijzonder met de manier waarop hij zorgt voor de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van persoonlijke of anderszins gevoelige gegevens of niet-persoonsgebonden gegevens;

| d) | indien de bevoegde autoriteit niet langer doeltreffend toezicht kan uitoefenen op de financiële entiteit ten gevolge van de voorwaarden van of de omstandigheden in verband met de respectieve contractuele overeenkomst. |
| --- | --- |

d)

indien de bevoegde autoriteit niet langer doeltreffend toezicht kan uitoefenen op de financiële entiteit ten gevolge van de voorwaarden van of de omstandigheden in verband met de respectieve contractuele overeenkomst.

8.   Voor ICT-diensten die kritieke of belangrijke functies ondersteunen, voeren financiële entiteiten exitstrategieën in. In de exitstrategieën wordt rekening gehouden met risico’s die zich op het niveau van derde aanbieders van ICT-diensten kunnen voordoen, met name een mogelijk falen van deze aanbieders, een verslechtering van de kwaliteit van de geleverde ICT-diensten, verstoring van de bedrijfsactiviteiten ten gevolge van ongeschikte of falende dienstverlening van ICT-diensten of materiële risico’s in verband met de passende en permanente inzet van de respectieve ICT-dienst, of de beëindiging van contractuele overeenkomsten met derde aanbieders van ICT-diensten onder een van de in lid 7 bedoelde omstandigheden.

Financiële entiteiten zorgen ervoor dat zij de mogelijkheid hebben om contractuele overeenkomsten te beëindigen:

| a) | zonder verstoring van hun bedrijfsactiviteiten, |
| --- | --- |

a)

zonder verstoring van hun bedrijfsactiviteiten,

| b) | zonder dat de naleving van de regelgevingsvereisten wordt beperkt, |
| --- | --- |

b)

zonder dat de naleving van de regelgevingsvereisten wordt beperkt,

| c) | zonder dat afbreuk wordt gedaan aan de continuïteit en de kwaliteit van aan cliënten geleverde diensten. |
| --- | --- |

c)

zonder dat afbreuk wordt gedaan aan de continuïteit en de kwaliteit van aan cliënten geleverde diensten.

Exitplannen zijn alomvattend en gedocumenteerd en worden overeenkomstig de in artikel 4, lid 2, genoemde criteria voldoende getest en regelmatig geëvalueerd.

Financiële entiteiten reiken alternatieve oplossingen aan en ontwikkelen overgangsplannen die hen in staat stellen contractueel overeengekomen ICT-diensten en de desbetreffende gegevens van de derde aanbieder van ICT-diensten te verwijderen en deze veilig en integraal over te dragen aan alternatieve aanbieders of deze opnieuw in het eigen bedrijf te integreren.

Financiële entiteiten beschikken over passende noodmaatregelen om de bedrijfscontinuïteit te handhaven indien omstandigheden als bedoeld in de eerste alinea zich voordoen.

9.   De ETA’s ontwikkelen via het Gemengd Comité ontwerpen van technische uitvoeringsnormen voor de vaststelling van standaardmodellen ten behoeve van het in lid 3 bedoelde informatieregister, waarin informatie wordt opgenomen inzake het gebruik van ICT-diensten die voor alle contractuele overeenkomsten van toepassing is. De ETA’s leggen deze ontwerpen van technische uitvoeringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid verleend om de in de eerste alinea bedoelde technische uitvoeringsnormen vast te stellen overeenkomstig artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

10.   De ETA’s ontwikkelen via het Gemengd Comité ontwerpen van technische reguleringsnormen tot nadere bepaling van de gedetailleerde inhoud van het in lid 2 bedoelde beleid met betrekking tot de contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen.

Bij het ontwikkelen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algehele risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan. De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Artikel 29

Voorlopige beoordeling van het ICT-concentratierisico op het niveau van de entiteit

1.   Bij het identificeren en beoordelen van de in artikel 28, lid 4, punt c), bedoelde risico’s houden financiële entiteiten eveneens rekening met de vraag of de beoogde sluiting van een contractuele overeenkomst inzake ICT-diensten die kritieke of belangrijke functies ondersteunen, zou leiden tot een van de volgende situaties waarin:

| a) | zij een contract sluiten met een derde aanbieder van ICT-diensten die niet gemakkelijk substitueerbaar is, of |
| --- | --- |

a)

zij een contract sluiten met een derde aanbieder van ICT-diensten die niet gemakkelijk substitueerbaar is, of

| b) | zij beschikken over meerdere contractuele overeenkomsten inzake de verlening van ICT-diensten die kritieke of belangrijke functies ondersteunen, met dezelfde derde aanbieder van ICT-diensten of met nauw verbonden derde aanbieders van ICT-diensten. |
| --- | --- |

b)

zij beschikken over meerdere contractuele overeenkomsten inzake de verlening van ICT-diensten die kritieke of belangrijke functies ondersteunen, met dezelfde derde aanbieder van ICT-diensten of met nauw verbonden derde aanbieders van ICT-diensten.

Financiële entiteiten wegen de baten en kosten af van alternatieve oplossingen, zoals het gebruik van verschillende derde aanbieders van ICT-diensten, rekening houdend met de vraag of en hoe de voorgenomen oplossingen aansluiten bij de zakelijke behoeften en doelstellingen waarin hun strategie inzake digitale weerbaarheid voorziet.

2.   Wanneer de contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen de mogelijkheid inhouden dat een derde aanbieder ICT-diensten die een kritieke of belangrijke functie ondersteunen verder uitbesteedt aan andere derde aanbieders van ICT-diensten, wegen de financiële entiteiten de baten en risico’s af die uit een dergelijke uitbesteding kunnen voortkomen, met name in het geval van een in een derde land gevestigde ICT-subcontractant.

Indien contractuele overeenkomsten ICT-diensten betreffen die kritieke of belangrijke functies ondersteunen, houden financiële entiteiten terdege rekening met bepalingen van insolventierecht die in geval van faillissement van de derde aanbieder van ICT-diensten van toepassing zouden zijn alsook met beperkingen die zich met betrekking tot het dringende herstel van de gegevens van de financiële entiteit zouden kunnen voordoen.

Indien contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen met een in een derde land gevestigde derde aanbieder van ICT-diensten worden gesloten, houden financiële entiteiten, bovenop de in de tweede alinea bedoelde overwegingen, ook rekening met de naleving van de gegevensbeschermingsregels van de Unie en de doeltreffende handhaving van de wet in dat derde land.

Indien contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen uitbesteding mogelijk maken, beoordelen financiële entiteiten of en hoe potentieel lange of complexe uitbestedingsketens van invloed kunnen zijn op hun vermogen om de contractueel overeengekomen functies volledig te monitoren en op het vermogen van de bevoegde autoriteit om in dat verband doeltreffend toezicht uit te oefenen op de financiële entiteit.

Artikel 30

Belangrijke contractuele bepalingen

1.   De rechten en plichten van de financiële entiteit en van de derde aanbieder van ICT-diensten worden duidelijk toegewezen en schriftelijk vastgesteld. Het volledige contract omvat de overeenkomsten inzake dienstverleningsniveau en wordt opgenomen in één schriftelijk document dat voor de partijen beschikbaar is op papier, of in een document met een ander, downloadbaar, duurzaam en toegankelijk formaat.

2.   De contractuele overeenkomsten inzake het gebruik van ICT-diensten bevatten ten minste de volgende elementen:

| a) | een duidelijke en volledige beschrijving van alle door de derde aanbieder van ICT-diensten te leveren functies en ICT-diensten, met vermelding of het uitbesteden van een ICT-dienst die een kritieke of belangrijke functie ondersteunt, of van materiële onderdelen daarvan, is toegestaan en indien dit het geval is, welke voorwaarden op die uitbesteding van toepassing zijn; |
| --- | --- |

a)

een duidelijke en volledige beschrijving van alle door de derde aanbieder van ICT-diensten te leveren functies en ICT-diensten, met vermelding of het uitbesteden van een ICT-dienst die een kritieke of belangrijke functie ondersteunt, of van materiële onderdelen daarvan, is toegestaan en indien dit het geval is, welke voorwaarden op die uitbesteding van toepassing zijn;

| b) | de locaties, met name de regio’s of landen, waar de contractueel overeengekomen of uitbestede functies en ICT-diensten moeten worden geleverd en waar gegevens moeten worden verwerkt, met inbegrip van de opslaglocatie, en de verplichting voor de derde aanbieder van ICT-diensten om de financiële entiteit vooraf in kennis te stellen indien hij voornemens is van locatie te veranderen; |
| --- | --- |

b)

de locaties, met name de regio’s of landen, waar de contractueel overeengekomen of uitbestede functies en ICT-diensten moeten worden geleverd en waar gegevens moeten worden verwerkt, met inbegrip van de opslaglocatie, en de verplichting voor de derde aanbieder van ICT-diensten om de financiële entiteit vooraf in kennis te stellen indien hij voornemens is van locatie te veranderen;

| c) | bepalingen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid met betrekking tot de bescherming van gegevens, met inbegrip van persoonsgegevens; |
| --- | --- |

c)

bepalingen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid met betrekking tot de bescherming van gegevens, met inbegrip van persoonsgegevens;

| d) | bepalingen inzake het waarborgen van de toegang, het herstel en de teruggave in een gemakkelijk toegankelijk formaat van door de financiële entiteit verwerkte persoonsgegevens en niet-persoonsgebonden gegevens in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten, of in geval van beëindiging van de contractuele overeenkomsten; |
| --- | --- |

d)

bepalingen inzake het waarborgen van de toegang, het herstel en de teruggave in een gemakkelijk toegankelijk formaat van door de financiële entiteit verwerkte persoonsgegevens en niet-persoonsgebonden gegevens in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten, of in geval van beëindiging van de contractuele overeenkomsten;

| e) | beschrijvingen van het dienstenniveau, met inbegrip van actualiseringen en herzieningen daarvan; |
| --- | --- |

e)

beschrijvingen van het dienstenniveau, met inbegrip van actualiseringen en herzieningen daarvan;

| f) | de verplichting van de derde aanbieder van ICT-diensten om de financiële entiteit zonder extra kosten, of tegen een vooraf bepaalde kostprijs, bijstand te verlenen wanneer zich een incident voordoet dat verband houdt met de aan de financiële entiteit geleverde ICT-dienst; |
| --- | --- |

f)

de verplichting van de derde aanbieder van ICT-diensten om de financiële entiteit zonder extra kosten, of tegen een vooraf bepaalde kostprijs, bijstand te verlenen wanneer zich een incident voordoet dat verband houdt met de aan de financiële entiteit geleverde ICT-dienst;

| g) | de verplichting van de derde aanbieder van ICT-diensten om volledige medewerking te verlenen aan de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, met inbegrip van de door hen aangestelde personen; |
| --- | --- |

g)

de verplichting van de derde aanbieder van ICT-diensten om volledige medewerking te verlenen aan de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, met inbegrip van de door hen aangestelde personen;

| h) | beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten; |
| --- | --- |

h)

beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten;

| i) | de voorwaarden voor deelname van derde aanbieders van ICT-diensten aan bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid van de financiële entiteiten, overeenkomstig artikel 13, lid 6. |
| --- | --- |

i)

de voorwaarden voor deelname van derde aanbieders van ICT-diensten aan bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid van de financiële entiteiten, overeenkomstig artikel 13, lid 6.

3.   De contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen, omvatten, bovenop de in lid 2 genoemde elementen, ten minste het volgende:

| a) | beschrijvingen van het niveau van volledige dienstverlening, met inbegrip van actualiseringen en herzieningen daarvan met nauwkeurige kwantitatieve en kwalitatieve prestatiedoelstellingen binnen de overeengekomen dienstverleningsniveaus, teneinde de financiële entiteit in staat te stellen een doeltreffende monitoring van de ICT-diensten te verrichten en onverwijld passende corrigerende maatregelen te nemen wanneer de overeengekomen dienstverleningsniveaus niet worden gehaald; |
| --- | --- |

a)

beschrijvingen van het niveau van volledige dienstverlening, met inbegrip van actualiseringen en herzieningen daarvan met nauwkeurige kwantitatieve en kwalitatieve prestatiedoelstellingen binnen de overeengekomen dienstverleningsniveaus, teneinde de financiële entiteit in staat te stellen een doeltreffende monitoring van de ICT-diensten te verrichten en onverwijld passende corrigerende maatregelen te nemen wanneer de overeengekomen dienstverleningsniveaus niet worden gehaald;

| b) | kennisgevingstermijnen en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit, met inbegrip van de kennisgeving van ontwikkelingen die materiële gevolgen kunnen hebben voor het vermogen van de derde aanbieder om op doeltreffende wijze de ICT-diensten die kritieke of belangrijke functies ondersteunen te leveren in overeenstemming met de afgesproken dienstverleningsniveaus; |
| --- | --- |

b)

kennisgevingstermijnen en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit, met inbegrip van de kennisgeving van ontwikkelingen die materiële gevolgen kunnen hebben voor het vermogen van de derde aanbieder om op doeltreffende wijze de ICT-diensten die kritieke of belangrijke functies ondersteunen te leveren in overeenstemming met de afgesproken dienstverleningsniveaus;

| c) | verplichtingen voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen in te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidslijnen waarmee de financiële entiteit kan zorgen voor een passend niveau van veiligheid bij het verlenen van diensten in overeenstemming met haar regelgevingskader; |
| --- | --- |

c)

verplichtingen voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen in te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidslijnen waarmee de financiële entiteit kan zorgen voor een passend niveau van veiligheid bij het verlenen van diensten in overeenstemming met haar regelgevingskader;

| d) | de verplichting voor de derde aanbieder van ICT-diensten om deel te nemen aan en volledig mee te werken bij de TLPT van de financiële entiteit als bedoeld in de artikelen 26 en 27; |
| --- | --- |

d)

de verplichting voor de derde aanbieder van ICT-diensten om deel te nemen aan en volledig mee te werken bij de TLPT van de financiële entiteit als bedoeld in de artikelen 26 en 27;

| e) | het recht om de prestaties van de derde aanbieder van ICT-diensten permanent te monitoren, hetgeen het volgende inhoudt:






  i) | onbeperkte rechten van toegang, inspectie en audit door de financiële entiteit of een daartoe aangestelde derde partij alsook door de bevoegde autoriteit, en het recht om ter plaatse kopieën van relevante documenten te maken indien deze cruciaal zijn voor de activiteiten van de derde aanbieder van ICT-diensten, waarbij de doeltreffende uitoefening van dit recht niet wordt belemmerd of beperkt door andere contractuele overeenkomsten of ander uitvoeringsbeleid; |
| --- | --- | --- |

e)

het recht om de prestaties van de derde aanbieder van ICT-diensten permanent te monitoren, hetgeen het volgende inhoudt:

i)

onbeperkte rechten van toegang, inspectie en audit door de financiële entiteit of een daartoe aangestelde derde partij alsook door de bevoegde autoriteit, en het recht om ter plaatse kopieën van relevante documenten te maken indien deze cruciaal zijn voor de activiteiten van de derde aanbieder van ICT-diensten, waarbij de doeltreffende uitoefening van dit recht niet wordt belemmerd of beperkt door andere contractuele overeenkomsten of ander uitvoeringsbeleid;

| ii) | het recht om andere garantieniveaus overeen te komen indien de rechten van andere cliënten worden aangetast; |
| --- | --- |

ii)

het recht om andere garantieniveaus overeen te komen indien de rechten van andere cliënten worden aangetast;

| iii) | de verplichting van de derde aanbieder van ICT-diensten om tijdens de door de bevoegde autoriteiten, de lead overseer, de financiële entiteit of een aangestelde derde partij ter plaatse uitgevoerde inspecties en audits volledig mee te werken, en |
| --- | --- |

iii)

de verplichting van de derde aanbieder van ICT-diensten om tijdens de door de bevoegde autoriteiten, de lead overseer, de financiële entiteit of een aangestelde derde partij ter plaatse uitgevoerde inspecties en audits volledig mee te werken, en

| iv) | de verplichting om bijzonderheden te verschaffen over het toepassingsgebied, te volgen procedures en de frequentie van dergelijke inspecties en audits; |
| --- | --- |

iv)

de verplichting om bijzonderheden te verschaffen over het toepassingsgebied, te volgen procedures en de frequentie van dergelijke inspecties en audits;

| f) | exitstrategieën, met name de invoering van een verplichte passende overgangsperiode:






  i) | waarin de derde aanbieder van ICT-diensten de levering van de respectieve functies of ICT-diensten zal blijven voortzetten, teneinde het risico op verstoring bij de financiële entiteit te beperken of voor een doeltreffende afwikkeling en herstructurering te zorgen; |
| --- | --- | --- |

f)

exitstrategieën, met name de invoering van een verplichte passende overgangsperiode:

i)

waarin de derde aanbieder van ICT-diensten de levering van de respectieve functies of ICT-diensten zal blijven voortzetten, teneinde het risico op verstoring bij de financiële entiteit te beperken of voor een doeltreffende afwikkeling en herstructurering te zorgen;

| ii) | waarin de financiële entiteit kan overstappen naar een andere derde aanbieder van ICT-diensten of naar interne oplossingen in overeenstemming met de complexiteit van de geleverde dienst. |
| --- | --- |

ii)

waarin de financiële entiteit kan overstappen naar een andere derde aanbieder van ICT-diensten of naar interne oplossingen in overeenstemming met de complexiteit van de geleverde dienst.

In afwijking van punt e) kunnen de derde aanbieder van ICT-diensten en de financiële entiteit die een micro-onderneming is, overeenkomen dat de rechten van toegang, inspectie en audit van de financiële entiteit mogen worden gedelegeerd aan een onafhankelijke derde partij die wordt aangesteld door de derde aanbieder van ICT-diensten, en dat de financiële entiteit de derde partij te allen tijde om informatie en garanties kan verzoeken met betrekking tot de prestaties van de derde aanbieder van ICT-diensten.

4.   Bij onderhandelingen over contractuele overeenkomsten houden financiële entiteiten en derde aanbieders van ICT-diensten rekening met het gebruik van modelcontractbepalingen die door overheidsinstanties zijn ontwikkeld voor specifieke diensten.

5.   De ETA’s stellen via het Gemengd Comité ontwerpen van technische reguleringsnormen op tot nadere bepaling van de in lid 2, punt a), genoemde elementen die een financiële entiteit nodig heeft om te kunnen bepalen en te beoordelen wanneer over te gaan tot uitbesteding van ICT-diensten die kritieke of belangrijke functies ondersteunen.

Bij het opstellen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algehele risicoprofiel van de financiële entiteit, en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan.

De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 juli 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Afdeling II

Oversightkader voor kritieke derde aanbieders van ICT-diensten

Artikel 31

Aanwijzing van kritieke derde aanbieders van ICT-diensten

1.   De ETA’s zorgen via het Gemengd Comité en op aanbeveling van het overeenkomstig artikel 32, lid 1, opgerichte oversightforum voor het volgende:

| a) | zij wijzen de derde aanbieders van ICT-diensten aan die cruciaal zijn voor financiële entiteiten, na een beoordeling die rekening houdt met de in lid 2 gespecificeerde criteria; |
| --- | --- |

a)

zij wijzen de derde aanbieders van ICT-diensten aan die cruciaal zijn voor financiële entiteiten, na een beoordeling die rekening houdt met de in lid 2 gespecificeerde criteria;

| b) | zij stellen voor iedere kritieke derde aanbieder van ICT-diensten als lead overseer de ETA aan die overeenkomstig Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 of (EU) nr. 1095/2010 verantwoordelijk is voor de financiële entiteiten die samen over het grootste aandeel van de totale activa beschikken ten opzichte van de waarde van de totale activa van alle financiële entiteiten die gebruikmaken van de diensten van de betrokken kritieke derde aanbieder van ICT-diensten, zoals resulteert uit de som van de individuele balansen van die financiële entiteiten. |
| --- | --- |

b)

zij stellen voor iedere kritieke derde aanbieder van ICT-diensten als lead overseer de ETA aan die overeenkomstig Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 of (EU) nr. 1095/2010 verantwoordelijk is voor de financiële entiteiten die samen over het grootste aandeel van de totale activa beschikken ten opzichte van de waarde van de totale activa van alle financiële entiteiten die gebruikmaken van de diensten van de betrokken kritieke derde aanbieder van ICT-diensten, zoals resulteert uit de som van de individuele balansen van die financiële entiteiten.

2.   De in lid 1, punt a), bedoelde aanwijzing is gebaseerd op alle volgende criteria met betrekking tot door de derde aanbieder van ICT-diensten geleverde ICT-diensten:

| a) | de systemische effecten op de stabiliteit, continuïteit of kwaliteit van de verlening van financiële diensten ingeval de betrokken derde aanbieder van ICT-diensten te maken zou krijgen met een grootschalige operationele verstoring van de dienstverlening, rekening houdend met het aantal financiële entiteiten en de totale waarde van de activa van de financiële entiteiten waaraan de betrokken derde aanbieder ICT-diensten verleent; |
| --- | --- |

a)

de systemische effecten op de stabiliteit, continuïteit of kwaliteit van de verlening van financiële diensten ingeval de betrokken derde aanbieder van ICT-diensten te maken zou krijgen met een grootschalige operationele verstoring van de dienstverlening, rekening houdend met het aantal financiële entiteiten en de totale waarde van de activa van de financiële entiteiten waaraan de betrokken derde aanbieder ICT-diensten verleent;

| b) | het systemische karakter of belang van de financiële entiteiten die afhankelijk zijn van de betrokken derde aanbieder van ICT-diensten, dat wordt beoordeeld aan de hand van de volgende criteria:






  i) | het aantal mondiaal systeemrelevante instellingen (MSI’s) of andere systeemrelevante instellingen (ASI’s) die afhankelijk zijn van de respectieve derde aanbieder van ICT-diensten; |
| --- | --- | --- |

b)

het systemische karakter of belang van de financiële entiteiten die afhankelijk zijn van de betrokken derde aanbieder van ICT-diensten, dat wordt beoordeeld aan de hand van de volgende criteria:

i)

het aantal mondiaal systeemrelevante instellingen (MSI’s) of andere systeemrelevante instellingen (ASI’s) die afhankelijk zijn van de respectieve derde aanbieder van ICT-diensten;

| ii) | de onderlinge afhankelijkheid tussen de MSI’s of ASI’s als bedoeld in punt i) en andere financiële entiteiten, met inbegrip van situaties waarin de MSI’s of ASI’s diensten op het gebied van financiële infrastructuur verlenen aan andere financiële entiteiten; |
| --- | --- |

ii)

de onderlinge afhankelijkheid tussen de MSI’s of ASI’s als bedoeld in punt i) en andere financiële entiteiten, met inbegrip van situaties waarin de MSI’s of ASI’s diensten op het gebied van financiële infrastructuur verlenen aan andere financiële entiteiten;

| c) | de afhankelijkheid van financiële entiteiten ten aanzien van de diensten die door de betrokken derde aanbieder van ICT-diensten worden verleend met betrekking tot kritieke of belangrijke functies van financiële entiteiten waarbij uiteindelijk dezelfde derde aanbieder van ICT-diensten betrokken is, ongeacht of financiële entiteiten direct of indirect via uitbestedingsregelingen van die diensten afhankelijk zijn; |
| --- | --- |

c)

de afhankelijkheid van financiële entiteiten ten aanzien van de diensten die door de betrokken derde aanbieder van ICT-diensten worden verleend met betrekking tot kritieke of belangrijke functies van financiële entiteiten waarbij uiteindelijk dezelfde derde aanbieder van ICT-diensten betrokken is, ongeacht of financiële entiteiten direct of indirect via uitbestedingsregelingen van die diensten afhankelijk zijn;

| d) | de graad van substitueerbaarheid van de derde aanbieder van ICT-diensten, rekening houdend met de volgende parameters:






  i) | het ontbreken van reële, zelfs gedeeltelijke, alternatieven als gevolg van het beperkte aantal derde aanbieders van ICT-diensten die actief zijn op een specifieke markt, of het marktaandeel van de betrokken derde aanbieder van ICT-diensten, of de technische complexiteit of geavanceerdheid die in het geding is, onder meer met betrekking tot eigendomstechnologie, of de specifieke kenmerken van de organisatie of activiteit van de derde aanbieder van ICT-diensten; |
| --- | --- | --- |

d)

de graad van substitueerbaarheid van de derde aanbieder van ICT-diensten, rekening houdend met de volgende parameters:

i)

het ontbreken van reële, zelfs gedeeltelijke, alternatieven als gevolg van het beperkte aantal derde aanbieders van ICT-diensten die actief zijn op een specifieke markt, of het marktaandeel van de betrokken derde aanbieder van ICT-diensten, of de technische complexiteit of geavanceerdheid die in het geding is, onder meer met betrekking tot eigendomstechnologie, of de specifieke kenmerken van de organisatie of activiteit van de derde aanbieder van ICT-diensten;

| ii) | moeilijkheden in verband met het geheel of gedeeltelijk migreren van de relevante gegevens en werklast van de desbetreffende derde aanbieder van ICT-diensten naar een andere derde aanbieder van ICT-diensten, hetzij ten gevolge van hoge financiële kosten, de tijd of andere middelen die het migratieproces kan meebrengen, of een hoger ICT-risico of andere operationele risico’s waaraan de financiële entiteit kan worden blootgesteld door een dergelijke migratie. |
| --- | --- |

ii)

moeilijkheden in verband met het geheel of gedeeltelijk migreren van de relevante gegevens en werklast van de desbetreffende derde aanbieder van ICT-diensten naar een andere derde aanbieder van ICT-diensten, hetzij ten gevolge van hoge financiële kosten, de tijd of andere middelen die het migratieproces kan meebrengen, of een hoger ICT-risico of andere operationele risico’s waaraan de financiële entiteit kan worden blootgesteld door een dergelijke migratie.

3.   Indien de derde aanbieder van ICT-diensten tot een groep behoort, wordt met de in lid 2 bedoelde criteria rekening gehouden met betrekking tot de ICT-diensten die door de groep als geheel worden verleend.

4.   Kritieke derde aanbieders van ICT-diensten die deel uitmaken van een groep wijzen één rechtspersoon als coördinatiepunt aan teneinde passende vertegenwoordiging en communicatie met de lead overseer te waarborgen.

5.   De lead overseer stelt de derde aanbieder van ICT-diensten in kennis van het resultaat van de beoordeling die tot de in lid 1, punt a), bedoelde aanwijzing heeft geleid. Binnen zes weken na datum van de kennisgeving kan de derde aanbieder van ICT-diensten bij de lead overseer een met redenen omklede verklaring met relevante informatie ten behoeve van de beoordeling indienen. De lead overseer neemt de met redenen omklede verklaring in overweging en kan binnen 30 kalenderdagen na de ontvangst van dergelijke verklaring om aanvullende informatie verzoeken.

Nadat een derde aanbieder van ICT-diensten als cruciaal is aangewezen, stellen de ETA’s de derde aanbieder van ICT-diensten via het Gemengd Comité in kennis van die aanwijzing alsook van de aanvangsdatum vanaf wanneer zij daadwerkelijk aan oversightactiviteiten zullen worden onderworpen. De aanvangsdatum valt niet later dan één maand na de kennisgeving. De derde aanbieder van ICT-diensten stelt de financiële entiteiten waaraan hij diensten verleent in kennis van zijn aanwijzing als cruciaal.

6.   De Commissie is bevoegd om overeenkomstig artikel 57 een gedelegeerde handeling in aanvulling op deze verordening vast te stellen waarin de in lid 2 van dit artikel genoemde criteria verder worden gespecificeerd, en dit uiterlijk op 17 juli 2024.

7.   De in lid 1, punt a), bedoelde aanwijzing wordt niet gebruikt totdat de Commissie een gedelegeerde handeling overeenkomstig lid 6 heeft vastgesteld.

8.   De in lid 1, punt a), bedoelde aanwijzing is niet van toepassing op:

| i) | financiële entiteiten die ICT-diensten verlenen aan andere financiële entiteiten; |
| --- | --- |

i)

financiële entiteiten die ICT-diensten verlenen aan andere financiële entiteiten;

| ii) | derde aanbieders van ICT-diensten die onderworpen zijn aan oversightkaders die zijn vastgesteld ter ondersteuning van de in artikel 127, lid 2, van het Verdrag betreffende de werking van de Europese Unie bedoelde taken; |
| --- | --- |

ii)

derde aanbieders van ICT-diensten die onderworpen zijn aan oversightkaders die zijn vastgesteld ter ondersteuning van de in artikel 127, lid 2, van het Verdrag betreffende de werking van de Europese Unie bedoelde taken;

| iii) | aanbieders van ICT-diensten binnen een groep; |
| --- | --- |

iii)

aanbieders van ICT-diensten binnen een groep;

| iv) | derde aanbieders van ICT-diensten die uitsluitend in één lidstaat ICT-diensten verlenen aan financiële entiteiten die alleen in die lidstaat actief zijn. |
| --- | --- |

iv)

derde aanbieders van ICT-diensten die uitsluitend in één lidstaat ICT-diensten verlenen aan financiële entiteiten die alleen in die lidstaat actief zijn.

9.   Jaarlijks stellen de ETA’s via het Gemengd Comité de lijst op van kritieke derde aanbieders van ICT-diensten op het niveau van de Unie, en publiceren en actualiseren zij deze lijst.

10.   Voor de toepassing van lid 1, punt a), zenden de bevoegde autoriteiten de in artikel 28, lid 3, derde alinea, bedoelde verslagen jaarlijks en op geaggregeerde basis toe aan het overeenkomstig artikel 32 opgerichte toezichtforum. Het oversightforum beoordeelt de afhankelijkheden van financiële entiteiten ten aanzien van derde aanbieders van ICT-diensten op basis van de informatie die het van de bevoegde autoriteiten ontvangt.

11.   De derde aanbieders van ICT-diensten die niet in de lid 9 bedoelde lijst zijn opgenomen, kunnen verzoeken om als cruciaal te worden aangewezen, overeenkomstig lid 1, punt a).

Voor de toepassing van de eerste alinea dient de derde aanbieder van ICT-diensten een met redenen omkleed verzoek in bij de EBA, de ESMA of de Eiopa, die via het Gemengd Comité besluit die derde aanbieder van ICT-diensten al dan niet als cruciaal aan te wijzen, overeenkomstig lid 1, punt a).

Het in de tweede alinea bedoelde besluit wordt binnen zes maanden na ontvangst van het verzoek vastgesteld en ter kennis gebracht van de derde aanbieder van ICT-diensten.

12.   Financiële entiteiten maken alleen gebruik van de diensten van een in een derde land gevestigde derde aanbieder van ICT-diensten die overeenkomstig lid 1, punt a), als cruciaal is aangewezen indien deze laatste binnen de twaalf maanden na de aanwijzing een dochteronderneming in de Unie heeft gevestigd.

13.   De in lid 12 bedoelde kritieke derde aanbieder van ICT-diensten stelt de lead overseer in kennis van alle wijzigingen in de beheersstructuur van de in de Unie gevestigde dochteronderneming.

Artikel 32

Structuur van het oversightkader

1.   Het Gemengd Comité richt overeenkomstig artikel 57, lid 1, van Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 het oversightforum op als subcomité ter ondersteuning van de werkzaamheden van het Gemengd Comité en van de lead overseer als bedoeld in artikel 31, lid 1, punt b), op het gebied van ICT-risico van derde aanbieders in alle financiële sectoren. Het oversightforum stelt de ontwerpen van gemeenschappelijke standpunten en de ontwerpen van gemeenschappelijke handelingen van het Gemengd Comité op dat gebied op.

Het oversightforum bespreekt regelmatig relevante ontwikkelingen inzake ICT-risico en -kwetsbaarheden en bevordert een consistente aanpak bij de monitoring van het ICT-risico van derde aanbieders op Unieniveau.

2.   Het oversightforum verricht jaarlijks een collectieve beoordeling van de resultaten en bevindingen van de oversightactiviteiten voor alle kritieke derde aanbieders van ICT-diensten en bevordert coördinatiemaatregelen om de digitale operationele weerbaarheid van financiële entiteiten te vergroten, beste praktijken voor de aanpak van het ICT-concentratierisico aan te moedigen en limiterende instrumenten voor sectoroverschrijdende risico-overdrachten te onderzoeken.

3.   Het oversightforum dient alomvattende benchmarks voor kritieke derde aanbieders van ICT-diensten in die door het Gemengd Comité als gemeenschappelijke standpunten van de ETA’s worden vastgesteld in overeenstemming met artikel 56, lid 1, van Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

4.   Het oversightforum is samengesteld uit:

| a) | de voorzitters van de ETA’s; |
| --- | --- |

a)

de voorzitters van de ETA’s;

| b) | één vertegenwoordiger op hoog niveau van het huidige personeel van de in artikel 46 bedoelde bevoegde autoriteit van elke lidstaat; |
| --- | --- |

b)

één vertegenwoordiger op hoog niveau van het huidige personeel van de in artikel 46 bedoelde bevoegde autoriteit van elke lidstaat;

| c) | de uitvoerend directeur van elke ETA en één vertegenwoordiger van de Commissie, het ESRB, de ECB en Enisa als waarnemers; |
| --- | --- |

c)

de uitvoerend directeur van elke ETA en één vertegenwoordiger van de Commissie, het ESRB, de ECB en Enisa als waarnemers;

| d) | waar passend, één extra vertegenwoordiger van een in artikel 46 bedoelde bevoegde autoriteit van elke lidstaat als waarnemer; |
| --- | --- |

d)

waar passend, één extra vertegenwoordiger van een in artikel 46 bedoelde bevoegde autoriteit van elke lidstaat als waarnemer;

| e) | indien van toepassing, één vertegenwoordiger van de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten die verantwoordelijk zijn voor het toezicht op een essentiële of belangrijke entiteit die onder die richtlijn valt en die is aangewezen als kritieke derde aanbieder van ICT-diensten, als waarnemer. |
| --- | --- |

e)

indien van toepassing, één vertegenwoordiger van de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten die verantwoordelijk zijn voor het toezicht op een essentiële of belangrijke entiteit die onder die richtlijn valt en die is aangewezen als kritieke derde aanbieder van ICT-diensten, als waarnemer.

Het oversightforum kan in voorkomend geval het advies inwinnen van overeenkomstig lid 6 aangestelde onafhankelijke deskundigen.

5.   Elke lidstaat wijst de bevoegde autoriteit aan waarvan een personeelslid de in lid 4, eerste alinea, punt b), bedoelde vertegenwoordiger op hoog niveau zal zijn, en stelt de lead overseer daarvan in kennis.

De ETA’s publiceren de lijst van door de lidstaten aangewezen vertegenwoordigers op hoog niveau uit het personeel op dat moment van de desbetreffende bevoegde autoriteit op hun website.

6.   De in lid 4, tweede alinea, bedoelde onafhankelijke deskundigen worden door het oversightforum aangesteld uit een groep deskundigen die op basis van een openbare en transparante sollicitatieprocedure zijn geselecteerd.

De onafhankelijke deskundigen worden aangesteld op basis van hun deskundigheid op het gebied van financiële stabiliteit, digitale operationele weerbaarheid en ICT-beveiliging. Zij handelen onafhankelijk, objectief en uitsluitend in het belang van de Unie als geheel, en vragen noch aanvaarden instructies van instellingen of organen van de Unie, van de regering van een lidstaat of van andere publieke of particuliere organen.

7.   Overeenkomstig artikel 16 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 vaardigen de ETA’s voor de toepassing van deze afdeling uiterlijk op 17 juli 2024 richtsnoeren uit betreffende de samenwerking tussen de ETA’s en de bevoegde autoriteiten betreffende de nadere procedures en voorwaarden voor de toewijzing en uitvoering van taken tussen de bevoegde autoriteiten en de ETA’s alsook de details over de uitwisseling van informatie die de bevoegde autoriteiten nodig hebben om de follow-up van aanbevelingen krachtens artikel 35, lid 1, punt d), aan het adres van de kritieke derde aanbieders van ICT-diensten, te waarborgen.

8.   De in deze afdeling gestelde vereisten doen geen afbreuk aan de toepassing van Richtlijn (EU) 2022/2555 en van andere Unieregels inzake toezicht die van toepassing zijn op aanbieders van cloudcomputingdiensten.

9.   De ETA’s dienen, via het Gemengd Comité en op basis van de voorbereidende werkzaamheden van het oversightforum jaarlijks een verslag in bij het Europees Parlement, de Raad en de Commissie over de toepassing van deze afdeling.

Artikel 33

Taken van de lead overseer

1.   De overeenkomstig artikel 31, lid 1, punt b), aangestelde lead overseer oefent het oversight uit over de aangewezen kritieke derde aanbieders van ICT-diensten en is voor alle aan het oversight gerelateerde aangelegenheden het eerste contactpunt voor die kritieke derde aanbieders van ICT-diensten.

2.   Voor de toepassing van lid 1, beoordeelt de lead overseer of elke kritieke derde aanbieder van ICT-diensten over uitgebreide, deugdelijke en doeltreffende regels, procedures, mechanismen en regelingen beschikt voor het beheer van het ICT-risico dat hij voor financiële entiteiten kan inhouden.

De in de eerste alinea bedoelde beoordeling is voornamelijk gericht op ICT-diensten verleend door de kritieke derde aanbieder van ICT-diensten die kritieke of belangrijke functies of financiële entiteiten ondersteunt. Waar dat nodig is om alle relevante risico’s aan te pakken, wordt de beoordeling uitgebreid tot ICT-diensten die andere functies dan de kritieke of de belangrijke functies ondersteunen.

3.   De in lid 2 bedoelde beoordeling heeft betrekking op:

| a) | ICT-voorschriften om met name de veiligheid, beschikbaarheid, continuïteit, schaalbaarheid en kwaliteit van diensten die de kritieke derde aanbieder van ICT-diensten aan financiële entiteiten verleent, te garanderen alsook het vermogen om te allen tijde hoge normen inzake beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens te handhaven; |
| --- | --- |

a)

ICT-voorschriften om met name de veiligheid, beschikbaarheid, continuïteit, schaalbaarheid en kwaliteit van diensten die de kritieke derde aanbieder van ICT-diensten aan financiële entiteiten verleent, te garanderen alsook het vermogen om te allen tijde hoge normen inzake beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens te handhaven;

| b) | de fysieke beveiliging die tot de ICT-beveiliging bijdraagt, inclusief de beveiliging van gebouwen, faciliteiten en datacentra; |
| --- | --- |

b)

de fysieke beveiliging die tot de ICT-beveiliging bijdraagt, inclusief de beveiliging van gebouwen, faciliteiten en datacentra;

| c) | de processen inzake risicobeheer, met inbegrip van het beleid inzake ICT-risicobeheer, het ICT-bedrijfscontinuïteitsbeleid en de ICT-respons- en herstelplannen; |
| --- | --- |

c)

de processen inzake risicobeheer, met inbegrip van het beleid inzake ICT-risicobeheer, het ICT-bedrijfscontinuïteitsbeleid en de ICT-respons- en herstelplannen;

| d) | de governanceregelingen, met inbegrip van een organisatiestructuur met duidelijke, transparante en consistente regels inzake taakverdeling en verantwoording die doeltreffend ICT-risicobeheer mogelijk maken; |
| --- | --- |

d)

de governanceregelingen, met inbegrip van een organisatiestructuur met duidelijke, transparante en consistente regels inzake taakverdeling en verantwoording die doeltreffend ICT-risicobeheer mogelijk maken;

| e) | de opsporing, monitoring en snelle rapportage van materiële ICT-gerelateerde incidenten aan financiële entiteiten, het beheer en de oplossing van die incidenten, met name cyberaanvallen; |
| --- | --- |

e)

de opsporing, monitoring en snelle rapportage van materiële ICT-gerelateerde incidenten aan financiële entiteiten, het beheer en de oplossing van die incidenten, met name cyberaanvallen;

| f) | de mechanismen voor overdracht van gegevens en applicaties en interoperabiliteit, die een doeltreffende uitoefening van het beëindigingsrecht door de financiële entiteiten verzekeren; |
| --- | --- |

f)

de mechanismen voor overdracht van gegevens en applicaties en interoperabiliteit, die een doeltreffende uitoefening van het beëindigingsrecht door de financiële entiteiten verzekeren;

| g) | het testen van ICT-systemen, -infrastructuur en -controles; |
| --- | --- |

g)

het testen van ICT-systemen, -infrastructuur en -controles;

| h) | de ICT-audits; |
| --- | --- |

h)

de ICT-audits;

| i) | het gebruik van relevante nationale en internationale normen die van toepassing zijn op het verlenen van ICT-diensten aan de financiële entiteiten. |
| --- | --- |

i)

het gebruik van relevante nationale en internationale normen die van toepassing zijn op het verlenen van ICT-diensten aan de financiële entiteiten.

4.   Op basis van de in lid 2 bedoelde beoordeling en in overleg met het in artikel 34, lid 1, bedoelde gezamenlijk oversightnetwerk (JON) stelt de lead overseer een duidelijk, gedetailleerd en met redenen omkleed individueel oversightplan op met de jaarlijkse oversightdoelstellingen en de belangrijkste geplande oversightacties voor elke kritieke derde aanbieder van ICT-diensten. Dat plan wordt jaarlijks aan de kritieke derde aanbieder van ICT-diensten meegedeeld.

Voorafgaand aan de vaststelling van het oversightplan door de lead overseer, wordt het ontwerp van dat oversightplan aan de kritieke derde aanbieder van ICT-diensten meegedeeld.

Na ontvangst van het ontwerp van het oversightplan, kan de kritieke derde aanbieder van ICT-diensten binnen 15 kalenderdagen een met redenen omklede verklaring indienen met de verwachte gevolgen voor klanten die entiteiten zijn die buiten het toepassingsgebied van deze verordening vallen, en waar passend oplossingen formuleren om risico’s te mitigeren.

5.   Zodra de in lid 4 bedoelde jaarlijkse oversightplannen zijn vastgesteld en aan de kritieke derde aanbieder van ICT-diensten zijn meegedeeld, kunnen de bevoegde autoriteiten maatregelen met betrekking tot deze kritieke derde aanbieders van ICT-diensten alleen nemen in overeenstemming met de lead overseer.

Artikel 34

Operationele coördinatie tussen de lead overseers

1.   Teneinde een consistente aanpak van oversightactiviteiten te waarborgen en gecoördineerde algemene oversightstrategieën en samenhangende operationele benaderingen en werkmethoden mogelijk te maken, zetten de drie overeenkomstig artikel 31, lid 1, punt b), aangestelde lead overseers een JON op om onderling te overleggen tijdens de voorbereidende fasen en om de uitvoering te coördineren van oversightactiviteiten ten aanzien van de respectieve kritieke derde aanbieders van ICT-diensten waarop zij toezien, alsook gedurende elke activiteit die overeenkomstig artikel 42 noodzakelijk kan zijn.

2.   Voor de toepassing van lid 1 stellen de lead overseers een gemeenschappelijk oversightprotocol op met gedetailleerde procedures voor de dagelijkse coördinatie en waarmee snelle uitwisselingen en reacties gewaarborgd kunnen worden. Het protocol zal op gezette tijden herzien worden om tegemoet te komen aan de operationele behoeften, met name de ontwikkeling van praktische oversightregelingen.

3.   De lead overseers kunnen op ad-hocbasis een beroep doen op de ECB en Enisa voor technisch advies, praktijkervaring delen of deelnemen aan specifieke coördinatievergaderingen van het JON.

Artikel 35

Bevoegdheden van de lead overseer

1.   Voor de uitvoering van de in deze afdeling omschreven taken beschikt de lead overseer ten aanzien van de kritieke derde aanbieders van ICT-diensten over de bevoegdheid om:

| a) | alle relevante informatie en documentatie overeenkomstig artikel 37 op te vragen; |
| --- | --- |

a)

alle relevante informatie en documentatie overeenkomstig artikel 37 op te vragen;

| b) | algemene onderzoeken en inspecties te verrichten overeenkomstig respectievelijk de artikelen 38 en 39; |
| --- | --- |

b)

algemene onderzoeken en inspecties te verrichten overeenkomstig respectievelijk de artikelen 38 en 39;

| c) | na afloop van de oversightactiviteiten te verzoeken om verslagen met vermelding van de ondernomen acties of de corrigerende maatregelen die door de kritieke derde aanbieders van ICT-diensten zijn genomen met betrekking tot de in punt d) bedoelde aanbevelingen; |
| --- | --- |

c)

na afloop van de oversightactiviteiten te verzoeken om verslagen met vermelding van de ondernomen acties of de corrigerende maatregelen die door de kritieke derde aanbieders van ICT-diensten zijn genomen met betrekking tot de in punt d) bedoelde aanbevelingen;

| d) | aanbevelingen uit te vaardigen met betrekking tot de in artikel 33, lid 3, bedoelde gebieden, met name over:






  i) | het gebruik van specifieke ICT-beveiligings- en kwaliteitsvereisten of -processen, met name met betrekking tot de uitrol van patches, updates, encryptie en andere beveiligingsmaatregelen die de lead overseer relevant acht om de ICT-beveiliging van diensten voor financiële entiteiten te waarborgen; |
| --- | --- | --- |

d)

aanbevelingen uit te vaardigen met betrekking tot de in artikel 33, lid 3, bedoelde gebieden, met name over:

i)

het gebruik van specifieke ICT-beveiligings- en kwaliteitsvereisten of -processen, met name met betrekking tot de uitrol van patches, updates, encryptie en andere beveiligingsmaatregelen die de lead overseer relevant acht om de ICT-beveiliging van diensten voor financiële entiteiten te waarborgen;

| ii) | het gebruik van voorwaarden, met inbegrip van de technische uitvoering ervan, voor het verlenen van ICT-diensten aan financiële entiteiten door derde aanbieders van ICT-diensten, die de lead overseer relevant acht om het ontstaan van zwakke punten (“single points of failure”), de uitbreiding daarvan te voorkomen, of om mogelijke systemische effecten in de hele financiële sector van de Unie te beperken in geval van ICT-concentratierisico; |
| --- | --- |

ii)

het gebruik van voorwaarden, met inbegrip van de technische uitvoering ervan, voor het verlenen van ICT-diensten aan financiële entiteiten door derde aanbieders van ICT-diensten, die de lead overseer relevant acht om het ontstaan van zwakke punten (“single points of failure”), de uitbreiding daarvan te voorkomen, of om mogelijke systemische effecten in de hele financiële sector van de Unie te beperken in geval van ICT-concentratierisico;

| iii) | geplande uitbestedingen waarbij de lead overseer van oordeel is dat verdere uitbesteding — inclusief uitbestedingsregelingen die de kritieke derde aanbieders van ICT-diensten voornemens zijn te treffen met derde aanbieders van ICT-diensten of met in een derde land gevestigde ICT-subcontractanten — risico’s voor de levering van diensten door de financiële entiteit of risico’s voor de financiële stabiliteit met zich mee kan brengen, op basis van onderzoek van de overeenkomstig de artikelen 37 en 38 verzamelde informatie; |
| --- | --- |

iii)

geplande uitbestedingen waarbij de lead overseer van oordeel is dat verdere uitbesteding — inclusief uitbestedingsregelingen die de kritieke derde aanbieders van ICT-diensten voornemens zijn te treffen met derde aanbieders van ICT-diensten of met in een derde land gevestigde ICT-subcontractanten — risico’s voor de levering van diensten door de financiële entiteit of risico’s voor de financiële stabiliteit met zich mee kan brengen, op basis van onderzoek van de overeenkomstig de artikelen 37 en 38 verzamelde informatie;

| iv) | het stopzetten van verdere uitbestedingsregelingen, wanneer aan de volgende cumulatieve voorwaarden is voldaan:






  — | de beoogde subcontractant is een in een derde land gevestigde derde aanbieder van ICT-diensten of een in een derde land gevestigde ICT-subcontractant; |
| --- | --- | --- |

iv)

het stopzetten van verdere uitbestedingsregelingen, wanneer aan de volgende cumulatieve voorwaarden is voldaan:

—

de beoogde subcontractant is een in een derde land gevestigde derde aanbieder van ICT-diensten of een in een derde land gevestigde ICT-subcontractant;

| — | de uitbesteding heeft betrekking op kritieke of belangrijke functies van de financiële entiteit, en |
| --- | --- |

—

de uitbesteding heeft betrekking op kritieke of belangrijke functies van de financiële entiteit, en

| — | de lead overseer is van oordeel dat dit soort uitbesteding een duidelijk en ernstig risico vormt voor de financiële stabiliteit van de Unie of voor financiële entiteiten, inclusief voor het vermogen van financiële entiteiten om aan toezichtvereisten te voldoen. |
| --- | --- |

—

de lead overseer is van oordeel dat dit soort uitbesteding een duidelijk en ernstig risico vormt voor de financiële stabiliteit van de Unie of voor financiële entiteiten, inclusief voor het vermogen van financiële entiteiten om aan toezichtvereisten te voldoen.

Voor de toepassing van punt iv) van dit punt zenden derde aanbieders van ICT-diensten de informatie inzake uitbesteding aan de lead overseer toe, en gebruiken daarbij het in artikel 41, lid 1, punt b), bedoelde model.

2.   Wanneer de lead overseer de in dit artikel bedoelde bevoegdheden uitoefent:

| a) | zorgt hij voor regelmatige coördinatie binnen het JON, en met name consistente benaderingen, voor zover nodig, met betrekking tot het oversight van kritieke derde aanbieders van ICT-diensten; |
| --- | --- |

a)

zorgt hij voor regelmatige coördinatie binnen het JON, en met name consistente benaderingen, voor zover nodig, met betrekking tot het oversight van kritieke derde aanbieders van ICT-diensten;

| b) | houdt hij terdege rekening met het bij Richtlijn (EU) 2022/2555 vastgestelde kader en raadpleegt indien nodig de relevante bevoegde autoriteiten die overeenkomstig die richtlijn zijn aangewezen of ingesteld, om overlappingen te voorkomen van technische en organisatorische maatregelen die op grond van die richtlijn van toepassing kunnen zijn op kritieke derde aanbieders van ICT-diensten; |
| --- | --- |

b)

houdt hij terdege rekening met het bij Richtlijn (EU) 2022/2555 vastgestelde kader en raadpleegt indien nodig de relevante bevoegde autoriteiten die overeenkomstig die richtlijn zijn aangewezen of ingesteld, om overlappingen te voorkomen van technische en organisatorische maatregelen die op grond van die richtlijn van toepassing kunnen zijn op kritieke derde aanbieders van ICT-diensten;

| c) | beperkt hij zo veel mogelijk het risico van verstoring van diensten die kritieke derde aanbieders van ICT-diensten verlenen aan klanten die entiteiten zijn die buiten het toepassingsgebied van deze verordening vallen. |
| --- | --- |

c)

beperkt hij zo veel mogelijk het risico van verstoring van diensten die kritieke derde aanbieders van ICT-diensten verlenen aan klanten die entiteiten zijn die buiten het toepassingsgebied van deze verordening vallen.

3.   De lead overseer overlegt met het oversightforum vooraleer hij de in lid 1 bedoelde bevoegdheden uitoefent.

Alvorens aanbevelingen uit te vaardigen overeenkomstig lid 1, punt d), stelt de lead overseer de derde aanbieder van ICT-diensten in de gelegenheid om binnen 30 kalenderdagen relevante informatie te verstrekken waaruit de verwachte gevolgen blijken voor klanten die entiteiten zijn die buiten het toepassingsgebied van deze verordening vallen en formuleren daarbij, voor zover van toepassing, oplossingen om de risico’s te mitigeren.

4.   De lead overseer stelt het JON in kennis van het resultaat van de uitoefening van de in lid 1, punten a) en b), bedoelde bevoegdheden. De lead overseer zendt de in lid 1, punt c), bedoelde verslagen onverwijld toe aan het JON en aan de bevoegde autoriteiten van de financiële entiteiten die gebruikmaken van de ICT-diensten van die kritieke derde aanbieder van ICT-diensten.

5.   Kritieke derde aanbieders van ICT-diensten werken te goeder trouw samen met de lead overseer en ondersteunen hem bij de uitvoering van zijn taken.

6.   In geval van gehele of gedeeltelijke niet-naleving van de krachtens de uitoefening van de bevoegdheden uit hoofde van lid 1, punten a), b) en c), te nemen maatregelen, en na het verstrijken van een termijn van ten minste 30 kalenderdagen vanaf de datum waarop de kritieke derde aanbieder van ICT-diensten een kennisgeving van de respectieve maatregelen heeft ontvangen, neemt de lead overseer een besluit aan waarmee een dwangsom wordt opgelegd om de kritieke derde aanbieder van ICT-diensten tot nakoming van die maatregelen te dwingen.

7.   De in lid 6 bedoelde dwangsom wordt dagelijks opgelegd tot aan de verplichtingen is voldaan, gedurende een termijn van ten hoogste zes maanden volgend op de kennisgeving van het besluit een dwangsom op te leggen aan de kritieke derde aanbieder van ICT-diensten.

8.   Het bedrag van de dwangsom, berekend vanaf de datum die is vastgesteld in het besluit tot oplegging van de dwangsom, bedraagt maximaal 1 % van de wereldwijde gemiddelde dagomzet van de kritieke derde aanbieder van ICT-diensten in het voorafgaande boekjaar. De lead overseer houdt bij de vaststelling van het bedrag van de dwangsom rekening met de volgende criteria inzake niet-naleving van de in lid 6 bedoelde maatregelen:

| a) | de ernst en de duur van niet-naleving; |
| --- | --- |

a)

de ernst en de duur van niet-naleving;

| b) | de vraag of niet-naleving opzettelijk dan wel uit onachtzaamheid is gepleegd; |
| --- | --- |

b)

de vraag of niet-naleving opzettelijk dan wel uit onachtzaamheid is gepleegd;

| c) | de mate van medewerking van de derde aanbieder van ICT-diensten met de lead overseer. |
| --- | --- |

c)

de mate van medewerking van de derde aanbieder van ICT-diensten met de lead overseer.

Voor de toepassing van de eerste alinea, en met het oog op een consistente benadering, overlegt de lead overseer binnen het JON.

9.   Dwangsommen hebben een administratief karakter en zijn afdwingbaar. De tenuitvoerlegging geschiedt volgens de bepalingen van burgerlijk procesrecht die van kracht zijn in de lidstaat op het grondgebied waar de inspecties worden verricht en de toegang wordt gevraagd. Klachten over de regelmatigheid van de tenuitvoerlegging behoren tot de bevoegdheid van de rechterlijke instanties van de betrokken lidstaat. De bedragen van dwangsommen worden toegewezen aan de algemene begroting van de Europese Unie.

10.   De lead overseer maakt alle opgelegde dwangsommen openbaar, tenzij die openbaarmaking de financiële markten ernstig in gevaar zou brengen of onevenredige schade zou toebrengen aan de betrokken partijen.

11.   Alvorens een dwangsom op grond van lid 6 op te leggen, stelt de lead overseer de vertegenwoordigers van de kritieke derde aanbieder van ICT-diensten die aan de procedure is onderworpen, in de gelegenheid te worden gehoord over de bevindingen, en hij baseert zijn besluiten uitsluitend op bevindingen waarover de aan de procedure onderworpen kritieke derde aanbieder van ICT-diensten opmerkingen heeft kunnen maken.

Het recht van verweer van de aan de procedure onderworpen personen wordt tijdens de procedure ten volle geëerbiedigd. De kritieke derde aanbieder van ICT-diensten die aan de procedure is onderworpen, is gerechtigd toegang te krijgen tot het dossier, onder voorbehoud van het rechtmatige belang van andere personen bij de bescherming van hun zakengeheimen. Het recht van toegang tot het dossier is niet van toepassing op vertrouwelijke informatie of op interne voorbereidende documenten van de lead overseer.

Artikel 36

Uitoefening van de bevoegdheden van de lead overseer buiten de Unie

1.   Wanneer de oversightdoelstellingen niet kunnen worden bereikt via interactie met de voor de toepassing van artikel 31, lid 12, opgerichte dochteronderneming, of via oversightactiviteiten in bedrijfsruimten die zich in de Unie bevinden, kan de lead overseer de in de volgende bepalingen bedoelde bevoegdheden uitoefenen in alle bedrijfsruimten in een derde land die eigendom zijn van, of gebruikt worden door een kritieke derde aanbieder van ICT-diensten bij het verlenen van diensten aan financiële entiteiten in de Unie, in verband met de bedrijfsactiviteiten, functies of diensten — inclusief administratieve, commerciële of operationele kantoren, bedrijfsruimten, gronden, gebouwen of andere eigendommen:

| a) | in artikel 35, lid 1, punt a), en |
| --- | --- |

a)

in artikel 35, lid 1, punt a), en

| b) | in artikel 35, lid 1, punt b), overeenkomstig artikel 38, lid 2, punten a), b), en d), en in artikel 39, lid 1, en lid 2, punt a). |
| --- | --- |

b)

in artikel 35, lid 1, punt b), overeenkomstig artikel 38, lid 2, punten a), b), en d), en in artikel 39, lid 1, en lid 2, punt a).

De uitoefening van de in de eerste alinea bedoelde bevoegdheden is onderworpen aan alle volgende voorwaarden:

| i) | de lead overseer is van mening dat een inspectie in een derde land noodzakelijk is om hem in staat te stellen zijn taken uit hoofde van deze verordening volledig en doeltreffend uit te voeren; |
| --- | --- |

i)

de lead overseer is van mening dat een inspectie in een derde land noodzakelijk is om hem in staat te stellen zijn taken uit hoofde van deze verordening volledig en doeltreffend uit te voeren;

| ii) | de inspectie in een derde land houdt rechtstreeks verband met het verlenen van ICT-diensten aan financiële entiteiten in de Unie; |
| --- | --- |

ii)

de inspectie in een derde land houdt rechtstreeks verband met het verlenen van ICT-diensten aan financiële entiteiten in de Unie;

| iii) | de betrokken kritieke derde aanbieder van ICT-diensten stemt in met het uitvoeren van een inspectie in een derde land, en |
| --- | --- |

iii)

de betrokken kritieke derde aanbieder van ICT-diensten stemt in met het uitvoeren van een inspectie in een derde land, en

| iv) | de betrokken autoriteit van het derde land is door de lead overseer officieel in kennis gesteld en heeft geen bezwaar gemaakt. |
| --- | --- |

iv)

de betrokken autoriteit van het derde land is door de lead overseer officieel in kennis gesteld en heeft geen bezwaar gemaakt.

2.   Onverminderd de respectieve bevoegdheden van de instellingen van de Unie en van de lidstaten, sluiten de EBA, de ESMA of de Eiopa voor de toepassing van lid 1 regelingen voor administratieve samenwerking met de betrokken autoriteit van het derde land teneinde de inspecties in het betrokken derde land door de lead overseer en zijn voor die missie in dat derde land aangewezen team, vlot te laten verlopen. Deze samenwerkingsregelingen scheppen geen wettelijke verplichtingen voor de Unie en haar lidstaten en beletten de lidstaten en hun bevoegde autoriteiten niet om bilaterale of multilaterale regelingen met die derde landen en hun betrokken autoriteiten te sluiten.

In die samenwerkingsregelingen worden ten minste de volgende elementen gespecificeerd:

| a) | de procedures voor de coördinatie van uit hoofde van deze verordening uitgevoerde oversightactiviteiten en elke overeenkomstige door de betrokken autoriteit van het derde land in kwestie uitgevoerde monitoring van het ICT-risico van derde aanbieders in de financiële sector, met inbegrip van details over het toezenden door de lead overseer en zijn team, van de toestemming van de betrokken autoriteit van het derde land in kwestie om algemene onderzoeken en inspecties ter plaatse uit te voeren, zoals bedoeld in lid 1, eerste alinea, op het grondgebied dat onder de jurisdictie van de betrokken autoriteit van het derde land valt; |
| --- | --- |

a)

de procedures voor de coördinatie van uit hoofde van deze verordening uitgevoerde oversightactiviteiten en elke overeenkomstige door de betrokken autoriteit van het derde land in kwestie uitgevoerde monitoring van het ICT-risico van derde aanbieders in de financiële sector, met inbegrip van details over het toezenden door de lead overseer en zijn team, van de toestemming van de betrokken autoriteit van het derde land in kwestie om algemene onderzoeken en inspecties ter plaatse uit te voeren, zoals bedoeld in lid 1, eerste alinea, op het grondgebied dat onder de jurisdictie van de betrokken autoriteit van het derde land valt;

| b) | het mechanisme voor het doorgeven van relevante informatie tussen de EBA, de ESMA of de Eiopa, en de betrokken autoriteit van het derde land in kwestie, met name in verband met informatie waar de lead overseer uit hoofde van artikel 37 om kan verzoeken; |
| --- | --- |

b)

het mechanisme voor het doorgeven van relevante informatie tussen de EBA, de ESMA of de Eiopa, en de betrokken autoriteit van het derde land in kwestie, met name in verband met informatie waar de lead overseer uit hoofde van artikel 37 om kan verzoeken;

| c) | de mechanismen voor snelle kennisgeving door de betrokken autoriteit van het derde land in kwestie aan de EBA, de ESMA of de Eiopa, van gevallen waarbij vermoed wordt dat een in een derde land gevestigde derde aanbieder van ICT-diensten die overeenkomstig artikel 31, lid 1, punt a), als cruciaal is aangewezen, de vereisten heeft overtreden die hij krachtens het toepasselijke recht van het derde land in kwestie moet naleven bij het verlenen van diensten aan financiële instellingen in dat derde land, evenals de toegepaste rechtsmiddelen en sancties; |
| --- | --- |

c)

de mechanismen voor snelle kennisgeving door de betrokken autoriteit van het derde land in kwestie aan de EBA, de ESMA of de Eiopa, van gevallen waarbij vermoed wordt dat een in een derde land gevestigde derde aanbieder van ICT-diensten die overeenkomstig artikel 31, lid 1, punt a), als cruciaal is aangewezen, de vereisten heeft overtreden die hij krachtens het toepasselijke recht van het derde land in kwestie moet naleven bij het verlenen van diensten aan financiële instellingen in dat derde land, evenals de toegepaste rechtsmiddelen en sancties;

| d) | het regelmatig doorgeven van updates over ontwikkelingen op het gebied van regelgeving en toezicht inzake de monitoring van het ICT-risico van derde aanbieders van financiële instellingen in het derde land in kwestie; |
| --- | --- |

d)

het regelmatig doorgeven van updates over ontwikkelingen op het gebied van regelgeving en toezicht inzake de monitoring van het ICT-risico van derde aanbieders van financiële instellingen in het derde land in kwestie;

| e) | de details om indien nodig de deelname van een vertegenwoordiger van de betrokken autoriteit van het derde land aan de door de lead overseer en het aangewezen team uitgevoerde inspecties, mogelijk te maken. |
| --- | --- |

e)

de details om indien nodig de deelname van een vertegenwoordiger van de betrokken autoriteit van het derde land aan de door de lead overseer en het aangewezen team uitgevoerde inspecties, mogelijk te maken.

3.   Wanneer de lead overseer niet in staat is om buiten de Unie oversightactiviteiten zoals bedoeld in de leden 1 en 2, uit te voeren:

| a) | oefent hij zijn bevoegdheden uit hoofde van artikel 35 uit op basis van alle feiten en documenten waarover hij beschikt; |
| --- | --- |

a)

oefent hij zijn bevoegdheden uit hoofde van artikel 35 uit op basis van alle feiten en documenten waarover hij beschikt;

| b) | documenteert hij en licht hij de gevolgen toe van zijn onvermogen om de in dit artikel bedoelde beoogde oversightactiviteiten uit te voeren. |
| --- | --- |

b)

documenteert hij en licht hij de gevolgen toe van zijn onvermogen om de in dit artikel bedoelde beoogde oversightactiviteiten uit te voeren.

De in punt b) van dit lid bedoelde mogelijke gevolgen worden in aanmerking genomen in de aanbevelingen die de lead overseer overeenkomstig artikel 35, lid 1, punt d), uitvaardigt.

Artikel 37

Verzoek om informatie

1.   De lead overseer kan kritieke derde aanbieders van ICT-diensten verzoeken of bij besluit gelasten alle informatie die hij nodig heeft om zijn taken uit hoofde van deze verordening uit te voeren, te verstrekken, met inbegrip van alle relevante bedrijfs- of operationele documenten, contracten, beleidsdocumentatie, verslagen van ICT-beveiligingsaudits, verslagen van ICT-gerelateerde incidenten, alsmede alle informatie met betrekking tot partijen waaraan de kritieke derde aanbieder van ICT-diensten operationele functies of activiteiten heeft uitbesteed.

2.   Bij het toezenden van een verzoek om informatie krachtens lid 1 neemt de lead overseer het volgende in acht:

| a) | hij vermeldt dit artikel als rechtsgrondslag voor het verzoek; |
| --- | --- |

a)

hij vermeldt dit artikel als rechtsgrondslag voor het verzoek;

| b) | hij geeft het doel van het verzoek aan; |
| --- | --- |

b)

hij geeft het doel van het verzoek aan;

| c) | hij vermeldt welke informatie wordt verlangd; |
| --- | --- |

c)

hij vermeldt welke informatie wordt verlangd;

| d) | hij bepaalt binnen welke termijn de informatie moet worden verstrekt; |
| --- | --- |

d)

hij bepaalt binnen welke termijn de informatie moet worden verstrekt;

| e) | hij deelt de vertegenwoordiger van de voor informatie aangezochte kritieke derde aanbieder van ICT-diensten mee dat deze niet verplicht is de informatie te verstrekken maar dat, in geval vrijwillig op het verzoek wordt ingegaan, de verstrekte informatie niet onjuist en misleidend mag zijn. |
| --- | --- |

e)

hij deelt de vertegenwoordiger van de voor informatie aangezochte kritieke derde aanbieder van ICT-diensten mee dat deze niet verplicht is de informatie te verstrekken maar dat, in geval vrijwillig op het verzoek wordt ingegaan, de verstrekte informatie niet onjuist en misleidend mag zijn.

3.   Wanneer de lead overseer krachtens lid 1 bij besluit informatieverstrekking gelast, neemt hij het volgende in acht:

| a) | hij vermeldt dit artikel als rechtsgrondslag voor het besluit; |
| --- | --- |

a)

hij vermeldt dit artikel als rechtsgrondslag voor het besluit;

| b) | hij geeft het doel van het besluit aan; |
| --- | --- |

b)

hij geeft het doel van het besluit aan;

| c) | hij vermeldt welke informatie wordt verlangd; |
| --- | --- |

c)

hij vermeldt welke informatie wordt verlangd;

| d) | hij bepaalt binnen welke termijn de informatie moet worden verstrekt; |
| --- | --- |

d)

hij bepaalt binnen welke termijn de informatie moet worden verstrekt;

| e) | hij vermeldt welke dwangsom overeenkomstig artikel 35, lid 6, wordt opgelegd indien de gevraagde informatie niet volledig wordt overgelegd of wanneer deze informatie niet binnen de in punt d) van dit lid vermelde termijn wordt verstrekt; |
| --- | --- |

e)

hij vermeldt welke dwangsom overeenkomstig artikel 35, lid 6, wordt opgelegd indien de gevraagde informatie niet volledig wordt overgelegd of wanneer deze informatie niet binnen de in punt d) van dit lid vermelde termijn wordt verstrekt;

| f) | hij vermeldt dat tegen het besluit bezwaar kan worden aangetekend bij de bezwaarcommissie van de ETA’s en dat bij het Hof van Justitie van de Europese Unie (“Hof van Justitie”) tegen het besluit in beroep kan worden gegaan overeenkomstig de artikelen 60 en 61 van Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 of (EU) nr. 1095/2010. |
| --- | --- |

f)

hij vermeldt dat tegen het besluit bezwaar kan worden aangetekend bij de bezwaarcommissie van de ETA’s en dat bij het Hof van Justitie van de Europese Unie (“Hof van Justitie”) tegen het besluit in beroep kan worden gegaan overeenkomstig de artikelen 60 en 61 van Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 of (EU) nr. 1095/2010.

4.   De vertegenwoordigers van de kritieke derde aanbieders van ICT-diensten verstrekken de gevraagde informatie. Naar behoren gemachtigde advocaten kunnen namens hun cliënten de gevraagde informatie verstrekken. De kritieke derde aanbieder van ICT-diensten blijft volledig verantwoordelijk indien de verstrekte inlichtingen onvolledig, onjuist of misleidend zijn.

5.   De lead overseer zendt onverwijld een afschrift van het besluit inzake informatieverstrekking aan de bevoegde autoriteiten van de financiële entiteiten die gebruikmaken van de diensten van de betrokken kritieke derde aanbieders van ICT-diensten en aan het JON.

Artikel 38

Algemene onderzoeken

1.   Voor de uitvoering van zijn taken uit hoofde van deze verordening kan de lead overseer, ondersteund door het in artikel 40, lid 1, bedoelde gezamenlijke onderzoeksteam, zo nodig, bij kritieke derde aanbieders van ICT-diensten onderzoeken verrichten.

2.   De lead overseer is bevoegd om:

| a) | registers, data, procedures en alle overig voor de uitvoering van zijn taken relevant materiaal te onderzoeken, ongeacht de drager waarop dit materiaal opgeslagen; |
| --- | --- |

a)

registers, data, procedures en alle overig voor de uitvoering van zijn taken relevant materiaal te onderzoeken, ongeacht de drager waarop dit materiaal opgeslagen;

| b) | voor eensluidend gewaarmerkte kopieën of uittreksels te maken of te verkrijgen van deze registers, data, gedocumenteerde procedures en enig ander materiaal; |
| --- | --- |

b)

voor eensluidend gewaarmerkte kopieën of uittreksels te maken of te verkrijgen van deze registers, data, gedocumenteerde procedures en enig ander materiaal;

| c) | vertegenwoordigers van kritieke derde aanbieder van ICT-diensten op te roepen en te verzoeken om mondelinge of schriftelijke toelichting te geven bij feiten of documenten die betrekking hebben op het onderwerp en het doel van het onderzoek, en de antwoorden op te tekenen; |
| --- | --- |

c)

vertegenwoordigers van kritieke derde aanbieder van ICT-diensten op te roepen en te verzoeken om mondelinge of schriftelijke toelichting te geven bij feiten of documenten die betrekking hebben op het onderwerp en het doel van het onderzoek, en de antwoorden op te tekenen;

| d) | alle andere dan onder punt c) genoemde natuurlijke personen of rechtspersonen te horen, voor zover die daarin toestemmen, om informatie over het onderwerp van een onderzoek te verzamelen; |
| --- | --- |

d)

alle andere dan onder punt c) genoemde natuurlijke personen of rechtspersonen te horen, voor zover die daarin toestemmen, om informatie over het onderwerp van een onderzoek te verzamelen;

| e) | overzichten van telefoon- en dataverkeer op te vragen. |
| --- | --- |

e)

overzichten van telefoon- en dataverkeer op te vragen.

3.   De functionarissen van de lead overseer en andere door hem voor de uitvoering van de in lid 1 bedoelde onderzoeken gemachtigde personen oefenen hun bevoegdheden uit na overlegging van een schriftelijke machtiging waarin het onderwerp en het doel van het onderzoek zijn vermeld.

In deze machtiging worden eveneens de in artikel 35, lid 6, bedoelde dwangsommen genoemd die kunnen worden opgelegd indien de vereiste registers, data, gedocumenteerde procedures of enig ander materiaal, dan wel de antwoorden op vragen van de onderzoekers aan vertegenwoordigers van derde aanbieders van ICT-diensten, niet of niet volledig worden verstrekt.

4.   De vertegenwoordigers van kritieke derde aanbieders van ICT-diensten zijn verplicht zich aan het onderzoek te onderwerpen op basis van een besluit van de lead overseer. Het besluit vermeldt het onderwerp en het doel van het onderzoek, de dwangsommen die overeenkomstig artikel 35, lid 6, kunnen worden opgelegd, de krachtens de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 beschikbare rechtsmiddelen, en het recht om bij het Hof van Justitie in beroep te gaan tegen het besluit.

5.   De lead overseer stelt de bevoegde organen van de financiële entiteit die gebruikmaakt van de ICT-diensten van die kritieke derde aanbieder van ICT-diensten, geruime tijd vóór de start van het onderzoek in kennis van het voorgenomen onderzoek en van de identiteit van de gemachtigde personen.

De lead overseer stelt het JON in kennis van alle overeenkomstig de eerste alinea toegestuurde informatie.

Artikel 39

Inspecties

1.   De lead overseer kan voor de uitvoering van zijn taken uit hoofde van deze verordening, en ondersteund door de in artikel 40, lid 1, bedoelde gezamenlijke onderzoeksteams, alle nodige inspecties ter plaatse verrichten in alle bedrijfsruimten, op alle terreinen en op of in alle eigendommen van derde aanbieders van ICT-diensten, zoals hoofdkantoren, operationele centra en secundaire locaties. Ook kan hij off-site-inspecties verrichten.

Voor de uitoefening van de in de eerste alinea bedoelde bevoegdheden raadpleegt de lead overseer het JON.

2.   De functionarissen en andere personen die door de lead overseer zijn gemachtigd tot het verrichten van een inspectie ter plaatse, beschikken over de bevoegdheid om:

| a) | zich toegang te verschaffen tot de eerder genoemde bedrijfsruimten, terreinen en eigendommen, en |
| --- | --- |

a)

zich toegang te verschaffen tot de eerder genoemde bedrijfsruimten, terreinen en eigendommen, en

| b) | bedrijfsruimten, boeken en bescheiden te verzegelen zolang en voor zover dit nodig is voor de inspectie. |
| --- | --- |

b)

bedrijfsruimten, boeken en bescheiden te verzegelen zolang en voor zover dit nodig is voor de inspectie.

De functionarissen en andere personen die door de lead overseer zijn gemachtigd, oefenen deze bevoegdheden uit na overlegging van een schriftelijke machtiging waarin het onderwerp en het doel van de inspectie worden vermeld, alsmede de dwangsommen als bedoeld in artikel 35, lid 6, indien de vertegenwoordigers van de kritieke derde aanbieders van ICT-diensten zich niet aan de inspectie onderwerpen.

3.   De lead overseer stelt de bevoegde autoriteiten van de financiële entiteit die gebruikmaakt van de derde aanbieder van ICT-diensten, geruime tijd vóór de start ervan in kennis van de inspectie.

4.   De inspectie heeft betrekking op alle ICT-systemen, -netwerken, -apparatuur, -informatie en -data die worden gebruikt voor of bijdragen tot het verlenen van ICT-diensten aan financiële entiteiten.

5.   Vóór een geplande inspectie ter plaatse stelt de lead overseer de kritieke derde aanbieder van ICT-diensten in kennis van de inspectie en neemt hierbij een redelijke termijn in acht, tenzij dit niet mogelijk is vanwege een nood- of crisissituatie of de kennisgeving zou leiden tot een situatie waarin de inspectie of audit niet langer doeltreffend is.

6.   De kritieke derde aanbieder van ICT-diensten onderwerpt zich aan de inspecties ter plaatse die bij besluit van de lead overseer zijn gelast. Het besluit vermeldt het onderwerp en het doel van de inspectie, de datum waarop de inspectie zal aanvangen, de dwangsommen als bedoeld in artikel 35, lid 6, de krachtens de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 beschikbare rechtsmiddelen, en het recht om bij het Hof van Justitie tegen het besluit in beroep te gaan.

7.   Indien de door de lead overseer gemachtigde functionarissen en andere personen constateren dat een kritieke derde aanbieder van ICT-diensten zich verzet tegen een krachtens dit artikel gelaste inspectie, stelt de lead overseer de kritieke derde aanbieder van ICT-diensten in kennis van de gevolgen van dit verzet, met inbegrip van de mogelijkheid voor de bevoegde autoriteiten van de financiële entiteit om van de financiële entiteit te vereisen dat zij de contractuele overeenkomsten met de kritieke derde aanbieder van ICT-diensten beëindigt.

Artikel 40

Oversight tijdens de uitvoering

1.   Bij het uitvoeren van oversightactiviteiten, met name algemene onderzoeken of inspecties, wordt de lead overseer bijgestaan door een gezamenlijk onderzoeksteam dat voor iedere toezichtactiviteit bij een kritieke derde aanbieder van ICT-diensten wordt opgericht.

2.   Het in lid 1 bedoelde gezamenlijke onderzoeksteam bestaat uit functionarissen van:

| a) | de ETA’s; |
| --- | --- |

a)

de ETA’s;

| b) | de bevoegde autoriteiten die toezicht houden op de financiële entiteiten waaraan de kritieke derde aanbieder van ICT-diensten ICT-diensten verleent; |
| --- | --- |

b)

de bevoegde autoriteiten die toezicht houden op de financiële entiteiten waaraan de kritieke derde aanbieder van ICT-diensten ICT-diensten verleent;

| c) | de in artikel 32, lid 4, punt e), bedoelde nationale bevoegde autoriteit (op vrijwillige basis); |
| --- | --- |

c)

de in artikel 32, lid 4, punt e), bedoelde nationale bevoegde autoriteit (op vrijwillige basis);

| d) | één nationale bevoegde autoriteit van de lidstaat waar de kritieke derde aanbieder van ICT-diensten is gevestigd (op vrijwillige basis). |
| --- | --- |

d)

één nationale bevoegde autoriteit van de lidstaat waar de kritieke derde aanbieder van ICT-diensten is gevestigd (op vrijwillige basis).

De leden van het gezamenlijke onderzoeksteam beschikken over deskundigheid op het terrein van ICT-aangelegenheden en van operationele risico’s. Het team wordt gecoördineerd door een functionaris van de lead overseer die hiertoe is aangewezen (de “coördinator van de lead overseer”).

3.   Binnen drie maanden na de voltooiing van een onderzoek of een inspectie doet de lead overseer, na raadpleging van het oversightforum, aanbevelingen aan de kritieke derde aanbieder van ICT-diensten (overeenkomstig de in artikel 35 bedoelde bevoegdheden).

4.   De kritieke derde aanbieder van ICT-diensten en de bevoegde autoriteiten van de financiële entiteit waarvoor de dienstverlener ICT-diensten werkt, worden onverwijld in kennis gesteld van de in lid 3 bedoelde aanbevelingen.

Voor de uitvoering van de oversightactiviteiten kan de lead overseer eventuele certificeringen door derden en interne of externe ICT-auditverslagen in aanmerking nemen die door de kritieke derde aanbieder van ICT-diensten te zijner beschikking zijn gesteld.

Artikel 41

Harmonisatie van de voorwaarden voor de uitoefening van de oversightactiviteiten

1.   De ETA’s stellen via het Gemengd Comité ontwerpen van technische reguleringsnormen op tot nadere omschrijving van:

| a) | de door de derde aanbieder van ICT-diensten te verstrekken informatie bij diens vrijwillige verzoek om te worden aangewezen als kritieke ICT-dienstverlener als bedoeld in artikel 31, lid 11; |
| --- | --- |

a)

de door de derde aanbieder van ICT-diensten te verstrekken informatie bij diens vrijwillige verzoek om te worden aangewezen als kritieke ICT-dienstverlener als bedoeld in artikel 31, lid 11;

| b) | de inhoud, de structuur en het formaat van de informatie die overeenkomstig artikel 35, lid 1, door de kritieke derde aanbieder van ICT-diensten moet worden ingediend, openbaar gemaakt of gerapporteerd, met inbegrip van het model voor het verstrekken van informatie over onderaannemingsovereenkomsten; |
| --- | --- |

b)

de inhoud, de structuur en het formaat van de informatie die overeenkomstig artikel 35, lid 1, door de kritieke derde aanbieder van ICT-diensten moet worden ingediend, openbaar gemaakt of gerapporteerd, met inbegrip van het model voor het verstrekken van informatie over onderaannemingsovereenkomsten;

| c) | de criteria voor het bepalen van de samenstelling van het gezamenlijke onderzoeksteam in verband met een evenwichtige participatie van functionarissen van de ETA’s en van de bevoegde autoriteiten, alsmede van hun aanwijzing, hun taken en hun werkafspraken. |
| --- | --- |

c)

de criteria voor het bepalen van de samenstelling van het gezamenlijke onderzoeksteam in verband met een evenwichtige participatie van functionarissen van de ETA’s en van de bevoegde autoriteiten, alsmede van hun aanwijzing, hun taken en hun werkafspraken.

| d) | de nadere gegevens van de beoordeling die de bevoegde autoriteiten overeenkomstig artikel 42, lid 3, hebben verricht van de maatregelen die door de kritieke derde aanbieder van ICT-diensten zijn genomen op basis van de aanbevelingen van de lead overseer. |
| --- | --- |

d)

de nadere gegevens van de beoordeling die de bevoegde autoriteiten overeenkomstig artikel 42, lid 3, hebben verricht van de maatregelen die door de kritieke derde aanbieder van ICT-diensten zijn genomen op basis van de aanbevelingen van de lead overseer.

2.   De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 juli 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in lid 1 bedoelde technische reguleringsnormen vast te stellen overeenkomstig de procedure bedoeld in de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

Artikel 42

Vervolgmaatregelen van de bevoegde autoriteiten

1.   Binnen 60 kalenderdagen na ontvangst van de aanbevelingen die de lead overseer overeenkomstig artikel 35, lid 1, punt d), heeft gedaan, stelt de kritieke derde aanbieder van ICT-diensten de lead overseer in kennis van zijn voornemen om de aanbevelingen op te volgen of geeft hij een gemotiveerde verklaring, waarom hij geen gevolg geeft aan de aanbevelingen. De lead overseer stelt de bevoegde autoriteiten van de betrokken financiële entiteit onverwijld in kennis van deze informatie.

2.   Indien een kritieke derde aanbieder van ICT-diensten verzuimt de lead overseer overeenkomstig lid 1 in kennis te stellen van zijn voornemens met betrekking tot de aanbeveling of indien de in lid 1 bedoelde verklaring niet toereikend wordt geacht, maakt de lead overseer dit verzuim of deze ontoereikendheid openbaar. Deze openbare informatie omvat de identiteit van de kritieke derde aanbieder van ICT-diensten en informatie over het type en de aard van de niet-naleving. Deze informatie is beperkt tot hetgeen relevant en voldoende is om het publiek op de hoogte te brengen, tenzij de bekendmaking de betrokken partijen onevenredige schade zou berokkenen of de ordelijke werking en de integriteit van de financiële markten of de stabiliteit van het gehele financiële stelsel van de Unie of een deel daarvan ernstig in gevaar zou kunnen brengen.

De lead overseer stelt de kritieke derde aanbieder van ICT-diensten in kennis van die openbaarmaking.

3.   De bevoegde autoriteiten stellen de relevante financiële entiteit in kennis van de risico’s die zijn geconstateerd in de aanbevelingen aan de kritieke derde aanbieder van ICT-diensten overeenkomstig artikel 35, lid 1, punt d).

Bij het beheer van ICT-risico’s van derden houdt een financiële entiteit rekening met de in de eerste alinea bedoelde risico’s.

4.   Indien een bevoegde autoriteit van oordeel is dat een financiële entiteit bij het beheer van derde ICT-risico’s de in de aanbevelingen geconstateerde risico’s niet of niet voldoende in aanmerking neemt of onvoldoende in het werk stelt om deze te verhelpen, stelt de autoriteit de financiële entiteit in kennis van de mogelijkheid dat binnen 60 kalenderdagen na de ontvangst van deze kennisgeving een besluit als bedoeld in lid 6 kan worden genomen indien er geen passende contractuele overeenkomsten zijn om deze risico’s te verhelpen.

5.   Na ontvangst van de in artikel 35, lid 1, punt c), bedoelde meldingen en voordat een besluit als bedoeld in lid 6 van dit artikel wordt genomen, kunnen de bevoegde autoriteiten op vrijwillige basis de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten raadplegen die verantwoordelijk zijn voor het toezicht op een essentiële of belangrijke entiteit die onder die richtlijn valt en die is aangewezen als een kritieke derde aanbieder van ICT-diensten.

6.   De bevoegde autoriteiten kunnen bij wijze van laatste redmiddel, na de kennisgeving en, in voorkomend geval, de raadpleging als bedoeld in de leden 4 en 5 van dit artikel, overeenkomstig artikel 50 een besluit nemen waarbij een financiële entiteit wordt verplicht het gebruik of de inzet van een door een kritieke derde aanbieder van ICT-diensten verleende dienst geheel of gedeeltelijk tijdelijk te staken, en wel totdat de in de aanbevelingen aan de kritieke derde aanbieder van ICT-diensten geconstateerde risico’s zijn verholpen. Indien nodig kunnen de autoriteiten een financiële entiteit ertoe verplichten de contractuele overeenkomsten met de kritieke derde aanbieder van ICT-diensten geheel of gedeeltelijk te beëindigen.

7.   Indien een kritieke derde aanbieder van ICT-diensten weigert de aanbevelingen op te volgen door voor een andere aanpak te kiezen dan die welke door de lead overseer wordt aanbevolen, en indien deze afwijkende keus negatieve gevolgen kan hebben voor een groot aantal financiële entiteiten of voor een aanzienlijk deel van de financiële sector, en indien afzonderlijke waarschuwingen van bevoegde autoriteiten niet hebben geleid tot een consistente aanpak om het potentiële risico voor de financiële stabiliteit te beperken, kan de lead overseer, na raadpleging van het oversightforum, niet-bindende en niet-openbare adviezen aan de bevoegde autoriteiten uitbrengen om consistente en convergente vervolgmaatregelen voor het toezicht te bevorderen, naargelang het geval.

8.   De bevoegde autoriteiten nemen na het ontvangen van de in artikel 35, lid 1, punt c), bedoelde meldingen bij het nemen van het in lid 6 van dit artikel bedoelde besluit het soort en de omvang van het risico dat of de risico’s die de kritieke derde aanbieder van ICT-diensten niet heeft verholpen, in aanmerking, alsook de ernst van de niet-naleving, en wel op basis van de volgende criteria:

| a) | de ernst en de duur van de niet-naleving; |
| --- | --- |

a)

de ernst en de duur van de niet-naleving;

| b) | de vraag of de niet-naleving ernstige zwakheden aan het licht heeft gebracht in de procedures, de beheersystemen, het risicobeheer en de interne controles van de kritieke derde aanbieder van ICT-diensten; |
| --- | --- |

b)

de vraag of de niet-naleving ernstige zwakheden aan het licht heeft gebracht in de procedures, de beheersystemen, het risicobeheer en de interne controles van de kritieke derde aanbieder van ICT-diensten;

| c) | de vraag of door de niet-naleving een financieel delict is vergemakkelijkt of veroorzaakt of op andere wijze aan de niet-naleving kan worden toegeschreven; |
| --- | --- |

c)

de vraag of door de niet-naleving een financieel delict is vergemakkelijkt of veroorzaakt of op andere wijze aan de niet-naleving kan worden toegeschreven;

| d) | de vraag of de niet-naleving opzettelijk is geweest of aan nalatigheid moet worden toegeschreven; |
| --- | --- |

d)

de vraag of de niet-naleving opzettelijk is geweest of aan nalatigheid moet worden toegeschreven;

| e) | de vraag of het tijdelijk staken of beëindigen van de contractuele overeenkomsten een risico voor de continuïteit van de bedrijfsactiviteiten van de financiële entiteit betekent, niettegenstaande de inspanningen van de financiële entiteit om verstoring van haar dienstverlening te voorkomen; |
| --- | --- |

e)

de vraag of het tijdelijk staken of beëindigen van de contractuele overeenkomsten een risico voor de continuïteit van de bedrijfsactiviteiten van de financiële entiteit betekent, niettegenstaande de inspanningen van de financiële entiteit om verstoring van haar dienstverlening te voorkomen;

| f) | indien van toepassing, het advies, indien hierom overeenkomstig lid 5 van dit artikel op vrijwillige basis is verzocht, van de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten die verantwoordelijk zijn voor het toezicht op een essentiële of belangrijke entiteit die onder die richtlijn valt en die is aangewezen als kritieke derde aanbieder van ICT-diensten. |
| --- | --- |

f)

indien van toepassing, het advies, indien hierom overeenkomstig lid 5 van dit artikel op vrijwillige basis is verzocht, van de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten die verantwoordelijk zijn voor het toezicht op een essentiële of belangrijke entiteit die onder die richtlijn valt en die is aangewezen als kritieke derde aanbieder van ICT-diensten.

De bevoegde autoriteiten geven een financiële entiteit de nodige tijd om de contractuele overeenkomsten met de kritieke derde aanbieder van ICT-diensten aan te passen teneinde nadelige gevolgen voor de digitale operationele weerbaarheid van de entiteit te voorkomen en deze in staat te stellen exitstrategieën en transitieplannen als bedoeld in artikel 28 in te zetten.

9.   De in artikel 32, lid 4, punten a), b) en c), bedoelde leden van het oversightforum en het JON worden in kennis gesteld van het in lid 6 van dit artikel bedoelde besluit.

De kritieke derde aanbieder van ICT-diensten die gevolgen ondervindt van een in lid 6 bedoeld besluit, werkt volledig samen met de getroffen financiële entiteit, met name bij het tijdelijk staken of beëindigen van hun contractuele overeenkomsten.

10.   De bevoegde autoriteiten stellen de lead overseer regelmatig in kennis van de aanpak en de maatregelen die zij in het kader van hun toezichttaken ten aanzien van financiële entiteiten hebben gehanteerd, alsmede van de contractuele overeenkomsten die deze entiteiten hebben gesloten met kritieke derde aanbieders van ICT-diensten die niet of slechts gedeeltelijk zijn ingegaan op de aan hen gerichte aanbevelingen van de lead overseer.

11.   De lead overseer kan op verzoek nadere toelichtingen geven op de gedane aanbevelingen om zo de bevoegde autoriteiten te helpen bij vervolgmaatregelen.

Artikel 43

Oversightvergoedingen

1.   De lead overseer brengt overeenkomstig de in lid 2 van dit artikel bedoelde gedelegeerde handeling kritieke derde aanbieders van ICT-diensten vergoedingen in rekening die de noodzakelijke uitgaven van de lead overseer in verband met de uitvoering van de oversighttaken uit hoofde van deze verordening volledig dekken. Deze uitgaven bestrijken ook de vergoeding van eventuele kosten van de werkzaamheden van het in artikel 40 bedoelde gezamenlijke onderzoeksteam, alsmede de kosten van het advies van de onafhankelijke deskundigen als bedoeld in artikel 32, lid 4, tweede alinea, met betrekking tot aangelegenheden die deel uitmaken van directe oversightactiviteiten.

Het bedrag van de vergoeding die de kritieke derde aanbieder van ICT-diensten in rekening wordt gebracht, dekt alle kosten die voortvloeien uit de uitvoering van de in deze afdeling opgenomen taken, en staat in verhouding tot diens omzet.

2.   De Commissie is bevoegd om overeenkomstig artikel 57 en in aanvulling op deze verordening een gedelegeerde handeling vast te stellen waarin het bedrag van de vergoedingen en de wijze waarop deze uiterlijk op 17 juli 2024 moeten worden betaald, worden bepaald.

Artikel 44

Internationale samenwerking

1.   Onverminderd artikel 36, kunnen de EBA, de ESMA en de Eiopa overeenkomstig artikel 33 van respectievelijk Verordeningen (EU) nr. 1093/2010, (EU) nr. 1095/2010 en (EU) nr. 1094/2010 administratieve overeenkomsten sluiten met regelgevende en toezichthoudende autoriteiten van derde landen om de internationale samenwerking op het gebied van ICT-risico’s van derde dienstverleners in verschillende financiële sectoren te bevorderen, in het bijzonder door de ontwikkeling van beste praktijken voor de evaluatie van praktijken voor beheer van en controles op ICT-risico’s, risicobeperkende maatregelen en responsen op incidenten.

2.   De ETA’s dienen via het Gemengd Comité om de vijf jaar een gezamenlijk vertrouwelijk verslag in bij het Parlement, de Raad en de Commissie waarin de bevindingen van de besprekingen met de in lid 1 bedoelde autoriteiten van derde landen worden samengevat en waarin bijzondere aandacht wordt geschonken aan de evolutie van de ICT-risico’s van derde aanbieders van ICT-diensten en de gevolgen voor de financiële stabiliteit, de integriteit van de markt, de bescherming van beleggers en de werking van de interne markt.

HOOFDSTUK VI

Regelingen voor de uitwisseling van informatie

Artikel 45

Regelingen voor uitwisseling van informatie en inlichtingen over cyberdreiging

1.   Financiële entiteiten kunnen onderling informatie en inlichtingen over cyberdreiging uitwisselen, zoals indicatoren voor aantasting, tactieken, technieken en procedures, cyberbeveiligingswaarschuwingen en configuratie-instrumenten, voor zover dit:

| a) | bedoeld is om de digitale operationele weerbaarheid van de financiële entiteiten te versterken, met name via bewustmaking van cyberdreigingen, beperking of belemmering van de mogelijkheid tot verdere verspreiding van cyberdreigingen, ondersteuning van defensiecapaciteiten, technieken voor dreigingsdetectie, risicobeperkende strategieën en respons- en herstelfasen; |
| --- | --- |

a)

bedoeld is om de digitale operationele weerbaarheid van de financiële entiteiten te versterken, met name via bewustmaking van cyberdreigingen, beperking of belemmering van de mogelijkheid tot verdere verspreiding van cyberdreigingen, ondersteuning van defensiecapaciteiten, technieken voor dreigingsdetectie, risicobeperkende strategieën en respons- en herstelfasen;

| b) | gebeurt binnen vertrouwensgemeenschappen van financiële entiteiten; |
| --- | --- |

b)

gebeurt binnen vertrouwensgemeenschappen van financiële entiteiten;

| c) | gedaan wordt via regelingen voor informatie-uitwisseling die de potentieel gevoelige aard van de gedeelde informatie beschermen en waarvoor gedragsregels gelden waarin de vertrouwelijkheid van bedrijfsinformatie, de bescherming van persoonsgegevens overeenkomstig Verordening (EU) 2016/679 en de richtsnoeren inzake mededingingsbeleid volledig worden gerespecteerd. |
| --- | --- |

c)

gedaan wordt via regelingen voor informatie-uitwisseling die de potentieel gevoelige aard van de gedeelde informatie beschermen en waarvoor gedragsregels gelden waarin de vertrouwelijkheid van bedrijfsinformatie, de bescherming van persoonsgegevens overeenkomstig Verordening (EU) 2016/679 en de richtsnoeren inzake mededingingsbeleid volledig worden gerespecteerd.

2.   Voor de toepassing van lid 1, punt c), worden in de regelingen voor informatie-uitwisseling de voorwaarden voor deelname bepaald en, in voorkomend geval, nadere bepalingen voor de betrokkenheid van overheidsinstanties en de hoedanigheid waarin deze instanties bij bedoelde regelingen kunnen worden betrokken. Ook kunnen nadere bepalingen worden vastgelegd voor de betrokkenheid van derde aanbieders van ICT-diensten en voor operationele aspecten, waaronder het gebruik van specifieke ICT-platforms.

3.   Een financiële entiteit stelt de bevoegde autoriteiten, na goedkeuring van haar deelname in de vertrouwensgemeenschap, in kennis van haar deelname aan de in lid 1 bedoelde regelingen voor informatie-uitwisseling, en, in voorkomend geval, van de beëindiging van haar deelname zodra deze beëindiging van kracht wordt.

HOOFDSTUK III

Bevoegde autoriteiten

Artikel 46

Bevoegde autoriteiten

Onverminderd de bepalingen voor het oversightkader voor kritieke derde aanbieders van ICT-diensten als bedoeld in hoofdstuk V, afdeling II, van deze verordening, wordt de naleving van deze verordening verzekerd door de volgende bevoegde autoriteiten, die handelen in overeenstemming met de bevoegdheden die hen bij de desbetreffende rechtshandelingen zijn verleend:

| a) | voor kredietinstellingen en voor instellingen die krachtens Richtlijn 2013/36/EU zijn vrijgesteld: de overeenkomstig artikel 4 van die richtlijn aangewezen bevoegde autoriteit, en voor kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als belangrijk zijn geclassificeerd: de ECB overeenkomstig de bij die verordening aan de ECB verleende bevoegdheden en taken; |
| --- | --- |

a)

voor kredietinstellingen en voor instellingen die krachtens Richtlijn 2013/36/EU zijn vrijgesteld: de overeenkomstig artikel 4 van die richtlijn aangewezen bevoegde autoriteit, en voor kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als belangrijk zijn geclassificeerd: de ECB overeenkomstig de bij die verordening aan de ECB verleende bevoegdheden en taken;

| b) | voor betalingsinstellingen (waaronder betalingsinstellingen die krachtens Richtlijn (EU) 2015/2366 zijn vrijgesteld), instellingen voor elektronisch geld (waaronder zij die zijn vrijgesteld krachtens Richtlijn 2009/110/EG), en aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van Richtlijn (EU) 2015/2366: de bevoegde autoriteit als aangewezen overeenkomstig artikel 22 van Richtlijn (EU) 2015/2366; |
| --- | --- |

b)

voor betalingsinstellingen (waaronder betalingsinstellingen die krachtens Richtlijn (EU) 2015/2366 zijn vrijgesteld), instellingen voor elektronisch geld (waaronder zij die zijn vrijgesteld krachtens Richtlijn 2009/110/EG), en aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van Richtlijn (EU) 2015/2366: de bevoegde autoriteit als aangewezen overeenkomstig artikel 22 van Richtlijn (EU) 2015/2366;

| c) | voor beleggingsondernemingen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 4 van Richtlijn (EU) 2019/2034 van het Europees Parlement en de Raad (38); |
| --- | --- |

c)

voor beleggingsondernemingen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 4 van Richtlijn (EU) 2019/2034 van het Europees Parlement en de Raad (38);

38

| d) | voor aanbieders van cryptoactivadiensten met een vergunning op grond van de verordening betreffende markten in cryptoactiva en emittenten van asset-referenced tokens: de overeenkomstig de relevante bepaling van die verordening aangewezen bevoegde autoriteit; |
| --- | --- |

d)

voor aanbieders van cryptoactivadiensten met een vergunning op grond van de verordening betreffende markten in cryptoactiva en emittenten van asset-referenced tokens: de overeenkomstig de relevante bepaling van die verordening aangewezen bevoegde autoriteit;

asset-referenced tokens

| e) | voor centrale effectenbewaarinstellingen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 11 van Verordening (EU) nr. 909/2014; |
| --- | --- |

e)

voor centrale effectenbewaarinstellingen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 11 van Verordening (EU) nr. 909/2014;

| f) | voor centrale tegenpartijen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 22 van Verordening (EU) nr. 648/2012; |
| --- | --- |

f)

voor centrale tegenpartijen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 22 van Verordening (EU) nr. 648/2012;

| g) | voor handelsplatformen en aanbieders van datarapporteringsdiensten: de bevoegde autoriteit als aangewezen overeenkomstig artikel 67 van Richtlijn 2014/65/EU, en de bevoegde autoriteit als gedefinieerd in artikel 2, lid 1, punt 18), van Verordening (EU) nr. 600/2014; |
| --- | --- |

g)

voor handelsplatformen en aanbieders van datarapporteringsdiensten: de bevoegde autoriteit als aangewezen overeenkomstig artikel 67 van Richtlijn 2014/65/EU, en de bevoegde autoriteit als gedefinieerd in artikel 2, lid 1, punt 18), van Verordening (EU) nr. 600/2014;

| h) | voor transactieregisters: de bevoegde autoriteit als aangewezen overeenkomstig artikel 22 van Verordening (EU) nr. 648/2012; |
| --- | --- |

h)

voor transactieregisters: de bevoegde autoriteit als aangewezen overeenkomstig artikel 22 van Verordening (EU) nr. 648/2012;

| i) | voor beheerders van alternatieve beleggingsinstellingen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 44 van Richtlijn 2011/61/EU; |
| --- | --- |

i)

voor beheerders van alternatieve beleggingsinstellingen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 44 van Richtlijn 2011/61/EU;

| j) | voor beheermaatschappijen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 97 van Richtlijn 2009/65/EG; |
| --- | --- |

j)

voor beheermaatschappijen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 97 van Richtlijn 2009/65/EG;

| k) | voor verzekerings- en herverzekeringsmaatschappijen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 30 van Richtlijn 2009/138/EG; |
| --- | --- |

k)

voor verzekerings- en herverzekeringsmaatschappijen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 30 van Richtlijn 2009/138/EG;

| l) | voor verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 12 van Richtlijn (EU) 2016/97; |
| --- | --- |

l)

voor verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen: de bevoegde autoriteit als aangewezen overeenkomstig artikel 12 van Richtlijn (EU) 2016/97;

| m) | voor instellingen voor bedrijfspensioenvoorziening: de bevoegde autoriteit als aangewezen overeenkomstig artikel 47 van Richtlijn (EU) 2016/2341; |
| --- | --- |

m)

voor instellingen voor bedrijfspensioenvoorziening: de bevoegde autoriteit als aangewezen overeenkomstig artikel 47 van Richtlijn (EU) 2016/2341;

| n) | voor kredietbeoordelingsbureaus: de bevoegde autoriteit als aangewezen overeenkomstig artikel 21 van Verordening (EG) nr. 1060/2009; |
| --- | --- |

n)

voor kredietbeoordelingsbureaus: de bevoegde autoriteit als aangewezen overeenkomstig artikel 21 van Verordening (EG) nr. 1060/2009;

| o) | voor beheerders van kritieke benchmarks: de bevoegde autoriteit als aangewezen overeenkomstig de artikelen 40 en 41 van Verordening (EU) 2016/1011; |
| --- | --- |

o)

voor beheerders van kritieke benchmarks: de bevoegde autoriteit als aangewezen overeenkomstig de artikelen 40 en 41 van Verordening (EU) 2016/1011;

| p) | voor aanbieders van crowdfundingdiensten: de bevoegde autoriteit als aangewezen overeenkomstig artikel 29 van Verordening (EU) 2020/1503; |
| --- | --- |

p)

voor aanbieders van crowdfundingdiensten: de bevoegde autoriteit als aangewezen overeenkomstig artikel 29 van Verordening (EU) 2020/1503;

| q) | voor securitisatieregisters: de bevoegde autoriteit als aangewezen overeenkomstig artikel 10 en artikel 14, lid 1, van Verordening (EU) 2017/2402. |
| --- | --- |

q)

voor securitisatieregisters: de bevoegde autoriteit als aangewezen overeenkomstig artikel 10 en artikel 14, lid 1, van Verordening (EU) 2017/2402.

Artikel 47

Samenwerking met structuren en autoriteiten die zijn opgericht bij Richtlijn (EU) 2022/2555

1.   Om de samenwerking te bevorderen en uitwisselingen tussen de krachtens deze verordening aangewezen bevoegde autoriteiten en de bij artikel 14 van Richtlijn (EU) 2022/2555 opgerichte samenwerkingsgroep mogelijk te maken, kunnen de ETA’s en de bevoegde autoriteiten deelnemen aan de activiteiten van de samenwerkingsgroep voor aangelegenheden die hun toezicht op de financiële entiteiten betreffen. De ETA’s en de bevoegde autoriteiten kunnen verzoeken te worden uitgenodigd om deel te nemen aan de activiteiten van de samenwerkingsgroep voor aangelegenheden met betrekking tot de essentiële of belangrijke entiteiten die onder Richtlijn (EU) 2022/2555 vallen en die overeenkomstig artikel 31 van deze verordening ook zijn aangewezen als kritieke derde aanbieders van ICT-diensten.

2.   In voorkomend geval kunnen de bevoegde autoriteiten de centrale contactpunten en de CSIRT’s die zijn aangewezen of ingesteld overeenkomstig Richtlijn (EU) 2022/2555 raadplegen en informatie met hen uitwisselen.

3.   In voorkomend geval kunnen de bevoegde autoriteiten alle relevante technische adviezen en bijstand inwinnen bij de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten, en kunnen zij samenwerkingsregelingen treffen voor een effectieve coördinatie van een snelle respons.

4.   In de in lid 3 van dit artikel bedoelde regelingen kunnen onder meer de procedures worden bepaald voor de coördinatie van de oversightactiviteiten met betrekking tot essentiële of belangrijke entiteiten die onder Richtlijn (EU) 2022/2555 vallen en die overeenkomstig artikel 31 van deze verordening zijn aangewezen als kritieke derde aanbieders van ICT-diensten; ook de procedures voor de uitvoering, overeenkomstig nationaal recht, van onderzoeken en inspecties ter plaatse, alsmede de procedures voor regelingen voor de uitwisseling van informatie tussen de bevoegde autoriteiten uit hoofde van deze verordening en de bevoegde autoriteiten die zijn aangewezen of ingesteld overeenkomstig die richtlijn, kunnen in de in lid 3 van dit artikel bedoelde regelingen worden bepaald, met inbegrip van de toegang tot door die laatste autoriteiten gevraagde informatie.

Artikel 48

Samenwerking tussen autoriteiten

1.   De bevoegde autoriteiten werken nauw samen met elkaar en, indien van toepassing, met de lead overseer.

2.   De bevoegde autoriteiten en de lead overseer wisselen tijdig alle relevante informatie over kritieke derde aanbieders van ICT-diensten uit die zij nodig hebben om hun taken uit hoofde van deze verordening te verrichten, met name met betrekking tot geconstateerde risico’s en benaderingen die worden gehanteerd en maatregelen die worden genomen in het kader van de oversighttaken van de lead overseer.

Artikel 49

Sectoroverschrijdende financiële oefeningen, communicatie en samenwerking

1.   De ETA’s kunnen via het Gemengd Comité en in samenwerking met de bevoegde autoriteiten de nationale afwikkelingsautoriteiten als bedoeld in artikel 3 van Richtlijn 2014/59/EU, de ECB, de Gemeenschappelijke Afwikkelingsraad als het om informatie gaat met betrekking tot entiteiten die onder het toepassingsgebied van Verordening (EU) nr. 806/2014 vallen, het ESRB en Enisa — alle voor zover van toepassing — regelingen invoeren voor de uitwisseling tussen financiële sectoren van doeltreffende praktijken, zulks met de bedoeling de situatiekennis en de opsporing van gemeenschappelijke cyberkwetsbaarheden en sectoroverschrijdende risico’s te verbeteren.

Zij kunnen oefeningen ontwikkelen voor crisisbeheer en noodsituaties met cyberaanvalsscenario’s en zo communicatiekanalen opzetten en geleidelijk een doeltreffende gecoördineerde respons op Unieniveau mogelijk maken bij een ernstig grensoverschrijdend ICT-incident of een daarmee verband houdende dreiging die mogelijk een systemisch effect zal hebben op de financiële sector van de Unie in zijn geheel.

Bij die oefeningen kan indien noodzakelijk ook worden getest in welke mate de financiële sector afhankelijk is van andere economische sectoren.

2.   De bevoegde autoriteiten, de ETA’s en de ECB werken onderling nauw samen en wisselen informatie uit om hun taken overeenkomstig de artikelen 47 tot en met 54 te verrichten. Zij coördineren ten nauwste hun toezicht teneinde inbreuken op deze verordening op te sporen en te corrigeren, goede praktijken te ontwikkelen en te stimuleren, samenwerking te vergemakkelijken, een consistente interpretatie van ter zake geldende bepalingen te bevorderen, en in geval van meningsverschil rechtsgebiedoverschrijdende beoordelingen te geven.

Artikel 50

Administratieve strafmaatregelen en corrigerende maatregelen

1.   De bevoegde autoriteiten hebben alle bevoegdheden inzake toezicht, onderzoek en oplegging van strafmaatregelen die noodzakelijk zijn om hun taken uit hoofde van deze verordening te verrichten.

2.   De in lid 1 bedoelde bevoegdheden omvatten ten minste de bevoegdheid om:

| a) | toegang te verkrijgen tot documenten en gegevens, in enigerlei vorm, die de bevoegde autoriteit relevant acht voor het verrichten van haar taken, en een kopie hiervan te ontvangen of te maken; |
| --- | --- |

a)

toegang te verkrijgen tot documenten en gegevens, in enigerlei vorm, die de bevoegde autoriteit relevant acht voor het verrichten van haar taken, en een kopie hiervan te ontvangen of te maken;

| b) | inspecties of onderzoeken ter plaatse uit te voeren, met inbegrip van, maar niet beperkt tot:






  i) | het oproepen van vertegenwoordigers van de financiële entiteit en hen verzoeken om mondelinge of schriftelijke toelichting te geven bij feiten of documenten met betrekking tot het onderwerp en het doel van het onderzoek, en de antwoorden op te tekenen; |
| --- | --- | --- |

b)

inspecties of onderzoeken ter plaatse uit te voeren, met inbegrip van, maar niet beperkt tot:

i)

het oproepen van vertegenwoordigers van de financiële entiteit en hen verzoeken om mondelinge of schriftelijke toelichting te geven bij feiten of documenten met betrekking tot het onderwerp en het doel van het onderzoek, en de antwoorden op te tekenen;

| ii) | het horen van alle andere natuurlijke personen of rechtspersonen die daarin toestemmen, teneinde informatie over het onderwerp van een onderzoek te verzamelen; |
| --- | --- |

ii)

het horen van alle andere natuurlijke personen of rechtspersonen die daarin toestemmen, teneinde informatie over het onderwerp van een onderzoek te verzamelen;

| c) | corrigerende maatregelen te eisen voor inbreuken op de voorschriften van deze verordening. |
| --- | --- |

c)

corrigerende maatregelen te eisen voor inbreuken op de voorschriften van deze verordening.

3.   Onverminderd het recht om overeenkomstig artikel 52 strafrechtelijke maatregelen te nemen, stellen de lidstaten regels vast voor de invoering van passende administratieve strafmaatregelen en corrigerende maatregelen voor inbreuken op deze verordening, en waarborgen zij de daadwerkelijke uitvoering van deze maatregelen.

Deze straf- en andere maatregelen moeten doeltreffend zijn, in verhouding staan tot de inbreuk, en een afschrikkende werking hebben.

4.   De lidstaten verlenen de bevoegde autoriteiten de bevoegdheid om bij inbreuk op deze verordening ten minste de volgende administratieve strafmaatregelen of corrigerende maatregelen te nemen:

| a) | natuurlijke of rechtspersoon bij officieel besluit gelasten de gedraging die inbreuk maakt op deze verordening, te staken en deze gedraging niet te herhalen; |
| --- | --- |

a)

natuurlijke of rechtspersoon bij officieel besluit gelasten de gedraging die inbreuk maakt op deze verordening, te staken en deze gedraging niet te herhalen;

| b) | eisen dat praktijken of gedragingen die de bevoegde autoriteit strijdig acht met de bepalingen van deze verordening, tijdelijk of definitief worden gestaakt, en dat herhaling van deze praktijk of gedraging wordt voorkomen; |
| --- | --- |

b)

eisen dat praktijken of gedragingen die de bevoegde autoriteit strijdig acht met de bepalingen van deze verordening, tijdelijk of definitief worden gestaakt, en dat herhaling van deze praktijk of gedraging wordt voorkomen;

| c) | het nemen van iedere soort maatregel, onder meer van geldelijke aard, om ervoor te zorgen dat de financiële entiteit aan de wettelijke vereisten blijft voldoen; |
| --- | --- |

c)

het nemen van iedere soort maatregel, onder meer van geldelijke aard, om ervoor te zorgen dat de financiële entiteit aan de wettelijke vereisten blijft voldoen;

| d) | eisen — voor zover dit bij nationaal recht is toegestaan — dat bestaande overzichten van dataverkeer die in het bezit zijn van een telecommunicatie-exploitant, worden overgelegd, indien er een redelijk vermoeden van inbreuk op deze verordening bestaat, en indien deze overzichten van belang kunnen zijn voor een onderzoek naar inbreuken op deze verordening, en |
| --- | --- |

d)

eisen — voor zover dit bij nationaal recht is toegestaan — dat bestaande overzichten van dataverkeer die in het bezit zijn van een telecommunicatie-exploitant, worden overgelegd, indien er een redelijk vermoeden van inbreuk op deze verordening bestaat, en indien deze overzichten van belang kunnen zijn voor een onderzoek naar inbreuken op deze verordening, en

| e) | het doen uitgaan van openbare mededelingen, met inbegrip van openbare verklaringen, waarbij de identiteit van de natuurlijke of rechtspersoon die de inbreuk heeft begaan, en de aard van de inbreuk worden bekendgemaakt. |
| --- | --- |

e)

het doen uitgaan van openbare mededelingen, met inbegrip van openbare verklaringen, waarbij de identiteit van de natuurlijke of rechtspersoon die de inbreuk heeft begaan, en de aard van de inbreuk worden bekendgemaakt.

5.   Indien lid 2, punt c), en lid 4 van toepassing zijn op rechtspersonen, verlenen de lidstaten de bevoegde autoriteiten de bevoegdheid om administratieve strafmaatregelen of corrigerende maatregelen te nemen ten aanzien van leden van het leidinggevend orgaan van de financiële entiteit en andere personen die krachtens nationaal recht verantwoordelijk zijn voor de inbreuk. Hierbij dienen de voorwaarden van het nationale recht in acht te worden genomen.

6.   De lidstaten zien erop toe dat een besluit waarbij de in lid 2, punt c), genoemde administratieve strafmaatregelen of corrigerende maatregelen worden genomen, naar behoren gemotiveerd is en vatbaar is voor beroep.

Artikel 51

Uitoefening van de bevoegdheid tot het nemen van administratieve strafmaatregelen en corrigerende maatregelen

1.   De bevoegde autoriteiten oefenen de bevoegdheid tot het nemen van administratieve strafmaatregelen en corrigerende maatregelen als bedoeld in artikel 50 uit conform het nationaal recht, en wel naargelang van het geval:

| a) | rechtstreeks; |
| --- | --- |

a)

rechtstreeks;

| b) | in samenwerking met andere autoriteiten; |
| --- | --- |

b)

in samenwerking met andere autoriteiten;

| c) | door middel van delegatie aan andere autoriteiten maar onder eigen verantwoordelijkheid, of |
| --- | --- |

c)

door middel van delegatie aan andere autoriteiten maar onder eigen verantwoordelijkheid, of

| d) | door middel van een verzoek tot de bevoegde rechterlijke instanties. |
| --- | --- |

d)

door middel van een verzoek tot de bevoegde rechterlijke instanties.

2.   De bevoegde autoriteiten houden bij het bepalen van het type en de omvang van een op grond van artikel 50 te nemen administratieve strafmaatregel of corrigerende maatregel rekening met de vraag, in hoeverre de inbreuk opzettelijk is, dan wel het resultaat is van nalatigheid, en met andere relevante omstandigheden, waaronder, in voorkomend geval:

| a) | het relatieve belang, de ernst en de duur van de inbreuk; |
| --- | --- |

a)

het relatieve belang, de ernst en de duur van de inbreuk;

| b) | de mate van verantwoordelijkheid van de natuurlijke of rechtspersoon die de inbreuk heeft gepleegd; |
| --- | --- |

b)

de mate van verantwoordelijkheid van de natuurlijke of rechtspersoon die de inbreuk heeft gepleegd;

| c) | de financiële draagkracht van de verantwoordelijke natuurlijke of rechtspersoon; |
| --- | --- |

c)

de financiële draagkracht van de verantwoordelijke natuurlijke of rechtspersoon;

| d) | de omvang van winsten die de verantwoordelijke natuurlijke of rechtspersoon heeft gemaakt of de verliezen die deze heeft vermeden, voor zover deze winsten of verliezen kunnen worden bepaald; |
| --- | --- |

d)

de omvang van winsten die de verantwoordelijke natuurlijke of rechtspersoon heeft gemaakt of de verliezen die deze heeft vermeden, voor zover deze winsten of verliezen kunnen worden bepaald;

| e) | de verliezen voor derde partijen ten gevolge van de inbreuk, voor zover deze kunnen worden bepaald; |
| --- | --- |

e)

de verliezen voor derde partijen ten gevolge van de inbreuk, voor zover deze kunnen worden bepaald;

| f) | de mate van medewerking van de verantwoordelijke natuurlijke of rechtspersoon met de bevoegde autoriteit, onverminderd de noodzaak om de terugbetaling van de door deze natuurlijke of rechtspersoon behaalde winsten of vermeden verliezen zeker te stellen; |
| --- | --- |

f)

de mate van medewerking van de verantwoordelijke natuurlijke of rechtspersoon met de bevoegde autoriteit, onverminderd de noodzaak om de terugbetaling van de door deze natuurlijke of rechtspersoon behaalde winsten of vermeden verliezen zeker te stellen;

| g) | eventuele eerdere inbreuken van de verantwoordelijke natuurlijke of rechtspersoon. |
| --- | --- |

g)

eventuele eerdere inbreuken van de verantwoordelijke natuurlijke of rechtspersoon.

Artikel 52

Strafrechtelijke maatregelen

1.   De lidstaten kunnen ertoe besluiten, geen regels voor administratieve strafmaatregelen of corrigerende maatregelen vast te stellen voor inbreuken waarop krachtens hun nationale recht strafrechtelijke maatregelen staan.

2.   Indien de lidstaten ervoor hebben gekozen strafrechtelijke maatregelen vast te stellen voor inbreuken op deze verordening, zorgen zij voor passende maatregelen waardoor de bevoegde autoriteiten over alle noodzakelijke bevoegdheden beschikken om met de gerechtelijke, de met vervolging belaste of de strafrechtelijke autoriteiten in hun rechtsgebied in contact te treden ter verkrijging van specifieke informatie met betrekking tot strafrechtelijke onderzoeken of procedures ten aanzien van mogelijke inbreuken op deze verordening. Ook kunnen de bevoegde autoriteiten deze informatie verstrekken aan andere bevoegde autoriteiten en aan de EBA, de ESMA of de Eiopa, opdat zij zo voldoen aan hun verplichting tot samenwerking bij de toepassing van deze verordening.

Artikel 53

Kennisgevingsverplichting

De lidstaten stellen uiterlijk op 17 januari 2025 de Commissie, de ESMA, de EBA en de Eiopa in kennis van de wettelijke en bestuursrechtelijke bepalingen ter uitvoering van dit hoofdstuk, met inbegrip van eventuele strafrechtelijke bepalingen die van toepassing zijn. De lidstaten stellen de Commissie, de ESMA, de EBA en de Eiopa onverwijld in kennis van latere wijzigingen van deze bepalingen.

Artikel 54

Bekendmaking van administratieve strafmaatregelen

1.   De bevoegde autoriteiten maken op hun officiële website onverwijld alle niet voor beroep vatbare besluiten tot het nemen van administratieve strafmaatregelen bekend, nadat de natuurlijke of rechtspersoon op wie een dergelijke maatregel van toepassing is, van deze maatregel in kennis is gesteld.

2.   De in lid 1 bedoelde bekendmaking bevat informatie over het type en de aard van de inbreuk, de identiteit van de verantwoordelijke natuurlijke of rechtspersoon en de getroffen strafmaatregelen.

3.   Indien de bevoegde autoriteit na de beoordeling van een geval van oordeel is dat de bekendmaking van de identiteit in het geval van rechtspersonen of van de identiteit en persoonsgegevens in het geval van natuurlijke personen onevenredige effecten kan hebben — waaronder risico’s voor de bescherming van persoonsgegevens — de stabiliteit van de financiële markten of het verloop van een lopend onderzoek in gevaar kan brengen, of, voor zover dit kan worden bepaald, de betrokken natuurlijke of rechtspersonen onevenredige schade zou kunnen berokkenen, kiest zij een van de volgende oplossingen voor het besluit waarbij een administratieve strafmaatregel wordt genomen:

| a) | zij stelt de bekendmaking van het besluit uit totdat alle redenen voor niet-bekendmaking zijn vervallen; |
| --- | --- |

a)

zij stelt de bekendmaking van het besluit uit totdat alle redenen voor niet-bekendmaking zijn vervallen;

| b) | zij maakt het besluit bekend met inachtneming van anonimiteit, in overeenstemming met het nationaal recht, of |
| --- | --- |

b)

zij maakt het besluit bekend met inachtneming van anonimiteit, in overeenstemming met het nationaal recht, of

| c) | zij onthoudt zich van de bekendmaking indien de in punten a) en b) genoemde keuzemogelijkheden ontoereikend worden geacht om te garanderen dat er geen gevaar bestaat voor de stabiliteit van de financiële markten of indien de effecten van de bekendmaking niet in verhouding staan tot de clementie van de genomen strafmaatregel. |
| --- | --- |

c)

zij onthoudt zich van de bekendmaking indien de in punten a) en b) genoemde keuzemogelijkheden ontoereikend worden geacht om te garanderen dat er geen gevaar bestaat voor de stabiliteit van de financiële markten of indien de effecten van de bekendmaking niet in verhouding staan tot de clementie van de genomen strafmaatregel.

4.   Bij een besluit tot bekendmaking van een administratieve strafmaatregel met inachtneming van anonimiteit als bedoeld in lid 3, punt b), kan de bekendmaking van de betrokken gegevens worden uitgesteld.

5.   Indien een bevoegde autoriteit een besluit tot het nemen van een administratieve strafmaatregel bekendmaakt dat vatbaar is voor beroep bij gerechtelijke autoriteiten, maakt de bevoegde autoriteit deze informatie en, in een later stadium, verdere informatie over het resultaat van een eventueel beroep onverwijld bekend op haar officiële website. Rechterlijke beslissingen tot nietigverklaring van een besluit waarbij een administratieve strafmaatregel is genomen, worden eveneens bekendgemaakt.

6.   De bevoegde autoriteiten zorgen ervoor dat een bekendmaking als bedoeld in de leden 1 tot en met 4 slechts op hun officiële website blijft staan gedurende de periode die nodig is voor de inwerkingtreding van dit artikel. Deze periode duurt niet langer dan vijf jaar vanaf de bekendmaking ervan.

Artikel 55

Beroepsgeheim

1.   Alle uit hoofde van deze verordening ontvangen, uitgewisselde of doorgegeven vertrouwelijke informatie valt onder de in lid 2 neergelegde voorwaarden inzake het beroepsgeheim.

2.   Het beroepsgeheim geldt voor alle personen die werkzaam zijn of zijn geweest bij de krachtens deze verordening bevoegde autoriteiten, of voor elke autoriteit of onderneming op de markt, of natuurlijke of rechtspersoon aan wie de bevoegde autoriteit haar bevoegdheden heeft gedelegeerd, met inbegrip van de door deze autoriteiten aangestelde accountants en deskundigen.

3.   Onder het beroepsgeheim vallende informatie, waaronder de uitwisseling van informatie tussen de bevoegde autoriteiten uit hoofde van deze verordening en de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde bevoegde autoriteiten, wordt aan geen enkele andere persoon of autoriteit verstrekt, tenzij op grond van Unierechtelijke of nationaalrechtelijke bepalingen;

4.   Alle uitwisseling van informatie tussen de bevoegde autoriteiten krachtens deze verordening die betrekking heeft op exploitatie- of bedrijfsomstandigheden en andere economische of persoonlijke zaken, wordt als vertrouwelijk beschouwd en valt onder de vereisten van het beroepsgeheim, tenzij de bevoegde autoriteit op het moment van de mededeling verklaart dat deze informatie kan worden bekendgemaakt of de bekendmaking ervan noodzakelijk is voor gerechtelijke procedures.

Artikel 56

Gegevensbescherming

1.   De ETA’s en de bevoegde autoriteiten mogen persoonsgegevens alleen verwerken wanneer dat nodig is voor het vervullen van hun respectieve verplichtingen en taken krachtens deze verordening, met name voor onderzoek, inspectie, verzoek om informatie, communicatie, bekendmaking, evaluatie, verificatie, beoordeling en opstelling van oversightplannen. De persoonsgegevens worden verwerkt overeenkomstig Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, naargelang toepasselijk.

2.   Tenzij in andere sectorale besluiten anders is bepaald, worden de in lid 1 bedoelde persoonsgegevens bewaard tot de vervulling van de toepasselijke toezichthoudende taken en in elk geval voor een periode van maximaal 15 jaar, behalve in het geval van lopende gerechtelijke procedures die verdere bewaring van dergelijke gegevens vereisen.

HOOFDSTUK VIII

Gedelegeerde handelingen

Artikel 57

Uitoefening van de bevoegdheidsdelegatie

1.   De bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend onder de in dit artikel neergelegde voorwaarden.

2.   De bevoegdheid om de in artikel 31, lid 6, en artikel 43, lid 2, bedoelde gedelegeerde handelingen vast te stellen wordt aan de Commissie verleend voor een termijn van vijf jaar met ingang van 17 januari 2024. De Commissie stelt uiterlijk negen maanden voor het einde van de termijn van vijf jaar een verslag op over de bevoegdheidsdelegatie. De bevoegdheidsdelegatie wordt stilzwijgend met termijnen van dezelfde duur verlengd, tenzij het Europees Parlement of de Raad zich uiterlijk drie maanden voor het einde van elke termijn tegen deze verlenging verzet.

3.   Het Europees Parlement of de Raad kan de in artikel 31, lid 6, en artikel 43, lid 2, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet.

4.   Vóór de vaststelling van een gedelegeerde handeling raadpleegt de Commissie de door elke lidstaat aangewezen deskundigen overeenkomstig de beginselen die zijn neergelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven.

5.   Zodra de Commissie een gedelegeerde handeling heeft vastgesteld, doet zij daarvan gelijktijdig kennisgeving aan het Europees Parlement en de Raad.

6.   Een overeenkomstig artikel 31, lid 6, en artikel 43, lid 2, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van drie maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben medegedeeld dat zij daartegen geen bezwaar zullen maken. Deze termijn wordt op initiatief van het Europees Parlement of de Raad met drie maanden verlengd.

HOOFDSTUK IX

Overgangs- en slotbepalingen

Afdeling I

Artikel 58

Evaluatieclausule

1.   Vanaf 17 januari 2028 voert de Commissie, na raadpleging van de ETA’s en het ESRB, naargelang van het geval, een evaluatie uit en dient zij bij het Europees Parlement en de Raad een verslag in, in voorkomend geval vergezeld van een wetgevingsvoorstel. De evaluatie bevat ten minste het volgende:

| a) | de criteria voor de aanwijzing van kritieke derde aanbieders van ICT-diensten overeenkomstig artikel 31, lid 2; |
| --- | --- |

a)

de criteria voor de aanwijzing van kritieke derde aanbieders van ICT-diensten overeenkomstig artikel 31, lid 2;

| b) | het vrijwillige karakter van het melden van significante cyberdreigingen als bedoeld in artikel 19; |
| --- | --- |

b)

het vrijwillige karakter van het melden van significante cyberdreigingen als bedoeld in artikel 19;

| c) | de in artikel 31, lid 12, bedoelde regeling en de bevoegdheden van de lead overseer als bedoeld in artikel 35, lid 1, punt d), iv), eerste streepje, met het oog op de evaluatie van de doeltreffendheid van die bepalingen met betrekking tot het waarborgen van doeltreffend oversight van kritieke derde aanbieders van ICT-diensten die in een derde land zijn gevestigd, en van de noodzaak om een dochteronderneming in de Unie op te richten.
  Voor de toepassing van de eerste alinea van dit punt omvat de evaluatie een analyse van de in artikel 31, lid 12, bedoelde regeling, met inbegrip van wat betreft de toegang van financiële entiteiten uit de Unie tot diensten uit derde landen en de beschikbaarheid van diensten op de markt van de Unie, en houdt zij rekening met verdere ontwikkelingen op de markten voor de onder deze verordening vallende diensten, de praktische ervaring van financiële entiteiten en financiële toezichthouders met betrekking tot de toepassing van en het toezicht op die regeling, en alle relevante ontwikkelingen op het gebied van regelgeving en toezicht die op internationaal niveau plaatsvinden. |
| --- | --- |

c)

de in artikel 31, lid 12, bedoelde regeling en de bevoegdheden van de lead overseer als bedoeld in artikel 35, lid 1, punt d), iv), eerste streepje, met het oog op de evaluatie van de doeltreffendheid van die bepalingen met betrekking tot het waarborgen van doeltreffend oversight van kritieke derde aanbieders van ICT-diensten die in een derde land zijn gevestigd, en van de noodzaak om een dochteronderneming in de Unie op te richten.

Voor de toepassing van de eerste alinea van dit punt omvat de evaluatie een analyse van de in artikel 31, lid 12, bedoelde regeling, met inbegrip van wat betreft de toegang van financiële entiteiten uit de Unie tot diensten uit derde landen en de beschikbaarheid van diensten op de markt van de Unie, en houdt zij rekening met verdere ontwikkelingen op de markten voor de onder deze verordening vallende diensten, de praktische ervaring van financiële entiteiten en financiële toezichthouders met betrekking tot de toepassing van en het toezicht op die regeling, en alle relevante ontwikkelingen op het gebied van regelgeving en toezicht die op internationaal niveau plaatsvinden.

| d) | de wenselijkheid om financiële entiteiten als bedoeld in artikel 2, lid 3, punt e), die gebruikmaken van geautomatiseerde verkoopsystemen, in het toepassingsgebied van deze verordening op te nemen in het licht van toekomstige marktontwikkelingen met betrekking tot het gebruik van dergelijke systemen; |
| --- | --- |

d)

de wenselijkheid om financiële entiteiten als bedoeld in artikel 2, lid 3, punt e), die gebruikmaken van geautomatiseerde verkoopsystemen, in het toepassingsgebied van deze verordening op te nemen in het licht van toekomstige marktontwikkelingen met betrekking tot het gebruik van dergelijke systemen;

| e) | de werking en doeltreffendheid van het JON bij het ondersteunen van de consistentie van het oversight en de efficiëntie van de uitwisseling van informatie binnen het toezichtkader. |
| --- | --- |

e)

de werking en doeltreffendheid van het JON bij het ondersteunen van de consistentie van het oversight en de efficiëntie van de uitwisseling van informatie binnen het toezichtkader.

2.   In het kader van de herziening van Richtlijn (EU) 2015/2366 beoordeelt de Commissie of het nodig is de cyberweerbaarheid van betalingssystemen en betalingsverwerkingsactiviteiten te vergroten en of het passend is het toepassingsgebied van deze verordening uit te breiden tot exploitanten van betalingssystemen en entiteiten die betrokken zijn bij betalingsverwerkingsactiviteiten. In het licht van deze beoordeling legt de Commissie, bij de herziening van Richtlijn (EU) 2015/2366, uiterlijk op 17 juli 2023 een verslag voor aan het Europees Parlement en aan de Raad.

Op basis van dat evaluatieverslag en na raadpleging van de ETA’s, de ECB en het ESRB kan de Commissie, in voorkomend geval en als onderdeel van het wetgevingsvoorstel dat zij krachtens artikel 108, tweede alinea, van Richtlijn (EU) 2015/2366 kan vaststellen, een voorstel indienen om ervoor te zorgen dat alle exploitanten van betalingssystemen en entiteiten die betrokken zijn bij betalingsverwerkingsactiviteiten aan passend oversight zijn onderworpen, rekening houdend met het bestaande oversight door de centrale banken.

3.   Uiterlijk op 17 januari 2026, voert de Commissie, na raadpleging van de ETA’s en het Comité van Europese auditorstoezichthouders, een evaluatie uit en dient zij een verslag in bij het Europees Parlement en de Raad dat, waar van toepassing, vergezeld gaat van een wetgevingsvoorstel over de geschiktheid van aangescherpte vereisten voor wettelijke auditors en auditkantoren wat betreft digitale operationele weerbaarheid, door wettelijke auditors en auditkantoren op te nemen in het toepassingsgebied van deze verordening, of door middel van wijzigingen van Richtlijn 2006/43/EG van het Europees Parlement en de Raad (39)
  .

Afdeling II

Wijzigingen

Artikel 59

Wijzigingen van Verordening (EG) nr. 1060/2009

Verordening (EG) nr. 1060/2009 wordt als volgt gewijzigd:

| 1) | in bijlage I, afdeling A, punt 4, wordt de eerste alinea vervangen door:

  “Een ratingbureau beschikt over een goede administratieve en boekhoudkundige organisatie, adequate interne controleprocedures, effectieve risicobeoordelingsprocedures en effectieve controle- en beveiligingsvoorzieningen voor het beheer van ICT-systemen in overeenstemming met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*1) .

  (*1)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;" |
| --- | --- |

1)

in bijlage I, afdeling A, punt 4, wordt de eerste alinea vervangen door:

“Een ratingbureau beschikt over een goede administratieve en boekhoudkundige organisatie, adequate interne controleprocedures, effectieve risicobeoordelingsprocedures en effectieve controle- en beveiligingsvoorzieningen voor het beheer van ICT-systemen in overeenstemming met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*1) .

*1

(*1)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*1

| 2) | in bijlage III wordt punt 12 vervangen door:






  “12. | Het ratingbureau schendt artikel 6, lid 2, in samenhang met punt 4 van afdeling A van bijlage I, wanneer het niet beschikt over een goede administratieve of boekhoudkundige organisatie, interne controleprocedures, effectieve risicobeoordelingsprocedures of effectieve controle- of beveiligingsvoorzieningen voor het beheer van ICT-systemen in overeenstemming met Verordening (EU) 2022/2554 , of door niet de in dat punt vereiste besluitvormingsprocedures of organisatiestructuren te volgen en te handhaven.”. |
| --- | --- | --- |

2)

in bijlage III wordt punt 12 vervangen door:

“12.

Het ratingbureau schendt artikel 6, lid 2, in samenhang met punt 4 van afdeling A van bijlage I, wanneer het niet beschikt over een goede administratieve of boekhoudkundige organisatie, interne controleprocedures, effectieve risicobeoordelingsprocedures of effectieve controle- of beveiligingsvoorzieningen voor het beheer van ICT-systemen in overeenstemming met Verordening (EU) 2022/2554 , of door niet de in dat punt vereiste besluitvormingsprocedures of organisatiestructuren te volgen en te handhaven.”.

Artikel 60

Wijzigingen van Verordening (EU) nr. 648/2012

Verordening (EU) nr. 648/2012 wordt als volgt gewijzigd:

| 1) | Artikel 26 wordt als volgt gewijzigd:






  a) | lid 3 wordt vervangen door:

  “3.   Een CTP beschikt over en werkt in het kader van een organisatiestructuur die de continuïteit en ordelijke werking bij het verrichten van haar diensten en activiteiten garandeert. Zij maakt gebruik van passende en evenredige systemen, middelen en procedures, met inbegrip van ICT-systemen die worden beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*2) .


  (*2)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;" |
| --- | --- | --- |

1)

Artikel 26 wordt als volgt gewijzigd:

a)

lid 3 wordt vervangen door:

“3.   Een CTP beschikt over en werkt in het kader van een organisatiestructuur die de continuïteit en ordelijke werking bij het verrichten van haar diensten en activiteiten garandeert. Zij maakt gebruik van passende en evenredige systemen, middelen en procedures, met inbegrip van ICT-systemen die worden beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*2) .

(*2)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*2

| b) | lid 6 wordt geschrapt; |
| --- | --- |

b)

lid 6 wordt geschrapt;

| 2) | artikel 34 wordt als volgt gewijzigd:






  a) | lid 1 wordt vervangen door:

  “1.   Een CTP zorgt voor de vaststelling, toepassing en instandhouding van een passend bedrijfscontinuïteitsbeleid en een noodherstelplan, dat ICT-bedrijfscontinuïteitsbeleid en ICT-respons- en herstelplannen omvat die zijn opgezet en worden uitgevoerd in overeenstemming met Verordening (EU) 2022/2554 , met als doel de functies van de CTP in stand te houden, de activiteiten tijdig te hervatten en de verplichtingen van de CTP na te komen.”; |
| --- | --- | --- |

2)

artikel 34 wordt als volgt gewijzigd:

a)

lid 1 wordt vervangen door:

“1.   Een CTP zorgt voor de vaststelling, toepassing en instandhouding van een passend bedrijfscontinuïteitsbeleid en een noodherstelplan, dat ICT-bedrijfscontinuïteitsbeleid en ICT-respons- en herstelplannen omvat die zijn opgezet en worden uitgevoerd in overeenstemming met Verordening (EU) 2022/2554 , met als doel de functies van de CTP in stand te houden, de activiteiten tijdig te hervatten en de verplichtingen van de CTP na te komen.”;

| b) | lid 3, eerste alinea, wordt vervangen door:

  “3.   Om een consistente toepassing van dit artikel te garanderen, stelt ESMA na overleg met de leden van het ESCB ontwerpen van technische reguleringsnormen op waarin de minimale inhoud en vereisten van het bedrijfscontinuïteitsbeleid en van het noodherstelplan worden gespecificeerd, met uitsluiting van ICT-bedrijfscontinuïteitsbeleid en noodherstelplannen.”; |
| --- | --- |

b)

lid 3, eerste alinea, wordt vervangen door:

“3.   Om een consistente toepassing van dit artikel te garanderen, stelt ESMA na overleg met de leden van het ESCB ontwerpen van technische reguleringsnormen op waarin de minimale inhoud en vereisten van het bedrijfscontinuïteitsbeleid en van het noodherstelplan worden gespecificeerd, met uitsluiting van ICT-bedrijfscontinuïteitsbeleid en noodherstelplannen.”;

| 3) | in artikel 56, lid 3, wordt de eerste alinea vervangen door:

  “3.   Om een consistente toepassing van dit artikel te garanderen, stelt ESMA ontwerpen van technische reguleringsnormen op tot bepaling van andere regels voor de in lid 1 vermelde registratieaanvraag dan die welke betrekking hebben op de vereisten inzake ICT-risicobeheer.”; |
| --- | --- |

3)

in artikel 56, lid 3, wordt de eerste alinea vervangen door:

“3.   Om een consistente toepassing van dit artikel te garanderen, stelt ESMA ontwerpen van technische reguleringsnormen op tot bepaling van andere regels voor de in lid 1 vermelde registratieaanvraag dan die welke betrekking hebben op de vereisten inzake ICT-risicobeheer.”;

| 4) | in artikel 79 worden de leden 1 en 2 vervangen door:

  “1.   In een transactieregister worden bronnen van operationele risico’s vastgesteld en tot een minimum beperkt via de ontwikkeling van passende systemen, controles en procedures, met inbegrip van ICT-systemen die worden beheerd in overeenstemming met Verordening (EU) 2022/2554.


  2.   Een transactieregister zorgt voor de opstelling, uitvoering en instandhouding van een passend bedrijfscontinuïteitsbeleid en noodherstelplan, met inbegrip van ICT-bedrijfscontinuïteitsbeleid en ICT-respons- en noodherstelplannen die zijn opgezet in overeenstemming met Verordening (EU) 2022/2554, met als doel de functies van het transactieregister in stand te houden, de activiteiten tijdig te hervatten en de verplichtingen van het transactieregister na te komen.”; |
| --- | --- |

4)

in artikel 79 worden de leden 1 en 2 vervangen door:

“1.   In een transactieregister worden bronnen van operationele risico’s vastgesteld en tot een minimum beperkt via de ontwikkeling van passende systemen, controles en procedures, met inbegrip van ICT-systemen die worden beheerd in overeenstemming met Verordening (EU) 2022/2554.

2.   Een transactieregister zorgt voor de opstelling, uitvoering en instandhouding van een passend bedrijfscontinuïteitsbeleid en noodherstelplan, met inbegrip van ICT-bedrijfscontinuïteitsbeleid en ICT-respons- en noodherstelplannen die zijn opgezet in overeenstemming met Verordening (EU) 2022/2554, met als doel de functies van het transactieregister in stand te houden, de activiteiten tijdig te hervatten en de verplichtingen van het transactieregister na te komen.”;

| 5) | in artikel 80 wordt lid 1 geschrapt; |
| --- | --- |

5)

in artikel 80 wordt lid 1 geschrapt;

| 6) | bijlage I, afdeling II, wordt als volgt gewijzigd:






  a) | de punten a) en b) worden vervangen door:






  “a) | een transactieregister maakt inbreuk op artikel 79, lid 1, wanneer het bronnen van operationele risico’s niet vaststelt of deze risico’s niet tot een minimum beperkt door passende systemen, controles en procedures te ontwikkelen, met inbegrip van ICT-systemen die worden beheerd in overeenstemming met Verordening (EU) 2022/2554 ; |
| --- | --- | --- | --- |

6)

bijlage I, afdeling II, wordt als volgt gewijzigd:

a)

de punten a) en b) worden vervangen door:

“a)

een transactieregister maakt inbreuk op artikel 79, lid 1, wanneer het bronnen van operationele risico’s niet vaststelt of deze risico’s niet tot een minimum beperkt door passende systemen, controles en procedures te ontwikkelen, met inbegrip van ICT-systemen die worden beheerd in overeenstemming met Verordening (EU) 2022/2554 ;

| b) | een transactieregister maakt inbreuk op artikel 79, lid 2, wanneer het niet zorgt voor de opstelling, uitvoering en instandhouding van een passend bedrijfscontinuïteitsbeleid en een noodherstelplan die zijn opgezet in overeenstemming met Verordening (EU) 2022/2554, met als doel de functies van het transactieregister in stand te houden, de activiteiten tijdig te hervatten en de verplichtingen van het transactieregister na te komen;”; |
| --- | --- |

b)

een transactieregister maakt inbreuk op artikel 79, lid 2, wanneer het niet zorgt voor de opstelling, uitvoering en instandhouding van een passend bedrijfscontinuïteitsbeleid en een noodherstelplan die zijn opgezet in overeenstemming met Verordening (EU) 2022/2554, met als doel de functies van het transactieregister in stand te houden, de activiteiten tijdig te hervatten en de verplichtingen van het transactieregister na te komen;”;

| b) | punt c) wordt geschrapt; |
| --- | --- |

b)

punt c) wordt geschrapt;

| 7) | bijlage III wordt als volgt gewijzigd:






  a) | afdeling II wordt als volgt gewijzigd:






  i) | punt c) wordt vervangen door:






  “c) | een tier 2-CTP maakt inbreuk op artikel 26, lid 3, als zij geen organisatiestructuur in stand houdt of exploiteert die de continuïteit en ordelijke werking bij de uitvoering van haar diensten en activiteiten waarborgt, of als zij geen gebruik maakt van passende en evenredige systemen, middelen of procedures, met inbegrip van ICT-systemen die worden beheerd overeenkomstig Verordening (EU) 2022/2554 ”; |
| --- | --- | --- | --- | --- |

7)

bijlage III wordt als volgt gewijzigd:

a)

afdeling II wordt als volgt gewijzigd:

i)

punt c) wordt vervangen door:

“c)

een tier 2-CTP maakt inbreuk op artikel 26, lid 3, als zij geen organisatiestructuur in stand houdt of exploiteert die de continuïteit en ordelijke werking bij de uitvoering van haar diensten en activiteiten waarborgt, of als zij geen gebruik maakt van passende en evenredige systemen, middelen of procedures, met inbegrip van ICT-systemen die worden beheerd overeenkomstig Verordening (EU) 2022/2554 ”;

| ii) | punt f) wordt geschrapt; |
| --- | --- |

ii)

punt f) wordt geschrapt;

| b) | in afdeling III wordt punt a) vervangen door:






  “a) | een tier 2-CTP maakt inbreuk op artikel 34, lid 1, wanneer zij niet zorgt voor de vaststelling, toepassing of handhaving van een passend bedrijfscontinuïteitsbeleid en respons- en herstelplan, die zijn opgezet overeenkomstig Verordening (EU) 2022/2554, die tot doel hebben de functies van de CTP in stand te houden, de activiteiten tijdig te hervatten, en de verplichtingen van de CTP na te komen, dat het ten minste mogelijk maakt dat alle transacties op het ogenblik van de verstoring worden hersteld, zodat de CTP haar bedrijfsactiviteiten met zekerheid kan voortzetten en de afwikkeling op de geplande datum kan voltooien;”. |
| --- | --- | --- |

b)

in afdeling III wordt punt a) vervangen door:

“a)

een tier 2-CTP maakt inbreuk op artikel 34, lid 1, wanneer zij niet zorgt voor de vaststelling, toepassing of handhaving van een passend bedrijfscontinuïteitsbeleid en respons- en herstelplan, die zijn opgezet overeenkomstig Verordening (EU) 2022/2554, die tot doel hebben de functies van de CTP in stand te houden, de activiteiten tijdig te hervatten, en de verplichtingen van de CTP na te komen, dat het ten minste mogelijk maakt dat alle transacties op het ogenblik van de verstoring worden hersteld, zodat de CTP haar bedrijfsactiviteiten met zekerheid kan voortzetten en de afwikkeling op de geplande datum kan voltooien;”.

Artikel 61

Wijzigingen van Verordening (EU) nr. 909/2014

Artikel 45 van Verordening (EU) nr. 909/2014 wordt als volgt gewijzigd:

| 1) | lid 1 wordt vervangen door:

  “1.   Een CSD identificeert bronnen van zowel intern als extern operationeel risico en beperkt de impact daarvan tot een minimum door het gebruik van passende IT-instrumenten, -controles en -procedures die worden opgezet en beheerd in overeenstemming met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*3) , alsmede via andere relevante passende instrumenten, controles en procedures voor andere soorten operationele risico’s, inclusief voor alle effectenafwikkelingssystemen die zij exploiteert.


  (*3)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;" |
| --- | --- |

1)

lid 1 wordt vervangen door:

“1.   Een CSD identificeert bronnen van zowel intern als extern operationeel risico en beperkt de impact daarvan tot een minimum door het gebruik van passende IT-instrumenten, -controles en -procedures die worden opgezet en beheerd in overeenstemming met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*3) , alsmede via andere relevante passende instrumenten, controles en procedures voor andere soorten operationele risico’s, inclusief voor alle effectenafwikkelingssystemen die zij exploiteert.

(*3)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*3

| 2) | lid 2 wordt geschrapt; |
| --- | --- |

2)

lid 2 wordt geschrapt;

| 3) | de leden 3 en 4 worden vervangen door:

  “3.   Voor diensten die zij verricht en voor elk effectenafwikkelingssysteem dat zij exploiteert, draagt een CSD zorg voor het vaststellen, implementeren en aanhouden van een adequaat bedrijfscontinuïteitsbeleid en noodherstelplan, met inbegrip van ICT-bedrijfscontinuïteitsbeleid en ICT-respons en -herstelplannen die zijn opgezet overeenkomstig Verordening (EU) 2022/2554 , om te zorgen voor het behoud van haar diensten, het tijdig herstel van de bedrijfsactiviteiten en de vervulling van de verplichtingen van de CSD bij gebeurtenissen die een significant risico op verstoring van transacties inhouden.


  4.   Het in lid 3 bedoelde plan maakt het mogelijk alle transacties en posities van deelnemers op het ogenblik van de verstoring te herstellen, zodat de deelnemers aan een CSD hun bedrijvigheid met zekerheid kunnen voortzetten en de afwikkeling op de geplande datum kunnen uitvoeren, onder meer door ervoor te zorgen dat kritieke IT-systemen na de verstoring weer operationeel worden, zoals bepaald in artikel 12, leden 5 en 7, van Verordening (EU) 2022/2554.”; |
| --- | --- |

3)

de leden 3 en 4 worden vervangen door:

“3.   Voor diensten die zij verricht en voor elk effectenafwikkelingssysteem dat zij exploiteert, draagt een CSD zorg voor het vaststellen, implementeren en aanhouden van een adequaat bedrijfscontinuïteitsbeleid en noodherstelplan, met inbegrip van ICT-bedrijfscontinuïteitsbeleid en ICT-respons en -herstelplannen die zijn opgezet overeenkomstig Verordening (EU) 2022/2554 , om te zorgen voor het behoud van haar diensten, het tijdig herstel van de bedrijfsactiviteiten en de vervulling van de verplichtingen van de CSD bij gebeurtenissen die een significant risico op verstoring van transacties inhouden.

4.   Het in lid 3 bedoelde plan maakt het mogelijk alle transacties en posities van deelnemers op het ogenblik van de verstoring te herstellen, zodat de deelnemers aan een CSD hun bedrijvigheid met zekerheid kunnen voortzetten en de afwikkeling op de geplande datum kunnen uitvoeren, onder meer door ervoor te zorgen dat kritieke IT-systemen na de verstoring weer operationeel worden, zoals bepaald in artikel 12, leden 5 en 7, van Verordening (EU) 2022/2554.”;

| 4) | lid 6 wordt vervangen door:

  “6.   Een CSD is belast met het identificeren, monitoren en beheersen van de risico’s die belangrijke deelnemers aan het effectenafwikkelingssysteem dat zij exploiteert alsook dienstverrichters en aanbieders van hulpprogramma’s en andere CSD’s of andere marktinfrastructuren voor haar bedrijfsactiviteiten kunnen inhouden. Zij verstrekt desgevraagd de bevoegde en de relevante autoriteiten informatie over eventuele geïdentificeerde risico’s. Zij stelt de bevoegde autoriteit en de relevante autoriteiten ook onverwijld in kennis van andere operationele incidenten ten gevolge van deze risico’s dan die welke betrekking hebben op ICT-risico’s.”; |
| --- | --- |

4)

lid 6 wordt vervangen door:

“6.   Een CSD is belast met het identificeren, monitoren en beheersen van de risico’s die belangrijke deelnemers aan het effectenafwikkelingssysteem dat zij exploiteert alsook dienstverrichters en aanbieders van hulpprogramma’s en andere CSD’s of andere marktinfrastructuren voor haar bedrijfsactiviteiten kunnen inhouden. Zij verstrekt desgevraagd de bevoegde en de relevante autoriteiten informatie over eventuele geïdentificeerde risico’s. Zij stelt de bevoegde autoriteit en de relevante autoriteiten ook onverwijld in kennis van andere operationele incidenten ten gevolge van deze risico’s dan die welke betrekking hebben op ICT-risico’s.”;

| 5) | lid 7, eerste alinea, wordt vervangen door:

  “7.   De ESMA ontwikkelt, in nauwe samenwerking met de leden van het ESCB, ontwerpen van technische reguleringsnormen tot nadere bepaling van de in de leden 1 en 6 bedoelde operationele risico’s die geen ICT-risico zijn, en de methoden om die risico’s te testen, aan te pakken of te beperken, met inbegrip van het bedrijfscontinuïteitsbeleid en de noodherstelplannen bedoeld in de leden 3 en 4 en de methoden om die te beoordelen.”. |
| --- | --- |

5)

lid 7, eerste alinea, wordt vervangen door:

“7.   De ESMA ontwikkelt, in nauwe samenwerking met de leden van het ESCB, ontwerpen van technische reguleringsnormen tot nadere bepaling van de in de leden 1 en 6 bedoelde operationele risico’s die geen ICT-risico zijn, en de methoden om die risico’s te testen, aan te pakken of te beperken, met inbegrip van het bedrijfscontinuïteitsbeleid en de noodherstelplannen bedoeld in de leden 3 en 4 en de methoden om die te beoordelen.”.

Artikel 62

Wijzigingen van Verordening (EU) nr. 600/2014

Verordening (EU) nr. 600/2014 wordt als volgt gewijzigd:

| 1) | artikel 27 octies wordt als volgt gewijzigd:






  a) | lid 4 wordt vervangen door:






  “4. | Een APA voldoet aan de vereisten inzake de beveiliging van netwerk- en informatiesystemen van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*4). |
| --- | --- | --- | --- |

1)

artikel 27 octies wordt als volgt gewijzigd:

a)

lid 4 wordt vervangen door:

“4.

Een APA voldoet aan de vereisten inzake de beveiliging van netwerk- en informatiesystemen van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*4).

*4

(*4)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*4

| b) | in lid 8 wordt punt c) vervangen door:






  “c) | de concrete organisatorische vereisten die zijn vastgelegd in de leden 3 en 5.”; |
| --- | --- | --- |

b)

in lid 8 wordt punt c) vervangen door:

“c)

de concrete organisatorische vereisten die zijn vastgelegd in de leden 3 en 5.”;

| 2) | artikel 27 novies wordt als volgt gewijzigd:






  a) | lid 5 wordt vervangen door:

  “5.   Een CTP voldoet aan de vereisten inzake de beveiliging van netwerk- en informatiesystemen van Verordening (EU) 2022/2554.”; |
| --- | --- | --- |

2)

artikel 27 novies wordt als volgt gewijzigd:

a)

lid 5 wordt vervangen door:

“5.   Een CTP voldoet aan de vereisten inzake de beveiliging van netwerk- en informatiesystemen van Verordening (EU) 2022/2554.”;

| b) | in lid 8 wordt punt e) vervangen door:






  “e) | de concrete organisatorische vereisten die zijn vastgelegd in lid 4.”; |
| --- | --- | --- |

b)

in lid 8 wordt punt e) vervangen door:

“e)

de concrete organisatorische vereisten die zijn vastgelegd in lid 4.”;

| 3) | artikel 27 decies wordt als volgt gewijzigd:






  a) | lid 3 wordt vervangen door:

  “3.   Een ARM voldoet aan de vereisten inzake de beveiliging van netwerk- en informatiesystemen van Verordening (EU) 2022/2554 .”; |
| --- | --- | --- |

3)

artikel 27 decies wordt als volgt gewijzigd:

a)

lid 3 wordt vervangen door:

“3.   Een ARM voldoet aan de vereisten inzake de beveiliging van netwerk- en informatiesystemen van Verordening (EU) 2022/2554 .”;

| b) | in lid 5 wordt punt b) vervangen door:






  “b) | de concrete organisatorische vereisten die zijn vastgelegd in de leden 2 en 4.”. |
| --- | --- | --- |

b)

in lid 5 wordt punt b) vervangen door:

“b)

de concrete organisatorische vereisten die zijn vastgelegd in de leden 2 en 4.”.

Artikel 63

Wijziging van Verordening (EU) 2016/1011

Aan artikel 6 van Verordening (EU) 2016/1011 wordt het volgende lid toegevoegd:

| “6. | Een beheerder beschikt voor kritieke benchmarks over een goede administratieve en boekhoudkundige organisatie, adequate interne controleprocedures, effectieve risicobeoordelingsprocedures en effectieve controle- en beveiligingsvoorzieningen voor het beheer van ICT-systemen in overeenstemming met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*5). |
| --- | --- |

“6.

Een beheerder beschikt voor kritieke benchmarks over een goede administratieve en boekhoudkundige organisatie, adequate interne controleprocedures, effectieve risicobeoordelingsprocedures en effectieve controle- en beveiligingsvoorzieningen voor het beheer van ICT-systemen in overeenstemming met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*5).

*5

Artikel 64

Inwerkingtreding en toepassing

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Publicatieblad van de Europese Unie

Zij is van toepassing met ingang van 17 januari 2025.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Straatsburg, 14 december 2022.

Voor het Europees Parlement

De voorzitter

R. METSOLA

Voor de Raad

De voorzitter

M. BEK

---

(1)  
  PB C 343 van 26.8.2021, blz. 1.

1

(2)  
  PB C 155 van 30.4.2021, blz. 38.

2

(3)  Standpunt van het Europees Parlement van 10 november 2022 (nog niet bekendgemaakt in het Publicatieblad) en besluit van de Raad van 28 november 2022.

3

(4)  Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Bankautoriteit), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/78/EG van de Commissie (PB L 331 van 15.12.2010, blz. 12).

4

(5)  Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Autoriteit voor verzekeringen en bedrijfspensioenen), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/79/EG van de Commissie (PB L 331 van 15.12.2010, blz. 48).

5

(6)  Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Autoriteit voor effecten en markten), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/77/EG van de Commissie (PB L 331 van 15.12.2010, blz. 84).

6

(7)  Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PB L 194 van 19.7.2016, blz. 1).

7

(8)  Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (zie bladzijde 80 van dit Publicatieblad).

8

(9)  Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (zie bladzijde 164 van dit Publicatieblad).

9

(10)  Richtlijn (EU) 2016/2341 van het Europees Parlement en de Raad van 14 december 2016 betreffende de werkzaamheden van en het toezicht op instellingen voor bedrijfspensioenvoorziening (IBPV’s) (PB L 354 van 23.12.2016, blz. 37).

10

(11)  Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PB L 151 van 7.6.2019, blz. 15).

11

(12)  Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad van 25 november 2015 betreffende betalingsdiensten in de interne markt, houdende wijziging van de Richtlijnen 2002/65/EG, 2009/110/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010 en houdende intrekking van Richtlijn 2007/64/EG (PB L 337 van 23.12.2015, blz. 35).

12

(13)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

13

(14)  Richtlijn 2009/110/EG van het Europees Parlement en de Raad van 16 september 2009 betreffende de toegang tot, de uitoefening van en het prudentieel toezicht op de werkzaamheden van instellingen voor elektronisch geld, tot wijziging van de Richtlijnen 2005/60/EG en 2006/48/EG en tot intrekking van Richtlijn 2000/46/EG (PB L 267 van 10.10.2009, blz. 7).

14

(15)  Richtlijn 2013/36/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen en beleggingsondernemingen, tot wijziging van Richtlijn 2002/87/EG en tot intrekking van de Richtlijnen 2006/48/EG en 2006/49/EG (PB L 176 van 27.6.2013, blz. 338).

15

(16)  Richtlijn 2011/61/EU van het Europees Parlement en de Raad van 8 juni 2011 inzake beheerders van alternatieve beleggingsinstellingen en tot wijziging van de Richtlijnen 2003/41/EG en 2009/65/EG en van de Verordeningen (EG) nr. 1060/2009 en (EU) nr. 1095/2010 (PB L 174 van 1.7.2011, blz. 1).

16

(17)  Richtlijn 2009/138/EG van het Europees Parlement en de Raad van 25 november 2009 betreffende de toegang tot en uitoefening van het verzekerings- en het herverzekeringsbedrijf (Solvabiliteit II) (PB L 335 van 17.12.2009, blz. 1).

17

(18)  Richtlijn 2014/65/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten voor financiële instrumenten en tot wijziging van Richtlijn 2002/92/EG en Richtlijn 2011/61/EU (PB L 173 van 12.6.2014, blz. 349).

18

(19)  Verordening (EU) nr. 1024/2013 van de Raad van 15 oktober 2013 waarbij aan de Europese Centrale Bank specifieke taken worden opgedragen betreffende het beleid inzake het prudentieel toezicht op kredietinstellingen (PB L 287 van 29.10.2013, blz. 63).

19

(20)  Richtlijn 2014/59/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende de totstandbrenging van een kader voor het herstel en de afwikkeling van kredietinstellingen en beleggingsondernemingen en tot wijziging van Richtlijn 82/891/EEG van de Raad en de Richtlijnen 2001/24/EG, 2002/47/EG, 2004/25/EG, 2005/56/EG, 2007/36/EG, 2011/35/EU, 2012/30/EU en 2013/36/EU en de Verordeningen (EU) nr. 1093/2010 en (EU) nr. 648/2012 van het Europees Parlement en de Raad (PB L 173 van 12.6.2014, blz. 190).

20

(21)  Richtlijn 2013/34/EU van het Europees Parlement en van de Raad van 26 juni 2013 betreffende de jaarlijkse financiële overzichten, geconsolideerde financiële overzichten en aanverwante verslagen van bepaalde ondernemingsvormen, tot wijziging van Richtlijn 2006/43/EG van het Europees Parlement en de Raad en tot intrekking van Richtlijnen 78/660/EEG en 83/349/EEG van de Raad (PB L 182 van 29.6.2013, blz. 19).

21

(22)  
  PB L 123 van 12.5.2016, blz. 1.

22

(23)  Verordening (EG) nr. 1060/2009 van het Europees Parlement en de Raad van 16 september 2009 inzake ratingbureaus (PB L 302 van 17.11.2009, blz. 1).

23

(24)  Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad van 4 juli 2012 betreffende otc-derivaten, centrale tegenpartijen en transactieregisters (PB L 201 van 27.7.2012, blz. 1).

24

(25)  Verordening (EU) nr. 600/2014 van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten in financiële instrumenten en tot wijziging van Verordening (EU) nr. 648/2012 (PB L 173 van 12.6.2014, blz. 84).

25

(26)  Verordening (EU) nr. 909/2014 van het Europees Parlement en de Raad 23 juli 2014 betreffende de verbetering van de effectenafwikkeling in de Europese Unie, betreffende centrale effectenbewaarinstellingen en tot wijziging van Richtlijnen 98/26/EG en 2014/65/EU en Verordening (EU) nr. 236/2012 (PB L 257 van 28.8.2014, blz. 1).

26

(27)  Richtlijn (EU) 2022/2556 van het Europees Parlement en de Raad van 14 december 2022 tot wijziging van de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 wat betreft digitale operationele weerbaarheid voor de financiële sector (zie bladzijde 153 van dit Publicatieblad).

27

(28)  Verordening (EU) 2016/1011 van het Europees Parlement en de Raad van 8 juni 2016 betreffende indices die worden gebruikt als benchmarks voor financiële instrumenten en financiële overeenkomsten of om de prestatie van beleggingsfondsen te meten en tot wijziging van Richtlijnen 2008/48/EG en 2014/17/EU en Verordening (EU) nr. 596/2014 (PB L 171 van 29.6.2016, blz. 1).

28

(29)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).

29

(30)  
  PB C 229 van 15.6.2021, blz. 16.

30

(31)  Richtlijn 2009/65/EG van het Europees Parlement en de Raad van 13 juli 2009 tot coördinatie van de wettelijke en bestuursrechtelijke bepalingen betreffende bepaalde instellingen voor collectieve belegging in effecten (icbe’s) (PB L 302 van 17.11.2009, blz. 32).

31

(32)  Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en tot wijziging van Verordening (EU) nr. 648/2012 (PB L 176 van 27.6.2013, blz. 1).

32

(33)  Verordening (EU) 2019/2033 van het Europees Parlement en de Raad van 27 november 2019 betreffende prudentiële vereisten voor beleggingsondernemingen en tot wijziging van Verordeningen (EU) nr. 1093/2010, (EU) nr. 575/2013, (EU) nr. 600/2014 en (EU) nr. 806/2014 (PB L 314 van 5.12.2019, blz. 1).

33

(34)  Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad van 20 januari 2016 betreffende verzekeringsdistributie (PB L 26 van 2.2.2016, blz. 19).

34

(35)  Verordening (EU) 2020/1503 van het Europees Parlement en de Raad van 7 oktober 2020 betreffende Europese crowdfundingdienstverleners voor bedrijven en tot wijziging van Verordening (EU) 2017/1129 en Richtlijn (EU) 2019/1937 (PB L 347 van 20.10.2020, blz. 1).

35

(36)  Verordening (EU) 2017/2402 van het Europees Parlement en de Raad van 12 december 2017 tot vaststelling van een algemeen kader voor securitisatie en tot instelling van een specifiek kader voor eenvoudige, transparante en gestandaardiseerde securitisatie, en tot wijziging van de Richtlijnen 2009/65/EG, 2009/138/EG en 2011/61/EU en de Verordeningen (EG) nr. 1060/2009 en (EU) nr. 648/2012 (PB L 347 van 28.12.2017, blz. 35).

36

(37)  Verordening (EU) nr. 806/2014 van het Europees Parlement en de Raad van 15 juli 2014 tot vaststelling van eenvormige regels en een eenvormige procedure voor de afwikkeling van kredietinstellingen en bepaalde beleggingsondernemingen in het kader van een gemeenschappelijk afwikkelingsmechanisme en een gemeenschappelijk afwikkelingsfonds en tot wijziging van Verordening (EU) nr. 1093/2010 (PB L 225 van 30.7.2014, blz. 1).

37

(38)  Richtlijn (EU) 2019/2034 van het Europees Parlement en de Raad van 27 november 2019 betreffende het prudentiële toezicht op beleggingsondernemingen en tot wijziging van Richtlijnen 2002/87/EG, 2009/65/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU en 2014/65/EU (PB L 314 van 5.12.2019, blz. 64).

38

(39)  Richtlijn 2006/43/EG van het Europees Parlement en de Raad van 17 mei 2006 betreffende de wettelijke controles van jaarrekeningen en geconsolideerde jaarrekeningen, tot wijziging van de Richtlijnen 78/660/EEG en 83/349/EEG van de Raad en houdende intrekking van Richtlijn 84/253/EEG van de Raad (PB L 157 van 9.6.2006, blz. 87).

39

---

RICHTLIJNEN

| 27.12.2022 | NL | Publicatieblad van de Europese Unie | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

NL

Publicatieblad van de Europese Unie

L 333/80

---

RICHTLIJN (EU) 2022/2555 VAN HET EUROPEES PARLEMENT EN DE RAAD

van 14 december 2022

betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn)

(Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 114,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Gezien het advies van de Europese Centrale Bank (1),

Gezien het advies van het Europees Economisch en Sociaal Comité (2),

Na raadpleging van het Comité van de Regio’s,

Handelend volgens de gewone wetgevingsprocedure (3),

Overwegende hetgeen volgt:

| (1) | Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (4) heeft tot doel capaciteiten op het gebied van cyberbeveiliging in de hele Unie op te bouwen, de bedreigingen voor netwerk- en informatiesystemen die worden gebruikt om essentiële diensten in belangrijke sectoren aan te bieden, te beperken en de continuïteit van dergelijke diensten te waarborgen wanneer zij worden geconfronteerd met incidenten, en aldus bij te dragen tot de veiligheid van de Unie en tot de doeltreffende werking van haar economie en samenleving. |
| --- | --- |

(1)

Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (4) heeft tot doel capaciteiten op het gebied van cyberbeveiliging in de hele Unie op te bouwen, de bedreigingen voor netwerk- en informatiesystemen die worden gebruikt om essentiële diensten in belangrijke sectoren aan te bieden, te beperken en de continuïteit van dergelijke diensten te waarborgen wanneer zij worden geconfronteerd met incidenten, en aldus bij te dragen tot de veiligheid van de Unie en tot de doeltreffende werking van haar economie en samenleving.

| (2) | Sinds de inwerkingtreding van Richtlijn (EU) 2016/1148 is er aanzienlijke vooruitgang geboekt bij het vergroten van het niveau van digitale weerbaarheid van de Unie. Uit de evaluatie van die richtlijn is gebleken dat zij heeft gediend als katalysator voor de institutionele en regelgevende aanpak van cyberbeveiliging in de Unie, waardoor de weg is vrijgemaakt voor een significante verandering in de manier waarop deze wordt benaderd. Die richtlijn heeft gezorgd voor de voltooiing van nationale kaders voor de beveiliging van netwerk- en informatiesystemen door te voorzien in nationale strategieën voor de beveiliging van netwerk- en informatiesystemen en nationale capaciteiten vast te stellen en door regelgevende maatregelen uit te voeren die betrekking hebben op essentiële infrastructuur en entiteiten die door elke lidstaat zijn geïdentificeerd. Richtlijn (EU) 2016/1148 heeft ook bijgedragen aan de samenwerking op Unieniveau door de oprichting van de samenwerkingsgroep en het netwerk van nationale computer security incident response teams (CSIRT’s). Niettegenstaande die resultaten heeft de evaluatie van Richtlijn (EU) 2016/1148 inherente tekortkomingen aan het licht gebracht die verhinderen dat de huidige en opkomende uitdagingen op het gebied van cyberbeveiliging effectief worden aangepakt met die richtlijn. |
| --- | --- |

(2)

Sinds de inwerkingtreding van Richtlijn (EU) 2016/1148 is er aanzienlijke vooruitgang geboekt bij het vergroten van het niveau van digitale weerbaarheid van de Unie. Uit de evaluatie van die richtlijn is gebleken dat zij heeft gediend als katalysator voor de institutionele en regelgevende aanpak van cyberbeveiliging in de Unie, waardoor de weg is vrijgemaakt voor een significante verandering in de manier waarop deze wordt benaderd. Die richtlijn heeft gezorgd voor de voltooiing van nationale kaders voor de beveiliging van netwerk- en informatiesystemen door te voorzien in nationale strategieën voor de beveiliging van netwerk- en informatiesystemen en nationale capaciteiten vast te stellen en door regelgevende maatregelen uit te voeren die betrekking hebben op essentiële infrastructuur en entiteiten die door elke lidstaat zijn geïdentificeerd. Richtlijn (EU) 2016/1148 heeft ook bijgedragen aan de samenwerking op Unieniveau door de oprichting van de samenwerkingsgroep en het netwerk van nationale computer security incident response teams (CSIRT’s). Niettegenstaande die resultaten heeft de evaluatie van Richtlijn (EU) 2016/1148 inherente tekortkomingen aan het licht gebracht die verhinderen dat de huidige en opkomende uitdagingen op het gebied van cyberbeveiliging effectief worden aangepakt met die richtlijn.

| (3) | Netwerk- en informatiesystemen hebben zich ontwikkeld tot een centraal kenmerk van het dagelijks leven door de snelle digitale transformatie en de onderlinge verbondenheid van de samenleving, ook bij grensoverschrijdende uitwisselingen. Die ontwikkeling heeft geleid tot een uitbreiding van het cyberdreigingslandschap, wat nieuwe uitdagingen met zich meebrengt, die in alle lidstaten een aangepaste, gecoördineerde en innovatieve respons vereisen. Het aantal, de omvang, de complexiteit, de frequentie en de impact van incidenten nemen toe en vormen een grote bedreiging voor het functioneren van netwerk- en informatiesystemen. Daardoor kunnen incidenten de uitoefening van economische activiteiten in de interne markt belemmeren, financieel verlies veroorzaken, het vertrouwen van de gebruikers ondermijnen en grote schade toebrengen aan de economie en de samenleving van de Unie. Voor de goede werking van de interne markt zijn paraatheid en doeltreffendheid op het gebied van cyberbeveiliging daarom nu meer dan ooit van essentieel belang. Bovendien is cyberbeveiliging voor veel kritieke sectoren van essentieel belang om de digitale transformatie met succes te kunnen doorvoeren en de economische, sociale en duurzame voordelen van digitalisering ten volle te benutten. |
| --- | --- |

(3)

Netwerk- en informatiesystemen hebben zich ontwikkeld tot een centraal kenmerk van het dagelijks leven door de snelle digitale transformatie en de onderlinge verbondenheid van de samenleving, ook bij grensoverschrijdende uitwisselingen. Die ontwikkeling heeft geleid tot een uitbreiding van het cyberdreigingslandschap, wat nieuwe uitdagingen met zich meebrengt, die in alle lidstaten een aangepaste, gecoördineerde en innovatieve respons vereisen. Het aantal, de omvang, de complexiteit, de frequentie en de impact van incidenten nemen toe en vormen een grote bedreiging voor het functioneren van netwerk- en informatiesystemen. Daardoor kunnen incidenten de uitoefening van economische activiteiten in de interne markt belemmeren, financieel verlies veroorzaken, het vertrouwen van de gebruikers ondermijnen en grote schade toebrengen aan de economie en de samenleving van de Unie. Voor de goede werking van de interne markt zijn paraatheid en doeltreffendheid op het gebied van cyberbeveiliging daarom nu meer dan ooit van essentieel belang. Bovendien is cyberbeveiliging voor veel kritieke sectoren van essentieel belang om de digitale transformatie met succes te kunnen doorvoeren en de economische, sociale en duurzame voordelen van digitalisering ten volle te benutten.

| (4) | De rechtsgrondslag voor Richtlijn (EU) 2016/1148 was artikel 114 van het Verdrag betreffende de werking van de Europese Unie (VWEU), dat tot doel heeft de interne markt tot stand te brengen en te laten functioneren door de maatregelen voor de onderlinge aanpassing van de nationale regels te versterken. De cyberbeveiligingseisen die worden gesteld aan entiteiten die diensten of economisch belangrijke activiteiten verrichten, verschillen aanzienlijk van lidstaat tot lidstaat wat betreft het soort eisen, de mate van gedetailleerdheid en de wijze van toezicht. Die verschillen brengen extra kosten met zich mee en leveren problemen op voor entiteiten die goederen of diensten aanbieden over de grenzen heen. De eisen die door de ene lidstaat worden gesteld en die verschillen van of zelfs in strijd zijn met de door een andere lidstaat gestelde eisen kunnen een aanzienlijke invloed hebben op deze grensoverschrijdende activiteiten. Bovendien zal de mogelijkheid van een ontoereikend ontwerp of een ontoereikende uitvoering van de cyberbeveiligingseisen in een lidstaat waarschijnlijk gevolgen hebben op het niveau van de cyberbeveiliging in andere lidstaten, met name gezien de intensiteit van grensoverschrijdende uitwisselingen. Bij de evaluatie van Richtlijn (EU) 2016/1148 is gebleken dat de lidstaten de richtlijn op zeer uiteenlopende wijze uitvoeren, ook wat het toepassingsgebied betreft, waarvan de afbakening grotendeels aan het oordeel van de lidstaten is overgelaten. Richtlijn (EU) 2016/1148 bood de lidstaten ook een zeer ruime discretionaire bevoegdheid bij de uitvoering van de daarin vastgelegde verplichtingen inzake beveiliging en incidentenmelding. Die verplichtingen zijn daarom op nationaal niveau op aanzienlijk verschillende wijzen uitgevoerd. Er bestaan soortgelijke verschillen in de uitvoering van de bepalingen van Richtlijn (EU) 2016/1148 inzake toezicht en handhaving. |
| --- | --- |

(4)

De rechtsgrondslag voor Richtlijn (EU) 2016/1148 was artikel 114 van het Verdrag betreffende de werking van de Europese Unie (VWEU), dat tot doel heeft de interne markt tot stand te brengen en te laten functioneren door de maatregelen voor de onderlinge aanpassing van de nationale regels te versterken. De cyberbeveiligingseisen die worden gesteld aan entiteiten die diensten of economisch belangrijke activiteiten verrichten, verschillen aanzienlijk van lidstaat tot lidstaat wat betreft het soort eisen, de mate van gedetailleerdheid en de wijze van toezicht. Die verschillen brengen extra kosten met zich mee en leveren problemen op voor entiteiten die goederen of diensten aanbieden over de grenzen heen. De eisen die door de ene lidstaat worden gesteld en die verschillen van of zelfs in strijd zijn met de door een andere lidstaat gestelde eisen kunnen een aanzienlijke invloed hebben op deze grensoverschrijdende activiteiten. Bovendien zal de mogelijkheid van een ontoereikend ontwerp of een ontoereikende uitvoering van de cyberbeveiligingseisen in een lidstaat waarschijnlijk gevolgen hebben op het niveau van de cyberbeveiliging in andere lidstaten, met name gezien de intensiteit van grensoverschrijdende uitwisselingen. Bij de evaluatie van Richtlijn (EU) 2016/1148 is gebleken dat de lidstaten de richtlijn op zeer uiteenlopende wijze uitvoeren, ook wat het toepassingsgebied betreft, waarvan de afbakening grotendeels aan het oordeel van de lidstaten is overgelaten. Richtlijn (EU) 2016/1148 bood de lidstaten ook een zeer ruime discretionaire bevoegdheid bij de uitvoering van de daarin vastgelegde verplichtingen inzake beveiliging en incidentenmelding. Die verplichtingen zijn daarom op nationaal niveau op aanzienlijk verschillende wijzen uitgevoerd. Er bestaan soortgelijke verschillen in de uitvoering van de bepalingen van Richtlijn (EU) 2016/1148 inzake toezicht en handhaving.

| (5) | Al deze verschillen leiden tot een versnippering van de interne markt en kunnen een nadelig effect hebben op de werking ervan, wat met name gevolgen heeft voor de grensoverschrijdende dienstverlening en het niveau van de digitale weerbaarheid als gevolg van de toepassing van diverse maatregelen. Uiteindelijk kunnen die verschillen sommige lidstaten uiteindelijk meer kwetsbaar maken voor cyberdreigingen, met mogelijke overloopeffecten in de hele Unie. Deze richtlijn heeft tot doel dergelijke grote verschillen tussen de lidstaten weg te werken, met name door minimumvoorschriften vast te stellen voor de werking van een gecoördineerd regelgevingskader, door mechanismen vast te stellen voor een doeltreffende samenwerking tussen de verantwoordelijke autoriteiten in elke lidstaat, door de lijst van sectoren en activiteiten waarvoor cyberbeveiligingsverplichtingen gelden bij te werken en door te voorzien in doeltreffende voorzieningen en handhavingsmaatregelen die essentieel zijn voor de doeltreffende handhaving van deze verplichtingen. Daarom moet Richtlijn (EU) 2016/1148 worden ingetrokken en door deze richtlijn worden vervangen. |
| --- | --- |

(5)

Al deze verschillen leiden tot een versnippering van de interne markt en kunnen een nadelig effect hebben op de werking ervan, wat met name gevolgen heeft voor de grensoverschrijdende dienstverlening en het niveau van de digitale weerbaarheid als gevolg van de toepassing van diverse maatregelen. Uiteindelijk kunnen die verschillen sommige lidstaten uiteindelijk meer kwetsbaar maken voor cyberdreigingen, met mogelijke overloopeffecten in de hele Unie. Deze richtlijn heeft tot doel dergelijke grote verschillen tussen de lidstaten weg te werken, met name door minimumvoorschriften vast te stellen voor de werking van een gecoördineerd regelgevingskader, door mechanismen vast te stellen voor een doeltreffende samenwerking tussen de verantwoordelijke autoriteiten in elke lidstaat, door de lijst van sectoren en activiteiten waarvoor cyberbeveiligingsverplichtingen gelden bij te werken en door te voorzien in doeltreffende voorzieningen en handhavingsmaatregelen die essentieel zijn voor de doeltreffende handhaving van deze verplichtingen. Daarom moet Richtlijn (EU) 2016/1148 worden ingetrokken en door deze richtlijn worden vervangen.

| (6) | Met de intrekking van Richtlijn (EU) 2016/1148 moet het toepassingsgebied per sector worden uitgebreid tot een groter deel van de economie om de sectoren en diensten die van vitaal belang zijn voor belangrijke maatschappelijke en economische activiteiten in de interne markt, volledig te bestrijken. Meer bepaald heeft deze richtlijn tot doel de tekortkomingen te verhelpen van het onderscheid tussen aanbieders van essentiële diensten en digitaledienstverleners, dat achterhaald is gebleken, aangezien het niet het belang van de sectoren of diensten voor de maatschappelijke en economische activiteiten in de interne markt weerspiegelt. |
| --- | --- |

(6)

Met de intrekking van Richtlijn (EU) 2016/1148 moet het toepassingsgebied per sector worden uitgebreid tot een groter deel van de economie om de sectoren en diensten die van vitaal belang zijn voor belangrijke maatschappelijke en economische activiteiten in de interne markt, volledig te bestrijken. Meer bepaald heeft deze richtlijn tot doel de tekortkomingen te verhelpen van het onderscheid tussen aanbieders van essentiële diensten en digitaledienstverleners, dat achterhaald is gebleken, aangezien het niet het belang van de sectoren of diensten voor de maatschappelijke en economische activiteiten in de interne markt weerspiegelt.

| (7) | Op grond van Richtlijn (EU) 2016/1148 waren de lidstaten verantwoordelijk voor het identificeren van de entiteiten die voldeden aan de criteria om als aanbieders van essentiële diensten te worden aangemerkt. Om de grote verschillen tussen de lidstaten in dat opzicht weg te werken en rechtszekerheid te bieden met betrekking tot de maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen voor alle relevante entiteiten, moet er een uniform criterium worden vastgesteld dat bepaalt welke entiteiten binnen het toepassingsgebied van deze richtlijn vallen. Dit criterium moet bestaan uit de toepassing van een “size-cap”-regel, waarbij alle entiteiten die worden aangemerkt als middelgrote ondernemingen uit hoofde van artikel 2, lid 1, van de bijlage bij Aanbeveling 2003/361/EG van de Commissie (5), of die de plafonds voor middelgrote ondernemingen als bepaald in lid 1 van dat artikel overschrijden, en die actief zijn in de sectoren en de soorten diensten of de onder deze richtlijn vallende activiteiten verrichten, binnen het toepassingsgebied van deze richtlijn vallen. De lidstaten moeten er ook voor zorgen dat bepaalde kleine ondernemingen en micro-ondernemingen, als gedefinieerd in artikel 2, leden 2 en 3, van die bijlage, die voldoen aan specifieke criteria welke wijzen op een sleutelrol voor de samenleving, de economie of bepaalde sectoren of soorten diensten, binnen het toepassingsgebied van deze richtlijn vallen. |
| --- | --- |

(7)

Op grond van Richtlijn (EU) 2016/1148 waren de lidstaten verantwoordelijk voor het identificeren van de entiteiten die voldeden aan de criteria om als aanbieders van essentiële diensten te worden aangemerkt. Om de grote verschillen tussen de lidstaten in dat opzicht weg te werken en rechtszekerheid te bieden met betrekking tot de maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen voor alle relevante entiteiten, moet er een uniform criterium worden vastgesteld dat bepaalt welke entiteiten binnen het toepassingsgebied van deze richtlijn vallen. Dit criterium moet bestaan uit de toepassing van een “size-cap”-regel, waarbij alle entiteiten die worden aangemerkt als middelgrote ondernemingen uit hoofde van artikel 2, lid 1, van de bijlage bij Aanbeveling 2003/361/EG van de Commissie (5), of die de plafonds voor middelgrote ondernemingen als bepaald in lid 1 van dat artikel overschrijden, en die actief zijn in de sectoren en de soorten diensten of de onder deze richtlijn vallende activiteiten verrichten, binnen het toepassingsgebied van deze richtlijn vallen. De lidstaten moeten er ook voor zorgen dat bepaalde kleine ondernemingen en micro-ondernemingen, als gedefinieerd in artikel 2, leden 2 en 3, van die bijlage, die voldoen aan specifieke criteria welke wijzen op een sleutelrol voor de samenleving, de economie of bepaalde sectoren of soorten diensten, binnen het toepassingsgebied van deze richtlijn vallen.

| (8) | Overheidsinstanties moeten worden uitgesloten van het toepassingsgebied van deze richtlijn indien de activiteiten van die entiteiten hoofdzakelijk worden uitgevoerd op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten. Overheidsinstanties waarvan de activiteiten slechts zijdelings verband houden met die gebieden mogen echter niet worden uitgesloten van het toepassingsgebied van deze richtlijn. Voor de toepassing van deze richtlijn worden entiteiten met regelgevende bevoegdheden niet geacht activiteiten op het gebied van rechtshandhaving uit te voeren en zij worden dan ook op die grond niet uitgesloten van het toepassingsgebied van deze richtlijn. Overheidsinstanties die gezamenlijk met een derde land zijn opgericht bij een internationale overeenkomst, worden uitgesloten van het toepassingsgebied van deze richtlijn. Deze richtlijn is niet van toepassing op diplomatieke en consulaire missies van de lidstaten in derde landen of op hun netwerk- en informatiesystemen, voor zover deze systemen zich in de lokalen van de missie bevinden of voor gebruikers in een derde land worden gebruikt. |
| --- | --- |

(8)

Overheidsinstanties moeten worden uitgesloten van het toepassingsgebied van deze richtlijn indien de activiteiten van die entiteiten hoofdzakelijk worden uitgevoerd op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten. Overheidsinstanties waarvan de activiteiten slechts zijdelings verband houden met die gebieden mogen echter niet worden uitgesloten van het toepassingsgebied van deze richtlijn. Voor de toepassing van deze richtlijn worden entiteiten met regelgevende bevoegdheden niet geacht activiteiten op het gebied van rechtshandhaving uit te voeren en zij worden dan ook op die grond niet uitgesloten van het toepassingsgebied van deze richtlijn. Overheidsinstanties die gezamenlijk met een derde land zijn opgericht bij een internationale overeenkomst, worden uitgesloten van het toepassingsgebied van deze richtlijn. Deze richtlijn is niet van toepassing op diplomatieke en consulaire missies van de lidstaten in derde landen of op hun netwerk- en informatiesystemen, voor zover deze systemen zich in de lokalen van de missie bevinden of voor gebruikers in een derde land worden gebruikt.

| (9) | De lidstaten moeten de noodzakelijke maatregelen kunnen nemen ter bescherming van de wezenlijke belangen van nationale veiligheid, ter vrijwaring van de openbare orde en de openbare veiligheid en om de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten mogelijk te maken. Daartoe moeten de lidstaten specifieke entiteiten die activiteiten verrichten op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, kunnen vrijstellen van bepaalde in deze richtlijn vastgelegde verplichtingen met betrekking tot die activiteiten. Wanneer een entiteit uitsluitend diensten verleent aan een overheidsinstantie die is uitgesloten van het toepassingsgebied van deze richtlijn, moeten de lidstaten die entiteit kunnen vrijstellen van bepaalde in deze richtlijn vastgelegde verplichtingen met betrekking tot die diensten. Voorts mag geen enkele lidstaat worden verplicht inlichtingen te verstrekken waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van zijn nationale veiligheid, openbare veiligheid of defensie. Er moet in die context rekening worden gehouden met Unieregels of nationale regels voor de bescherming van gerubriceerde informatie, geheimhoudingsovereenkomsten en informele geheimhoudingsovereenkomsten, zoals het verkeerslichtprotocol. Het verkeerslichtprotocol moet worden opgevat als een middel om informatie te verstrekken over eventuele beperkingen met betrekking tot de verdere verspreiding van informatie. Het wordt gebruikt in bijna alle CSIRT’s en in sommige centra voor informatie-uitwisseling en -analyse. |
| --- | --- |

(9)

De lidstaten moeten de noodzakelijke maatregelen kunnen nemen ter bescherming van de wezenlijke belangen van nationale veiligheid, ter vrijwaring van de openbare orde en de openbare veiligheid en om de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten mogelijk te maken. Daartoe moeten de lidstaten specifieke entiteiten die activiteiten verrichten op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, kunnen vrijstellen van bepaalde in deze richtlijn vastgelegde verplichtingen met betrekking tot die activiteiten. Wanneer een entiteit uitsluitend diensten verleent aan een overheidsinstantie die is uitgesloten van het toepassingsgebied van deze richtlijn, moeten de lidstaten die entiteit kunnen vrijstellen van bepaalde in deze richtlijn vastgelegde verplichtingen met betrekking tot die diensten. Voorts mag geen enkele lidstaat worden verplicht inlichtingen te verstrekken waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van zijn nationale veiligheid, openbare veiligheid of defensie. Er moet in die context rekening worden gehouden met Unieregels of nationale regels voor de bescherming van gerubriceerde informatie, geheimhoudingsovereenkomsten en informele geheimhoudingsovereenkomsten, zoals het verkeerslichtprotocol. Het verkeerslichtprotocol moet worden opgevat als een middel om informatie te verstrekken over eventuele beperkingen met betrekking tot de verdere verspreiding van informatie. Het wordt gebruikt in bijna alle CSIRT’s en in sommige centra voor informatie-uitwisseling en -analyse.

| (10) | Hoewel deze richtlijn van toepassing is op entiteiten die activiteiten verrichten op het gebied van de elektriciteitsproductie van kerncentrales, kunnen sommige van deze activiteiten verband houden met de nationale veiligheid. Indien dat het geval is, moet een lidstaat, overeenkomstig de Verdragen, zijn verantwoordelijkheid kunnen uitoefenen voor het waarborgen van de nationale veiligheid met betrekking tot die activiteiten, met inbegrip van activiteiten in de nucleaire waardeketen. |
| --- | --- |

(10)

Hoewel deze richtlijn van toepassing is op entiteiten die activiteiten verrichten op het gebied van de elektriciteitsproductie van kerncentrales, kunnen sommige van deze activiteiten verband houden met de nationale veiligheid. Indien dat het geval is, moet een lidstaat, overeenkomstig de Verdragen, zijn verantwoordelijkheid kunnen uitoefenen voor het waarborgen van de nationale veiligheid met betrekking tot die activiteiten, met inbegrip van activiteiten in de nucleaire waardeketen.

| (11) | Sommige entiteiten verrichten activiteiten op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, en verlenen ook vertrouwensdiensten. Verleners van vertrouwensdiensten die binnen het toepassingsgebied van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad (6) vallen, moeten binnen het toepassingsgebied van deze richtlijn vallen om hetzelfde niveau van beveiligingseisen en toezicht te waarborgen als het niveau dat in die verordening was vastgesteld ten aanzien van verleners van vertrouwensdiensten. Overeenkomstig de uitsluiting van bepaalde specifieke diensten van Verordening (EU) nr. 910/2014 mag deze richtlijn niet van toepassing zijn op de verlening van vertrouwensdiensten die uitsluitend worden gebruikt binnen systemen die gesloten zijn als gevolg van nationaal recht of overeenkomsten tussen een bepaalde groep deelnemers. |
| --- | --- |

(11)

Sommige entiteiten verrichten activiteiten op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, en verlenen ook vertrouwensdiensten. Verleners van vertrouwensdiensten die binnen het toepassingsgebied van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad (6) vallen, moeten binnen het toepassingsgebied van deze richtlijn vallen om hetzelfde niveau van beveiligingseisen en toezicht te waarborgen als het niveau dat in die verordening was vastgesteld ten aanzien van verleners van vertrouwensdiensten. Overeenkomstig de uitsluiting van bepaalde specifieke diensten van Verordening (EU) nr. 910/2014 mag deze richtlijn niet van toepassing zijn op de verlening van vertrouwensdiensten die uitsluitend worden gebruikt binnen systemen die gesloten zijn als gevolg van nationaal recht of overeenkomsten tussen een bepaalde groep deelnemers.

| (12) | Verleners van postdiensten zoals gedefinieerd in Richtlijn 97/67/EG van het Europees Parlement en de Raad (7), met inbegrip van verleners van koeriersdiensten, moeten onder deze richtlijn vallen indien zij ten minste een van de stappen in de postbestelketen verzorgen, met name het ophalen, sorteren, vervoeren en bestellen van postzendingen, met inbegrip van de ophaaldiensten, waarbij rekening moet worden gehouden met de mate waarin zij afhankelijk zijn van netwerk- en informatiesystemen. Vervoersdiensten die niet in samenhang met een van die stappen worden ondernomen, mogen niet tot de postdiensten worden gerekend. |
| --- | --- |

(12)

Verleners van postdiensten zoals gedefinieerd in Richtlijn 97/67/EG van het Europees Parlement en de Raad (7), met inbegrip van verleners van koeriersdiensten, moeten onder deze richtlijn vallen indien zij ten minste een van de stappen in de postbestelketen verzorgen, met name het ophalen, sorteren, vervoeren en bestellen van postzendingen, met inbegrip van de ophaaldiensten, waarbij rekening moet worden gehouden met de mate waarin zij afhankelijk zijn van netwerk- en informatiesystemen. Vervoersdiensten die niet in samenhang met een van die stappen worden ondernomen, mogen niet tot de postdiensten worden gerekend.

| (13) | Aangezien de cyberdreigingen steeds intenser en geavanceerder worden, moeten de lidstaten trachten te waarborgen dat entiteiten die zijn uitgesloten van het toepassingsgebied van deze richtlijn, een hoog cyberbeveiligingsniveau bereiken en moeten zij de uitvoering ondersteunen van gelijkwaardige maatregelen voor het beheer van cyberbeveiligingsrisico’s die het gevoelige karakter van die entiteiten weerspiegelen. |
| --- | --- |

(13)

Aangezien de cyberdreigingen steeds intenser en geavanceerder worden, moeten de lidstaten trachten te waarborgen dat entiteiten die zijn uitgesloten van het toepassingsgebied van deze richtlijn, een hoog cyberbeveiligingsniveau bereiken en moeten zij de uitvoering ondersteunen van gelijkwaardige maatregelen voor het beheer van cyberbeveiligingsrisico’s die het gevoelige karakter van die entiteiten weerspiegelen.

| (14) | Het Uniegegevensbeschermingsrecht en het Unieprivacyrecht is van toepassing op elke verwerking van persoonsgegevens uit hoofde van deze richtlijn. Meer bepaald doet deze richtlijn geen afbreuk aan Verordening (EU) 2016/679 van het Europees Parlement en de Raad (8) en Richtlijn 2002/58/EG van het Europees Parlement en de Raad (9). Deze richtlijn moet derhalve onder meer de taken en bevoegdheden onverlet laten van de autoriteiten die bevoegd zijn om toezicht te houden op de naleving van het toepasselijke Uniegegevensbeschermingsrecht en het Unieprivacyrecht. |
| --- | --- |

(14)

Het Uniegegevensbeschermingsrecht en het Unieprivacyrecht is van toepassing op elke verwerking van persoonsgegevens uit hoofde van deze richtlijn. Meer bepaald doet deze richtlijn geen afbreuk aan Verordening (EU) 2016/679 van het Europees Parlement en de Raad (8) en Richtlijn 2002/58/EG van het Europees Parlement en de Raad (9). Deze richtlijn moet derhalve onder meer de taken en bevoegdheden onverlet laten van de autoriteiten die bevoegd zijn om toezicht te houden op de naleving van het toepasselijke Uniegegevensbeschermingsrecht en het Unieprivacyrecht.

| (15) | Entiteiten die voor de naleving van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen binnen het toepassingsgebied van deze richtlijn vallen, moeten worden ingedeeld in twee categorieën, essentiële entiteiten en belangrijke entiteiten, naargelang de mate waarin zij kritiek zijn door hun sector of het soort door hen verleende diensten, alsook hun omvang. In dat verband moet, in voorkomend geval, terdege rekening worden gehouden met relevante sectorale risicobeoordelingen of richtsnoeren van de bevoegde autoriteiten. De toezichts- en handhavingsregelingen voor die twee categorieën entiteiten moeten worden gedifferentieerd om te zorgen voor een billijk evenwicht tussen op risico gebaseerde eisen en verplichtingen enerzijds en de administratieve lasten die voortvloeien uit het toezicht op de naleving anderzijds. |
| --- | --- |

(15)

Entiteiten die voor de naleving van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen binnen het toepassingsgebied van deze richtlijn vallen, moeten worden ingedeeld in twee categorieën, essentiële entiteiten en belangrijke entiteiten, naargelang de mate waarin zij kritiek zijn door hun sector of het soort door hen verleende diensten, alsook hun omvang. In dat verband moet, in voorkomend geval, terdege rekening worden gehouden met relevante sectorale risicobeoordelingen of richtsnoeren van de bevoegde autoriteiten. De toezichts- en handhavingsregelingen voor die twee categorieën entiteiten moeten worden gedifferentieerd om te zorgen voor een billijk evenwicht tussen op risico gebaseerde eisen en verplichtingen enerzijds en de administratieve lasten die voortvloeien uit het toezicht op de naleving anderzijds.

| (16) | Om te voorkomen dat entiteiten met partnerondernemingen of verbonden ondernemingen als essentiële of belangrijke entiteiten worden beschouwd wanneer dit onevenredig zou zijn, kunnen de lidstaten bij de toepassing van artikel 6, lid 2, van de bijlage bij Aanbeveling 2003/361/EG rekening houden met de mate van onafhankelijkheid welke die entiteiten ten opzichte van hun partnerondernemingen of verbonden ondernemingen genieten. Meer bepaald kunnen de lidstaten rekening houden met het feit dat een entiteit onafhankelijk is van haar partnerondernemingen of verbonden ondernemingen wat de netwerk- en informatiesystemen betreft waarvan die entiteit gebruikmaakt bij het verlenen van haar diensten en wat de diensten betreft die de entiteit verleent. Op basis daarvan kunnen de lidstaten een dergelijke entiteit in voorkomend geval beschouwen als een entiteit die niet wordt aangemerkt als een middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG, noch de plafonds voor een middelgrote onderneming als bepaald in lid 1 van dat artikel overschrijdt, indien die entiteit, rekening houdend met de mate van onafhankelijkheid die zij geniet, niet als middelgrote onderneming zou worden aangemerkt of niet zou worden geacht die plafonds te overschrijden ingeval alleen rekening zou worden gehouden met haar eigen gegevens. Dit doet geen afbreuk aan de in deze richtlijn vastgelegde verplichtingen van partnerondernemingen en verbonden ondernemingen die binnen het toepassingsgebied van deze richtlijn vallen. |
| --- | --- |

(16)

Om te voorkomen dat entiteiten met partnerondernemingen of verbonden ondernemingen als essentiële of belangrijke entiteiten worden beschouwd wanneer dit onevenredig zou zijn, kunnen de lidstaten bij de toepassing van artikel 6, lid 2, van de bijlage bij Aanbeveling 2003/361/EG rekening houden met de mate van onafhankelijkheid welke die entiteiten ten opzichte van hun partnerondernemingen of verbonden ondernemingen genieten. Meer bepaald kunnen de lidstaten rekening houden met het feit dat een entiteit onafhankelijk is van haar partnerondernemingen of verbonden ondernemingen wat de netwerk- en informatiesystemen betreft waarvan die entiteit gebruikmaakt bij het verlenen van haar diensten en wat de diensten betreft die de entiteit verleent. Op basis daarvan kunnen de lidstaten een dergelijke entiteit in voorkomend geval beschouwen als een entiteit die niet wordt aangemerkt als een middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG, noch de plafonds voor een middelgrote onderneming als bepaald in lid 1 van dat artikel overschrijdt, indien die entiteit, rekening houdend met de mate van onafhankelijkheid die zij geniet, niet als middelgrote onderneming zou worden aangemerkt of niet zou worden geacht die plafonds te overschrijden ingeval alleen rekening zou worden gehouden met haar eigen gegevens. Dit doet geen afbreuk aan de in deze richtlijn vastgelegde verplichtingen van partnerondernemingen en verbonden ondernemingen die binnen het toepassingsgebied van deze richtlijn vallen.

| (17) | De lidstaten moeten kunnen besluiten dat entiteiten die vóór de inwerkingtreding van deze richtlijn overeenkomstig Richtlijn (EU) 2016/1148 als aanbieders van essentiële diensten zijn geïdentificeerd, als essentiële entiteiten moeten worden beschouwd. |
| --- | --- |

(17)

De lidstaten moeten kunnen besluiten dat entiteiten die vóór de inwerkingtreding van deze richtlijn overeenkomstig Richtlijn (EU) 2016/1148 als aanbieders van essentiële diensten zijn geïdentificeerd, als essentiële entiteiten moeten worden beschouwd.

| (18) | Om te zorgen voor een duidelijk overzicht van de binnen het toepassingsgebied van deze richtlijn vallende entiteiten, moeten de lidstaten een lijst opstellen van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Daartoe moeten de lidstaten van entiteiten verlangen dat zij de bevoegde autoriteiten ten minste de volgende informatie verstrekken: de naam, het adres en de actuele contactgegevens, waaronder de e-mailadressen, IP-bereiken en telefoonnummers van de entiteit, evenals, in voorkomend geval, de relevante sectoren en subsectoren als bedoeld in de bijlagen, alsmede, in voorkomend geval, een lijst van de lidstaten waar zij binnen het toepassingsgebied van deze richtlijn vallende diensten verlenen. Daartoe moet de Commissie, met hulp van het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), onverwijld richtsnoeren en modellen bepalen met betrekking tot de verplichting om informatie in te dienen. Om het opstellen en bijwerken van de lijst van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen te vergemakkelijken, moeten de lidstaten nationale mechanismen kunnen instellen voor entiteiten om zich te registreren. Indien er registers bestaan op nationaal niveau, kunnen de lidstaten besluiten over passende mechanismen voor de identificatie van binnen het toepassingsgebied van deze richtlijn vallende entiteiten. |
| --- | --- |

(18)

Om te zorgen voor een duidelijk overzicht van de binnen het toepassingsgebied van deze richtlijn vallende entiteiten, moeten de lidstaten een lijst opstellen van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Daartoe moeten de lidstaten van entiteiten verlangen dat zij de bevoegde autoriteiten ten minste de volgende informatie verstrekken: de naam, het adres en de actuele contactgegevens, waaronder de e-mailadressen, IP-bereiken en telefoonnummers van de entiteit, evenals, in voorkomend geval, de relevante sectoren en subsectoren als bedoeld in de bijlagen, alsmede, in voorkomend geval, een lijst van de lidstaten waar zij binnen het toepassingsgebied van deze richtlijn vallende diensten verlenen. Daartoe moet de Commissie, met hulp van het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), onverwijld richtsnoeren en modellen bepalen met betrekking tot de verplichting om informatie in te dienen. Om het opstellen en bijwerken van de lijst van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen te vergemakkelijken, moeten de lidstaten nationale mechanismen kunnen instellen voor entiteiten om zich te registreren. Indien er registers bestaan op nationaal niveau, kunnen de lidstaten besluiten over passende mechanismen voor de identificatie van binnen het toepassingsgebied van deze richtlijn vallende entiteiten.

| (19) | De lidstaten moeten de verantwoordelijkheid dragen om bij de Commissie ten minste het aantal essentiële en belangrijke entiteiten per sector en subsector als bedoeld in de bijlagen in te dienen, evenals relevante informatie over het aantal geïdentificeerde entiteiten, alsook de in deze richtlijn vastgestelde bepaling op basis waarvan zij zijn geïdentificeerd, en het soort diensten dat zij verrichten. De lidstaten worden aangemoedigd om informatie over essentiële en belangrijke entiteiten uit te wisselen met de Commissie evenals, in het geval van een grootschalig cyberbeveiligingsincident, relevante informatie zoals de naam van de betrokken entiteit. |
| --- | --- |

(19)

De lidstaten moeten de verantwoordelijkheid dragen om bij de Commissie ten minste het aantal essentiële en belangrijke entiteiten per sector en subsector als bedoeld in de bijlagen in te dienen, evenals relevante informatie over het aantal geïdentificeerde entiteiten, alsook de in deze richtlijn vastgestelde bepaling op basis waarvan zij zijn geïdentificeerd, en het soort diensten dat zij verrichten. De lidstaten worden aangemoedigd om informatie over essentiële en belangrijke entiteiten uit te wisselen met de Commissie evenals, in het geval van een grootschalig cyberbeveiligingsincident, relevante informatie zoals de naam van de betrokken entiteit.

| (20) | De Commissie moet, in samenwerking met de samenwerkingsgroep en na raadpleging van de relevante belanghebbenden, richtsnoeren bepalen voor de toepassing van de criteria die gelden voor micro-ondernemingen en kleine ondernemingen om te beoordelen of zij binnen het toepassingsgebied van deze richtlijn vallen. De Commissie moet er tevens op toezien dat er passende begeleiding wordt geboden aan micro-ondernemingen en kleine ondernemingen die binnen het toepassingsgebied van deze richtlijn vallen. De Commissie moet in dit verband, met hulp van de lidstaten, informatie ter beschikking stellen aan micro-ondernemingen en kleine ondernemingen. |
| --- | --- |

(20)

De Commissie moet, in samenwerking met de samenwerkingsgroep en na raadpleging van de relevante belanghebbenden, richtsnoeren bepalen voor de toepassing van de criteria die gelden voor micro-ondernemingen en kleine ondernemingen om te beoordelen of zij binnen het toepassingsgebied van deze richtlijn vallen. De Commissie moet er tevens op toezien dat er passende begeleiding wordt geboden aan micro-ondernemingen en kleine ondernemingen die binnen het toepassingsgebied van deze richtlijn vallen. De Commissie moet in dit verband, met hulp van de lidstaten, informatie ter beschikking stellen aan micro-ondernemingen en kleine ondernemingen.

| (21) | De Commissie kan richtsnoeren verstrekken om de lidstaten bij te staan bij de uitvoering van de bepalingen van deze richtlijn inzake het toepassingsgebied en bij de beoordeling van de evenredigheid van de maatregelen die uit hoofde van deze richtlijn moeten worden genomen, met name ten aanzien van entiteiten met complexe bedrijfsmodellen of werkomgevingen, waarbij een entiteit tegelijkertijd kan voldoen aan de criteria voor essentiële en belangrijke entiteiten of tegelijkertijd activiteiten kan verrichten waarvan sommige binnen het toepassingsgebied van deze richtlijn vallen en sommige ervan uitgesloten zijn. |
| --- | --- |

(21)

De Commissie kan richtsnoeren verstrekken om de lidstaten bij te staan bij de uitvoering van de bepalingen van deze richtlijn inzake het toepassingsgebied en bij de beoordeling van de evenredigheid van de maatregelen die uit hoofde van deze richtlijn moeten worden genomen, met name ten aanzien van entiteiten met complexe bedrijfsmodellen of werkomgevingen, waarbij een entiteit tegelijkertijd kan voldoen aan de criteria voor essentiële en belangrijke entiteiten of tegelijkertijd activiteiten kan verrichten waarvan sommige binnen het toepassingsgebied van deze richtlijn vallen en sommige ervan uitgesloten zijn.

| (22) | In deze richtlijn wordt voor de binnen het toepassingsgebied ervan vallende sectoren het basisniveau vastgesteld voor de maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen. Om versnippering van de cyberbeveiligingsbepalingen van rechtshandelingen van de Unie te voorkomen, moet de Commissie, wanneer verdere sectorspecifieke rechtshandelingen van de Unie met betrekking tot maatregelen voor het beheer van cyberbeveiligingsrisico’s en rapportageverplichtingen noodzakelijk worden geacht om een hoog niveau van cyberbeveiliging in de Unie te waarborgen, beoordelen of dergelijke verdere bepalingen kunnen worden vastgesteld in een uitvoeringshandeling uit hoofde van deze richtlijn. Mocht een dergelijke uitvoeringshandeling niet geschikt zijn voor dat doel, kunnen sectorspecifieke rechtshandelingen van de Unie bijdragen tot het waarborgen van een hoog niveau van cyberbeveiliging in de Unie, waarbij ten volle rekening wordt gehouden met de specifieke kenmerken en complexiteit van de betrokken sectoren. Met het oog daarop vormt deze richtlijn geen beletsel voor de vaststelling van verdere sectorspecifieke rechtshandelingen van de Unie met betrekking tot maatregelen voor het beheer van cyberbeveiligingsrisico’s en rapportageverplichtingen waarin terdege rekening wordt gehouden met de noodzaak van een alomvattend en samenhangend kader voor cyberbeveiliging. Deze richtlijn laat de bestaande uitvoeringsbevoegdheden die aan de Commissie zijn verleend in een aantal sectoren, waaronder vervoer en energie, onverlet. |
| --- | --- |

(22)

In deze richtlijn wordt voor de binnen het toepassingsgebied ervan vallende sectoren het basisniveau vastgesteld voor de maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen. Om versnippering van de cyberbeveiligingsbepalingen van rechtshandelingen van de Unie te voorkomen, moet de Commissie, wanneer verdere sectorspecifieke rechtshandelingen van de Unie met betrekking tot maatregelen voor het beheer van cyberbeveiligingsrisico’s en rapportageverplichtingen noodzakelijk worden geacht om een hoog niveau van cyberbeveiliging in de Unie te waarborgen, beoordelen of dergelijke verdere bepalingen kunnen worden vastgesteld in een uitvoeringshandeling uit hoofde van deze richtlijn. Mocht een dergelijke uitvoeringshandeling niet geschikt zijn voor dat doel, kunnen sectorspecifieke rechtshandelingen van de Unie bijdragen tot het waarborgen van een hoog niveau van cyberbeveiliging in de Unie, waarbij ten volle rekening wordt gehouden met de specifieke kenmerken en complexiteit van de betrokken sectoren. Met het oog daarop vormt deze richtlijn geen beletsel voor de vaststelling van verdere sectorspecifieke rechtshandelingen van de Unie met betrekking tot maatregelen voor het beheer van cyberbeveiligingsrisico’s en rapportageverplichtingen waarin terdege rekening wordt gehouden met de noodzaak van een alomvattend en samenhangend kader voor cyberbeveiliging. Deze richtlijn laat de bestaande uitvoeringsbevoegdheden die aan de Commissie zijn verleend in een aantal sectoren, waaronder vervoer en energie, onverlet.

| (23) | Wanneer een sectorspecifieke rechtshandeling van de Unie bepalingen bevat op grond waarvan essentiële of belangrijke entiteiten maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten nemen of significante incidenten moeten melden en wanneer die eisen ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde verplichtingen, moeten die bepalingen, onder meer inzake toezicht en handhaving, van toepassing zijn op die entiteiten. Indien een sectorspecifieke rechtshandeling van de Unie niet op alle entiteiten in een specifieke sector betrekking heeft die binnen het toepassingsgebied van deze richtlijn valt, moeten de relevante bepalingen van deze richtlijn van toepassing blijven op de entiteiten waarop die handeling geen betrekking heeft. |
| --- | --- |

(23)

Wanneer een sectorspecifieke rechtshandeling van de Unie bepalingen bevat op grond waarvan essentiële of belangrijke entiteiten maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten nemen of significante incidenten moeten melden en wanneer die eisen ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde verplichtingen, moeten die bepalingen, onder meer inzake toezicht en handhaving, van toepassing zijn op die entiteiten. Indien een sectorspecifieke rechtshandeling van de Unie niet op alle entiteiten in een specifieke sector betrekking heeft die binnen het toepassingsgebied van deze richtlijn valt, moeten de relevante bepalingen van deze richtlijn van toepassing blijven op de entiteiten waarop die handeling geen betrekking heeft.

| (24) | Wanneer bepalingen van een sectorspecifieke rechtshandeling van de Unie essentiële of belangrijke entiteiten verplichten te voldoen aan rapportageverplichtingen die ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde rapportageverplichtingen, moet de samenhang en doeltreffendheid van de behandeling van meldingen van incidenten worden gewaarborgd. Daartoe moeten de met meldingen van incidenten verband houdende bepalingen van de sectorspecifieke rechtshandeling van de Unie voor de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten voor cyberbeveiliging (centrale contactpunten) uit hoofde van deze richtlijn voorzien in onmiddellijke toegang tot de overeenkomstig de sectorspecifieke rechtshandeling van de Unie ingediende meldingen van incidenten. Deze onmiddellijke toegang kan met name worden gewaarborgd indien meldingen van incidenten onverwijld worden doorgestuurd naar de CSIRT, de bevoegde autoriteit of het centrale contactpunt uit hoofde van deze richtlijn. In voorkomend geval moeten de lidstaten een mechanisme voor automatische en rechtstreekse rapportage opzetten dat ervoor zorgt dat informatie met betrekking tot de behandeling van dergelijke meldingen van incidenten systematisch en onmiddellijk wordt uitgewisseld met de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten. Om de rapportage en de toepassing van het mechanisme voor automatische en rechtstreekse rapportage te vereenvoudigen kunnen de lidstaten, overeenkomstig de sectorspecifieke rechtshandeling van de Unie, gebruikmaken van één centraal contactpunt. |
| --- | --- |

(24)

Wanneer bepalingen van een sectorspecifieke rechtshandeling van de Unie essentiële of belangrijke entiteiten verplichten te voldoen aan rapportageverplichtingen die ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde rapportageverplichtingen, moet de samenhang en doeltreffendheid van de behandeling van meldingen van incidenten worden gewaarborgd. Daartoe moeten de met meldingen van incidenten verband houdende bepalingen van de sectorspecifieke rechtshandeling van de Unie voor de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten voor cyberbeveiliging (centrale contactpunten) uit hoofde van deze richtlijn voorzien in onmiddellijke toegang tot de overeenkomstig de sectorspecifieke rechtshandeling van de Unie ingediende meldingen van incidenten. Deze onmiddellijke toegang kan met name worden gewaarborgd indien meldingen van incidenten onverwijld worden doorgestuurd naar de CSIRT, de bevoegde autoriteit of het centrale contactpunt uit hoofde van deze richtlijn. In voorkomend geval moeten de lidstaten een mechanisme voor automatische en rechtstreekse rapportage opzetten dat ervoor zorgt dat informatie met betrekking tot de behandeling van dergelijke meldingen van incidenten systematisch en onmiddellijk wordt uitgewisseld met de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten. Om de rapportage en de toepassing van het mechanisme voor automatische en rechtstreekse rapportage te vereenvoudigen kunnen de lidstaten, overeenkomstig de sectorspecifieke rechtshandeling van de Unie, gebruikmaken van één centraal contactpunt.

| (25) | In de sectorspecifieke rechtshandelingen van de Unie die voorzien in maatregelen voor het beheer van cyberbeveiligingsrisico’s of rapportageverplichtingen die ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde maatregelen en verplichtingen, kan worden vastgelegd dat de in uit hoofde van die handelingen bevoegde autoriteiten hun toezichts- en handhavingsbevoegdheden met betrekking tot die maatregelen of verplichtingen uitoefenen met hulp van de uit hoofde van deze richtlijn bevoegde autoriteiten. Daartoe kunnen de betrokken bevoegde autoriteiten samenwerkingsregelingen treffen. In dergelijke samenwerkingsregelingen kunnen onder meer de procedures voor de coördinatie van toezichtsactiviteiten worden omschreven, met inbegrip van de procedures voor onderzoeken en inspecties ter plaatse overeenkomstig het nationale recht, en die voor een mechanisme voor de uitwisseling van relevante informatie over toezicht en handhaving tussen de bevoegde autoriteiten, met inbegrip van verzoeken van de uit hoofde van deze richtlijn bevoegde autoriteiten om toegang tot cybergerelateerde informatie. |
| --- | --- |

(25)

In de sectorspecifieke rechtshandelingen van de Unie die voorzien in maatregelen voor het beheer van cyberbeveiligingsrisico’s of rapportageverplichtingen die ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde maatregelen en verplichtingen, kan worden vastgelegd dat de in uit hoofde van die handelingen bevoegde autoriteiten hun toezichts- en handhavingsbevoegdheden met betrekking tot die maatregelen of verplichtingen uitoefenen met hulp van de uit hoofde van deze richtlijn bevoegde autoriteiten. Daartoe kunnen de betrokken bevoegde autoriteiten samenwerkingsregelingen treffen. In dergelijke samenwerkingsregelingen kunnen onder meer de procedures voor de coördinatie van toezichtsactiviteiten worden omschreven, met inbegrip van de procedures voor onderzoeken en inspecties ter plaatse overeenkomstig het nationale recht, en die voor een mechanisme voor de uitwisseling van relevante informatie over toezicht en handhaving tussen de bevoegde autoriteiten, met inbegrip van verzoeken van de uit hoofde van deze richtlijn bevoegde autoriteiten om toegang tot cybergerelateerde informatie.

| (26) | Wanneer sectorspecifieke rechtshandelingen van de Unie entiteiten verplichten of stimuleren om significante cyberdreigingen te melden, moeten de lidstaten ook de uitwisseling van informatie over significante cyberdreigingen met de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten uit hoofde van deze richtlijn bevorderen om die organen beter bewust te maken van het cyberdreigingslandschap en hen in staat te stellen doeltreffend en tijdig te reageren indien significante cyberdreigingen tot incidenten leiden. |
| --- | --- |

(26)

Wanneer sectorspecifieke rechtshandelingen van de Unie entiteiten verplichten of stimuleren om significante cyberdreigingen te melden, moeten de lidstaten ook de uitwisseling van informatie over significante cyberdreigingen met de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten uit hoofde van deze richtlijn bevorderen om die organen beter bewust te maken van het cyberdreigingslandschap en hen in staat te stellen doeltreffend en tijdig te reageren indien significante cyberdreigingen tot incidenten leiden.

| (27) | Toekomstige sectorspecifieke rechtshandelingen van de Unie moeten terdege rekening houden met de definities en het kader voor toezicht en handhaving van deze richtlijn. |
| --- | --- |

(27)

Toekomstige sectorspecifieke rechtshandelingen van de Unie moeten terdege rekening houden met de definities en het kader voor toezicht en handhaving van deze richtlijn.

| (28) | Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (10) moet worden beschouwd als een sectorspecifieke rechtshandeling van de Unie met betrekking tot deze richtlijn voor wat financiële entiteiten betreft. De bepalingen van Verordening (EU) 2022/2554 betreffende risicobeheer op het gebied van informatie- en communicatietechnologie (ICT), het beheer van ICT-gerelateerde incidenten en met name de rapportage van grote ICT-gerelateerde incidenten, alsmede betreffende digitale operationele weerbaarheidstests, informatie-uitwisselingsregelingen en risico van derden op het gebied van ICT, moeten van toepassing zijn in plaats van de bepalingen van deze richtlijn. De lidstaten mogen de bepalingen van deze richtlijn betreffende de verplichtingen inzake risicobeheer en rapportage op het gebied van cyberbeveiliging, toezicht en handhaving dan ook niet toepassen op financiële entiteiten die onder Verordening (EU) 2022/2554 vallen. Tegelijkertijd is het van belang een sterke relatie en de uitwisseling van informatie met de financiële sector uit hoofde van deze richtlijn in stand te houden. Daartoe biedt Verordening (EU) 2022/2554 de Europese toezichthoudende autoriteiten (ETA’s) en de uit hoofde van die verordening bevoegde autoriteit en de mogelijkheid deel te nemen aan de activiteiten van de samenwerkingsgroep en informatie uit te wisselen en samen te werken met de centrale contactpunten en met de CSIRT’s en de uit hoofde van die richtlijn bevoegde autoriteiten. De uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten moeten de details van grote ICT-gerelateerde incidenten en significante cyberdreigingen ook doorgeven aan de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten uit hoofde van deze richtlijn. Dit is haalbaar door te voorzien in onmiddellijke toegang en erin te voorzien dat meldingen van incidenten rechtstreeks worden doorgestuurd, of door middel van één centraal contactpunt voor de melding van incidenten. Bovendien moeten de lidstaten de financiële sector blijven opnemen in hun cyberbeveiligingsstrategieën en kunnen de CSIRT’s de financiële sector bij hun activiteiten betrekken. |
| --- | --- |

(28)

Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (10) moet worden beschouwd als een sectorspecifieke rechtshandeling van de Unie met betrekking tot deze richtlijn voor wat financiële entiteiten betreft. De bepalingen van Verordening (EU) 2022/2554 betreffende risicobeheer op het gebied van informatie- en communicatietechnologie (ICT), het beheer van ICT-gerelateerde incidenten en met name de rapportage van grote ICT-gerelateerde incidenten, alsmede betreffende digitale operationele weerbaarheidstests, informatie-uitwisselingsregelingen en risico van derden op het gebied van ICT, moeten van toepassing zijn in plaats van de bepalingen van deze richtlijn. De lidstaten mogen de bepalingen van deze richtlijn betreffende de verplichtingen inzake risicobeheer en rapportage op het gebied van cyberbeveiliging, toezicht en handhaving dan ook niet toepassen op financiële entiteiten die onder Verordening (EU) 2022/2554 vallen. Tegelijkertijd is het van belang een sterke relatie en de uitwisseling van informatie met de financiële sector uit hoofde van deze richtlijn in stand te houden. Daartoe biedt Verordening (EU) 2022/2554 de Europese toezichthoudende autoriteiten (ETA’s) en de uit hoofde van die verordening bevoegde autoriteit en de mogelijkheid deel te nemen aan de activiteiten van de samenwerkingsgroep en informatie uit te wisselen en samen te werken met de centrale contactpunten en met de CSIRT’s en de uit hoofde van die richtlijn bevoegde autoriteiten. De uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten moeten de details van grote ICT-gerelateerde incidenten en significante cyberdreigingen ook doorgeven aan de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten uit hoofde van deze richtlijn. Dit is haalbaar door te voorzien in onmiddellijke toegang en erin te voorzien dat meldingen van incidenten rechtstreeks worden doorgestuurd, of door middel van één centraal contactpunt voor de melding van incidenten. Bovendien moeten de lidstaten de financiële sector blijven opnemen in hun cyberbeveiligingsstrategieën en kunnen de CSIRT’s de financiële sector bij hun activiteiten betrekken.

| (29) | Om lacunes in of overlappingen van de cyberbeveiligingsverplichtingen voor entiteiten in de luchtvaartsector te vermijden, moeten de nationale autoriteiten uit hoofde van de Verordeningen (EG) nr. 300/2008 (11) en (EU) 2018/1139 (12) van het Europees Parlement en de Raad en de uit hoofde van deze richtlijn bevoegde autoriteiten samenwerken bij de uitvoering van maatregelen voor het beheer van cyberbeveiligingsrisico’s en het toezicht op de naleving van die maatregelen op nationaal niveau. De naleving door een entiteit van de beveiligingseisen die zijn vastgelegd in de Verordeningen (EG) nr. 300/2008 en (EU) 2018/1139 en in de relevante gedelegeerde en uitvoeringshandelingen die krachtens die verordeningen zijn vastgesteld, kan door de uit hoofde van deze richtlijn bevoegde autoriteiten worden geacht tot naleving van de overeenkomstige eisen van deze richtlijn te dienen. |
| --- | --- |

(29)

Om lacunes in of overlappingen van de cyberbeveiligingsverplichtingen voor entiteiten in de luchtvaartsector te vermijden, moeten de nationale autoriteiten uit hoofde van de Verordeningen (EG) nr. 300/2008 (11) en (EU) 2018/1139 (12) van het Europees Parlement en de Raad en de uit hoofde van deze richtlijn bevoegde autoriteiten samenwerken bij de uitvoering van maatregelen voor het beheer van cyberbeveiligingsrisico’s en het toezicht op de naleving van die maatregelen op nationaal niveau. De naleving door een entiteit van de beveiligingseisen die zijn vastgelegd in de Verordeningen (EG) nr. 300/2008 en (EU) 2018/1139 en in de relevante gedelegeerde en uitvoeringshandelingen die krachtens die verordeningen zijn vastgesteld, kan door de uit hoofde van deze richtlijn bevoegde autoriteiten worden geacht tot naleving van de overeenkomstige eisen van deze richtlijn te dienen.

| (30) | Gezien de onderlinge verbanden tussen cyberbeveiliging en de fysieke beveiliging van entiteiten moet een coherente aanpak worden gewaarborgd tussen Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad (13) en deze richtlijn. Daartoe moeten entiteiten die uit hoofde van Richtlijn (EU) 2022/2557 als kritieke identiteiten worden aangemerkt als essentiële entiteiten uit hoofde van deze richtlijn worden beschouwd. Bovendien moet elke lidstaat ervoor zorgen dat zijn nationale cyberbeveiligingsstrategie voorziet in een beleidskader voor een betere coördinatie binnen die lidstaat tussen zijn uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557 in de context van de uitwisseling van informatie over risico’s, cyberdreigingen en incidenten alsook over niet-cyberrisico’s, -dreigingen en -incidenten, evenals de uitoefening van toezichthoudende taken. De uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557 moeten zonder onnodige vertraging samenwerken en informatie uitwisselen, met name met betrekking tot de identificatie van kritieke entiteiten, risico’s, cyberdreigingen, en incidenten en niet-cyberrisico’s, -dreigingen en -incidenten die kritieke entiteiten treffen, met inbegrip van door kritieke entiteiten genomen maatregelen op het gebied van cyberbeveiliging en fysieke maatregelen, evenals de resultaten van toezichtsactiviteiten met betrekking tot die entiteiten.
  Om de toezichtsactiviteiten tussen de uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557 te stroomlijnen en om de administratieve lasten voor de betrokken entiteiten tot een minimum te beperken, moeten die bevoegde autoriteiten ernaar streven de modellen voor de melding van incidenten en de toezichtsprocessen te harmoniseren. In voorkomend geval moeten de uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten de uit hoofde van deze richtlijn bevoegde autoriteiten kunnen verzoeken hun toezichts- en handhavingsbevoegdheden uit te oefenen met betrekking tot een entiteit die is aangemerkt als een kritieke entiteit uit hoofde van Richtlijn (EU) 2022/2557. Daartoe moeten de uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557, indien mogelijk in realtime, samenwerken en informatie uitwisselen. |
| --- | --- |

(30)

Gezien de onderlinge verbanden tussen cyberbeveiliging en de fysieke beveiliging van entiteiten moet een coherente aanpak worden gewaarborgd tussen Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad (13) en deze richtlijn. Daartoe moeten entiteiten die uit hoofde van Richtlijn (EU) 2022/2557 als kritieke identiteiten worden aangemerkt als essentiële entiteiten uit hoofde van deze richtlijn worden beschouwd. Bovendien moet elke lidstaat ervoor zorgen dat zijn nationale cyberbeveiligingsstrategie voorziet in een beleidskader voor een betere coördinatie binnen die lidstaat tussen zijn uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557 in de context van de uitwisseling van informatie over risico’s, cyberdreigingen en incidenten alsook over niet-cyberrisico’s, -dreigingen en -incidenten, evenals de uitoefening van toezichthoudende taken. De uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557 moeten zonder onnodige vertraging samenwerken en informatie uitwisselen, met name met betrekking tot de identificatie van kritieke entiteiten, risico’s, cyberdreigingen, en incidenten en niet-cyberrisico’s, -dreigingen en -incidenten die kritieke entiteiten treffen, met inbegrip van door kritieke entiteiten genomen maatregelen op het gebied van cyberbeveiliging en fysieke maatregelen, evenals de resultaten van toezichtsactiviteiten met betrekking tot die entiteiten.

Om de toezichtsactiviteiten tussen de uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557 te stroomlijnen en om de administratieve lasten voor de betrokken entiteiten tot een minimum te beperken, moeten die bevoegde autoriteiten ernaar streven de modellen voor de melding van incidenten en de toezichtsprocessen te harmoniseren. In voorkomend geval moeten de uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten de uit hoofde van deze richtlijn bevoegde autoriteiten kunnen verzoeken hun toezichts- en handhavingsbevoegdheden uit te oefenen met betrekking tot een entiteit die is aangemerkt als een kritieke entiteit uit hoofde van Richtlijn (EU) 2022/2557. Daartoe moeten de uit hoofde van deze richtlijn bevoegde autoriteiten en die uit hoofde van Richtlijn (EU) 2022/2557, indien mogelijk in realtime, samenwerken en informatie uitwisselen.

| (31) | Tot de digitale-infrastructuursector behorende entiteiten zijn in wezen gebaseerd op netwerk- en informatiesystemen en daarom moeten de hun uit hoofde van deze richtlijn opgelegde verplichtingen op een omvattende manier betrekking hebben op de fysieke beveiliging van dergelijke systemen in het kader van hun maatregelen voor het beheer van cyberbeveiligingsrisico’s en rapportageverplichtingen. Aangezien die aangelegenheden onder deze richtlijn vallen, zijn de verplichtingen van de hoofdstukken III, IV en VI van Richtlijn (EU) 2022/2557 niet van toepassing op dergelijke entiteiten. |
| --- | --- |

(31)

Tot de digitale-infrastructuursector behorende entiteiten zijn in wezen gebaseerd op netwerk- en informatiesystemen en daarom moeten de hun uit hoofde van deze richtlijn opgelegde verplichtingen op een omvattende manier betrekking hebben op de fysieke beveiliging van dergelijke systemen in het kader van hun maatregelen voor het beheer van cyberbeveiligingsrisico’s en rapportageverplichtingen. Aangezien die aangelegenheden onder deze richtlijn vallen, zijn de verplichtingen van de hoofdstukken III, IV en VI van Richtlijn (EU) 2022/2557 niet van toepassing op dergelijke entiteiten.

| (32) | Het ondersteunen en instandhouden van een betrouwbaar, weerbaar en beveiligd domeinnaamsysteem (DNS) zijn sleutelfactoren voor het behoud van de integriteit van het internet en zijn essentieel voor de continue en stabiele werking ervan, waarvan de digitale economie en samenleving afhankelijk zijn. Daarom moet deze richtlijn van toepassing zijn op registers voor topleveldomeinnamen en DNS-dienstverleners die moeten worden opgevat als entiteiten die openbare recursieve domeinnaamomzettingsdiensten verlenen aan interneteindgebruikers of gezaghebbende domeinnaamomzettingsdiensten voor gebruik door derden. Deze richtlijn mag niet van toepassing zijn op root-naamservers. |
| --- | --- |

(32)

Het ondersteunen en instandhouden van een betrouwbaar, weerbaar en beveiligd domeinnaamsysteem (DNS) zijn sleutelfactoren voor het behoud van de integriteit van het internet en zijn essentieel voor de continue en stabiele werking ervan, waarvan de digitale economie en samenleving afhankelijk zijn. Daarom moet deze richtlijn van toepassing zijn op registers voor topleveldomeinnamen en DNS-dienstverleners die moeten worden opgevat als entiteiten die openbare recursieve domeinnaamomzettingsdiensten verlenen aan interneteindgebruikers of gezaghebbende domeinnaamomzettingsdiensten voor gebruik door derden. Deze richtlijn mag niet van toepassing zijn op root-naamservers.

| (33) | Cloudcomputingdiensten moeten digitale diensten omvatten die beheer op verzoek en brede toegang op afstand (“broad remote access”) tot een schaalbare en elastische pool van deelbare computercapaciteit mogelijk maken, ook wanneer deze over verschillende locaties is gedistribueerd. Computercapaciteit omvat middelen zoals netwerken, servers of andere infrastructuur, besturingssystemen, software, opslag, toepassingen en diensten. De dienstmodellen van cloudcomputing omvatten onder meer infrastructuur als dienst (“Infrastructure as a Service” — IaaS), platform als dienst (“Platform as a Service” — PaaS), software als dienst (“Software as a Service” — SaaS) en netwerk als dienst (“Network as a Service” — NaaS). De invoeringsmodellen van cloudcomputing moeten private, gemeenschaps-, publieke en hybride cloud omvatten. De dienst- en invoeringsmodellen van cloudcomputing hebben dezelfde betekenis als de in de ISO/IEC 17788:2014-norm gedefinieerde benamingen van dienst- en invoeringsmodellen. Het vermogen van de cloudcomputinggebruiker om eenzijdig zelfvoorzienend te zijn, bijvoorbeeld wat servertijd of netwerkopslag betreft, zonder enige menselijke interactie door de cloudcomputingdienstverlener, zou kunnen worden omschreven als beheer op verzoek.
  De term “brede toegang op afstand” wordt gebruikt om te beschrijven dat de cloudcapaciteiten via het netwerk worden aangeboden en toegankelijk zijn via mechanismen die het gebruik van heterogene thin- of thick-client-platforms bevorderen, waaronder mobiele telefoons, tablets, laptops en werkstations. De term “schaalbaar” verwijst naar de computercapaciteit die, ongeacht de geografische locatie van de capaciteit, op flexibele wijze door aanbieders van cloudcomputingdiensten wordt toegewezen teneinde schommelingen in de vraag te kunnen opvangen. De term “elastische pool” wordt gebruikt ter beschrijving van de computercapaciteit die, afhankelijk van de vraag, ter beschikking wordt gesteld en wordt vrijgegeven teneinde deze beschikbare capaciteit snel te kunnen verhogen en verlagen naargelang van het werkvolume. De term “deelbaar” wordt gebruikt ter beschrijving van de computercapaciteit die ter beschikking wordt gesteld van meerdere gebruikers die een gemeenschappelijke toegang tot de dienst hebben, maar waarbij de verwerking voor elke gebruiker afzonderlijk plaatsvindt, hoewel de dienst door middel van dezelfde elektronische uitrusting wordt verleend. De term “gedistribueerd” wordt gebruikt ter beschrijving van de computercapaciteit die zich op verschillende netwerkcomputers of -apparaten bevindt en waarbij onderlinge communicatie en aansturing plaatsvindt door middel van het doorgeven van berichten. |
| --- | --- |

(33)

Cloudcomputingdiensten moeten digitale diensten omvatten die beheer op verzoek en brede toegang op afstand (“broad remote access”) tot een schaalbare en elastische pool van deelbare computercapaciteit mogelijk maken, ook wanneer deze over verschillende locaties is gedistribueerd. Computercapaciteit omvat middelen zoals netwerken, servers of andere infrastructuur, besturingssystemen, software, opslag, toepassingen en diensten. De dienstmodellen van cloudcomputing omvatten onder meer infrastructuur als dienst (“Infrastructure as a Service” — IaaS), platform als dienst (“Platform as a Service” — PaaS), software als dienst (“Software as a Service” — SaaS) en netwerk als dienst (“Network as a Service” — NaaS). De invoeringsmodellen van cloudcomputing moeten private, gemeenschaps-, publieke en hybride cloud omvatten. De dienst- en invoeringsmodellen van cloudcomputing hebben dezelfde betekenis als de in de ISO/IEC 17788:2014-norm gedefinieerde benamingen van dienst- en invoeringsmodellen. Het vermogen van de cloudcomputinggebruiker om eenzijdig zelfvoorzienend te zijn, bijvoorbeeld wat servertijd of netwerkopslag betreft, zonder enige menselijke interactie door de cloudcomputingdienstverlener, zou kunnen worden omschreven als beheer op verzoek.

De term “brede toegang op afstand” wordt gebruikt om te beschrijven dat de cloudcapaciteiten via het netwerk worden aangeboden en toegankelijk zijn via mechanismen die het gebruik van heterogene thin- of thick-client-platforms bevorderen, waaronder mobiele telefoons, tablets, laptops en werkstations. De term “schaalbaar” verwijst naar de computercapaciteit die, ongeacht de geografische locatie van de capaciteit, op flexibele wijze door aanbieders van cloudcomputingdiensten wordt toegewezen teneinde schommelingen in de vraag te kunnen opvangen. De term “elastische pool” wordt gebruikt ter beschrijving van de computercapaciteit die, afhankelijk van de vraag, ter beschikking wordt gesteld en wordt vrijgegeven teneinde deze beschikbare capaciteit snel te kunnen verhogen en verlagen naargelang van het werkvolume. De term “deelbaar” wordt gebruikt ter beschrijving van de computercapaciteit die ter beschikking wordt gesteld van meerdere gebruikers die een gemeenschappelijke toegang tot de dienst hebben, maar waarbij de verwerking voor elke gebruiker afzonderlijk plaatsvindt, hoewel de dienst door middel van dezelfde elektronische uitrusting wordt verleend. De term “gedistribueerd” wordt gebruikt ter beschrijving van de computercapaciteit die zich op verschillende netwerkcomputers of -apparaten bevindt en waarbij onderlinge communicatie en aansturing plaatsvindt door middel van het doorgeven van berichten.

| (34) | Gezien de opkomst van innovatieve technologieën en nieuwe bedrijfsmodellen wordt verwacht dat er nieuwe dienst- en invoeringsmodellen voor cloudcomputing op de interne markt zullen verschijnen om in te spelen op de veranderende behoeften van klanten. In die context kunnen cloudcomputingdiensten in een sterk gedistribueerde vorm worden verleend, nog dichter bij de plaats waar de gegevens worden gegenereerd of verzameld, waardoor de overstap wordt gemaakt van het traditionele model naar een sterk gedistribueerd model (“edge computing”). |
| --- | --- |

(34)

Gezien de opkomst van innovatieve technologieën en nieuwe bedrijfsmodellen wordt verwacht dat er nieuwe dienst- en invoeringsmodellen voor cloudcomputing op de interne markt zullen verschijnen om in te spelen op de veranderende behoeften van klanten. In die context kunnen cloudcomputingdiensten in een sterk gedistribueerde vorm worden verleend, nog dichter bij de plaats waar de gegevens worden gegenereerd of verzameld, waardoor de overstap wordt gemaakt van het traditionele model naar een sterk gedistribueerd model (“edge computing”).

| (35) | Diensten die worden aangeboden door aanbieders van datacentrumdiensten kunnen niet altijd in de vorm van een cloudcomputingdienst worden verleend. Datacentra maken dan ook niet altijd deel uit van cloudcomputinginfrastructuur. Om alle risico’s voor de beveiliging van netwerk- en informatiesystemen te beheren, moet deze richtlijn dan ook van toepassing zijn op aanbieders van datacentrumdiensten die geen cloudcomputingdiensten zijn. Voor de toepassing van deze richtlijn moet de term “datacentrumdienst” betrekking hebben op de verlening van een dienst die structuren of groepen van structuren omvat die bestemd zijn voor de gecentraliseerde accommodatie, de interconnectie en de exploitatie van informatietechnologie (IT) en netwerkapparatuur die diensten op het gebied van gegevensopslag, -verwerking en -transport aanbiedt, samen met alle faciliteiten en infrastructuur voor energiedistributie en omgevingscontrole. De term “datacentrumdienst” mag niet gelden voor interne bedrijfsdatacentra die eigendom zijn van en geëxploiteerd worden door de betrokken entiteit, voor eigen doeleinden. |
| --- | --- |

(35)

Diensten die worden aangeboden door aanbieders van datacentrumdiensten kunnen niet altijd in de vorm van een cloudcomputingdienst worden verleend. Datacentra maken dan ook niet altijd deel uit van cloudcomputinginfrastructuur. Om alle risico’s voor de beveiliging van netwerk- en informatiesystemen te beheren, moet deze richtlijn dan ook van toepassing zijn op aanbieders van datacentrumdiensten die geen cloudcomputingdiensten zijn. Voor de toepassing van deze richtlijn moet de term “datacentrumdienst” betrekking hebben op de verlening van een dienst die structuren of groepen van structuren omvat die bestemd zijn voor de gecentraliseerde accommodatie, de interconnectie en de exploitatie van informatietechnologie (IT) en netwerkapparatuur die diensten op het gebied van gegevensopslag, -verwerking en -transport aanbiedt, samen met alle faciliteiten en infrastructuur voor energiedistributie en omgevingscontrole. De term “datacentrumdienst” mag niet gelden voor interne bedrijfsdatacentra die eigendom zijn van en geëxploiteerd worden door de betrokken entiteit, voor eigen doeleinden.

| (36) | Onderzoeksactiviteiten spelen een sleutelrol bij de ontwikkeling van nieuwe producten en processen. Veel van die activiteiten worden verricht door entiteiten die de resultaten van hun onderzoek delen, verspreiden of exploiteren voor commerciële doeleinden. Die entiteiten kunnen dan ook belangrijke spelers in de waardeketens zijn, zodat de beveiliging van hun netwerk- en informatiesystemen integraal deel uitmaakt van de algemene cyberbeveiliging van de interne markt. Onder onderzoeksorganisaties moeten ook entiteiten worden verstaan die het wezenlijk deel van hun activiteiten richten op toegepast onderzoek of experimentele ontwikkeling in de zin van het “Frascati Manual 2015: Guidelines for Collecting and Reporting Data on Research and Experimental Development” van de Organisatie voor Economische Samenwerking en Ontwikkeling, om hun resultaten te exploiteren voor commerciële doeleinden, zoals de vervaardiging of ontwikkeling van een product of een proces, de verlening van een dienst, of het in de handel brengen daarvan. |
| --- | --- |

(36)

Onderzoeksactiviteiten spelen een sleutelrol bij de ontwikkeling van nieuwe producten en processen. Veel van die activiteiten worden verricht door entiteiten die de resultaten van hun onderzoek delen, verspreiden of exploiteren voor commerciële doeleinden. Die entiteiten kunnen dan ook belangrijke spelers in de waardeketens zijn, zodat de beveiliging van hun netwerk- en informatiesystemen integraal deel uitmaakt van de algemene cyberbeveiliging van de interne markt. Onder onderzoeksorganisaties moeten ook entiteiten worden verstaan die het wezenlijk deel van hun activiteiten richten op toegepast onderzoek of experimentele ontwikkeling in de zin van het “Frascati Manual 2015: Guidelines for Collecting and Reporting Data on Research and Experimental Development” van de Organisatie voor Economische Samenwerking en Ontwikkeling, om hun resultaten te exploiteren voor commerciële doeleinden, zoals de vervaardiging of ontwikkeling van een product of een proces, de verlening van een dienst, of het in de handel brengen daarvan.

| (37) | De toenemende onderlinge afhankelijkheid is het resultaat van een steeds meer grensoverschrijdend en onderling afhankelijk dienstverleningsnetwerk waarin gebruik wordt gemaakt van essentiële infrastructuren in de hele Unie in sectoren zoals energie, vervoer, digitale infrastructuur, drinkwater en afvalwater, gezondheid, bepaalde aspecten van het overheidsbestuur, en ruimtevaart, voor zover het gaat om de verlening van bepaalde diensten die afhankelijk zijn van grondgebonden infrastructuren die eigendom zijn van, beheerd worden en geëxploiteerd worden door de lidstaten of door particuliere partijen, en die dus geen betrekking hebben op infrastructuren die eigendom zijn van, beheerd worden of geëxploiteerd worden door of namens de Unie in het kader van haar ruimtevaartprogramma. Die onderlinge afhankelijkheid houdt in dat elke verstoring, zelfs wanneer deze aanvankelijk beperkt blijft tot één entiteit of één sector, meer in het algemeen een cascade-effect kan hebben, met mogelijkerwijs verstrekkende en langdurige negatieve gevolgen voor de verlening van diensten op de hele interne markt. De tijdens de COVID-19-pandemie toegenomen cyberaanvallen hebben de kwetsbaarheid van onze steeds meer onderling afhankelijke samenlevingen voor de risico’s van lage waarschijnlijkheid aangetoond. |
| --- | --- |

(37)

De toenemende onderlinge afhankelijkheid is het resultaat van een steeds meer grensoverschrijdend en onderling afhankelijk dienstverleningsnetwerk waarin gebruik wordt gemaakt van essentiële infrastructuren in de hele Unie in sectoren zoals energie, vervoer, digitale infrastructuur, drinkwater en afvalwater, gezondheid, bepaalde aspecten van het overheidsbestuur, en ruimtevaart, voor zover het gaat om de verlening van bepaalde diensten die afhankelijk zijn van grondgebonden infrastructuren die eigendom zijn van, beheerd worden en geëxploiteerd worden door de lidstaten of door particuliere partijen, en die dus geen betrekking hebben op infrastructuren die eigendom zijn van, beheerd worden of geëxploiteerd worden door of namens de Unie in het kader van haar ruimtevaartprogramma. Die onderlinge afhankelijkheid houdt in dat elke verstoring, zelfs wanneer deze aanvankelijk beperkt blijft tot één entiteit of één sector, meer in het algemeen een cascade-effect kan hebben, met mogelijkerwijs verstrekkende en langdurige negatieve gevolgen voor de verlening van diensten op de hele interne markt. De tijdens de COVID-19-pandemie toegenomen cyberaanvallen hebben de kwetsbaarheid van onze steeds meer onderling afhankelijke samenlevingen voor de risico’s van lage waarschijnlijkheid aangetoond.

| (38) | Gezien de verschillen tussen de nationale governancestructuren en om de reeds bestaande sectorale regelingen of toezichts- en regelgevingsorganen van de Unie te vrijwaren, moeten de lidstaten een of meer bevoegde autoriteiten kunnen aanwijzen of oprichten die verantwoordelijk zijn voor cyberbeveiliging en voor de toezichthoudende taken uit hoofde van deze richtlijn. |
| --- | --- |

(38)

Gezien de verschillen tussen de nationale governancestructuren en om de reeds bestaande sectorale regelingen of toezichts- en regelgevingsorganen van de Unie te vrijwaren, moeten de lidstaten een of meer bevoegde autoriteiten kunnen aanwijzen of oprichten die verantwoordelijk zijn voor cyberbeveiliging en voor de toezichthoudende taken uit hoofde van deze richtlijn.

| (39) | Om de grensoverschrijdende samenwerking en communicatie tussen de autoriteiten te vergemakkelijken en een doeltreffende uitvoering van deze richtlijn mogelijk te maken, moet elke lidstaat een centraal contactpunt aanwijzen dat verantwoordelijk is voor de coördinatie van kwesties in verband met de beveiliging van de netwerk- en informatiesystemen en de grensoverschrijdende samenwerking op het niveau van de Unie. |
| --- | --- |

(39)

Om de grensoverschrijdende samenwerking en communicatie tussen de autoriteiten te vergemakkelijken en een doeltreffende uitvoering van deze richtlijn mogelijk te maken, moet elke lidstaat een centraal contactpunt aanwijzen dat verantwoordelijk is voor de coördinatie van kwesties in verband met de beveiliging van de netwerk- en informatiesystemen en de grensoverschrijdende samenwerking op het niveau van de Unie.

| (40) | De centrale contactpunten moeten doeltreffende grensoverschrijdende samenwerking met de relevante autoriteiten van andere lidstaten en, in voorkomend geval, met de Commissie en Enisa waarborgen. De centrale contactpunten moeten daarom worden belast met het doorsturen van meldingen van significante incidenten met grensoverschrijdende gevolgen naar de centrale contactpunten van andere betrokken lidstaten op verzoek van het CSIRT of de bevoegde autoriteit. Op nationaal niveau moeten de centrale contactpunten vlotte sectoroverschrijdende samenwerking met andere bevoegde autoriteiten mogelijk maken. De centrale contactpunten kunnen ook de geadresseerden zijn van relevante informatie over incidenten met betrekking tot financiële entiteiten van de uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten, die zij in voorkomend geval moeten kunnen doorsturen naar de CSIRT’s of de uit hoofde van deze richtlijn bevoegde autoriteiten. |
| --- | --- |

(40)

De centrale contactpunten moeten doeltreffende grensoverschrijdende samenwerking met de relevante autoriteiten van andere lidstaten en, in voorkomend geval, met de Commissie en Enisa waarborgen. De centrale contactpunten moeten daarom worden belast met het doorsturen van meldingen van significante incidenten met grensoverschrijdende gevolgen naar de centrale contactpunten van andere betrokken lidstaten op verzoek van het CSIRT of de bevoegde autoriteit. Op nationaal niveau moeten de centrale contactpunten vlotte sectoroverschrijdende samenwerking met andere bevoegde autoriteiten mogelijk maken. De centrale contactpunten kunnen ook de geadresseerden zijn van relevante informatie over incidenten met betrekking tot financiële entiteiten van de uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten, die zij in voorkomend geval moeten kunnen doorsturen naar de CSIRT’s of de uit hoofde van deze richtlijn bevoegde autoriteiten.

| (41) | De lidstaten moeten, wat zowel de technische als de organisatorische mogelijkheden betreft, adequaat worden uitgerust om incidenten en risico’s te voorkomen, op te sporen, erop te reageren, ervan te herstellen en te beperken. De lidstaten moeten daarom een of meer CSIRT’s instellen of aanwijzen uit hoofde van deze richtlijn en ervoor zorgen dat zij over voldoende middelen en technische capaciteiten beschikken. De CSIRT’s moeten voldoen aan de in deze richtlijn vastgestelde eisen om te garanderen dat zij over doeltreffende en compatibele capaciteiten beschikken om incidenten en risico’s aan te pakken en om een efficiënte samenwerking op het niveau van de Unie te waarborgen. De lidstaten moeten bestaande computercrisisresponsteams (“computer emergency response teams” — CERT’s) kunnen aanwijzen als CSIRT’s. Om de vertrouwensrelatie tussen de entiteiten en de CSIRT’s te versterken, moeten de lidstaten, indien een CSIRT deel uitmaakt van een bevoegde autoriteit, een functionele scheiding kunnen overwegen tussen de operationele taken van de CSIRT’s, met name met betrekking tot de aan de entiteiten verleende informatie-uitwisseling en bijstand, en de toezichtsactiviteiten van de bevoegde autoriteiten. |
| --- | --- |

(41)

De lidstaten moeten, wat zowel de technische als de organisatorische mogelijkheden betreft, adequaat worden uitgerust om incidenten en risico’s te voorkomen, op te sporen, erop te reageren, ervan te herstellen en te beperken. De lidstaten moeten daarom een of meer CSIRT’s instellen of aanwijzen uit hoofde van deze richtlijn en ervoor zorgen dat zij over voldoende middelen en technische capaciteiten beschikken. De CSIRT’s moeten voldoen aan de in deze richtlijn vastgestelde eisen om te garanderen dat zij over doeltreffende en compatibele capaciteiten beschikken om incidenten en risico’s aan te pakken en om een efficiënte samenwerking op het niveau van de Unie te waarborgen. De lidstaten moeten bestaande computercrisisresponsteams (“computer emergency response teams” — CERT’s) kunnen aanwijzen als CSIRT’s. Om de vertrouwensrelatie tussen de entiteiten en de CSIRT’s te versterken, moeten de lidstaten, indien een CSIRT deel uitmaakt van een bevoegde autoriteit, een functionele scheiding kunnen overwegen tussen de operationele taken van de CSIRT’s, met name met betrekking tot de aan de entiteiten verleende informatie-uitwisseling en bijstand, en de toezichtsactiviteiten van de bevoegde autoriteiten.

| (42) | De CSIRT’s zijn belast met de behandeling van incidenten. Dit omvat de verwerking van grote hoeveelheden van soms gevoelige gegevens. De lidstaten moeten ervoor zorgen dat de CSIRT’s beschikken over een infrastructuur voor het delen en verwerken van informatie, alsook over goed toegerust personeel, zodat de vertrouwelijkheid en betrouwbaarheid van hun activiteiten wordt gewaarborgd. De CSIRT’s kunnen in dit verband ook een gedragscode vaststellen. |
| --- | --- |

(42)

De CSIRT’s zijn belast met de behandeling van incidenten. Dit omvat de verwerking van grote hoeveelheden van soms gevoelige gegevens. De lidstaten moeten ervoor zorgen dat de CSIRT’s beschikken over een infrastructuur voor het delen en verwerken van informatie, alsook over goed toegerust personeel, zodat de vertrouwelijkheid en betrouwbaarheid van hun activiteiten wordt gewaarborgd. De CSIRT’s kunnen in dit verband ook een gedragscode vaststellen.

| (43) | Aangaande de persoonsgegevens moeten de CSIRT’s overeenkomstig Verordening (EU) 2016/679 op verzoek van een essentiële of belangrijke entiteit een proactieve scan kunnen uitvoeren van de netwerk- en informatiesystemen die voor de verlening van de diensten van de entiteit worden gebruikt. In voorkomend geval moeten de lidstaten ernaar streven dat alle sectorale CSIRT’s over gelijke technische capaciteiten beschikken. De lidstaten moeten bij de ontwikkeling van hun CSIRT’s de hulp van Enisa kunnen inroepen. |
| --- | --- |

(43)

Aangaande de persoonsgegevens moeten de CSIRT’s overeenkomstig Verordening (EU) 2016/679 op verzoek van een essentiële of belangrijke entiteit een proactieve scan kunnen uitvoeren van de netwerk- en informatiesystemen die voor de verlening van de diensten van de entiteit worden gebruikt. In voorkomend geval moeten de lidstaten ernaar streven dat alle sectorale CSIRT’s over gelijke technische capaciteiten beschikken. De lidstaten moeten bij de ontwikkeling van hun CSIRT’s de hulp van Enisa kunnen inroepen.

| (44) | De CSIRT’s moeten de mogelijkheid hebben om op verzoek van een essentiële of belangrijke entiteit de internetgerichte activa van de entiteit te monitoren, zowel binnen als buiten de lokalen ervan, om de algemene risico’s voor de organisatie van de entiteit wat nieuwe aantastingen van de toeleveringsketen of kritieke kwetsbaarheden betreft vast te stellen, te begrijpen en te beheren. De entiteit moet worden aangespoord om aan het CSIRT mee te delen of zij gebruikmaakt van een interface voor bevoorrecht beheer, aangezien dit van invloed kan zijn op de snelheid waarmee beperkende maatregelen worden genomen. |
| --- | --- |

(44)

De CSIRT’s moeten de mogelijkheid hebben om op verzoek van een essentiële of belangrijke entiteit de internetgerichte activa van de entiteit te monitoren, zowel binnen als buiten de lokalen ervan, om de algemene risico’s voor de organisatie van de entiteit wat nieuwe aantastingen van de toeleveringsketen of kritieke kwetsbaarheden betreft vast te stellen, te begrijpen en te beheren. De entiteit moet worden aangespoord om aan het CSIRT mee te delen of zij gebruikmaakt van een interface voor bevoorrecht beheer, aangezien dit van invloed kan zijn op de snelheid waarmee beperkende maatregelen worden genomen.

| (45) | Gezien het belang van internationale samenwerking op het gebied van cyberbeveiliging moeten de CSIRT’s kunnen deelnemen aan internationale samenwerkingsnetwerken, naast het bij deze richtlijn opgerichte CSIRT-netwerk. Daarom moeten de CSIRT’s en de bevoegde autoriteiten voor de uitvoering van hun taken informatie, met inbegrip van persoonsgegevens, kunnen uitwisselen met de nationale computer security incident response teams of bevoegde autoriteiten van derde landen, mits is voldaan aan de voorwaarden van het Uniegegevensbeschermingsrecht inzake doorgifte van persoonsgegevens aan derde landen, onder meer die van artikel 49 van Verordening (EU) 2016/679. |
| --- | --- |

(45)

Gezien het belang van internationale samenwerking op het gebied van cyberbeveiliging moeten de CSIRT’s kunnen deelnemen aan internationale samenwerkingsnetwerken, naast het bij deze richtlijn opgerichte CSIRT-netwerk. Daarom moeten de CSIRT’s en de bevoegde autoriteiten voor de uitvoering van hun taken informatie, met inbegrip van persoonsgegevens, kunnen uitwisselen met de nationale computer security incident response teams of bevoegde autoriteiten van derde landen, mits is voldaan aan de voorwaarden van het Uniegegevensbeschermingsrecht inzake doorgifte van persoonsgegevens aan derde landen, onder meer die van artikel 49 van Verordening (EU) 2016/679.

| (46) | Met het oog op de verwezenlijking van de doelstellingen van deze richtlijn en om de bevoegde autoriteiten en de CSIRT’s in staat te stellen de daarin vastgelegde taken uit te voeren, is het van essentieel belang te zorgen voor voldoende middelen. De lidstaten kunnen op nationaal niveau een financieringsmechanisme invoeren om de uitgaven te dekken in verband met de uitvoering van de taken van overheidsinstanties die op grond van deze richtlijn verantwoordelijk zijn voor cyberbeveiliging in de lidstaat. Een dergelijk mechanisme moet in overeenstemming zijn met het Unierecht en moet evenredig en niet-discriminerend zijn en het aanbieden van beveiligde diensten volgens verschillende benaderingen mogelijk maken. |
| --- | --- |

(46)

Met het oog op de verwezenlijking van de doelstellingen van deze richtlijn en om de bevoegde autoriteiten en de CSIRT’s in staat te stellen de daarin vastgelegde taken uit te voeren, is het van essentieel belang te zorgen voor voldoende middelen. De lidstaten kunnen op nationaal niveau een financieringsmechanisme invoeren om de uitgaven te dekken in verband met de uitvoering van de taken van overheidsinstanties die op grond van deze richtlijn verantwoordelijk zijn voor cyberbeveiliging in de lidstaat. Een dergelijk mechanisme moet in overeenstemming zijn met het Unierecht en moet evenredig en niet-discriminerend zijn en het aanbieden van beveiligde diensten volgens verschillende benaderingen mogelijk maken.

| (47) | Het CSIRT-netwerk moet blijven bijdragen aan het versterken van het vertrouwen, en snelle en doeltreffende operationele samenwerking tussen de lidstaten blijven bevorderen. Om de operationele samenwerking op het niveau van de Unie te verbeteren, moet het CSIRT-netwerk overwegen om organen en agentschappen van de Unie die betrokken zijn bij het cyberbeveiligingsbeleid, zoals Europol, uit te nodigen om deel te nemen aan zijn werkzaamheden. |
| --- | --- |

(47)

Het CSIRT-netwerk moet blijven bijdragen aan het versterken van het vertrouwen, en snelle en doeltreffende operationele samenwerking tussen de lidstaten blijven bevorderen. Om de operationele samenwerking op het niveau van de Unie te verbeteren, moet het CSIRT-netwerk overwegen om organen en agentschappen van de Unie die betrokken zijn bij het cyberbeveiligingsbeleid, zoals Europol, uit te nodigen om deel te nemen aan zijn werkzaamheden.

| (48) | Om een hoog niveau van cyberbeveiliging te bereiken en te handhaven, moeten de op grond van deze richtlijn vereiste nationale cyberbeveiligingsstrategieën bestaan uit samenhangende kaders met strategische doelstellingen en prioriteiten op het gebied van cyberbeveiliging en de governance om deze te verwezenlijken. Die strategieën kunnen bestaan uit een of meer wetgevings- of niet-wetgevingsinstrumenten. |
| --- | --- |

(48)

Om een hoog niveau van cyberbeveiliging te bereiken en te handhaven, moeten de op grond van deze richtlijn vereiste nationale cyberbeveiligingsstrategieën bestaan uit samenhangende kaders met strategische doelstellingen en prioriteiten op het gebied van cyberbeveiliging en de governance om deze te verwezenlijken. Die strategieën kunnen bestaan uit een of meer wetgevings- of niet-wetgevingsinstrumenten.

| (49) | Cyberhygiënebeleid vormt de basis voor de bescherming van de infrastructuur, hardware, software en onlinetoepassingen in het kader van netwerk- en informatiesystemen, en van de gegevens van zakelijke gebruikers of eindgebruikers waar entiteiten afhankelijk van zijn. Cyberhygiënebeleid omvat een gemeenschappelijke basisreeks van praktijken, met inbegrip van software- en hardware-updates, de wijziging van wachtwoorden, het beheer van nieuwe installaties, de beperking van toegangsaccounts op beheersniveau en het back-uppen van gegevens, en het maakt een proactief kader mogelijk met betrekking tot paraatheid en algemene veiligheid en beveiliging in geval van incidenten of cyberdreigingen. Enisa moet het cyberhygiënebeleid van de lidstaten monitoren en analyseren. |
| --- | --- |

(49)

Cyberhygiënebeleid vormt de basis voor de bescherming van de infrastructuur, hardware, software en onlinetoepassingen in het kader van netwerk- en informatiesystemen, en van de gegevens van zakelijke gebruikers of eindgebruikers waar entiteiten afhankelijk van zijn. Cyberhygiënebeleid omvat een gemeenschappelijke basisreeks van praktijken, met inbegrip van software- en hardware-updates, de wijziging van wachtwoorden, het beheer van nieuwe installaties, de beperking van toegangsaccounts op beheersniveau en het back-uppen van gegevens, en het maakt een proactief kader mogelijk met betrekking tot paraatheid en algemene veiligheid en beveiliging in geval van incidenten of cyberdreigingen. Enisa moet het cyberhygiënebeleid van de lidstaten monitoren en analyseren.

| (50) | Cyberbeveiligingsbewustzijn en cyberhygiëne zijn van essentieel belang om het cyberbeveiligingsniveau in de Unie te verhogen, met name in het licht van het toenemende aantal verbonden apparaten waarvan bij cyberaanvallen steeds vaker gebruik wordt gemaakt. Er moeten inspanningen worden geleverd om het algemene bewustzijn van de risico’s in verband met dergelijke apparaten te vergroten, terwijl beoordelingen op Unieniveau kunnen bijdragen tot een gemeenschappelijk begrip van dergelijke risico’s binnen de interne markt. |
| --- | --- |

(50)

Cyberbeveiligingsbewustzijn en cyberhygiëne zijn van essentieel belang om het cyberbeveiligingsniveau in de Unie te verhogen, met name in het licht van het toenemende aantal verbonden apparaten waarvan bij cyberaanvallen steeds vaker gebruik wordt gemaakt. Er moeten inspanningen worden geleverd om het algemene bewustzijn van de risico’s in verband met dergelijke apparaten te vergroten, terwijl beoordelingen op Unieniveau kunnen bijdragen tot een gemeenschappelijk begrip van dergelijke risico’s binnen de interne markt.

| (51) | De lidstaten moeten het gebruik aanmoedigen van innovatieve technologieën, met inbegrip van artificiële intelligentie, waarvan het gebruik de preventie en de opsporing van cyberaanvallen kan verbeteren, zodat de middelen ter bestrijding van cyberaanvallen doeltreffender kunnen worden ingezet. Daarom moeten de lidstaten in hun nationale cyberbeveiligingsstrategie activiteiten op het gebied van onderzoek en ontwikkeling bevorderen met het oog op het gebruik van dergelijke technologieën, met name die welke verband houden met geautomatiseerde of semigeautomatiseerde instrumenten op het gebied van cyberbeveiliging, en, indien nodig, het delen van gegevens om gebruikers van dergelijke technologieën op te leiden en deze te verbeteren. Het gebruik van innovatieve technologieën, met inbegrip van artificiële intelligentie, moet in overeenstemming zijn met het Uniegegevensbeschermingsrecht, met inbegrip van de gegevensbeschermingsbeginselen van nauwkeurigheid van de gegevens, minimale gegevensverwerking, billijkheid en transparantie, en gegevensbeveiliging, zoals geavanceerde versleuteling. Er moet ten volle worden tegemoetgekomen aan de in Verordening (EU) 2016/679 vastgestelde eisen inzake gegevensbescherming door ontwerp en door standaardinstellingen. |
| --- | --- |

(51)

De lidstaten moeten het gebruik aanmoedigen van innovatieve technologieën, met inbegrip van artificiële intelligentie, waarvan het gebruik de preventie en de opsporing van cyberaanvallen kan verbeteren, zodat de middelen ter bestrijding van cyberaanvallen doeltreffender kunnen worden ingezet. Daarom moeten de lidstaten in hun nationale cyberbeveiligingsstrategie activiteiten op het gebied van onderzoek en ontwikkeling bevorderen met het oog op het gebruik van dergelijke technologieën, met name die welke verband houden met geautomatiseerde of semigeautomatiseerde instrumenten op het gebied van cyberbeveiliging, en, indien nodig, het delen van gegevens om gebruikers van dergelijke technologieën op te leiden en deze te verbeteren. Het gebruik van innovatieve technologieën, met inbegrip van artificiële intelligentie, moet in overeenstemming zijn met het Uniegegevensbeschermingsrecht, met inbegrip van de gegevensbeschermingsbeginselen van nauwkeurigheid van de gegevens, minimale gegevensverwerking, billijkheid en transparantie, en gegevensbeveiliging, zoals geavanceerde versleuteling. Er moet ten volle worden tegemoetgekomen aan de in Verordening (EU) 2016/679 vastgestelde eisen inzake gegevensbescherming door ontwerp en door standaardinstellingen.

| (52) | Opensource-instrumenten en -toepassingen voor cyberbeveiliging kunnen bijdragen tot meer openheid en de efficiëntie van industriële innovatie positief beïnvloeden. Open normen bevorderen de interoperabiliteit tussen beveiligingsinstrumenten, wat ten goede komt aan de beveiliging van belanghebbenden uit het bedrijfsleven. Opensource-instrumenten en -toepassingen voor cyberbeveiliging kunnen een hefboomwerking hebben voor de bredere gemeenschap van ontwikkelaars, waardoor diversificatie van leveranciers mogelijk wordt. Dankzij open source kan het proces voor de verificatie van instrumenten voor cyberbeveiliging transparanter verlopen en kan het proces om kwetsbaarheden te ontdekken door de gemeenschap worden aangestuurd. Daarom moet het voor de lidstaten mogelijk zijn om het gebruik van opensourcesoftware en open normen te bevorderen door het nastreven van beleidsmaatregelen die gericht zijn op het gebruik van open data en open source in het kader van beveiliging door transparantie. Beleidsmaatregelen ter bevordering van de invoering en het duurzame gebruik van opensource-instrumenten voor cyberbeveiliging zijn van bijzonder belang voor kleine en middelgrote ondernemingen die te maken krijgen met aanzienlijke uitvoeringskosten, die tot een minimum kunnen worden beperkt door de behoefte aan specifieke toepassingen of instrumenten te verminderen. |
| --- | --- |

(52)

Opensource-instrumenten en -toepassingen voor cyberbeveiliging kunnen bijdragen tot meer openheid en de efficiëntie van industriële innovatie positief beïnvloeden. Open normen bevorderen de interoperabiliteit tussen beveiligingsinstrumenten, wat ten goede komt aan de beveiliging van belanghebbenden uit het bedrijfsleven. Opensource-instrumenten en -toepassingen voor cyberbeveiliging kunnen een hefboomwerking hebben voor de bredere gemeenschap van ontwikkelaars, waardoor diversificatie van leveranciers mogelijk wordt. Dankzij open source kan het proces voor de verificatie van instrumenten voor cyberbeveiliging transparanter verlopen en kan het proces om kwetsbaarheden te ontdekken door de gemeenschap worden aangestuurd. Daarom moet het voor de lidstaten mogelijk zijn om het gebruik van opensourcesoftware en open normen te bevorderen door het nastreven van beleidsmaatregelen die gericht zijn op het gebruik van open data en open source in het kader van beveiliging door transparantie. Beleidsmaatregelen ter bevordering van de invoering en het duurzame gebruik van opensource-instrumenten voor cyberbeveiliging zijn van bijzonder belang voor kleine en middelgrote ondernemingen die te maken krijgen met aanzienlijke uitvoeringskosten, die tot een minimum kunnen worden beperkt door de behoefte aan specifieke toepassingen of instrumenten te verminderen.

| (53) | Nutsbedrijven zijn in toenemende mate aangesloten op digitale netwerken in steden om de stedelijke vervoersnetwerken te verbeteren, de watervoorziening en afvalverwijderingsinstallaties te moderniseren en gebouwen efficiënter te verlichten en verwarmen. Die gedigitaliseerde nutsbedrijven zijn kwetsbaar voor cyberaanvallen en lopen het risico dat zij burgers bij een succesvolle cyberaanval op grote schaal schade berokkenen doordat zij onderling verbonden zijn. De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategie een beleid vaststellen dat gericht is op de ontwikkeling van dergelijke verbonden of slimme steden en de mogelijke gevolgen daarvan voor de samenleving. |
| --- | --- |

(53)

Nutsbedrijven zijn in toenemende mate aangesloten op digitale netwerken in steden om de stedelijke vervoersnetwerken te verbeteren, de watervoorziening en afvalverwijderingsinstallaties te moderniseren en gebouwen efficiënter te verlichten en verwarmen. Die gedigitaliseerde nutsbedrijven zijn kwetsbaar voor cyberaanvallen en lopen het risico dat zij burgers bij een succesvolle cyberaanval op grote schaal schade berokkenen doordat zij onderling verbonden zijn. De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategie een beleid vaststellen dat gericht is op de ontwikkeling van dergelijke verbonden of slimme steden en de mogelijke gevolgen daarvan voor de samenleving.

| (54) | De afgelopen jaren is er in de Unie een exponentiële toename van het aantal ransomwareaanvallen, waarbij gegevens en systemen worden vergrendeld met malware en voor de ontgrendeling losgeld moet worden betaald. De toenemende frequentie en ernst van ransomwareaanvallen kan het gevolg zijn van diverse factoren, zoals verschillende aanvalspatronen, criminele bedrijfsmodellen rond “ransomware als dienst” en cryptovaluta, de vraag om losgeld en de toename van aanvallen op de toeleveringsketen. De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategie beleidsmaatregelen ontwikkelen om de toename van ransomwareaanvallen aan te pakken. |
| --- | --- |

(54)

De afgelopen jaren is er in de Unie een exponentiële toename van het aantal ransomwareaanvallen, waarbij gegevens en systemen worden vergrendeld met malware en voor de ontgrendeling losgeld moet worden betaald. De toenemende frequentie en ernst van ransomwareaanvallen kan het gevolg zijn van diverse factoren, zoals verschillende aanvalspatronen, criminele bedrijfsmodellen rond “ransomware als dienst” en cryptovaluta, de vraag om losgeld en de toename van aanvallen op de toeleveringsketen. De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategie beleidsmaatregelen ontwikkelen om de toename van ransomwareaanvallen aan te pakken.

| (55) | Publiek-private partnerschappen (PPP’s) op het gebied van cyberbeveiliging kunnen een passend kader bieden om kennis en beste praktijken uit te wisselen en te komen tot een gedeeld niveau van inzicht onder de belanghebbenden. De lidstaten moeten beleidsmaatregelen bevorderen ter ondersteuning van de oprichting van specifieke PPP’s op het gebied van cyberbeveiliging. In die beleidsmaatregelen moeten met betrekking tot PPP’s onder meer de draagwijdte en de betrokken belanghebbenden, het governancemodel, de beschikbare financieringsmogelijkheden en de interactie tussen de deelnemende belanghebbenden worden verduidelijkt. Dankzij PPP’s kunnen entiteiten uit de particuliere sector de bevoegde autoriteiten met hun expertise ondersteunen met het oog op de ontwikkeling van geavanceerde diensten en processen, waaronder informatie-uitwisseling, vroegtijdige waarschuwingen, oefeningen betreffende cyberdreigingen en -incidenten, crisisbeheer en weerbaarheidsplanning. |
| --- | --- |

(55)

Publiek-private partnerschappen (PPP’s) op het gebied van cyberbeveiliging kunnen een passend kader bieden om kennis en beste praktijken uit te wisselen en te komen tot een gedeeld niveau van inzicht onder de belanghebbenden. De lidstaten moeten beleidsmaatregelen bevorderen ter ondersteuning van de oprichting van specifieke PPP’s op het gebied van cyberbeveiliging. In die beleidsmaatregelen moeten met betrekking tot PPP’s onder meer de draagwijdte en de betrokken belanghebbenden, het governancemodel, de beschikbare financieringsmogelijkheden en de interactie tussen de deelnemende belanghebbenden worden verduidelijkt. Dankzij PPP’s kunnen entiteiten uit de particuliere sector de bevoegde autoriteiten met hun expertise ondersteunen met het oog op de ontwikkeling van geavanceerde diensten en processen, waaronder informatie-uitwisseling, vroegtijdige waarschuwingen, oefeningen betreffende cyberdreigingen en -incidenten, crisisbeheer en weerbaarheidsplanning.

| (56) | De lidstaten moeten in hun nationale cyberbeveiligingsstrategieën rekening houden met de specifieke behoeften van kleine en middelgrote ondernemingen op het gebied van cyberbeveiliging. Kleine en middelgrote ondernemingen vertegenwoordigen in de hele Unie een groot percentage van de industriële en zakelijke markt en hebben vaak moeite om zich aan te passen aan nieuwe bedrijfspraktijken in een meer verbonden wereld en aan de digitale wereld, met thuiswerkende werknemers en steeds meer online verrichte bedrijfsactiviteiten. Sommige kleine en middelgrote ondernemingen worden geconfronteerd met specifieke uitdagingen op het gebied van cyberbeveiliging, namelijk een beperkt cyberbewustzijn, een gebrek aan IT-beveiliging op afstand, hoge kosten van cyberbeveiligingsoplossingen en een verhoogd dreigingsniveau, onder meer door ransomware, waarvoor zij begeleiding en bijstand moeten krijgen. Kleine en middelgrote ondernemingen worden steeds vaker het doelwit van aanvallen op de toeleveringsketen omdat zij minder strenge maatregelen voor het beheer van cyberbeveiligingsrisico’s en aanvalsbeheer nemen, en omdat zij beperkte beveiligingsmiddelen hebben. Dergelijke aanvallen op de toeleveringsketen hebben niet alleen gevolgen voor kleine en middelgrote ondernemingen en hun activiteiten, maar kunnen ook een cascade-effect veroorzaken en zo leiden tot grotere aanvallen op entiteiten waaraan kleine en middelgrote ondernemingen hebben geleverd. De lidstaten moeten via hun nationale cyberbeveiligingsstrategieën kleine en middelgrote ondernemingen helpen de uitdagingen in hun toeleveringsketen aan te pakken. De lidstaten moeten beschikken over een contactpunt voor kleine en middelgrote ondernemingen op nationaal of regionaal niveau, dat begeleiding en bijstand verleent aan kleine en middelgrote ondernemingen of hen doorverwijst naar de passende instanties voor begeleiding en bijstand met betrekking tot cyberbeveiliging. De lidstaten worden ook aangespoord om diensten zoals websiteconfiguratie en registratiesystemen aan te bieden aan micro-ondernemingen en kleine ondernemingen die niet over deze mogelijkheden beschikken. |
| --- | --- |

(56)

De lidstaten moeten in hun nationale cyberbeveiligingsstrategieën rekening houden met de specifieke behoeften van kleine en middelgrote ondernemingen op het gebied van cyberbeveiliging. Kleine en middelgrote ondernemingen vertegenwoordigen in de hele Unie een groot percentage van de industriële en zakelijke markt en hebben vaak moeite om zich aan te passen aan nieuwe bedrijfspraktijken in een meer verbonden wereld en aan de digitale wereld, met thuiswerkende werknemers en steeds meer online verrichte bedrijfsactiviteiten. Sommige kleine en middelgrote ondernemingen worden geconfronteerd met specifieke uitdagingen op het gebied van cyberbeveiliging, namelijk een beperkt cyberbewustzijn, een gebrek aan IT-beveiliging op afstand, hoge kosten van cyberbeveiligingsoplossingen en een verhoogd dreigingsniveau, onder meer door ransomware, waarvoor zij begeleiding en bijstand moeten krijgen. Kleine en middelgrote ondernemingen worden steeds vaker het doelwit van aanvallen op de toeleveringsketen omdat zij minder strenge maatregelen voor het beheer van cyberbeveiligingsrisico’s en aanvalsbeheer nemen, en omdat zij beperkte beveiligingsmiddelen hebben. Dergelijke aanvallen op de toeleveringsketen hebben niet alleen gevolgen voor kleine en middelgrote ondernemingen en hun activiteiten, maar kunnen ook een cascade-effect veroorzaken en zo leiden tot grotere aanvallen op entiteiten waaraan kleine en middelgrote ondernemingen hebben geleverd. De lidstaten moeten via hun nationale cyberbeveiligingsstrategieën kleine en middelgrote ondernemingen helpen de uitdagingen in hun toeleveringsketen aan te pakken. De lidstaten moeten beschikken over een contactpunt voor kleine en middelgrote ondernemingen op nationaal of regionaal niveau, dat begeleiding en bijstand verleent aan kleine en middelgrote ondernemingen of hen doorverwijst naar de passende instanties voor begeleiding en bijstand met betrekking tot cyberbeveiliging. De lidstaten worden ook aangespoord om diensten zoals websiteconfiguratie en registratiesystemen aan te bieden aan micro-ondernemingen en kleine ondernemingen die niet over deze mogelijkheden beschikken.

| (57) | De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategieën beleidsmaatregelen vaststellen ter bevordering van actieve cyberbescherming in het kader van een bredere verdedigingsstrategie. In plaats van achteraf te reageren, bestaat actieve cyberbescherming uit het actief voorkomen, opsporen, monitoren, analyseren en beperken van inbreuken op de beveiliging van netwerken, in combinatie met het gebruik van capaciteiten die binnen en buiten het netwerk van de slachtoffers worden ingezet. Daarbij kan het gaan om lidstaten die gratis diensten of instrumenten aanbieden aan bepaalde entiteiten, waaronder zelfbedieningscontroles, opsporingsinstrumenten en verwijderingsdiensten. Het vermogen om snel en automatisch informatie over en analyses van dreigingen, cyberactiviteitswaarschuwingen en responsacties te delen en te begrijpen, is van cruciaal belang om gezamenlijke inspanningen mogelijk te maken om aanvallen op netwerk- en informatiesystemen met succes te voorkomen, op te sporen, aan te pakken en tegen te houden. Actieve cyberbescherming is gebaseerd op een verdedigingsstrategie die offensieve maatregelen uitsluit. |
| --- | --- |

(57)

De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategieën beleidsmaatregelen vaststellen ter bevordering van actieve cyberbescherming in het kader van een bredere verdedigingsstrategie. In plaats van achteraf te reageren, bestaat actieve cyberbescherming uit het actief voorkomen, opsporen, monitoren, analyseren en beperken van inbreuken op de beveiliging van netwerken, in combinatie met het gebruik van capaciteiten die binnen en buiten het netwerk van de slachtoffers worden ingezet. Daarbij kan het gaan om lidstaten die gratis diensten of instrumenten aanbieden aan bepaalde entiteiten, waaronder zelfbedieningscontroles, opsporingsinstrumenten en verwijderingsdiensten. Het vermogen om snel en automatisch informatie over en analyses van dreigingen, cyberactiviteitswaarschuwingen en responsacties te delen en te begrijpen, is van cruciaal belang om gezamenlijke inspanningen mogelijk te maken om aanvallen op netwerk- en informatiesystemen met succes te voorkomen, op te sporen, aan te pakken en tegen te houden. Actieve cyberbescherming is gebaseerd op een verdedigingsstrategie die offensieve maatregelen uitsluit.

| (58) | Aangezien de exploitatie van kwetsbaarheden in netwerk- en informatiesystemen aanzienlijke verstoringen en schade kan veroorzaken, is het snel identificeren en verhelpen van dergelijke kwetsbaarheden een belangrijke factor in het verminderen van het risico. Entiteiten die netwerk- en informatiesystemen ontwikkelen of beheren, moeten daarom passende procedures vaststellen om kwetsbaarheden aan te pakken wanneer deze worden ontdekt. Aangezien kwetsbaarheden vaak door derden worden ontdekt of bekendgemaakt, moet de fabrikant of aanbieder van ICT-producten of ICT-diensten ook voorzien in de noodzakelijke procedures om kwetsbaarheidsinformatie van derden te ontvangen. In dat verband bieden de internationale normen ISO/IEC 30111 en ISO/IEC 29147 richtsnoeren voor de respons op en de bekendmaking van kwetsbaarheden. Het versterken van de coördinatie tussen de rapporterende natuurlijke personen en rechtspersonen en de fabrikanten of aanbieders van ICT-producten of ICT-diensten is met name van belang ten behoeve van het vrijwillige kader voor de bekendmaking van kwetsbaarheden. De gecoördineerde bekendmaking van kwetsbaarheden duidt een gestructureerd proces aan waarbij kwetsbaarheden aan de fabrikant of aanbieder van de potentieel kwetsbare ICT-producten of ICT-diensten worden gemeld op een manier die deze in staat stelt de kwetsbaarheid te diagnosticeren en te verhelpen voordat gedetailleerde informatie over de kwetsbaarheid aan derden of aan het publiek wordt bekendgemaakt. De gecoördineerde bekendmaking van kwetsbaarheden moet ook betrekking hebben op de coördinatie tussen de rapporterende natuurlijke persoon of rechtspersoon en de fabrikant of aanbieder van de potentieel kwetsbare ICT-producten of ICT-diensten wat betreft het tijdstip van het herstel en de bekendmaking van de kwetsbaarheden. |
| --- | --- |

(58)

Aangezien de exploitatie van kwetsbaarheden in netwerk- en informatiesystemen aanzienlijke verstoringen en schade kan veroorzaken, is het snel identificeren en verhelpen van dergelijke kwetsbaarheden een belangrijke factor in het verminderen van het risico. Entiteiten die netwerk- en informatiesystemen ontwikkelen of beheren, moeten daarom passende procedures vaststellen om kwetsbaarheden aan te pakken wanneer deze worden ontdekt. Aangezien kwetsbaarheden vaak door derden worden ontdekt of bekendgemaakt, moet de fabrikant of aanbieder van ICT-producten of ICT-diensten ook voorzien in de noodzakelijke procedures om kwetsbaarheidsinformatie van derden te ontvangen. In dat verband bieden de internationale normen ISO/IEC 30111 en ISO/IEC 29147 richtsnoeren voor de respons op en de bekendmaking van kwetsbaarheden. Het versterken van de coördinatie tussen de rapporterende natuurlijke personen en rechtspersonen en de fabrikanten of aanbieders van ICT-producten of ICT-diensten is met name van belang ten behoeve van het vrijwillige kader voor de bekendmaking van kwetsbaarheden. De gecoördineerde bekendmaking van kwetsbaarheden duidt een gestructureerd proces aan waarbij kwetsbaarheden aan de fabrikant of aanbieder van de potentieel kwetsbare ICT-producten of ICT-diensten worden gemeld op een manier die deze in staat stelt de kwetsbaarheid te diagnosticeren en te verhelpen voordat gedetailleerde informatie over de kwetsbaarheid aan derden of aan het publiek wordt bekendgemaakt. De gecoördineerde bekendmaking van kwetsbaarheden moet ook betrekking hebben op de coördinatie tussen de rapporterende natuurlijke persoon of rechtspersoon en de fabrikant of aanbieder van de potentieel kwetsbare ICT-producten of ICT-diensten wat betreft het tijdstip van het herstel en de bekendmaking van de kwetsbaarheden.

| (59) | De Commissie, Enisa en de lidstaten moeten de afstemming op de internationale normen en bestaande beste praktijken van het bedrijfsleven op het gebied van risicobeheer inzake cyberbeveiliging blijven bevorderen, bijvoorbeeld op het gebied van de beoordeling van de beveiliging van de toeleveringsketen, de informatie-uitwisseling en de bekendmaking van kwetsbaarheden. |
| --- | --- |

(59)

De Commissie, Enisa en de lidstaten moeten de afstemming op de internationale normen en bestaande beste praktijken van het bedrijfsleven op het gebied van risicobeheer inzake cyberbeveiliging blijven bevorderen, bijvoorbeeld op het gebied van de beoordeling van de beveiliging van de toeleveringsketen, de informatie-uitwisseling en de bekendmaking van kwetsbaarheden.

| (60) | De lidstaten moeten in samenwerking met Enisa maatregelen nemen om een gecoördineerde bekendmaking van kwetsbaarheden te vergemakkelijken door een relevant nationaal beleid vast te stellen. In het kader van hun nationaal beleid moeten de lidstaten ernaar streven zoveel mogelijk de problemen weg te nemen waar onderzoekers van kwetsbaarheden mee worden geconfronteerd, waaronder hun mogelijke blootstelling aan strafrechtelijke aansprakelijkheid, overeenkomstig het nationale recht. Aangezien natuurlijke en rechtspersonen die onderzoek doen naar kwetsbaarheden in sommige lidstaten strafrechtelijk en civielrechtelijk aansprakelijk kunnen worden gesteld, worden de lidstaten aangespoord richtsnoeren vast te stellen met betrekking tot niet-vervolging van onderzoekers op het gebied van informatiebeveiliging en vrijstelling van civielrechtelijke aansprakelijkheid voor hun activiteiten. |
| --- | --- |

(60)

De lidstaten moeten in samenwerking met Enisa maatregelen nemen om een gecoördineerde bekendmaking van kwetsbaarheden te vergemakkelijken door een relevant nationaal beleid vast te stellen. In het kader van hun nationaal beleid moeten de lidstaten ernaar streven zoveel mogelijk de problemen weg te nemen waar onderzoekers van kwetsbaarheden mee worden geconfronteerd, waaronder hun mogelijke blootstelling aan strafrechtelijke aansprakelijkheid, overeenkomstig het nationale recht. Aangezien natuurlijke en rechtspersonen die onderzoek doen naar kwetsbaarheden in sommige lidstaten strafrechtelijk en civielrechtelijk aansprakelijk kunnen worden gesteld, worden de lidstaten aangespoord richtsnoeren vast te stellen met betrekking tot niet-vervolging van onderzoekers op het gebied van informatiebeveiliging en vrijstelling van civielrechtelijke aansprakelijkheid voor hun activiteiten.

| (61) | De lidstaten moeten een van hun CSIRT’s aanwijzen als coördinator die, indien nodig, optreedt als betrouwbare tussenpersoon tussen de rapporterende natuurlijke of rechtspersonen en de fabrikanten of aanbieders van ICT-producten of ICT-diensten, die waarschijnlijk door de kwetsbaarheid zullen worden getroffen. De taken van het als coördinator aangewezen CSIRT moeten met name bestaan uit het identificeren van en contact opnemen met de betrokken entiteiten, het bijstaan van de natuurlijke of rechtspersonen die een kwetsbaarheid melden, het onderhandelen over tijdschema’s voor de bekendmaking en het beheren van kwetsbaarheden die van invloed zijn op meerdere entiteiten (gecoördineerde bekendmaking van kwetsbaarheden door meerdere partijen). Wanneer de gemelde kwetsbaarheid significante gevolgen kan hebben voor entiteiten in meer dan een lidstaat, moeten de als coördinator aangewezen CSIRT’s in voorkomend geval binnen het CSIRT-netwerk samenwerken. |
| --- | --- |

(61)

De lidstaten moeten een van hun CSIRT’s aanwijzen als coördinator die, indien nodig, optreedt als betrouwbare tussenpersoon tussen de rapporterende natuurlijke of rechtspersonen en de fabrikanten of aanbieders van ICT-producten of ICT-diensten, die waarschijnlijk door de kwetsbaarheid zullen worden getroffen. De taken van het als coördinator aangewezen CSIRT moeten met name bestaan uit het identificeren van en contact opnemen met de betrokken entiteiten, het bijstaan van de natuurlijke of rechtspersonen die een kwetsbaarheid melden, het onderhandelen over tijdschema’s voor de bekendmaking en het beheren van kwetsbaarheden die van invloed zijn op meerdere entiteiten (gecoördineerde bekendmaking van kwetsbaarheden door meerdere partijen). Wanneer de gemelde kwetsbaarheid significante gevolgen kan hebben voor entiteiten in meer dan een lidstaat, moeten de als coördinator aangewezen CSIRT’s in voorkomend geval binnen het CSIRT-netwerk samenwerken.

| (62) | Toegang tot correcte en tijdige informatie over kwetsbaarheden die van invloed zijn op ICT-producten en ICT-diensten draagt bij aan een verbeterd risicobeheer inzake cyberbeveiliging. Bronnen van publiek beschikbare informatie over kwetsbaarheden zijn een belangrijk instrument voor de entiteiten en voor de gebruikers van hun diensten, maar ook voor de bevoegde autoriteiten en de CSIRT’s. Daarom moet Enisa een Europese kwetsbaarheidsdatabase instellen waarin entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, en hun leveranciers van netwerk- en informatiesystemen, evenals de bevoegde autoriteiten en de CSIRT’s, op vrijwillige basis algemeen bekende kwetsbaarheden kunnen publiceren en registreren om gebruikers in staat te stellen passende beperkende maatregelen te nemen. Het doel van die database is de unieke uitdagingen aan te pakken die voortvloeien uit de risico’s voor entiteiten in de Unie. Voorts moet Enisa voorzien in een passende procedure voor het bekendmakingsproces teneinde entiteiten de tijd te geven om beperkende maatregelen te nemen met betrekking tot hun kwetsbaarheden en gebruik te maken van geavanceerde maatregelen voor het beheer van cyberbeveiligingsrisico’s, alsook van machinaal leesbare gegevenssets en bijbehorende interfaces. Om een cultuur van bekendmaking van kwetsbaarheden te bevorderen, mag bekendmaking geen nadelige gevolgen hebben voor de rapporterende natuurlijke persoon of rechtspersoon. |
| --- | --- |

(62)

Toegang tot correcte en tijdige informatie over kwetsbaarheden die van invloed zijn op ICT-producten en ICT-diensten draagt bij aan een verbeterd risicobeheer inzake cyberbeveiliging. Bronnen van publiek beschikbare informatie over kwetsbaarheden zijn een belangrijk instrument voor de entiteiten en voor de gebruikers van hun diensten, maar ook voor de bevoegde autoriteiten en de CSIRT’s. Daarom moet Enisa een Europese kwetsbaarheidsdatabase instellen waarin entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, en hun leveranciers van netwerk- en informatiesystemen, evenals de bevoegde autoriteiten en de CSIRT’s, op vrijwillige basis algemeen bekende kwetsbaarheden kunnen publiceren en registreren om gebruikers in staat te stellen passende beperkende maatregelen te nemen. Het doel van die database is de unieke uitdagingen aan te pakken die voortvloeien uit de risico’s voor entiteiten in de Unie. Voorts moet Enisa voorzien in een passende procedure voor het bekendmakingsproces teneinde entiteiten de tijd te geven om beperkende maatregelen te nemen met betrekking tot hun kwetsbaarheden en gebruik te maken van geavanceerde maatregelen voor het beheer van cyberbeveiligingsrisico’s, alsook van machinaal leesbare gegevenssets en bijbehorende interfaces. Om een cultuur van bekendmaking van kwetsbaarheden te bevorderen, mag bekendmaking geen nadelige gevolgen hebben voor de rapporterende natuurlijke persoon of rechtspersoon.

| (63) | Hoewel er soortgelijke kwetsbaarheidsregisters of -databases bestaan, worden deze gehost en onderhouden door entiteiten die niet in de Unie zijn gevestigd. Een door Enisa bijgehouden Europese kwetsbaarheidsdatabase zou zorgen voor meer transparantie met betrekking tot het bekendmakingsproces voordat de kwetsbaarheid openbaar wordt gemaakt, en voor meer weerbaarheid in geval van een verstoring of een onderbreking van de verlening van soortgelijke diensten. Om dubbel werk te voorkomen en zoveel mogelijk complementariteit na te streven, moet Enisa de mogelijkheid onderzoeken om gestructureerde samenwerkingsovereenkomsten te sluiten met soortgelijke registers of databases die onder de jurisdictie van derde landen vallen. Meer bepaald moet Enisa de mogelijkheid onderzoeken van nauwe samenwerking met de beheerders van het systeem voor gemeenschappelijke kwetsbaarheden en blootstellingen (CVE). |
| --- | --- |

(63)

Hoewel er soortgelijke kwetsbaarheidsregisters of -databases bestaan, worden deze gehost en onderhouden door entiteiten die niet in de Unie zijn gevestigd. Een door Enisa bijgehouden Europese kwetsbaarheidsdatabase zou zorgen voor meer transparantie met betrekking tot het bekendmakingsproces voordat de kwetsbaarheid openbaar wordt gemaakt, en voor meer weerbaarheid in geval van een verstoring of een onderbreking van de verlening van soortgelijke diensten. Om dubbel werk te voorkomen en zoveel mogelijk complementariteit na te streven, moet Enisa de mogelijkheid onderzoeken om gestructureerde samenwerkingsovereenkomsten te sluiten met soortgelijke registers of databases die onder de jurisdictie van derde landen vallen. Meer bepaald moet Enisa de mogelijkheid onderzoeken van nauwe samenwerking met de beheerders van het systeem voor gemeenschappelijke kwetsbaarheden en blootstellingen (CVE).

| (64) | De samenwerkingsgroep moet de strategische samenwerking en de uitwisseling van informatie tussen de lidstaten ondersteunen en bevorderen, en het onderlinge vertrouwen tussen de lidstaten vergroten. De samenwerkingsgroep moet om de twee jaar een werkprogramma vaststellen. Het werkprogramma moet de acties omvatten die de samenwerkingsgroep moet ondernemen om haar doelstellingen en taken uit te voeren. Om mogelijke verstoringen van de werkzaamheden van de samenwerkingsgroep te voorkomen, moet het tijdschema voor de vaststelling van het eerste werkprogramma dat uit hoofde van deze richtlijn wordt vastgesteld, worden afgestemd op het tijdschema van het laatste werkprogramma dat uit hoofde van Richtlijn (EU) 2016/1148 is vastgesteld. |
| --- | --- |

(64)

De samenwerkingsgroep moet de strategische samenwerking en de uitwisseling van informatie tussen de lidstaten ondersteunen en bevorderen, en het onderlinge vertrouwen tussen de lidstaten vergroten. De samenwerkingsgroep moet om de twee jaar een werkprogramma vaststellen. Het werkprogramma moet de acties omvatten die de samenwerkingsgroep moet ondernemen om haar doelstellingen en taken uit te voeren. Om mogelijke verstoringen van de werkzaamheden van de samenwerkingsgroep te voorkomen, moet het tijdschema voor de vaststelling van het eerste werkprogramma dat uit hoofde van deze richtlijn wordt vastgesteld, worden afgestemd op het tijdschema van het laatste werkprogramma dat uit hoofde van Richtlijn (EU) 2016/1148 is vastgesteld.

| (65) | Bij de ontwikkeling van richtsnoeren moet de samenwerkingsgroep consequent nationale oplossingen en ervaringen in kaart brengen, het effect van de resultaten van de samenwerkingsgroep op de nationale aanpak beoordelen, de uitdagingen op het gebied van de uitvoering bespreken en specifieke aanbevelingen formuleren — met name over het vergemakkelijken van de onderlinge afstemming tussen de lidstaten bij de omzetting van deze richtlijn — die moeten worden aangepakt door een betere uitvoering van de bestaande regels. De samenwerkingsgroep kan ook de nationale oplossingen in kaart brengen om compatibele oplossingen op het gebied van cyberbeveiliging die in elke specifieke sector in de Unie worden toegepast, te bevorderen. Dit is met name relevant voor sectoren met een internationaal en grensoverschrijdend karakter. |
| --- | --- |

(65)

Bij de ontwikkeling van richtsnoeren moet de samenwerkingsgroep consequent nationale oplossingen en ervaringen in kaart brengen, het effect van de resultaten van de samenwerkingsgroep op de nationale aanpak beoordelen, de uitdagingen op het gebied van de uitvoering bespreken en specifieke aanbevelingen formuleren — met name over het vergemakkelijken van de onderlinge afstemming tussen de lidstaten bij de omzetting van deze richtlijn — die moeten worden aangepakt door een betere uitvoering van de bestaande regels. De samenwerkingsgroep kan ook de nationale oplossingen in kaart brengen om compatibele oplossingen op het gebied van cyberbeveiliging die in elke specifieke sector in de Unie worden toegepast, te bevorderen. Dit is met name relevant voor sectoren met een internationaal en grensoverschrijdend karakter.

| (66) | De samenwerkingsgroep moet een flexibel forum blijven en in staat zijn te reageren op veranderende en nieuwe beleidsprioriteiten en -uitdagingen, rekening houdend met de beschikbaarheid van middelen. Zij kan regelmatig gezamenlijke bijeenkomsten organiseren met relevante particuliere belanghebbenden uit de hele Unie om de activiteiten van de samenwerkingsgroep te bespreken en gegevens en input over nieuwe beleidsuitdagingen te verzamelen. Daarnaast moet de samenwerkingsgroep regelmatig de stand van zaken met betrekking tot cyberdreigingen of -incidenten, zoals ransomware, beoordelen. Om de samenwerking op Unieniveau te versterken, moet de samenwerkingsgroep overwegen de relevante instellingen, organen en instanties van de Unie die betrokken zijn bij het cyberbeveiligingsbeleid, zoals het Europees Parlement, Europol, het Europees Comité voor gegevensbescherming, het bij Verordening (EU) 2018/1139 opgerichte Agentschap van de Europese Unie voor de veiligheid van de luchtvaart en het bij Verordening (EU) 2021/696 van het Europees Parlement en de Raad (14) opgerichte Agentschap van de Europese Unie voor het ruimtevaartprogramma, uit te nodigen om deel te nemen aan de werkzaamheden van de groep. |
| --- | --- |

(66)

De samenwerkingsgroep moet een flexibel forum blijven en in staat zijn te reageren op veranderende en nieuwe beleidsprioriteiten en -uitdagingen, rekening houdend met de beschikbaarheid van middelen. Zij kan regelmatig gezamenlijke bijeenkomsten organiseren met relevante particuliere belanghebbenden uit de hele Unie om de activiteiten van de samenwerkingsgroep te bespreken en gegevens en input over nieuwe beleidsuitdagingen te verzamelen. Daarnaast moet de samenwerkingsgroep regelmatig de stand van zaken met betrekking tot cyberdreigingen of -incidenten, zoals ransomware, beoordelen. Om de samenwerking op Unieniveau te versterken, moet de samenwerkingsgroep overwegen de relevante instellingen, organen en instanties van de Unie die betrokken zijn bij het cyberbeveiligingsbeleid, zoals het Europees Parlement, Europol, het Europees Comité voor gegevensbescherming, het bij Verordening (EU) 2018/1139 opgerichte Agentschap van de Europese Unie voor de veiligheid van de luchtvaart en het bij Verordening (EU) 2021/696 van het Europees Parlement en de Raad (14) opgerichte Agentschap van de Europese Unie voor het ruimtevaartprogramma, uit te nodigen om deel te nemen aan de werkzaamheden van de groep.

| (67) | De bevoegde autoriteiten en de CSIRT’s moeten kunnen deelnemen aan uitwisselingsprogramma’s voor ambtenaren uit andere lidstaten, binnen een specifiek kader en, in voorkomend geval, op voorwaarde dat de ambtenaren die aan dergelijke uitwisselingsprogramma’s deelnemen over de vereiste veiligheidsmachtiging beschikken, teneinde de samenwerking te verbeteren en het vertrouwen tussen de lidstaten te versterken. De bevoegde autoriteiten moeten de noodzakelijke maatregelen nemen om ambtenaren uit andere lidstaten in staat te stellen een doeltreffende rol te spelen in de activiteiten van de bevoegde autoriteit van ontvangst of het CSIRT van ontvangst. |
| --- | --- |

(67)

De bevoegde autoriteiten en de CSIRT’s moeten kunnen deelnemen aan uitwisselingsprogramma’s voor ambtenaren uit andere lidstaten, binnen een specifiek kader en, in voorkomend geval, op voorwaarde dat de ambtenaren die aan dergelijke uitwisselingsprogramma’s deelnemen over de vereiste veiligheidsmachtiging beschikken, teneinde de samenwerking te verbeteren en het vertrouwen tussen de lidstaten te versterken. De bevoegde autoriteiten moeten de noodzakelijke maatregelen nemen om ambtenaren uit andere lidstaten in staat te stellen een doeltreffende rol te spelen in de activiteiten van de bevoegde autoriteit van ontvangst of het CSIRT van ontvangst.

| (68) | De lidstaten moeten bijdragen aan de totstandbrenging van het in Aanbeveling (EU) 2017/1584 van de Commissie (15) beschreven EU-kader voor respons op cybercrises via de bestaande samenwerkingsnetwerken, met name het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe), het CSIRT-netwerk en de samenwerkingsgroep. EU-CyCLONe en het CSIRT-netwerk moeten samenwerken op basis van procedurele regelingen waarin die samenwerking nader wordt gespecificeerd en moeten dubbel werk voorkomen. In het reglement van orde van EU-CyCLONe moeten de regelingen voor de werking van dat netwerk nader worden gespecificeerd, met inbegrip van de rollen van het netwerk, de samenwerkingswijzen, de interactie met andere relevante actoren en de modellen voor het delen van informatie, alsmede de communicatiemiddelen. Voor crisisbeheer op Unieniveau moeten de relevante partijen zich baseren op de geïntegreerde Unieregeling politieke crisisrespons overeenkomstig Uitvoeringsbesluit (EU) 2018/1993 van de Raad (16) (IPCR-regeling). De Commissie moet daartoe gebruikmaken van het ARGUS-proces voor sectoroverschrijdende crisiscoördinatie op hoog niveau. Als de crisis een belangrijke externe dimensie heeft of raakt aan het gemeenschappelijk veiligheids- en defensiebeleid, moet het crisisresponsmechanisme van de Europese Dienst voor extern optreden worden geactiveerd. |
| --- | --- |

(68)

De lidstaten moeten bijdragen aan de totstandbrenging van het in Aanbeveling (EU) 2017/1584 van de Commissie (15) beschreven EU-kader voor respons op cybercrises via de bestaande samenwerkingsnetwerken, met name het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe), het CSIRT-netwerk en de samenwerkingsgroep. EU-CyCLONe en het CSIRT-netwerk moeten samenwerken op basis van procedurele regelingen waarin die samenwerking nader wordt gespecificeerd en moeten dubbel werk voorkomen. In het reglement van orde van EU-CyCLONe moeten de regelingen voor de werking van dat netwerk nader worden gespecificeerd, met inbegrip van de rollen van het netwerk, de samenwerkingswijzen, de interactie met andere relevante actoren en de modellen voor het delen van informatie, alsmede de communicatiemiddelen. Voor crisisbeheer op Unieniveau moeten de relevante partijen zich baseren op de geïntegreerde Unieregeling politieke crisisrespons overeenkomstig Uitvoeringsbesluit (EU) 2018/1993 van de Raad (16) (IPCR-regeling). De Commissie moet daartoe gebruikmaken van het ARGUS-proces voor sectoroverschrijdende crisiscoördinatie op hoog niveau. Als de crisis een belangrijke externe dimensie heeft of raakt aan het gemeenschappelijk veiligheids- en defensiebeleid, moet het crisisresponsmechanisme van de Europese Dienst voor extern optreden worden geactiveerd.

| (69) | Overeenkomstig de bijlage bij Aanbeveling (EU) 2017/1584 moet onder een grootschalig cyberbeveiligingsincident een incident worden verstaan dat leidt tot een verstoring die te groot is om door een getroffen lidstaat alleen te worden verholpen of dat significante gevolgen heeft voor ten minste twee lidstaten. Afhankelijk van hun oorzaak en gevolgen kunnen grootschalige cyberbeveiligingsincidenten escaleren en veranderen in volwaardige crises die de goede werking van de interne markt niet mogelijk maken of ernstige risico’s voor de openbare veiligheid en beveiliging met zich meebrengen voor entiteiten of burgers in verschillende lidstaten of in de Unie als geheel. Gezien het brede toepassingsgebied en in de meeste gevallen het grensoverschrijdende karakter van dergelijke incidenten, moeten de lidstaten en de betrokken instellingen, organen en instanties van de Unie op technisch, operationeel en politiek niveau samenwerken om de respons in de hele Unie naar behoren te coördineren. |
| --- | --- |

(69)

Overeenkomstig de bijlage bij Aanbeveling (EU) 2017/1584 moet onder een grootschalig cyberbeveiligingsincident een incident worden verstaan dat leidt tot een verstoring die te groot is om door een getroffen lidstaat alleen te worden verholpen of dat significante gevolgen heeft voor ten minste twee lidstaten. Afhankelijk van hun oorzaak en gevolgen kunnen grootschalige cyberbeveiligingsincidenten escaleren en veranderen in volwaardige crises die de goede werking van de interne markt niet mogelijk maken of ernstige risico’s voor de openbare veiligheid en beveiliging met zich meebrengen voor entiteiten of burgers in verschillende lidstaten of in de Unie als geheel. Gezien het brede toepassingsgebied en in de meeste gevallen het grensoverschrijdende karakter van dergelijke incidenten, moeten de lidstaten en de betrokken instellingen, organen en instanties van de Unie op technisch, operationeel en politiek niveau samenwerken om de respons in de hele Unie naar behoren te coördineren.

| (70) | Grootschalige cyberbeveiligingsincidenten en crises op het niveau van de Unie vereisen een gecoördineerd optreden om een snelle en doeltreffende respons te waarborgen, gezien de sterke onderlinge verwevenheid tussen sectoren en lidstaten. De beschikbaarheid van cyberbestendige netwerk- en informatiesystemen en de beschikbaarheid, vertrouwelijkheid en integriteit van gegevens zijn van vitaal belang voor de beveiliging van de Unie en voor de bescherming van haar burgers, bedrijven en instellingen tegen incidenten en cyberdreigingen, alsook voor het versterken van het vertrouwen van personen en organisaties in het vermogen van de Unie om een mondiale, open, vrije, stabiele en beveiligde cyberspace te bevorderen en te beschermen die gebaseerd is op de mensenrechten, de fundamentele vrijheden, de democratie en de rechtsstaat. |
| --- | --- |

(70)

Grootschalige cyberbeveiligingsincidenten en crises op het niveau van de Unie vereisen een gecoördineerd optreden om een snelle en doeltreffende respons te waarborgen, gezien de sterke onderlinge verwevenheid tussen sectoren en lidstaten. De beschikbaarheid van cyberbestendige netwerk- en informatiesystemen en de beschikbaarheid, vertrouwelijkheid en integriteit van gegevens zijn van vitaal belang voor de beveiliging van de Unie en voor de bescherming van haar burgers, bedrijven en instellingen tegen incidenten en cyberdreigingen, alsook voor het versterken van het vertrouwen van personen en organisaties in het vermogen van de Unie om een mondiale, open, vrije, stabiele en beveiligde cyberspace te bevorderen en te beschermen die gebaseerd is op de mensenrechten, de fundamentele vrijheden, de democratie en de rechtsstaat.

| (71) | EU-CyCLONe moet tijdens grootschalige cyberbeveiligingsincidenten en crises fungeren als intermediair netwerk tussen het technische en het politieke niveau, de samenwerking op operationeel niveau versterken en de besluitvorming op politiek niveau ondersteunen. EU-CyCLONe moet, in samenwerking met de Commissie vanwege haar bevoegdheid op het gebied van crisisbeheer, voortbouwen op de bevindingen van het CSIRT-netwerk en zijn eigen capaciteiten gebruiken om een effectbeoordeling van grootschalige cyberbeveiligingsincidenten en crises op te stellen. |
| --- | --- |

(71)

EU-CyCLONe moet tijdens grootschalige cyberbeveiligingsincidenten en crises fungeren als intermediair netwerk tussen het technische en het politieke niveau, de samenwerking op operationeel niveau versterken en de besluitvorming op politiek niveau ondersteunen. EU-CyCLONe moet, in samenwerking met de Commissie vanwege haar bevoegdheid op het gebied van crisisbeheer, voortbouwen op de bevindingen van het CSIRT-netwerk en zijn eigen capaciteiten gebruiken om een effectbeoordeling van grootschalige cyberbeveiligingsincidenten en crises op te stellen.

| (72) | Cyberaanvallen hebben een grensoverschrijdend karakter en een significant incident kan kritieke informatie-infrastructuur waarvan de goede werking van de interne markt afhankelijk is, verstoren en beschadigen. Aanbeveling (EU) 2017/1584 heeft betrekking op de rol van alle relevante actoren. Voorts is de Commissie, in het kader van het Uniemechanisme voor civiele bescherming dat is ingesteld bij Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad (17), verantwoordelijk voor algemene paraatheidsacties, met inbegrip van het beheren van het Coördinatiecentrum voor respons in noodsituaties en het gemeenschappelijk noodcommunicatie- en informatiesysteem, het onderhouden en verder ontwikkelen van het situationeel bewustzijn en het analysevermogen, en het ontwikkelen en beheren van de noodzakelijke capaciteit om teams van deskundigen te kunnen mobiliseren en uit te zenden in geval van een verzoek om bijstand van een lidstaat of een derde land. De Commissie is ook verantwoordelijk voor het verstrekken van analytische verslagen voor de IPCR-regeling uit hoofde van Uitvoeringsbesluit (EU) 2018/1993, onder meer met betrekking tot situatiekennis en paraatheid op het gebied van cyberbeveiliging, alsook voor situatiekennis en crisisrespons op het gebied van de landbouw, ongunstige weersomstandigheden, het in kaart brengen van conflicten en prognoses, systemen voor vroegtijdige waarschuwing bij natuurrampen, noodsituaties op het gebied van de volksgezondheid, de bewaking van infectieziekten, plantgezondheid, chemische incidenten, de veiligheid van levensmiddelen en diervoeders, diergezondheid, migratie, douane, noodsituaties op nucleair en radiologisch gebied, en energie. |
| --- | --- |

(72)

Cyberaanvallen hebben een grensoverschrijdend karakter en een significant incident kan kritieke informatie-infrastructuur waarvan de goede werking van de interne markt afhankelijk is, verstoren en beschadigen. Aanbeveling (EU) 2017/1584 heeft betrekking op de rol van alle relevante actoren. Voorts is de Commissie, in het kader van het Uniemechanisme voor civiele bescherming dat is ingesteld bij Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad (17), verantwoordelijk voor algemene paraatheidsacties, met inbegrip van het beheren van het Coördinatiecentrum voor respons in noodsituaties en het gemeenschappelijk noodcommunicatie- en informatiesysteem, het onderhouden en verder ontwikkelen van het situationeel bewustzijn en het analysevermogen, en het ontwikkelen en beheren van de noodzakelijke capaciteit om teams van deskundigen te kunnen mobiliseren en uit te zenden in geval van een verzoek om bijstand van een lidstaat of een derde land. De Commissie is ook verantwoordelijk voor het verstrekken van analytische verslagen voor de IPCR-regeling uit hoofde van Uitvoeringsbesluit (EU) 2018/1993, onder meer met betrekking tot situatiekennis en paraatheid op het gebied van cyberbeveiliging, alsook voor situatiekennis en crisisrespons op het gebied van de landbouw, ongunstige weersomstandigheden, het in kaart brengen van conflicten en prognoses, systemen voor vroegtijdige waarschuwing bij natuurrampen, noodsituaties op het gebied van de volksgezondheid, de bewaking van infectieziekten, plantgezondheid, chemische incidenten, de veiligheid van levensmiddelen en diervoeders, diergezondheid, migratie, douane, noodsituaties op nucleair en radiologisch gebied, en energie.

| (73) | De Unie kan in voorkomend geval overeenkomstig artikel 218 VWEU internationale overeenkomsten met derde landen of internationale organisaties sluiten die hun deelname aan bepaalde activiteiten van de samenwerkingsgroep, het CSIRT-netwerk en EU-CyCLONe mogelijk maken en organiseren. Dergelijke overeenkomsten moeten de belangen van de Unie en de passende bescherming van gegevens waarborgen. Dit mag geen afbreuk doen aan het recht van de lidstaten om met derde landen samen te werken op het gebied van het beheer van kwetsbaarheden en risicobeheer op het gebied van cyberbeveiliging, ter vergemakkelijking van de rapportage en het delen van algemene informatie overeenkomstig het Unierecht. |
| --- | --- |

(73)

De Unie kan in voorkomend geval overeenkomstig artikel 218 VWEU internationale overeenkomsten met derde landen of internationale organisaties sluiten die hun deelname aan bepaalde activiteiten van de samenwerkingsgroep, het CSIRT-netwerk en EU-CyCLONe mogelijk maken en organiseren. Dergelijke overeenkomsten moeten de belangen van de Unie en de passende bescherming van gegevens waarborgen. Dit mag geen afbreuk doen aan het recht van de lidstaten om met derde landen samen te werken op het gebied van het beheer van kwetsbaarheden en risicobeheer op het gebied van cyberbeveiliging, ter vergemakkelijking van de rapportage en het delen van algemene informatie overeenkomstig het Unierecht.

| (74) | Om de doeltreffende uitvoering van deze richtlijn te vergemakkelijken, onder meer wat betreft het beheer van kwetsbaarheden, maatregelen voor het beheer van cyberbeveiligingsrisico’s, rapportageverplichtingen en informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging, kunnen de lidstaten samenwerken met derde landen en activiteiten ondernemen die daartoe geschikt worden geacht, waaronder informatie-uitwisseling over cyberdreigingen, incidenten, kwetsbaarheden, instrumenten en methoden, tactieken, technieken en procedures, paraatheid en oefeningen betreffende crisisbeheer op het gebied van cyberbeveiliging, opleiding, vertrouwensopbouw en gestructureerde informatie-uitwisselingsregelingen. |
| --- | --- |

(74)

Om de doeltreffende uitvoering van deze richtlijn te vergemakkelijken, onder meer wat betreft het beheer van kwetsbaarheden, maatregelen voor het beheer van cyberbeveiligingsrisico’s, rapportageverplichtingen en informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging, kunnen de lidstaten samenwerken met derde landen en activiteiten ondernemen die daartoe geschikt worden geacht, waaronder informatie-uitwisseling over cyberdreigingen, incidenten, kwetsbaarheden, instrumenten en methoden, tactieken, technieken en procedures, paraatheid en oefeningen betreffende crisisbeheer op het gebied van cyberbeveiliging, opleiding, vertrouwensopbouw en gestructureerde informatie-uitwisselingsregelingen.

| (75) | Er moeten collegiale toetsingen worden ingevoerd om te helpen leren van gedeelde ervaringen, het wederzijdse vertrouwen te versterken en een hoog gemeenschappelijk niveau van cyberbeveiliging te bereiken. Collegiale toetsingen kunnen leiden tot waardevolle inzichten en aanbevelingen die de algehele cyberbeveiligingscapaciteiten versterken, een ander functioneel traject creëren voor de uitwisseling van beste praktijken tussen de lidstaten en bijdragen tot een hogere mate van maturiteit van de lidstaten op het gebied van cyberbeveiliging. Voorts moeten collegiale toetsingen de resultaten van soortgelijke mechanismen — zoals het systeem voor collegiale toetsing van het CSIRT-netwerk — in aanmerking nemen, en moet zij meerwaarde toevoegen en dubbel werk vermijden. De invoering van collegiale toetsingen mag geen afbreuk doen aan het Unie- of nationale recht inzake de bescherming van vertrouwelijke of gerubriceerde informatie. |
| --- | --- |

(75)

Er moeten collegiale toetsingen worden ingevoerd om te helpen leren van gedeelde ervaringen, het wederzijdse vertrouwen te versterken en een hoog gemeenschappelijk niveau van cyberbeveiliging te bereiken. Collegiale toetsingen kunnen leiden tot waardevolle inzichten en aanbevelingen die de algehele cyberbeveiligingscapaciteiten versterken, een ander functioneel traject creëren voor de uitwisseling van beste praktijken tussen de lidstaten en bijdragen tot een hogere mate van maturiteit van de lidstaten op het gebied van cyberbeveiliging. Voorts moeten collegiale toetsingen de resultaten van soortgelijke mechanismen — zoals het systeem voor collegiale toetsing van het CSIRT-netwerk — in aanmerking nemen, en moet zij meerwaarde toevoegen en dubbel werk vermijden. De invoering van collegiale toetsingen mag geen afbreuk doen aan het Unie- of nationale recht inzake de bescherming van vertrouwelijke of gerubriceerde informatie.

| (76) | De samenwerkingsgroep moet een zelfbeoordelingsmethode voor de lidstaten vaststellen, waarmee wordt beoogd factoren te bestrijken zoals het niveau van uitvoering van de risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging, het capaciteitsniveau en de doeltreffendheid van de uitoefening van de taken van de bevoegde autoriteiten, de operationele capaciteiten van de CSIRT’s, het uitvoeringsniveau van wederzijdse bijstand, het uitvoeringsniveau van de informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging, of specifieke kwesties van grens- of sectoroverschrijdende aard. De lidstaten moeten worden aangemoedigd om regelmatig zelfbeoordelingen uit te voeren en de resultaten van hun zelfbeoordeling binnen de samenwerkingsgroep te presenteren en te bespreken. |
| --- | --- |

(76)

De samenwerkingsgroep moet een zelfbeoordelingsmethode voor de lidstaten vaststellen, waarmee wordt beoogd factoren te bestrijken zoals het niveau van uitvoering van de risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging, het capaciteitsniveau en de doeltreffendheid van de uitoefening van de taken van de bevoegde autoriteiten, de operationele capaciteiten van de CSIRT’s, het uitvoeringsniveau van wederzijdse bijstand, het uitvoeringsniveau van de informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging, of specifieke kwesties van grens- of sectoroverschrijdende aard. De lidstaten moeten worden aangemoedigd om regelmatig zelfbeoordelingen uit te voeren en de resultaten van hun zelfbeoordeling binnen de samenwerkingsgroep te presenteren en te bespreken.

| (77) | De verantwoordelijkheid voor het waarborgen van de beveiliging van netwerk- en informatiesystemen ligt voor een groot deel bij de essentiële en belangrijke entiteiten. Er moet een cultuur van risicobeheer worden bevorderd en ontwikkeld, die risicobeoordelingen en de uitvoering van op de risico’s afgestemde maatregelen voor het beheer van cyberbeveiligingsrisico’s behelst. |
| --- | --- |

(77)

De verantwoordelijkheid voor het waarborgen van de beveiliging van netwerk- en informatiesystemen ligt voor een groot deel bij de essentiële en belangrijke entiteiten. Er moet een cultuur van risicobeheer worden bevorderd en ontwikkeld, die risicobeoordelingen en de uitvoering van op de risico’s afgestemde maatregelen voor het beheer van cyberbeveiligingsrisico’s behelst.

| (78) | Maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten worden afgestemd op de mate waarin de essentiële of belangrijke entiteit afhankelijk is van netwerk- en informatiesystemen en moeten maatregelen omvatten om eventuele risico’s van incidenten te identificeren, om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen en om de gevolgen ervan te beperken. De beveiliging van netwerk- en informatiesystemen moet de beveiliging van opgeslagen, verzonden en verwerkte gegevens omvatten. Maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten voorzien in een systemische analyse, waarbij rekening wordt gehouden met de menselijke factor, om een volledig beeld te krijgen van de beveiliging van het netwerk- en informatiesysteem. |
| --- | --- |

(78)

Maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten worden afgestemd op de mate waarin de essentiële of belangrijke entiteit afhankelijk is van netwerk- en informatiesystemen en moeten maatregelen omvatten om eventuele risico’s van incidenten te identificeren, om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen en om de gevolgen ervan te beperken. De beveiliging van netwerk- en informatiesystemen moet de beveiliging van opgeslagen, verzonden en verwerkte gegevens omvatten. Maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten voorzien in een systemische analyse, waarbij rekening wordt gehouden met de menselijke factor, om een volledig beeld te krijgen van de beveiliging van het netwerk- en informatiesysteem.

| (79) | Aangezien bedreigingen voor de beveiliging van netwerk- en informatiesystemen uit verschillende hoeken kunnen komen, moeten maatregelen voor het beheer van cyberbeveiligingsrisico’s gebaseerd zijn op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen te beschermen tegen gebeurtenissen die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die door of via netwerk- en informatiesystemen worden aangeboden, in gevaar kunnen brengen, zoals diefstal, brand, overstromingen en telecommunicatie- en stroomstoringen of ongeoorloofde fysieke toegang tot, beschadiging van of interferentie met de informatie- en informatieverwerkingsfaciliteiten van een essentiële of belangrijke entiteit. Bij de maatregelen voor het beheer van cyberbeveiligingsrisico’s moet daarom ook aandacht worden besteed aan de fysieke en omgevingsbeveiliging van netwerk- en informatiesystemen, door maatregelen op te nemen om dergelijke systemen te beschermen tegen systeemstoringen, menselijke fouten, kwaadwillige handelingen en natuurverschijnselen, overeenkomstig de Europese en internationale normen, zoals die in de ISO/IEC 27000-reeks. In dat verband moeten essentiële en belangrijke entiteiten in het kader van hun maatregelen voor het beheer van cyberbeveiligingsrisico’s ook aandacht besteden aan beveiliging van het personeel en een passend toegangsbeleid voeren. Deze maatregelen moeten in overeenstemming zijn met Richtlijn (EU) 2022/2557. |
| --- | --- |

(79)

Aangezien bedreigingen voor de beveiliging van netwerk- en informatiesystemen uit verschillende hoeken kunnen komen, moeten maatregelen voor het beheer van cyberbeveiligingsrisico’s gebaseerd zijn op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen te beschermen tegen gebeurtenissen die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die door of via netwerk- en informatiesystemen worden aangeboden, in gevaar kunnen brengen, zoals diefstal, brand, overstromingen en telecommunicatie- en stroomstoringen of ongeoorloofde fysieke toegang tot, beschadiging van of interferentie met de informatie- en informatieverwerkingsfaciliteiten van een essentiële of belangrijke entiteit. Bij de maatregelen voor het beheer van cyberbeveiligingsrisico’s moet daarom ook aandacht worden besteed aan de fysieke en omgevingsbeveiliging van netwerk- en informatiesystemen, door maatregelen op te nemen om dergelijke systemen te beschermen tegen systeemstoringen, menselijke fouten, kwaadwillige handelingen en natuurverschijnselen, overeenkomstig de Europese en internationale normen, zoals die in de ISO/IEC 27000-reeks. In dat verband moeten essentiële en belangrijke entiteiten in het kader van hun maatregelen voor het beheer van cyberbeveiligingsrisico’s ook aandacht besteden aan beveiliging van het personeel en een passend toegangsbeleid voeren. Deze maatregelen moeten in overeenstemming zijn met Richtlijn (EU) 2022/2557.

| (80) | Om aan te tonen dat de maatregelen voor het beheer van cyberbeveiligingsrisico’s worden nageleefd en bij gebrek aan passende Europese regelingen voor cyberbeveiligingscertificering die zijn vastgesteld overeenkomstig Verordening (EU) 2019/881 van het Europees Parlement en de Raad (18), moeten de lidstaten, in overleg met de samenwerkingsgroep en de Europese Groep voor cyberbeveiligingscertificering, het gebruik van de relevante Europese en internationale normen door essentiële en belangrijke entiteiten bevorderen of kunnen zij eisen dat entiteiten gecertificeerde ICT-producten, ICT-diensten en ICT-processen gebruiken. |
| --- | --- |

(80)

Om aan te tonen dat de maatregelen voor het beheer van cyberbeveiligingsrisico’s worden nageleefd en bij gebrek aan passende Europese regelingen voor cyberbeveiligingscertificering die zijn vastgesteld overeenkomstig Verordening (EU) 2019/881 van het Europees Parlement en de Raad (18), moeten de lidstaten, in overleg met de samenwerkingsgroep en de Europese Groep voor cyberbeveiligingscertificering, het gebruik van de relevante Europese en internationale normen door essentiële en belangrijke entiteiten bevorderen of kunnen zij eisen dat entiteiten gecertificeerde ICT-producten, ICT-diensten en ICT-processen gebruiken.

| (81) | Om te voorkomen dat aan essentiële en belangrijke entiteiten onevenredige financiële en administratieve lasten worden opgelegd, moeten de maatregelen voor het beheer van cyberbeveiligingsrisico’s in verhouding staan tot de risico’s voor het betrokken netwerk- en informatiesysteem, rekening houdend met de stand van de techniek van dergelijke maatregelen en, in voorkomend geval, de relevante Europese en internationale normen, alsook met de kosten voor de uitvoering ervan. |
| --- | --- |

(81)

Om te voorkomen dat aan essentiële en belangrijke entiteiten onevenredige financiële en administratieve lasten worden opgelegd, moeten de maatregelen voor het beheer van cyberbeveiligingsrisico’s in verhouding staan tot de risico’s voor het betrokken netwerk- en informatiesysteem, rekening houdend met de stand van de techniek van dergelijke maatregelen en, in voorkomend geval, de relevante Europese en internationale normen, alsook met de kosten voor de uitvoering ervan.

| (82) | Maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten in verhouding staan tot de mate waarin de essentiële of belangrijke entiteit aan risico’s is blootgesteld en de maatschappelijke en economische gevolgen die een incident zou hebben. Bij het vaststellen van maatregelen voor het beheer van cyberbeveiligingsrisico’s die zijn aangepast aan essentiële en belangrijke entiteiten, moet terdege rekening worden gehouden met de uiteenlopende mate waarin essentiële en belangrijke entiteiten aan risico’s zijn blootgesteld, overeenkomstig het kritieke karakter van de entiteit, de risico’s, met inbegrip van maatschappelijke risico’s, waaraan de entiteit is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen. |
| --- | --- |

(82)

Maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten in verhouding staan tot de mate waarin de essentiële of belangrijke entiteit aan risico’s is blootgesteld en de maatschappelijke en economische gevolgen die een incident zou hebben. Bij het vaststellen van maatregelen voor het beheer van cyberbeveiligingsrisico’s die zijn aangepast aan essentiële en belangrijke entiteiten, moet terdege rekening worden gehouden met de uiteenlopende mate waarin essentiële en belangrijke entiteiten aan risico’s zijn blootgesteld, overeenkomstig het kritieke karakter van de entiteit, de risico’s, met inbegrip van maatschappelijke risico’s, waaraan de entiteit is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen.

| (83) | Essentiële en belangrijke entiteiten moeten de beveiliging van de netwerk- en informatiesystemen die zij bij hun activiteiten gebruiken, waarborgen. Die systemen zijn voornamelijk particuliere netwerk- en informatiesystemen die door de interne IT-medewerkers van essentiële en belangrijke entiteiten worden beheerd of waarvan de beveiliging is uitbesteed. De maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen die in deze richtlijn zijn vastgesteld, moeten van toepassing zijn op de relevante essentiële en belangrijke entiteiten, ongeacht of deze entiteiten het onderhoud van hun netwerk- en informatiesystemen intern uitvoeren of uitbesteden. |
| --- | --- |

(83)

Essentiële en belangrijke entiteiten moeten de beveiliging van de netwerk- en informatiesystemen die zij bij hun activiteiten gebruiken, waarborgen. Die systemen zijn voornamelijk particuliere netwerk- en informatiesystemen die door de interne IT-medewerkers van essentiële en belangrijke entiteiten worden beheerd of waarvan de beveiliging is uitbesteed. De maatregelen voor het beheer van cyberbeveiligingsrisico’s en de rapportageverplichtingen die in deze richtlijn zijn vastgesteld, moeten van toepassing zijn op de relevante essentiële en belangrijke entiteiten, ongeacht of deze entiteiten het onderhoud van hun netwerk- en informatiesystemen intern uitvoeren of uitbesteden.

| (84) | Gezien het grensoverschrijdende karakter ervan, moeten de regels voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten in hoge mate worden geharmoniseerd op het niveau van de Unie. Daarom moet de uitvoering van maatregelen voor het beheer van cyberbeveiligingsrisico’s ten aanzien van deze entiteiten worden bevorderd door middel van een uitvoeringshandeling. |
| --- | --- |

(84)

Gezien het grensoverschrijdende karakter ervan, moeten de regels voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten in hoge mate worden geharmoniseerd op het niveau van de Unie. Daarom moet de uitvoering van maatregelen voor het beheer van cyberbeveiligingsrisico’s ten aanzien van deze entiteiten worden bevorderd door middel van een uitvoeringshandeling.

| (85) | Het aanpakken van risico’s die voortvloeien uit de toeleveringsketen van een entiteit en uit haar relatie met haar leveranciers, zoals leveranciers van diensten op het gebied van gegevensopslag en -verwerking of leveranciers van beheerde beveiligingsdiensten en softwareredacteuren, is bijzonder belangrijk gezien de prevalentie van incidenten waarbij entiteiten het slachtoffer zijn geweest van cyberaanvallen en waarbij kwaadwillende daders de beveiliging van de netwerk- en informatiesystemen van een entiteit in gevaar hebben kunnen brengen door gebruik te maken van kwetsbaarheden die van invloed zijn op producten en diensten van derden. Essentiële en belangrijke entiteiten moeten daarom de algemene kwaliteit en weerbaarheid van de producten en diensten, de daarin vervatte maatregelen voor het beheer van cyberbeveiligingsrisico’s, en de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners beoordelen en er rekening mee houden, met inbegrip van hun veilige ontwikkelingsprocedures. Essentiële en belangrijke entiteiten moeten met name worden aangespoord om maatregelen voor het beheer van cyberbeveiligingsrisico’s op te nemen in de contractuele regelingen met hun directe leveranciers en dienstverleners. Die entiteiten kunnen ook risico’s in aanmerking nemen die voortvloeien uit de activiteiten van leveranciers en dienstverleners op een ander niveau. |
| --- | --- |

(85)

Het aanpakken van risico’s die voortvloeien uit de toeleveringsketen van een entiteit en uit haar relatie met haar leveranciers, zoals leveranciers van diensten op het gebied van gegevensopslag en -verwerking of leveranciers van beheerde beveiligingsdiensten en softwareredacteuren, is bijzonder belangrijk gezien de prevalentie van incidenten waarbij entiteiten het slachtoffer zijn geweest van cyberaanvallen en waarbij kwaadwillende daders de beveiliging van de netwerk- en informatiesystemen van een entiteit in gevaar hebben kunnen brengen door gebruik te maken van kwetsbaarheden die van invloed zijn op producten en diensten van derden. Essentiële en belangrijke entiteiten moeten daarom de algemene kwaliteit en weerbaarheid van de producten en diensten, de daarin vervatte maatregelen voor het beheer van cyberbeveiligingsrisico’s, en de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners beoordelen en er rekening mee houden, met inbegrip van hun veilige ontwikkelingsprocedures. Essentiële en belangrijke entiteiten moeten met name worden aangespoord om maatregelen voor het beheer van cyberbeveiligingsrisico’s op te nemen in de contractuele regelingen met hun directe leveranciers en dienstverleners. Die entiteiten kunnen ook risico’s in aanmerking nemen die voortvloeien uit de activiteiten van leveranciers en dienstverleners op een ander niveau.

| (86) | Onder de dienstverleners spelen aanbieders van beheerde beveiligingsdiensten op het gebied van bijvoorbeeld incidentrespons, penetratietesten, beveiligingsaudits en consultancy een bijzonder belangrijke rol in het bijstaan van entiteiten bij hun inspanningen om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen. Aanbieders van beheerde beveiligingsdiensten zijn echter ook zelf het doelwit van cyberaanvallen geweest en vormen een bijzonder risico vanwege hun nauwe integratie in de activiteiten van de entiteiten. Essentiële en belangrijke entiteiten moeten daarom nog meer zorgvuldigheid betrachten bij de selectie van een aanbieder van beheerde beveiligingsdiensten. |
| --- | --- |

(86)

Onder de dienstverleners spelen aanbieders van beheerde beveiligingsdiensten op het gebied van bijvoorbeeld incidentrespons, penetratietesten, beveiligingsaudits en consultancy een bijzonder belangrijke rol in het bijstaan van entiteiten bij hun inspanningen om incidenten te voorkomen, op te sporen, erop te reageren en ervan te herstellen. Aanbieders van beheerde beveiligingsdiensten zijn echter ook zelf het doelwit van cyberaanvallen geweest en vormen een bijzonder risico vanwege hun nauwe integratie in de activiteiten van de entiteiten. Essentiële en belangrijke entiteiten moeten daarom nog meer zorgvuldigheid betrachten bij de selectie van een aanbieder van beheerde beveiligingsdiensten.

| (87) | Ook de bevoegde autoriteiten kunnen, in het kader van hun toezichthoudende taken, gebruikmaken van cyberbeveiligingsdiensten zoals beveiligingsaudits, penetratietesten of incidentrespons. |
| --- | --- |

(87)

Ook de bevoegde autoriteiten kunnen, in het kader van hun toezichthoudende taken, gebruikmaken van cyberbeveiligingsdiensten zoals beveiligingsaudits, penetratietesten of incidentrespons.

| (88) | Essentiële en belangrijke entiteiten moeten ook aandacht besteden aan de risico’s die voortvloeien uit hun interacties en relaties met andere belanghebbenden binnen een breder ecosysteem, onder meer met betrekking tot de bestrijding van industriële spionage en de bescherming van bedrijfsgeheimen. Die entiteiten moeten met name passende maatregelen nemen om ervoor te zorgen dat hun samenwerking met academische en onderzoeksinstellingen in overeenstemming is met hun cyberbeveiligingsbeleid en dat zij daarbij goede praktijken volgen met betrekking tot veilige toegang en verspreiding van informatie in het algemeen en de bescherming van de intellectuele eigendom in het bijzonder. Evenzo moeten essentiële en belangrijke entiteiten, gezien het belang en de waarde van gegevens voor de activiteiten van die entiteiten, bij het gebruik van gegevenstransformatie- en gegevensanalysediensten van derden, alle passende maatregelen voor het beheer van cyberbeveiligingsrisico’s nemen. |
| --- | --- |

(88)

Essentiële en belangrijke entiteiten moeten ook aandacht besteden aan de risico’s die voortvloeien uit hun interacties en relaties met andere belanghebbenden binnen een breder ecosysteem, onder meer met betrekking tot de bestrijding van industriële spionage en de bescherming van bedrijfsgeheimen. Die entiteiten moeten met name passende maatregelen nemen om ervoor te zorgen dat hun samenwerking met academische en onderzoeksinstellingen in overeenstemming is met hun cyberbeveiligingsbeleid en dat zij daarbij goede praktijken volgen met betrekking tot veilige toegang en verspreiding van informatie in het algemeen en de bescherming van de intellectuele eigendom in het bijzonder. Evenzo moeten essentiële en belangrijke entiteiten, gezien het belang en de waarde van gegevens voor de activiteiten van die entiteiten, bij het gebruik van gegevenstransformatie- en gegevensanalysediensten van derden, alle passende maatregelen voor het beheer van cyberbeveiligingsrisico’s nemen.

| (89) | Essentiële en belangrijke entiteiten moeten een breed scala aan basispraktijken op het gebied van cyberhygiëne toepassen, zoals zero trust-beginselen, software-updates, configuratie van apparaten, netwerksegmentatie, identiteits- en toegangsbeheer of gebruikersbewustzijn, opleidingen voor hun personeel organiseren en het bewustzijn van cyberdreigingen, phishing of socialengineeringtechnieken vergroten. Voorts moeten die entiteiten hun eigen capaciteiten op het gebied van cyberbeveiliging evalueren en, in voorkomend geval, streven naar de integratie van technologieën ter bevordering van cyberbeveiliging, zoals artificiële intelligentie of machine-leersystemen, om hun capaciteiten en de beveiliging van netwerk- en informatiesystemen te verbeteren. |
| --- | --- |

(89)

Essentiële en belangrijke entiteiten moeten een breed scala aan basispraktijken op het gebied van cyberhygiëne toepassen, zoals zero trust-beginselen, software-updates, configuratie van apparaten, netwerksegmentatie, identiteits- en toegangsbeheer of gebruikersbewustzijn, opleidingen voor hun personeel organiseren en het bewustzijn van cyberdreigingen, phishing of socialengineeringtechnieken vergroten. Voorts moeten die entiteiten hun eigen capaciteiten op het gebied van cyberbeveiliging evalueren en, in voorkomend geval, streven naar de integratie van technologieën ter bevordering van cyberbeveiliging, zoals artificiële intelligentie of machine-leersystemen, om hun capaciteiten en de beveiliging van netwerk- en informatiesystemen te verbeteren.

| (90) | Om de belangrijkste risico’s van de toeleveringsketen verder aan te pakken en essentiële en belangrijke entiteiten die actief zijn in onder deze richtlijn vallende sectoren te helpen om de risico’s van de toeleveringsketen en de leveranciers op passende wijze te beheren, moet de samenwerkingsgroep, in samenwerking met de Commissie en Enisa, en in voorkomend geval na raadpleging van de relevante belanghebbenden, onder meer uit het bedrijfsleven, gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens uitvoeren, zoals die welke worden uitgevoerd voor 5G-netwerken naar aanleiding van Aanbeveling (EU) 2019/534 van de Commissie (19), met als doel per sector de kritieke ICT-diensten, ICT-systemen of ICT-producten, relevante bedreigingen en kwetsbaarheden vast te stellen. Bij dergelijke gecoördineerde beveiligingsrisicobeoordelingen moeten maatregelen, mitigatieplannen en beste praktijken worden vastgesteld om kritieke afhankelijkheden, mogelijke zwakke punten, bedreigingen, kwetsbaarheden en andere risico’s in verband met de toeleveringsketen tegen te gaan, en moet worden nagegaan hoe de bredere toepassing ervan door essentiële en belangrijke entiteiten verder kan worden bevorderd. Mogelijke niet-technische risicofactoren, zoals ongepaste beïnvloeding van leveranciers en dienstverleners door een derde land, met name in het geval van alternatieve governancemodellen, omvatten verborgen kwetsbaarheden of “backdoors” en mogelijke systemische verstoringen van de toelevering, met name in het geval van technologische lock-ins of afhankelijkheid van leveranciers. |
| --- | --- |

(90)

Om de belangrijkste risico’s van de toeleveringsketen verder aan te pakken en essentiële en belangrijke entiteiten die actief zijn in onder deze richtlijn vallende sectoren te helpen om de risico’s van de toeleveringsketen en de leveranciers op passende wijze te beheren, moet de samenwerkingsgroep, in samenwerking met de Commissie en Enisa, en in voorkomend geval na raadpleging van de relevante belanghebbenden, onder meer uit het bedrijfsleven, gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens uitvoeren, zoals die welke worden uitgevoerd voor 5G-netwerken naar aanleiding van Aanbeveling (EU) 2019/534 van de Commissie (19), met als doel per sector de kritieke ICT-diensten, ICT-systemen of ICT-producten, relevante bedreigingen en kwetsbaarheden vast te stellen. Bij dergelijke gecoördineerde beveiligingsrisicobeoordelingen moeten maatregelen, mitigatieplannen en beste praktijken worden vastgesteld om kritieke afhankelijkheden, mogelijke zwakke punten, bedreigingen, kwetsbaarheden en andere risico’s in verband met de toeleveringsketen tegen te gaan, en moet worden nagegaan hoe de bredere toepassing ervan door essentiële en belangrijke entiteiten verder kan worden bevorderd. Mogelijke niet-technische risicofactoren, zoals ongepaste beïnvloeding van leveranciers en dienstverleners door een derde land, met name in het geval van alternatieve governancemodellen, omvatten verborgen kwetsbaarheden of “backdoors” en mogelijke systemische verstoringen van de toelevering, met name in het geval van technologische lock-ins of afhankelijkheid van leveranciers.

| (91) | Bij de gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens moet er, in het licht van de kenmerken van de betrokken sector, rekening worden gehouden met zowel technische als, in voorkomend geval, niet-technische factoren, met inbegrip van die welke zijn gedefinieerd in Aanbeveling (EU) 2019/534, in de gecoördineerde risicobeoordeling van de cyberbeveiliging van 5G-netwerken in de EU en in het EU-instrumentarium voor 5G-cyberbeveiliging dat door de samenwerkingsgroep is overeengekomen. Om te bepalen welke toeleveringsketens aan een gecoördineerde beveiligingsrisicobeoordeling moeten worden onderworpen, moet rekening worden gehouden met de volgende criteria: i) de mate waarin essentiële en belangrijke entiteiten gebruikmaken van en vertrouwen op specifieke kritieke ICT-diensten, ICT-systemen of ICT-producten; ii) de relevantie van specifieke kritieke ICT-diensten, ICT-systemen of ICT-producten voor het uitvoeren van kritieke of gevoelige functies, met inbegrip van de verwerking van persoonsgegevens; iii) de beschikbaarheid van alternatieve ICT-diensten, ICT-systemen of ICT-producten; iv) de weerbaarheid van de gehele toeleveringsketen van ICT-diensten, ICT-systemen of ICT-producten tegen verstorende gebeurtenissen gedurende hun hele levenscyclus; en v) voor opkomende ICT-diensten, ICT-systemen of ICT-producten, hun potentiële toekomstige betekenis voor de activiteiten van de entiteiten. Voorts moet bijzondere nadruk worden gelegd op ICT-diensten, ICT-systemen of ICT-producten waarvoor specifieke eisen gelden die voortvloeien uit regelgeving van derde landen. |
| --- | --- |

(91)

Bij de gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens moet er, in het licht van de kenmerken van de betrokken sector, rekening worden gehouden met zowel technische als, in voorkomend geval, niet-technische factoren, met inbegrip van die welke zijn gedefinieerd in Aanbeveling (EU) 2019/534, in de gecoördineerde risicobeoordeling van de cyberbeveiliging van 5G-netwerken in de EU en in het EU-instrumentarium voor 5G-cyberbeveiliging dat door de samenwerkingsgroep is overeengekomen. Om te bepalen welke toeleveringsketens aan een gecoördineerde beveiligingsrisicobeoordeling moeten worden onderworpen, moet rekening worden gehouden met de volgende criteria: i) de mate waarin essentiële en belangrijke entiteiten gebruikmaken van en vertrouwen op specifieke kritieke ICT-diensten, ICT-systemen of ICT-producten; ii) de relevantie van specifieke kritieke ICT-diensten, ICT-systemen of ICT-producten voor het uitvoeren van kritieke of gevoelige functies, met inbegrip van de verwerking van persoonsgegevens; iii) de beschikbaarheid van alternatieve ICT-diensten, ICT-systemen of ICT-producten; iv) de weerbaarheid van de gehele toeleveringsketen van ICT-diensten, ICT-systemen of ICT-producten tegen verstorende gebeurtenissen gedurende hun hele levenscyclus; en v) voor opkomende ICT-diensten, ICT-systemen of ICT-producten, hun potentiële toekomstige betekenis voor de activiteiten van de entiteiten. Voorts moet bijzondere nadruk worden gelegd op ICT-diensten, ICT-systemen of ICT-producten waarvoor specifieke eisen gelden die voortvloeien uit regelgeving van derde landen.

| (92) | Om de verplichtingen die aan aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten en verleners van vertrouwensdiensten in verband met de beveiliging van hun netwerk- en informatiesystemen worden opgelegd te stroomlijnen, en om die entiteiten en de uit hoofde van Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad (20) respectievelijk Verordening (EU) nr. 910/214 bevoegde autoriteiten in staat te stellen gebruik te maken van het bij deze richtlijn vastgestelde rechtskader, met inbegrip van de aanwijzing van een CSIRT dat verantwoordelijk is voor de behandeling van en incidenten, en de deelname van de betrokken bevoegde autoriteiten aan de activiteiten van de samenwerkingsgroep en het CSIRT-netwerk, moeten die entiteiten binnen het toepassingsgebied van deze richtlijn vallen. De overeenkomstige bepalingen van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 met betrekking tot het opleggen van beveiligings- en meldingsvoorschriften aan die soorten entiteiten moeten derhalve worden geschrapt. De in deze richtlijn vastgestelde rapportageverplichtingen mogen geen afbreuk doen aan Verordening (EU) 2016/679 en Richtlijn 2002/58/EG. |
| --- | --- |

(92)

Om de verplichtingen die aan aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten en verleners van vertrouwensdiensten in verband met de beveiliging van hun netwerk- en informatiesystemen worden opgelegd te stroomlijnen, en om die entiteiten en de uit hoofde van Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad (20) respectievelijk Verordening (EU) nr. 910/214 bevoegde autoriteiten in staat te stellen gebruik te maken van het bij deze richtlijn vastgestelde rechtskader, met inbegrip van de aanwijzing van een CSIRT dat verantwoordelijk is voor de behandeling van en incidenten, en de deelname van de betrokken bevoegde autoriteiten aan de activiteiten van de samenwerkingsgroep en het CSIRT-netwerk, moeten die entiteiten binnen het toepassingsgebied van deze richtlijn vallen. De overeenkomstige bepalingen van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 met betrekking tot het opleggen van beveiligings- en meldingsvoorschriften aan die soorten entiteiten moeten derhalve worden geschrapt. De in deze richtlijn vastgestelde rapportageverplichtingen mogen geen afbreuk doen aan Verordening (EU) 2016/679 en Richtlijn 2002/58/EG.

| (93) | De in deze richtlijn vastgelegde cyberbeveiligingsverplichtingen moeten worden beschouwd als een aanvulling op de eisen voor verleners van vertrouwensdiensten uit hoofde van Verordening (EU) nr. 910/2014. Verleners van vertrouwensdiensten moeten worden verplicht alle passende en evenredige maatregelen te nemen om de risico’s voor hun diensten te beheren, onder meer ten aanzien van klanten en vertrouwende derden, en incidenten te melden krachtens deze richtlijn. Dergelijke cyberbeveiligings- en rapportageverplichtingen moeten ook betrekking hebben op de fysieke bescherming van de verleende diensten. De in artikel 24 van Verordening (EU) nr. 910/2014 vastgestelde eisen voor gekwalificeerde verleners van vertrouwensdiensten blijven van toepassing. |
| --- | --- |

(93)

De in deze richtlijn vastgelegde cyberbeveiligingsverplichtingen moeten worden beschouwd als een aanvulling op de eisen voor verleners van vertrouwensdiensten uit hoofde van Verordening (EU) nr. 910/2014. Verleners van vertrouwensdiensten moeten worden verplicht alle passende en evenredige maatregelen te nemen om de risico’s voor hun diensten te beheren, onder meer ten aanzien van klanten en vertrouwende derden, en incidenten te melden krachtens deze richtlijn. Dergelijke cyberbeveiligings- en rapportageverplichtingen moeten ook betrekking hebben op de fysieke bescherming van de verleende diensten. De in artikel 24 van Verordening (EU) nr. 910/2014 vastgestelde eisen voor gekwalificeerde verleners van vertrouwensdiensten blijven van toepassing.

| (94) | De lidstaten kunnen de rol van de bevoegde autoriteiten voor vertrouwensdiensten toewijzen aan de toezichthoudende organen uit hoofde van Verordening (EU) nr. 910/2014 om de voortzetting van de huidige praktijken te waarborgen en voort te bouwen op de bij de toepassing van die verordening opgedane kennis en ervaring. In een dergelijk geval moeten de uit hoofde van deze richtlijn bevoegde autoriteiten nauw en tijdig samenwerken met die toezichthoudende organen door relevante informatie uit te wisselen om doeltreffend toezicht te waarborgen en om ervoor te zorgen dat verleners van vertrouwensdiensten zich houden aan de eisen van deze richtlijn en Verordening (EU) nr. 910/2014. In voorkomend geval moet het CSIRT of de bevoegde autoriteit uit hoofde van deze richtlijn het toezichthoudend orgaan uit hoofde van Verordening (EU) nr. 910/2014 onmiddellijk informeren over alle gemelde significante cyberdreigingen of -incidenten met gevolgen voor vertrouwensdiensten, evenals over alle gevallen waarin een verlener van vertrouwensdiensten inbreuk pleegt op deze richtlijn. Voor de rapportage kunnen de lidstaten in voorkomend geval een beroep doen op het centrale contactpunt dat is ingesteld om te komen tot een gemeenschappelijke en automatische melding van incidenten aan zowel het toezichthoudend orgaan uit hoofde van Verordening (EU) nr. 910/2014 als het CSIRT of de bevoegde autoriteit uit hoofde van deze richtlijn. |
| --- | --- |

(94)

De lidstaten kunnen de rol van de bevoegde autoriteiten voor vertrouwensdiensten toewijzen aan de toezichthoudende organen uit hoofde van Verordening (EU) nr. 910/2014 om de voortzetting van de huidige praktijken te waarborgen en voort te bouwen op de bij de toepassing van die verordening opgedane kennis en ervaring. In een dergelijk geval moeten de uit hoofde van deze richtlijn bevoegde autoriteiten nauw en tijdig samenwerken met die toezichthoudende organen door relevante informatie uit te wisselen om doeltreffend toezicht te waarborgen en om ervoor te zorgen dat verleners van vertrouwensdiensten zich houden aan de eisen van deze richtlijn en Verordening (EU) nr. 910/2014. In voorkomend geval moet het CSIRT of de bevoegde autoriteit uit hoofde van deze richtlijn het toezichthoudend orgaan uit hoofde van Verordening (EU) nr. 910/2014 onmiddellijk informeren over alle gemelde significante cyberdreigingen of -incidenten met gevolgen voor vertrouwensdiensten, evenals over alle gevallen waarin een verlener van vertrouwensdiensten inbreuk pleegt op deze richtlijn. Voor de rapportage kunnen de lidstaten in voorkomend geval een beroep doen op het centrale contactpunt dat is ingesteld om te komen tot een gemeenschappelijke en automatische melding van incidenten aan zowel het toezichthoudend orgaan uit hoofde van Verordening (EU) nr. 910/2014 als het CSIRT of de bevoegde autoriteit uit hoofde van deze richtlijn.

| (95) | In voorkomend geval en om onnodige verstoringen te voorkomen, moet bij de omzetting van deze richtlijn rekening worden gehouden met de bestaande nationale richtsnoeren die zijn vastgesteld voor de omzetting van de in de artikelen 40 en 41 van Richtlijn (EU) 2018/1972 vastgestelde regels met betrekking tot beveiligingsmaatregelen, waarbij moet worden voortgebouwd op de uit hoofde van Richtlijn (EU) 2018/1972 opgedane kennis en vaardigheden inzake beveiligingsmaatregelen en meldingen van incidenten. Enisa kan ook richtsnoeren inzake beveiligingseisen en inzake rapportageverplichtingen opstellen voor aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten, om de harmonisatie en overgang te vergemakkelijken en verstoringen tot een minimum te beperken. De lidstaten kunnen de rol van de bevoegde autoriteiten voor elektronische communicatie toewijzen aan de nationale regelgevende instanties uit hoofde van Richtlijn (EU) 2018/1972 om de voortzetting van de huidige praktijken te waarborgen en voort te bouwen op de met de uitvoering van die richtlijn opgedane kennis en ervaring. |
| --- | --- |

(95)

In voorkomend geval en om onnodige verstoringen te voorkomen, moet bij de omzetting van deze richtlijn rekening worden gehouden met de bestaande nationale richtsnoeren die zijn vastgesteld voor de omzetting van de in de artikelen 40 en 41 van Richtlijn (EU) 2018/1972 vastgestelde regels met betrekking tot beveiligingsmaatregelen, waarbij moet worden voortgebouwd op de uit hoofde van Richtlijn (EU) 2018/1972 opgedane kennis en vaardigheden inzake beveiligingsmaatregelen en meldingen van incidenten. Enisa kan ook richtsnoeren inzake beveiligingseisen en inzake rapportageverplichtingen opstellen voor aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten, om de harmonisatie en overgang te vergemakkelijken en verstoringen tot een minimum te beperken. De lidstaten kunnen de rol van de bevoegde autoriteiten voor elektronische communicatie toewijzen aan de nationale regelgevende instanties uit hoofde van Richtlijn (EU) 2018/1972 om de voortzetting van de huidige praktijken te waarborgen en voort te bouwen op de met de uitvoering van die richtlijn opgedane kennis en ervaring.

| (96) | Gezien het toenemende belang van nummeronafhankelijke interpersoonlijke communicatiediensten als gedefinieerd in Richtlijn (EU) 2018/1972, moet ervoor worden gezorgd dat ook voor dergelijke diensten passende beveiligingseisen gelden, gelet op hun specifieke aard en economisch belang. Nu het aanvalsoppervlak blijft groeien, worden nummeronafhankelijke interpersoonlijke communicatiediensten, zoals berichtendiensten, wijdverbreide aanvalsvectoren. Kwaadwillende daders maken gebruik van platforms om te communiceren met slachtoffers en hen ertoe aan te zetten gecompromitteerde webpagina’s te openen, waardoor de kans toeneemt op incidenten waarbij onrechtmatig gebruik van persoonsgegevens en, bij uitbreiding, de beveiliging van netwerk- en informatiesystemen betrokken is. Aanbieders van nummeronafhankelijke interpersoonlijke communicatiediensten moeten zorgen voor een beveiligingsniveau van de netwerk- en informatiesystemen dat is afgestemd op de risico’s. Aangezien aanbieders van nummeronafhankelijke interpersoonlijke communicatiediensten normaal gesproken geen daadwerkelijke controle uitoefenen op de overdracht van signalen over netwerken, kunnen de risico’s in sommige opzichten als lager worden beschouwd voor dergelijke diensten dan voor traditionele elektronischecommunicatiediensten. Hetzelfde geldt voor interpersoonlijke communicatiediensten als gedefinieerd in Richtlijn (EU) 2018/1972 die gebruikmaken van nummers en die geen daadwerkelijke controle uitoefenen op de signaaloverdracht. |
| --- | --- |

(96)

Gezien het toenemende belang van nummeronafhankelijke interpersoonlijke communicatiediensten als gedefinieerd in Richtlijn (EU) 2018/1972, moet ervoor worden gezorgd dat ook voor dergelijke diensten passende beveiligingseisen gelden, gelet op hun specifieke aard en economisch belang. Nu het aanvalsoppervlak blijft groeien, worden nummeronafhankelijke interpersoonlijke communicatiediensten, zoals berichtendiensten, wijdverbreide aanvalsvectoren. Kwaadwillende daders maken gebruik van platforms om te communiceren met slachtoffers en hen ertoe aan te zetten gecompromitteerde webpagina’s te openen, waardoor de kans toeneemt op incidenten waarbij onrechtmatig gebruik van persoonsgegevens en, bij uitbreiding, de beveiliging van netwerk- en informatiesystemen betrokken is. Aanbieders van nummeronafhankelijke interpersoonlijke communicatiediensten moeten zorgen voor een beveiligingsniveau van de netwerk- en informatiesystemen dat is afgestemd op de risico’s. Aangezien aanbieders van nummeronafhankelijke interpersoonlijke communicatiediensten normaal gesproken geen daadwerkelijke controle uitoefenen op de overdracht van signalen over netwerken, kunnen de risico’s in sommige opzichten als lager worden beschouwd voor dergelijke diensten dan voor traditionele elektronischecommunicatiediensten. Hetzelfde geldt voor interpersoonlijke communicatiediensten als gedefinieerd in Richtlijn (EU) 2018/1972 die gebruikmaken van nummers en die geen daadwerkelijke controle uitoefenen op de signaaloverdracht.

| (97) | De interne markt is meer dan ooit afhankelijk van het functioneren van het internet. De diensten van vrijwel alle essentiële en belangrijke entiteiten zijn afhankelijk van via het internet verleende diensten. Om voor een soepele dienstverlening door essentiële en belangrijke entiteiten te zorgen, is het van belang dat alle aanbieders van openbare elektronischecommunicatienetwerken over passende maatregelen voor het beheer van cyberbeveiligingsrisico’s beschikken en significante incidenten in verband daarmee melden. De lidstaten moeten ervoor zorgen dat de beveiliging van de openbare elektronischecommunicatienetwerken wordt gehandhaafd en dat hun wezenlijke veiligheidsbelangen worden beschermd tegen sabotage en spionage. Aangezien de internationale connectiviteit de op het concurrentievermogen gerichte digitalisering van de Unie en haar economie verbetert en versnelt, moeten incidenten in verband met onderzeese communicatiekabels worden gemeld aan het CSIRT of, in voorkomend geval, de bevoegde autoriteit. De nationale cyberbeveiligingsstrategie moet in voorkomend geval worden afgestemd op de cyberbeveiliging van onderzeese communicatiekabels en om het hoogste niveau van bescherming daarvan te waarborgen, moet zij een inventarisatie omvatten van mogelijke cyberbeveiligingsrisico’s en beperkende maatregelen. |
| --- | --- |

(97)

De interne markt is meer dan ooit afhankelijk van het functioneren van het internet. De diensten van vrijwel alle essentiële en belangrijke entiteiten zijn afhankelijk van via het internet verleende diensten. Om voor een soepele dienstverlening door essentiële en belangrijke entiteiten te zorgen, is het van belang dat alle aanbieders van openbare elektronischecommunicatienetwerken over passende maatregelen voor het beheer van cyberbeveiligingsrisico’s beschikken en significante incidenten in verband daarmee melden. De lidstaten moeten ervoor zorgen dat de beveiliging van de openbare elektronischecommunicatienetwerken wordt gehandhaafd en dat hun wezenlijke veiligheidsbelangen worden beschermd tegen sabotage en spionage. Aangezien de internationale connectiviteit de op het concurrentievermogen gerichte digitalisering van de Unie en haar economie verbetert en versnelt, moeten incidenten in verband met onderzeese communicatiekabels worden gemeld aan het CSIRT of, in voorkomend geval, de bevoegde autoriteit. De nationale cyberbeveiligingsstrategie moet in voorkomend geval worden afgestemd op de cyberbeveiliging van onderzeese communicatiekabels en om het hoogste niveau van bescherming daarvan te waarborgen, moet zij een inventarisatie omvatten van mogelijke cyberbeveiligingsrisico’s en beperkende maatregelen.

| (98) | Om de beveiliging van openbare elektronischecommunicatienetwerken en openbare elektronischecommunicatiediensten te waarborgen, moet het gebruik van encryptietechnologieën, met name eind-tot-eindcodering evenals gegevensgerichte beveiligingsconcepten, zoals cartografie, segmentatie, markeringen, toegangsbeleid en -beheer, en geautomatiseerde toegangsbesluiten, worden bevorderd. Waar nodig moet het gebruik van encryptie, met name eind-tot-eindcodering, verplicht worden gesteld voor aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten, overeenkomstig de beginselen van beveiliging en privacy, standaard en door het ontwerp, voor de doeleinden van deze richtlijn. Het gebruik van eind-tot-eindcodering moet aansluiten op de bevoegdheden van de lidstaten om de bescherming van hun wezenlijke veiligheidsbelangen en de openbare veiligheid te waarborgen en om de preventie, het onderzoek, de opsporing en de vervolging van strafbare feiten overeenkomstig het Unierecht mogelijk te maken. Dit mag echter niet leiden tot verzwakking van de eind-tot-eindcodering, een kritieke technologie met het oog op een doeltreffende gegevensbescherming en privacy en beveiliging van de communicatie. |
| --- | --- |

(98)

Om de beveiliging van openbare elektronischecommunicatienetwerken en openbare elektronischecommunicatiediensten te waarborgen, moet het gebruik van encryptietechnologieën, met name eind-tot-eindcodering evenals gegevensgerichte beveiligingsconcepten, zoals cartografie, segmentatie, markeringen, toegangsbeleid en -beheer, en geautomatiseerde toegangsbesluiten, worden bevorderd. Waar nodig moet het gebruik van encryptie, met name eind-tot-eindcodering, verplicht worden gesteld voor aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten, overeenkomstig de beginselen van beveiliging en privacy, standaard en door het ontwerp, voor de doeleinden van deze richtlijn. Het gebruik van eind-tot-eindcodering moet aansluiten op de bevoegdheden van de lidstaten om de bescherming van hun wezenlijke veiligheidsbelangen en de openbare veiligheid te waarborgen en om de preventie, het onderzoek, de opsporing en de vervolging van strafbare feiten overeenkomstig het Unierecht mogelijk te maken. Dit mag echter niet leiden tot verzwakking van de eind-tot-eindcodering, een kritieke technologie met het oog op een doeltreffende gegevensbescherming en privacy en beveiliging van de communicatie.

| (99) | Om de beveiliging van openbare elektronischecommunicatienetwerken en openbare elektronischecommunicatiediensten te waarborgen en misbruik en manipulatie te voorkomen, moet het gebruik van normen voor veilige routering worden bevorderd om de integriteit en robuustheid van routeringsfuncties in het ecosysteem van aanbieders van internettoegangsdiensten te waarborgen. |
| --- | --- |

(99)

Om de beveiliging van openbare elektronischecommunicatienetwerken en openbare elektronischecommunicatiediensten te waarborgen en misbruik en manipulatie te voorkomen, moet het gebruik van normen voor veilige routering worden bevorderd om de integriteit en robuustheid van routeringsfuncties in het ecosysteem van aanbieders van internettoegangsdiensten te waarborgen.

| (100) | Om de functionaliteit en integriteit van het internet te waarborgen en de beveiliging en weerbaarheid van het DNS te bevorderen, moeten de relevante belanghebbenden, waaronder entiteiten uit de particuliere sector in de Unie, aanbieders van openbare elektronischecommunicatiediensten, met name aanbieders van internettoegangsdiensten en aanbieders van onlinezoekmachines, worden aangespoord om een strategie voor diversificatie van de DNS-omzetting vast te stellen. Daarnaast moeten de lidstaten de ontwikkeling en het gebruik van een openbare en beveiligde Europese dienst voor DNS-omzetting bevorderen. |
| --- | --- |

(100)

Om de functionaliteit en integriteit van het internet te waarborgen en de beveiliging en weerbaarheid van het DNS te bevorderen, moeten de relevante belanghebbenden, waaronder entiteiten uit de particuliere sector in de Unie, aanbieders van openbare elektronischecommunicatiediensten, met name aanbieders van internettoegangsdiensten en aanbieders van onlinezoekmachines, worden aangespoord om een strategie voor diversificatie van de DNS-omzetting vast te stellen. Daarnaast moeten de lidstaten de ontwikkeling en het gebruik van een openbare en beveiligde Europese dienst voor DNS-omzetting bevorderen.

| (101) | Deze richtlijn voorziet in een aanpak in meerdere fasen van de melding van significante incidenten om het juiste evenwicht te vinden tussen enerzijds een snelle melding die de potentiële verspreiding van significante incidenten helpt te beperken en essentiële en belangrijke entiteiten in staat stelt om bijstand te vragen, en anderzijds een grondige melding die het mogelijk maakt waardevolle lessen te trekken uit afzonderlijke incidenten en mettertijd de digitale weerbaarheid van afzonderlijke entiteiten en hele sectoren verbetert. In dat verband moet deze richtlijn ook de melding omvatten van incidenten die, op basis van een door de betrokken entiteit uitgevoerde initiële beoordeling, ernstige operationele verstoring van de dienstverlening of financiële verliezen voor die entiteit kunnen veroorzaken of andere natuurlijke of rechtspersonen kunnen treffen door aanzienlijke materiële of immateriële schade te veroorzaken. Bij een dergelijke initiële beoordeling moet rekening worden gehouden met onder meer de getroffen netwerk- en informatiesystemen, en met name het belang daarvan voor de door de entiteit verleende diensten, de ernst en technische kenmerken van een cyberdreiging en eventuele onderliggende kwetsbaarheden die worden uitgebuit, alsook de ervaring van de entiteit met soortgelijke incidenten. Indicatoren zoals de mate waarin de werking van de dienst wordt aangetast, de duur van een incident of het aantal getroffen afnemers van de diensten kunnen van belang zijn om vast te stellen of er sprake is van een ernstige operationele verstoring van de dienst. |
| --- | --- |

(101)

Deze richtlijn voorziet in een aanpak in meerdere fasen van de melding van significante incidenten om het juiste evenwicht te vinden tussen enerzijds een snelle melding die de potentiële verspreiding van significante incidenten helpt te beperken en essentiële en belangrijke entiteiten in staat stelt om bijstand te vragen, en anderzijds een grondige melding die het mogelijk maakt waardevolle lessen te trekken uit afzonderlijke incidenten en mettertijd de digitale weerbaarheid van afzonderlijke entiteiten en hele sectoren verbetert. In dat verband moet deze richtlijn ook de melding omvatten van incidenten die, op basis van een door de betrokken entiteit uitgevoerde initiële beoordeling, ernstige operationele verstoring van de dienstverlening of financiële verliezen voor die entiteit kunnen veroorzaken of andere natuurlijke of rechtspersonen kunnen treffen door aanzienlijke materiële of immateriële schade te veroorzaken. Bij een dergelijke initiële beoordeling moet rekening worden gehouden met onder meer de getroffen netwerk- en informatiesystemen, en met name het belang daarvan voor de door de entiteit verleende diensten, de ernst en technische kenmerken van een cyberdreiging en eventuele onderliggende kwetsbaarheden die worden uitgebuit, alsook de ervaring van de entiteit met soortgelijke incidenten. Indicatoren zoals de mate waarin de werking van de dienst wordt aangetast, de duur van een incident of het aantal getroffen afnemers van de diensten kunnen van belang zijn om vast te stellen of er sprake is van een ernstige operationele verstoring van de dienst.

| (102) | Wanneer essentiële of belangrijke entiteiten zich bewust worden van een significant incident, moeten zij verplicht worden onverwijld en in elk geval binnen 24 uur een vroegtijdige waarschuwing te verstrekken. Die vroegtijdige waarschuwing moet worden gevolgd door de melding van het incident. De betrokken entiteiten moeten onverwijld en in elk geval binnen 72 uur nadat zij zich bewust worden van een significant incident, melding doen van dat incident, met name om de informatie bij te werken die bij de vroegtijdige waarschuwing is ingediend en om een initiële beoordeling van het significante incident kenbaar te maken, met inbegrip van de ernst en de gevolgen ervan, alsook, indien beschikbaar, indicatoren voor aantasting. Uiterlijk een maand na de melding van het incident moet een eindverslag worden ingediend. De vroegtijdige waarschuwing mag enkel de informatie bevatten die noodzakelijk is om het CSIRT of, in voorkomend geval, de bevoegde autoriteit op de hoogte te brengen van het significante incident en de betrokken entiteit in staat te stellen om indien nodig bijstand te vragen. In voorkomend geval moet bij deze vroegtijdige waarschuwing worden aangegeven of het significante incident vermoedelijk door onrechtmatige of kwaadwillige handelingen is veroorzaakt en of het waarschijnlijk grensoverschrijdende gevolgen heeft. De lidstaten moeten ervoor zorgen dat de verplichting om die vroegtijdige waarschuwing of de daaropvolgende melding van het incident in te dienen de middelen van de meldende entiteit niet afleidt van activiteiten die verband houden met de behandeling van het incident en die als prioritair moeten worden aangemerkt, teneinde te voorkomen dat de verplichtingen inzake de melding van incidenten middelen onttrekken aan de respons op significante incidenten of de inspanningen van de entiteit op dat gebied anderszins in gevaar brengen. Indien het incident nog aan de gang is op het moment dat het eindverslag wordt ingediend, moeten de lidstaten ervoor zorgen dat de betrokken entiteiten op dat moment een voortgangsverslag indienen en binnen één maand nadat het significante incident is afgehandeld, een eindverslag indienen. |
| --- | --- |

(102)

Wanneer essentiële of belangrijke entiteiten zich bewust worden van een significant incident, moeten zij verplicht worden onverwijld en in elk geval binnen 24 uur een vroegtijdige waarschuwing te verstrekken. Die vroegtijdige waarschuwing moet worden gevolgd door de melding van het incident. De betrokken entiteiten moeten onverwijld en in elk geval binnen 72 uur nadat zij zich bewust worden van een significant incident, melding doen van dat incident, met name om de informatie bij te werken die bij de vroegtijdige waarschuwing is ingediend en om een initiële beoordeling van het significante incident kenbaar te maken, met inbegrip van de ernst en de gevolgen ervan, alsook, indien beschikbaar, indicatoren voor aantasting. Uiterlijk een maand na de melding van het incident moet een eindverslag worden ingediend. De vroegtijdige waarschuwing mag enkel de informatie bevatten die noodzakelijk is om het CSIRT of, in voorkomend geval, de bevoegde autoriteit op de hoogte te brengen van het significante incident en de betrokken entiteit in staat te stellen om indien nodig bijstand te vragen. In voorkomend geval moet bij deze vroegtijdige waarschuwing worden aangegeven of het significante incident vermoedelijk door onrechtmatige of kwaadwillige handelingen is veroorzaakt en of het waarschijnlijk grensoverschrijdende gevolgen heeft. De lidstaten moeten ervoor zorgen dat de verplichting om die vroegtijdige waarschuwing of de daaropvolgende melding van het incident in te dienen de middelen van de meldende entiteit niet afleidt van activiteiten die verband houden met de behandeling van het incident en die als prioritair moeten worden aangemerkt, teneinde te voorkomen dat de verplichtingen inzake de melding van incidenten middelen onttrekken aan de respons op significante incidenten of de inspanningen van de entiteit op dat gebied anderszins in gevaar brengen. Indien het incident nog aan de gang is op het moment dat het eindverslag wordt ingediend, moeten de lidstaten ervoor zorgen dat de betrokken entiteiten op dat moment een voortgangsverslag indienen en binnen één maand nadat het significante incident is afgehandeld, een eindverslag indienen.

| (103) | In voorkomend geval moeten essentiële en belangrijke entiteiten de ontvangers van hun diensten onverwijld in kennis stellen van alle maatregelen of voorzieningen die hun ter beschikking staan om de uit een significante cyberdreiging voortvloeien risico’s te beperken. In voorkomend geval, en met name wanneer de significante cyberdreigingen waarschijnlijk tot incidenten zullen leiden, moeten die entiteiten de ontvangers van hun dienst ook op de hoogte brengen van de dreiging zelf. De eis om die ontvangers van significante cyberdreigingen op de hoogte te brengen, moet naar best vermogen in acht worden genomen, maar mag de entiteiten niet ontslaan van de verplichting om op eigen kosten passende en onmiddellijke maatregelen te nemen om dergelijke dreigingen te voorkomen of te verhelpen en het normale beveiligingsniveau van de dienst te herstellen. Dergelijke informatie over significante cyberdreigingen aan de ontvangers van de dienst moet gratis worden verstrekt en in gemakkelijk te begrijpen taal worden opgesteld. |
| --- | --- |

(103)

In voorkomend geval moeten essentiële en belangrijke entiteiten de ontvangers van hun diensten onverwijld in kennis stellen van alle maatregelen of voorzieningen die hun ter beschikking staan om de uit een significante cyberdreiging voortvloeien risico’s te beperken. In voorkomend geval, en met name wanneer de significante cyberdreigingen waarschijnlijk tot incidenten zullen leiden, moeten die entiteiten de ontvangers van hun dienst ook op de hoogte brengen van de dreiging zelf. De eis om die ontvangers van significante cyberdreigingen op de hoogte te brengen, moet naar best vermogen in acht worden genomen, maar mag de entiteiten niet ontslaan van de verplichting om op eigen kosten passende en onmiddellijke maatregelen te nemen om dergelijke dreigingen te voorkomen of te verhelpen en het normale beveiligingsniveau van de dienst te herstellen. Dergelijke informatie over significante cyberdreigingen aan de ontvangers van de dienst moet gratis worden verstrekt en in gemakkelijk te begrijpen taal worden opgesteld.

| (104) | De aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten moeten standaard en door het ontwerp beveiliging bieden en hun dienstontvangers op de hoogte brengen van significante cyberdreigingen en van de maatregelen die zij kunnen nemen om de beveiliging van hun apparaten en communicatie te beschermen, bijvoorbeeld door gebruik te maken van specifieke soorten software of encryptietechnologieën. |
| --- | --- |

(104)

De aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten moeten standaard en door het ontwerp beveiliging bieden en hun dienstontvangers op de hoogte brengen van significante cyberdreigingen en van de maatregelen die zij kunnen nemen om de beveiliging van hun apparaten en communicatie te beschermen, bijvoorbeeld door gebruik te maken van specifieke soorten software of encryptietechnologieën.

| (105) | Een proactieve aanpak van cyberdreigingen is een onmisbaar onderdeel van het beheer van cyberbeveiligingsrisico’s en moet ervoor zorgen dat de bevoegde autoriteiten daadwerkelijk kunnen voorkomen dat cyberdreigingen tot incidenten leiden die aanzienlijke materiële of immateriële schade kunnen veroorzaken. Daartoe is het van cruciaal belang dat cyberdreigingen worden gemeld. Daarom worden de entiteiten aangespoord om op vrijwillige basis melding te maken van cyberdreigingen. |
| --- | --- |

(105)

Een proactieve aanpak van cyberdreigingen is een onmisbaar onderdeel van het beheer van cyberbeveiligingsrisico’s en moet ervoor zorgen dat de bevoegde autoriteiten daadwerkelijk kunnen voorkomen dat cyberdreigingen tot incidenten leiden die aanzienlijke materiële of immateriële schade kunnen veroorzaken. Daartoe is het van cruciaal belang dat cyberdreigingen worden gemeld. Daarom worden de entiteiten aangespoord om op vrijwillige basis melding te maken van cyberdreigingen.

| (106) | Om de rapportage van de krachtens deze richtlijn vereiste informatie te vereenvoudigen en de administratieve lasten voor entiteiten te verminderen, moeten de lidstaten technische middelen ter beschikking stellen, zoals één centraal contactpunt, geautomatiseerde systemen, onlineformulieren, gebruikersvriendelijke interfaces, modellen en specifieke platforms ten behoeve van entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, voor de indiening van de relevante te rapporteren informatie. De Uniefinanciering ter ondersteuning van de uitvoering van deze richtlijn, met name in het kader van het programma Digitaal Europa, dat is vastgesteld bij Verordening (EU) 2021/694 van het Europees Parlement en de Raad (21), kan steun voor centrale contactpunten omvatten. Bovendien bevinden entiteiten zich vaak in een situatie waarin een bepaald incident, vanwege de kenmerken ervan, aan verschillende autoriteiten moet worden gemeld als gevolg van meldingsverplichtingen die in verschillende rechtsinstrumenten zijn opgenomen. Dergelijke gevallen creëren extra administratieve lasten en kunnen ook leiden tot onzekerheden met betrekking tot het format en de procedures van dergelijke meldingen. Wanneer één enkel toegangspunt is ingesteld, worden de lidstaten aangespoord om dat ene centrale toegangspunt ook te gebruiken voor de melding van beveiligingsincidenten als vereist krachtens ander Unierecht zoals Verordening (EU) 2016/679 en Richtlijn 2002/58/EG. Het gebruik van het ene centrale contactpunt voor de melding van beveiligingsincidenten krachtens Verordening (EU) 2016/679 en Richtlijn 2002/58/EG mag geen afbreuk doen aan de toepassing van de bepalingen van Verordening (EU) 2016/679 en Richtlijn 2002/58/EG, en met name de bepalingen met betrekking tot de onafhankelijkheid van de daarin bedoelde autoriteiten. Enisa moet, in samenwerking met de samenwerkingsgroep, gemeenschappelijke meldingsmodellen ontwikkelen door middel van richtsnoeren om de krachtens het Unierecht te rapporteren informatie te vereenvoudigen en te stroomlijnen en de administratieve lasten voor meldende entiteiten te verminderen. |
| --- | --- |

(106)

Om de rapportage van de krachtens deze richtlijn vereiste informatie te vereenvoudigen en de administratieve lasten voor entiteiten te verminderen, moeten de lidstaten technische middelen ter beschikking stellen, zoals één centraal contactpunt, geautomatiseerde systemen, onlineformulieren, gebruikersvriendelijke interfaces, modellen en specifieke platforms ten behoeve van entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, voor de indiening van de relevante te rapporteren informatie. De Uniefinanciering ter ondersteuning van de uitvoering van deze richtlijn, met name in het kader van het programma Digitaal Europa, dat is vastgesteld bij Verordening (EU) 2021/694 van het Europees Parlement en de Raad (21), kan steun voor centrale contactpunten omvatten. Bovendien bevinden entiteiten zich vaak in een situatie waarin een bepaald incident, vanwege de kenmerken ervan, aan verschillende autoriteiten moet worden gemeld als gevolg van meldingsverplichtingen die in verschillende rechtsinstrumenten zijn opgenomen. Dergelijke gevallen creëren extra administratieve lasten en kunnen ook leiden tot onzekerheden met betrekking tot het format en de procedures van dergelijke meldingen. Wanneer één enkel toegangspunt is ingesteld, worden de lidstaten aangespoord om dat ene centrale toegangspunt ook te gebruiken voor de melding van beveiligingsincidenten als vereist krachtens ander Unierecht zoals Verordening (EU) 2016/679 en Richtlijn 2002/58/EG. Het gebruik van het ene centrale contactpunt voor de melding van beveiligingsincidenten krachtens Verordening (EU) 2016/679 en Richtlijn 2002/58/EG mag geen afbreuk doen aan de toepassing van de bepalingen van Verordening (EU) 2016/679 en Richtlijn 2002/58/EG, en met name de bepalingen met betrekking tot de onafhankelijkheid van de daarin bedoelde autoriteiten. Enisa moet, in samenwerking met de samenwerkingsgroep, gemeenschappelijke meldingsmodellen ontwikkelen door middel van richtsnoeren om de krachtens het Unierecht te rapporteren informatie te vereenvoudigen en te stroomlijnen en de administratieve lasten voor meldende entiteiten te verminderen.

| (107) | Wanneer het vermoeden bestaat dat een incident verband houdt met ernstige criminele activiteiten op grond van het Unie- of nationale recht, moeten de lidstaten essentiële en belangrijke entiteiten aansporen om, op basis van de toepasselijke regels voor strafrechtelijke procedures overeenkomstig het Unierecht, incidenten met een vermoedelijk ernstig crimineel karakter aan de betrokken rechtshandhavingsinstanties te melden. In voorkomend geval en onverminderd de voor Europol geldende regels inzake de bescherming van persoonsgegevens is het wenselijk dat de coördinatie tussen de bevoegde autoriteiten en de rechtshandhavingsinstanties van de verschillende lidstaten wordt vergemakkelijkt door het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) en Enisa. |
| --- | --- |

(107)

Wanneer het vermoeden bestaat dat een incident verband houdt met ernstige criminele activiteiten op grond van het Unie- of nationale recht, moeten de lidstaten essentiële en belangrijke entiteiten aansporen om, op basis van de toepasselijke regels voor strafrechtelijke procedures overeenkomstig het Unierecht, incidenten met een vermoedelijk ernstig crimineel karakter aan de betrokken rechtshandhavingsinstanties te melden. In voorkomend geval en onverminderd de voor Europol geldende regels inzake de bescherming van persoonsgegevens is het wenselijk dat de coördinatie tussen de bevoegde autoriteiten en de rechtshandhavingsinstanties van de verschillende lidstaten wordt vergemakkelijkt door het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) en Enisa.

| (108) | Persoonsgegevens worden in veel gevallen in gevaar gebracht als gevolg van incidenten. In dat verband moeten de bevoegde autoriteiten samenwerken en informatie uitwisselen over alle relevante aangelegenheden met de in Verordening (EU) 2016/679 en Richtlijn 2002/58/EG bedoelde autoriteiten. |
| --- | --- |

(108)

Persoonsgegevens worden in veel gevallen in gevaar gebracht als gevolg van incidenten. In dat verband moeten de bevoegde autoriteiten samenwerken en informatie uitwisselen over alle relevante aangelegenheden met de in Verordening (EU) 2016/679 en Richtlijn 2002/58/EG bedoelde autoriteiten.

| (109) | Het onderhouden van nauwkeurige en volledige databases van domeinnaamregistratiegegevens (“WHOIS-gegevens”) en het verlenen van rechtmatige toegang tot dergelijke gegevens is essentieel om de beveiliging, stabiliteit en weerbaarheid van het DNS te waarborgen, wat op zijn beurt bijdraagt tot een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie. Voor dat specifieke doel moeten registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, verplicht worden bepaalde gegevens te verwerken die daartoe nodig zijn. Een dergelijke verwerking moet een wettelijke verplichting vormen in de zin van artikel 6, lid 1, punt c), van Verordening (EU) 2016/679. Die verplichting doet geen afbreuk aan de mogelijkheid om domeinnaamregistratiegegevens voor andere doeleinden te verzamelen, bijvoorbeeld op basis van in ander Unierecht of in het nationale recht vastgestelde wettelijke eisen of contractuele regelingen. Die verplichting heeft tot doel te komen tot een volledige en nauwkeurige reeks registratiegegevens en mag niet ertoe leiden dat dezelfde gegevens meermaals worden verzameld. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten met elkaar samenwerken om dubbel werk te voorkomen. |
| --- | --- |

(109)

Het onderhouden van nauwkeurige en volledige databases van domeinnaamregistratiegegevens (“WHOIS-gegevens”) en het verlenen van rechtmatige toegang tot dergelijke gegevens is essentieel om de beveiliging, stabiliteit en weerbaarheid van het DNS te waarborgen, wat op zijn beurt bijdraagt tot een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie. Voor dat specifieke doel moeten registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, verplicht worden bepaalde gegevens te verwerken die daartoe nodig zijn. Een dergelijke verwerking moet een wettelijke verplichting vormen in de zin van artikel 6, lid 1, punt c), van Verordening (EU) 2016/679. Die verplichting doet geen afbreuk aan de mogelijkheid om domeinnaamregistratiegegevens voor andere doeleinden te verzamelen, bijvoorbeeld op basis van in ander Unierecht of in het nationale recht vastgestelde wettelijke eisen of contractuele regelingen. Die verplichting heeft tot doel te komen tot een volledige en nauwkeurige reeks registratiegegevens en mag niet ertoe leiden dat dezelfde gegevens meermaals worden verzameld. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten met elkaar samenwerken om dubbel werk te voorkomen.

| (110) | De beschikbaarheid en tijdige toegankelijkheid van domeinnaamregistratiegegevens voor verzoekers om legitieme toegang is van essentieel belang om misbruik van het DNS te voorkomen en te bestrijden en om incidenten te voorkomen, op te sporen en erop te reageren. Onder verzoeker om legitieme toegang wordt verstaan elke natuurlijke of rechtspersoon die een verzoek indient krachtens het Unie- of nationale recht. Het kan gaan om autoriteiten die uit hoofde van deze richtlijn bevoegd zijn en om autoriteiten die krachtens het Unie- of nationale recht bevoegd zijn voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten, evenals om CERT’s of CSIRT’s. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten worden verplicht om rechtmatige toegang tot specifieke domeinnaamregistratiegegevens, die nodig zijn voor de doeleinden van het toegangsverzoek, te verlenen aan verzoekers om legitieme toegang, overeenkomstig het Unierecht en het nationale recht. Het verzoek van verzoekers om legitieme toegang moet vergezeld gaan van een motivering aan de hand waarvan kan worden beoordeeld of toegang tot de gegevens noodzakelijk is. |
| --- | --- |

(110)

De beschikbaarheid en tijdige toegankelijkheid van domeinnaamregistratiegegevens voor verzoekers om legitieme toegang is van essentieel belang om misbruik van het DNS te voorkomen en te bestrijden en om incidenten te voorkomen, op te sporen en erop te reageren. Onder verzoeker om legitieme toegang wordt verstaan elke natuurlijke of rechtspersoon die een verzoek indient krachtens het Unie- of nationale recht. Het kan gaan om autoriteiten die uit hoofde van deze richtlijn bevoegd zijn en om autoriteiten die krachtens het Unie- of nationale recht bevoegd zijn voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten, evenals om CERT’s of CSIRT’s. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten worden verplicht om rechtmatige toegang tot specifieke domeinnaamregistratiegegevens, die nodig zijn voor de doeleinden van het toegangsverzoek, te verlenen aan verzoekers om legitieme toegang, overeenkomstig het Unierecht en het nationale recht. Het verzoek van verzoekers om legitieme toegang moet vergezeld gaan van een motivering aan de hand waarvan kan worden beoordeeld of toegang tot de gegevens noodzakelijk is.

| (111) | Om de beschikbaarheid van nauwkeurige en volledige domeinnaamregistratiegegevens te waarborgen, moeten registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen , domeinnaamregistratiegegevens verzamelen en de integriteit en beschikbaarheid ervan waarborgen. Met name registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten beleid en procedures vaststellen om nauwkeurige en volledige domeinnaamregistratiegegevens te verzamelen en bij te houden en om onjuiste registratiegegevens te voorkomen en te corrigeren, in overeenstemming met het Uniegegevensbeschermingsrecht. Uit hoofde van dat beleid en die procedures moet zoveel mogelijk rekening worden gehouden met de normen die zijn ontwikkeld door de structuren voor multistakeholdergovernance op internationaal niveau. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten evenredige procedures vaststellen en toepassen om domeinnaamregistratiegegevens te verifiëren. Die procedures moeten de beste praktijken in het bedrijfsleven en, voor zover mogelijk, de vooruitgang op het gebied van elektronische identificatie weerspiegelen. Voorbeelden van verificatieprocedures kunnen betrekking hebben op controles vooraf die worden uitgevoerd bij de registratie, en controles achteraf die worden uitgevoerd na de registratie. De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen, moeten met name ten minste een van de manieren om met de registrant contact op te nemen, verifiëren. |
| --- | --- |

(111)

Om de beschikbaarheid van nauwkeurige en volledige domeinnaamregistratiegegevens te waarborgen, moeten registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen , domeinnaamregistratiegegevens verzamelen en de integriteit en beschikbaarheid ervan waarborgen. Met name registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten beleid en procedures vaststellen om nauwkeurige en volledige domeinnaamregistratiegegevens te verzamelen en bij te houden en om onjuiste registratiegegevens te voorkomen en te corrigeren, in overeenstemming met het Uniegegevensbeschermingsrecht. Uit hoofde van dat beleid en die procedures moet zoveel mogelijk rekening worden gehouden met de normen die zijn ontwikkeld door de structuren voor multistakeholdergovernance op internationaal niveau. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten evenredige procedures vaststellen en toepassen om domeinnaamregistratiegegevens te verifiëren. Die procedures moeten de beste praktijken in het bedrijfsleven en, voor zover mogelijk, de vooruitgang op het gebied van elektronische identificatie weerspiegelen. Voorbeelden van verificatieprocedures kunnen betrekking hebben op controles vooraf die worden uitgevoerd bij de registratie, en controles achteraf die worden uitgevoerd na de registratie. De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen, moeten met name ten minste een van de manieren om met de registrant contact op te nemen, verifiëren.

| (112) | Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten worden verplicht domeinnaamregistratiegegevens die buiten het toepassingsgebied van het Uniegegevensbeschermingsrecht vallen openbaar te maken, zoals gegevens die betrekking hebben op rechtspersonen, overeenkomstig de preambule van Verordening (EU) 2016/679. Voor rechtspersonen moeten registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen ten minste de naam en het telefoonnummer van de registrant openbaar maken. Ook het e-mailadres moet bekend worden gemaakt, op voorwaarde dat het geen persoonsgegevens bevat, zoals bij e-mailaliassen of functionele mailboxen. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten ook rechtmatige toegang tot specifieke domeinnaamregistratiegegevens over natuurlijke personen verlenen aan verzoekers om legitieme toegang, overeenkomstig het Uniegegevensbeschermingsrecht. De lidstaten moeten van registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, verlangen dat zij onverwijld reageren op verzoeken van verzoekers om legitieme toegang om openbaarmaking van domeinnaamregistratiegegevens. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten beleid en procedures vaststellen voor de bekendmaking en openbaarmaking van registratiegegevens, met inbegrip van overeenkomsten inzake het dienstverleningsniveau voor de behandeling van verzoeken om toegang van verzoekers om legitieme toegang. In het kader van dat beleid en die procedures moet zoveel mogelijk rekening worden gehouden met alle richtsnoeren en met de normen die zijn ontwikkeld door de structuren voor multistakeholdergovernance op internationaal niveau. De toegangsprocedure kan het gebruik van een interface, een portaal of een ander technisch hulpmiddel omvatten om een efficiënt systeem te bieden voor het aanvragen en raadplegen van registratiegegevens. Met het oog op de bevordering van geharmoniseerde praktijken in de gehele interne markt kan de Commissie zonder afbreuk te doen aan de bevoegdheden van het Europees Comité voor gegevensbescherming richtsnoeren voor dergelijke procedures bepalen, waarin zoveel mogelijk rekening wordt gehouden met de normen die zijn ontwikkeld door de structuren voor multistakeholdergovernance op internationaal niveau. De lidstaten moeten ervoor zorgen dat alle vormen van toegang tot persoonsgebonden en niet-persoonsgebonden domeinnaamregistratiegegevens gratis zijn. |
| --- | --- |

(112)

Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten worden verplicht domeinnaamregistratiegegevens die buiten het toepassingsgebied van het Uniegegevensbeschermingsrecht vallen openbaar te maken, zoals gegevens die betrekking hebben op rechtspersonen, overeenkomstig de preambule van Verordening (EU) 2016/679. Voor rechtspersonen moeten registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen ten minste de naam en het telefoonnummer van de registrant openbaar maken. Ook het e-mailadres moet bekend worden gemaakt, op voorwaarde dat het geen persoonsgegevens bevat, zoals bij e-mailaliassen of functionele mailboxen. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten ook rechtmatige toegang tot specifieke domeinnaamregistratiegegevens over natuurlijke personen verlenen aan verzoekers om legitieme toegang, overeenkomstig het Uniegegevensbeschermingsrecht. De lidstaten moeten van registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, verlangen dat zij onverwijld reageren op verzoeken van verzoekers om legitieme toegang om openbaarmaking van domeinnaamregistratiegegevens. Registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, moeten beleid en procedures vaststellen voor de bekendmaking en openbaarmaking van registratiegegevens, met inbegrip van overeenkomsten inzake het dienstverleningsniveau voor de behandeling van verzoeken om toegang van verzoekers om legitieme toegang. In het kader van dat beleid en die procedures moet zoveel mogelijk rekening worden gehouden met alle richtsnoeren en met de normen die zijn ontwikkeld door de structuren voor multistakeholdergovernance op internationaal niveau. De toegangsprocedure kan het gebruik van een interface, een portaal of een ander technisch hulpmiddel omvatten om een efficiënt systeem te bieden voor het aanvragen en raadplegen van registratiegegevens. Met het oog op de bevordering van geharmoniseerde praktijken in de gehele interne markt kan de Commissie zonder afbreuk te doen aan de bevoegdheden van het Europees Comité voor gegevensbescherming richtsnoeren voor dergelijke procedures bepalen, waarin zoveel mogelijk rekening wordt gehouden met de normen die zijn ontwikkeld door de structuren voor multistakeholdergovernance op internationaal niveau. De lidstaten moeten ervoor zorgen dat alle vormen van toegang tot persoonsgebonden en niet-persoonsgebonden domeinnaamregistratiegegevens gratis zijn.

| (113) | Binnen het toepassingsgebied van deze richtlijn vallende entiteiten moeten worden geacht te vallen onder de jurisdictie van de lidstaat waar zij zijn gevestigd. Aanbieders van openbare elektronischecommunicatienetwerken of aanbieders van openbare elektronischecommunicatiediensten moeten evenwel worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun diensten verlenen. DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten moeten worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun hoofdvestiging in de Unie hebben. Overheidsinstanties moeten vallen onder de jurisdictie van de lidstaat die ze heeft opgericht. Indien de entiteit diensten verleent of gevestigd is in meer dan één lidstaat, moet zij vallen onder de afzonderlijke en gelijktijdige jurisdictie van elk van die lidstaten. De bevoegde autoriteiten van die lidstaten moeten samenwerken, elkaar wederzijds bijstand verlenen en, in voorkomend geval, gezamenlijke toezichtsacties uitvoeren. Wanneer lidstaten hun jurisdictie uitoefenen, mogen zij overeenkomstig het ne bis in idem-beginsel niet meer dan één keer handhavingsmaatregelen of sancties opleggen voor dezelfde gedraging. |
| --- | --- |

(113)

Binnen het toepassingsgebied van deze richtlijn vallende entiteiten moeten worden geacht te vallen onder de jurisdictie van de lidstaat waar zij zijn gevestigd. Aanbieders van openbare elektronischecommunicatienetwerken of aanbieders van openbare elektronischecommunicatiediensten moeten evenwel worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun diensten verlenen. DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten moeten worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun hoofdvestiging in de Unie hebben. Overheidsinstanties moeten vallen onder de jurisdictie van de lidstaat die ze heeft opgericht. Indien de entiteit diensten verleent of gevestigd is in meer dan één lidstaat, moet zij vallen onder de afzonderlijke en gelijktijdige jurisdictie van elk van die lidstaten. De bevoegde autoriteiten van die lidstaten moeten samenwerken, elkaar wederzijds bijstand verlenen en, in voorkomend geval, gezamenlijke toezichtsacties uitvoeren. Wanneer lidstaten hun jurisdictie uitoefenen, mogen zij overeenkomstig het ne bis in idem-beginsel niet meer dan één keer handhavingsmaatregelen of sancties opleggen voor dezelfde gedraging.

| (114) | Om rekening te houden met het grensoverschrijdende karakter van de diensten en activiteiten van DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, mag slechts één lidstaat jurisdictie hebben over die entiteiten. Deze jurisdictie moet worden toegekend aan de lidstaat waar de betrokken entiteit haar hoofdvestiging in de Unie heeft. Het vestigingscriterium voor de toepassing van deze richtlijn houdt de daadwerkelijke uitoefening van de activiteit in door middel van stabiele regelingen. De rechtsvorm van dergelijke regelingen, hetzij via een filiaal, hetzij via een dochteronderneming met rechtspersoonlijkheid, is in dat opzicht geen bepalende factor. Of aan dat criterium wordt voldaan, mag niet afhangen van de vraag of de netwerk- en informatiesystemen zich fysiek op een bepaalde plaats bevinden; de aanwezigheid en het gebruik van dergelijke systemen vormen op zich niet een dergelijke hoofdvestiging en zijn dus geen doorslaggevende criteria voor het bepalen van de hoofdvestiging. De hoofdvestiging moet geacht worden zich te bevinden in de lidstaat waar de besluiten met betrekking tot de risicobeheersmaatregelen op het gebied van cyberbeveiliging hoofdzakelijk worden genomen in de Unie. Dit zal doorgaans overeenkomen met de plaats van de centrale administratie van de entiteiten in de Unie. Indien niet kan worden bepaald welke lidstaat dat is of indien dergelijke besluiten niet in de Unie worden genomen, moet de hoofdvestiging worden geacht zich te bevinden in de lidstaat waar cyberbeveiligingsactiviteiten worden uitgevoerd. Indien niet kan worden bepaald welke lidstaat dat is, moet de hoofdvestiging worden geacht zich te bevinden in de lidstaat waar de entiteit de vestiging met het grootste aantal werknemers in de Unie heeft. Wanneer de diensten door een groep van ondernemingen worden verricht, moet de hoofdvestiging van de zeggenschap uitoefenende onderneming worden beschouwd als de hoofdvestiging van de groep van ondernemingen. |
| --- | --- |

(114)

Om rekening te houden met het grensoverschrijdende karakter van de diensten en activiteiten van DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, mag slechts één lidstaat jurisdictie hebben over die entiteiten. Deze jurisdictie moet worden toegekend aan de lidstaat waar de betrokken entiteit haar hoofdvestiging in de Unie heeft. Het vestigingscriterium voor de toepassing van deze richtlijn houdt de daadwerkelijke uitoefening van de activiteit in door middel van stabiele regelingen. De rechtsvorm van dergelijke regelingen, hetzij via een filiaal, hetzij via een dochteronderneming met rechtspersoonlijkheid, is in dat opzicht geen bepalende factor. Of aan dat criterium wordt voldaan, mag niet afhangen van de vraag of de netwerk- en informatiesystemen zich fysiek op een bepaalde plaats bevinden; de aanwezigheid en het gebruik van dergelijke systemen vormen op zich niet een dergelijke hoofdvestiging en zijn dus geen doorslaggevende criteria voor het bepalen van de hoofdvestiging. De hoofdvestiging moet geacht worden zich te bevinden in de lidstaat waar de besluiten met betrekking tot de risicobeheersmaatregelen op het gebied van cyberbeveiliging hoofdzakelijk worden genomen in de Unie. Dit zal doorgaans overeenkomen met de plaats van de centrale administratie van de entiteiten in de Unie. Indien niet kan worden bepaald welke lidstaat dat is of indien dergelijke besluiten niet in de Unie worden genomen, moet de hoofdvestiging worden geacht zich te bevinden in de lidstaat waar cyberbeveiligingsactiviteiten worden uitgevoerd. Indien niet kan worden bepaald welke lidstaat dat is, moet de hoofdvestiging worden geacht zich te bevinden in de lidstaat waar de entiteit de vestiging met het grootste aantal werknemers in de Unie heeft. Wanneer de diensten door een groep van ondernemingen worden verricht, moet de hoofdvestiging van de zeggenschap uitoefenende onderneming worden beschouwd als de hoofdvestiging van de groep van ondernemingen.

| (115) | Indien een aanbieder van openbare elektronischecommunicatienetwerken of openbare elektronischecommunicatiediensten een openbare recursieve DNS-dienst enkel verricht als onderdeel van de internettoegangsdienst, moet de entiteit worden geacht te vallen onder de jurisdictie van alle lidstaten waar haar diensten worden verleend. |
| --- | --- |

(115)

Indien een aanbieder van openbare elektronischecommunicatienetwerken of openbare elektronischecommunicatiediensten een openbare recursieve DNS-dienst enkel verricht als onderdeel van de internettoegangsdienst, moet de entiteit worden geacht te vallen onder de jurisdictie van alle lidstaten waar haar diensten worden verleend.

| (116) | Indien een DNS-dienstverlener, een register voor topleveldomeinnamen, een entiteiten die domeinnaamregistratiediensten verleent, een aanbieder van cloudcomputingdiensten, een aanbieder van datacentra, een aanbieder van netwerken voor de levering van inhoud, een aanbieder van beheerde diensten, een aanbieder van beheerde beveiligingsdiensten, of een aanbieder van een onlinemarktplaats, van een onlinezoekmachine of van een platform voor socialenetwerkdiensten, niet in de Unie is gevestigd maar diensten in de Unie aanbiedt, moet deze een vertegenwoordiger in de Unie aanduiden. Om te bepalen of een dergelijke entiteit diensten binnen de Unie aanbiedt, moet worden nagegaan of de entiteit van plan is diensten aan te bieden aan personen in een of meer lidstaten. De loutere toegankelijkheid in de Unie van de website van de entiteit of van een tussenpersoon, of van een e-mailadres of van andere contactgegevens, of het gebruik van een taal die algemeen wordt gebruikt in het derde land waar de entiteit is gevestigd, moet als zodanig onvoldoende worden geacht om een dergelijk voornemen vast te stellen. Factoren zoals het gebruik van een taal of een valuta die in een of meer lidstaten algemeen wordt gebruikt en de mogelijkheid om diensten in die taal te bestellen, of de vermelding van klanten of gebruikers die zich in de Unie bevinden, kunnen echter duidelijk maken dat de entiteit van plan is om diensten binnen de Unie aan te bieden. De vertegenwoordiger moet namens de entiteit optreden en de bevoegde autoriteiten of de CSIRT’s moeten zich kunnen wenden tot de vertegenwoordiger. De vertegenwoordiger moet uitdrukkelijk bij schriftelijke opdracht van de entiteit worden aangewezen om namens de entiteit op te treden met betrekking tot in deze richtlijn vastgelegde verplichtingen, met inbegrip van de melding van incidenten. |
| --- | --- |

(116)

Indien een DNS-dienstverlener, een register voor topleveldomeinnamen, een entiteiten die domeinnaamregistratiediensten verleent, een aanbieder van cloudcomputingdiensten, een aanbieder van datacentra, een aanbieder van netwerken voor de levering van inhoud, een aanbieder van beheerde diensten, een aanbieder van beheerde beveiligingsdiensten, of een aanbieder van een onlinemarktplaats, van een onlinezoekmachine of van een platform voor socialenetwerkdiensten, niet in de Unie is gevestigd maar diensten in de Unie aanbiedt, moet deze een vertegenwoordiger in de Unie aanduiden. Om te bepalen of een dergelijke entiteit diensten binnen de Unie aanbiedt, moet worden nagegaan of de entiteit van plan is diensten aan te bieden aan personen in een of meer lidstaten. De loutere toegankelijkheid in de Unie van de website van de entiteit of van een tussenpersoon, of van een e-mailadres of van andere contactgegevens, of het gebruik van een taal die algemeen wordt gebruikt in het derde land waar de entiteit is gevestigd, moet als zodanig onvoldoende worden geacht om een dergelijk voornemen vast te stellen. Factoren zoals het gebruik van een taal of een valuta die in een of meer lidstaten algemeen wordt gebruikt en de mogelijkheid om diensten in die taal te bestellen, of de vermelding van klanten of gebruikers die zich in de Unie bevinden, kunnen echter duidelijk maken dat de entiteit van plan is om diensten binnen de Unie aan te bieden. De vertegenwoordiger moet namens de entiteit optreden en de bevoegde autoriteiten of de CSIRT’s moeten zich kunnen wenden tot de vertegenwoordiger. De vertegenwoordiger moet uitdrukkelijk bij schriftelijke opdracht van de entiteit worden aangewezen om namens de entiteit op te treden met betrekking tot in deze richtlijn vastgelegde verplichtingen, met inbegrip van de melding van incidenten.

| (117) | Ten behoeve van een duidelijk overzicht van DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, die in de gehele Unie binnen het toepassingsgebied van deze richtlijn vallende diensten verlenen, moet Enisa zorgen voor de oprichting en het beheer van een register van dergelijke entiteiten, gebaseerd op de door lidstaten verstrekte informatie en indien nodig met behulp van nationale mechanismen voor zelfregistratie door entiteiten. De centrale contactpunten moeten de informatie en eventuele wijzigingen daarvan doorsturen naar Enisa. Met het oog op de nauwkeurigheid en volledigheid van de informatie die in dit register moet worden opgenomen, kunnen lidstaten Enisa de informatie verstrekken die betreffende die entiteiten beschikbaar is in hun nationale registers. Enisa en de lidstaten moeten maatregelen nemen om de interoperabiliteit van dergelijke registers te bevorderen, en tegelijkertijd de bescherming van vertrouwelijke of gerubriceerde informatie waarborgen. Enisa moet passende protocollen voor de rubricering en het beheer van informatie opstellen om de veiligheid en vertrouwelijkheid van gerapporteerde informatie te garanderen, en de toegang, opslag en doorgifte van die informatie te beperken tot de beoogde gebruikers. |
| --- | --- |

(117)

Ten behoeve van een duidelijk overzicht van DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, die in de gehele Unie binnen het toepassingsgebied van deze richtlijn vallende diensten verlenen, moet Enisa zorgen voor de oprichting en het beheer van een register van dergelijke entiteiten, gebaseerd op de door lidstaten verstrekte informatie en indien nodig met behulp van nationale mechanismen voor zelfregistratie door entiteiten. De centrale contactpunten moeten de informatie en eventuele wijzigingen daarvan doorsturen naar Enisa. Met het oog op de nauwkeurigheid en volledigheid van de informatie die in dit register moet worden opgenomen, kunnen lidstaten Enisa de informatie verstrekken die betreffende die entiteiten beschikbaar is in hun nationale registers. Enisa en de lidstaten moeten maatregelen nemen om de interoperabiliteit van dergelijke registers te bevorderen, en tegelijkertijd de bescherming van vertrouwelijke of gerubriceerde informatie waarborgen. Enisa moet passende protocollen voor de rubricering en het beheer van informatie opstellen om de veiligheid en vertrouwelijkheid van gerapporteerde informatie te garanderen, en de toegang, opslag en doorgifte van die informatie te beperken tot de beoogde gebruikers.

| (118) | Wanneer er uit hoofde van deze richtlijn informatie wordt uitgewisseld, gerapporteerd of anderszins gedeeld die volgens het Unie- of nationale recht gerubriceerd is, moet toepassing worden gemaakt van de desbetreffende regels voor de behandeling van gerubriceerde informatie. Bovendien moet Enisa over de benodigde infrastructuur, procedures en regels beschikken om gevoelige en gerubriceerde informatie te kunnen verwerken overeenkomstig de toepasselijke beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie. |
| --- | --- |

(118)

Wanneer er uit hoofde van deze richtlijn informatie wordt uitgewisseld, gerapporteerd of anderszins gedeeld die volgens het Unie- of nationale recht gerubriceerd is, moet toepassing worden gemaakt van de desbetreffende regels voor de behandeling van gerubriceerde informatie. Bovendien moet Enisa over de benodigde infrastructuur, procedures en regels beschikken om gevoelige en gerubriceerde informatie te kunnen verwerken overeenkomstig de toepasselijke beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie.

| (119) | Aangezien cyberdreigingen complexer en geavanceerder worden, zijn een goede opsporing van dergelijke dreigingen en preventiemaatregelen dienaangaande voor een groot deel afhankelijk van het regelmatige delen van inlichtingen over dreigingen en kwetsbaarheden tussen entiteiten. Het delen van informatie draagt bij aan een grotere bewustwording van cyberdreigingen, wat op zijn beurt het vermogen van entiteiten om te voorkomen dat zulke dreigingen tot echte incidenten leiden, vergroot en entiteiten in staat stelt om de gevolgen van incidenten beter in te dammen en efficiënter te herstellen. Bij gebrek aan richtsnoeren op Unieniveau lijken verschillende factoren een dergelijk delen van inlichtingen te hebben afgeremd, met name de onzekerheid over de verenigbaarheid met de mededingings- en aansprakelijkheidsregels. |
| --- | --- |

(119)

Aangezien cyberdreigingen complexer en geavanceerder worden, zijn een goede opsporing van dergelijke dreigingen en preventiemaatregelen dienaangaande voor een groot deel afhankelijk van het regelmatige delen van inlichtingen over dreigingen en kwetsbaarheden tussen entiteiten. Het delen van informatie draagt bij aan een grotere bewustwording van cyberdreigingen, wat op zijn beurt het vermogen van entiteiten om te voorkomen dat zulke dreigingen tot echte incidenten leiden, vergroot en entiteiten in staat stelt om de gevolgen van incidenten beter in te dammen en efficiënter te herstellen. Bij gebrek aan richtsnoeren op Unieniveau lijken verschillende factoren een dergelijk delen van inlichtingen te hebben afgeremd, met name de onzekerheid over de verenigbaarheid met de mededingings- en aansprakelijkheidsregels.

| (120) | Entiteiten moeten worden aangemoedigd en bijgestaan door de lidstaten om hun individuele kennis en praktische ervaring op strategisch, tactisch en operationeel niveau collectief te benutten met het oog op de verbetering van hun capaciteiten om incidenten adequaat te voorkomen, op te sporen, er een antwoord op te bieden, ervan te herstellen of de impact ervan af te beperken. Het is dus noodzakelijk om op Unieniveau de opkomst van vrijwillige regelingen voor het delen van cyberbeveiligingsinformatie mogelijk te maken. Daarom moeten de lidstaten entiteiten, zoals die welke cyberbeveiligingsdiensten en -onderzoek aanbieden, alsook niet binnen het toepassingsgebied van deze richtlijn vallende relevante entiteiten, actief bijstaan en aanmoedigen om deel te nemen aan dergelijke regelingen voor het delen van cyberbeveiligingsinformatie. Deze regelingen moeten in overeenstemming zijn met de mededingingsregels van de Unie en het Uniegegevensbeschermingsrecht. |
| --- | --- |

(120)

Entiteiten moeten worden aangemoedigd en bijgestaan door de lidstaten om hun individuele kennis en praktische ervaring op strategisch, tactisch en operationeel niveau collectief te benutten met het oog op de verbetering van hun capaciteiten om incidenten adequaat te voorkomen, op te sporen, er een antwoord op te bieden, ervan te herstellen of de impact ervan af te beperken. Het is dus noodzakelijk om op Unieniveau de opkomst van vrijwillige regelingen voor het delen van cyberbeveiligingsinformatie mogelijk te maken. Daarom moeten de lidstaten entiteiten, zoals die welke cyberbeveiligingsdiensten en -onderzoek aanbieden, alsook niet binnen het toepassingsgebied van deze richtlijn vallende relevante entiteiten, actief bijstaan en aanmoedigen om deel te nemen aan dergelijke regelingen voor het delen van cyberbeveiligingsinformatie. Deze regelingen moeten in overeenstemming zijn met de mededingingsregels van de Unie en het Uniegegevensbeschermingsrecht.

| (121) | De verwerking van persoonsgegevens, voor zover noodzakelijk en evenredig met het oog op de beveiliging van netwerk- en informatiesystemen door essentiële en belangrijke entiteiten, kan als rechtmatig worden beschouwd op grond van het feit dat dergelijke verwerking voldoet aan een wettelijke verplichting waaraan de verwerkingsverantwoordelijke onderworpen is overeenkomstig de eisen van artikel 6, lid 1, punt c), en artikel 6, lid 3, van Verordening (EU) 2016/679. De verwerking van persoonsgegevens kan ook noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen van essentiële en belangrijke entiteiten, alsook van aanbieders van beveiligingstechnologieën en -diensten die namens die entiteiten optreden, op grond van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679, onder meer wanneer een dergelijke verwerking noodzakelijk is voor regelingen voor het delen van cyberbeveiligingsinformatie of de vrijwillige melding van relevante informatie overeenkomstig deze richtlijn. Maatregelen met betrekking tot de preventie, opsporing, identificatie, indamming en analyse van incidenten en de reactie erop, maatregelen om het bewustzijn met betrekking tot specifieke cyberdreigingen te vergroten, uitwisseling van informatie in het kader van herstel van de kwetsbaarheid en gecoördineerde openbaarmaking van de kwetsbaarheid, de vrijwillige uitwisseling van informatie over die incidenten, alsmede cyberdreigingen en kwetsbaarheden, indicatoren voor aantasting, tactieken, technieken en procedures, cyberbeveiligingswaarschuwingen en configuratiehulpmiddelen kunnen de verwerking vereisen van bepaalde categorieën persoonsgegevens, zoals IP-adressen, uniforme resources locators (URL’s), domeinnamen, e-mailadressen en, voor zover hieruit persoonsgegevens blijken, tijdstempels. De verwerking van persoonsgegevens door de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s kan een wettelijke verplichting vormen of noodzakelijk worden geacht voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen op grond van artikel 6, lid 1, punt c) of e), en artikel 6, lid 3, van Verordening (EU) 2016/679, of voor de behartiging van een gerechtvaardigd belang van de essentiële en belangrijke entiteiten als bedoeld in artikel 6, lid 1, punt f), van die verordening. Voorts kunnen in het nationale recht regels worden vastgesteld die het de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s, voor zover noodzakelijk en evenredig ten behoeve van het waarborgen van de beveiliging van netwerk- en informatiesystemen van essentiële en belangrijke entiteiten, toelaten om bijzondere categorieën van persoonsgegevens te verwerken overeenkomstig artikel 9 van Verordening (EU) 2016/679, met name door te voorzien in passende en specifieke maatregelen ter bescherming van de grondrechten en de belangen van natuurlijke personen, met inbegrip van technische beperkingen op het hergebruik van dergelijke gegevens en het gebruik van geavanceerde beveiligings- en privacybeschermingsmaatregelen, zoals pseudonimisering, of versleuteling wanneer anonimisering het nagestreefde doel aanzienlijk kan beïnvloeden. |
| --- | --- |

(121)

De verwerking van persoonsgegevens, voor zover noodzakelijk en evenredig met het oog op de beveiliging van netwerk- en informatiesystemen door essentiële en belangrijke entiteiten, kan als rechtmatig worden beschouwd op grond van het feit dat dergelijke verwerking voldoet aan een wettelijke verplichting waaraan de verwerkingsverantwoordelijke onderworpen is overeenkomstig de eisen van artikel 6, lid 1, punt c), en artikel 6, lid 3, van Verordening (EU) 2016/679. De verwerking van persoonsgegevens kan ook noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen van essentiële en belangrijke entiteiten, alsook van aanbieders van beveiligingstechnologieën en -diensten die namens die entiteiten optreden, op grond van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679, onder meer wanneer een dergelijke verwerking noodzakelijk is voor regelingen voor het delen van cyberbeveiligingsinformatie of de vrijwillige melding van relevante informatie overeenkomstig deze richtlijn. Maatregelen met betrekking tot de preventie, opsporing, identificatie, indamming en analyse van incidenten en de reactie erop, maatregelen om het bewustzijn met betrekking tot specifieke cyberdreigingen te vergroten, uitwisseling van informatie in het kader van herstel van de kwetsbaarheid en gecoördineerde openbaarmaking van de kwetsbaarheid, de vrijwillige uitwisseling van informatie over die incidenten, alsmede cyberdreigingen en kwetsbaarheden, indicatoren voor aantasting, tactieken, technieken en procedures, cyberbeveiligingswaarschuwingen en configuratiehulpmiddelen kunnen de verwerking vereisen van bepaalde categorieën persoonsgegevens, zoals IP-adressen, uniforme resources locators (URL’s), domeinnamen, e-mailadressen en, voor zover hieruit persoonsgegevens blijken, tijdstempels. De verwerking van persoonsgegevens door de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s kan een wettelijke verplichting vormen of noodzakelijk worden geacht voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen op grond van artikel 6, lid 1, punt c) of e), en artikel 6, lid 3, van Verordening (EU) 2016/679, of voor de behartiging van een gerechtvaardigd belang van de essentiële en belangrijke entiteiten als bedoeld in artikel 6, lid 1, punt f), van die verordening. Voorts kunnen in het nationale recht regels worden vastgesteld die het de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s, voor zover noodzakelijk en evenredig ten behoeve van het waarborgen van de beveiliging van netwerk- en informatiesystemen van essentiële en belangrijke entiteiten, toelaten om bijzondere categorieën van persoonsgegevens te verwerken overeenkomstig artikel 9 van Verordening (EU) 2016/679, met name door te voorzien in passende en specifieke maatregelen ter bescherming van de grondrechten en de belangen van natuurlijke personen, met inbegrip van technische beperkingen op het hergebruik van dergelijke gegevens en het gebruik van geavanceerde beveiligings- en privacybeschermingsmaatregelen, zoals pseudonimisering, of versleuteling wanneer anonimisering het nagestreefde doel aanzienlijk kan beïnvloeden.

| (122) | Ter versterking van de toezichtsbevoegdheden en -maatregelen die bijdragen tot een doeltreffende naleving, moet deze richtlijn voorzien in een minimumlijst van toezichtsmaatregelen en -middelen waarmee de bevoegde autoriteiten toezicht kunnen houden op essentiële en belangrijke entiteiten. Bovendien moet in deze richtlijn een onderscheid worden gemaakt tussen de toezichtsregeling voor essentiële en voor belangrijke entiteiten, teneinde te zorgen voor een billijk evenwicht tussen de verplichtingen voor die entiteiten en voor de bevoegde autoriteiten. Derhalve moeten essentiële entiteiten worden onderworpen aan een alomvattende regeling voor toezicht vooraf en achteraf, terwijl belangrijke entiteiten slechts moeten worden onderworpen aan een lichte regeling voor toezicht, uitsluitend achteraf. Van belangrijke entiteiten mag daarom niet worden verlangd dat zij systematisch de naleving van de risicobeheersmaatregelen op het gebied van cyberbeveiliging documenteren, aangezien de bevoegde autoriteiten het toezicht reactief en achteraf moeten uitvoeren en dus geen algemene verplichting hebben om toezicht te houden op die entiteiten. Het toezicht achteraf ten aanzien van belangrijke entiteiten kan worden geactiveerd wanneer bewijzen, aanwijzingen of informatie onder de aandacht van de bevoegde autoriteiten zijn gebracht en deze door die autoriteiten worden geacht te wijzen op mogelijke inbreuken op deze richtlijn. Dergelijke bewijzen, aanwijzingen of informatie kunnen bijvoorbeeld van het type zijn dat door andere autoriteiten, entiteiten, burgers, media of andere bronnen aan de bevoegde autoriteiten wordt verstrekt, kunnen openbaar beschikbare informatie zijn, of kunnen voortkomen uit andere werkzaamheden die de bevoegde autoriteiten in het kader van de uitvoering van hun taken verrichten. |
| --- | --- |

(122)

Ter versterking van de toezichtsbevoegdheden en -maatregelen die bijdragen tot een doeltreffende naleving, moet deze richtlijn voorzien in een minimumlijst van toezichtsmaatregelen en -middelen waarmee de bevoegde autoriteiten toezicht kunnen houden op essentiële en belangrijke entiteiten. Bovendien moet in deze richtlijn een onderscheid worden gemaakt tussen de toezichtsregeling voor essentiële en voor belangrijke entiteiten, teneinde te zorgen voor een billijk evenwicht tussen de verplichtingen voor die entiteiten en voor de bevoegde autoriteiten. Derhalve moeten essentiële entiteiten worden onderworpen aan een alomvattende regeling voor toezicht vooraf en achteraf, terwijl belangrijke entiteiten slechts moeten worden onderworpen aan een lichte regeling voor toezicht, uitsluitend achteraf. Van belangrijke entiteiten mag daarom niet worden verlangd dat zij systematisch de naleving van de risicobeheersmaatregelen op het gebied van cyberbeveiliging documenteren, aangezien de bevoegde autoriteiten het toezicht reactief en achteraf moeten uitvoeren en dus geen algemene verplichting hebben om toezicht te houden op die entiteiten. Het toezicht achteraf ten aanzien van belangrijke entiteiten kan worden geactiveerd wanneer bewijzen, aanwijzingen of informatie onder de aandacht van de bevoegde autoriteiten zijn gebracht en deze door die autoriteiten worden geacht te wijzen op mogelijke inbreuken op deze richtlijn. Dergelijke bewijzen, aanwijzingen of informatie kunnen bijvoorbeeld van het type zijn dat door andere autoriteiten, entiteiten, burgers, media of andere bronnen aan de bevoegde autoriteiten wordt verstrekt, kunnen openbaar beschikbare informatie zijn, of kunnen voortkomen uit andere werkzaamheden die de bevoegde autoriteiten in het kader van de uitvoering van hun taken verrichten.

| (123) | De uitvoering van toezichthoudende taken door de bevoegde autoriteiten mag de bedrijfsactiviteiten van de betrokken entiteit niet onnodig belemmeren. Wanneer de bevoegde autoriteiten hun toezichthoudende taken met betrekking tot essentiële entiteiten uitvoeren, met inbegrip van het uitvoeren van inspecties ter plaatse en toezicht buiten de locatie, het onderzoeken van inbreuken op deze richtlijn, en het uitvoeren van beveiligingsaudits of beveiligingsscans, moeten zij de gevolgen voor de bedrijfsactiviteiten van de betrokken entiteit tot een minimum beperken. |
| --- | --- |

(123)

De uitvoering van toezichthoudende taken door de bevoegde autoriteiten mag de bedrijfsactiviteiten van de betrokken entiteit niet onnodig belemmeren. Wanneer de bevoegde autoriteiten hun toezichthoudende taken met betrekking tot essentiële entiteiten uitvoeren, met inbegrip van het uitvoeren van inspecties ter plaatse en toezicht buiten de locatie, het onderzoeken van inbreuken op deze richtlijn, en het uitvoeren van beveiligingsaudits of beveiligingsscans, moeten zij de gevolgen voor de bedrijfsactiviteiten van de betrokken entiteit tot een minimum beperken.

| (124) | Bij de uitoefening van het toezicht vooraf moeten de bevoegde autoriteiten op evenredige wijze kunnen beslissen over de prioritering van het gebruik van de toezichtsmaatregelen en -middelen waarover zij beschikken. Dit houdt in dat de bevoegde autoriteiten over dergelijke prioritering kunnen beslissen op basis van toezichtsmethoden die een risicogebaseerde benadering moeten volgen. Meer in het bijzonder kan het bij dergelijke methoden gaan om criteria of benchmarks voor de indeling van essentiële entiteiten in risicocategorieën en overeenkomstige toezichtsmaatregelen en -middelen die per risicocategorie worden aanbevolen, zoals het gebruik, de frequentie of de soorten van inspecties ter plaatse, gerichte beveiligingsaudits of beveiligingsscans, het soort informatie dat moet worden opgevraagd en de mate van gedetailleerdheid van die informatie. Dergelijke toezichtsmethoden kunnen ook vergezeld gaan van werkprogramma's en regelmatig worden beoordeeld en geëvalueerd, onder meer met betrekking tot aspecten als de middelentoewijzing en de behoeften. Met betrekking tot overheidsinstanties moeten de toezichtsbevoegdheden worden uitgeoefend conform de nationale wetgevende en institutionele kaders. |
| --- | --- |

(124)

Bij de uitoefening van het toezicht vooraf moeten de bevoegde autoriteiten op evenredige wijze kunnen beslissen over de prioritering van het gebruik van de toezichtsmaatregelen en -middelen waarover zij beschikken. Dit houdt in dat de bevoegde autoriteiten over dergelijke prioritering kunnen beslissen op basis van toezichtsmethoden die een risicogebaseerde benadering moeten volgen. Meer in het bijzonder kan het bij dergelijke methoden gaan om criteria of benchmarks voor de indeling van essentiële entiteiten in risicocategorieën en overeenkomstige toezichtsmaatregelen en -middelen die per risicocategorie worden aanbevolen, zoals het gebruik, de frequentie of de soorten van inspecties ter plaatse, gerichte beveiligingsaudits of beveiligingsscans, het soort informatie dat moet worden opgevraagd en de mate van gedetailleerdheid van die informatie. Dergelijke toezichtsmethoden kunnen ook vergezeld gaan van werkprogramma's en regelmatig worden beoordeeld en geëvalueerd, onder meer met betrekking tot aspecten als de middelentoewijzing en de behoeften. Met betrekking tot overheidsinstanties moeten de toezichtsbevoegdheden worden uitgeoefend conform de nationale wetgevende en institutionele kaders.

| (125) | De bevoegde autoriteiten moeten erop toezien dat hun toezichthoudende taken met betrekking tot essentiële en belangrijke entiteiten worden uitgevoerd door opgeleide beroepsbeoefenaars, die over de noodzakelijke vaardigheden moeten beschikken om die taken uit te voeren, met name inzake het uitvoeren van inspecties ter plaatse en toezicht buiten de locatie, met inbegrip van het opsporen van zwakke punten in databases, hardware, firewalls, encryptie en netwerken. Die inspecties en dat toezicht moeten op objectieve wijze worden uitgevoerd. |
| --- | --- |

(125)

De bevoegde autoriteiten moeten erop toezien dat hun toezichthoudende taken met betrekking tot essentiële en belangrijke entiteiten worden uitgevoerd door opgeleide beroepsbeoefenaars, die over de noodzakelijke vaardigheden moeten beschikken om die taken uit te voeren, met name inzake het uitvoeren van inspecties ter plaatse en toezicht buiten de locatie, met inbegrip van het opsporen van zwakke punten in databases, hardware, firewalls, encryptie en netwerken. Die inspecties en dat toezicht moeten op objectieve wijze worden uitgevoerd.

| (126) | In naar behoren gemotiveerde gevallen waarin de bevoegde autoriteit op de hoogte is van een significante cyberdreiging of een imminent risico, moet zij onmiddellijk handhavingsbesluiten kunnen nemen om een incident te voorkomen of erop te reageren. |
| --- | --- |

(126)

In naar behoren gemotiveerde gevallen waarin de bevoegde autoriteit op de hoogte is van een significante cyberdreiging of een imminent risico, moet zij onmiddellijk handhavingsbesluiten kunnen nemen om een incident te voorkomen of erop te reageren.

| (127) | Om de handhaving doeltreffend te maken, moet er een minimumlijst worden opgesteld van handhavingsbevoegdheden die kunnen worden uitgeoefend bij inbreuken op de bij deze richtlijn vastgestelde risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging, waarmee een duidelijk en samenhangend kader voor dergelijke handhaving in de hele Unie wordt geschapen. Er moet terdege rekening worden gehouden met de aard, de ernst en de duur van de inbreuk op deze richtlijn, de veroorzaakte materiële of immateriële schade, het opzettelijke of nalatige karakter van de inbreuk, de maatregelen die zijn genomen om de materiële of immateriële schade te voorkomen of te beperken, de mate van verantwoordelijkheid of eventuele relevante eerdere inbreuken, de mate van samenwerking met de bevoegde autoriteit en elke andere verzwarende of verzachtende omstandigheid. De handhavingsmaatregelen, met inbegrip van administratieve geldboeten, moeten evenredig zijn en het opleggen ervan moet onderworpen worden aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest van de grondrechten van de Europese Unie (het “Handvest”), met inbegrip van het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging. |
| --- | --- |

(127)

Om de handhaving doeltreffend te maken, moet er een minimumlijst worden opgesteld van handhavingsbevoegdheden die kunnen worden uitgeoefend bij inbreuken op de bij deze richtlijn vastgestelde risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging, waarmee een duidelijk en samenhangend kader voor dergelijke handhaving in de hele Unie wordt geschapen. Er moet terdege rekening worden gehouden met de aard, de ernst en de duur van de inbreuk op deze richtlijn, de veroorzaakte materiële of immateriële schade, het opzettelijke of nalatige karakter van de inbreuk, de maatregelen die zijn genomen om de materiële of immateriële schade te voorkomen of te beperken, de mate van verantwoordelijkheid of eventuele relevante eerdere inbreuken, de mate van samenwerking met de bevoegde autoriteit en elke andere verzwarende of verzachtende omstandigheid. De handhavingsmaatregelen, met inbegrip van administratieve geldboeten, moeten evenredig zijn en het opleggen ervan moet onderworpen worden aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest van de grondrechten van de Europese Unie (het “Handvest”), met inbegrip van het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging.

| (128) | Deze richtlijn verplicht de lidstaten niet om te voorzien in een aansprakelijkheidsregeling op grond waarvan natuurlijke personen die ervoor moeten zorgen dat een entiteit deze richtlijn naleeft, strafrechtelijk of civielrechtelijk aansprakelijk zijn voor schade die derden als gevolg van een inbreuk op deze richtlijn hebben geleden. |
| --- | --- |

(128)

Deze richtlijn verplicht de lidstaten niet om te voorzien in een aansprakelijkheidsregeling op grond waarvan natuurlijke personen die ervoor moeten zorgen dat een entiteit deze richtlijn naleeft, strafrechtelijk of civielrechtelijk aansprakelijk zijn voor schade die derden als gevolg van een inbreuk op deze richtlijn hebben geleden.

| (129) | Met het oog op een doeltreffende handhaving van de in deze richtlijn vastgestelde verplichtingen moet elke bevoegde autoriteit de bevoegdheid hebben om administratieve geldboeten op te leggen of om te verzoeken om het opleggen ervan. |
| --- | --- |

(129)

Met het oog op een doeltreffende handhaving van de in deze richtlijn vastgestelde verplichtingen moet elke bevoegde autoriteit de bevoegdheid hebben om administratieve geldboeten op te leggen of om te verzoeken om het opleggen ervan.

| (130) | Wanneer een administratieve geldboete wordt opgelegd aan een essentiële of belangrijke entiteit die een onderneming is, moet een onderneming voor die doeleinden worden opgevat als een onderneming in de zin van de artikelen 101 en 102 VWEU. Wanneer een administratieve geldboete wordt opgelegd aan een persoon die geen onderneming is, moet de bevoegde autoriteit bij het bepalen van het passende bedrag van de boete rekening houden met het algemene inkomensniveau in de lidstaat en met de economische situatie van de persoon. Het is aan de lidstaten om te bepalen of en in welke mate overheidsinstanties aan administratieve geldboeten moeten worden onderworpen. Het opleggen van een administratieve geldboete doet geen afbreuk aan de toepassing van andere bevoegdheden van de bevoegde autoriteiten of van andere sancties die zijn vastgesteld in de nationale voorschriften tot omzetting van deze richtlijn. |
| --- | --- |

(130)

Wanneer een administratieve geldboete wordt opgelegd aan een essentiële of belangrijke entiteit die een onderneming is, moet een onderneming voor die doeleinden worden opgevat als een onderneming in de zin van de artikelen 101 en 102 VWEU. Wanneer een administratieve geldboete wordt opgelegd aan een persoon die geen onderneming is, moet de bevoegde autoriteit bij het bepalen van het passende bedrag van de boete rekening houden met het algemene inkomensniveau in de lidstaat en met de economische situatie van de persoon. Het is aan de lidstaten om te bepalen of en in welke mate overheidsinstanties aan administratieve geldboeten moeten worden onderworpen. Het opleggen van een administratieve geldboete doet geen afbreuk aan de toepassing van andere bevoegdheden van de bevoegde autoriteiten of van andere sancties die zijn vastgesteld in de nationale voorschriften tot omzetting van deze richtlijn.

| (131) | De lidstaten moeten de regels inzake strafrechtelijke sancties voor inbreuken op de interne voorschriften tot omzetting van deze richtlijn kunnen vaststellen. Het opleggen van strafrechtelijke sancties voor inbreuken op dergelijke nationale regels en van daarmee samenhangende administratieve sancties mag echter niet leiden tot een inbreuk op het “ne bis in idem”-beginsel, zoals uitgelegd door het Hof van Justitie van de Europese Unie. |
| --- | --- |

(131)

De lidstaten moeten de regels inzake strafrechtelijke sancties voor inbreuken op de interne voorschriften tot omzetting van deze richtlijn kunnen vaststellen. Het opleggen van strafrechtelijke sancties voor inbreuken op dergelijke nationale regels en van daarmee samenhangende administratieve sancties mag echter niet leiden tot een inbreuk op het “ne bis in idem”-beginsel, zoals uitgelegd door het Hof van Justitie van de Europese Unie.

| (132) | Wanneer deze richtlijn niet voorziet in de harmonisatie van administratieve sancties of indien nodig in andere gevallen, bijvoorbeeld bij een ernstige inbreuk op deze richtlijn, moeten de lidstaten een systeem toepassen dat voorziet in doeltreffende, evenredige en afschrikkende sancties. De aard van die sancties en of zij strafrechtelijk of administratief zijn, moet worden bepaald door het nationale recht. |
| --- | --- |

(132)

Wanneer deze richtlijn niet voorziet in de harmonisatie van administratieve sancties of indien nodig in andere gevallen, bijvoorbeeld bij een ernstige inbreuk op deze richtlijn, moeten de lidstaten een systeem toepassen dat voorziet in doeltreffende, evenredige en afschrikkende sancties. De aard van die sancties en of zij strafrechtelijk of administratief zijn, moet worden bepaald door het nationale recht.

| (133) | Om de doeltreffendheid en het afschrikkingseffect van de handhavingsmaatregelen die van toepassing zijn op inbreuken op deze richtlijn verder te versterken, moeten de bevoegde overheden gemachtigd worden over te gaan tot een tijdelijke opschorting, of te kunnen verzoeken om tijdelijke opschorting, van een certificering of vergunning voor een deel of het geheel van de door een essentiële entiteit verleende relevante diensten of uitgevoerde activiteiten, en te kunnen verzoeken om het opleggen van een tijdelijk verbod op de uitoefening van bestuursfuncties door een natuurlijke persoon met leidinggevende verantwoordelijkheden op het niveau van de algemeen directeur of de wettelijke vertegenwoordiger. Gezien de ernst en het effect van dergelijke tijdelijke opschortingen of verboden op de activiteiten van de entiteiten en uiteindelijk op hun consumenten, mogen zij alleen worden toegepast in verhouding tot de ernst van de inbreuk en rekening houdend met de specifieke omstandigheden van elk individueel geval, met inbegrip van het opzettelijke of nalatige karakter van de inbreuk, en maatregelen die zijn genomen om de materiële of immateriële schade te voorkomen of te beperken. Dergelijke tijdelijke opschortingen of verboden mogen alleen worden toegepast als ultiem middel, met name alleen nadat de andere in deze richtlijn neergelegde relevante handhavingsmaatregelen zijn uitgeput, en alleen totdat de betrokken entiteit de noodzakelijke stappen zet om de tekortkomingen te verhelpen of te voldoen aan de door de bevoegde autoriteit gestelde eisen waarvoor dergelijke tijdelijke opschortingen of verboden werden toegepast. Het opleggen van dergelijke tijdelijke opschortingen of verboden moet worden onderworpen aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, met inbegrip van het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging. |
| --- | --- |

(133)

Om de doeltreffendheid en het afschrikkingseffect van de handhavingsmaatregelen die van toepassing zijn op inbreuken op deze richtlijn verder te versterken, moeten de bevoegde overheden gemachtigd worden over te gaan tot een tijdelijke opschorting, of te kunnen verzoeken om tijdelijke opschorting, van een certificering of vergunning voor een deel of het geheel van de door een essentiële entiteit verleende relevante diensten of uitgevoerde activiteiten, en te kunnen verzoeken om het opleggen van een tijdelijk verbod op de uitoefening van bestuursfuncties door een natuurlijke persoon met leidinggevende verantwoordelijkheden op het niveau van de algemeen directeur of de wettelijke vertegenwoordiger. Gezien de ernst en het effect van dergelijke tijdelijke opschortingen of verboden op de activiteiten van de entiteiten en uiteindelijk op hun consumenten, mogen zij alleen worden toegepast in verhouding tot de ernst van de inbreuk en rekening houdend met de specifieke omstandigheden van elk individueel geval, met inbegrip van het opzettelijke of nalatige karakter van de inbreuk, en maatregelen die zijn genomen om de materiële of immateriële schade te voorkomen of te beperken. Dergelijke tijdelijke opschortingen of verboden mogen alleen worden toegepast als ultiem middel, met name alleen nadat de andere in deze richtlijn neergelegde relevante handhavingsmaatregelen zijn uitgeput, en alleen totdat de betrokken entiteit de noodzakelijke stappen zet om de tekortkomingen te verhelpen of te voldoen aan de door de bevoegde autoriteit gestelde eisen waarvoor dergelijke tijdelijke opschortingen of verboden werden toegepast. Het opleggen van dergelijke tijdelijke opschortingen of verboden moet worden onderworpen aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, met inbegrip van het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging.

| (134) | Om ervoor te zorgen dat entiteiten hun in deze richtlijn vastgelegde verplichtingen nakomen, moeten lidstaten met elkaar samenwerken en elkaar bijstaan op het gebied van toezicht- en handhavingsmaatregelen, met name wanneer een entiteit diensten verleent in meer dan één lidstaat of wanneer haar netwerk- en informatiesystemen zich bevinden in een andere lidstaat dan die waar zij diensten verleent. Bij het verlenen van bijstand moet de aangezochte bevoegde autoriteit toezicht- of handhavingsmaatregelen nemen overeenkomstig het nationale recht. Ten behoeve van de vlotte werking van de wederzijdse bijstand uit hoofde van deze richtlijn, moeten de bevoegde autoriteiten de samenwerkingsgroep gebruiken als forum om kwesties en specifieke verzoeken om bijstand te bespreken. |
| --- | --- |

(134)

Om ervoor te zorgen dat entiteiten hun in deze richtlijn vastgelegde verplichtingen nakomen, moeten lidstaten met elkaar samenwerken en elkaar bijstaan op het gebied van toezicht- en handhavingsmaatregelen, met name wanneer een entiteit diensten verleent in meer dan één lidstaat of wanneer haar netwerk- en informatiesystemen zich bevinden in een andere lidstaat dan die waar zij diensten verleent. Bij het verlenen van bijstand moet de aangezochte bevoegde autoriteit toezicht- of handhavingsmaatregelen nemen overeenkomstig het nationale recht. Ten behoeve van de vlotte werking van de wederzijdse bijstand uit hoofde van deze richtlijn, moeten de bevoegde autoriteiten de samenwerkingsgroep gebruiken als forum om kwesties en specifieke verzoeken om bijstand te bespreken.

| (135) | Om te zorgen voor doeltreffend toezicht en doeltreffende handhaving, met name in situaties met een grensoverschrijdende dimensie, moet een lidstaat die een verzoek om wederzijdse bijstand heeft ontvangen, binnen de grenzen van dat verzoek passende toezichts- en handhavingsmaatregelen nemen ten aanzien van de entiteit die het voorwerp van dat verzoek is, en die diensten verleent of over een netwerk- en informatiesysteem op het grondgebied van die lidstaat beschikt. |
| --- | --- |

(135)

Om te zorgen voor doeltreffend toezicht en doeltreffende handhaving, met name in situaties met een grensoverschrijdende dimensie, moet een lidstaat die een verzoek om wederzijdse bijstand heeft ontvangen, binnen de grenzen van dat verzoek passende toezichts- en handhavingsmaatregelen nemen ten aanzien van de entiteit die het voorwerp van dat verzoek is, en die diensten verleent of over een netwerk- en informatiesysteem op het grondgebied van die lidstaat beschikt.

| (136) | In deze richtlijn moeten overeenkomstig Verordening (EU) 2016/679 regels worden vastgesteld voor de samenwerking tussen de bevoegde autoriteiten en de toezichthoudende autoriteiten bij de behandeling van inbreuken op deze richtlijn in verband met persoonsgegevens. |
| --- | --- |

(136)

In deze richtlijn moeten overeenkomstig Verordening (EU) 2016/679 regels worden vastgesteld voor de samenwerking tussen de bevoegde autoriteiten en de toezichthoudende autoriteiten bij de behandeling van inbreuken op deze richtlijn in verband met persoonsgegevens.

| (137) | Deze richtlijn moet gericht zijn op het waarborgen van een hoge mate van verantwoordelijkheid voor de risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging op het niveau van de essentiële en belangrijke entiteiten. Daarom moeten de bestuursorganen van de essentiële en belangrijke entiteiten de risicobeheersmaatregelen op het gebied van cyberbeveiliging goedkeuren en toezicht houden op de uitvoering ervan. |
| --- | --- |

(137)

Deze richtlijn moet gericht zijn op het waarborgen van een hoge mate van verantwoordelijkheid voor de risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging op het niveau van de essentiële en belangrijke entiteiten. Daarom moeten de bestuursorganen van de essentiële en belangrijke entiteiten de risicobeheersmaatregelen op het gebied van cyberbeveiliging goedkeuren en toezicht houden op de uitvoering ervan.

| (138) | Teneinde te zorgen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie op basis van deze richtlijn, moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 VWEU handelingen vast te stellen tot aanvulling van deze richtlijn door te specificeren welke categorieën essentiële en belangrijke entiteiten moeten worden verplicht bepaalde gecertificeerde ICT-producten, ICT-diensten en ICT-processen te gebruiken of een certificaat te verkrijgen in het kader van een Europese cyberbeveiligingscertificeringsregeling. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen gebeuren in overstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (22). Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen, ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen. |
| --- | --- |

(138)

Teneinde te zorgen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie op basis van deze richtlijn, moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 VWEU handelingen vast te stellen tot aanvulling van deze richtlijn door te specificeren welke categorieën essentiële en belangrijke entiteiten moeten worden verplicht bepaalde gecertificeerde ICT-producten, ICT-diensten en ICT-processen te gebruiken of een certificaat te verkrijgen in het kader van een Europese cyberbeveiligingscertificeringsregeling. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen gebeuren in overstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (22). Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen, ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.

| (139) | Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze richtlijn, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend om de procedurele regelingen die nodig zijn voor de werking van de samenwerkingsgroep alsmede de technische, methodologische en sectorale voorschriften met betrekking tot de risicobeheersmaatregelen op het gebied van cyberbeveiliging vast te stellen, en om nadere toelichting te geven over het soort informatie, het format en de procedure voor de melding van incidenten, cyberdreigingen en bijna-incidenten alsook van significante cyberdreigingsberichten, en over gevallen waarin een incident als significant moet worden beschouwd. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad (23). |
| --- | --- |

(139)

Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze richtlijn, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend om de procedurele regelingen die nodig zijn voor de werking van de samenwerkingsgroep alsmede de technische, methodologische en sectorale voorschriften met betrekking tot de risicobeheersmaatregelen op het gebied van cyberbeveiliging vast te stellen, en om nadere toelichting te geven over het soort informatie, het format en de procedure voor de melding van incidenten, cyberdreigingen en bijna-incidenten alsook van significante cyberdreigingsberichten, en over gevallen waarin een incident als significant moet worden beschouwd. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad (23).

| (140) | De Commissie moet deze richtlijn op gezette tijden geëvalueerd, na raadpleging van belanghebbenden, met name om vast te stellen of het passend is wijzigingen voor te stellen in het licht van veranderingen in de maatschappelijke, politieke, technologische of marktomstandigheden. In het kader van die evaluaties moet door de Commissie worden beoordeeld wat de relevantie is van de omvang van de betrokken entiteiten, en de in de bijlagen bij deze richtlijn bedoelde sectoren, subsectoren en types van entiteiten voor het functioneren van de economie en de samenleving in samenhang met cyberbeveiliging. De Commissie moet onder meer beoordelen of binnen het toepassingsgebied van deze richtlijn vallende aanbieders die zijn aangewezen als zeer grote onlineplatforms in de zin van artikel 33 van Verordening (EU) 2022/2065 van het Europees Parlement en de Raad (24), kunnen worden aangemerkt als essentiële entiteiten uit hoofde van deze richtlijn. |
| --- | --- |

(140)

De Commissie moet deze richtlijn op gezette tijden geëvalueerd, na raadpleging van belanghebbenden, met name om vast te stellen of het passend is wijzigingen voor te stellen in het licht van veranderingen in de maatschappelijke, politieke, technologische of marktomstandigheden. In het kader van die evaluaties moet door de Commissie worden beoordeeld wat de relevantie is van de omvang van de betrokken entiteiten, en de in de bijlagen bij deze richtlijn bedoelde sectoren, subsectoren en types van entiteiten voor het functioneren van de economie en de samenleving in samenhang met cyberbeveiliging. De Commissie moet onder meer beoordelen of binnen het toepassingsgebied van deze richtlijn vallende aanbieders die zijn aangewezen als zeer grote onlineplatforms in de zin van artikel 33 van Verordening (EU) 2022/2065 van het Europees Parlement en de Raad (24), kunnen worden aangemerkt als essentiële entiteiten uit hoofde van deze richtlijn.

| (141) | Deze richtlijn creëert nieuwe taken voor Enisa, waardoor het een grotere rol krijgt, en zou er ook toe kunnen leiden dat Enisa zijn bestaande taken uit hoofde van Verordening (EU) 2019/881 op een hoger niveau dan voorheen moet uitvoeren. Om ervoor te zorgen dat Enisa over de noodzakelijke financiële en personele middelen beschikt om bestaande en nieuwe taken uit te voeren, en om te voldoen aan een hoger uitvoeringsniveau van die taken als gevolg van zijn grotere rol, moet zijn begroting dienovereenkomstig worden verhoogd. Bovendien moet Enisa, met het oog op een efficiënt gebruik van de middelen, meer flexibiliteit krijgen zodat het in staat is middelen intern toe te wijzen om zijn taken doeltreffend uit te voeren en aan de verwachtingen te voldoen. |
| --- | --- |

(141)

Deze richtlijn creëert nieuwe taken voor Enisa, waardoor het een grotere rol krijgt, en zou er ook toe kunnen leiden dat Enisa zijn bestaande taken uit hoofde van Verordening (EU) 2019/881 op een hoger niveau dan voorheen moet uitvoeren. Om ervoor te zorgen dat Enisa over de noodzakelijke financiële en personele middelen beschikt om bestaande en nieuwe taken uit te voeren, en om te voldoen aan een hoger uitvoeringsniveau van die taken als gevolg van zijn grotere rol, moet zijn begroting dienovereenkomstig worden verhoogd. Bovendien moet Enisa, met het oog op een efficiënt gebruik van de middelen, meer flexibiliteit krijgen zodat het in staat is middelen intern toe te wijzen om zijn taken doeltreffend uit te voeren en aan de verwachtingen te voldoen.

| (142) | Daar de doelstelling van deze richtlijn, namelijk het bereiken van een hoog gemeenschappelijk niveau van cyberbeveiliging in de gehele Unie, niet voldoende door de lidstaten kan worden verwezenlijkt, maar vanwege de gevolgen van het optreden beter door de Unie kan worden bereikt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie bepaalde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om deze doelstelling te verwezenlijken. |
| --- | --- |

(142)

Daar de doelstelling van deze richtlijn, namelijk het bereiken van een hoog gemeenschappelijk niveau van cyberbeveiliging in de gehele Unie, niet voldoende door de lidstaten kan worden verwezenlijkt, maar vanwege de gevolgen van het optreden beter door de Unie kan worden bereikt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie bepaalde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om deze doelstelling te verwezenlijken.

| (143) | Deze richtlijn eerbiedigt de grondrechten en neemt de beginselen in acht die bij het Handvest zijn erkend, met name het recht op de eerbiediging van het privéleven en communicatie, het recht op de bescherming van persoonsgegevens, de vrijheid van ondernemerschap, het recht op eigendom, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging. Het recht op een doeltreffende voorziening in rechte geldt ook voor de ontvangers van door essentiële en belangrijke entiteiten verleende diensten. Deze richtlijn moet worden uitgevoerd overeenkomstig die rechten en beginselen. |
| --- | --- |

(143)

Deze richtlijn eerbiedigt de grondrechten en neemt de beginselen in acht die bij het Handvest zijn erkend, met name het recht op de eerbiediging van het privéleven en communicatie, het recht op de bescherming van persoonsgegevens, de vrijheid van ondernemerschap, het recht op eigendom, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging. Het recht op een doeltreffende voorziening in rechte geldt ook voor de ontvangers van door essentiële en belangrijke entiteiten verleende diensten. Deze richtlijn moet worden uitgevoerd overeenkomstig die rechten en beginselen.

| (144) | De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (25) en heeft op 11 maart 2021 advies uitgebracht (26), |
| --- | --- |

(144)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (25) en heeft op 11 maart 2021 advies uitgebracht (26),

HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD:

HOOFDSTUK I

ALGEMENE BEPALINGEN

Artikel 1

Onderwerp

1.   Deze richtlijn voorziet in maatregelen die erop gericht zijn een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie te bereiken, teneinde de werking van de interne markt te verbeteren.

2.   Met het oog hierop voorziet deze richtlijn in:

| a) | verplichtingen die de lidstaten voorschrijven dat zij nationale cyberbeveiligingsstrategieën vaststellen, en bevoegde autoriteiten, cybercrisisbeheerautoriteiten, centrale contactpunten op het gebied van cyberbeveiliging (centrale contactpunten) en computer security incident response teams (CSIRT’s) aanwijzen of instellen; |
| --- | --- |

a)

verplichtingen die de lidstaten voorschrijven dat zij nationale cyberbeveiligingsstrategieën vaststellen, en bevoegde autoriteiten, cybercrisisbeheerautoriteiten, centrale contactpunten op het gebied van cyberbeveiliging (centrale contactpunten) en computer security incident response teams (CSIRT’s) aanwijzen of instellen;

| b) | risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging voor entiteiten van het type waarnaar in bijlage I of II wordt verwezen alsmede voor entiteiten die uit hoofde van Richtlijn (EU) 2022/2557 als kritieke entiteiten worden aangemerkt; |
| --- | --- |

b)

risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging voor entiteiten van het type waarnaar in bijlage I of II wordt verwezen alsmede voor entiteiten die uit hoofde van Richtlijn (EU) 2022/2557 als kritieke entiteiten worden aangemerkt;

| c) | regels en verplichtingen met betrekking tot het delen van cyberbeveiligingsinformatie; |
| --- | --- |

c)

regels en verplichtingen met betrekking tot het delen van cyberbeveiligingsinformatie;

| d) | toezichts- en handhavingsverplichtingen voor de lidstaten. |
| --- | --- |

d)

toezichts- en handhavingsverplichtingen voor de lidstaten.

Artikel 2

Toepassingsgebied

1.   Deze richtlijn is van toepassing op publieke of particuliere entiteiten van een in de bijlagen I en II bedoeld type die in aanmerking komen als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG, of de in lid 1 van dat artikel vastgestelde plafonds voor middelgrote ondernemingen overschrijden, en die hun diensten verlenen of hun activiteiten verrichten in de Unie.

Artikel 3, lid 4, van de bijlage bij die aanbeveling geldt niet voor de toepassing van deze richtlijn.

2.   Deze richtlijn is ook van toepassing op entiteiten van het in bijlage I of II bedoelde soort, ongeacht hun omvang, wanneer:

| a) | de diensten verleend worden door:






  i) | aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten; |
| --- | --- | --- |

a)

de diensten verleend worden door:

i)

aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten;

| ii) | aanbieders van vertrouwensdiensten; |
| --- | --- |

ii)

aanbieders van vertrouwensdiensten;

| iii) | registers voor topleveldomeinnamen en verleners van domeinnaamregistratiediensten; |
| --- | --- |

iii)

registers voor topleveldomeinnamen en verleners van domeinnaamregistratiediensten;

| b) | de entiteit in een lidstaat de enige aanbieder is van een dienst die essentieel is voor de instandhouding van kritieke maatschappelijke of economische activiteiten; |
| --- | --- |

b)

de entiteit in een lidstaat de enige aanbieder is van een dienst die essentieel is voor de instandhouding van kritieke maatschappelijke of economische activiteiten;

| c) | verstoring van de door de entiteit verleende dienst aanzienlijke gevolgen kan hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid; |
| --- | --- |

c)

verstoring van de door de entiteit verleende dienst aanzienlijke gevolgen kan hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid;

| d) | verstoring van de door de entiteit verleende dienst een aanzienlijk systeemrisico met zich kan brengen, met name voor sectoren waar een dergelijke verstoring een grensoverschrijdende impact kan hebben; |
| --- | --- |

d)

verstoring van de door de entiteit verleende dienst een aanzienlijk systeemrisico met zich kan brengen, met name voor sectoren waar een dergelijke verstoring een grensoverschrijdende impact kan hebben;

| e) | de entiteit kritiek is vanwege het specifieke belang ervan op nationaal of regionaal niveau voor de specifieke sector of het specifieke type dienst, of voor andere onderling afhankelijke sectoren in de lidstaat; |
| --- | --- |

e)

de entiteit kritiek is vanwege het specifieke belang ervan op nationaal of regionaal niveau voor de specifieke sector of het specifieke type dienst, of voor andere onderling afhankelijke sectoren in de lidstaat;

| f) | de entiteit een overheidsinstantie is:






  i) | van de centrale overheid zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht, of |
| --- | --- | --- |

f)

de entiteit een overheidsinstantie is:

i)

van de centrale overheid zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht, of

| ii) | op regionaal niveau zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht, die, na een risicobeoordeling, diensten verleent waarvan de verstoring aanzienlijke gevolgen kan hebben voor kritieke maatschappelijke of economische activiteiten. |
| --- | --- |

ii)

op regionaal niveau zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht, die, na een risicobeoordeling, diensten verleent waarvan de verstoring aanzienlijke gevolgen kan hebben voor kritieke maatschappelijke of economische activiteiten.

3.   Deze richtlijn is van toepassing op entiteiten die worden aangemerkt als een kritieke entiteit uit hoofde van Richtlijn (EU) 2022/2557, ongeacht hun omvang.

4.   Deze richtlijn is van toepassing op entiteiten die domeinnaamregistratiediensten verrichten, ongeacht hun omvang.

5.   De lidstaten kunnen bepalen dat deze richtlijn van toepassing is op:

| a) | overheidsinstanties op lokaal niveau; |
| --- | --- |

a)

overheidsinstanties op lokaal niveau;

| b) | onderwijsinstellingen, met name wanneer zij kritieke onderzoeksactiviteiten verrichten. |
| --- | --- |

b)

onderwijsinstellingen, met name wanneer zij kritieke onderzoeksactiviteiten verrichten.

6.   Deze richtlijn laat de verantwoordelijkheid van de lidstaten om de nationale veiligheid te beschermen en hun bevoegdheid om andere essentiële staatsfuncties te beschermen, waaronder het verdedigen van de territoriale integriteit van de staat en het handhaven van de openbare orde, onverlet.

7.   Deze richtlijn is niet van toepassing op overheidsinstanties die activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.

8.   De lidstaten kunnen specifieke entiteiten die activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, of die uitsluitend diensten verlenen aan de in lid 7 van dit artikel bedoelde overheidsinstanties, met betrekking tot die activiteiten of diensten vrijstellen van de in artikel 21 of artikel 23 vastgestelde verplichtingen. In dergelijke gevallen zijn de in hoofdstuk VII bedoelde toezicht- en handhavingsmaatregelen niet van toepassing op die specifieke activiteiten of diensten. Wanneer de entiteiten uitsluitend activiteiten verrichten of diensten verlenen van het in dit lid bedoelde type kunnen de lidstaten besluiten om die entiteiten ook vrij te stellen van de in de artikelen 3 en 27 vastgestelde verplichtingen.

9.   De leden 7 en 8 zijn niet van toepassing wanneer een entiteit optreedt als aanbieder van vertrouwensdiensten.

10.   Deze richtlijn is niet van toepassing op entiteiten die door lidstaten zijn uitgesloten van het toepassingsgebied van Verordening (EU) 2022/2554 in overeenstemming met artikel 2, lid 4, van die verordening.

11.   De in deze richtlijn vastgelegde verplichtingen omvatten niet de verstrekking van informatie waarvan de bekendmaking strijdig zou zijn met de wezenlijke belangen van nationale veiligheid van de lidstaten, openbare veiligheid of defensie.

12.   Deze richtlijn is van toepassing onverminderd Verordening (EU) 2016/679, Richtlijn 2002/58/EG, Richtlijnen 2011/93/EU (27) en 2013/40/EU (28) van het Europees Parlement en de Raad, en Richtlijn (EU) 2022/2557.

13.   Onverminderd artikel 346 VWEU wordt informatie die krachtens Unie- of nationale voorschriften vertrouwelijk is, zoals de voorschriften inzake de vertrouwelijkheid van bedrijfsinformatie, alleen met de Commissie en andere bevoegde autoriteiten overeenkomstig deze richtlijn uitgewisseld wanneer die uitwisseling noodzakelijk is voor de toepassing van deze richtlijn. De uitgewisselde informatie blijft beperkt tot de informatie die relevant is en evenredig staat tot het doel van die uitwisseling. Bij de uitwisseling van informatie wordt de vertrouwelijkheid van die informatie gewaarborgd en worden de veiligheids- en commerciële belangen van betrokken entiteiten beschermd.

14.   Entiteiten, de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s verwerken persoonsgegevens voor zover dat nodig is voor de toepassing van deze richtlijn en in overeenstemming met Verordening (EU) 2016/679, en met name berust een dergelijke verwerking op artikel 6 daarvan.

De verwerking van persoonsgegevens uit hoofde van deze richtlijn door aanbieders van openbare elektronischecommunicatienetwerken of aanbieders van openbare elektronischecommunicatiediensten wordt uitgevoerd overeenkomstig het Unierecht inzake gegevensbescherming en het Unierecht inzake privacy, met name Richtlijn 2002/58/EG.

Artikel 3

Essentiële en belangrijke entiteiten

1.   Voor de toepassing van deze richtlijn worden de volgende entiteiten als essentiële entiteiten beschouwd:

| a) | entiteiten van een in bijlage I bedoeld type die de in artikel 2, lid 1, van de bijlage bij Aanbeveling 2003/361/EG vastgestelde plafonds voor middelgrote ondernemingen overschrijden; |
| --- | --- |

a)

entiteiten van een in bijlage I bedoeld type die de in artikel 2, lid 1, van de bijlage bij Aanbeveling 2003/361/EG vastgestelde plafonds voor middelgrote ondernemingen overschrijden;

| b) | gekwalificeerde aanbieders van vertrouwensdiensten en registers voor topleveldomeinnamen alsook DNS-dienstverleners, ongeacht hun omvang; |
| --- | --- |

b)

gekwalificeerde aanbieders van vertrouwensdiensten en registers voor topleveldomeinnamen alsook DNS-dienstverleners, ongeacht hun omvang;

| c) | aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten die in aanmerking komen als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG; |
| --- | --- |

c)

aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten die in aanmerking komen als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG;

| d) | in artikel 2, lid 2, punt f), i), bedoelde overheidsinstanties; |
| --- | --- |

d)

in artikel 2, lid 2, punt f), i), bedoelde overheidsinstanties;

| e) | alle andere entiteiten van een in bijlage I of II bedoeld type die door een lidstaat aangemerkt zijn als essentiële entiteiten krachtens artikel 2, lid 2, punten b) tot en met e); |
| --- | --- |

e)

alle andere entiteiten van een in bijlage I of II bedoeld type die door een lidstaat aangemerkt zijn als essentiële entiteiten krachtens artikel 2, lid 2, punten b) tot en met e);

| f) | entiteiten die aangemerkt zijn als kritieke entiteiten uit hoofde van Richtlijn (EU) 2022/2557, zoals bedoeld in artikel 2, lid 3, van deze richtlijn; |
| --- | --- |

f)

entiteiten die aangemerkt zijn als kritieke entiteiten uit hoofde van Richtlijn (EU) 2022/2557, zoals bedoeld in artikel 2, lid 3, van deze richtlijn;

| g) | indien de lidstaat daartoe besluit, entiteiten die vóór 16 januari 2023 door die lidstaat aangemerkt zijn als aanbieders van essentiële diensten overeenkomstig Richtlijn (EU) 2016/1148 of het nationale recht. |
| --- | --- |

g)

indien de lidstaat daartoe besluit, entiteiten die vóór 16 januari 2023 door die lidstaat aangemerkt zijn als aanbieders van essentiële diensten overeenkomstig Richtlijn (EU) 2016/1148 of het nationale recht.

2.   Voor de toepassing van deze richtlijn worden entiteiten van een in bijlage I of II bedoeld type die niet in aanmerking komen als essentiële entiteiten krachtens lid 1 van dit artikel, als belangrijke entiteiten beschouwd. Hiertoe behoren entiteiten die door lidstaten aangemerkt zijn als belangrijke entiteiten krachtens artikel 2, lid 2, punten b) tot en met e).

3.   Uiterlijk op 17 april 2025 stellen de lidstaten een lijst op van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. De lidstaten evalueren die lijst regelmatig, en daarna ten minste om de twee jaar, en werken deze zo nodig bij.

4.   Met het oog op het opstellen van de in lid 3 bedoelde lijst vereisen de lidstaten van de in dat lid bedoelde entiteiten dat zij ten minste de volgende informatie aan de bevoegde autoriteiten verstrekken:

| a) | de naam van de entiteit; |
| --- | --- |

a)

de naam van de entiteit;

| b) | het adres en actuele contactgegevens, waaronder e-mailadressen, IP-bereiken en telefoonnummers; |
| --- | --- |

b)

het adres en actuele contactgegevens, waaronder e-mailadressen, IP-bereiken en telefoonnummers;

| c) | indien van toepassing, de relevante sector en subsector als bedoeld in bijlage I of II, en |
| --- | --- |

c)

indien van toepassing, de relevante sector en subsector als bedoeld in bijlage I of II, en

| d) | indien van toepassing, een lijst van de lidstaten waar zij diensten verlenen die binnen het toepassingsgebied van deze richtlijn vallen. |
| --- | --- |

d)

indien van toepassing, een lijst van de lidstaten waar zij diensten verlenen die binnen het toepassingsgebied van deze richtlijn vallen.

De in lid 3 bedoelde entiteiten melden onmiddellijk elke wijziging in de bijzonderheden die zij op grond van de eerste alinea van dit lid hebben ingediend, en in elk geval binnen twee weken na de datum van de wijziging.

De Commissie bepaalt, met hulp van het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), zonder onnodige vertraging richtsnoeren en modellen met betrekking tot de in dit lid vastgelegde verplichtingen.

De lidstaten kunnen nationale mechanismen instellen waarmee entiteiten zichzelf kunnen registreren.

5.   Uiterlijk op 17 april 2025 en vervolgens om de twee jaar, melden de bevoegde autoriteiten:

| a) | aan de Commissie en de samenwerkingsgroep: het aantal essentiële en belangrijke entiteiten die op grond van lid 3 in een lijst zijn opgenomen voor elke sector en subsector als bedoeld in bijlage I of II, en |
| --- | --- |

a)

aan de Commissie en de samenwerkingsgroep: het aantal essentiële en belangrijke entiteiten die op grond van lid 3 in een lijst zijn opgenomen voor elke sector en subsector als bedoeld in bijlage I of II, en

| b) | aan de Commissie: relevante informatie over het aantal essentiële en belangrijke entiteiten die op grond van artikel 2, lid 2, punten b) tot en met e), als dusdanig zijn aangemerkt, de in bijlage I of II bedoelde sector en subsector waartoe zij behoren, het type dienst dat zij verlenen, en de bepaling van artikel 2, lid 2, punten b) tot en met e), op grond waarvan zij als dusdanig zijn aangemerkt. |
| --- | --- |

b)

aan de Commissie: relevante informatie over het aantal essentiële en belangrijke entiteiten die op grond van artikel 2, lid 2, punten b) tot en met e), als dusdanig zijn aangemerkt, de in bijlage I of II bedoelde sector en subsector waartoe zij behoren, het type dienst dat zij verlenen, en de bepaling van artikel 2, lid 2, punten b) tot en met e), op grond waarvan zij als dusdanig zijn aangemerkt.

6.   Tot 17 april 2025 en op verzoek van de Commissie, mogen lidstaten aan de Commissie de namen melden van de essentiële en belangrijke entiteiten als bedoeld in lid 5, punt b).

Artikel 4

Sectorspecifieke rechtshandelingen van de Unie

1.   Indien sectorspecifieke rechtshandelingen van de Unie voorschrijven dat essentiële of belangrijke entiteiten risicobeheersmaatregelen op het gebied van cyberbeveiliging moeten nemen of significante incidenten moeten melden, en indien deze eisen ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde verplichtingen, zijn de relevante bepalingen van deze richtlijn, met inbegrip van de in hoofdstuk VII bedoelde toezichts- en handhavingsbepalingen, niet van toepassing op dergelijke entiteiten. Indien sectorspecifieke rechtshandelingen van de Unie niet alle entiteiten bestrijken in een binnen het toepassingsgebied van deze richtlijn vallende specifieke sector, blijven de desbetreffende bepalingen van deze richtlijn van toepassing op entiteiten die niet onder die sectorspecifieke rechtshandelingen van de Unie vallen.

2.   De in lid 1 van dit artikel bedoelde eisen worden geacht gelijkwaardig te zijn aan de in deze richtlijn vastgestelde verplichtingen wanneer:

| a) | de risicobeheersmaatregelen op het gebied van cyberbeveiliging ten minste een vergelijkbare uitwerking hebben als die welke zijn vastgesteld in artikel 21, leden 1 en 2, of |
| --- | --- |

a)

de risicobeheersmaatregelen op het gebied van cyberbeveiliging ten minste een vergelijkbare uitwerking hebben als die welke zijn vastgesteld in artikel 21, leden 1 en 2, of

| b) | de sectorspecifieke rechtshandeling van de Unie voorziet in onmiddellijke toegang, in voorkomend geval automatisch en rechtstreeks, tot de meldingen van incidenten door de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten uit hoofde van deze richtlijn, en wanneer de eisen voor het melden van significante incidenten ten minste een vergelijkbare uitwerking hebben als die van artikel 23, leden 1 tot en met 6, van deze richtlijn. |
| --- | --- |

b)

de sectorspecifieke rechtshandeling van de Unie voorziet in onmiddellijke toegang, in voorkomend geval automatisch en rechtstreeks, tot de meldingen van incidenten door de CSIRT’s, de bevoegde autoriteiten of de centrale contactpunten uit hoofde van deze richtlijn, en wanneer de eisen voor het melden van significante incidenten ten minste een vergelijkbare uitwerking hebben als die van artikel 23, leden 1 tot en met 6, van deze richtlijn.

3.   Uiterlijk op 17 juli 2023 bepaalt de Commissie richtsnoeren ter verduidelijking van de toepassing van de leden 1 en 2. Die richtsnoeren worden regelmatig geëvalueerd door de Commissie. Bij de opstelling van die richtsnoeren houdt de Commissie rekening met alle opmerkingen van de samenwerkingsgroep en Enisa.

Artikel 5

Minimumharmonisatie

Deze richtlijn belet de lidstaten niet om bepalingen vast te stellen of te handhaven die een hoger cyberbeveiligingsniveau waarborgen, mits dergelijke bepalingen stroken met de in het Unierecht vastgelegde verplichtingen van de lidstaten.

Artikel 6

Definities

Voor de toepassing van deze richtlijn wordt verstaan onder:

| 1) | “netwerk- en informatiesysteem”:






  a) | een elektronischecommunicatienetwerk in de zin van artikel 2, punt 1), van Richtlijn (EU) 2018/1972; |
| --- | --- | --- |

1)

“netwerk- en informatiesysteem”:

a)

een elektronischecommunicatienetwerk in de zin van artikel 2, punt 1), van Richtlijn (EU) 2018/1972;

| b) | elk apparaat of elke groep van onderling verbonden of verwante apparaten, waarvan er een of meer, op grond van een programma, een automatische verwerking van digitale gegevens uitvoeren, of |
| --- | --- |

b)

elk apparaat of elke groep van onderling verbonden of verwante apparaten, waarvan er een of meer, op grond van een programma, een automatische verwerking van digitale gegevens uitvoeren, of

| c) | digitale gegevens die worden opgeslagen, verwerkt, opgehaald of verzonden met behulp van de in punten a) en b) bedoelde elementen met het oog op de werking, het gebruik, de bescherming en het onderhoud ervan; |
| --- | --- |

c)

digitale gegevens die worden opgeslagen, verwerkt, opgehaald of verzonden met behulp van de in punten a) en b) bedoelde elementen met het oog op de werking, het gebruik, de bescherming en het onderhoud ervan;

| 2) | “beveiliging van netwerk- en informatiesystemen”: het vermogen van netwerk- en informatiesystemen om op een bepaald niveau van betrouwbaarheid weerstand te bieden aan elke gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die door of via deze netwerk- en informatiesystemen worden aangeboden, in gevaar kan brengen; |
| --- | --- |

2)

“beveiliging van netwerk- en informatiesystemen”: het vermogen van netwerk- en informatiesystemen om op een bepaald niveau van betrouwbaarheid weerstand te bieden aan elke gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die door of via deze netwerk- en informatiesystemen worden aangeboden, in gevaar kan brengen;

| 3) | “cyberbeveiliging”: cyberbeveiliging zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) 2019/881; |
| --- | --- |

3)

“cyberbeveiliging”: cyberbeveiliging zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) 2019/881;

| 4) | “nationale cyberbeveiligingsstrategie”: een samenhangend kader van een lidstaat met strategische doelstellingen en prioriteiten op het vlak van cyberbeveiliging en de governance om die doelstellingen en prioriteiten in die lidstaat te verwezenlijken; |
| --- | --- |

4)

“nationale cyberbeveiligingsstrategie”: een samenhangend kader van een lidstaat met strategische doelstellingen en prioriteiten op het vlak van cyberbeveiliging en de governance om die doelstellingen en prioriteiten in die lidstaat te verwezenlijken;

| 5) | “bijna-incident”: een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar had kunnen brengen, maar die met succes is voorkomen of zich niet heeft voorgedaan; |
| --- | --- |

5)

“bijna-incident”: een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar had kunnen brengen, maar die met succes is voorkomen of zich niet heeft voorgedaan;

| 6) | “incident”: een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar brengt; |
| --- | --- |

6)

“incident”: een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar brengt;

| 7) | “grootschalig cyberbeveiligingsincident”: een incident dat leidt tot een verstoringsniveau dat te groot is om door een getroffen lidstaat alleen te worden verholpen of dat significante gevolgen heeft voor ten minste twee lidstaten; |
| --- | --- |

7)

“grootschalig cyberbeveiligingsincident”: een incident dat leidt tot een verstoringsniveau dat te groot is om door een getroffen lidstaat alleen te worden verholpen of dat significante gevolgen heeft voor ten minste twee lidstaten;

| 8) | “incidentenbehandeling”: alle acties en procedures die gericht zijn op het voorkomen, opsporen, analyseren en indammen van of het reageren op en het herstellen van een incident; |
| --- | --- |

8)

“incidentenbehandeling”: alle acties en procedures die gericht zijn op het voorkomen, opsporen, analyseren en indammen van of het reageren op en het herstellen van een incident;

| 9) | “risico”: de mogelijkheid van verlies of verstoring als gevolg van een incident, wat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of verstoring en de waarschijnlijkheid dat het incident zich voordoet; |
| --- | --- |

9)

“risico”: de mogelijkheid van verlies of verstoring als gevolg van een incident, wat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of verstoring en de waarschijnlijkheid dat het incident zich voordoet;

| 10) | “cyberdreiging”: een cyberdreiging zoals gedefinieerd in artikel 2, punt 8), van Verordening (EU) 2019/881; |
| --- | --- |

10)

“cyberdreiging”: een cyberdreiging zoals gedefinieerd in artikel 2, punt 8), van Verordening (EU) 2019/881;

| 11) | “significante cyberdreiging”: een cyberdreiging waarvan op basis van de technische kenmerken kan worden aangenomen dat zij ernstige gevolgen kan hebben voor de netwerk- en informatiesystemen van een entiteit of de gebruikers van de diensten van de entiteit door het veroorzaken van aanzienlijke materiële of immateriële schade; |
| --- | --- |

11)

“significante cyberdreiging”: een cyberdreiging waarvan op basis van de technische kenmerken kan worden aangenomen dat zij ernstige gevolgen kan hebben voor de netwerk- en informatiesystemen van een entiteit of de gebruikers van de diensten van de entiteit door het veroorzaken van aanzienlijke materiële of immateriële schade;

| 12) | “ICT-product”: een ICT-product zoals gedefinieerd in artikel 2, punt 12), van Verordening (EU) 2019/881; |
| --- | --- |

12)

“ICT-product”: een ICT-product zoals gedefinieerd in artikel 2, punt 12), van Verordening (EU) 2019/881;

| 13) | “ICT-dienst”: een ICT-dienst zoals gedefinieerd in artikel 2, punt 13), van Verordening (EU) 2019/881; |
| --- | --- |

13)

“ICT-dienst”: een ICT-dienst zoals gedefinieerd in artikel 2, punt 13), van Verordening (EU) 2019/881;

| 14) | “ICT-proces”: een ICT-proces zoals gedefinieerd in artikel 2, punt 14), van Verordening (EU) 2019/881; |
| --- | --- |

14)

“ICT-proces”: een ICT-proces zoals gedefinieerd in artikel 2, punt 14), van Verordening (EU) 2019/881;

| 15) | “kwetsbaarheid”: een zwakheid, vatbaarheid of gebrek van ICT-producten of ICT-diensten die door een cyberdreiging kan worden uitgebuit; |
| --- | --- |

15)

“kwetsbaarheid”: een zwakheid, vatbaarheid of gebrek van ICT-producten of ICT-diensten die door een cyberdreiging kan worden uitgebuit;

| 16) | “norm”: een norm zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad (29); |
| --- | --- |

16)

“norm”: een norm zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad (29);

29

| 17) | “technische specificatie”: een technische specificatie in de zin van artikel 2, punt 4), van Verordening (EU) nr. 1025/2012; |
| --- | --- |

17)

“technische specificatie”: een technische specificatie in de zin van artikel 2, punt 4), van Verordening (EU) nr. 1025/2012;

| 18) | “internetknooppunt”: een netwerkfaciliteit die de interconnectie van meer dan twee onafhankelijke netwerken (autonome systemen) mogelijk maakt, voornamelijk ter vergemakkelijking van de uitwisseling van internetverkeer, die alleen interconnectie voor autonome systemen biedt en die niet vereist dat het internetverkeer dat tussen een paar deelnemende autonome systemen verloopt, via een derde autonoom systeem verloopt, noch dat verkeer wijzigt of anderszins verstoort; |
| --- | --- |

18)

“internetknooppunt”: een netwerkfaciliteit die de interconnectie van meer dan twee onafhankelijke netwerken (autonome systemen) mogelijk maakt, voornamelijk ter vergemakkelijking van de uitwisseling van internetverkeer, die alleen interconnectie voor autonome systemen biedt en die niet vereist dat het internetverkeer dat tussen een paar deelnemende autonome systemen verloopt, via een derde autonoom systeem verloopt, noch dat verkeer wijzigt of anderszins verstoort;

| 19) | “domeinnaamsysteem (DNS)”: een hiërarchisch gedistribueerd naamgevingssysteem dat het mogelijk maakt internetdiensten en -bronnen te identificeren, waardoor eindgebruikersapparaten in staat worden gesteld routing- en connectiviteitsdiensten op het internet te gebruiken om die diensten en bronnen te bereiken; |
| --- | --- |

19)

“domeinnaamsysteem (DNS)”: een hiërarchisch gedistribueerd naamgevingssysteem dat het mogelijk maakt internetdiensten en -bronnen te identificeren, waardoor eindgebruikersapparaten in staat worden gesteld routing- en connectiviteitsdiensten op het internet te gebruiken om die diensten en bronnen te bereiken;

| 20) | “DNS-dienstverlener”: een entiteit die de volgende diensten verleent:






  a) | openbare recursieve domeinnaamomzettingsdiensten voor interneteindgebruikers, of |
| --- | --- | --- |

20)

“DNS-dienstverlener”: een entiteit die de volgende diensten verleent:

a)

openbare recursieve domeinnaamomzettingsdiensten voor interneteindgebruikers, of

| b) | gezaghebbende domeinnaamomzettingsdiensten voor gebruik door derden, met uitzondering van root-naamservers; |
| --- | --- |

b)

gezaghebbende domeinnaamomzettingsdiensten voor gebruik door derden, met uitzondering van root-naamservers;

| 21) | “register voor topleveldomeinnamen”: een entiteit waaraan een specifieke topleveldomeinnaam is gedelegeerd en die verantwoordelijk is voor het beheer van de topleveldomeinnaam, met inbegrip van de registratie van domeinnamen onder de topleveldomeinnaam en de technische exploitatie van de topleveldomeinnaam, met inbegrip van de exploitatie van de naamservers, het onderhoud van de databases en de verdeling van de zonebestanden van de topleveldomeinnaam over de naamservers, ongeacht of die activiteiten door de entiteit zelf worden uitgevoerd of worden uitbesteed, maar met uitzondering van situaties waarin topleveldomeinnamen uitsluitend voor eigen gebruik worden aangewend door een register; |
| --- | --- |

21)

“register voor topleveldomeinnamen”: een entiteit waaraan een specifieke topleveldomeinnaam is gedelegeerd en die verantwoordelijk is voor het beheer van de topleveldomeinnaam, met inbegrip van de registratie van domeinnamen onder de topleveldomeinnaam en de technische exploitatie van de topleveldomeinnaam, met inbegrip van de exploitatie van de naamservers, het onderhoud van de databases en de verdeling van de zonebestanden van de topleveldomeinnaam over de naamservers, ongeacht of die activiteiten door de entiteit zelf worden uitgevoerd of worden uitbesteed, maar met uitzondering van situaties waarin topleveldomeinnamen uitsluitend voor eigen gebruik worden aangewend door een register;

| 22) | “entiteit die domeinnaamregistratiediensten aanbiedt”: een registrator of een agent die namens registrators optreedt, zoals een aanbieder van privacy- of proxy-registratiediensten of wederverkoper; |
| --- | --- |

22)

“entiteit die domeinnaamregistratiediensten aanbiedt”: een registrator of een agent die namens registrators optreedt, zoals een aanbieder van privacy- of proxy-registratiediensten of wederverkoper;

| 23) | “digitale dienst”: een dienst zoals gedefinieerd in artikel 1, lid 1, punt b), van Richtlijn (EU) 2015/1535 van het Europees Parlement en de Raad (30); |
| --- | --- |

23)

“digitale dienst”: een dienst zoals gedefinieerd in artikel 1, lid 1, punt b), van Richtlijn (EU) 2015/1535 van het Europees Parlement en de Raad (30);

30

| 24) | “vertrouwensdienst”: een vertrouwensdienst zoals gedefinieerd in artikel 3, punt 16), van Verordening (EU) nr. 910/2014; |
| --- | --- |

24)

“vertrouwensdienst”: een vertrouwensdienst zoals gedefinieerd in artikel 3, punt 16), van Verordening (EU) nr. 910/2014;

| 25) | “verlener van vertrouwensdiensten”: een verlener van vertrouwensdiensten zoals gedefinieerd in artikel 3, punt 19), van Verordening (EU) nr. 910/2014; |
| --- | --- |

25)

“verlener van vertrouwensdiensten”: een verlener van vertrouwensdiensten zoals gedefinieerd in artikel 3, punt 19), van Verordening (EU) nr. 910/2014;

| 26) | “gekwalificeerde vertrouwensdienst”: een gekwalificeerde vertrouwensdienst zoals gedefinieerd in van artikel 3, punt 17), van Verordening (EU) nr. 910/2014; |
| --- | --- |

26)

“gekwalificeerde vertrouwensdienst”: een gekwalificeerde vertrouwensdienst zoals gedefinieerd in van artikel 3, punt 17), van Verordening (EU) nr. 910/2014;

| 27) | “gekwalificeerde verlener van vertrouwensdiensten”: een gekwalificeerde verlener van vertrouwensdiensten zoals gedefinieerd in artikel 3, punt 20), van Verordening (EU) nr. 910/2014; |
| --- | --- |

27)

“gekwalificeerde verlener van vertrouwensdiensten”: een gekwalificeerde verlener van vertrouwensdiensten zoals gedefinieerd in artikel 3, punt 20), van Verordening (EU) nr. 910/2014;

| 28) | “onlinemarktplaats”: een onlinemarktplaats zoals gedefinieerd in artikel 2, punt n), van Richtlijn 2005/29/EG van het Europees Parlement en de Raad (31); |
| --- | --- |

28)

“onlinemarktplaats”: een onlinemarktplaats zoals gedefinieerd in artikel 2, punt n), van Richtlijn 2005/29/EG van het Europees Parlement en de Raad (31);

31

| 29) | “onlinezoekmachine”: een onlinezoekmachine zoals gedefinieerd in artikel 2, punt 5), van Verordening (EU) 2019/1150 van het Europees Parlement en de Raad (32); |
| --- | --- |

29)

“onlinezoekmachine”: een onlinezoekmachine zoals gedefinieerd in artikel 2, punt 5), van Verordening (EU) 2019/1150 van het Europees Parlement en de Raad (32);

32

| 30) | “cloudcomputingdienst”: een digitale dienst die administratie op aanvraag en brede toegang op afstand tot een schaalbare en elastische pool van deelbare computerbronnen mogelijk maakt, ook wanneer die bronnen over verschillende locaties verspreid zijn; |
| --- | --- |

30)

“cloudcomputingdienst”: een digitale dienst die administratie op aanvraag en brede toegang op afstand tot een schaalbare en elastische pool van deelbare computerbronnen mogelijk maakt, ook wanneer die bronnen over verschillende locaties verspreid zijn;

| 31) | “datacentrumdienst”: een dienst die structuren of groepen van structuren omvat die bestemd zijn voor de gecentraliseerde accommodatie, de interconnectie en de exploitatie van IT en netwerkapparatuur die diensten op het gebied van gegevensopslag, -verwerking en -transport aanbiedt, samen met alle faciliteiten en infrastructuren voor energiedistributie en omgevingscontrole; |
| --- | --- |

31)

“datacentrumdienst”: een dienst die structuren of groepen van structuren omvat die bestemd zijn voor de gecentraliseerde accommodatie, de interconnectie en de exploitatie van IT en netwerkapparatuur die diensten op het gebied van gegevensopslag, -verwerking en -transport aanbiedt, samen met alle faciliteiten en infrastructuren voor energiedistributie en omgevingscontrole;

| 32) | “netwerk voor de levering van inhoud”: een netwerk van geografisch verspreide servers met het oog op een hoge beschikbaarheid, toegankelijkheid of snelle levering van digitale inhoud en diensten aan internetgebruikers ten behoeve van aanbieders van inhoud en diensten; |
| --- | --- |

32)

“netwerk voor de levering van inhoud”: een netwerk van geografisch verspreide servers met het oog op een hoge beschikbaarheid, toegankelijkheid of snelle levering van digitale inhoud en diensten aan internetgebruikers ten behoeve van aanbieders van inhoud en diensten;

| 33) | “platform voor socialenetwerkdiensten”: een platform dat eindgebruikers in staat stelt zich met elkaar te verbinden, te delen, te ontdekken en met elkaar te communiceren via meerdere apparaten, met name via chats, posts, video’s en aanbevelingen; |
| --- | --- |

33)

“platform voor socialenetwerkdiensten”: een platform dat eindgebruikers in staat stelt zich met elkaar te verbinden, te delen, te ontdekken en met elkaar te communiceren via meerdere apparaten, met name via chats, posts, video’s en aanbevelingen;

| 34) | “vertegenwoordiger”: een in de Unie gevestigde natuurlijke of rechtspersoon die uitdrukkelijk is aangewezen om op te treden namens een DNS-dienstverlener, een register voor topleveldomeinnamen, een entiteit die domeinnaamregistratiediensten verleent, een aanbieder van cloudcomputingdiensten, een aanbieder van datacentrumdiensten, een aanbieder van een netwerk voor de levering van inhoud, een aanbieder van beheerde diensten, een aanbieder van beheerde beveiligingsdiensten, of een aanbieder van een onlinemarktplaats, van een onlinezoekmachine of van een platform voor socialenetwerkdiensten die niet in de Unie is gevestigd, en die door een bevoegde autoriteit of een CSIRT kan worden aangesproken in plaats van de entiteit zelf met betrekking tot de verplichtingen van die entiteit uit hoofde van deze richtlijn; |
| --- | --- |

34)

“vertegenwoordiger”: een in de Unie gevestigde natuurlijke of rechtspersoon die uitdrukkelijk is aangewezen om op te treden namens een DNS-dienstverlener, een register voor topleveldomeinnamen, een entiteit die domeinnaamregistratiediensten verleent, een aanbieder van cloudcomputingdiensten, een aanbieder van datacentrumdiensten, een aanbieder van een netwerk voor de levering van inhoud, een aanbieder van beheerde diensten, een aanbieder van beheerde beveiligingsdiensten, of een aanbieder van een onlinemarktplaats, van een onlinezoekmachine of van een platform voor socialenetwerkdiensten die niet in de Unie is gevestigd, en die door een bevoegde autoriteit of een CSIRT kan worden aangesproken in plaats van de entiteit zelf met betrekking tot de verplichtingen van die entiteit uit hoofde van deze richtlijn;

| 35) | “overheidsinstantie”: een entiteit die overeenkomstig het nationale recht als zodanig in een lidstaat is erkend, met uitzondering van de rechterlijke macht, parlementen en centrale banken, en die aan de volgende criteria voldoet:






  a) | zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter; |
| --- | --- | --- |

35)

“overheidsinstantie”: een entiteit die overeenkomstig het nationale recht als zodanig in een lidstaat is erkend, met uitzondering van de rechterlijke macht, parlementen en centrale banken, en die aan de volgende criteria voldoet:

a)

zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter;

| b) | zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden; |
| --- | --- |

b)

zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden;

| c) | zij wordt grotendeels gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd; |
| --- | --- |

c)

zij wordt grotendeels gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd;

| d) | zij heeft de bevoegdheid om ten aanzien van natuurlijke of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal; |
| --- | --- |

d)

zij heeft de bevoegdheid om ten aanzien van natuurlijke of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal;

| 36) | “openbaar elektronischecommunicatienetwerk”: een openbaar elektronischecommunicatienetwerk zoals gedefinieerd in artikel 2, punt 8), van Richtlijn (EU) 2018/1972; |
| --- | --- |

36)

“openbaar elektronischecommunicatienetwerk”: een openbaar elektronischecommunicatienetwerk zoals gedefinieerd in artikel 2, punt 8), van Richtlijn (EU) 2018/1972;

| 37) | “elektronischecommunicatiedienst”: een elektronischecommunicatiedienst zoals gedefinieerd in van artikel 2, punt 4), van Richtlijn (EU) 2018/1972; |
| --- | --- |

37)

“elektronischecommunicatiedienst”: een elektronischecommunicatiedienst zoals gedefinieerd in van artikel 2, punt 4), van Richtlijn (EU) 2018/1972;

| 38) | “entiteit”: een natuurlijke of rechtspersoon die als zodanig is opgericht en erkend volgens het nationale recht van zijn vestigingsplaats, en die in eigen naam rechten kan uitoefenen en aan verplichtingen kan worden onderworpen; |
| --- | --- |

38)

“entiteit”: een natuurlijke of rechtspersoon die als zodanig is opgericht en erkend volgens het nationale recht van zijn vestigingsplaats, en die in eigen naam rechten kan uitoefenen en aan verplichtingen kan worden onderworpen;

| 39) | “aanbieder van beheerde diensten”: een entiteit die diensten verleent die verband houden met de installatie, het beheer, de exploitatie of het onderhoud van ICT-producten, -netwerken, -infrastructuur, -toepassingen of andere netwerk- en informatiesystemen, via bijstand of actieve administratie bij de consument ter plaatse of op afstand; |
| --- | --- |

39)

“aanbieder van beheerde diensten”: een entiteit die diensten verleent die verband houden met de installatie, het beheer, de exploitatie of het onderhoud van ICT-producten, -netwerken, -infrastructuur, -toepassingen of andere netwerk- en informatiesystemen, via bijstand of actieve administratie bij de consument ter plaatse of op afstand;

| 40) | “aanbieder van beheerde beveiligingsdiensten”: een aanbieder van beheerde diensten die bijstand biedt of verleent voor activiteiten die verband houden met risicobeheer op het gebied van cyberbeveiliging; |
| --- | --- |

40)

“aanbieder van beheerde beveiligingsdiensten”: een aanbieder van beheerde diensten die bijstand biedt of verleent voor activiteiten die verband houden met risicobeheer op het gebied van cyberbeveiliging;

| 41) | “onderzoeksorganisatie”: een entiteit die als hoofddoel heeft het verrichten van toegepast onderzoek of experimentele ontwikkeling met het oog op de exploitatie van de resultaten van dat onderzoek voor commerciële doeleinden, met uitsluiting van onderwijsinstellingen. |
| --- | --- |

41)

“onderzoeksorganisatie”: een entiteit die als hoofddoel heeft het verrichten van toegepast onderzoek of experimentele ontwikkeling met het oog op de exploitatie van de resultaten van dat onderzoek voor commerciële doeleinden, met uitsluiting van onderwijsinstellingen.

HOOFDSTUK II

GECOÖRDINEERDE KADERS OP HET GEBIED VAN CYBERBEVEILIGING

Artikel 7

Nationale cyberbeveiligingsstrategie

1.   Elke lidstaat moet een nationale cyberbeveiligingsstrategie vaststellen die voorziet in de strategische doelstellingen, de middelen die nodig zijn om die doelstellingen te behalen, en passende beleids- en regelgevingsmaatregelen, om een hoog niveau van cyberbeveiliging te bereiken en te handhaven. De nationale cyberbeveiligingsstrategie omvat:

| a) | doelstellingen en prioriteiten van de cyberbeveiligingsstrategie van de lidstaat, met name inzake de in de bijlagen I en II bedoelde sectoren; |
| --- | --- |

a)

doelstellingen en prioriteiten van de cyberbeveiligingsstrategie van de lidstaat, met name inzake de in de bijlagen I en II bedoelde sectoren;

| b) | een governancekader om de in punt a) van dit lid bedoelde doelstellingen en prioriteiten te verwezenlijken, met inbegrip van het in lid 2 bedoelde beleid; |
| --- | --- |

b)

een governancekader om de in punt a) van dit lid bedoelde doelstellingen en prioriteiten te verwezenlijken, met inbegrip van het in lid 2 bedoelde beleid;

| c) | een governancekader dat de taken en verantwoordelijkheden van relevante belanghebbenden op nationaal niveau verduidelijkt, ter onderbouwing van de samenwerking en coördinatie op nationaal niveau tussen de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s uit hoofde van deze richtlijn, alsmede van de coördinatie en samenwerking tussen die organen en uit hoofde van sectorspecifieke rechtshandelingen van de Unie bevoegde autoriteiten; |
| --- | --- |

c)

een governancekader dat de taken en verantwoordelijkheden van relevante belanghebbenden op nationaal niveau verduidelijkt, ter onderbouwing van de samenwerking en coördinatie op nationaal niveau tussen de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s uit hoofde van deze richtlijn, alsmede van de coördinatie en samenwerking tussen die organen en uit hoofde van sectorspecifieke rechtshandelingen van de Unie bevoegde autoriteiten;

| d) | een mechanisme om relevante activa vast te stellen en een beoordeling van de risico’s in die lidstaat; |
| --- | --- |

d)

een mechanisme om relevante activa vast te stellen en een beoordeling van de risico’s in die lidstaat;

| e) | een inventarisatie van de maatregelen om te zorgen voor paraatheid, respons en herstel bij incidenten, met inbegrip van samenwerking tussen de publieke en de particuliere sector; |
| --- | --- |

e)

een inventarisatie van de maatregelen om te zorgen voor paraatheid, respons en herstel bij incidenten, met inbegrip van samenwerking tussen de publieke en de particuliere sector;

| f) | een lijst van de verschillende autoriteiten en belanghebbenden die betrokken zijn bij de uitvoering van de nationale cyberbeveiligingsstrategie; |
| --- | --- |

f)

een lijst van de verschillende autoriteiten en belanghebbenden die betrokken zijn bij de uitvoering van de nationale cyberbeveiligingsstrategie;

| g) | een beleidskader voor versterkte coördinatie tussen de uit hoofde van deze richtlijn bevoegde autoriteiten en de uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten, met als doel het delen van informatie over risico’s, cyberdreigingen, en incidenten alsook over niet-cyberrisico’s, -dreigingen en -incidenten, en in voorkomend geval de uitoefening van toezichthoudende taken; |
| --- | --- |

g)

een beleidskader voor versterkte coördinatie tussen de uit hoofde van deze richtlijn bevoegde autoriteiten en de uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten, met als doel het delen van informatie over risico’s, cyberdreigingen, en incidenten alsook over niet-cyberrisico’s, -dreigingen en -incidenten, en in voorkomend geval de uitoefening van toezichthoudende taken;

| h) | een plan, met inbegrip van de noodzakelijke maatregelen, om het algemene niveau van cyberbeveiligingsbewustzijn bij de burgers te verbeteren. |
| --- | --- |

h)

een plan, met inbegrip van de noodzakelijke maatregelen, om het algemene niveau van cyberbeveiligingsbewustzijn bij de burgers te verbeteren.

2.   In het kader van de nationale cyberbeveiligingsstrategie stellen de lidstaten met name beleid vast:

| a) | inzake cyberbeveiliging in de toeleveringsketen voor ICT-producten en ICT-diensten die door entiteiten worden gebruikt voor het verlenen van hun diensten; |
| --- | --- |

a)

inzake cyberbeveiliging in de toeleveringsketen voor ICT-producten en ICT-diensten die door entiteiten worden gebruikt voor het verlenen van hun diensten;

| b) | inzake het opnemen en specificeren van cyberbeveiligingsgerelateerde eisen voor ICT-producten en ICT-diensten bij overheidsopdrachten, onder meer met betrekking tot cyberbeveiligingscertificering, versleuteling en het gebruik van open-source-cyberbeveiligingsproducten; |
| --- | --- |

b)

inzake het opnemen en specificeren van cyberbeveiligingsgerelateerde eisen voor ICT-producten en ICT-diensten bij overheidsopdrachten, onder meer met betrekking tot cyberbeveiligingscertificering, versleuteling en het gebruik van open-source-cyberbeveiligingsproducten;

| c) | voor het beheer van kwetsbaarheden, met inbegrip van de bevordering en vergemakkelijking van de gecoördineerde bekendmaking van kwetsbaarheden uit hoofde van artikel 12, lid 1; |
| --- | --- |

c)

voor het beheer van kwetsbaarheden, met inbegrip van de bevordering en vergemakkelijking van de gecoördineerde bekendmaking van kwetsbaarheden uit hoofde van artikel 12, lid 1;

| d) | inzake het in stand houden van de algemene beschikbaarheid, integriteit en vertrouwelijkheid van de openbare kern van het open internet, in voorkomend geval met inbegrip van de cyberbeveiliging van onderzeese communicatiekabels; |
| --- | --- |

d)

inzake het in stand houden van de algemene beschikbaarheid, integriteit en vertrouwelijkheid van de openbare kern van het open internet, in voorkomend geval met inbegrip van de cyberbeveiliging van onderzeese communicatiekabels;

| e) | voor het bevorderen van de ontwikkeling en integratie van relevante geavanceerde technologieën met het oog op de toepassing van geavanceerde risicobeheersmaatregelen op het gebied van cyberbeveiliging; |
| --- | --- |

e)

voor het bevorderen van de ontwikkeling en integratie van relevante geavanceerde technologieën met het oog op de toepassing van geavanceerde risicobeheersmaatregelen op het gebied van cyberbeveiliging;

| f) | voor het bevorderen en ontwikkelen van onderwijs en opleiding op het gebied van cyberbeveiliging, cyberbeveiligingsvaardigheden, -bewustmakings- en -onderzoeks- en ontwikkelingsinitiatieven, alsook van richtsnoeren voor goede praktijken en controles op het gebied van cyberhygiëne, gericht op burgers, belanghebbenden en entiteiten; |
| --- | --- |

f)

voor het bevorderen en ontwikkelen van onderwijs en opleiding op het gebied van cyberbeveiliging, cyberbeveiligingsvaardigheden, -bewustmakings- en -onderzoeks- en ontwikkelingsinitiatieven, alsook van richtsnoeren voor goede praktijken en controles op het gebied van cyberhygiëne, gericht op burgers, belanghebbenden en entiteiten;

| g) | voor het ondersteunen van academische en onderzoeksinstellingen bij de ontwikkeling, versterking en bevordering van de uitrol van instrumenten voor cyberbeveiliging en een veilige netwerkinfrastructuur; |
| --- | --- |

g)

voor het ondersteunen van academische en onderzoeksinstellingen bij de ontwikkeling, versterking en bevordering van de uitrol van instrumenten voor cyberbeveiliging en een veilige netwerkinfrastructuur;

| h) | met inbegrip van relevante procedures en passende instrumenten voor het delen van informatie, ter ondersteuning van het vrijwillige delen van cyberbeveiligingsinformatie tussen entiteiten overeenkomstig het Unierecht; |
| --- | --- |

h)

met inbegrip van relevante procedures en passende instrumenten voor het delen van informatie, ter ondersteuning van het vrijwillige delen van cyberbeveiligingsinformatie tussen entiteiten overeenkomstig het Unierecht;

| i) | voor het versterken van de digitale weerbaarheid en het basisniveau van cyberhygiëne van kleine en middelgrote ondernemingen, met name die welke van het toepassingsgebied van deze richtlijn zijn uitgesloten, door te voorzien in gemakkelijk toegankelijke richtsnoeren en bijstand voor hun specifieke behoeften; |
| --- | --- |

i)

voor het versterken van de digitale weerbaarheid en het basisniveau van cyberhygiëne van kleine en middelgrote ondernemingen, met name die welke van het toepassingsgebied van deze richtlijn zijn uitgesloten, door te voorzien in gemakkelijk toegankelijke richtsnoeren en bijstand voor hun specifieke behoeften;

| j) | voor het bevorderen van actieve cyberbescherming. |
| --- | --- |

j)

voor het bevorderen van actieve cyberbescherming.

3.   De lidstaten stellen de Commissie in kennis van hun nationale cyberbeveiligingsstrategieën binnen drie maanden na de vaststelling ervan. De lidstaten kunnen informatie die verband houdt met hun nationale veiligheid uitsluiten van dergelijke kennisgevingen.

4.   De lidstaten beoordelen hun nationale cyberbeveiligingsstrategieën regelmatig en ten minste om de vijf jaar op basis van kernprestatie-indicatoren, en werken deze zo nodig bij. Op verzoek van de lidstaten krijgen zij van Enisa bijstand bij het ontwikkelen of bijwerken van een nationale cyberbeveiligingsstrategie en van kernprestatie-indicatoren voor de beoordeling van die strategie, teneinde deze in overeenstemming te brengen met de in deze richtlijn vastgelegde eisen en verplichtingen.

Artikel 8

Bevoegde autoriteiten en centrale contactpunten

1.   Elke lidstaat gaat over tot het aanwijzen of instellen van een of meer bevoegde autoriteiten, verantwoordelijk voor cyberbeveiliging en voor de in hoofdstuk VII van deze richtlijn bedoelde toezichthoudende taken (bevoegde autoriteiten).

2.   De in lid 1 bedoelde bevoegde autoriteiten monitoren op de tenuitvoerlegging van deze richtlijn op nationaal niveau.

3.   Elke lidstaat gaat over tot het aanwijzen of instellen van een centraal contactpunt. Wanneer een lidstaat slechts één bevoegde autoriteit aanwijst of instelt uit hoofde van lid 1, is die bevoegde autoriteit ook het centrale contactpunt voor die lidstaat.

4.   Elk centraal contactpunt vervult een verbindingsfunctie om te zorgen voor grensoverschrijdende samenwerking van de autoriteiten van zijn lidstaat met de relevante autoriteiten van andere lidstaten en in voorkomend geval met de Commissie en Enisa, alsmede om te zorgen voor sectoroverschrijdende samenwerking met andere bevoegde autoriteiten binnen zijn lidstaat.

5.   De lidstaten zorgen ervoor dat hun bevoegde autoriteiten en centrale contactpunten over voldoende middelen beschikken om de hun toegewezen taken doeltreffend en efficiënt uit te voeren en aldus de doelstellingen van deze richtlijn te verwezenlijken.

6.   Elke lidstaat stelt de Commissie onverwijld in kennis van de identiteit van de in lid 1 bedoelde bevoegde autoriteit en van het in lid 3 bedoelde centrale contactpunt, van de taken van die autoriteiten en van alle latere wijzigingen ervan. Elke lidstaat maakt de identiteit van zijn bevoegde autoriteit openbaar. De Commissie maakt een lijst met de centrale contactpunten voor het publiek beschikbaar.

Artikel 9

Nationale kaders voor cybercrisisbeheer

1.   Elke lidstaat gaat over tot het aanwijzen of instellen van een of meer bevoegde autoriteiten die verantwoordelijk zijn voor het beheer van grootschalige cyberbeveiligingsincidenten en crises (cybercrisisbeheerautoriteiten). De lidstaten zien erop toe dat die autoriteiten beschikken over voldoende middelen om de hun toegewezen taken doeltreffend en efficiënt uit te voeren. De lidstaten zorgen voor samenhang met de bestaande kaders voor algemene nationale crisisbeheersing.

2.   Wanneer een lidstaat meer dan één cybercrisisbeheerautoriteit aanwijst of instelt uit hoofde van lid 1, moet hij duidelijk aangeven welke van die bevoegde autoriteiten moet dienen als coördinator voor het beheer van grootschalige cyberbeveiligingsincidenten en crises.

3.   Elke lidstaat stelt vast welke capaciteiten, middelen en procedures in het geval van een crisis voor de toepassing van deze richtlijn kunnen worden ingezet.

4.   Elke lidstaat stelt een nationaal plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons vast, waarin de doelstellingen van en regelingen voor het beheer van grootschalige cyberbeveiligingsincidenten en crises zijn vastgelegd. In dat plan wordt in het bijzonder het volgende vastgelegd:

| a) | de doelstellingen van nationale paraatheidsmaatregelen en -activiteiten; |
| --- | --- |

a)

de doelstellingen van nationale paraatheidsmaatregelen en -activiteiten;

| b) | de taken en verantwoordelijkheden van de cybercrisisbeheerautoriteiten; |
| --- | --- |

b)

de taken en verantwoordelijkheden van de cybercrisisbeheerautoriteiten;

| c) | de cybercrisisbeheerprocedures, met inbegrip van de integratie ervan in het algemene nationale crisisbeheerkader en in de informatie-uitwisselingskanalen; |
| --- | --- |

c)

de cybercrisisbeheerprocedures, met inbegrip van de integratie ervan in het algemene nationale crisisbeheerkader en in de informatie-uitwisselingskanalen;

| d) | de nationale paraatheidsmaatregelen, met inbegrip van oefeningen en opleidingsactiviteiten; |
| --- | --- |

d)

de nationale paraatheidsmaatregelen, met inbegrip van oefeningen en opleidingsactiviteiten;

| e) | de relevante publieke en particuliere belanghebbenden en betrokken infrastructuur; |
| --- | --- |

e)

de relevante publieke en particuliere belanghebbenden en betrokken infrastructuur;

| f) | de nationale procedures en regelingen tussen de betrokken nationale autoriteiten en instanties om de effectieve deelname van de lidstaat aan het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en crises op Unieniveau en de ondersteuning daarvan te waarborgen. |
| --- | --- |

f)

de nationale procedures en regelingen tussen de betrokken nationale autoriteiten en instanties om de effectieve deelname van de lidstaat aan het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en crises op Unieniveau en de ondersteuning daarvan te waarborgen.

5.   Binnen drie maanden na de aanwijzing of instelling van de in lid 1 bedoelde cybercrisisbeheerautoriteit stelt elke lidstaat de Commissie in kennis van de identiteit van zijn autoriteit en van alle latere wijzigingen ervan. Binnen drie maanden na de vaststelling van hun nationale plannen voor grootschalige cyberbeveiligingsincidenten en crisisrespons, dienen de lidstaten bij de Commissie en bij het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) relevante informatie in met betrekking tot de eisen van lid 4 inzake die plannen. De lidstaten kunnen informatie weglaten indien en voor zover een dergelijke weglating noodzakelijk is voor hun nationale veiligheid.

Artikel 10

Computer security incident response teams (CSIRT’s)

1.   Elke lidstaat gaat over tot het aanwijzen of instellen van een of meer CSIRT’s. De CSIRT’s kunnen worden aangewezen of ingesteld binnen een bevoegde autoriteit. De CSIRT’s voldoen aan de in artikel 11, lid 1, opgenomen eisen, bestrijken ten minste de in bijlagen I en II bedoelde sectoren, subsectoren en types entiteiten, en zijn verantwoordelijk voor incidentenbehandeling volgens een welbepaald proces.

2.   De lidstaten zorgen ervoor dat elk CSIRT over voldoende middelen beschikt om zijn in artikel 11, lid 3, omschreven taken doeltreffend uit te voeren.

3.   De lidstaten zorgen ervoor dat elk CSIRT over een passende, veilige en weerbare communicatie- en informatie-infrastructuur beschikt waardoor informatie kan worden uitgewisseld met essentiële en belangrijke entiteiten en andere relevante belanghebbenden. Daartoe zien de lidstaten erop toe dat elk CSIRT bijdraagt aan de uitrol van veilige instrumenten voor het delen van informatie.

4.   De CSIRT’s werken samen en wisselen in voorkomend geval relevante informatie uit overeenkomstig artikel 29 met sectorale of sectoroverschrijdende gemeenschappen van essentiële en belangrijke entiteiten.

5.   De CSIRT’s nemen deel aan de overeenkomstig artikel 19 georganiseerde collegiale toetsingen.

6.   De lidstaten zorgen voor een doeltreffende, efficiënte en veilige samenwerking van hun CSIRT’s in het CSIRT-netwerk.

7.   De CSIRT’s kunnen samenwerkingsrelaties tot stand brengen met de nationale computer security incident response teams van derde landen. In het kader van dergelijke samenwerkingsrelaties vergemakkelijken de lidstaten doeltreffende, efficiënte en veilige informatie-uitwisseling met die nationale computer security incident response teams van derde landen, met gebruikmaking van relevante informatie-uitwisselingsprotocollen, waaronder het verkeerslichtprotocol (“traffic light protocol”). De CSIRT’s kunnen relevante informatie uitwisselen met nationale computer security incident response teams van derde landen, met inbegrip van persoonsgegevens overeenkomstig het Unierecht inzake gegevensbescherming.

8.   De CSIRT’s kunnen samenwerken met nationale computer security incident response teams van derde landen of gelijkwaardige organen van derde landen, met name om hen bijstand op het gebied van cyberbeveiliging te verlenen.

9.   Elke lidstaat stelt de Commissie onverwijld in kennis van de identiteit van het in lid 1 van dit artikel bedoelde CSIRT en van het CSIRT dat als coördinator is aangewezen op grond van artikel 12, lid 1, van hun respectieve taken met betrekking tot essentiële en belangrijke entiteiten, en van elke latere wijziging ervan.

10.   De lidstaten kunnen bij de ontwikkeling van hun CSIRT’s de hulp van Enisa inroepen.

Artikel 11

Eisen, technische capaciteiten en taken van de CSIRT’s

1.   De CSIRT’s voldoen aan de volgende eisen:

| a) | de CSIRT’s garanderen een hoge mate van beschikbaarheid van hun communicatiekanalen door zwakke punten (single points of failure) te voorkomen, en beschikken over diverse middelen waarlangs te allen tijde contact met hen kan worden opgenomen en contact met anderen kan worden opgenomen; ze specificeren communicatiekanalen duidelijk en delen ze mee aan de gebruikersgroep en de samenwerkingspartners; |
| --- | --- |

a)

de CSIRT’s garanderen een hoge mate van beschikbaarheid van hun communicatiekanalen door zwakke punten (single points of failure) te voorkomen, en beschikken over diverse middelen waarlangs te allen tijde contact met hen kan worden opgenomen en contact met anderen kan worden opgenomen; ze specificeren communicatiekanalen duidelijk en delen ze mee aan de gebruikersgroep en de samenwerkingspartners;

| b) | de lokalen en werkruimten van de CSIRT’s en de ondersteunende informatiesystemen bevinden zich op beveiligde locaties; |
| --- | --- |

b)

de lokalen en werkruimten van de CSIRT’s en de ondersteunende informatiesystemen bevinden zich op beveiligde locaties;

| c) | de CSIRT’s worden, met het oog op doeltreffende en efficiënte overdrachten, uitgerust met een adequaat systeem voor het beheren en routeren van verzoeken; |
| --- | --- |

c)

de CSIRT’s worden, met het oog op doeltreffende en efficiënte overdrachten, uitgerust met een adequaat systeem voor het beheren en routeren van verzoeken;

| d) | de CSIRT’s waarborgen de vertrouwelijkheid en betrouwbaarheid van hun activiteiten; |
| --- | --- |

d)

de CSIRT’s waarborgen de vertrouwelijkheid en betrouwbaarheid van hun activiteiten;

| e) | de CSIRT’s beschikken over voldoende personeel om te allen tijde de beschikbaarheid van hun diensten te garanderen, en zij zorgen ervoor dat hun personeel naar behoren wordt opgeleid; |
| --- | --- |

e)

de CSIRT’s beschikken over voldoende personeel om te allen tijde de beschikbaarheid van hun diensten te garanderen, en zij zorgen ervoor dat hun personeel naar behoren wordt opgeleid;

| f) | de CSIRT’s zijn uitgerust met redundante systemen en reservewerkruimten om de continuïteit van hun diensten te waarborgen. |
| --- | --- |

f)

de CSIRT’s zijn uitgerust met redundante systemen en reservewerkruimten om de continuïteit van hun diensten te waarborgen.

De CSIRT’s kunnen deelnemen aan internationale samenwerkingsnetwerken.

2.   De lidstaten zorgen ervoor dat hun CSIRT’s gezamenlijk over de noodzakelijke technische capaciteiten beschikken om de in lid 3 bedoelde taken uit te voeren. De lidstaten zorgen ervoor dat voldoende middelen worden toegekend aan hun CSIRT’s, om ervoor te zorgen dat de CSIRT’s voldoende personeel hebben zodat zij hun technische capaciteiten kunnen ontwikkelen.

3.   De CSIRT’s hebben de volgende taken:

| a) | het monitoren en analyseren van cyberdreigingen, kwetsbaarheden en incidenten op nationaal niveau, en, op verzoek, het verlenen van bijstand aan betrokken essentiële en belangrijke entiteiten met betrekking tot het realtime of bijna-realtime monitoren van hun netwerk en informatiesystemen; |
| --- | --- |

a)

het monitoren en analyseren van cyberdreigingen, kwetsbaarheden en incidenten op nationaal niveau, en, op verzoek, het verlenen van bijstand aan betrokken essentiële en belangrijke entiteiten met betrekking tot het realtime of bijna-realtime monitoren van hun netwerk en informatiesystemen;

| b) | het verstrekken van vroegtijdige waarschuwingen, meldingen en aankondigingen en het verspreiden van informatie onder betrokken essentiële en belangrijke entiteiten en aan de bevoegde autoriteiten en andere relevante belanghebbenden over cyberdreigingen, kwetsbaarheden en incidenten, in bijna-realtime indien mogelijk; |
| --- | --- |

b)

het verstrekken van vroegtijdige waarschuwingen, meldingen en aankondigingen en het verspreiden van informatie onder betrokken essentiële en belangrijke entiteiten en aan de bevoegde autoriteiten en andere relevante belanghebbenden over cyberdreigingen, kwetsbaarheden en incidenten, in bijna-realtime indien mogelijk;

| c) | het reageren op incidenten en verlenen van bijstand aan de betrokken essentiële en belangrijke entiteiten, indien van toepassing; |
| --- | --- |

c)

het reageren op incidenten en verlenen van bijstand aan de betrokken essentiële en belangrijke entiteiten, indien van toepassing;

| d) | het verzamelen en analyseren van forensische gegevens en het zorgen voor dynamische risico- en incidentenanalyse en situationeel bewustzijn met betrekking tot cyberbeveiliging; |
| --- | --- |

d)

het verzamelen en analyseren van forensische gegevens en het zorgen voor dynamische risico- en incidentenanalyse en situationeel bewustzijn met betrekking tot cyberbeveiliging;

| e) | op verzoek van een essentiële of belangrijke entiteit: het proactief scannen van de netwerk- en informatiesystemen van de betrokken entiteit om kwetsbaarheden met mogelijk significante gevolgen op te sporen; |
| --- | --- |

e)

op verzoek van een essentiële of belangrijke entiteit: het proactief scannen van de netwerk- en informatiesystemen van de betrokken entiteit om kwetsbaarheden met mogelijk significante gevolgen op te sporen;

| f) | het deelnemen aan het CSIRT-netwerk en, in overeenstemming met hun capaciteiten en bevoegdheden, het verlenen van wederzijdse bijstand aan andere leden van het netwerk op hun verzoek; |
| --- | --- |

f)

het deelnemen aan het CSIRT-netwerk en, in overeenstemming met hun capaciteiten en bevoegdheden, het verlenen van wederzijdse bijstand aan andere leden van het netwerk op hun verzoek;

| g) | indien van toepassing, het optreden als coördinator ten behoeve van het in artikel 12, lid 1 bedoelde proces van gecoördineerde bekendmaking van kwetsbaarheden; |
| --- | --- |

g)

indien van toepassing, het optreden als coördinator ten behoeve van het in artikel 12, lid 1 bedoelde proces van gecoördineerde bekendmaking van kwetsbaarheden;

| h) | het bijdragen aan de uitrol van veilige instrumenten voor het delen van informatie op grond van artikel 10, lid 3. |
| --- | --- |

h)

het bijdragen aan de uitrol van veilige instrumenten voor het delen van informatie op grond van artikel 10, lid 3.

De CSIRT’s kunnen overgaan tot het proactief en niet-intrusief scannen van openbaar toegankelijke netwerk- en informatiesystemen van essentiële en belangrijke entiteiten. Een dergelijk scannen wordt uitgevoerd om kwetsbare of onveilig geconfigureerde netwerk- en informatiesystemen op te sporen en de betrokken entiteiten te informeren. Een dergelijk scannen mag geen negatieve gevolgen hebben voor de werking van de diensten van de entiteiten.

Bij de uitvoering van de in de eerste alinea bedoelde taken kunnen de CSIRT’s, op grond van een risicogebaseerde benadering, prioriteit geven aan bepaalde taken.

4.   De CSIRT’s brengen samenwerkingsrelaties tot stand met relevante belanghebbenden in de particuliere sector, teneinde de doelstellingen van deze richtlijn te verwezenlijken.

5.   Om de in lid 4 bedoelde samenwerking te vergemakkelijken, bevorderen de CSIRT’s de invoering en het gebruik van gemeenschappelijke of gestandaardiseerde praktijken, classificatieschema’s en taxonomieën met betrekking tot:

| a) | procedures voor de incidentenbehandeling; |
| --- | --- |

a)

procedures voor de incidentenbehandeling;

| b) | crisisbeheer, en |
| --- | --- |

b)

crisisbeheer, en

| c) | gecoördineerde bekendmaking van kwetsbaarheden uit hoofde van artikel 12, lid 1. |
| --- | --- |

c)

gecoördineerde bekendmaking van kwetsbaarheden uit hoofde van artikel 12, lid 1.

Artikel 12

Gecoördineerde bekendmaking van de kwetsbaarheden en een Europese kwetsbaarheidsdatabase

1.   Elke lidstaat wijst een van zijn CSIRT’s aan als coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden. Het als coördinator aangewezen CSIRT treedt op als een betrouwbare tussenpersoon en vergemakkelijkt, waar nodig, de interactie tussen de natuurlijke of rechtspersoon die een kwetsbaarheid meldt enerzijds en de fabrikant of aanbieder van de mogelijk kwetsbare ICT-producten of -diensten anderzijds, op verzoek van een van beide partijen. De taken van het als coördinator aangewezen CSIRT omvatten:

| a) | het identificeren van en contact opnemen met de betrokken entiteiten; |
| --- | --- |

a)

het identificeren van en contact opnemen met de betrokken entiteiten;

| b) | het bijstaan van de natuurlijke of rechtspersonen die een kwetsbaarheid melden; en |
| --- | --- |

b)

het bijstaan van de natuurlijke of rechtspersonen die een kwetsbaarheid melden; en

| c) | het onderhandelen over tijdschema’s voor de bekendmaking, en het beheren van kwetsbaarheden die van invloed zijn op meerdere entiteiten. |
| --- | --- |

c)

het onderhandelen over tijdschema’s voor de bekendmaking, en het beheren van kwetsbaarheden die van invloed zijn op meerdere entiteiten.

De lidstaten zorgen ervoor dat natuurlijke of rechtspersonen, desgevraagd anoniem, melding kunnen maken van een kwetsbaarheid aan het als coördinator aangewezen CSIRT. Het als coördinator aangewezen CSIRT ziet erop toe dat zorgvuldige follow-up wordt gegeven aan de gemelde kwetsbaarheid en waarborgt de anonimiteit van de natuurlijke of rechtspersoon die de kwetsbaarheid meldt. Wanneer een gemelde kwetsbaarheid significante gevolgen kan hebben voor entiteiten in meer dan één lidstaat, werkt het als coördinator aangewezen CSIRT van iedere betrokken lidstaat, in voorkomend geval, samen met andere als coördinator aangewezen CSIRT’s binnen het CSIRT-netwerk.

2.   Enisa ontwikkelt en onderhoudt, na raadpleging van de samenwerkingsgroep, een Europese kwetsbaarheidsdatabase. Daartoe stelt Enisa de passende informatiesystemen, beleidsmaatregelen en procedures vast en onderhoudt deze, alsook de noodzakelijke technische en organisatorische maatregelen om de veiligheid en integriteit van de Europese kwetsbaarheidsdatabase te waarborgen, met name om entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, en hun leveranciers van netwerk- en informatiesystemen, in staat te stellen de in ICT-producten of ICT-diensten aanwezige algemeen bekende kwetsbaarheden op een vrijwillige basis bekend te maken en te registreren. Alle belanghebbenden krijgen toegang tot de informatie over de kwetsbaarheden die in de Europese kwetsbaarheidsdatabase is opgenomen. Die database omvat:

| a) | informatie die de kwetsbaarheid beschrijft; |
| --- | --- |

a)

informatie die de kwetsbaarheid beschrijft;

| b) | de betrokken ICT-producten of ICT-diensten en de ernst van de kwetsbaarheid in het licht van de omstandigheden waarin deze kan worden uitgebuit; |
| --- | --- |

b)

de betrokken ICT-producten of ICT-diensten en de ernst van de kwetsbaarheid in het licht van de omstandigheden waarin deze kan worden uitgebuit;

| c) | de beschikbaarheid van gerelateerde patches en, bij gebrek aan beschikbare patches, door de bevoegde autoriteiten of de CSIRT’s bepaalde richtsnoeren voor gebruikers van kwetsbare ICT-producten en ICT-diensten over de wijze waarop de risico’s die voortvloeien uit bekendgemaakte kwetsbaarheden kunnen worden beperkt. |
| --- | --- |

c)

de beschikbaarheid van gerelateerde patches en, bij gebrek aan beschikbare patches, door de bevoegde autoriteiten of de CSIRT’s bepaalde richtsnoeren voor gebruikers van kwetsbare ICT-producten en ICT-diensten over de wijze waarop de risico’s die voortvloeien uit bekendgemaakte kwetsbaarheden kunnen worden beperkt.

Artikel 13

Samenwerking op nationaal niveau

1.   Wanneer zij afzonderlijk bestaan, werken de bevoegde autoriteiten, het centrale contactpunt en de CSIRT’s van dezelfde lidstaat met elkaar samen om de in deze richtlijn vastgestelde verplichtingen na te komen.

2.   De lidstaten zorgen ervoor dat hun CSIRT’s of, in voorkomend geval, hun bevoegde autoriteiten, meldingen ontvangen van significante incidenten op grond van artikel 23, en van incidenten, cyberdreigingen en bijna-incidenten op grond van artikel 30.

3.   De lidstaten zorgen ervoor dat hun CSIRT’s of, in voorkomend geval, hun bevoegde autoriteiten, hun centrale contactpunten in kennis stellen van de op grond van deze richtlijn ingediende meldingen van incidenten, cyberdreigingen en bijna-incidenten.

4.   Om te garanderen dat de taken en verplichtingen van de bevoegde autoriteiten, de centrale contactpunten en de CSIRT’s doeltreffend worden uitgevoerd, zorgen de lidstaten, voor zover mogelijk, voor passende samenwerking tussen die organen en rechtshandhavingsautoriteiten, gegevensbeschermingsautoriteiten, de nationale autoriteiten uit hoofde van Verordeningen (EG) nr. 300/2008 en (EU) 2018/1139, de toezichthoudende organen uit hoofde van Verordening (EU) nr. 910/2014, de bevoegde autoriteiten uit hoofde van Verordening (EU) 2022/2554, de nationale regulerende instanties uit hoofde van Richtlijn (EU) 2018/1972, de bevoegde autoriteiten uit hoofde van Richtlijn (EU) 2022/2557, alsmede de bevoegde autoriteiten uit hoofde van andere sectorspecifieke rechtshandelingen van de Unie, in die lidstaat.

5.   De lidstaten zien erop toe dat hun uit hoofde van deze richtlijn bevoegde autoriteiten en hun uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten samenwerken en regelmatig informatie uitwisselen inzake het als kritiek aanmerken van entiteiten, over risico’s, cyberdreigingen, en incidenten, alsook over niet-cyberrisico’s, -dreigingen en -incidenten die gevolgen hebben voor essentiële entiteiten die uit hoofde van Richtlijn (EU) 2022/2557 als kritieke entiteiten zijn aangemerkt, en over de maatregelen die in reactie op dergelijke risico’s, dreigingen en incidenten zijn genomen. De lidstaten zien er tevens op toe dat hun uit hoofde van deze richtlijn bevoegde autoriteiten en hun uit hoofde van Verordening (EU) nr. 910/2014, Verordening (EU) 2022/2554 en Richtlijn (EU) 2018/1972 bevoegde autoriteiten regelmatig relevante informatie uitwisselen, onder meer met betrekking tot relevante incidenten en cyberdreigingen.

6.   De lidstaten vereenvoudigen de rapportage met technische middelen voor de in de artikelen 23 en 30 bedoelde meldingen.

HOOFDSTUK III

SAMENWERKING OP UNIE- EN INTERNATIONAAL NIVEAU

Artikel 14

Samenwerkingsgroep

1.   Om de strategische samenwerking en de uitwisseling van informatie tussen de lidstaten te ondersteunen en te vergemakkelijken, alsook om het vertrouwen te vergroten, wordt een samenwerkingsgroep opgericht.

2.   De samenwerkingsgroep voert zijn taken uit op basis van de in lid 7 bedoelde tweejaarlijkse werkprogramma’s.

3.   De samenwerkingsgroep bestaat uit vertegenwoordigers van de lidstaten, de Commissie en Enisa. De Europese Dienst voor extern optreden neemt als waarnemer deel aan de activiteiten van de samenwerkingsgroep. De Europese toezichthoudende autoriteiten (ETA’s) en de uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten kunnen deelnemen aan de activiteiten van de samenwerkingsgroep overeenkomstig artikel 47, lid 1, van die verordening.

In voorkomend geval kan de samenwerkingsgroep het Europees Parlement en vertegenwoordigers van relevante belanghebbenden uitnodigen om deel te nemen aan zijn werkzaamheden.

Het secretariaat wordt verzorgd door de diensten van de Commissie.

4.   De samenwerkingsgroep heeft de volgende taken:

| a) | het verstrekken van richtsnoeren aan de bevoegde autoriteiten met betrekking tot de omzetting en uitvoering van deze richtlijn; |
| --- | --- |

a)

het verstrekken van richtsnoeren aan de bevoegde autoriteiten met betrekking tot de omzetting en uitvoering van deze richtlijn;

| b) | het verstrekken van richtsnoeren aan de bevoegde autoriteiten met betrekking tot de ontwikkeling en uitvoering van het beleid inzake gecoördineerde bekendmaking van kwetsbaarheden, als bedoeld in artikel 7, lid 2, punt c); |
| --- | --- |

b)

het verstrekken van richtsnoeren aan de bevoegde autoriteiten met betrekking tot de ontwikkeling en uitvoering van het beleid inzake gecoördineerde bekendmaking van kwetsbaarheden, als bedoeld in artikel 7, lid 2, punt c);

| c) | het uitwisselen van beste praktijken en informatie met betrekking tot de uitvoering van deze richtlijn, onder meer inzake cyberdreigingen, incidenten, kwetsbaarheden, bijna-incidenten, bewustmakingsinitiatieven, opleidingen, oefeningen en vaardigheden, capaciteitsopbouw, normen en technische specificaties, alsook inzake het als dusdanig aanmerken van essentiële en belangrijke entiteiten op grond van artikel 2, lid 2, punten b) tot en met e); |
| --- | --- |

c)

het uitwisselen van beste praktijken en informatie met betrekking tot de uitvoering van deze richtlijn, onder meer inzake cyberdreigingen, incidenten, kwetsbaarheden, bijna-incidenten, bewustmakingsinitiatieven, opleidingen, oefeningen en vaardigheden, capaciteitsopbouw, normen en technische specificaties, alsook inzake het als dusdanig aanmerken van essentiële en belangrijke entiteiten op grond van artikel 2, lid 2, punten b) tot en met e);

| d) | het uitwisselen van advies en samenwerken met de Commissie rondom opkomende beleidsinitiatieven op het gebied van cyberbeveiliging en rondom de algehele samenhang van sectorspecifieke cyberbeveiligingseisen; |
| --- | --- |

d)

het uitwisselen van advies en samenwerken met de Commissie rondom opkomende beleidsinitiatieven op het gebied van cyberbeveiliging en rondom de algehele samenhang van sectorspecifieke cyberbeveiligingseisen;

| e) | het uitwisselen van advies en samenwerken met de Commissie rondom ontwerpen van uitvoeringshandelingen of gedelegeerde handelingen die op grond van deze richtlijn worden vastgesteld; |
| --- | --- |

e)

het uitwisselen van advies en samenwerken met de Commissie rondom ontwerpen van uitvoeringshandelingen of gedelegeerde handelingen die op grond van deze richtlijn worden vastgesteld;

| f) | het uitwisselen van beste praktijken en informatie met de betrokken instellingen, organen en instanties van de Unie; |
| --- | --- |

f)

het uitwisselen van beste praktijken en informatie met de betrokken instellingen, organen en instanties van de Unie;

| g) | het van gedachten wisselen over de uitvoering van sectorspecifieke rechtshandelingen van de Unie die bepalingen inzake cyberbeveiliging bevatten; |
| --- | --- |

g)

het van gedachten wisselen over de uitvoering van sectorspecifieke rechtshandelingen van de Unie die bepalingen inzake cyberbeveiliging bevatten;

| h) | indien van toepassing, het bespreken van de verslagen van de in artikel 19, lid 9, bedoelde collegiale toetsing en het opstellen van conclusies en aanbevelingen; |
| --- | --- |

h)

indien van toepassing, het bespreken van de verslagen van de in artikel 19, lid 9, bedoelde collegiale toetsing en het opstellen van conclusies en aanbevelingen;

| i) | het uitvoeren van gecoördineerde veiligheidsrisicobeoordelingen van kritieke toeleveringsketens overeenkomstig artikel 22, lid 1; |
| --- | --- |

i)

het uitvoeren van gecoördineerde veiligheidsrisicobeoordelingen van kritieke toeleveringsketens overeenkomstig artikel 22, lid 1;

| j) | het bespreken van gevallen van wederzijdse bijstand, met inbegrip van ervaringen en resultaten van grensoverschrijdende gezamenlijke toezichtsacties als bedoeld in artikel 37; |
| --- | --- |

j)

het bespreken van gevallen van wederzijdse bijstand, met inbegrip van ervaringen en resultaten van grensoverschrijdende gezamenlijke toezichtsacties als bedoeld in artikel 37;

| k) | op verzoek van een of meer betrokken lidstaten, het bespreken van specifieke verzoeken om wederzijdse bijstand als bedoeld in artikel 37; |
| --- | --- |

k)

op verzoek van een of meer betrokken lidstaten, het bespreken van specifieke verzoeken om wederzijdse bijstand als bedoeld in artikel 37;

| l) | het verstrekken van strategische richtsnoeren over specifieke opkomende kwesties aan het CSIRT-netwerk en EU-CyCLONe; |
| --- | --- |

l)

het verstrekken van strategische richtsnoeren over specifieke opkomende kwesties aan het CSIRT-netwerk en EU-CyCLONe;

| m) | het van gedachten wisselen over het beleid inzake de follow-up die wordt gegeven aan grootschalige cyberbeveiligingsincidenten en crises, op basis van de uit het CSIRT-netwerk en EU-CyCLONe getrokken lessen; |
| --- | --- |

m)

het van gedachten wisselen over het beleid inzake de follow-up die wordt gegeven aan grootschalige cyberbeveiligingsincidenten en crises, op basis van de uit het CSIRT-netwerk en EU-CyCLONe getrokken lessen;

| n) | het bijdragen tot de cyberbeveiligingscapaciteiten in de hele Unie door de uitwisseling van nationale ambtenaren te vergemakkelijken via een programma voor capaciteitsopbouw waarbij personeel van de bevoegde autoriteiten of van de CSIRT’s betrokken is; |
| --- | --- |

n)

het bijdragen tot de cyberbeveiligingscapaciteiten in de hele Unie door de uitwisseling van nationale ambtenaren te vergemakkelijken via een programma voor capaciteitsopbouw waarbij personeel van de bevoegde autoriteiten of van de CSIRT’s betrokken is;

| o) | het organiseren van regelmatige en gezamenlijke bijeenkomsten met relevante particuliere belanghebbenden uit de hele Unie om de activiteiten van de samenwerkingsgroep te bespreken en input te verzamelen over nieuwe beleidsuitdagingen; |
| --- | --- |

o)

het organiseren van regelmatige en gezamenlijke bijeenkomsten met relevante particuliere belanghebbenden uit de hele Unie om de activiteiten van de samenwerkingsgroep te bespreken en input te verzamelen over nieuwe beleidsuitdagingen;

| p) | het bespreken van de werkzaamheden in verband met cyberbeveiligingsoefeningen, met inbegrip van het werk van Enisa; |
| --- | --- |

p)

het bespreken van de werkzaamheden in verband met cyberbeveiligingsoefeningen, met inbegrip van het werk van Enisa;

| q) | het vaststellen van de methodologie en organisatorische aspecten van de in artikel 19, lid 1, bedoelde collegiale toetsingen, alsook het vastleggen van de zelfevaluatiemethode voor lidstaten overeenkomstig artikel 19, lid 5, met bijstand van de Commissie en Enisa, en, in samenwerking met de Commissie en Enisa, het ontwikkelen van gedragscodes ter onderbouwing van de werkmethoden van aangewezen cyberbeveiligingsdeskundigen overeenkomstig artikel 19, lid 6; |
| --- | --- |

q)

het vaststellen van de methodologie en organisatorische aspecten van de in artikel 19, lid 1, bedoelde collegiale toetsingen, alsook het vastleggen van de zelfevaluatiemethode voor lidstaten overeenkomstig artikel 19, lid 5, met bijstand van de Commissie en Enisa, en, in samenwerking met de Commissie en Enisa, het ontwikkelen van gedragscodes ter onderbouwing van de werkmethoden van aangewezen cyberbeveiligingsdeskundigen overeenkomstig artikel 19, lid 6;

| r) | het opstellen van verslagen over de ervaringen die zijn opgedaan op strategisch niveau en bij collegiale toetsingen, met het oog op de in artikel 40 bedoelde evaluatie; |
| --- | --- |

r)

het opstellen van verslagen over de ervaringen die zijn opgedaan op strategisch niveau en bij collegiale toetsingen, met het oog op de in artikel 40 bedoelde evaluatie;

| s) | het regelmatig beoordelen van de stand van zaken met betrekking tot cyberdreigingen of -incidenten, zoals gijzelsoftware. |
| --- | --- |

s)

het regelmatig beoordelen van de stand van zaken met betrekking tot cyberdreigingen of -incidenten, zoals gijzelsoftware.

De samenwerkingsgroep dient de in de eerste alinea, punt r), bedoelde verslagen in bij de Commissie, het Europees Parlement en de Raad.

5.   De lidstaten zorgen ervoor dat hun vertegenwoordigers op doeltreffende, efficiënte en veilige wijze samenwerken binnen de samenwerkingsgroep.

6.   De samenwerkingsgroep kan het CSIRT-netwerk verzoeken om een technisch verslag over geselecteerde onderwerpen.

7.   Uiterlijk op 1 februari 2024, en vervolgens om de twee jaar, stelt de samenwerkingsgroep een werkprogramma op over te nemen maatregelen ter uitvoering van zijn doelstellingen en taken.

8.   De Commissie kan uitvoeringshandelingen vaststellen met de voor de werking van de samenwerkingsgroep noodzakelijke procedurele regelingen.

Deze uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 39, lid 2, bedoelde onderzoeksprocedure.

De Commissie wisselt advies uit en werkt samen met de samenwerkingsgroep rond de in de eerste en tweede alinea van dit artikel bedoelde ontwerpuitvoeringshandelingen, overeenkomstig lid 4, punt e).

9.   De samenwerkingsgroep komt regelmatig en in ieder geval ten minste eenmaal per jaar bijeen met de krachtens Richtlijn (EU) 2022/2557 opgerichte groep voor de weerbaarheid van kritieke entiteiten, om de strategische samenwerking en de uitwisseling van informatie te bevorderen en te vergemakkelijken.

Artikel 15

CSIRT-netwerk

1.   Om aan de ontwikkeling van het vertrouwen bij te dragen en een snelle en doeltreffende operationele samenwerking tussen de lidstaten te bevorderen, wordt een netwerk van nationale CSIRT’s opgericht.

2.   Het CSIRT-netwerk bestaat uit vertegenwoordigers van de krachtens artikel 10 aangewezen of ingestelde CSIRT’s en het computercrisisresponsteam voor de instellingen, organen en instanties van de Unie (CERT-EU). De Commissie neemt als waarnemer deel aan het CSIRT-netwerk. Enisa verzorgt het secretariaat en verleent bijstand aan de samenwerking tussen de CSIRT’s.

3.   Het CSIRT-netwerk heeft de volgende taken:

| a) | het uitwisselen van informatie over de capaciteiten van de CSIRT’s; |
| --- | --- |

a)

het uitwisselen van informatie over de capaciteiten van de CSIRT’s;

| b) | het vergemakkelijken van het delen, overdragen en uitwisselen van technologie en relevante maatregelen, beleidsmaatregelen, instrumenten, processen, beste praktijken, en kaders tussen de CSIRT’s; |
| --- | --- |

b)

het vergemakkelijken van het delen, overdragen en uitwisselen van technologie en relevante maatregelen, beleidsmaatregelen, instrumenten, processen, beste praktijken, en kaders tussen de CSIRT’s;

| c) | het uitwisselen van relevante informatie over incidenten, bijna-incidenten, cyberdreigingen, risico’s en kwetsbaarheden; |
| --- | --- |

c)

het uitwisselen van relevante informatie over incidenten, bijna-incidenten, cyberdreigingen, risico’s en kwetsbaarheden;

| d) | het uitwisselen van informatie over publicaties en aanbevelingen op het gebied van cyberbeveiliging; |
| --- | --- |

d)

het uitwisselen van informatie over publicaties en aanbevelingen op het gebied van cyberbeveiliging;

| e) | het zorgen voor interoperabiliteit met betrekking tot specificaties en protocollen voor informatie-uitwisseling; |
| --- | --- |

e)

het zorgen voor interoperabiliteit met betrekking tot specificaties en protocollen voor informatie-uitwisseling;

| f) | op verzoek van een lid van het CSIRT-netwerk dat mogelijkerwijs gevolgen ondervindt van een incident, het uitwisselen en bespreken van informatie over dat incident en de daarmee samenhangende cyberdreigingen, risico’s en kwetsbaarheden; |
| --- | --- |

f)

op verzoek van een lid van het CSIRT-netwerk dat mogelijkerwijs gevolgen ondervindt van een incident, het uitwisselen en bespreken van informatie over dat incident en de daarmee samenhangende cyberdreigingen, risico’s en kwetsbaarheden;

| g) | op verzoek van een lid van het CSIRT-netwerk, het bespreken en waar mogelijk uitvoeren van een gecoördineerde respons op een incident dat binnen de jurisdictie van die lidstaat is vastgesteld; |
| --- | --- |

g)

op verzoek van een lid van het CSIRT-netwerk, het bespreken en waar mogelijk uitvoeren van een gecoördineerde respons op een incident dat binnen de jurisdictie van die lidstaat is vastgesteld;

| h) | het verlenen van bijstand aan de lidstaten bij de aanpak van grensoverschrijdende incidenten uit hoofde van deze richtlijn; |
| --- | --- |

h)

het verlenen van bijstand aan de lidstaten bij de aanpak van grensoverschrijdende incidenten uit hoofde van deze richtlijn;

| i) | het samenwerken, uitwisselen van beste praktijken en verlenen van bijstand aan de CSIRT’s die op grond van artikel 12, lid 1, zijn aangewezen als coördinatoren, waar het gaat om het beheer van de gecoördineerde openbaarmaking van kwetsbaarheden die aanzienlijke gevolgen kunnen hebben voor entiteiten in meer dan één lidstaat; |
| --- | --- |

i)

het samenwerken, uitwisselen van beste praktijken en verlenen van bijstand aan de CSIRT’s die op grond van artikel 12, lid 1, zijn aangewezen als coördinatoren, waar het gaat om het beheer van de gecoördineerde openbaarmaking van kwetsbaarheden die aanzienlijke gevolgen kunnen hebben voor entiteiten in meer dan één lidstaat;

| j) | het bespreken en identificeren van verdere vormen van operationele samenwerking, ook met betrekking tot:






  i) | categorieën van cyberdreigingen en -incidenten; |
| --- | --- | --- |

j)

het bespreken en identificeren van verdere vormen van operationele samenwerking, ook met betrekking tot:

i)

categorieën van cyberdreigingen en -incidenten;

| ii) | vroegtijdige waarschuwingen; |
| --- | --- |

ii)

vroegtijdige waarschuwingen;

| iii) | wederzijdse bijstand; |
| --- | --- |

iii)

wederzijdse bijstand;

| iv) | beginselen en regelingen voor coördinatie als antwoord op grensoverschrijdende risico’s en incidenten; |
| --- | --- |

iv)

beginselen en regelingen voor coördinatie als antwoord op grensoverschrijdende risico’s en incidenten;

| v) | op verzoek van een lidstaat, bijdragen aan het in artikel 9, lid 4, bedoelde nationale plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons; |
| --- | --- |

v)

op verzoek van een lidstaat, bijdragen aan het in artikel 9, lid 4, bedoelde nationale plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons;

| k) | het informeren van de samenwerkingsgroep over zijn activiteiten en over de verdere vormen van operationele samenwerking, besproken op grond van punt j), en zo nodig het verzoeken om richtsnoeren in dat verband; |
| --- | --- |

k)

het informeren van de samenwerkingsgroep over zijn activiteiten en over de verdere vormen van operationele samenwerking, besproken op grond van punt j), en zo nodig het verzoeken om richtsnoeren in dat verband;

| l) | het opmaken van de balans van cyberbeveiligingsoefeningen, ook van de door Enisa georganiseerde oefeningen; |
| --- | --- |

l)

het opmaken van de balans van cyberbeveiligingsoefeningen, ook van de door Enisa georganiseerde oefeningen;

| m) | op verzoek van een individueel CSIRT, het bespreken van de capaciteiten en de paraatheid van dat CSIRT; |
| --- | --- |

m)

op verzoek van een individueel CSIRT, het bespreken van de capaciteiten en de paraatheid van dat CSIRT;

| n) | het samenwerken en uitwisselen van informatie met centra voor beveiligingsoperaties (“Security Operations Centres” — SOC’s) op regionaal en Unieniveau om het gemeenschappelijk situationeel bewustzijn inzake incidenten en cyberdreigingen in de hele Unie te verbeteren; |
| --- | --- |

n)

het samenwerken en uitwisselen van informatie met centra voor beveiligingsoperaties (“Security Operations Centres” — SOC’s) op regionaal en Unieniveau om het gemeenschappelijk situationeel bewustzijn inzake incidenten en cyberdreigingen in de hele Unie te verbeteren;

| o) | indien van toepassing, het bespreken van de in artikel 19, lid 9, bedoelde collegiale-toetsingsverslagen; |
| --- | --- |

o)

indien van toepassing, het bespreken van de in artikel 19, lid 9, bedoelde collegiale-toetsingsverslagen;

| p) | het verstrekken van richtsnoeren om de convergentie van de operationele praktijken te vergemakkelijken waar het gaat om de toepassing van de bepalingen van dit artikel inzake operationele samenwerking. |
| --- | --- |

p)

het verstrekken van richtsnoeren om de convergentie van de operationele praktijken te vergemakkelijken waar het gaat om de toepassing van de bepalingen van dit artikel inzake operationele samenwerking.

4.   Uiterlijk op 17 januari 2025, en vervolgens om de twee jaar, beoordeelt het CSIRT-netwerk, met het oog op de in artikel 40 bedoelde evaluatie, de vooruitgang die werd geboekt op het gebied van de operationele samenwerking en stelt het een verslag op. In het verslag worden met name conclusies en aanbevelingen geformuleerd op basis van het resultaat van de in artikel 19 bedoelde collegiale toetsingen, die worden uitgevoerd met betrekking tot de nationale CSIRT’s. Dit verslag wordt voorgelegd aan de samenwerkingsgroep.

5.   Het CSIRT-netwerk stelt zijn reglement van orde vast.

6.   Het CSIRT-netwerk en EU-CyCLONe komen procedurele regelingen overeen en werken op basis daarvan samen.

Artikel 16

Het Europese netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe)

1.   EU-CyCLONe wordt opgericht om het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en crises op operationeel niveau te ondersteunen en te zorgen voor een regelmatige uitwisseling van relevante informatie tussen de lidstaten en de instellingen, organen en agentschappen van de Unie.

2.   EU-CyCLONe bestaat uit de vertegenwoordigers van de cybercrisisbeheerautoriteiten van de lidstaten alsmede, in gevallen waarin een potentieel of aan de gang zijnd grootschalig cyberbeveiligingsincident een aanzienlijke impact heeft of dreigt te hebben op diensten en activiteiten die binnen het toepassingsgebied van deze richtlijn vallen, de Commissie. In andere gevallen neemt de Commissie als waarnemer deel aan de activiteiten van EU-CyCLONe.

Enisa verzorgt het secretariaat van EU-CyCLONe, ondersteunt de veilige uitwisseling van informatie en voorziet in de noodzakelijke instrumenten ter ondersteuning van de samenwerking tussen de lidstaten met het oog op een veilige uitwisseling van informatie.

Indien nodig kan EU-CyCLONe vertegenwoordigers van belanghebbenden uitnodigen om als waarnemers deel te nemen aan zijn werkzaamheden.

3.   EU-CyCLONe heeft tot taak:

| a) | het niveau van de paraatheid te verhogen bij het beheer van grootschalige cyberbeveiligingsincidenten en crises; |
| --- | --- |

a)

het niveau van de paraatheid te verhogen bij het beheer van grootschalige cyberbeveiligingsincidenten en crises;

| b) | een gedeeld situationeel bewustzijn voor grootschalige cyberbeveiligingsincidenten en crises te ontwikkelen; |
| --- | --- |

b)

een gedeeld situationeel bewustzijn voor grootschalige cyberbeveiligingsincidenten en crises te ontwikkelen;

| c) | de gevolgen en de impact van relevante grootschalige cyberbeveiligingsincidenten en crises te beoordelen en mogelijke beperkende maatregelen voor te stellen; |
| --- | --- |

c)

de gevolgen en de impact van relevante grootschalige cyberbeveiligingsincidenten en crises te beoordelen en mogelijke beperkende maatregelen voor te stellen;

| d) | het beheer van grootschalige cyberbeveiligingsincidenten en crises te coördineren en de besluitvorming op politiek niveau met betrekking tot dergelijke incidenten en crises te ondersteunen; |
| --- | --- |

d)

het beheer van grootschalige cyberbeveiligingsincidenten en crises te coördineren en de besluitvorming op politiek niveau met betrekking tot dergelijke incidenten en crises te ondersteunen;

| e) | op verzoek van een betrokken lidstaat de in artikel 9, lid 4, bedoelde nationale plannen voor grootschalige cyberbeveiligingsincidenten en crisisrespons te bespreken. |
| --- | --- |

e)

op verzoek van een betrokken lidstaat de in artikel 9, lid 4, bedoelde nationale plannen voor grootschalige cyberbeveiligingsincidenten en crisisrespons te bespreken.

4.   EU-CyCLONe stelt zijn reglement van orde vast.

5.   EU-CyCLONe brengt regelmatig verslag uit aan de samenwerkingsgroep over het beheer van grootschalige cyberbeveiligingsincidenten en crises, alsook trends, waarbij met name aandacht wordt besteed aan de gevolgen ervan voor essentiële en belangrijke entiteiten.

6.   EU-CyCLONe werkt samen met het CSIRT-netwerk op basis van overeengekomen procedurele regelingen als bepaald in artikel 15, lid 6.

7.   Uiterlijk op 17 juli 2024 en vervolgens om de 18 maanden dient EU-CyCLONe bij het Europees Parlement en de Raad een beoordelingsverslag over zijn werkzaamheden in.

Artikel 17

Internationale samenwerking

De Unie kan indien nodig overeenkomstig artikel 218 VWEU internationale overeenkomsten met derde landen of internationale organisaties sluiten die hun deelname aan bepaalde activiteiten van de samenwerkingsgroep, het CSIRT-netwerk en EU-CyCLONe mogelijk maken en organiseren. Dergelijke overeenkomsten moeten in overeenstemming zijn met het Uniegegevensbeschermingsrecht.

Artikel 18

Verslag over de stand van zaken op het gebied van de cyberbeveiliging in de Unie

1.   Enisa stelt in samenwerking met de Commissie en de samenwerkingsgroep een tweejaarlijks verslag over de stand van zaken op het gebied van cyberbeveiliging in de Unie op en legt dat verslag voor aan het Europees Parlement. Het verslag wordt onder meer in machinaal leesbare data beschikbaar gesteld en bevat het volgende:

| a) | een beoordeling van de cyberbeveiligingsrisico’s op het niveau van de Unie, rekening houdend met het cyberdreigingslandschap; |
| --- | --- |

a)

een beoordeling van de cyberbeveiligingsrisico’s op het niveau van de Unie, rekening houdend met het cyberdreigingslandschap;

| b) | een beoordeling van de ontwikkeling van cyberbeveiligingscapaciteiten in de publieke en private sectoren in de hele Unie; |
| --- | --- |

b)

een beoordeling van de ontwikkeling van cyberbeveiligingscapaciteiten in de publieke en private sectoren in de hele Unie;

| c) | een beoordeling van het algemene niveau van bewustzijn van cyberbeveiliging en cyberhygiëne bij burgers en entiteiten, met inbegrip van kleine en middelgrote ondernemingen; |
| --- | --- |

c)

een beoordeling van het algemene niveau van bewustzijn van cyberbeveiliging en cyberhygiëne bij burgers en entiteiten, met inbegrip van kleine en middelgrote ondernemingen;

| d) | een geaggregeerde beoordeling van het resultaat van de in artikel 19 bedoelde collegiale toetsingen; |
| --- | --- |

d)

een geaggregeerde beoordeling van het resultaat van de in artikel 19 bedoelde collegiale toetsingen;

| e) | een geaggregeerde beoordeling van het volwassenheidsniveau van de cyberbeveiligingscapaciteiten en -middelen in de hele Unie, met inbegrip van die op sectorniveau, en van de mate waarin de nationale cyberbeveiligingsstrategieën van de lidstaten op elkaar zijn afgestemd. |
| --- | --- |

e)

een geaggregeerde beoordeling van het volwassenheidsniveau van de cyberbeveiligingscapaciteiten en -middelen in de hele Unie, met inbegrip van die op sectorniveau, en van de mate waarin de nationale cyberbeveiligingsstrategieën van de lidstaten op elkaar zijn afgestemd.

2.   Het verslag bevat specifieke beleidsaanbevelingen om tekortkomingen te verhelpen en het cyberbeveiligingsniveau in de Unie te verhogen, en een samenvatting van de bevindingen over incidenten en cyberdreigingen voor de specifieke periode uit de overeenkomstig artikel 7, lid 6, van Verordening (EU) 2019/881 door Enisa opgestelde technische situatieverslagen inzake de EU-cyberbeveiliging Enisa.

3.   In samenwerking met de Commissie, de samenwerkingsgroep en het CSIRT-netwerk ontwikkelt Enisa de methodologie, met inbegrip van de relevante variabelen, zoals kwantitatieve en kwalitatieve indicatoren, van de in lid 1, punt e), bedoelde geaggregeerde beoordeling.

Artikel 19

Collegiale toetsingen

1.   Uiterlijk op 17 januari 2025 stelt de samenwerkingsgroep – met bijstand van de Commissie, Enisa en, voor zover relevant, het CSIRT-netwerk — de methodologie en de organisatorische aspecten van collegiale toetsingen vast teneinde lessen te trekken uit gedeelde ervaringen, het wederzijdse vertrouwen te versterken, een hoog gemeenschappelijk cyberbeveiligingsniveau te bewerkstelligen, en de cyberbeveiligingscapaciteiten en het cyberbeveiligingsbeleid van de lidstaten die voor de tenuitvoerlegging van deze richtlijn nodig zijn, te versterken. Deelname aan collegiale toetsingen is vrijwillig. De collegiale toetsingen worden uitgevoerd door cyberbeveiligingsdeskundigen. De cyberbeveiligingsdeskundigen worden aangewezen door ten minste twee andere lidstaten dan de lidstaat die wordt geëvalueerd.

De collegiale toetsingen hebben betrekking op ten minste een van de volgende zaken:

| a) | de mate van uitvoering van de in de artikelen 21 en 23 bedoelde risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging; |
| --- | --- |

a)

de mate van uitvoering van de in de artikelen 21 en 23 bedoelde risicobeheersmaatregelen en rapportageverplichtingen op het gebied van cyberbeveiliging;

| b) | het niveau van de capaciteiten, met inbegrip van de beschikbare financiële, technische en personele middelen, en de doeltreffendheid van de uitoefening van de taken van de bevoegde autoriteiten; |
| --- | --- |

b)

het niveau van de capaciteiten, met inbegrip van de beschikbare financiële, technische en personele middelen, en de doeltreffendheid van de uitoefening van de taken van de bevoegde autoriteiten;

| c) | de operationele capaciteit van de CSIRT’s; |
| --- | --- |

c)

de operationele capaciteit van de CSIRT’s;

| d) | de mate van uitvoering van de in artikel 37 bedoelde wederzijdse bijstand; |
| --- | --- |

d)

de mate van uitvoering van de in artikel 37 bedoelde wederzijdse bijstand;

| e) | de mate van uitvoering van het in artikel 29 bedoelde kader voor de uitwisseling van informatie over cyberbeveiliging; |
| --- | --- |

e)

de mate van uitvoering van het in artikel 29 bedoelde kader voor de uitwisseling van informatie over cyberbeveiliging;

| f) | specifieke kwesties van grens- of sectoroverschrijdende aard. |
| --- | --- |

f)

specifieke kwesties van grens- of sectoroverschrijdende aard.

2.   De in lid 1 bedoelde methodologie omvat objectieve, niet-discriminerende, eerlijke en transparante criteria op basis waarvan de lidstaten cyberbeveiligingsdeskundigen aanwijzen die in aanmerking komen om de collegiale toetsingen uit te voeren. De Commissie en Enisa nemen als waarnemers deel aan de collegiale toetsingen.

3.   De lidstaten kunnen specifieke kwesties als bedoeld in lid 1, punt f), ter collegiale toetsing voorleggen.

4.   Vóór de aanvang van een collegiale toetsing als bedoeld in lid 1, stellen de lidstaten de deelnemende lidstaten in kennis van de reikwijdte ervan, met inbegrip van de krachtens lid 3 voorgelegde specifieke kwesties.

5.   Vóór de aanvang van de collegiale toetsing kunnen de lidstaten een zelfbeoordeling van de geëvalueerde aspecten verrichten en die zelfbeoordeling aan de aangewezen cyberbeveiligingsdeskundigen verstrekken. De samenwerkingsgroep stelt, bijgestaan door de Commissie en Enisa, de methodologie voor de zelfbeoordeling van de lidstaten vast.

6.   De collegiale toetsingen omvatten fysieke of virtuele bezoeken ter plaatse en informatie-uitwisselingen elders. In overeenstemming met het beginsel van goede samenwerking verstrekt de aan een collegiale toetsing onderworpen lidstaat de aangewezen cyberbeveiligingsdeskundigen de informatie die nodig is voor de beoordeling, onverminderd het Unie- of nationale recht inzake de bescherming van vertrouwelijke of gerubriceerde informatie en de bescherming van essentiële staatsfuncties, zoals de nationale veiligheid. De samenwerkingsgroep ontwikkelt in samenwerking met de Commissie en Enisa passende gedragscodes ter ondersteuning van de werkmethoden van de aangewezen cyberbeveiligingsdeskundigen. Alle informatie die via de collegiale toetsing wordt verkregen, wordt uitsluitend voor dat doel gebruikt. De cyberbeveiligingsdeskundigen die aan de collegiale toetsing deelnemen, maken geen gevoelige of vertrouwelijke informatie die zij uit hoofde van die collegiale toetsing hebben verkregen, bekend aan derden.

7.   Nadat een lidstaat aan een collegiale toetsing is onderworpen, worden dezelfde in die lidstaat geëvalueerde aspecten niet meer aan een collegiale toetsing onderworpen gedurende de twee jaar die volgen op de afsluiting van de collegiale toetsing, tenzij de lidstaat daarom verzoekt of tenzij dat wordt overeengekomen na een voorstel van de samenwerkingsgroep.

8.   De lidstaten zorgen ervoor dat elk risico van belangenconflicten met betrekking tot de aangewezen cyberbeveiligingsdeskundigen aan de andere lidstaten, de samenwerkingsgroep, de Commissie en Enisa wordt gemeld voordat met de collegiale toetsing wordt begonnen. De aan een collegiale toetsing onderworpen lidstaat kan bezwaar maken tegen de aanwijzing van bepaalde cyberbeveiligingsdeskundigen om naar behoren gemotiveerde redenen die worden meegedeeld aan de lidstaat die de deskundigen aanwijst.

9.   Cyberbeveiligingsdeskundigen die deelnemen aan collegiale toetsingen stellen verslagen op over de bevindingen en conclusies van de collegiale toetsingen. De aan een collegiale toetsing onderworpen lidstaten kunnen opmerkingen maken over de hen betreffende ontwerpverslagen en die opmerkingen worden bij de verslagen gevoegd. De verslagen bevatten aanbevelingen om verbetering mogelijk te maken van de aspecten die onderdeel zijn van de collegiale toetsing. De verslagen worden voorgelegd aan de samenwerkingsgroep en het CSIRT-netwerk wanneer dat relevant is. Een aan een collegiale toetsing onderworpen lidstaat kan besluiten zijn verslag of een bewerkte versie daarvan openbaar te maken.

HOOFDSTUK IV

RISICOBEHEERSMAATREGELEN EN RAPPORTAGEVERPLICHTINGEN OP HET GEBIED VAN CYBERBEVEILIGING

Artikel 20

Governance

1.   De lidstaten zorgen ervoor dat de bestuursorganen van essentiële en belangrijke entiteiten de door deze entiteiten genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren om te voldoen aan artikel 21, toezien op de uitvoering ervan en aansprakelijk kunnen worden gesteld voor inbreukendoor de entiteiten op dat artikel.

De toepassing van dit lid doet geen afbreuk aan het nationale recht met betrekking tot de aansprakelijkheidsregels die gelden voor overheidsinstanties en voor de aansprakelijkheid van ambtenaren en verkozen of benoemde overheidsfunctionarissen.

2.   De lidstaten zorgen ervoor dat de leden van de bestuursorganen van essentiële en belangrijke entiteiten een opleiding moeten volgen, en moedigen essentiële en belangrijke entiteiten aan om regelmatig een soortgelijke opleiding aan hun werknemers aan te bieden, zodat zij voldoende kennis en vaardigheden verwerven om risico’s te kunnen identificeren en risicobeheerspraktijken op het gebied van cyberbeveiliging en de gevolgen ervan voor de diensten die door de entiteit worden verleend, te kunnen beoordelen.

Artikel 21

Maatregelen voor het beheer van cyberbeveiligingsrisico’s

1.   De lidstaten zorgen ervoor dat essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen die deze entiteiten voor hun werkzaamheden of voor het verlenen van hun diensten gebruiken, te beheren en om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van hun diensten en voor andere diensten te beperken.

Rekening houdend met de stand van de techniek en, indien van toepassing, de desbetreffende Europese en internationale normen, alsook met de uitvoeringskosten, zorgen de in de eerste alinea bedoelde maatregelen voor een beveiligingsniveau van de netwerk- en informatiesystemen dat is afgestemd op de risico’s die zich voordoen. Bij de beoordeling van de evenredigheid van die maatregelen wordt naar behoren rekening gehouden met de mate waarin de entiteit aan risico’s is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen.

2.   De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende:

| a) | beleid inzake risicoanalyse en beveiliging van informatiesystemen; |
| --- | --- |

a)

beleid inzake risicoanalyse en beveiliging van informatiesystemen;

| b) | incidentenbehandeling; |
| --- | --- |

b)

incidentenbehandeling;

| c) | bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer; |
| --- | --- |

c)

bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer;

| d) | de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners; |
| --- | --- |

d)

de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners;

| e) | beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; |
| --- | --- |

e)

beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden;

| f) | beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen; |
| --- | --- |

f)

beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen;

| g) | basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; |
| --- | --- |

g)

basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging;

| h) | beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; |
| --- | --- |

h)

beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie;

| i) | beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa; |
| --- | --- |

i)

beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa;

| j) | wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit. |
| --- | --- |

j)

wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

3.   De lidstaten zorgen ervoor dat de entiteiten, wanneer zij overwegen welke maatregelen als bedoeld in lid 2, punt d), van dit artikel passend zijn, rekening houden met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener en met de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures. De lidstaten zorgen er ook voor dat de entiteiten, wanneer zij overwegen welke maatregelen als bedoeld in lid 2, punt d), passend zijn, rekening moeten houden met de resultaten van de overeenkomstig artikel 22, lid 1, uitgevoerde gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens.

4.   De lidstaten zien erop toe dat een entiteit die vaststelt dat zij niet voldoet aan de in lid 2 bedoelde maatregelen, onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen neemt.

5.   Uiterlijk op 17 oktober 2024 stelt de Commissie uitvoeringshandelingen vast met de technische en methodologische vereisten van de in lid 2 bedoelde maatregelen met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten en aanbieders van vertrouwensdiensten.

De Commissie kan uitvoeringshandelingen vaststellen met de technische en methodologische vereisten en, zo nodig, de sectorale vereisten voor de in lid 2 bedoelde maatregelen met betrekking tot andere dan de in de eerste alinea van dit lid bedoelde essentiële en belangrijke entiteiten.

Bij de voorbereiding van de in de eerste en de tweede alinea van dit lid bedoelde uitvoeringshandelingen volgt de Commissie zoveel mogelijk de Europese en internationale normen en de relevante technische specificaties. De Commissie wisselt advies uit en werkt samen met de samenwerkingsgroep en Enisa rond de ontwerpuitvoeringshandelingen overeenkomstig artikel 14, lid 4, punt e).

Die uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 39, lid 2, bedoelde onderzoeksprocedure.

Artikel 22

Op Unieniveau gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens

1.   De samenwerkingsgroep kan, in samenwerking met de Commissie en Enisa, gecoördineerde beveiligingsrisicobeoordelingen van specifieke kritieke ICT-diensten, ICT-systemen of ICT-producttoeleveringsketens uitvoeren, waarbij rekening wordt gehouden met technische en, indien van toepassing, niet-technische risicofactoren.

2.   Na raadpleging van de samenwerkingsgroep en Enisa en, indien nodig, van relevante belanghebbenden stelt de Commissie vast welke specifieke kritieke ICT-diensten, ICT-systemen of ICT-producten aan de in lid 1 bedoelde gecoördineerde beveiligingsrisicobeoordeling kunnen worden onderworpen.

Artikel 23

Rapportageverplichtingen

1.   Elke lidstaat zorgt ervoor dat essentiële en belangrijke entiteiten elk incident dat aanzienlijke gevolgen heeft voor de verlening van hun diensten als bedoeld in lid 3 (significant incident) onverwijld meldt bij zijn CSIRT of, indien van toepassing, zijn bevoegde autoriteit overeenkomstig lid 4. In voorkomend geval stellen de betrokken entiteiten de ontvangers van hun diensten onverwijld in kennis van significante incidenten die een nadelige invloed kunnen hebben op de verlening van die diensten. Elke lidstaat zorgt ervoor dat die entiteiten onder meer alle informatie rapporteren die het CSIRT of, indien van toepassing, de bevoegde autoriteit in staat stelt om eventuele grensoverschrijdende gevolgen van het incident te bepalen. Melding leidt niet tot blootstelling van de entiteit aan een verhoogde aansprakelijkheid.

Wanneer de betrokken entiteiten een significant incident overeenkomstig de eerste alinea melden bij de bevoegde autoriteit, zorgt de lidstaat ervoor dat die bevoegde autoriteit de melding na ontvangst doorstuurt naar het CSIRT.

In het geval van een grensoverschrijdend of sectoroverschrijdend significant incident zorgen de lidstaten ervoor dat relevante informatie die overeenkomstig lid 4 is gemeld, tijdig aan hun centrale contactpunten wordt verstrekt.

2.   Indien van toepassing zorgen de lidstaten ervoor dat essentiële en belangrijke entiteiten de ontvangers van hun diensten die mogelijkerwijs door een significante cyberdreiging worden getroffen, onverwijld meedelen welke maatregelen die ontvangers kunnen nemen in reactie op die dreiging. Indien nodig stellen de entiteiten die ontvangers ook in kennis van de significante cyberdreiging zelf.

3.   Een incident wordt als significant beschouwd als het:

| a) | een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken; |
| --- | --- |

a)

een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken;

| b) | andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken. |
| --- | --- |

b)

andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

4.   De lidstaten zorgen ervoor dat de betrokken entiteiten, voor de in lid 1 bedoelde melding, bij het CSIRT of, indien van toepassing, de bevoegde autoriteit:

| a) | onverwijld en in elk geval binnen 24 uur nadat zij kennis hebben gekregen van het significante incident, een vroegtijdige waarschuwing geven, waarin, indien van toepassing, wordt aangegeven of het significante incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen zou kunnen hebben; |
| --- | --- |

a)

onverwijld en in elk geval binnen 24 uur nadat zij kennis hebben gekregen van het significante incident, een vroegtijdige waarschuwing geven, waarin, indien van toepassing, wordt aangegeven of het significante incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen zou kunnen hebben;

| b) | onverwijld en in elk geval binnen 72 uur nadat zij kennis hebben gekregen van het significante incident, een incidentmelding indienen met, indien van toepassing, een update van de in punt a) bedoelde informatie, een initiële beoordeling van het significante incident, met inbegrip van de ernst en de gevolgen ervan en, indien beschikbaar, de indicatoren voor aantasting; |
| --- | --- |

b)

onverwijld en in elk geval binnen 72 uur nadat zij kennis hebben gekregen van het significante incident, een incidentmelding indienen met, indien van toepassing, een update van de in punt a) bedoelde informatie, een initiële beoordeling van het significante incident, met inbegrip van de ernst en de gevolgen ervan en, indien beschikbaar, de indicatoren voor aantasting;

| c) | op verzoek van het CSIRT of, indien van toepassing, de bevoegde autoriteit, een tussentijds verslag indienen over relevante updates van de situatie; |
| --- | --- |

c)

op verzoek van het CSIRT of, indien van toepassing, de bevoegde autoriteit, een tussentijds verslag indienen over relevante updates van de situatie;

| d) | uiterlijk één maand na de indiening van het in punt b) bedoelde incidentmelding, een eindverslag indienen waarin het volgende is opgenomen:






  i) | een gedetailleerde beschrijving van het incident, met inbegrip van de ernst en de gevolgen ervan; |
| --- | --- | --- |

d)

uiterlijk één maand na de indiening van het in punt b) bedoelde incidentmelding, een eindverslag indienen waarin het volgende is opgenomen:

i)

een gedetailleerde beschrijving van het incident, met inbegrip van de ernst en de gevolgen ervan;

| ii) | het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid; |
| --- | --- |

ii)

het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;

| iii) | toegepaste en lopende risicobeperkende maatregelen; |
| --- | --- |

iii)

toegepaste en lopende risicobeperkende maatregelen;

| iv) | in voorkomend geval, de grensoverschrijdende gevolgen van het incident; |
| --- | --- |

iv)

in voorkomend geval, de grensoverschrijdende gevolgen van het incident;

| e) | indien het incident nog aan de gang is op het moment dat het in punt d) bedoelde eindverslag wordt ingediend, zorgen de lidstaten ervoor dat de betrokken entiteiten op dat moment een voortgangsverslag indienen en binnen één maand nadat zij het incident hebben afgehandeld, een eindverslag indienen. |
| --- | --- |

e)

indien het incident nog aan de gang is op het moment dat het in punt d) bedoelde eindverslag wordt ingediend, zorgen de lidstaten ervoor dat de betrokken entiteiten op dat moment een voortgangsverslag indienen en binnen één maand nadat zij het incident hebben afgehandeld, een eindverslag indienen.

In afwijking van de eerste alinea, punt b), meldt een verlener van vertrouwensdiensten significante incidenten die gevolgen hebben voor de verlening van zijn vertrouwensdiensten onverwijld, en in elk geval binnen 24 uur nadat hij kennis heeft gekregen van het significante incident, bij het CSIRT of, indien van toepassing, de bevoegde autoriteit.

5.   Het CSIRT of de bevoegde autoriteit verstrekt onverwijld en zo mogelijk binnen 24 uur na ontvangst van de in lid 4, punt a) bedoelde vroegtijdige waarschuwing een antwoord aan de meldende entiteit, met inbegrip van een eerste feedback over het significante incident en, op verzoek van de entiteit, richtsnoeren of operationeel advies voor de uitvoering van mogelijke risicobeperkende maatregelen. Wanneer het CSIRT de in de lid 1 bedoelde melding niet als eerste heeft ontvangen, worden de richtsnoeren door de bevoegde autoriteit in samenwerking met het CSIRT verstrekt. Het CSIRT verleent aanvullende technische ondersteuning indien de betrokken entiteit daarom verzoekt. Wanneer wordt vermoed dat het significante incident van criminele aard is, geeft het CSIRT of de bevoegde autoriteit ook richtsnoeren voor het melden van het significante incident aan de rechtshandhavingsinstanties.

6.   In voorkomend geval, en met name wanneer het significante incident betrekking heeft op twee of meer lidstaten, stelt het CSIRT, de bevoegde autoriteit of het centrale contactpunt de andere getroffen lidstaten en Enisa onverwijld in kennis van het significante incident. Die informatie omvat het soort informatie dat overeenkomstig lid 4 is ontvangen. Daarbij beschermen het CSIRT, de bevoegde autoriteit of het centrale contactpunt, overeenkomstig het Unie of het nationale recht, de beveiligings- en commerciële belangen van de entiteit, alsmede de vertrouwelijkheid van de verstrekte informatie.

7.   Wanneer publieke bewustmaking nodig is om een significant incident te voorkomen of een lopend incident aan te pakken, of wanneer de bekendmaking van het significante incident anderszins in het algemeen belang is, kunnen het CSIRT van een lidstaat of, indien van toepassing, zijn bevoegde autoriteit , en in voorkomend geval de CSIRT’s of de bevoegde autoriteiten van andere betrokken lidstaten, na raadpleging van de betrokken entiteit, het publiek over het significante incident informeren of van de entiteit verlangen dat zij dit doet.

8.   Op verzoek van het CSIRT of de bevoegde autoriteit stuurt het centrale contactpunt de op grond van lid 1 ontvangen meldingen door naar de centrale contactpunten van de andere betrokken lidstaten.

9.   Het centrale contactpunt dient om de drie maanden bij Enisa een samenvattend verslag in met geanonimiseerde en geaggregeerde gegevens over significante incidenten, incidenten, cyberdreigingen en bijna-incidenten die overeenkomstig lid 1 van dit artikel en overeenkomstig artikel 30 zijn gemeld. Om bij te dragen tot het verstrekken van vergelijkbare informatie kan Enisa technische richtsnoeren vaststellen over de parameters van de informatie die in het samenvattend verslag moet worden opgenomen. Enisa stelt de samenwerkingsgroep en het CSIRT-netwerk om de zes maanden in kennis van zijn bevindingen over de ontvangen meldingen.

10.   De CSIRT’s of, indien van toepassing, de bevoegde autoriteiten verstrekken de uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten informatie over significante incidenten, en cyberdreigingen en bijna-incidenten die overeenkomstig lid 1 van dit artikel en overeenkomstig artikel 30 zijn gemeld door entiteiten die uit hoofde van Richtlijn (EU) 2022/2557 zijn aangemerkt als kritieke entiteiten.

11.   De Commissie kan uitvoeringshandelingen vaststellen waarin het soort informatie, het format en de procedure van een op grond van lid 1 van dit artikel en op grond van artikel 30 ingediende melding en van een op grond van lid 2 van dit artikel gedane mededeling nader worden gespecificeerd.

Uiterlijk op 17 oktober 2024 stelt de Commissie met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsook aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, uitvoeringshandelingen vast waarin nader wordt gespecificeerd in welke gevallen een incident als significant wordt beschouwd als bedoeld in lid 3. De Commissie kan dergelijke uitvoeringshandelingen vaststellen met betrekking tot andere essentiële en belangrijke entiteiten.

De Commissie wisselt advies uit en werkt samen met de samenwerkingsgroep rond de in de eerste en tweede alinea van dit artikel bedoelde ontwerpuitvoeringshandelingen overeenkomstig artikel 14, lid 4, punt e).

Die uitvoeringshandelingen worden vastgesteld overeenkomstig de in artikel 39, lid 2, bedoelde onderzoeksprocedure.

Artikel 24

Gebruik van Europese cyberbeveiligingscertificeringsregelingen

1.   Om aan te tonen dat aan bepaalde eisen van artikel 21 wordt voldaan, kunnen de lidstaten eisen dat essentiële en belangrijke entiteiten bepaalde ICT-producten, ICT -diensten en ICT -processen gebruiken die door de essentiële of belangrijke entiteit zijn ontwikkeld of zijn gekocht bij derden die zijn gecertificeerd in het kader van Europese cyberbeveiligingscertificeringsregelingen die op grond van artikel 49 van Verordening (EU) 2019/881 zijn vastgesteld. Voorts moedigen de lidstaten essentiële en belangrijke entiteiten aan om gebruik te maken van gekwalificeerde vertrouwensdiensten.

2.   De Commissie is bevoegd om overeenkomstig artikel 38 gedelegeerde handelingen vast te stellen om deze richtlijn aan te vullen door te bepalen welke categorieën van essentiële en belangrijke entiteiten verplicht zijn om bepaalde ICT-producten, ICT -diensten en ICT -processen te gebruiken of een certificaat te verkrijgen in het kader van een Europese cyberbeveiligingsregeling die op grond van artikel 49 van Verordening (EU) 2019/881 is vastgesteld. Die gedelegeerde handelingen worden vastgesteld indien is vastgesteld dat het niveau van cyberbeveiliging onvoldoende is en voorzien in een uitvoeringsperiode.

Alvorens dergelijke gedelegeerde handelingen vast te stellen, voert de Commissie een effectbeoordeling uit en pleegt zij overleg overeenkomstig artikel 56 van Verordening (EU) 2019/881.

3.   Indien er geen passende Europese cyberbeveiligingscertificeringsregeling voor de toepassing van lid 2 van dit artikel beschikbaar is, kan de Commissie, na raadpleging van de samenwerkingsgroep en de Europese Groep voor cyberbeveiligingscertificering, Enisa verzoeken een potentiële regeling op te stellen op grond van artikel 48, lid 2, van Verordening (EU) 2019/881.

Artikel 25

Normalisatie

1.   Om de convergente uitvoering van artikel 21, leden 1 en 2, te bevorderen, moedigen de lidstaten, zonder het gebruik van een bepaald type technologie op te leggen of te bevoordelen, het gebruik aan van Europese en internationale normen en technische specificaties die relevant zijn voor de beveiliging van netwerk- en informatiesystemen.

2.   Enisa stelt in samenwerking met de lidstaten en, in voorkomend geval, na overleg met de relevante belanghebbenden adviezen en richtsnoeren op over de technische gebieden die in verband met lid 1 in aanmerking moeten worden genomen, alsmede over de reeds bestaande normen, met inbegrip van nationale normen, die het mogelijk maken deze gebieden te bestrijken.

HOOFDSTUK V

JURISDICTIE EN REGISTRATIE

Artikel 26

Jurisdictie en territorialiteit

1.   Binnen het toepassingsgebied van deze richtlijn vallende entiteiten worden geacht onder de jurisdictie te vallen van de lidstaat waar zij zijn gevestigd, behalve in het geval van:

| a) | aanbieders van openbare elektronischecommunicatienetwerken of aanbieders van openbare elektronischecommunicatiediensten, die worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun diensten aanbieden; |
| --- | --- |

a)

aanbieders van openbare elektronischecommunicatienetwerken of aanbieders van openbare elektronischecommunicatiediensten, die worden geacht te vallen onder de jurisdictie van de lidstaat waar zij hun diensten aanbieden;

| b) | DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines of van platforms voor socialenetwerkdiensten, die worden geacht onder de jurisdictie te vallen van de lidstaat waar zij hun hoofdvestiging in de Unie overeenkomstig lid 2 hebben; |
| --- | --- |

b)

DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines of van platforms voor socialenetwerkdiensten, die worden geacht onder de jurisdictie te vallen van de lidstaat waar zij hun hoofdvestiging in de Unie overeenkomstig lid 2 hebben;

| c) | overheidsinstanties, die worden geacht te vallen onder de jurisdictie van de lidstaat die ze heeft opgericht. |
| --- | --- |

c)

overheidsinstanties, die worden geacht te vallen onder de jurisdictie van de lidstaat die ze heeft opgericht.

2.   Voor de toepassing van deze richtlijn wordt een in lid 1, punt b), bedoelde entiteit geacht haar hoofdvestiging in de Unie te hebben in de lidstaat waar de beslissingen met betrekking tot de maatregelen voor het beheer van cyberbeveiligingsrisico’s hoofdzakelijk worden genomen. Indien niet kan worden bepaald welke lidstaat dat is of indien dergelijke besluiten niet in de Unie worden genomen, wordt de hoofdvestiging geacht zich te bevinden in de lidstaat waar cyberbeveiligingsactiviteiten worden uitgevoerd. Indien niet kan worden bepaald welke lidstaat dat is, wordt de hoofdvestiging geacht zich te bevinden in de lidstaat waar de betrokken entiteit de vestiging met het grootste aantal werknemers in de Unie heeft.

3.   Indien een entiteit als bedoeld in lid 1, punt b), niet in de Unie is gevestigd, maar diensten in de Unie aanbiedt, wijst zij een vertegenwoordiger in de Unie aan. De vertegenwoordiger is gevestigd in een van de lidstaten waar de diensten worden aangeboden. Deze entiteit wordt geacht onder de jurisdictie te vallen van de lidstaat waar de vertegenwoordiger is gevestigd. Bij ontstentenis van een overeenkomstig dit lid aangewezen vertegenwoordiger in de Unie kan elke lidstaat waar de entiteit diensten verricht, juridische stappen ondernemen tegen de entiteit wegens inbreuk op deze richtlijn.

4.   De aanwijzing van een vertegenwoordiger door een entiteit als bedoeld in lid 1, punt b), doet geen afbreuk aan juridische stappen die tegen de entiteit zelf kunnen worden ingesteld.

5.   Lidstaten die een verzoek om wederzijdse bijstand hebben ontvangen met betrekking tot een entiteit als bedoeld in lid 1, punt b), kunnen, binnen de grenzen van dat verzoek, passende toezichts- en handhavingsmaatregelen nemen ten aanzien van de betrokken entiteit die op hun grondgebied diensten verleent of waarvan een netwerk- en informatiesysteem zich op hun grondgebied bevindt.

Artikel 27

Register van entiteiten

1.   Enisa creëert en onderhoudt een register van DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, alsmede aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, op basis van de informatie die is ontvangen van de centrale contactpunten in overeenstemming met lid 4. Op verzoek geeft Enisa bevoegde autoriteiten toegang tot dat register, waarbij zij er zo nodig voor zorgt dat de vertrouwelijkheid van de informatie wordt beschermd.

2.   De lidstaten vereisen van de in lid 1 bedoelde entiteiten dat zij de volgende informatie uiterlijk op 17 januari 2025 bij de bevoegde autoriteiten indienen:

| a) | de naam van de entiteit; |
| --- | --- |

a)

de naam van de entiteit;

| b) | de relevante sector, subsector en soort entiteit bedoeld in bijlage I of II, waar van toepassing; |
| --- | --- |

b)

de relevante sector, subsector en soort entiteit bedoeld in bijlage I of II, waar van toepassing;

| c) | het adres van de hoofdvestiging van de entiteit en haar andere wettelijke vestigingen in de Unie of, indien deze niet in de Unie zijn gevestigd, van haar op grond van artikel 26, lid 3, aangewezen vertegenwoordiger; |
| --- | --- |

c)

het adres van de hoofdvestiging van de entiteit en haar andere wettelijke vestigingen in de Unie of, indien deze niet in de Unie zijn gevestigd, van haar op grond van artikel 26, lid 3, aangewezen vertegenwoordiger;

| d) | actuele contactgegevens, met inbegrip van e-mailadressen en telefoonnummers van de entiteit en, indien van toepassing, haar op grond van artikel 26, lid 3, aangewezen vertegenwoordiger; |
| --- | --- |

d)

actuele contactgegevens, met inbegrip van e-mailadressen en telefoonnummers van de entiteit en, indien van toepassing, haar op grond van artikel 26, lid 3, aangewezen vertegenwoordiger;

| e) | de lidstaten waar de entiteit diensten verleent, en |
| --- | --- |

e)

de lidstaten waar de entiteit diensten verleent, en

| f) | de IP-bereiken van de entiteit. |
| --- | --- |

f)

de IP-bereiken van de entiteit.

3.   De lidstaten zorgen ervoor dat de in lid 1 bedoelde entiteiten de bevoegde autoriteit onverwijld en in elk geval binnen drie maanden na de datum waarop de wijziging van kracht is geworden, in kennis stellen van eventuele wijzigingen in de gegevens die zij op grond van lid 2 hebben ingediend.

4.   Na ontvangst van de in de leden 2 en 3 bedoelde informatie, met uitzondering van de in lid 2, punt f), bedoelde informatie, zendt het centrale contactpunt van de betrokken lidstaat deze zonder onnodige vertraging door naar Enisa.

5.   Indien van toepassing wordt de in de leden 2 en 3 van dit artikel bedoelde informatie ingediend via het in artikel 3, lid 4, vierde alinea, bedoelde nationale mechanisme.

Artikel 28

Database met domeinnaamregistratiegegevens

1.   Om bij te dragen aan de beveiliging, stabiliteit en weerbaarheid van het DNS schrijven de lidstaten voor dat de registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen, met de nodige zorgvuldigheid nauwkeurige en volledige domeinnaamregistratiegegevens verzamelen en bijhouden in een speciale database overeenkomstig de het Unierecht inzake gegevensbescherming voor wat betreft gegevens die persoonsgegevens zijn.

2.   Voor de toepassing van lid 1 schrijven de lidstaten voor dat de database met domeinnaamregistratiegegevens over de registratie van domeinnamen de noodzakelijke informatie bevat om de houders van de domeinnamen en de contactpunten die de domeinnamen onder de topleveldomeinnamen beheren, te identificeren en te contacteren. Die informatie omvat:

| a) | de domeinnaam; |
| --- | --- |

a)

de domeinnaam;

| b) | de registratiedatum van registratie; |
| --- | --- |

b)

de registratiedatum van registratie;

| c) | de naam, het e-mailadres en het telefoonnummer van de registrant; |
| --- | --- |

c)

de naam, het e-mailadres en het telefoonnummer van de registrant;

| d) | het e-mailadres en het telefoonnummer van het contactpunt dat de domeinnaam beheert, indien deze verschillen van die van de registrant. |
| --- | --- |

d)

het e-mailadres en het telefoonnummer van het contactpunt dat de domeinnaam beheert, indien deze verschillen van die van de registrant.

3.   De lidstaten schrijven voor dat de registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen, over beleidslijnen en procedures, waaronder verificatieprocedures, beschikken om ervoor te zorgen dat de in lid 1 bedoelde databases juiste en volledige informatie bevatten. De lidstaten schrijven voor dat deze beleidslijnen en procedures openbaar worden gemaakt.

4.   De lidstaten schrijven voor dat de registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen, onverwijld na de registratie van een domeinnaam, de domeinnaamregistratiegegevens die geen persoonsgegevens zijn, openbaar maken.

5.   De lidstaten schrijven voor dat de registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen, op rechtmatige en naar behoren gemotiveerde verzoeken van legitieme toegangvragende partijen toegang verlenen tot specifieke met gegevens over de registratie van domeinnamen, overeenkomstig het Uniegegevensbeschermingsrecht van de Unie. De lidstaten schrijven voor dat registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, verzoeken om toegang onverwijld en in elk geval binnen 72 uur na ontvangst van het verzoek beantwoorden. De lidstaten schrijven voor dat het beleid en de procedures met betrekking tot de bekendmaking van dergelijke gegevens openbaar worden gemaakt.

6.   De naleving van de in de leden 1 tot en met 5 vastgestelde verplichtingen mag er niet toe leiden dat domeinnaamregistratiegegevens tweemaal moeten worden verzameld. Daartoe schrijven de lidstaten voor dat registers voor topleveldomeinnamen en entiteiten die domeinnaamregistratiediensten verlenen, met elkaar samenwerken.

HOOFDSTUK VI

INFORMATIE-UITWISSELING

Artikel 29

Informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging

1.   De lidstaten zorgen ervoor dat binnen het toepassingsgebied van deze richtlijn vallende entiteiten en, indien van toepassing, andere entiteiten die niet binnen het toepassingsgebied van deze richtlijn vallen, op vrijwillige basis onderling relevante informatie over cyberbeveiliging kunnen uitwisselen, met inbegrip van informatie over cyberdreigingen, bijna-incidenten, kwetsbaarheden, technieken en procedures, indicatoren voor aantasting, vijandige tactieken, dreigingsactorspecifieke informatie, cyberbeveiligingswaarschuwingen en aanbevelingen betreffende de configuratie van cyberbeveiligingsinstrumenten om cyberaanvallen te detecteren, wanneer dat uitwisselen van informatie:

| a) | beoogt incidenten te voorkomen, te detecteren, erop te reageren of ervan te herstellen of de gevolgen ervan te beperken; |
| --- | --- |

a)

beoogt incidenten te voorkomen, te detecteren, erop te reageren of ervan te herstellen of de gevolgen ervan te beperken;

| b) | het niveau van de cyberbeveiliging verhoogt, met name door de bewustwording met betrekking tot cyberdreigingen te vergroten, het vermogen van dergelijke dreigingen om zich te verspreiden te beperken of te belemmeren, een reeks verdedigingscapaciteiten, het herstel en openbaarmaking van kwetsbaarheden, het opsporen van dreigingen, beheersings- en preventietechnieken, beperkingsstrategieën of respons- en herstelfasen te ondersteunen of gezamenlijk onderzoek naar cyberdreigingen door publieke en particuliere entiteiten te bevorderen. |
| --- | --- |

b)

het niveau van de cyberbeveiliging verhoogt, met name door de bewustwording met betrekking tot cyberdreigingen te vergroten, het vermogen van dergelijke dreigingen om zich te verspreiden te beperken of te belemmeren, een reeks verdedigingscapaciteiten, het herstel en openbaarmaking van kwetsbaarheden, het opsporen van dreigingen, beheersings- en preventietechnieken, beperkingsstrategieën of respons- en herstelfasen te ondersteunen of gezamenlijk onderzoek naar cyberdreigingen door publieke en particuliere entiteiten te bevorderen.

2.   De lidstaten zorgen ervoor dat de informatie-uitwisseling plaatsvindt binnen gemeenschappen van essentiële en belangrijke entiteiten en, indien van toepassing, hun leveranciers of dienstverleners. Die uitwisseling wordt uitgevoerd door middel van informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging met betrekking tot de potentieel gevoelige aard van de uitgewisselde informatie.

3.   De lidstaten faciliteren de vaststelling van de in lid 2 van dit artikel bedoelde informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging. In dergelijke regelingen kunnen de operationele elementen, met inbegrip van het gebruik van specifieke ICT-platforms en automatiseringshulpmiddelen, de inhoud en de voorwaarden van de informatie-uitwisselingsregelingen worden gespecificeerd. Bij het vaststellen van de details van de betrokkenheid van de overheid bij dergelijke regelingen kunnen de lidstaten voorwaarden opleggen aan de informatie die door de bevoegde autoriteiten of de CSIRT’s ter beschikking wordt gesteld. De lidstaten bieden bijstand aan voor de toepassing van dergelijke regelingen overeenkomstig hun in artikel 7, lid 2, punt h), bedoelde beleid.

4.   De lidstaten zorgen ervoor dat essentiële en belangrijke entiteiten de bevoegde autoriteiten in kennis stellen van hun deelname aan de in lid 2 bedoelde informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging wanneer zij dergelijke regelingen aangaan, of, indien van toepassing, van hun terugtrekking uit dergelijke regelingen, zodra de terugtrekking van kracht wordt.

5.   Enisa ondersteunt de invoering van de in lid 2 bedoelde informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging door beste praktijken uit te wisselen en richtsnoeren te verstekken.

Artikel 30

Vrijwillige melding van relevante informatie

1.   De lidstaten zorgen ervoor dat, naast de in artikel 23 geregelde meldingsplicht, op vrijwillige basis meldingen bij de CSIRT’s of, indien van toepassing, de bevoegde autoriteiten kunnen worden ingediend door:

| a) | essentiële en belangrijke entiteiten betreffende cyberdreigingen en bijna-incidenten; |
| --- | --- |

a)

essentiële en belangrijke entiteiten betreffende cyberdreigingen en bijna-incidenten;

| b) | andere dan in punt a) bedoelde entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, wat significante incidenten, cyberdreigingen en bijna-incidenten betreft. |
| --- | --- |

b)

andere dan in punt a) bedoelde entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, wat significante incidenten, cyberdreigingen en bijna-incidenten betreft.

2.   De lidstaten verwerken de in lid 1 van dit artikel bedoelde meldingen volgens de in artikel 23 vastgestelde procedure. De lidstaten kunnen voorrang geven aan de verwerking van verplichte meldingen boven vrijwillige meldingen.

Indien nodig verstrekken de CSIRT’s en, waar dit van toepassing is, de bevoegde autoriteiten, de centrale contactpunten de informatie over de meldingen die op grond van dit artikel zijn ontvangen, met inachtneming van de vertrouwelijkheid en passende bescherming van de door de meldende entiteit verstrekte informatie. Onverminderd de voorkoming van, het onderzoek naar en de opsporing en de vervolging van strafbare feiten, mag vrijwillige melding er niet toe leiden dat de meldende entiteit bijkomende verplichtingen worden opgelegd waaraan zij niet onderworpen zou zijn geweest indien zij de melding niet had ingediend.

HOOFDSTUK VII

TOEZICHT EN HANDHAVING

Artikel 31

Algemene aspecten van het toezicht en de handhaving

1.   De lidstaten zorgen ervoor dat hun bevoegde autoriteiten effectief toezicht houden op en de noodzakelijke maatregelen nemen om te zorgen voor de naleving van deze richtlijn.

2.   De lidstaten kunnen hun bevoegde autoriteiten toestaan prioriteit te geven aan toezichtstaken. Deze prioritering is gebaseerd op een risicogebaseerde benadering. Daartoe kunnen de bevoegde autoriteiten bij de uitvoering van hun in de artikelen 32 en 33 bedoelde toezichthoudende taken toezichtmethoden vaststellen aan de hand waarvan dergelijke taken volgens een risicogebaseerde benadering kunnen worden geprioriteerd.

3.   Bij de aanpak van incidenten die leiden tot inbreuken in verband met persoonsgegevens, werken de bevoegde autoriteiten nauw samen met de toezichthoudende autoriteiten uit hoofde van Verordening (EU) 2016/679, onverminderd de bevoegdheid en taken van de toezichthoudende autoriteiten krachtens die verordening.

4.   Onverminderd de nationale wettelijke en institutionele kaders zorgen de lidstaten ervoor dat de bevoegde autoriteiten bij het toezicht op de naleving door overheidsinstanties van deze richtlijn en bij het opleggen van handhavingsmaatregelen inzake inbreuken op deze richtlijn over passende bevoegdheden beschikken om bij de uitvoering van deze taken operationeel onafhankelijk te zijn van de overheidsinstanties waarop zij toezicht houden. De lidstaten kunnen besluiten passende, evenredige en doeltreffende toezichts- en handhavingsmaatregelen ten aanzien van die instanties te nemen in overeenstemming met de nationale wetgevings- en institutionele kaders.

Artikel 32

Toezichts- en handhavingsmaatregelen met betrekking tot essentiële entiteiten

1.   De lidstaten zorgen ervoor dat de toezichts- of handhavingsmaatregelen die met betrekking tot de in deze richtlijn vastgestelde verplichtingen aan essentiële entiteiten worden opgelegd, doeltreffend, evenredig en afschrikkend zijn, rekening houdend met de omstandigheden van elk afzonderlijk geval.

2.   De lidstaten zorgen ervoor dat de bevoegde autoriteiten bij de uitoefening van hun toezichthoudende taken met betrekking tot essentiële entiteiten de bevoegdheid hebben om deze entiteiten te onderwerpen aan ten minste:

| a) | inspecties ter plaatse en toezicht elders, met inbegrip van steekproefsgewijze controles die worden uitgevoerd door daartoe opgeleide professionals; |
| --- | --- |

a)

inspecties ter plaatse en toezicht elders, met inbegrip van steekproefsgewijze controles die worden uitgevoerd door daartoe opgeleide professionals;

| b) | regelmatige en gerichte beveiligingsaudits die worden uitgevoerd door een onafhankelijke instantie of een bevoegde autoriteit; |
| --- | --- |

b)

regelmatige en gerichte beveiligingsaudits die worden uitgevoerd door een onafhankelijke instantie of een bevoegde autoriteit;

| c) | ad-hocaudits, ook in gevallen waarin dat gerechtvaardigd is op grond van een significant incident of inbreuk op deze richtlijn door de essentiële entiteit; |
| --- | --- |

c)

ad-hocaudits, ook in gevallen waarin dat gerechtvaardigd is op grond van een significant incident of inbreuk op deze richtlijn door de essentiële entiteit;

| d) | beveiligingsscans op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria, indien nodig in samenwerking met de betrokken entiteit; |
| --- | --- |

d)

beveiligingsscans op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria, indien nodig in samenwerking met de betrokken entiteit;

| e) | verzoeken om informatie die nodig is om de door de betrokken entiteit genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen, met inbegrip van gedocumenteerd cyberbeveiligingsbeleid, alsmede de naleving van de verplichting op grond van artikel 27 om bij de bevoegde autoriteiten informatie in te dienen; |
| --- | --- |

e)

verzoeken om informatie die nodig is om de door de betrokken entiteit genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen, met inbegrip van gedocumenteerd cyberbeveiligingsbeleid, alsmede de naleving van de verplichting op grond van artikel 27 om bij de bevoegde autoriteiten informatie in te dienen;

| f) | verzoeken om toegang tot gegevens, documenten en informatie die nodig zijn voor de uitoefening van hun toezichthoudende taken; |
| --- | --- |

f)

verzoeken om toegang tot gegevens, documenten en informatie die nodig zijn voor de uitoefening van hun toezichthoudende taken;

| g) | verzoeken om bewijs van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van beveiligingsaudits die door een gekwalificeerde auditor zijn uitgevoerd en de respectieve onderliggende bewijzen. |
| --- | --- |

g)

verzoeken om bewijs van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van beveiligingsaudits die door een gekwalificeerde auditor zijn uitgevoerd en de respectieve onderliggende bewijzen.

De in de eerste alinea, punt b), bedoelde gerichte beveiligingsaudits zijn gebaseerd op door de bevoegde autoriteit of de gecontroleerde entiteit verrichte risicobeoordelingen of op andere beschikbare risicogerelateerde informatie.

De resultaten van een gerichte beveiligingsaudit worden ter beschikking gesteld van de bevoegde autoriteit. De kosten van een dergelijke gerichte door een onafhankelijke instantie uitgevoerde beveiligingsaudit worden betaald door de gecontroleerde entiteit, behalve in naar behoren gemotiveerde gevallen waarin de bevoegde autoriteit anders besluit.

3.   Bij de uitoefening van hun bevoegdheden uit hoofde van lid 2, punt e), f) of g), vermelden de bevoegde autoriteiten het doel van het verzoek en specificeren zij de gevraagde informatie.

4.   De lidstaten zorgen ervoor dat hun bevoegde autoriteiten bij de uitoefening van hun handhavingsbevoegdheden ten aanzien van essentiële entiteiten, de bevoegdheid hebben om ten minste:

| a) | waarschuwingen te geven over inbreuken door de betrokken entiteiten op deze richtlijn; |
| --- | --- |

a)

waarschuwingen te geven over inbreuken door de betrokken entiteiten op deze richtlijn;

| b) | bindende aanwijzingen vast te stellen, met inbegrip van aanwijzingen inzake de noodzakelijke maatregelen om een incident te voorkomen of te verhelpen alsook uiterste termijnen voor de uitvoering van dergelijke maatregelen en voor verslaggeving over de uitvoering ervan, of een bevel uit te vaardigen waarin de betrokken entiteiten worden verplicht de vastgestelde tekortkomingen of de inbreuken op deze richtlijn te verhelpen; |
| --- | --- |

b)

bindende aanwijzingen vast te stellen, met inbegrip van aanwijzingen inzake de noodzakelijke maatregelen om een incident te voorkomen of te verhelpen alsook uiterste termijnen voor de uitvoering van dergelijke maatregelen en voor verslaggeving over de uitvoering ervan, of een bevel uit te vaardigen waarin de betrokken entiteiten worden verplicht de vastgestelde tekortkomingen of de inbreuken op deze richtlijn te verhelpen;

| c) | de betrokken entiteiten te gelasten een einde te maken aan gedragingen die inbreuk maken op deze richtlijn en af te zien van herhaling van die gedragingen; |
| --- | --- |

c)

de betrokken entiteiten te gelasten een einde te maken aan gedragingen die inbreuk maken op deze richtlijn en af te zien van herhaling van die gedragingen;

| d) | de betrokken entiteiten te gelasten er op een gespecificeerde wijze en binnen een gespecificeerde termijn voor te zorgen dat hun maatregelen voor het beheer van cyberbeveiligingsrisico’s in overeenstemming zijn met artikel 21 of te voldoen aan de in artikel 23 vastgestelde rapportageverplichtingen; |
| --- | --- |

d)

de betrokken entiteiten te gelasten er op een gespecificeerde wijze en binnen een gespecificeerde termijn voor te zorgen dat hun maatregelen voor het beheer van cyberbeveiligingsrisico’s in overeenstemming zijn met artikel 21 of te voldoen aan de in artikel 23 vastgestelde rapportageverplichtingen;

| e) | de betrokken entiteiten te gelasten de natuurlijke of rechtspersonen aan wie zij diensten verlenen of voor wie zij activiteiten uitvoeren die mogelijkerwijs door een significante cyberdreiging worden beïnvloed, in kennis te stellen van de aard van de dreiging en alle mogelijke beschermings- of herstelmaatregelen die deze natuurlijke of rechtspersonen kunnen nemen als reactie op die dreiging; |
| --- | --- |

e)

de betrokken entiteiten te gelasten de natuurlijke of rechtspersonen aan wie zij diensten verlenen of voor wie zij activiteiten uitvoeren die mogelijkerwijs door een significante cyberdreiging worden beïnvloed, in kennis te stellen van de aard van de dreiging en alle mogelijke beschermings- of herstelmaatregelen die deze natuurlijke of rechtspersonen kunnen nemen als reactie op die dreiging;

| f) | de betrokken entiteiten te gelasten de naar aanleiding van een beveiligingsaudit gedane aanbevelingen binnen een redelijke termijn uit te voeren; |
| --- | --- |

f)

de betrokken entiteiten te gelasten de naar aanleiding van een beveiligingsaudit gedane aanbevelingen binnen een redelijke termijn uit te voeren;

| g) | een controlefunctionaris aan te wijzen die gedurende een bepaalde periode duidelijk omschreven taken heeft om erop toe te zien dat de betrokken entiteiten aan de artikelen 21 en 23 voldoen; |
| --- | --- |

g)

een controlefunctionaris aan te wijzen die gedurende een bepaalde periode duidelijk omschreven taken heeft om erop toe te zien dat de betrokken entiteiten aan de artikelen 21 en 23 voldoen;

| h) | de betrokken entiteiten te gelasten aspecten van inbreuken op deze richtlijn op een bepaalde manier openbaar te maken; |
| --- | --- |

h)

de betrokken entiteiten te gelasten aspecten van inbreuken op deze richtlijn op een bepaalde manier openbaar te maken;

| i) | op grond van artikel 34 een administratieve geldboete op te leggen of de oplegging ervan door de bevoegde organen of rechterlijke instanties overeenkomstig het nationale recht te verzoeken bovenop een of meer van de in punten a) tot en met h) van dit lid bedoelde maatregelen. |
| --- | --- |

i)

op grond van artikel 34 een administratieve geldboete op te leggen of de oplegging ervan door de bevoegde organen of rechterlijke instanties overeenkomstig het nationale recht te verzoeken bovenop een of meer van de in punten a) tot en met h) van dit lid bedoelde maatregelen.

5.   Indien de op grond van lid 4, punten a) tot en met d) en punt f), genomen handhavingsmaatregelen ondoeltreffend zijn, zorgen de lidstaten ervoor dat hun bevoegde autoriteiten de bevoegdheid hebben om een termijn vast te stellen waarbinnen de essentiële entiteit wordt verzocht de noodzakelijke maatregelen te nemen om de tekortkomingen te verhelpen of aan de eisen van die autoriteiten te voldoen. Indien de gevraagde actie niet binnen de gestelde termijn wordt ondernomen, zorgen de lidstaten ervoor dat de bevoegde autoriteiten de bevoegdheid hebben om:

| a) | een certificering of vergunning tijdelijk op te schorten of een certificerings- of vergunningsinstantie of een rechterlijke instantie overeenkomstig het nationale recht te verzoeken deze tijdelijk op te schorten met betrekking tot alle of een deel van de relevante door de essentiële entiteit verleende diensten of verrichte activiteiten; |
| --- | --- |

a)

een certificering of vergunning tijdelijk op te schorten of een certificerings- of vergunningsinstantie of een rechterlijke instantie overeenkomstig het nationale recht te verzoeken deze tijdelijk op te schorten met betrekking tot alle of een deel van de relevante door de essentiële entiteit verleende diensten of verrichte activiteiten;

| b) | verzoeken dat de bevoegde organen of rechterlijke instanties overeenkomstig het nationale recht een natuurlijke persoon met leidinggevende verantwoordelijkheden op het niveau van de algemeen directeur of de wettelijke vertegenwoordiger in de essentiële entiteit tijdelijk verbieden leidinggevende functies in die entiteit uit te oefenen. |
| --- | --- |

b)

verzoeken dat de bevoegde organen of rechterlijke instanties overeenkomstig het nationale recht een natuurlijke persoon met leidinggevende verantwoordelijkheden op het niveau van de algemeen directeur of de wettelijke vertegenwoordiger in de essentiële entiteit tijdelijk verbieden leidinggevende functies in die entiteit uit te oefenen.

Op grond van dit lid opgelegde tijdelijke opschortingen of verboden worden slechts toegepast totdat de betrokken entiteit de noodzakelijke maatregelen neemt om de tekortkomingen te verhelpen of voldoet aan de vereisten van de bevoegde autoriteit waarvoor dergelijke handhavingsmaatregelen zijn opgelegd. Het opleggen van dergelijke tijdelijke opschortingen of verboden moet worden onderworpen aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het vermoeden van onschuld en de rechten van de verdediging.

De in dit lid bedoelde handhavingsmaatregelen zijn niet van toepassing op onder deze richtlijn vallende overheidsinstanties.

6.   De lidstaten zorgen ervoor dat elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger van een essentiële entiteit op basis van de bevoegdheid om deze te vertegenwoordigen, de bevoegdheid om namens deze entiteit beslissingen te nemen of de bevoegdheid om controle uit te oefenen op deze entiteit, de bevoegdheid heeft om ervoor te zorgen dat deze entiteit deze richtlijn nakomt. De lidstaten zorgen ervoor dat dergelijke natuurlijke personen aansprakelijk kunnen worden gesteld voor het niet nakomen van hun verplichtingen om te zorgen voor de naleving van deze richtlijn.

Wat overheidsinstanties betreft, doet dit lid geen afbreuk aan het nationale recht inzake de aansprakelijkheid van ambtenaren en gekozen of benoemde overheidsfunctionarissen.

7.   Bij het nemen van de in lid 4 of 5 bedoelde handhavingsmaatregelen eerbiedigen de bevoegde autoriteiten de rechten van de verdediging en houden zij rekening met de omstandigheden van elk afzonderlijk geval, en houden zij ten minste naar behoren rekening met:

| a) | de ernst van de inbreuk en het belang van de geschonden bepalingen, waarbij onder meer het volgende in ieder geval een ernstige inbreuk vormt:






  i) | herhaalde inbreuken; |
| --- | --- | --- |

a)

de ernst van de inbreuk en het belang van de geschonden bepalingen, waarbij onder meer het volgende in ieder geval een ernstige inbreuk vormt:

i)

herhaalde inbreuken;

| ii) | niet melden of niet verhelpen van significante incidenten; |
| --- | --- |

ii)

niet melden of niet verhelpen van significante incidenten;

| iii) | niet verhelpen van tekortkomingen naar aanleiding van bindende aanwijzingen van de bevoegde autoriteiten; |
| --- | --- |

iii)

niet verhelpen van tekortkomingen naar aanleiding van bindende aanwijzingen van de bevoegde autoriteiten;

| iv) | het belemmeren van audits of monitoringsactiviteiten waartoe de bevoegde autoriteit opdracht heeft gegeven naar aanleiding van de vaststelling van een inbreuk; |
| --- | --- |

iv)

het belemmeren van audits of monitoringsactiviteiten waartoe de bevoegde autoriteit opdracht heeft gegeven naar aanleiding van de vaststelling van een inbreuk;

| v) | het verstrekken van valse of zeer onnauwkeurige informatie met betrekking tot de in de artikelen 21 en 23 vastgelegde cyberbeveiligingsrisicobeheersmaatregelen of rapportageverplichtingen; |
| --- | --- |

v)

het verstrekken van valse of zeer onnauwkeurige informatie met betrekking tot de in de artikelen 21 en 23 vastgelegde cyberbeveiligingsrisicobeheersmaatregelen of rapportageverplichtingen;

| b) | de duur van de inbreuk; |
| --- | --- |

b)

de duur van de inbreuk;

| c) | eventuele relevante eerdere inbreuken door de betrokken entiteit; |
| --- | --- |

c)

eventuele relevante eerdere inbreuken door de betrokken entiteit;

| d) | elke veroorzaakte materiële of immateriële schade, met inbegrip van elke financiële of economische schade, effecten op andere diensten en het aantal getroffen gebruikers; |
| --- | --- |

d)

elke veroorzaakte materiële of immateriële schade, met inbegrip van elke financiële of economische schade, effecten op andere diensten en het aantal getroffen gebruikers;

| e) | opzet of nalatigheid van de pleger van de inbreuk; |
| --- | --- |

e)

opzet of nalatigheid van de pleger van de inbreuk;

| f) | door de entiteit genomen maatregelen om de materiële of immateriële schade te voorkomen of te beperken; |
| --- | --- |

f)

door de entiteit genomen maatregelen om de materiële of immateriële schade te voorkomen of te beperken;

| g) | de naleving van goedgekeurde gedragscodes of goedgekeurde certificeringsmechanismen; |
| --- | --- |

g)

de naleving van goedgekeurde gedragscodes of goedgekeurde certificeringsmechanismen;

| h) | de mate waarin de aansprakelijk gestelde natuurlijke of rechtspersonen meewerken met de bevoegde autoriteiten. |
| --- | --- |

h)

de mate waarin de aansprakelijk gestelde natuurlijke of rechtspersonen meewerken met de bevoegde autoriteiten.

8.   De bevoegde autoriteiten geven een gedetailleerde motivering van hun handhavingsmaatregelen. Alvorens dergelijke maatregelen vast te stellen, stellen de bevoegde autoriteiten de betrokken entiteiten in kennis van hun voorlopige bevindingen. Ook geven zij die entiteiten een redelijke termijn om opmerkingen te maken, behalve in naar behoren gemotiveerde gevallen waarin onmiddellijk optreden om incidenten te voorkomen of erop te reageren anders zou worden belemmerd.

9.   De lidstaten zorgen ervoor dat hun uit hoofde van deze richtlijn bevoegde autoriteiten de relevante uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten binnen dezelfde lidstaat in kennis stellen wanneer zij hun toezichts- en handhavingsbevoegdheden uitoefenen om ervoor te zorgen dat een entiteit die op grond van Richtlijn (EU) 2022/2557 als kritieke entiteit wordt aangemerkt, voldoet aan deze richtlijn. In voorkomend geval kunnen de uit hoofde van Richtlijn (EU) 2022/2557 bevoegde autoriteiten de uit hoofde van deze richtlijn bevoegde autoriteiten verzoeken hun toezichts- en handhavingsbevoegdheden uit te oefenen ten aanzien van een entiteit die is aangemerkt als kritieke entiteit uit hoofde van Richtlijn (EU) 2022/2557.

10.   De lidstaten zorgen ervoor dat hun uit hoofde van deze richtlijn bevoegde autoriteiten samenwerken met de relevante uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten van de betrokken lidstaat. De lidstaten zorgen er met name voor dat hun uit hoofde van deze richtlijn bevoegde autoriteiten het oversightforum dat is opgericht op grond van artikel 32, lid 1, van Verordening (EU) 2022/2554 in kennis stellen wanneer zij hun toezichts- en handhavingsbevoegdheden uitoefenen om ervoor te zorgen dat een essentiële entiteit die op grond van artikel 31 van Verordening (EU) 2022/2554 als kritieke derde aanbieder van ICT-diensten is aangewezen, voldoet aan deze richtlijn.

Artikel 33

Toezichts- en handhavingsmaatregelen met betrekking tot belangrijke entiteiten

1.   Wanneer het bewijs, de aanwijzing of informatie wordt geleverd dat een belangrijke entiteit beweerdelijk deze richtlijn, en met name de artikelen 21 en 23, niet nakomt, zorgen de lidstaten ervoor dat de bevoegde autoriteiten zo nodig maatregelen nemen door middel van toezichtmaatregelen achteraf. De lidstaten zorgen ervoor dat die maatregelen doeltreffend, evenredig en afschrikkend zijn, rekening houdend met de omstandigheden van ieder afzonderlijk geval.

2.   De lidstaten zorgen ervoor dat de bevoegde autoriteiten bij de uitoefening van hun toezichthoudende taken met betrekking tot belangrijke entiteiten de bevoegdheid hebben om deze entiteiten te onderwerpen aan ten minste:

| a) | inspecties ter plaatse en toezicht elders achteraf, uitgevoerd daartoe door opgeleide professionals; |
| --- | --- |

a)

inspecties ter plaatse en toezicht elders achteraf, uitgevoerd daartoe door opgeleide professionals;

| b) | door een onafhankelijke instantie of een bevoegde autoriteit uitgevoerde gerichte beveiligingsaudits; |
| --- | --- |

b)

door een onafhankelijke instantie of een bevoegde autoriteit uitgevoerde gerichte beveiligingsaudits;

| c) | beveiligingsscans op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria, indien nodig in samenwerking met de betrokken entiteit; |
| --- | --- |

c)

beveiligingsscans op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria, indien nodig in samenwerking met de betrokken entiteit;

| d) | verzoeken om informatie die nodig is om de door de betrokken entiteit genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s achteraf te beoordelen, met inbegrip van gedocumenteerd cyberbeveiligingsbeleid, alsmede de naleving van de verplichting op grond van artikel 27 om informatie in te dienen bij de bevoegde autoriteiten; |
| --- | --- |

d)

verzoeken om informatie die nodig is om de door de betrokken entiteit genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s achteraf te beoordelen, met inbegrip van gedocumenteerd cyberbeveiligingsbeleid, alsmede de naleving van de verplichting op grond van artikel 27 om informatie in te dienen bij de bevoegde autoriteiten;

| e) | verzoeken om toegang tot gegevens, documenten en informatie die nodig zijn voor de uitoefening van hun toezichthoudende taken; |
| --- | --- |

e)

verzoeken om toegang tot gegevens, documenten en informatie die nodig zijn voor de uitoefening van hun toezichthoudende taken;

| f) | verzoeken om bewijs van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van beveiligingsaudits die door een gekwalificeerde auditor zijn uitgevoerd en de respectieve onderliggende bewijzen. |
| --- | --- |

f)

verzoeken om bewijs van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van beveiligingsaudits die door een gekwalificeerde auditor zijn uitgevoerd en de respectieve onderliggende bewijzen.

De in de eerste alinea, punt b), bedoelde gerichte beveiligingsaudits zijn gebaseerd op door de bevoegde autoriteit of de gecontroleerde entiteit uitgevoerde risicobeoordelingen of op andere beschikbare risicogerelateerde informatie.

De resultaten van een gerichte beveiligingsaudit worden ter beschikking gesteld van de bevoegde autoriteit. De kosten van een dergelijke gerichte door onafhankelijke instantie uitgevoerde beveiligingsaudit, worden betaald door de gecontroleerde entiteit, behalve in naar behoren gemotiveerde gevallen waarin de bevoegde autoriteit anders besluit.

3.   Bij de uitoefening van hun bevoegdheden uit hoofde van lid 2, punt d), e) of f), vermelden de bevoegde autoriteiten het doel van het verzoek en de gevraagde informatie.

4.   De lidstaten zorgen ervoor dat de bevoegde autoriteiten bij de uitoefening van hun handhavingsbevoegdheden ten aanzien van belangrijke entiteiten, ten minste de bevoegdheid hebben om:

| a) | waarschuwingen te geven over inbreuken op deze richtlijn door de betrokken entiteiten; |
| --- | --- |

a)

waarschuwingen te geven over inbreuken op deze richtlijn door de betrokken entiteiten;

| b) | bindende aanwijzingen vast te stellen of een bevel uit te vaardigen waarin de betrokken entiteiten worden verplicht de vastgestelde tekortkomingen of de inbreuk op deze richtlijn te verhelpen; |
| --- | --- |

b)

bindende aanwijzingen vast te stellen of een bevel uit te vaardigen waarin de betrokken entiteiten worden verplicht de vastgestelde tekortkomingen of de inbreuk op deze richtlijn te verhelpen;

| c) | de betrokken entiteiten te gelasten een einde te maken aan gedragingen die inbreuk maken op deze richtlijn en af te zien van herhaling van die gedragingen; |
| --- | --- |

c)

de betrokken entiteiten te gelasten een einde te maken aan gedragingen die inbreuk maken op deze richtlijn en af te zien van herhaling van die gedragingen;

| d) | de betrokken entiteiten te gelasten er op een gespecificeerde wijze en binnen een gespecificeerde termijn voor te zorgen dat hun maatregelen voor het beheer van cyberbeveiligingsrisico’s in overeenstemming zijn met artikel 21 of te voldoen aan de in artikel 23 vastgestelde rapportageverplichtingen; |
| --- | --- |

d)

de betrokken entiteiten te gelasten er op een gespecificeerde wijze en binnen een gespecificeerde termijn voor te zorgen dat hun maatregelen voor het beheer van cyberbeveiligingsrisico’s in overeenstemming zijn met artikel 21 of te voldoen aan de in artikel 23 vastgestelde rapportageverplichtingen;

| e) | de betrokken entiteiten te gelasten de natuurlijke of rechtspersonen ten aanzien van wie zij diensten verlenen of activiteiten uitvoeren die mogelijkerwijs door een significante cyberdreiging worden beïnvloed, in kennis te stellen van de aard van de dreiging en alle mogelijke beschermings- of herstelmaatregelen die deze natuurlijke of rechtspersonen kunnen nemen als reactie op die dreiging; |
| --- | --- |

e)

de betrokken entiteiten te gelasten de natuurlijke of rechtspersonen ten aanzien van wie zij diensten verlenen of activiteiten uitvoeren die mogelijkerwijs door een significante cyberdreiging worden beïnvloed, in kennis te stellen van de aard van de dreiging en alle mogelijke beschermings- of herstelmaatregelen die deze natuurlijke of rechtspersonen kunnen nemen als reactie op die dreiging;

| f) | de betrokken entiteiten te gelasten de naar aanleiding van een beveiligingsaudit gedane aanbevelingen binnen een redelijke termijn uit te voeren; |
| --- | --- |

f)

de betrokken entiteiten te gelasten de naar aanleiding van een beveiligingsaudit gedane aanbevelingen binnen een redelijke termijn uit te voeren;

| g) | de betrokken entiteiten te gelasten aspecten van inbreuken op deze richtlijn op een bepaalde manier openbaar te maken; |
| --- | --- |

g)

de betrokken entiteiten te gelasten aspecten van inbreuken op deze richtlijn op een bepaalde manier openbaar te maken;

| h) | op grond van artikel 34 een administratieve geldboete op te leggen of de oplegging ervan door de bevoegde organen of rechterlijke instanties overeenkomstig het nationale recht te verzoeken bovenop een van de in de punten a) tot en met g) van dit lid bedoelde maatregelen. |
| --- | --- |

h)

op grond van artikel 34 een administratieve geldboete op te leggen of de oplegging ervan door de bevoegde organen of rechterlijke instanties overeenkomstig het nationale recht te verzoeken bovenop een van de in de punten a) tot en met g) van dit lid bedoelde maatregelen.

5.   Artikel 32, leden 6 tot en met 8, is van overeenkomstige toepassing op de toezichts- en handhavingsmaatregelen waarin dit artikel voorziet voor belangrijke entiteiten.

6.   De lidstaten zorgen ervoor dat hun uit hoofde van deze richtlijn bevoegde autoriteiten samenwerken met de relevante uit hoofde van Verordening (EU) 2022/2554 bevoegde autoriteiten van de betrokken lidstaat. De lidstaten zorgen er met name voor dat hun uit hoofde van deze richtlijn bevoegde autoriteiten het oversightforum dat is opgericht op grond van artikel 32, lid 1, van Verordening (EU) 2022/2554 in kennis stellen wanneer zij hun toezichts- en handhavingsbevoegdheden uitoefenen om ervoor te zorgen dat een belangrijke entiteit die op grond van artikel 31 van Verordening (EU) 2022/2554 als kritieke derde aanbieder van ICT-diensten is aangewezen, voldoet aan deze richtlijn.

Artikel 34

Algemene voorwaarden voor het opleggen van administratieve geldboeten aan essentiële en belangrijke entiteiten

1.   De lidstaten zorgen ervoor dat de administratieve geldboeten die uit hoofde van dit artikel aan essentiële en belangrijke entiteiten worden opgelegd wegens inbreuken op deze richtlijn, doeltreffend, evenredig en afschrikkend zijn, rekening houdend met de omstandigheden van elk afzonderlijk geval.

2.   Administratieve geldboeten worden opgelegd bovenop een of meer van de in artikel 32, lid 4, punten a) tot en met h), artikel 32, lid 5, en artikel 33, lid 4, punten a) tot en met g), bedoelde maatregelen.

3.   Bij het besluit om een administratieve geldboete op te leggen en bij de vaststelling van het bedrag ervan in elk afzonderlijk geval wordt er ten minste naar behoren rekening gehouden met de in artikel 32, lid 7, genoemde elementen.

4.   De lidstaten zorgen ervoor dat essentiële entiteiten die inbreuk maken op artikel 21 of 23 overeenkomstig de leden 2 en 3 van dit artikel onderworpen worden aan administratieve geldboeten met een maximumbedrag van ten minste 10 000 000 EUR of ten minste 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de essentiële entiteit behoort, afhankelijk van welk bedrag hoger is.

5.   De lidstaten zorgen ervoor dat belangrijke entiteiten die inbreuk maken op artikel 21 of 23 overeenkomstig de leden 2 en 3 van dit artikel onderworpen worden aan administratieve geldboeten met een maximumbedrag van ten minste 7 000 000 EUR of ten minste 1,4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de belangrijke entiteit behoort, afhankelijk van welk bedrag hoger is.

6.   De lidstaten kunnen voorzien in de bevoegdheid om dwangsommen op te leggen om een essentiële of belangrijke entiteit te dwingen een inbreuk op deze richtlijn te staken in overeenstemming met een voorafgaand besluit van de bevoegde autoriteit.

7.   Onverminderd de bevoegdheden van de bevoegde autoriteiten uit hoofde van de artikelen 32 en 33 kan elke lidstaat bepalen of en in welke mate administratieve geldboeten kunnen worden opgelegd aan overheidsinstanties.

8.   Indien het rechtsstelsel van een lidstaat niet in administratieve geldboeten voorziet, zorgt die lidstaat ervoor dat dit artikel aldus wordt toegepast dat de geldboete wordt geïnitieerd door de bevoegde autoriteit en wordt opgelegd door de bevoegde nationale rechterlijke instanties, waarbij wordt gewaarborgd dat die wettelijke voorzieningen doeltreffend zijn en van gelijke werking zijn als de door bevoegde autoriteiten opgelegde administratieve geldboeten. De opgelegde geldboeten zijn in elk geval doeltreffend, evenredig en afschrikkend. De lidstaat stelt de Commissie uiterlijk op 17 oktober 2024 in kennis van de wettelijke bepalingen die hij op grond van dit lid vaststelt, en onverwijld van eventuele latere wijzigingswetten of wijzigingen die daarop van invloed zijn.

Artikel 35

Inbreuken die een inbreuk in verband met persoonsgegevens inhouden

1.   Wanneer de bevoegde autoriteiten er bij toezicht of handhaving kennis van krijgen dat de inbreuk door een essentiële of belangrijke entiteit op de in de artikelen 21 en 23 van deze richtlijn vastgestelde verplichtingen een inbreuk in verband met persoonsgegevens zoals gedefinieerd in artikel 4, punt 12, van Verordening (EU) 2016/679 kan inhouden, die op grond van artikel 33 van die verordening moet worden gemeld, stellen zij de bevoegde toezichthoudende autoriteiten als bedoeld in de artikelen 55 en 56 van die verordening daarvan onverwijld in kennis.

2.   Indien de toezichthoudende autoriteiten als bedoeld in artikel 55 of 56 van Verordening (EU) 2016/679 een administratieve geldboete op grond van artikel 58, lid 2, punt i), van die verordening opleggen, leggen de bevoegde autoriteiten geen administratieve geldboete op grond van artikel 34 van deze richtlijn op voor een inbreuk als bedoeld in lid 1 van dit artikel die voortvloeit uit dezelfde gedraging als die waarvoor de administratieve geldboete uit hoofde van artikel 58, lid 2, punt i), van Verordening (EU) 2016/679 is opgelegd. De bevoegde autoriteiten kunnen echter de handhavingsmaatregelen opleggen waarin artikel 32, lid 4, punten a) tot en met h), artikel 32, lid 5, en artikel 33, lid 4, punten a) tot en met g), van deze richtlijn voorzien.

3.   Wanneer de op grond van Verordening (EU) 2016/679 bevoegde toezichthoudende autoriteit in een andere lidstaat dan de bevoegde autoriteit is gevestigd, stelt de bevoegde autoriteit de in haar eigen lidstaat gevestigde toezichthoudende autoriteit in kennis van de in lid 1 bedoelde potentiële inbreuk in verband met persoonsgegevens.

Artikel 36

Sancties

De lidstaten stellen regels vast voor de sancties die van toepassing zijn op inbreuken op de krachtens deze richtlijn vastgestelde nationale bepalingen en nemen alle noodzakelijke maatregelen om ervoor te zorgen dat deze worden uitgevoerd. De vastgestelde sancties moeten doeltreffend, evenredig en afschrikkend zijn. De lidstaten stellen de Commissie uiterlijk op 17 januari 2025 in kennis van deze regels en maatregelen en stellen haar onverwijld in kennis van eventuele latere wijzigingen daarvan.

Artikel 37

Wederzijdse bijstand

1.   Wanneer een entiteit diensten verricht in meer dan één lidstaat, of indien zij diensten verricht in een of meer lidstaten en haar netwerk- en informatiesystemen zich in een of meer andere lidstaten bevinden, werken de bevoegde autoriteiten van de betrokken lidstaten met elkaar samen en verlenen ze elkaar indien nodig bijstand. Die samenwerking houdt ten minste in dat:

| a) | de bevoegde autoriteiten die in een lidstaat toezichts- of handhavingsmaatregelen toepassen, via het centrale contactpunt de bevoegde autoriteiten in de andere betrokken lidstaten informeren en raadplegen over de genomen toezichts- en handhavingsmaatregelen; |
| --- | --- |

a)

de bevoegde autoriteiten die in een lidstaat toezichts- of handhavingsmaatregelen toepassen, via het centrale contactpunt de bevoegde autoriteiten in de andere betrokken lidstaten informeren en raadplegen over de genomen toezichts- en handhavingsmaatregelen;

| b) | een bevoegde autoriteit een andere bevoegde autoriteit kan verzoeken toezichts- of handhavingsmaatregelen te nemen; |
| --- | --- |

b)

een bevoegde autoriteit een andere bevoegde autoriteit kan verzoeken toezichts- of handhavingsmaatregelen te nemen;

| c) | een bevoegde autoriteit, na ontvangst van een gemotiveerd verzoek van een andere bevoegde autoriteit, de andere bevoegde autoriteit wederzijdse bijstand verleent in verhouding tot haar eigen middelen, zodat de toezichts- of handhavingsmaatregelen op een effectieve, efficiënte en consistente wijze kunnen worden uitgevoerd. |
| --- | --- |

c)

een bevoegde autoriteit, na ontvangst van een gemotiveerd verzoek van een andere bevoegde autoriteit, de andere bevoegde autoriteit wederzijdse bijstand verleent in verhouding tot haar eigen middelen, zodat de toezichts- of handhavingsmaatregelen op een effectieve, efficiënte en consistente wijze kunnen worden uitgevoerd.

De in punt c) van de eerste alinea bedoelde wederzijdse bijstand kan betrekking hebben op verzoeken om informatie en toezichtsmaatregelen, met inbegrip van verzoeken om inspecties ter plaatse of toezicht elders of gerichte beveiligingsaudits uit te voeren. Een bevoegde autoriteit waaraan een verzoek om bijstand is gericht, mag dat verzoek niet weigeren, tenzij wordt vastgesteld dat zij niet bevoegd is om de gevraagde bijstand te verlenen, dat de gevraagde bijstand niet in verhouding staat tot de toezichthoudende taken van de bevoegde autoriteit, of dat het verzoek betrekking heeft op informatie of activiteiten inhoudt die, indien ze openbaar zouden worden gemaakt of zouden worden uitgevoerd, in strijd zouden zijn met de wezenlijke belangen van zijn nationale veiligheid, de openbare veiligheid of de defensie van die lidstaat. Alvorens een dergelijk verzoek af te wijzen, raadpleegt de bevoegde autoriteit de andere betrokken bevoegde autoriteiten alsmede, op verzoek van een van de betrokken lidstaten, de Commissie en Enisa.

2.   In voorkomend geval kunnen de bevoegde autoriteiten van verschillende lidstaten in onderlinge overeenstemming gezamenlijke toezichtsacties uitvoeren.

HOOFDSTUK VIII

GEDELEGEERDE HANDELINGEN EN UITVOERINGSHANDELINGEN

Artikel 38

Uitoefening van de bevoegdheidsdelegatie

1.   De bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend onder de in dit artikel neergelegde voorwaarden.

2.   De in artikel 24, lid 2, bedoelde bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend voor een termijn van vijf jaar met ingang van 16 januari 2023.

3.   Het Europees Parlement of de Raad kan de in artikel 24, lid 2, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet.

4.   Vóór de vaststelling van een gedelegeerde handeling raadpleegt de Commissie de door elke lidstaat aangewezen deskundigen overeenkomstig de beginselen die zijn neergelegd in het Interinstitutioneel akkoord van 13 april 2016 over beter wetgeven.

5.   Zodra de Commissie een gedelegeerde handeling heeft vastgesteld, doet zij daarvan gelijktijdig kennisgeving aan het Europees Parlement en de Raad.

6.   Een op grond van artikel 24, lid 2, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van twee maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben meegedeeld dat zij daartegen geen bezwaar zullen maken. Die termijn wordt op initiatief van het Europees Parlement of de Raad met twee maanden verlengd.

Artikel 39

Comitéprocedure

1.   De Commissie wordt bijgestaan door een comité. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011.

2.   Wanneer naar dit lid wordt verwezen, is artikel 5 van Verordening (EU) nr. 182/2011 van toepassing.

3.   Wanneer het advies van het comité via een schriftelijke procedure moet worden verkregen, wordt deze procedure zonder gevolg beëindigd wanneer de voorzitter van het comité binnen de termijn voor het uitbrengen van het advies daartoe besluit of wanneer een lid van het comité daarom verzoekt.

HOOFDSTUK IX

SLOTBEPALINGEN

Artikel 40

Evaluatie

Uiterlijk op 17 oktober 2027 en vervolgens om de 36 maanden evalueert de Commissie de werking van deze richtlijn en brengt zij daarover verslag uit aan het Europees Parlement en aan de Raad. In het verslag wordt met name de relevantie van de omvang van de betrokken entiteiten, en de sectoren, subsectoren en types van de in de bijlagen I en II bedoelde entiteiten voor het functioneren van de economie en de samenleving met betrekking tot cyberbeveiliging beoordeeld. Daartoe en teneinde de strategische en operationele samenwerking verder te bevorderen, houdt de Commissie rekening met de verslagen van de samenwerkingsgroep en het CSIRT-netwerk over de opgedane ervaring op strategisch en operationeel niveau. Het verslag gaat zo nodig vergezeld van een wetgevingsvoorstel.

Artikel 41

Omzetting

1.   Uiterlijk op 17 oktober 2024 gaan de lidstaten over tot de vaststelling en bekendmaking van de noodzakelijke bepalingen om aan deze richtlijn te voldoen. Zij stellen de Commissie daarvan onmiddellijk in kennis.

Zij passen die bepalingen toe met ingang van 18 oktober 2024.

2.   Wanneer de lidstaten de in lid 1 bedoelde bepalingen vaststellen, wordt in de bepalingen zelf of bij de officiële bekendmaking daarvan naar deze richtlijn verwezen. De regels voor de verwijzing worden vastgesteld door de lidstaten.

Artikel 42

Wijziging van Verordening (EU) nr. 910/2014

In Verordening (EU) nr. 910/2014 wordt artikel 19 geschrapt met ingang van 18 oktober 2024.

Artikel 43

Wijziging van Richtlijn (EU) 2018/1972

In Richtlijn (EU) 2018/1972 worden de artikelen 40 en 41 geschrapt met ingang van 18 oktober 2024.

Artikel 44

Intrekking

Richtlijn (EU) 2016/1148 wordt ingetrokken met ingang van 18 oktober 2024.

Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar de onderhavige richtlijn en worden gelezen volgens de concordantietabel in bijlage III.

Artikel 45

Inwerkingtreding

Deze richtlijn treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Publicatieblad van de Europese Unie

Artikel 46

Adressaten

Deze richtlijn is gericht tot de lidstaten.

Gedaan te Straatsburg, 14 december 2022.

Voor het Europees Parlement

De voorzitter

R. METSOLA

Voor de Raad

De voorzitter

M. BEK

---

(1)  
  PB C 233 van 16.6.2022, blz. 22.

1

(2)  
  PB C 286 van 16.7.2021, blz. 170.

2

(3)  Standpunt van het Europees Parlement van 10 november 2022 (nog niet bekendgemaakt in het Publicatieblad) en besluit van de Raad van 28 november 2022.

3

(4)  Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PB L 194 van 19.7.2016, blz. 1).

4

(5)  Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PB L 124 van 20.5.2003, blz. 36).

5

(6)  Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PB L 257 van 28.8.2014, blz. 73).

6

(7)  Richtlijn 97/67/EG van het Europees Parlement en de Raad van 15 december 1997 betreffende gemeenschappelijke regels voor de ontwikkeling van de interne markt voor postdiensten in de Gemeenschap en de verbetering van de kwaliteit van de dienst (PB L 15 van 21.1.1998, blz. 14).

7

(8)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

8

(9)  Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37).

9

(10)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (zie bladzijde 1 van dit Publicatieblad).

10

(11)  Verordening (EG) nr. 300/2008 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van Verordening (EG) nr. 2320/2002 (PB L 97 van 9.4.2008, blz. 72).

11

(12)  Verordening (EU) 2018/1139 van het Europees Parlement en de Raad van 4 juli 2018 inzake gemeenschappelijke regels op het gebied van burgerluchtvaart en tot oprichting van een Agentschap van de Europese Unie voor de veiligheid van de luchtvaart, en tot wijziging van de Verordeningen (EG) nr. 2111/2005, (EG) nr. 1008/2008, (EU) nr. 996/2010, (EU) nr. 376/2014 en de Richtlijnen 2014/30/EU en 2014/53/EU van het Europees Parlement en de Raad, en tot intrekking van de Verordeningen (EG) nr. 552/2004 en (EG) nr. 216/2008 van het Europees Parlement en de Raad en Verordening (EEG) nr. 3922/91 van de Raad (PB L 212 van 22.8.2018, blz. 1).

12

(13)  Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (zie bladzijde 164 van dit Publicatieblad).

13

(14)  Verordening (EU) 2021/696 van het Europees Parlement en de Raad van 28 april 2021 tot vaststelling van het ruimtevaartprogramma van de Unie, tot oprichting van het Agentschap van de Europese Unie voor het ruimtevaartprogramma en tot intrekking van de Verordeningen (EU) nr. 912/2010, (EU) nr. 1285/2013 en (EU) nr. 377/2014 en Besluit nr. 541/2014/EU (PB L 170 van 12.5.2021, blz. 69).

14

(15)  Aanbeveling (EU) 2017/1584 van de Commissie van 13 september 2017 inzake een gecoördineerde respons op grootschalige cyberincidenten en -crises (PB L 239 van 19.9.2017, blz. 36).

15

(16)  Uitvoeringsbesluit (EU) 2018/1993 van de Raad van 11 december 2018 inzake de geïntegreerde EU-regeling politieke crisisrespons (PB L 320 van 17.12.2018, blz. 28).

16

(17)  Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad van 17 december 2013 betreffende een Uniemechanisme voor civiele bescherming (PB L 347 van 20.12.2013, blz. 924).

17

(18)  Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PB L 151 van 7.6.2019, blz. 15).

18

(19)  Aanbeveling (EU) 2019/534 van de Commissie van 26 maart 2019 — Cyberbeveiliging van 5G-netwerken (PB L 88 van 29.3.2019, blz. 42).

19

(20)  Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad van 11 december 2018 tot vaststelling van het Europees wetboek voor elektronische communicatie (PB L 321 van 17.12.2018, blz. 36).

20

(21)  Verordening (EU) nr. 2021/694 van het Europees Parlement en de Raad van 29 april 2021 tot oprichting van het programma Digitaal Europa en tot intrekking van Besluit (EU) 2015/2240 (PB L 166 van 11.5.2021, blz. 1).

21

(22)  
  PB L 123 van 12.5.2016, blz. 1.

22

(23)  Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad van 16 februari 2011 tot vaststelling van de algemene voorschriften en beginselen die van toepassing zijn op de wijze waarop de lidstaten de uitoefening van de uitvoeringsbevoegdheden door de Commissie controleren (PB L 55 van 28.2.2011, blz. 13).

23

(24)  Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG (verordening inzake digitale diensten) (PB L 277 van 27.10.2022, blz. 1).

24

(25)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).

25

(26)  
  PB C 183 van 11.5.2021, blz. 3.

26

(27)  Richtlijn 2011/93/EU van het Europees Parlement en de Raad van 13 december 2011 ter bestrijding van seksueel misbruik en seksuele uitbuiting van kinderen en kinderpornografie, en ter vervanging van Kaderbesluit 2004/68/JBZ van de Raad (PB L 335 van 17.12.2011, blz. 1).

27

(28)  Richtlijn 2013/40/EU van het Europees Parlement en de Raad van 12 augustus 2013 over aanvallen op informatiesystemen en ter vervanging van Kaderbesluit 2005/222/JBZ van de Raad (PB L 218 van 14.8.2013, blz. 8).

28

(29)  Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad van 25 oktober 2012 betreffende Europese normalisatie, tot wijziging van de Richtlijnen 89/686/EEG en 93/15/EEG van de Raad alsmede de Richtlijnen 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG en 2009/105/EG van het Europees Parlement en de Raad en tot intrekking van Beschikking 87/95/EEG van de Raad en Besluit nr. 1673/2006/EG van het Europees Parlement en de Raad (PB L 316 van 14.11.2012, blz. 12).

29

(30)  Richtlijn (EU) 2015/1535 van het Europees Parlement en de Raad van 9 september 2015 betreffende een informatieprocedure op het gebied van technische voorschriften en regels betreffende de diensten van de informatiemaatschappij (PB L 241 van 17.9.2015, blz. 1).

30

(31)  Richtlijn 2005/29/EG van het Europees Parlement en de Raad van 11 mei 2005 betreffende oneerlijke handelspraktijken van ondernemingen jegens consumenten op de interne markt en tot wijziging van Richtlijn 84/450/EEG van de Raad, Richtlijnen 97/7/EG, 98/27/EG en 2002/65/EG van het Europees Parlement en de Raad en van Verordening (EG) nr. 2006/2004 van het Europees Parlement en de Raad (“Richtlijn oneerlijke handelspraktijken”) (PB L 149 van 11.6.2005, blz. 22).

31

(32)  Verordening (EU) 2019/1150 van het Europees Parlement en de Raad van 20 juni 2019 ter bevordering van billijkheid en transparantie voor zakelijke gebruikers van onlinetussenhandelsdiensten (PB L 186 van 11.7.2019, blz. 57).

32

---

BIJLAGE I

ZEER KRITIEKE SECTOREN

| Sector | Subsector | Soort entiteit |
| --- | --- | --- |
| 1. | Energie |

Sector

Subsector

Soort entiteit

1.

Energie

| a) | Elektriciteit |
| --- | --- |

a)

Elektriciteit

| — | Elektriciteitsbedrijven zoals gedefinieerd in artikel 2, punt 57, van Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad (1), die de functie verrichten van “levering” zoals gedefinieerd in artikel 2, punt 12, van die richtlijn |
| --- | --- |

—

Elektriciteitsbedrijven zoals gedefinieerd in artikel 2, punt 57, van Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad (1), die de functie verrichten van “levering” zoals gedefinieerd in artikel 2, punt 12, van die richtlijn

| — | Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 29, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 29, van Richtlijn (EU) 2019/944

| — | Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 35, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 35, van Richtlijn (EU) 2019/944

| — | Producenten zoals gedefinieerd in artikel 2, punt 38, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Producenten zoals gedefinieerd in artikel 2, punt 38, van Richtlijn (EU) 2019/944

| — | Benoemde elektriciteitsmarktbeheerders zoals gedefinieerd in artikel 2, punt 8, van Verordening (EU) 2019/943 van het Europees Parlement en de Raad (2) |
| --- | --- |

—

Benoemde elektriciteitsmarktbeheerders zoals gedefinieerd in artikel 2, punt 8, van Verordening (EU) 2019/943 van het Europees Parlement en de Raad (2)

| — | Marktdeelnemers zoals gedefinieerd in artikel 2, punt 25, van Verordening (EU) 2019/943 die aggregatie verrichten of vraagrespons- of energieopslagdiensten verstrekken zoals gedefinieerd in artikel 2, punten 18, 20 en 59, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Marktdeelnemers zoals gedefinieerd in artikel 2, punt 25, van Verordening (EU) 2019/943 die aggregatie verrichten of vraagrespons- of energieopslagdiensten verstrekken zoals gedefinieerd in artikel 2, punten 18, 20 en 59, van Richtlijn (EU) 2019/944

| — | Exploitanten van een laadpunt die verantwoordelijk zijn voor het beheer en de exploitatie van een laadpunt dat een laaddienst levert aan eindgebruikers, onder meer namens en voor rekening van een aanbieder van mobiliteitsdiensten |
| --- | --- |

—

Exploitanten van een laadpunt die verantwoordelijk zijn voor het beheer en de exploitatie van een laadpunt dat een laaddienst levert aan eindgebruikers, onder meer namens en voor rekening van een aanbieder van mobiliteitsdiensten

| b) | Stadsverwarming en -koeling |
| --- | --- |

b)

Stadsverwarming en -koeling

| — | Exploitanten van stadsverwarming of stadskoeling zoals gedefinieerd in artikel 2, punt 19, van Richtlijn (EU) 2018/2001van het Europees Parlement en de Raad (3) |
| --- | --- |

—

Exploitanten van stadsverwarming of stadskoeling zoals gedefinieerd in artikel 2, punt 19, van Richtlijn (EU) 2018/2001van het Europees Parlement en de Raad (3)

| c) | Aardolie |
| --- | --- |

c)

Aardolie

| — | Exploitanten van oliepijpleidingen |
| --- | --- |

—

Exploitanten van oliepijpleidingen

| — | Exploitanten van voorzieningen voor de productie, raffinage en behandeling van olie, opslag en transport |
| --- | --- |

—

Exploitanten van voorzieningen voor de productie, raffinage en behandeling van olie, opslag en transport

| — | Centrale entiteiten voor de voorraadvorming zoals gedefinieerd in artikel 2, punt f), van Richtlijn 2009/119/EG van de Raad (4) |
| --- | --- |

—

Centrale entiteiten voor de voorraadvorming zoals gedefinieerd in artikel 2, punt f), van Richtlijn 2009/119/EG van de Raad (4)

| d) | Aardgas |
| --- | --- |

d)

Aardgas

| — | Leveringsbedrijven zoals gedefinieerd in artikel 2, punt 8, van Richtlijn 2009/73/EG van het Europees Parlement en de Raad (5) |
| --- | --- |

—

Leveringsbedrijven zoals gedefinieerd in artikel 2, punt 8, van Richtlijn 2009/73/EG van het Europees Parlement en de Raad (5)

| — | Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 6, van Richtlijn 2009/73/EG |
| --- | --- |

—

Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 6, van Richtlijn 2009/73/EG

| — | Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 4, van Richtlijn 2009/73/EG |
| --- | --- |

—

Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 4, van Richtlijn 2009/73/EG

| — | Opslagsysteembeheerders zoals gedefinieerd in artikel 2, punt 10, van Richtlijn 2009/73/EG |
| --- | --- |

—

Opslagsysteembeheerders zoals gedefinieerd in artikel 2, punt 10, van Richtlijn 2009/73/EG

| — | LNG-systeembeheerders zoals gedefinieerd in artikel 2, punt 12, van Richtlijn 2009/73/EG |
| --- | --- |

—

LNG-systeembeheerders zoals gedefinieerd in artikel 2, punt 12, van Richtlijn 2009/73/EG

| — | Aardgasbedrijven zoals gedefinieerd in artikel 2, punt 1, van Richtlijn 2009/73/EG |
| --- | --- |

—

Aardgasbedrijven zoals gedefinieerd in artikel 2, punt 1, van Richtlijn 2009/73/EG

| — | Exploitanten van voorzieningen voor de raffinage en behandeling van aardgas |
| --- | --- |

—

Exploitanten van voorzieningen voor de raffinage en behandeling van aardgas

| e) | Waterstof |
| --- | --- |

e)

Waterstof

| — | Exploitanten van voorzieningen voor de productie, opslag en transmissie van waterstof |
| --- | --- |

—

Exploitanten van voorzieningen voor de productie, opslag en transmissie van waterstof

| 2. | Vervoer |
| --- | --- |

2.

Vervoer

| a) | Lucht |
| --- | --- |

a)

Lucht

| — | Luchtvaartmaatschappijen zoals gedefinieerd in artikel 3, punt 4, Verordening (EG) nr. 300/2008 die voor commerciële doeleinden worden gebruikt |
| --- | --- |

—

Luchtvaartmaatschappijen zoals gedefinieerd in artikel 3, punt 4, Verordening (EG) nr. 300/2008 die voor commerciële doeleinden worden gebruikt

| — | Luchthavenbeheerders zoals gedefinieerd in artikel 2, punt 2, van Richtlijn 2009/12/EG van het Europees Parlement en de Raad (6), luchthavens als bedoeld in artikel 2, punt 1, van die richtlijn, met inbegrip van de kernluchthavens die in bijlage II, afdeling 2, bij Verordening (EU) 1315/2013 van het Europees Parlement en de Raad (7) zijn opgenomen, alsook de entiteiten die bijbehorende installaties bedienen welke zich op luchthavens bevinden |
| --- | --- |

—

Luchthavenbeheerders zoals gedefinieerd in artikel 2, punt 2, van Richtlijn 2009/12/EG van het Europees Parlement en de Raad (6), luchthavens als bedoeld in artikel 2, punt 1, van die richtlijn, met inbegrip van de kernluchthavens die in bijlage II, afdeling 2, bij Verordening (EU) 1315/2013 van het Europees Parlement en de Raad (7) zijn opgenomen, alsook de entiteiten die bijbehorende installaties bedienen welke zich op luchthavens bevinden

| — | Exploitanten op het gebied van verkeersbeheer en -controle die luchtverkeersleidingsdiensten zoals gedefinieerd in artikel 2, punt 1, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad (8) aanbieden |
| --- | --- |

—

Exploitanten op het gebied van verkeersbeheer en -controle die luchtverkeersleidingsdiensten zoals gedefinieerd in artikel 2, punt 1, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad (8) aanbieden

| b) | Spoor |
| --- | --- |

b)

Spoor

| — | Infrastructuurbeheerders zoals gedefinieerd in artikel 3, punt 2, van Richtlijn 2012/34/EU van het Europees Parlement en de Raad (9) |
| --- | --- |

—

Infrastructuurbeheerders zoals gedefinieerd in artikel 3, punt 2, van Richtlijn 2012/34/EU van het Europees Parlement en de Raad (9)

| — | Spoorwegondernemingen zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2012/34/EU, inclusief exploitanten van dienstvoorzieningen zoals gedefinieerd in artikel 3, punt 12, van die richtlijn |
| --- | --- |

—

Spoorwegondernemingen zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2012/34/EU, inclusief exploitanten van dienstvoorzieningen zoals gedefinieerd in artikel 3, punt 12, van die richtlijn

| c) | Water |
| --- | --- |

c)

Water

| — | Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht, die in bijlage I bij Verordening (EG) nr. 725/2004 van het Europees Parlement en de Raad (10) als bedrijven in maritiem vervoer worden gedefinieerd, met uitzondering van de door deze bedrijven geëxploiteerde individuele vaartuigen |
| --- | --- |

—

Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht, die in bijlage I bij Verordening (EG) nr. 725/2004 van het Europees Parlement en de Raad (10) als bedrijven in maritiem vervoer worden gedefinieerd, met uitzondering van de door deze bedrijven geëxploiteerde individuele vaartuigen

| — | Beheerders van havens zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2005/65/EG van het Europees Parlement en de Raad (11), inclusief hun havenfaciliteiten zoals gedefinieerd in artikel 2, punt 11, van Verordening (EG) nr. 725/2004; alsook entiteiten die werken en uitrusting in havens beheren |
| --- | --- |

—

Beheerders van havens zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2005/65/EG van het Europees Parlement en de Raad (11), inclusief hun havenfaciliteiten zoals gedefinieerd in artikel 2, punt 11, van Verordening (EG) nr. 725/2004; alsook entiteiten die werken en uitrusting in havens beheren

| — | Exploitanten van verkeersbegeleidingssystemen (VBS) zoals gedefinieerd in artikel 3, punt o), van Richtlijn 2002/59/EG van het Europees Parlement en de Raad (12) |
| --- | --- |

—

Exploitanten van verkeersbegeleidingssystemen (VBS) zoals gedefinieerd in artikel 3, punt o), van Richtlijn 2002/59/EG van het Europees Parlement en de Raad (12)

| d) | Weg |
| --- | --- |

d)

Weg

| — | Wegenautoriteiten zoals gedefinieerd in artikel 2, punt 12, van gedelegeerde Verordening (EU) 2015/962 van de Commissie (13) die verantwoordelijk zijn voor het verkeersbeheer, met uitzondering van overheidsinstanties waarvoor verkeersbeheer of de exploitatie van intelligente vervoerssystemen slechts een niet-essentieel onderdeel van hun algemene activiteit is |
| --- | --- |

—

Wegenautoriteiten zoals gedefinieerd in artikel 2, punt 12, van gedelegeerde Verordening (EU) 2015/962 van de Commissie (13) die verantwoordelijk zijn voor het verkeersbeheer, met uitzondering van overheidsinstanties waarvoor verkeersbeheer of de exploitatie van intelligente vervoerssystemen slechts een niet-essentieel onderdeel van hun algemene activiteit is

| — | Exploitanten van intelligente vervoerssystemen zoals gedefinieerd in artikel 4, punt 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad (14) |
| --- | --- |

—

Exploitanten van intelligente vervoerssystemen zoals gedefinieerd in artikel 4, punt 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad (14)

| 3. | Bankwezen |
| --- | --- |

3.

Bankwezen

Kredietinstellingen zoals gedefinieerd in artikel 4, punt 1, Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad (15)

| 4. | Infrastructuur voor de financiële markt |
| --- | --- |

4.

Infrastructuur voor de financiële markt

| — | Exploitanten van handelsplatformen zoals gedefinieerd in artikel 4, punt 24, van Richtlijn 2014/65/EU van het Europees Parlement en de Raad (16) |
| --- | --- |

—

Exploitanten van handelsplatformen zoals gedefinieerd in artikel 4, punt 24, van Richtlijn 2014/65/EU van het Europees Parlement en de Raad (16)

| — | Centrale tegenpartijen zoals gedefinieerd in artikel 2, punt 1, Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad (17) |
| --- | --- |

—

Centrale tegenpartijen zoals gedefinieerd in artikel 2, punt 1, Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad (17)

| 5. | Gezondheidszorg |
| --- | --- |

5.

Gezondheidszorg

| — | Zorgaanbieders zoals gedefinieerd in artikel 3, punt g), van Richtlijn 2011/24/EU van het Europees Parlement en de Raad (18) |
| --- | --- |

—

Zorgaanbieders zoals gedefinieerd in artikel 3, punt g), van Richtlijn 2011/24/EU van het Europees Parlement en de Raad (18)

| — | EU-referentielaboratoria als bedoeld in artikel 15 van Verordening (EU) 2022/2371 van het Europees Parlement en de Raad inzake ernstige grensoverschrijdende bedreigingen van de gezondheid (19) |
| --- | --- |

—

EU-referentielaboratoria als bedoeld in artikel 15 van Verordening (EU) 2022/2371 van het Europees Parlement en de Raad inzake ernstige grensoverschrijdende bedreigingen van de gezondheid (19)

| — | Entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen zoals gedefinieerd in artikel 1, punt 2, van Richtlijn 2001/83/EG van het Europees Parlement en de Raad (20) |
| --- | --- |

—

Entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen zoals gedefinieerd in artikel 1, punt 2, van Richtlijn 2001/83/EG van het Europees Parlement en de Raad (20)

| — | Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen als bedoeld in sectie C, afdeling 21, van NACE Rev. 2 vervaardigen |
| --- | --- |

—

Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen als bedoeld in sectie C, afdeling 21, van NACE Rev. 2 vervaardigen

| — | Entiteiten die medische hulpmiddelen vervaardigen die in het kader van de noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd (“de lijst van in een noodsituatie op het gebied van de volksgezondheid kritieke hulpmiddelen”) in de zin van artikel 22 van Verordening (EU) 2022/123 van het Europees Parlement en de Raad (21) |
| --- | --- |

—

Entiteiten die medische hulpmiddelen vervaardigen die in het kader van de noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd (“de lijst van in een noodsituatie op het gebied van de volksgezondheid kritieke hulpmiddelen”) in de zin van artikel 22 van Verordening (EU) 2022/123 van het Europees Parlement en de Raad (21)

| 6. | Drinkwater |
| --- | --- |

6.

Drinkwater

Leveranciers en distributeurs van voor menselijke consumptie bestemd water zoals gedefinieerd in artikel 2, punt 1, a), van Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad (22), met uitzondering van distributeurs waarvoor de distributie van water voor menselijke consumptie een niet-essentieel deel is van hun algemene activiteit van distributie van andere waren en goederen die niet worden beschouwd als essentiële of belangrijke diensten

| 7. | Afvalwater |
| --- | --- |

7.

Afvalwater

Ondernemingen die stedelijk afvalwater, huishoudelijk afvalwater of industrieel afvalwater zoals gedefinieerd in artikel 2, punten 1, 2 en 3, van Richtlijn 91/271/EEG van de Raad (23) opvangen, lozen of behandelen, met uitzondering van ondernemingen waarvoor het opvangen, lozen of behandelen van stedelijk afvalwater, huishoudelijk afvalwater of industrieel afvalwater een niet-essentieel onderdeel van hun algemene activiteit is

| 8. | Digitale infrastructuur |
| --- | --- |

8.

Digitale infrastructuur

| — | Aanbieders van internetknooppunten |
| --- | --- |

—

Aanbieders van internetknooppunten

| — | DNS-dienstverleners, met uitzondering van exploitanten van root-naamservers |
| --- | --- |

—

DNS-dienstverleners, met uitzondering van exploitanten van root-naamservers

| — | Register voor topleveldomeinnamen |
| --- | --- |

—

Register voor topleveldomeinnamen

| — | Aanbieders van cloudcomputingdiensten |
| --- | --- |

—

Aanbieders van cloudcomputingdiensten

| — | Aanbieders van datacenterdiensten |
| --- | --- |

—

Aanbieders van datacenterdiensten

| — | Aanbieders van netwerken voor de levering van inhoud |
| --- | --- |

—

Aanbieders van netwerken voor de levering van inhoud

| — | Verleners van vertrouwensdiensten |
| --- | --- |

—

Verleners van vertrouwensdiensten

| — | Aanbieders van openbare elektronischecommunicatienetwerken |
| --- | --- |

—

Aanbieders van openbare elektronischecommunicatienetwerken

| — | Aanbieders van openbare elektronischecommunicatiediensten |
| --- | --- |

—

Aanbieders van openbare elektronischecommunicatiediensten

| 9. | Beheer van ICT-diensten (business-to-business) |
| --- | --- |

9.

Beheer van ICT-diensten (business-to-business)

| — | Aanbieders van beheerde diensten |
| --- | --- |

—

Aanbieders van beheerde diensten

| — | Aanbieders van beheerde beveiligingsdiensten |
| --- | --- |

—

Aanbieders van beheerde beveiligingsdiensten

| 10. | Overheid |
| --- | --- |

10.

Overheid

| — | Overheidsinstanties van centrale overheden zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht |
| --- | --- |

—

Overheidsinstanties van centrale overheden zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht

| — | Overheidsinstanties op regionaal niveau zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht |
| --- | --- |

—

Overheidsinstanties op regionaal niveau zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht

| 11. | Ruimtevaart |
| --- | --- |

11.

Ruimtevaart

Exploitanten van grondfaciliteiten die in het bezit zijn van of beheerd of geëxploiteerd worden door de lidstaten of door particuliere partijen en die de verlening van vanuit de ruimte opererende diensten ondersteunen, met uitzondering van aanbieders van openbare elektronischecommunicatienetwerken

---

(1)  Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad van 5 juni 2019 betreffende gemeenschappelijke regels voor de interne markt voor elektriciteit en tot wijziging van Richtlijn 2012/27/EU (PB L 158 van 14.6.2019, blz. 125).

(2)  Verordening (EU) 2019/943 van het Europees Parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (PB L 158 van 14.6.2019, blz. 54).

(3)  Richtlijn (EU) 2018/2001 van het Europees Parlement en de Raad van 11 december 2018 ter bevordering van het gebruik van energie uit hernieuwbare bronnen (PB L 328 van 21.12.2018, blz. 82).

(4)  Richtlijn 2009/119/EG van de Raad van 14 september 2009 houdende verplichting voor de lidstaten om minimumvoorraden ruwe aardolie en/of aardolieproducten in opslag te houden (PB L 265 van 9.10.2009, blz. 9).

(5)  Richtlijn 2009/73/EG van het Europees Parlement en de Raad van 13 juli 2009 betreffende gemeenschappelijke regels voor de interne markt voor aardgas en tot intrekking van Richtlijn 2003/55/EG (PB L 211 van 14.8.2009, blz. 94).

(6)  Richtlijn 2009/12/EG van het Europees Parlement en de Raad van 11 maart 2009 inzake luchthavengelden (PB L 70 van 14.3.2009, blz. 11).

(7)  Verordening (EU) nr. 1315/2013 van het Europees Parlement en de Raad van 11 december 2013 betreffende richtsnoeren van de Unie voor de ontwikkeling van het trans-Europees vervoersnetwerk en tot intrekking van Besluit nr. 661/2010/EU (PB L 348 van 20.12.2013, blz. 1).

(8)  Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad van 10 maart 2004 tot vaststelling van het kader voor de totstandbrenging van het gemeenschappelijke Europese luchtruim (de kaderverordening) (PB L 96 van 31.3.2004, blz. 1).

(9)  Richtlijn 2012/34/EU van het Europees Parlement en de Raad van 21 november 2012 tot instelling van één Europese spoorwegruimte, (PB L 343 van 14.12.2012, blz. 32).

(10)  Verordening (EG) nr. 725/2004 van het Europees Parlement en de Raad van 31 maart 2004 betreffende de verbetering van de beveiliging van schepen en havenfaciliteiten (PB L 129 van 29.4.2004, blz. 6).

(11)  Richtlijn 2005/65/EG van het Europees Parlement en de Raad van 26 oktober 2005 betreffende het verhogen van de veiligheid van havens (PB L 310 van 25.11.2005, blz. 28).

(12)  Richtlijn 2002/59/EG van het Europees Parlement en de Raad van 27 juni 2002 betreffende de invoering van een communautair monitoring en informatiesysteem voor de zeescheepvaart en tot intrekking van Richtlijn 93/75/EEG van de Raad (PB L 208 van 5.8.2002, blz. 10).

(13)  Gedelegeerde verordening (EU) 2015/962 van de Commissie van 18 december 2014 ter aanvulling van Richtlijn 2010/40/EU van het Europees Parlement en de Raad wat de verlening van EU-wijde realtimeverkeersinformatiediensten betreft (PB L 157 van 23.6.2015, blz. 21).

(14)  Richtlijn 2010/40/EU van het Europees Parlement en de Raad van 7 juli 2010 betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen (PB L 207 van 6.8.2010, blz. 1).

(15)  Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en tot wijziging van Verordening (EU) nr. 648/2012, PB L 176 van 27.6.2013, blz. 1.

(16)  Richtlijn 2014/65/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten voor financiële instrumenten en tot wijziging van Richtlijn 2002/92/EG en Richtlijn 2011/61/EU (PB L 173 van 12.6.2014, blz. 349).

(17)  Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad van 4 juli 2012 betreffende otc-derivaten, centrale tegenpartijen en transactieregisters (PB L 201 van 27.7.2012, blz. 1).

(18)  Richtlijn 2011/24/EU van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PB L 88 van 4.4.2011, blz. 45).

(19)  Verordening (EU) 2022/2371 van het Europees Parlement en de Raad van 23 november 2022 inzake ernstige grensoverschrijdende bedreigingen van de gezondheid en houdende intrekking van Besluit nr. 1082/2013/EU (PB L 314 van 6.12.2022, blz. 26).

(20)  Richtlijn 2001/83/EG van het Europees Parlement en de Raad van 6 november 2001 tot vaststelling van een communautair wetboek betreffende geneesmiddelen voor menselijk gebruik (PB L 311 van 28.11.2001, blz. 67).

(21)  Verordening (EU) 2022/123 van het Europees Parlement en de Raad van 25 januari 2022 betreffende een grotere rol van het Europees Geneesmiddelenbureau inzake crisisparaatheid en -beheersing op het gebied van geneesmiddelen en medische hulpmiddelen (PB L 20 van 31.1.2022, blz. 1).

(22)  Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad van 16 december 2020 betreffende de kwaliteit van voor menselijke consumptie bestemd water (PB L 435 van 23.12.2020, blz. 1).

(23)  Richtlijn 91/271/EEG van de Raad van 21 mei 1991 inzake de behandeling van stedelijk afvalwater (PB L 135 van 30.5.1991, blz. 40).

---

BIJLAGE II

ANDERE KRITIEKE SECTOREN

| Sector | Subsector | Soort entiteit |
| --- | --- | --- |
| 1. | Post- en koeriersdiensten |

Sector

Subsector

Soort entiteit

1.

Post- en koeriersdiensten

Aanbieders van postdiensten zoals gedefinieerd in artikel 2, punt 1 bis, van Richtlijn 97/67/EG, met inbegrip van aanbieders van koeriersdiensten

| 2. | Afvalstoffenbeheer |
| --- | --- |

2.

Afvalstoffenbeheer

Ondernemingen die handelingen in het kader van afvalstoffenbeheer uitvoeren zoals gedefinieerd in artikel 3, punt 9, van Richtlijn 2008/98/EG van het Europees Parlement en de Raad (1), met uitzondering van ondernemingen waarvoor afvalstoffenbeheer niet de voornaamste economische activiteit is

| 3. | Vervaardiging, productie en distributie van chemische stoffen |
| --- | --- |

3.

Vervaardiging, productie en distributie van chemische stoffen

Ondernemingen die stoffen vervaardigen en stoffen of mengsels distribueren als bedoeld in artikel 3, punten 9 en 14, van Verordening (EG) nr. 1907/2006 van het Europees Parlement en de Raad (2) en ondernemingen die voorwerpen zoals gedefinieerd in artikel 3, punt 3, van die verordening produceren uit stoffen of mengsels

| 4. | Productie, verwerking en distributie van levensmiddelen |
| --- | --- |

4.

Productie, verwerking en distributie van levensmiddelen

Levensmiddelenbedrijven zoals gedefinieerd in artikel 3, punt 2, Verordening (EG) nr. 178/2002 van het Europees Parlement en de Raad (3) die zich bezighouden met groothandel en industriële productie en verwerking

| 5. | Vervaardiging |
| --- | --- |

5.

Vervaardiging

| a) | Vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek |
| --- | --- |

a)

Vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek

Entiteiten die medische hulpmiddelen zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) 2017/745 van het Europees Parlement en de Raad (4) vervaardigen en entiteiten die medische hulpmiddelen voor in-vitrodiagnostiek zoals gedefinieerd in artikel 2, punt 2, van Verordening (EU) 2017/746 van het Europees Parlement en de Raad (5) vervaardigen, met uitzondering van entiteiten die medische hulpmiddelen vervaardigen als bedoeld in bijlage I, punt 5, vijfde streepje, van deze richtlijn

| b) | Vervaardiging van informaticaproducten en van elektronische en optische producten |
| --- | --- |

b)

Vervaardiging van informaticaproducten en van elektronische en optische producten

Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 26, van NACE Rev. 2

| c) | Vervaardiging van elektrische apparatuur |
| --- | --- |

c)

Vervaardiging van elektrische apparatuur

Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 27, van NACE Rev. 2

| d) | Vervaardiging van machines, apparaten en werktuigen, n.e.g. |
| --- | --- |

d)

Vervaardiging van machines, apparaten en werktuigen, n.e.g.

Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 28, van NACE Rev. 2

| e) | Vervaardiging van motorvoertuigen, aanhangers en opleggers |
| --- | --- |

e)

Vervaardiging van motorvoertuigen, aanhangers en opleggers

Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 29, van NACE Rev. 2

| f) | Vervaardiging van andere transportmiddelen |
| --- | --- |

f)

Vervaardiging van andere transportmiddelen

Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 30, van NACE Rev. 2

| 6. | Digitale aanbieders |
| --- | --- |

6.

Digitale aanbieders

| — | Aanbieders van onlinemarktplaatsen |
| --- | --- |

—

Aanbieders van onlinemarktplaatsen

| — | Aanbieders van onlinezoekmachines |
| --- | --- |

—

Aanbieders van onlinezoekmachines

| — | Aanbieders van platforms voor socialenetwerkdiensten |
| --- | --- |

—

Aanbieders van platforms voor socialenetwerkdiensten

| 7. | Onderzoek |
| --- | --- |

7.

Onderzoek

Onderzoeksorganisaties

---

(1)  Richtlijn 2008/98/EG van het Europees Parlement en de Raad van 19 november 2008 betreffende afvalstoffen en tot intrekking van een aantal richtlijnen (PB L 312 van 22.11.2008, blz. 3).

(2)  Verordening (EG) nr. 1907/2006 van het Europees Parlement en de Raad van 18 december 2006 inzake de registratie en beoordeling van en de autorisatie en beperkingen ten aanzien van chemische stoffen (REACH), tot oprichting van een Europees Agentschap voor chemische stoffen, houdende wijziging van Richtlijn 1999/45/EG en houdende intrekking van Verordening (EEG) nr. 793/93 van de Raad en Verordening (EG) nr. 1488/94 van de Commissie alsmede Richtlijn 76/769/EEG van de Raad en de Richtlijnen 91/155/EEG, 93/67/EEG, 93/105/EG en 2000/21/EG van de Commissie (PB L 396 van 30.12.2006, blz. 1).

(3)  Verordening (EG) nr. 178/2002 van het Europees Parlement en de Raad van 28 januari 2002 tot vaststelling van de algemene beginselen en voorschriften van de levensmiddelenwetgeving, tot oprichting van een Europese Autoriteit voor voedselveiligheid en tot vaststelling van procedures voor voedselveiligheidsaangelegenheden (PB L 31 van 1.2.2002, blz. 1).

(4)  Verordening (EU) 2017/745 van het Europees Parlement en de Raad van 5 april 2017 betreffende medische hulpmiddelen, tot wijziging van Richtlijn 2001/83/EG, Verordening (EG) nr. 178/2002 en Verordening (EG) nr. 1223/2009, en tot intrekking van Richtlijnen 90/385/EEG en 93/42/EEG van de Raad (PB L 117 van 5.5.2017, blz. 1).

(5)  Verordening (EU) 2017/746 van het Europees Parlement en de Raad van 5 april 2017 betreffende medische hulpmiddelen voor in-vitrodiagnostiek en tot intrekking van Richtlijn 98/79/EG en Besluit 2010/227/EU van de Commissie (PB L 117 van 5.5.2017, blz. 176).

---

BIJLAGE III

CONCORDANTIETABEL

| Richtlijn (EU) 2016/1148 | Deze richtlijn |
| --- | --- |
| Artikel 1, lid 1 | Artikel 1, lid 1 |
| Artikel 1, lid 2 | Artikel 1, lid 2 |
| Artikel 1, lid 3 | — |
| Artikel 1, lid 4 | Artikel 2, lid 12 |
| Artikel 1, lid 5 | Artikel 2, lid 13 |
| Artikel 1, lid 6 | Artikel 2, leden 6 en 11 |
| Artikel 1, lid 7 | Artikel 4 |
| Artikel 2 | Artikel 2, lid 14 |
| Artikel 3 | Artikel 5 |
| Artikel 4 | Artikel 6 |
| Artikel 5 | — |
| Artikel 6 | — |
| Artikel 7, lid 1 | Artikel 7, leden 1 en 2 |
| Artikel 7, lid 2 | Artikel 7, lid 4 |
| Artikel 7, lid 3 | Artikel 7, lid 3 |
| Artikel 8, leden 1 tot en met 5 | Artikel 8, leden 1 tot en met 5 |
| Artikel 8, lid 6 | Artikel 13, lid 4 |
| Artikel 8, lid 7 | Artikel 8, lid 6 |
| Artikel 9, leden 1, 2 en 3 | Artikel 10, leden 1, 2 en 3 |
| Artikel 9, lid 4 | Artikel 10, lid 9 |
| Artikel 9, lid 5 | Artikel 10, lid 10 |
| Artikel 10, lid 1, lid 2 en lid 3, eerste alinea | Artikel 13, leden 1, 2 en 3 |
| Artikel 10, lid 3, tweede alinea | Artikel 23, lid 9 |
| Artikel 11, lid 1 | Artikel 14, leden 1 en 2 |
| Artikel 11, lid 2 | Artikel 14, lid 3 |
| Artikel 11, lid 3 | Artikel 14, lid 4, eerste alinea, punten a) tot en met q) en s), en lid 7 |
| Artikel 11, lid 4 | Artikel 14, lid 4, eerste alinea, punt r), en tweede alinea |
| Artikel 11, lid 5 | Artikel 14, lid 8 |
| Artikel 12, leden 1 tot en met 5 | Artikel 15, leden 1 tot en met 5 |
| Artikel 13 | Artikel 17 |
| Artikel 14, leden 1 en 2 | Artikel 21, leden 1 tot en met 4 |
| Artikel 14, lid 3 | Artikel 23, lid 1 |
| Artikel 14, lid 4 | Artikel 23, lid 3 |
| Artikel 14, lid 5 | Artikel 23, leden 5, 6 en 8 |
| Artikel 14, lid 6 | Artikel 23, lid 7 |
| Artikel 14, lid 7 | Artikel 23, lid 11 |
| Artikel 15, lid 1 | Artikel 31, lid 1 |
| Artikel 15, lid 2, eerste alinea, punt a) | Artikel 32, lid 2, punt e) |
| Artikel 15, lid 2, eerste alinea, punt b) | Artikel 32, lid 2, punt g) |
| Artikel 15, lid 2, tweede alinea | Artikel 32, lid 3 |
| Artikel 15, lid 3 | Artikel 32, lid 4, punt b) |
| Artikel 15, lid 4 | Artikel 31, lid 3 |
| Artikel 16, leden 1 en 2 | Artikel 21, leden 1 tot en met 4 |
| Artikel 16, lid 3 | Artikel 23, lid 1 |
| Artikel 16, lid 4 | Artikel 23, lid 3 |
| Artikel 16, lid 5 | — |
| Artikel 16, lid 6 | Artikel 23, lid 6 |
| Artikel 16, lid 7 | Artikel 23, lid 7 |
| Artikel 16, leden 8 en 9 | Artikel 21, lid 5, en artikel 23, lid 11 |
| Artikel 16, lid 10 | — |
| Artikel 16, lid 11 | Artikel 2, leden 1, 2 en 3 |
| Artikel 17, lid 1 | Artikel 33, lid 1 |
| Artikel 17, lid 2, punt a) | Artikel 32, lid 2, punt e) |
| Artikel 17, lid 2, punt b) | Artikel 32, lid 4, punt b) |
| Artikel 17, lid 3 | Artikel 37, lid 1, punten a) en b) |
| Artikel 18, lid 1 | Artikel 26, lid 1, punt b), en lid 2 |
| Artikel 18, lid 2 | Artikel 26, lid 3 |
| Artikel 18, lid 3 | Artikel 26, lid 4 |
| Artikel 19 | Artikel 25 |
| Artikel 20 | Artikel 30 |
| Artikel 21 | Artikel 36 |
| Artikel 22 | Artikel 39 |
| Artikel 23 | Artikel 40 |
| Artikel 24 | — |
| Artikel 25 | Artikel 41 |
| Artikel 26 | Artikel 45 |
| Artikel 27 | Artikel 46 |
| Bijlage I, punt 1 | Artikel 11, lid 1 |
| Bijlage I, punt 2, punt a), i)-iv) | Artikel 11, lid 2, punten a) tot en met d) |
| Bijlage I, punt 2, punt a), v) | Artikel 11, lid 2, punt f) |
| Bijlage I, punt 2, punt b) | Artikel 11, lid 4 |
| Bijlage I, punt 2, punt c), i)-ii) | Artikel 11, lid 5, punt a) |
| Bijlage II | Bijlage I |
| Bijlage III, punten 1 en 2 | Bijlage II, punt 6 |
| Bijlage III, punt 3 | Bijlage I, punt 8 |

Richtlijn (EU) 2016/1148

Deze richtlijn

Artikel 1, lid 1

Artikel 1, lid 1

Artikel 1, lid 2

Artikel 1, lid 2

Artikel 1, lid 3

—

Artikel 1, lid 4

Artikel 2, lid 12

Artikel 1, lid 5

Artikel 2, lid 13

Artikel 1, lid 6

Artikel 2, leden 6 en 11

Artikel 1, lid 7

Artikel 4

Artikel 2

Artikel 2, lid 14

Artikel 3

Artikel 5

Artikel 4

Artikel 6

Artikel 5

—

Artikel 6

—

Artikel 7, lid 1

Artikel 7, leden 1 en 2

Artikel 7, lid 2

Artikel 7, lid 4

Artikel 7, lid 3

Artikel 7, lid 3

Artikel 8, leden 1 tot en met 5

Artikel 8, leden 1 tot en met 5

Artikel 8, lid 6

Artikel 13, lid 4

Artikel 8, lid 7

Artikel 8, lid 6

Artikel 9, leden 1, 2 en 3

Artikel 10, leden 1, 2 en 3

Artikel 9, lid 4

Artikel 10, lid 9

Artikel 9, lid 5

Artikel 10, lid 10

Artikel 10, lid 1, lid 2 en lid 3, eerste alinea

Artikel 13, leden 1, 2 en 3

Artikel 10, lid 3, tweede alinea

Artikel 23, lid 9

Artikel 11, lid 1

Artikel 14, leden 1 en 2

Artikel 11, lid 2

Artikel 14, lid 3

Artikel 11, lid 3

Artikel 14, lid 4, eerste alinea, punten a) tot en met q) en s), en lid 7

Artikel 11, lid 4

Artikel 14, lid 4, eerste alinea, punt r), en tweede alinea

Artikel 11, lid 5

Artikel 14, lid 8

Artikel 12, leden 1 tot en met 5

Artikel 15, leden 1 tot en met 5

Artikel 13

Artikel 17

Artikel 14, leden 1 en 2

Artikel 21, leden 1 tot en met 4

Artikel 14, lid 3

Artikel 23, lid 1

Artikel 14, lid 4

Artikel 23, lid 3

Artikel 14, lid 5

Artikel 23, leden 5, 6 en 8

Artikel 14, lid 6

Artikel 23, lid 7

Artikel 14, lid 7

Artikel 23, lid 11

Artikel 15, lid 1

Artikel 31, lid 1

Artikel 15, lid 2, eerste alinea, punt a)

Artikel 32, lid 2, punt e)

Artikel 15, lid 2, eerste alinea, punt b)

Artikel 32, lid 2, punt g)

Artikel 15, lid 2, tweede alinea

Artikel 32, lid 3

Artikel 15, lid 3

Artikel 32, lid 4, punt b)

Artikel 15, lid 4

Artikel 31, lid 3

Artikel 16, leden 1 en 2

Artikel 21, leden 1 tot en met 4

Artikel 16, lid 3

Artikel 23, lid 1

Artikel 16, lid 4

Artikel 23, lid 3

Artikel 16, lid 5

—

Artikel 16, lid 6

Artikel 23, lid 6

Artikel 16, lid 7

Artikel 23, lid 7

Artikel 16, leden 8 en 9

Artikel 21, lid 5, en artikel 23, lid 11

Artikel 16, lid 10

—

Artikel 16, lid 11

Artikel 2, leden 1, 2 en 3

Artikel 17, lid 1

Artikel 33, lid 1

Artikel 17, lid 2, punt a)

Artikel 32, lid 2, punt e)

Artikel 17, lid 2, punt b)

Artikel 32, lid 4, punt b)

Artikel 17, lid 3

Artikel 37, lid 1, punten a) en b)

Artikel 18, lid 1

Artikel 26, lid 1, punt b), en lid 2

Artikel 18, lid 2

Artikel 26, lid 3

Artikel 18, lid 3

Artikel 26, lid 4

Artikel 19

Artikel 25

Artikel 20

Artikel 30

Artikel 21

Artikel 36

Artikel 22

Artikel 39

Artikel 23

Artikel 40

Artikel 24

—

Artikel 25

Artikel 41

Artikel 26

Artikel 45

Artikel 27

Artikel 46

Bijlage I, punt 1

Artikel 11, lid 1

Bijlage I, punt 2, punt a), i)-iv)

Artikel 11, lid 2, punten a) tot en met d)

Bijlage I, punt 2, punt a), v)

Artikel 11, lid 2, punt f)

Bijlage I, punt 2, punt b)

Artikel 11, lid 4

Bijlage I, punt 2, punt c), i)-ii)

Artikel 11, lid 5, punt a)

Bijlage II

Bijlage I

Bijlage III, punten 1 en 2

Bijlage II, punt 6

Bijlage III, punt 3

Bijlage I, punt 8

---

| 27.12.2022 | NL | Publicatieblad van de Europese Unie | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

NL

Publicatieblad van de Europese Unie

L 333/153

---

RICHTLIJN (EU) 2022/2556 VAN HET EUROPEES PARLEMENT EN DE RAAD

van 14 december 2022

tot wijziging van de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 wat betreft digitale operationele weerbaarheid voor de financiële sector

(Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name de artikelen 53, lid 1, en 114,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Gezien het advies van de Europese Centrale Bank (1),

Gezien het advies van het Europees Economisch en Sociaal Comité (2),

Handelend volgens de gewone wetgevingsprocedure (3),

Overwegende hetgeen volgt:

| (1) | De Unie moet zorgen voor een passende en alomvattende aanpak van de digitale risico's voor alle financiële entiteiten die voortvloeien uit een toegenomen gebruik van informatie- en communicatietechnologie (ICT) bij de verstrekking en het verbruik van financiële diensten, en daarbij bijdragen aan de verwezenlijking van het potentieel van digitale financiering, door innovatie te stimuleren en mededinging in een veilige digitale omgeving te bevorderen. |
| --- | --- |

(1)

De Unie moet zorgen voor een passende en alomvattende aanpak van de digitale risico's voor alle financiële entiteiten die voortvloeien uit een toegenomen gebruik van informatie- en communicatietechnologie (ICT) bij de verstrekking en het verbruik van financiële diensten, en daarbij bijdragen aan de verwezenlijking van het potentieel van digitale financiering, door innovatie te stimuleren en mededinging in een veilige digitale omgeving te bevorderen.

| (2) | Financiële entiteiten zijn sterk afhankelijk van het gebruik van digitale technologieën in hun dagelijkse activiteiten. Het is daarom van het grootste belang dat de operationele weerbaarheid van hun digitale operaties tegen ICT-risico's gewaarborgd blijft. Dit is des te belangrijker vanwege de groei van baanbrekende technologieën in de markt, met name technologieën waardoor het mogelijk wordt digitale weergaven van waarde of rechten elektronisch over te dragen en te bewaren met behulp van distributed ledger of soortgelijke technologie (cryptoactiva), en de groei van diensten die met die activa verband houden. |
| --- | --- |

(2)

Financiële entiteiten zijn sterk afhankelijk van het gebruik van digitale technologieën in hun dagelijkse activiteiten. Het is daarom van het grootste belang dat de operationele weerbaarheid van hun digitale operaties tegen ICT-risico's gewaarborgd blijft. Dit is des te belangrijker vanwege de groei van baanbrekende technologieën in de markt, met name technologieën waardoor het mogelijk wordt digitale weergaven van waarde of rechten elektronisch over te dragen en te bewaren met behulp van distributed ledger of soortgelijke technologie (cryptoactiva), en de groei van diensten die met die activa verband houden.

| (3) | Vereisten betreffende het beheer van het ICT-risico in de financiële sector zijn op het niveau van de Unie momenteel vastgelegd in de Richtlijnen 2009/65/EG (4), 2009/138/EG (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) en (EU) 2016/2341 (11) van het Europees Parlement en de Raad. Die vereisten zijn erg uiteenlopend en soms onvolledig.
  In een aantal gevallen is het ICT-risico slechts impliciet aangepakt als onderdeel van het operationele risico, en in andere gevallen zelfs helemaal niet. Die problemen worden verholpen door de vaststelling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (12). De voornoemde richtlijnen moeten derhalve worden gewijzigd om ze in overeenstemming te brengen met die verordening. Deze richtlijn bevat een reeks wijzigingen die noodzakelijk zijn om te zorgen voor juridische duidelijkheid en consistentie indien financiële entiteiten waaraan vergunningen werden verleend en waarop toezicht wordt uitgeoefend overeenkomstig die richtlijnen, diverse vereisten inzake digitale operationele weerbaarheid toepassen die nodig zijn voor de uitoefening hun activiteiten en voor de verrichting van diensten, zodat de goede werking van de interne markt wordt gewaarborgd. Er moet voor worden gezorgd dat die vereisten aansluiten bij de marktontwikkelingen en tegelijkertijd de proportionaliteit aanmoedigen, met name wat betreft de omvang van de financiële entiteiten en de specifieke regelgeving waaraan zij onderworpen zijn, met als doel de nalevingskosten te verminderen. |
| --- | --- |

(3)

Vereisten betreffende het beheer van het ICT-risico in de financiële sector zijn op het niveau van de Unie momenteel vastgelegd in de Richtlijnen 2009/65/EG (4), 2009/138/EG (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) en (EU) 2016/2341 (11) van het Europees Parlement en de Raad. Die vereisten zijn erg uiteenlopend en soms onvolledig.

In een aantal gevallen is het ICT-risico slechts impliciet aangepakt als onderdeel van het operationele risico, en in andere gevallen zelfs helemaal niet. Die problemen worden verholpen door de vaststelling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (12). De voornoemde richtlijnen moeten derhalve worden gewijzigd om ze in overeenstemming te brengen met die verordening. Deze richtlijn bevat een reeks wijzigingen die noodzakelijk zijn om te zorgen voor juridische duidelijkheid en consistentie indien financiële entiteiten waaraan vergunningen werden verleend en waarop toezicht wordt uitgeoefend overeenkomstig die richtlijnen, diverse vereisten inzake digitale operationele weerbaarheid toepassen die nodig zijn voor de uitoefening hun activiteiten en voor de verrichting van diensten, zodat de goede werking van de interne markt wordt gewaarborgd. Er moet voor worden gezorgd dat die vereisten aansluiten bij de marktontwikkelingen en tegelijkertijd de proportionaliteit aanmoedigen, met name wat betreft de omvang van de financiële entiteiten en de specifieke regelgeving waaraan zij onderworpen zijn, met als doel de nalevingskosten te verminderen.

| (4) | Op het gebied van bankdiensten bevat Richtlijn 2013/36/EU momenteel enkel algemene interne governanceregels en operationeelrisicobepalingen met vereisten voor nood- en bedrijfscontinuïteitsplannen, die impliciet als basis dienen voor ICT-risicobeheer. Om het ICT-risico echter expliciet en duidelijk aan te pakken, moeten de vereisten voor nood- en bedrijfscontinuïteitsplannen worden gewijzigd om daarin ook bedrijfscontinuïteitsplannen en respons- en herstelplannen voor het ICT-risico op te nemen, in overeenstemming met de vereisten van Verordening (EU) 2022/2554. Bovendien is het ICT-risico slechts impliciet opgenomen, als onderdeel van het operationele risico, in de procedure voor toetsing en evaluatie door de toezichthouder (Supervisory Review and Evaluation Process — SREP) die de bevoegde autoriteiten uitvoeren, en zijn de criteria voor de beoordeling van het ICT-risico momenteel vastgelegd in de Richtsnoeren inzake de beoordeling van het ICT-risico in het kader van het proces van toetsing en evaluatie door de toezichthouder (SREP), uitgevaardigd door de Europese toezichthoudende autoriteit (Europese Bankautoriteit) (EBA), die is opgericht bij Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (13). Om juridische duidelijkheid te scheppen en ervoor te zorgen dat bankentoezichthouders het ICT-risico effectief vaststellen en het beheer ervan door financiële entiteiten monitoren, in overeenstemming met het nieuwe kader voor digitale operationele weerbaarheid, moet het toepassingsgebied van de SREP ook worden gewijzigd opdat expliciet naar de vereisten van Verordening (EU) 2022/2554 wordt verwezen en met name de risico’s worden bestreken die aan het licht zijn gekomen dankzij verslagen over ernstige ICT-gerelateerde incidenten en dankzij de resultaten van de tests inzake digitale operationele weerbaarheid die financiële entiteiten overeenkomstig die verordening uitvoeren. |
| --- | --- |

(4)

Op het gebied van bankdiensten bevat Richtlijn 2013/36/EU momenteel enkel algemene interne governanceregels en operationeelrisicobepalingen met vereisten voor nood- en bedrijfscontinuïteitsplannen, die impliciet als basis dienen voor ICT-risicobeheer. Om het ICT-risico echter expliciet en duidelijk aan te pakken, moeten de vereisten voor nood- en bedrijfscontinuïteitsplannen worden gewijzigd om daarin ook bedrijfscontinuïteitsplannen en respons- en herstelplannen voor het ICT-risico op te nemen, in overeenstemming met de vereisten van Verordening (EU) 2022/2554. Bovendien is het ICT-risico slechts impliciet opgenomen, als onderdeel van het operationele risico, in de procedure voor toetsing en evaluatie door de toezichthouder (Supervisory Review and Evaluation Process — SREP) die de bevoegde autoriteiten uitvoeren, en zijn de criteria voor de beoordeling van het ICT-risico momenteel vastgelegd in de Richtsnoeren inzake de beoordeling van het ICT-risico in het kader van het proces van toetsing en evaluatie door de toezichthouder (SREP), uitgevaardigd door de Europese toezichthoudende autoriteit (Europese Bankautoriteit) (EBA), die is opgericht bij Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad (13). Om juridische duidelijkheid te scheppen en ervoor te zorgen dat bankentoezichthouders het ICT-risico effectief vaststellen en het beheer ervan door financiële entiteiten monitoren, in overeenstemming met het nieuwe kader voor digitale operationele weerbaarheid, moet het toepassingsgebied van de SREP ook worden gewijzigd opdat expliciet naar de vereisten van Verordening (EU) 2022/2554 wordt verwezen en met name de risico’s worden bestreken die aan het licht zijn gekomen dankzij verslagen over ernstige ICT-gerelateerde incidenten en dankzij de resultaten van de tests inzake digitale operationele weerbaarheid die financiële entiteiten overeenkomstig die verordening uitvoeren.

| (5) | Digitale operationele weerbaarheid is essentieel om de kritieke functies en de centrale bedrijfsonderdelen van een financiële entiteit in geval van afwikkeling te behouden en zo een verstoring van de reële economie en het financiële stelsel te voorkomen. Ernstige operationele incidenten kunnen een belemmering vormen voor het vermogen van een financiële entiteit om haar activiteiten voort te zetten en kunnen de afwikkelingsdoelstellingen in gevaar brengen. Bepaalde contractuele overeenkomsten inzake het gebruik van ICT-diensten zijn van essentieel belang om de operationele continuïteit te waarborgen en in geval van afwikkeling de nodige gegevens te verstrekken. Om afgestemd te zijn op de doelstellingen van het Uniekader voor operationele weerbaarheid moet Richtlijn 2014/59/EU dienovereenkomstig worden gewijzigd, om ervoor te zorgen dat bij de afwikkelingsplanning en de beoordeling van de afwikkelbaarheid van financiële entiteiten rekening wordt gehouden met de informatie in verband met operationele weerbaarheid. |
| --- | --- |

(5)

Digitale operationele weerbaarheid is essentieel om de kritieke functies en de centrale bedrijfsonderdelen van een financiële entiteit in geval van afwikkeling te behouden en zo een verstoring van de reële economie en het financiële stelsel te voorkomen. Ernstige operationele incidenten kunnen een belemmering vormen voor het vermogen van een financiële entiteit om haar activiteiten voort te zetten en kunnen de afwikkelingsdoelstellingen in gevaar brengen. Bepaalde contractuele overeenkomsten inzake het gebruik van ICT-diensten zijn van essentieel belang om de operationele continuïteit te waarborgen en in geval van afwikkeling de nodige gegevens te verstrekken. Om afgestemd te zijn op de doelstellingen van het Uniekader voor operationele weerbaarheid moet Richtlijn 2014/59/EU dienovereenkomstig worden gewijzigd, om ervoor te zorgen dat bij de afwikkelingsplanning en de beoordeling van de afwikkelbaarheid van financiële entiteiten rekening wordt gehouden met de informatie in verband met operationele weerbaarheid.

| (6) | Richtlijn 2014/65/EU voorziet in strengere ICT-risicovoorschriften voor beleggingsondernemingen en handelsplatformen die zich bezighouden met algoritmische handel. Voor datarapporteringsdiensten en transactieregisters gelden minder gedetailleerde vereisten. Ook bevat Richtlijn 2014/65/EU slechts beperkte verwijzingen naar controle- en beveiligingsregelingen voor informatieverwerkingssystemen en naar het gebruik van passende systemen, middelen en procedures om de continuïteit en regelmatigheid van de zakelijke diensten te waarborgen. Voorts moet die richtlijn worden afgestemd op Verordening (EU) 2022/2554 wat betreft continuïteit en regelmatigheid bij de verrichting van beleggingsdiensten en -activiteiten, operationele weerbaarheid, de capaciteit van handelssystemen en de doeltreffendheid van bedrijfscontinuïteitsregelingen en risicobeheer. |
| --- | --- |

(6)

Richtlijn 2014/65/EU voorziet in strengere ICT-risicovoorschriften voor beleggingsondernemingen en handelsplatformen die zich bezighouden met algoritmische handel. Voor datarapporteringsdiensten en transactieregisters gelden minder gedetailleerde vereisten. Ook bevat Richtlijn 2014/65/EU slechts beperkte verwijzingen naar controle- en beveiligingsregelingen voor informatieverwerkingssystemen en naar het gebruik van passende systemen, middelen en procedures om de continuïteit en regelmatigheid van de zakelijke diensten te waarborgen. Voorts moet die richtlijn worden afgestemd op Verordening (EU) 2022/2554 wat betreft continuïteit en regelmatigheid bij de verrichting van beleggingsdiensten en -activiteiten, operationele weerbaarheid, de capaciteit van handelssystemen en de doeltreffendheid van bedrijfscontinuïteitsregelingen en risicobeheer.

| (7) | Richtlijn (EU) 2015/2366 bevat specifieke regels inzake ICT-beveiligingscontroles en risicobeperking met het oog op het verkrijgen van een machtiging tot het verrichten van betalingsdiensten. Deze machtigingsregels moeten worden gewijzigd om ze in overeenstemming te brengen met Verordening (EU) 2022/2554. Om de administratieve lasten te verminderen en complexe en overlappende rapportagevereisten te vermijden mogen daarnaast de in die richtlijn vervatte regels voor incidentenmelding niet langer van toepassing zijn op betalingsdienstaanbieders die onder die richtlijn en tevens onder Verordening (EU) 2022/2554 vallen, zodat die betalingsdienstaanbieders kunnen profiteren van één volledig geharmoniseerd mechanisme voor de melding van alle betalingsgerelateerde operationele of beveiligingsincidenten, ongeacht of dergelijke incidenten ICT-gerelateerd zijn. |
| --- | --- |

(7)

Richtlijn (EU) 2015/2366 bevat specifieke regels inzake ICT-beveiligingscontroles en risicobeperking met het oog op het verkrijgen van een machtiging tot het verrichten van betalingsdiensten. Deze machtigingsregels moeten worden gewijzigd om ze in overeenstemming te brengen met Verordening (EU) 2022/2554. Om de administratieve lasten te verminderen en complexe en overlappende rapportagevereisten te vermijden mogen daarnaast de in die richtlijn vervatte regels voor incidentenmelding niet langer van toepassing zijn op betalingsdienstaanbieders die onder die richtlijn en tevens onder Verordening (EU) 2022/2554 vallen, zodat die betalingsdienstaanbieders kunnen profiteren van één volledig geharmoniseerd mechanisme voor de melding van alle betalingsgerelateerde operationele of beveiligingsincidenten, ongeacht of dergelijke incidenten ICT-gerelateerd zijn.

| (8) | In de algemene bepalingen over governance en risicobeheer van Richtlijn 2009/138/EG en Richtlijn (EU) 2016/2341 komt het ICT-risico gedeeltelijk aan bod; bepaalde vereisten moeten worden gespecificeerd door middel van gedelegeerde handelingen met of zonder specifieke verwijzingen naar het ICT-risico. Ook voor beheerders van alternatieve beleggingsfondsen die onder Richtlijn 2011/61/EU en beheersmaatschappijen die onder Richtlijn 2009/65/EG vallen, gelden slechts zeer algemene regels. Die richtlijnen moeten dus worden afgestemd op de vereisten van Verordening (EU) 2022/2554 wat betreft het beheer van ICT-systemen en -instrumenten. |
| --- | --- |

(8)

In de algemene bepalingen over governance en risicobeheer van Richtlijn 2009/138/EG en Richtlijn (EU) 2016/2341 komt het ICT-risico gedeeltelijk aan bod; bepaalde vereisten moeten worden gespecificeerd door middel van gedelegeerde handelingen met of zonder specifieke verwijzingen naar het ICT-risico. Ook voor beheerders van alternatieve beleggingsfondsen die onder Richtlijn 2011/61/EU en beheersmaatschappijen die onder Richtlijn 2009/65/EG vallen, gelden slechts zeer algemene regels. Die richtlijnen moeten dus worden afgestemd op de vereisten van Verordening (EU) 2022/2554 wat betreft het beheer van ICT-systemen en -instrumenten.

| (9) | In heel wat gevallen zijn in gedelegeerde en uitvoeringshandelingen al verdere ICT-risicovereisten vastgelegd op basis van ontwerpen van technische reguleringsnormen en ontwerpen van technische uitvoeringsnormen die door de bevoegde Europese toezichthoudende autoriteit zijn ontwikkeld. Aangezien de bepalingen van Verordening (EU) 2022/2554 voortaan het rechtskader vormen voor het ICT-risico in de financiële sector, moeten bepaalde machtigingen om gedelegeerde handelingen en uitvoeringshandelingen vast te stellen in de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU en 2014/65/EU worden gewijzigd om de ICT-risicobepalingen uit het toepassingsgebied van die machtigingen te halen. |
| --- | --- |

(9)

In heel wat gevallen zijn in gedelegeerde en uitvoeringshandelingen al verdere ICT-risicovereisten vastgelegd op basis van ontwerpen van technische reguleringsnormen en ontwerpen van technische uitvoeringsnormen die door de bevoegde Europese toezichthoudende autoriteit zijn ontwikkeld. Aangezien de bepalingen van Verordening (EU) 2022/2554 voortaan het rechtskader vormen voor het ICT-risico in de financiële sector, moeten bepaalde machtigingen om gedelegeerde handelingen en uitvoeringshandelingen vast te stellen in de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU en 2014/65/EU worden gewijzigd om de ICT-risicobepalingen uit het toepassingsgebied van die machtigingen te halen.

| (10) | Om te zorgen voor de consistente toepassing van het nieuwe kader voor digitale operationele weerbaarheid in de financiële sector, moeten de lidstaten de bepalingen van nationaal recht tot omzetting van deze richtlijn toepassen vanaf de datum van toepassing van Verordening (EU) 2022/2554. |
| --- | --- |

(10)

Om te zorgen voor de consistente toepassing van het nieuwe kader voor digitale operationele weerbaarheid in de financiële sector, moeten de lidstaten de bepalingen van nationaal recht tot omzetting van deze richtlijn toepassen vanaf de datum van toepassing van Verordening (EU) 2022/2554.

| (11) | De Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 zijn vastgesteld op basis van artikel 53, lid 1, of artikel 114 van het Verdrag betreffende de werking van de Europese Unie (VWEU), of beide. De wijzigingen in deze richtlijn zijn in één wetgevingshandeling opgenomen vanwege de verwevenheid van het onderwerp en de doelstellingen van de wijzigingen. Bijgevolg moet deze richtlijn worden vastgesteld op basis van zowel artikel 53, lid 1, als artikel 114 VWEU. |
| --- | --- |

(11)

De Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 zijn vastgesteld op basis van artikel 53, lid 1, of artikel 114 van het Verdrag betreffende de werking van de Europese Unie (VWEU), of beide. De wijzigingen in deze richtlijn zijn in één wetgevingshandeling opgenomen vanwege de verwevenheid van het onderwerp en de doelstellingen van de wijzigingen. Bijgevolg moet deze richtlijn worden vastgesteld op basis van zowel artikel 53, lid 1, als artikel 114 VWEU.

| (12) | Daar de doelstellingen van deze richtlijn niet voldoende door de lidstaten kunnen worden verwezenlijkt omdat zij een harmonisatie inhouden van voorschriften die reeds in richtlijnen vervat zijn, maar vanwege de omvang en de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om die doelstellingen te verwezenlijken. |
| --- | --- |

(12)

Daar de doelstellingen van deze richtlijn niet voldoende door de lidstaten kunnen worden verwezenlijkt omdat zij een harmonisatie inhouden van voorschriften die reeds in richtlijnen vervat zijn, maar vanwege de omvang en de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om die doelstellingen te verwezenlijken.

| (13) | Overeenkomstig de gezamenlijke politieke verklaring van 28 september 2011 van de lidstaten en de Commissie over toelichtende stukken (14) hebben de lidstaten zich ertoe verbonden om in gerechtvaardigde gevallen de kennisgeving van hun omzettingsmaatregelen vergezeld te doen gaan van één of meer stukken waarin het verband tussen de onderdelen van een richtlijn en de overeenkomstige delen van de nationale omzettingsinstrumenten wordt toegelicht. Met betrekking tot deze richtlijn acht de wetgever de toezending van die stukken gerechtvaardigd, |
| --- | --- |

(13)

Overeenkomstig de gezamenlijke politieke verklaring van 28 september 2011 van de lidstaten en de Commissie over toelichtende stukken (14) hebben de lidstaten zich ertoe verbonden om in gerechtvaardigde gevallen de kennisgeving van hun omzettingsmaatregelen vergezeld te doen gaan van één of meer stukken waarin het verband tussen de onderdelen van een richtlijn en de overeenkomstige delen van de nationale omzettingsinstrumenten wordt toegelicht. Met betrekking tot deze richtlijn acht de wetgever de toezending van die stukken gerechtvaardigd,

HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD:

Artikel 1

Wijzigingen in Richtlijn 2009/65/EG

Artikel 12 van Richtlijn 2009/65/EG wordt als volgt gewijzigd:

| 1) | In lid 1, tweede alinea, wordt punt a) vervangen door:






  “a) | moet beschikken over een goede administratieve en boekhoudkundige organisatie, controle- en beveiligingsvoorzieningen op het gebied van elektronische informatieverwerking, onder meer wat betreft netwerk- en informatiesystemen die worden opgericht en beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*1), evenals over adequate interne controleprocedures, met inbegrip van met name regels voor persoonlijke transacties van de eigen medewerkers en voor het aanhouden of beheren van beleggingen in financiële instrumenten met het oog op het beleggen voor eigen rekening, die ten minste waarborgen dat elke transactie waarbij de icbe betrokken is, kan worden gereconstrueerd wat betreft de oorsprong ervan, de betrokken partijen, de aard ervan, en de tijd en de plaats waar zij heeft plaatsgevonden, en dat de activa van de door de beheermaatschappij beheerde icbe, overeenkomstig het fondsreglement of de statuten en de vigerende wettelijke bepalingen worden belegd; |
| --- | --- | --- |

1)

In lid 1, tweede alinea, wordt punt a) vervangen door:

“a)

moet beschikken over een goede administratieve en boekhoudkundige organisatie, controle- en beveiligingsvoorzieningen op het gebied van elektronische informatieverwerking, onder meer wat betreft netwerk- en informatiesystemen die worden opgericht en beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*1), evenals over adequate interne controleprocedures, met inbegrip van met name regels voor persoonlijke transacties van de eigen medewerkers en voor het aanhouden of beheren van beleggingen in financiële instrumenten met het oog op het beleggen voor eigen rekening, die ten minste waarborgen dat elke transactie waarbij de icbe betrokken is, kan worden gereconstrueerd wat betreft de oorsprong ervan, de betrokken partijen, de aard ervan, en de tijd en de plaats waar zij heeft plaatsgevonden, en dat de activa van de door de beheermaatschappij beheerde icbe, overeenkomstig het fondsreglement of de statuten en de vigerende wettelijke bepalingen worden belegd;

*1

(*1)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”."

*1

| 2) | Lid 3 wordt vervangen door:

  “3.   Onverminderd de bepalingen van artikel 116 stelt de Commissie middels gedelegeerde handelingen overeenkomstig artikel 112 bis maatregelen vast ter nadere bepaling van:






  a) | de procedures en regelingen als bedoeld in lid 1, tweede alinea, punt a), voor zover zij geen betrekking hebben op de procedures en regelingen inzake netwerk- en informatiesystemen; |
| --- | --- | --- |

2)

Lid 3 wordt vervangen door:

“3.   Onverminderd de bepalingen van artikel 116 stelt de Commissie middels gedelegeerde handelingen overeenkomstig artikel 112 bis maatregelen vast ter nadere bepaling van:

a)

de procedures en regelingen als bedoeld in lid 1, tweede alinea, punt a), voor zover zij geen betrekking hebben op de procedures en regelingen inzake netwerk- en informatiesystemen;

| b) | de structuren en organisatorische eisen ter beperking van belangenconflicten als bedoeld in lid 1, tweede alinea, punt b).”. |
| --- | --- |

b)

de structuren en organisatorische eisen ter beperking van belangenconflicten als bedoeld in lid 1, tweede alinea, punt b).”.

Artikel 2

Wijzigingen in Richtlijn 2009/138/EG

Richtlijn 2009/138/EG wordt als volgt gewijzigd:

| 1) | In artikel 41 wordt lid 4 vervangen door:

  “4.   Verzekerings- en herverzekeringsondernemingen treffen redelijke maatregelen, waaronder de ontwikkeling van noodplannen, om voor continuïteit en regelmatigheid in de verrichting van hun werkzaamheden te zorgen. Te dien einde worden door de ondernemingen passende en evenredige systemen, middelen en procedures gebruikt, en met name netwerk- en informatiesystemen gecreëerd en beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*2).


  (*2)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”." |
| --- | --- |

1)

In artikel 41 wordt lid 4 vervangen door:

“4.   Verzekerings- en herverzekeringsondernemingen treffen redelijke maatregelen, waaronder de ontwikkeling van noodplannen, om voor continuïteit en regelmatigheid in de verrichting van hun werkzaamheden te zorgen. Te dien einde worden door de ondernemingen passende en evenredige systemen, middelen en procedures gebruikt, en met name netwerk- en informatiesystemen gecreëerd en beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*2).

(*2)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”."

*2

| 2) | In artikel 50, lid 1, worden de punten a) en b) vervangen door:






  “a) | de onderdelen van de in artikel 41, artikel 44, met name op de in artikel 44, lid 2, genoemde gebieden, en de artikelen 46 en 47 bedoelde systemen, voor zover zij geen betrekking hebben op het beheer van informatie- en communicatietechnologierisico’s; |
| --- | --- | --- |

2)

In artikel 50, lid 1, worden de punten a) en b) vervangen door:

“a)

de onderdelen van de in artikel 41, artikel 44, met name op de in artikel 44, lid 2, genoemde gebieden, en de artikelen 46 en 47 bedoelde systemen, voor zover zij geen betrekking hebben op het beheer van informatie- en communicatietechnologierisico’s;

| b) | de in de artikelen 44, 46, 47 en 48 bedoelde functies, voor zover het niet gaat om functies die verband houden met het beheer van informatie- en communicatietechnologierisico’s.”. |
| --- | --- |

b)

de in de artikelen 44, 46, 47 en 48 bedoelde functies, voor zover het niet gaat om functies die verband houden met het beheer van informatie- en communicatietechnologierisico’s.”.

Artikel 3

Wijzigingen in Richtlijn 2011/61/EU

Artikel 18 van Richtlijn 2011/61/EU wordt vervangen door:

“Artikel 18

Algemene beginselen

1.   De lidstaten eisen dat abi-beheerders te allen tijde over adequate en voldoende personele en technische middelen beschikken om het beheer van abi's naar behoren te kunnen uitvoeren.

Mede in het licht van de aard van het door de abi-beheerder beheerde abi schrijven de bevoegde autoriteiten van de lidstaat van herkomst met name voor dat de abi-beheerder moet beschikken over goede administratieve en boekhoudkundige procedures, controle- en beveiligingsvoorschriften voor elektronische gegevensverwerking, onder meer met betrekking tot netwerk- en informatiesystemen die worden opgericht en beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*3), evenals adequate interne controleprocedures, met inbegrip van met name regels voor persoonlijke transacties van de eigen medewerkers en voor het aanhouden of beheren van beleggingen met het oog op het beleggen van het eigen vermogen, zodat op zijn minst gewaarborgd wordt dat elke transactie waarbij de abi's betrokken zijn, kan worden gereconstrueerd wat betreft de oorsprong ervan, de erbij betrokken partijen, de aard ervan en de tijd en de plaats waar de transactie heeft plaatsgevonden, en dat de activa van de door de abi-beheerder beheerde abi worden belegd in overeenstemming met het reglement van de abi of de statuten en de vigerende wettelijke bepalingen.

2.   De Commissie stelt middels gedelegeerde handelingen overeenkomstig artikel 56 en onder de voorwaarden van de artikelen 57 en 58 maatregelen vast tot precisering van de procedures en regels waarvan sprake is in lid 1 van dit artikel, voor zover zij geen betrekking hebben op de procedures en regelingen inzake netwerk- en informatiesystemen.

Artikel 4

Wijzigingen in Richtlijn 2013/36/EU

Richtlijn 2013/36/EU wordt als volgt gewijzigd:

| 1) | In artikel 65, lid 3, wordt punt a), vi), vervangen door:






  “vi) | derden aan wie de in de punten i) tot en met iv) bedoelde entiteiten functies of activiteiten hebben uitbesteed, met inbegrip van derde aanbieders van ICT-diensten, zoals bedoeld in hoofdstuk V van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*4); |
| --- | --- | --- |

1)

In artikel 65, lid 3, wordt punt a), vi), vervangen door:

“vi)

derden aan wie de in de punten i) tot en met iv) bedoelde entiteiten functies of activiteiten hebben uitbesteed, met inbegrip van derde aanbieders van ICT-diensten, zoals bedoeld in hoofdstuk V van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*4);

*4

(*4)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”."

*4

| 2) | In artikel 74, lid 1, wordt de eerste alinea vervangen door:

  “De instellingen beschikken over solide governanceregelingen, waaronder een duidelijke organisatiestructuur met duidelijk omschreven, transparante en samenhangende verantwoordelijkheden, effectieve procedures voor het identificeren, het beheer, de bewaking en de rapportage van de risico's waaraan zij blootstaan of bloot kunnen komen te staan, adequate internecontrolemechanismen, zoals degelijke administratieve en boekhoudkundige procedures, netwerk- en informatiesystemen die overeenkomstig Verordening (EU) 2022/2554 worden opgericht en beheerd, en een beloningsbeleid en een beloningspraktijk die in overeenstemming zijn met en bijdragen tot een degelijk en doeltreffend risicobeheer.”. |
| --- | --- |

2)

In artikel 74, lid 1, wordt de eerste alinea vervangen door:

“De instellingen beschikken over solide governanceregelingen, waaronder een duidelijke organisatiestructuur met duidelijk omschreven, transparante en samenhangende verantwoordelijkheden, effectieve procedures voor het identificeren, het beheer, de bewaking en de rapportage van de risico's waaraan zij blootstaan of bloot kunnen komen te staan, adequate internecontrolemechanismen, zoals degelijke administratieve en boekhoudkundige procedures, netwerk- en informatiesystemen die overeenkomstig Verordening (EU) 2022/2554 worden opgericht en beheerd, en een beloningsbeleid en een beloningspraktijk die in overeenstemming zijn met en bijdragen tot een degelijk en doeltreffend risicobeheer.”.

| 3) | In artikel 85 wordt lid 2 vervangen door:

  “2.   De bevoegde autoriteiten zorgen ervoor dat de instellingen over gepaste nood- en bedrijfscontinuïteitsbeleidslijnen en -plannen beschikken, inclusief beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT wat betreft de technologie die zij gebruiken om informatie te verstrekken, en dat die plannen worden opgesteld, beheerd en getest overeenkomstig artikel 11 van Verordening (EU) 2022/2554, teneinde instellingen in staat te stellen hun activiteiten voort te zetten in geval van een ernstige verstoring van de bedrijfsactiviteiten en de verliezen als gevolg van een dergelijke verstoring te beperken.”. |
| --- | --- |

3)

In artikel 85 wordt lid 2 vervangen door:

“2.   De bevoegde autoriteiten zorgen ervoor dat de instellingen over gepaste nood- en bedrijfscontinuïteitsbeleidslijnen en -plannen beschikken, inclusief beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT wat betreft de technologie die zij gebruiken om informatie te verstrekken, en dat die plannen worden opgesteld, beheerd en getest overeenkomstig artikel 11 van Verordening (EU) 2022/2554, teneinde instellingen in staat te stellen hun activiteiten voort te zetten in geval van een ernstige verstoring van de bedrijfsactiviteiten en de verliezen als gevolg van een dergelijke verstoring te beperken.”.

| 4) | In artikel 97, lid 1, wordt het volgende punt toegevoegd:






  “d) | risico’s die aan het licht zijn gekomen bij tests inzake de digitale operationele weerbaarheid overeenkomstig hoofdstuk IV van Verordening (EU) 2022/2554.”. |
| --- | --- | --- |

4)

In artikel 97, lid 1, wordt het volgende punt toegevoegd:

“d)

risico’s die aan het licht zijn gekomen bij tests inzake de digitale operationele weerbaarheid overeenkomstig hoofdstuk IV van Verordening (EU) 2022/2554.”.

Artikel 5

Wijzigingen in Richtlijn 2014/59/EU

Richtlijn 2014/59/EU wordt als volgt gewijzigd:

| 1) | Artikel 10 wordt als volgt gewijzigd:






  a) | in lid 7 wordt punt c) vervangen door:






  “c) | een demonstratie van de wijze waarop de kritieke functies en de kernbedrijfsonderdelen juridisch en economisch voldoende van de overige functies kunnen worden gescheiden om bij falen van de instelling de continuïteit en digitale operationele weerbaarheid te waarborgen;”; |
| --- | --- | --- | --- |

1)

Artikel 10 wordt als volgt gewijzigd:

a)

in lid 7 wordt punt c) vervangen door:

“c)

een demonstratie van de wijze waarop de kritieke functies en de kernbedrijfsonderdelen juridisch en economisch voldoende van de overige functies kunnen worden gescheiden om bij falen van de instelling de continuïteit en digitale operationele weerbaarheid te waarborgen;”;

| b) | in lid 7 wordt punt q) vervangen door:






  “q) | een beschrijving van de verrichtingen en systemen die essentieel zijn voor het behoud van de continuïteit van de operationele processen van de instelling, met inbegrip van netwerk- en informatiesystemen als bedoeld in Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*5); |
| --- | --- | --- |

b)

in lid 7 wordt punt q) vervangen door:

“q)

een beschrijving van de verrichtingen en systemen die essentieel zijn voor het behoud van de continuïteit van de operationele processen van de instelling, met inbegrip van netwerk- en informatiesystemen als bedoeld in Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*5);

*5

(*5)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*5

| c) | aan lid 9 wordt de volgende alinea toegevoegd:

  “In overeenstemming met artikel 10 van Verordening (EU) nr. 1093/2010 evalueert en, in voorkomend geval, actualiseert de EBA de technische reguleringsnormen om onder meer rekening te houden met de bepalingen van hoofdstuk II van Verordening (EU) 2022/2554.”. |
| --- | --- |

c)

aan lid 9 wordt de volgende alinea toegevoegd:

“In overeenstemming met artikel 10 van Verordening (EU) nr. 1093/2010 evalueert en, in voorkomend geval, actualiseert de EBA de technische reguleringsnormen om onder meer rekening te houden met de bepalingen van hoofdstuk II van Verordening (EU) 2022/2554.”.

| 2) | De bijlage wordt als volgt gewijzigd:






  a) | in deel A wordt punt 16) vervangen door:






  “16) | de regelingen en maatregelen die nodig zijn voor het behoud van de continuïteit van de operationele processen van de instelling, met inbegrip van de netwerk- en informatiesystemen die zijn opgericht en worden beheerd overeenkomstig Verordening (EU) 2022/2554;”; |
| --- | --- | --- | --- |

2)

De bijlage wordt als volgt gewijzigd:

a)

in deel A wordt punt 16) vervangen door:

“16)

de regelingen en maatregelen die nodig zijn voor het behoud van de continuïteit van de operationele processen van de instelling, met inbegrip van de netwerk- en informatiesystemen die zijn opgericht en worden beheerd overeenkomstig Verordening (EU) 2022/2554;”;

| b) | deel B wordt als volgt gewijzigd:






  i) | punt 14) wordt vervangen door:






  “14) | de identificatie van de eigenaars van de in punt 13) genoemde systemen, de daarmee verband houdende dienstenniveauovereenkomsten en eventuele software en systemen of licenties, met een uitsplitsing naar hun rechtspersonen, kritieke bedrijfsactiviteiten en kernbedrijfsonderdelen, evenals de identificatie van kritieke externe aanbieders van ICT-diensten zoals gedefinieerd in artikel 3, punt 23, van Verordening (EU) 2022/2554;”; |
| --- | --- | --- | --- |

b)

deel B wordt als volgt gewijzigd:

i)

punt 14) wordt vervangen door:

“14)

de identificatie van de eigenaars van de in punt 13) genoemde systemen, de daarmee verband houdende dienstenniveauovereenkomsten en eventuele software en systemen of licenties, met een uitsplitsing naar hun rechtspersonen, kritieke bedrijfsactiviteiten en kernbedrijfsonderdelen, evenals de identificatie van kritieke externe aanbieders van ICT-diensten zoals gedefinieerd in artikel 3, punt 23, van Verordening (EU) 2022/2554;”;

| ii) | het volgende punt wordt toegevoegd:






  “14 bis) | de resultaten van de tests van instellingen inzake digitale operationele weerbaarheid uit hoofde van Verordening (EU) 2022/2554;”; |
| --- | --- | --- |

ii)

het volgende punt wordt toegevoegd:

“14 bis)

de resultaten van de tests van instellingen inzake digitale operationele weerbaarheid uit hoofde van Verordening (EU) 2022/2554;”;

| c) | deel C wordt als volgt gewijzigd:






  i) | punt 4 wordt vervangen door:






  “4. | de mate waarin de dienstverleningsovereenkomsten waarover de instelling beschikt, met inbegrip van de contractuele overeenkomsten inzake het gebruik van ICT-diensten, robuust en volledig afdwingbaar zijn in geval van de afwikkeling van de instelling;”; |
| --- | --- | --- | --- |

c)

deel C wordt als volgt gewijzigd:

i)

punt 4 wordt vervangen door:

“4.

de mate waarin de dienstverleningsovereenkomsten waarover de instelling beschikt, met inbegrip van de contractuele overeenkomsten inzake het gebruik van ICT-diensten, robuust en volledig afdwingbaar zijn in geval van de afwikkeling van de instelling;”;

| ii) | het volgende punt wordt ingevoegd:






  “4 bis. | de digitale operationele weerbaarheid van de netwerk- en informatiesystemen die kritieke functies en kernbedrijfsonderdelen van de instelling ondersteunen, rekening houdend met verslagen over ernstige ICT-gerelateerde incidenten en de resultaten van tests van digitale operationele weerbaarheid uit hoofde van Verordening (EU) 2022/2554;”. |
| --- | --- | --- |

ii)

het volgende punt wordt ingevoegd:

“4 bis.

de digitale operationele weerbaarheid van de netwerk- en informatiesystemen die kritieke functies en kernbedrijfsonderdelen van de instelling ondersteunen, rekening houdend met verslagen over ernstige ICT-gerelateerde incidenten en de resultaten van tests van digitale operationele weerbaarheid uit hoofde van Verordening (EU) 2022/2554;”.

Artikel 6

Wijzigingen in Richtlijn 2014/65/EU

Richtlijn 2014/65/EU wordt als volgt gewijzigd:

| 1) | Artikel 16 wordt als volgt gewijzigd:






  a) | lid 4 wordt vervangen door:

  “4.   Een beleggingsonderneming treft redelijke maatregelen om continuïteit en regelmatigheid bij het verlenen van beleggingsdiensten en het verrichten van beleggingsactiviteiten te waarborgen. Te dien einde maakt de beleggingsonderneming gebruik van passende en evenredige systemen, met inbegrip van ICT-systemen die zijn opgericht en worden beheerd overeenkomstig artikel 7 van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*6), evenals van passende en evenredige middelen en procedures.


  (*6)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;" |
| --- | --- | --- |

1)

Artikel 16 wordt als volgt gewijzigd:

a)

lid 4 wordt vervangen door:

“4.   Een beleggingsonderneming treft redelijke maatregelen om continuïteit en regelmatigheid bij het verlenen van beleggingsdiensten en het verrichten van beleggingsactiviteiten te waarborgen. Te dien einde maakt de beleggingsonderneming gebruik van passende en evenredige systemen, met inbegrip van ICT-systemen die zijn opgericht en worden beheerd overeenkomstig artikel 7 van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*6), evenals van passende en evenredige middelen en procedures.

(*6)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*6

| b) | in lid 5 worden de tweede en derde alinea vervangen door:

  “Een beleggingsonderneming beschikt over een goede administratieve en boekhoudkundige organisatie, adequate interne controlemechanismen en effectieve risicobeoordelingsprocedures.
  Onverminderd de mogelijkheid voor de bevoegde autoriteiten om toegang tot communicatie te vragen overeenkomstig deze richtlijn en Verordening (EU) nr. 600/2014 beschikt een beleggingsonderneming over deugdelijke beveiligingsmechanismen om, overeenkomstig de vereisten van Verordening (EU) 2022/2554 de beveiliging en authenticatie van de middelen voor de informatieoverdracht te waarborgen, het risico op datacorruptie en ongeoorloofde toegang tot een minimum te beperken en te voorkomen dat informatie uitlekt door de vertrouwelijkheid van de gegevens te allen tijde te bewaren.”. |
| --- | --- |

b)

in lid 5 worden de tweede en derde alinea vervangen door:

“Een beleggingsonderneming beschikt over een goede administratieve en boekhoudkundige organisatie, adequate interne controlemechanismen en effectieve risicobeoordelingsprocedures.

Onverminderd de mogelijkheid voor de bevoegde autoriteiten om toegang tot communicatie te vragen overeenkomstig deze richtlijn en Verordening (EU) nr. 600/2014 beschikt een beleggingsonderneming over deugdelijke beveiligingsmechanismen om, overeenkomstig de vereisten van Verordening (EU) 2022/2554 de beveiliging en authenticatie van de middelen voor de informatieoverdracht te waarborgen, het risico op datacorruptie en ongeoorloofde toegang tot een minimum te beperken en te voorkomen dat informatie uitlekt door de vertrouwelijkheid van de gegevens te allen tijde te bewaren.”.

| 2) | Artikel 17 wordt als volgt gewijzigd:






  a) | lid 1 wordt vervangen door:

  “1.   Een beleggingsonderneming die zich met algoritmische handel bezighoudt, heeft voor haar bedrijfsactiviteit geschikte, doeltreffende systemen en risicocontroles ingesteld om te garanderen dat haar handelssystemen weerbaar zijn en voldoende capaciteit hebben overeenkomstig de vereisten van hoofdstuk II van Verordening (EU) 2022/2554, aan gepaste handelsdrempels en -limieten onderworpen zijn, en te voorkomen dat foutieve orders worden verzonden of dat de systemen anderszins op zodanige wijze functioneren dat zulks tot het ontstaan van een onordelijke markt kan leiden of bijdragen.
  Een dergelijke onderneming heeft ook doeltreffende systemen en risicocontroles ingesteld om te garanderen dat de handelssystemen niet kunnen worden aangewend voor enigerlei doel dat in strijd is met Verordening (EU) nr. 596/2014 of met de regels van een handelsplatform waarmee zij is verbonden.
  De beleggingsonderneming beschikt over doeltreffende regelingen om de bedrijfscontinuïteit bij elke storing van haar handelssystemen te garanderen, met inbegrip van overeenkomstig artikel 11 van Verordening (EU) 2022/2554 opgestelde beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT, en ziet erop toe dat haar systemen volledig zijn getest en naar behoren worden gecontroleerd om te garanderen dat zij aan de algemene vereisten van dit lid en aan de specifieke vereisten van de hoofdstukken II en IV van Verordening (EU) 2022/2554 voldoen.”; |
| --- | --- | --- |

2)

Artikel 17 wordt als volgt gewijzigd:

a)

lid 1 wordt vervangen door:

“1.   Een beleggingsonderneming die zich met algoritmische handel bezighoudt, heeft voor haar bedrijfsactiviteit geschikte, doeltreffende systemen en risicocontroles ingesteld om te garanderen dat haar handelssystemen weerbaar zijn en voldoende capaciteit hebben overeenkomstig de vereisten van hoofdstuk II van Verordening (EU) 2022/2554, aan gepaste handelsdrempels en -limieten onderworpen zijn, en te voorkomen dat foutieve orders worden verzonden of dat de systemen anderszins op zodanige wijze functioneren dat zulks tot het ontstaan van een onordelijke markt kan leiden of bijdragen.

Een dergelijke onderneming heeft ook doeltreffende systemen en risicocontroles ingesteld om te garanderen dat de handelssystemen niet kunnen worden aangewend voor enigerlei doel dat in strijd is met Verordening (EU) nr. 596/2014 of met de regels van een handelsplatform waarmee zij is verbonden.

De beleggingsonderneming beschikt over doeltreffende regelingen om de bedrijfscontinuïteit bij elke storing van haar handelssystemen te garanderen, met inbegrip van overeenkomstig artikel 11 van Verordening (EU) 2022/2554 opgestelde beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT, en ziet erop toe dat haar systemen volledig zijn getest en naar behoren worden gecontroleerd om te garanderen dat zij aan de algemene vereisten van dit lid en aan de specifieke vereisten van de hoofdstukken II en IV van Verordening (EU) 2022/2554 voldoen.”;

| b) | in lid 7 wordt punt a) vervangen door:






  “a) | gedetailleerde informatie inzake de in de leden 1 tot en met 6 gestelde organisatorische eisen die geen betrekking hebben op ICT-risicobeheer en die moeten worden opgelegd aan beleggingsondernemingen die verschillende beleggingsdiensten, beleggingsactiviteiten, nevendiensten of combinaties daarvan verlenen of verrichten. In de gedetailleerde informatie inzake de in lid 5 gestelde organisatorische eisen worden de specifieke vereisten voor directe markttoegang en voor gesponsorde toegang vastgelegd op een wijze die garandeert dat de voor gesponsorde toegang toegepaste controles ten minste gelijkwaardig zijn aan de voor directe markttoegang toegepaste controles;”. |
| --- | --- | --- |

b)

in lid 7 wordt punt a) vervangen door:

“a)

gedetailleerde informatie inzake de in de leden 1 tot en met 6 gestelde organisatorische eisen die geen betrekking hebben op ICT-risicobeheer en die moeten worden opgelegd aan beleggingsondernemingen die verschillende beleggingsdiensten, beleggingsactiviteiten, nevendiensten of combinaties daarvan verlenen of verrichten. In de gedetailleerde informatie inzake de in lid 5 gestelde organisatorische eisen worden de specifieke vereisten voor directe markttoegang en voor gesponsorde toegang vastgelegd op een wijze die garandeert dat de voor gesponsorde toegang toegepaste controles ten minste gelijkwaardig zijn aan de voor directe markttoegang toegepaste controles;”.

| 3) | In artikel 47 wordt lid 1 als volgt gewijzigd:






  a) | punt b) wordt vervangen door:






  “b) | adequaat toegerust is voor het beheer van de risico's waaraan zij blootgesteld is, met inbegrip van het beheer van het ICT-risico overeenkomstig hoofdstuk II van Verordening (EU) 2022/2554, in passende regelingen en systemen voorziet om risico's van betekenis voor de exploitatie te onderkennen, en doeltreffende maatregelen treft om deze risico's te beperken;”; |
| --- | --- | --- | --- |

3)

In artikel 47 wordt lid 1 als volgt gewijzigd:

a)

punt b) wordt vervangen door:

“b)

adequaat toegerust is voor het beheer van de risico's waaraan zij blootgesteld is, met inbegrip van het beheer van het ICT-risico overeenkomstig hoofdstuk II van Verordening (EU) 2022/2554, in passende regelingen en systemen voorziet om risico's van betekenis voor de exploitatie te onderkennen, en doeltreffende maatregelen treft om deze risico's te beperken;”;

| b) | punt c) wordt geschrapt; |
| --- | --- |

b)

punt c) wordt geschrapt;

| 4) | Artikel 48 wordt als volgt gewijzigd:






  a) | lid 1 wordt vervangen door:

  “1.   De lidstaten schrijven voor dat een gereglementeerde markt zijn operationele weerbaarheid moet opbouwen en onderhouden in overeenstemming met de vereisten in hoofdstuk II van Verordening (EU) 2022/2554 om te waarborgen dat zijn handelssystemen weerbaar zijn, voldoende capaciteit hebben om volumepieken in orders en orderberichten op te vangen, in staat zijn een ordelijke handel onder zeer gespannen marktomstandigheden te waarborgen, volledig zijn getest om te garanderen dat aan deze voorwaarden is voldaan, en onderworpen zijn aan doeltreffende regelingen ter verzekering van de continuïteit van de bedrijfsuitoefening, inclusief beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT overeenkomstig artikel 11 van Verordening (EU) 2022/2554, teneinde de continuïteit van de dienstverlening te verzekeren in geval van een storing van zijn handelssystemen.”; |
| --- | --- | --- |

4)

Artikel 48 wordt als volgt gewijzigd:

a)

lid 1 wordt vervangen door:

“1.   De lidstaten schrijven voor dat een gereglementeerde markt zijn operationele weerbaarheid moet opbouwen en onderhouden in overeenstemming met de vereisten in hoofdstuk II van Verordening (EU) 2022/2554 om te waarborgen dat zijn handelssystemen weerbaar zijn, voldoende capaciteit hebben om volumepieken in orders en orderberichten op te vangen, in staat zijn een ordelijke handel onder zeer gespannen marktomstandigheden te waarborgen, volledig zijn getest om te garanderen dat aan deze voorwaarden is voldaan, en onderworpen zijn aan doeltreffende regelingen ter verzekering van de continuïteit van de bedrijfsuitoefening, inclusief beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT overeenkomstig artikel 11 van Verordening (EU) 2022/2554, teneinde de continuïteit van de dienstverlening te verzekeren in geval van een storing van zijn handelssystemen.”;

| b) | lid 6 wordt vervangen door:

  “6.   De lidstaten schrijven voor dat een gereglementeerde markt voorziet in doeltreffende systemen, procedures en regelingen, inclusief de verplichting voor leden of deelnemers om algoritmen adequaat te testen en omgevingen te bieden om deze tests te faciliteren overeenkomstig de vereisten van de hoofdstukken II en IV van Verordening (EU) 2022/2554, om te voorkomen dat systemen voor algoritmische handel tot het ontstaan van onordelijke handelsomstandigheden op de markt kunnen leiden of bijdragen en om alle onordelijke handelsomstandigheden die door deze systemen voor algoritmische handel ontstaan, te beheren, met inbegrip van systemen om de verhouding tussen het aantal niet-uitgevoerde orders en het aantal transacties dat door een lid of deelnemer in het handelssysteem kan worden ingevoerd te beperken, om in staat te zijn de orderstroom af te remmen indien het risico bestaat dat de systeemcapaciteit wordt bereikt, en om de minimale verhandelingseenheid op de markt te beperken en te handhaven.”; |
| --- | --- |

b)

lid 6 wordt vervangen door:

“6.   De lidstaten schrijven voor dat een gereglementeerde markt voorziet in doeltreffende systemen, procedures en regelingen, inclusief de verplichting voor leden of deelnemers om algoritmen adequaat te testen en omgevingen te bieden om deze tests te faciliteren overeenkomstig de vereisten van de hoofdstukken II en IV van Verordening (EU) 2022/2554, om te voorkomen dat systemen voor algoritmische handel tot het ontstaan van onordelijke handelsomstandigheden op de markt kunnen leiden of bijdragen en om alle onordelijke handelsomstandigheden die door deze systemen voor algoritmische handel ontstaan, te beheren, met inbegrip van systemen om de verhouding tussen het aantal niet-uitgevoerde orders en het aantal transacties dat door een lid of deelnemer in het handelssysteem kan worden ingevoerd te beperken, om in staat te zijn de orderstroom af te remmen indien het risico bestaat dat de systeemcapaciteit wordt bereikt, en om de minimale verhandelingseenheid op de markt te beperken en te handhaven.”;

| c) | lid 12 wordt als volgt gewijzigd:






  i) | punt a) wordt vervangen door:






  “a) | de vereisten om te waarborgen dat de handelssystemen van gereglementeerde markten weerbaar zijn en voldoende capaciteit hebben, met uitzondering van de vereisten in verband met de digitale operationele weerbaarheid;”; |
| --- | --- | --- | --- |

c)

lid 12 wordt als volgt gewijzigd:

i)

punt a) wordt vervangen door:

“a)

de vereisten om te waarborgen dat de handelssystemen van gereglementeerde markten weerbaar zijn en voldoende capaciteit hebben, met uitzondering van de vereisten in verband met de digitale operationele weerbaarheid;”;

| ii) | punt g) wordt vervangen door:






  “g) | de vereisten om ervoor te zorgen dat algoritmen adequaat worden getest — behalve wat hun digitale operationele weerbaarheid betreft — om te voorkomen dat systemen voor algoritmische handel met inbegrip van hoogfrequentie algoritmische handel kunnen leiden of bijdragen tot het ontstaan van onordelijke handelsomstandigheden op de markt.”. |
| --- | --- | --- |

ii)

punt g) wordt vervangen door:

“g)

de vereisten om ervoor te zorgen dat algoritmen adequaat worden getest — behalve wat hun digitale operationele weerbaarheid betreft — om te voorkomen dat systemen voor algoritmische handel met inbegrip van hoogfrequentie algoritmische handel kunnen leiden of bijdragen tot het ontstaan van onordelijke handelsomstandigheden op de markt.”.

Artikel 7

Wijzigingen in Richtlijn (EU) 2015/2366

Richtlijn (EU) 2015/2366 wordt als volgt gewijzigd:

| 1) | In artikel 3 wordt punt j) vervangen door:






  “j) | door technischedienstaanbieders verrichte diensten ter ondersteuning van het aanbieden van betalingsdiensten, waarbij de betrokken aanbieders op geen enkel moment in het bezit komen van de over te maken geldmiddelen, met inbegrip van verwerking en opslag van gegevens, diensten ter bescherming van het vertrouwen en het privéleven, authenticatie van gegevens en entiteiten, levering van informatie- en communicatietechnologie (ICT) en van communicatienetwerken, alsmede levering en onderhoud van voor betalingsdiensten gebruikte automaten en instrumenten, met uitzondering van betalingsinitiatiediensten en rekeninginformatiediensten;”. |
| --- | --- | --- |

1)

In artikel 3 wordt punt j) vervangen door:

“j)

door technischedienstaanbieders verrichte diensten ter ondersteuning van het aanbieden van betalingsdiensten, waarbij de betrokken aanbieders op geen enkel moment in het bezit komen van de over te maken geldmiddelen, met inbegrip van verwerking en opslag van gegevens, diensten ter bescherming van het vertrouwen en het privéleven, authenticatie van gegevens en entiteiten, levering van informatie- en communicatietechnologie (ICT) en van communicatienetwerken, alsmede levering en onderhoud van voor betalingsdiensten gebruikte automaten en instrumenten, met uitzondering van betalingsinitiatiediensten en rekeninginformatiediensten;”.

| 2) | Artikel 5, lid 1, wordt als volgt gewijzigd:






  a) | de eerste alinea wordt als volgt gewijzigd:






  i) | punt e) wordt vervangen door:






  “e) | een beschrijving van de regelingen op het gebied van bestuur (governance) en de mechanismen voor interne controle die de aanvrager heeft ingesteld, waaronder de administratieve en boekhoudkundige procedures en de procedures voor risicobeheer, alsook de regelingen voor het gebruik van ICT-diensten overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*7), waaruit blijkt dat die bestuursregelingen en interne controlemechanismen evenredig, passend, degelijk en adequaat zijn; |
| --- | --- | --- | --- | --- |

2)

Artikel 5, lid 1, wordt als volgt gewijzigd:

a)

de eerste alinea wordt als volgt gewijzigd:

i)

punt e) wordt vervangen door:

“e)

een beschrijving van de regelingen op het gebied van bestuur (governance) en de mechanismen voor interne controle die de aanvrager heeft ingesteld, waaronder de administratieve en boekhoudkundige procedures en de procedures voor risicobeheer, alsook de regelingen voor het gebruik van ICT-diensten overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*7), waaruit blijkt dat die bestuursregelingen en interne controlemechanismen evenredig, passend, degelijk en adequaat zijn;

*7

(*7)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1).”;"

*7

| ii) | punt f) wordt vervangen door:






  “f) | een beschrijving van de procedures voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en voor de follow-up ervan, met inbegrip van een mechanisme voor het melden van incidenten dat rekening houdt met de kennisgevingsverplichtingen voor betalingsinstellingen die zijn vastgelegd in hoofdstuk III van Verordening (EU) 2022/2554;”; |
| --- | --- | --- |

ii)

punt f) wordt vervangen door:

“f)

een beschrijving van de procedures voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en voor de follow-up ervan, met inbegrip van een mechanisme voor het melden van incidenten dat rekening houdt met de kennisgevingsverplichtingen voor betalingsinstellingen die zijn vastgelegd in hoofdstuk III van Verordening (EU) 2022/2554;”;

| iii) | punt h) wordt vervangen door:






  “h) | een beschrijving van de bedrijfscontinuïteitsregelingen, met daarin een duidelijke uiteenzetting van de kritieke bedrijfsactiviteiten, alsmede doeltreffende beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT en een procedure om de toereikendheid en efficiëntie van deze plannen regelmatig te beproeven en te herzien overeenkomstig Verordening (EU) 2022/2554;”; |
| --- | --- | --- |

iii)

punt h) wordt vervangen door:

“h)

een beschrijving van de bedrijfscontinuïteitsregelingen, met daarin een duidelijke uiteenzetting van de kritieke bedrijfsactiviteiten, alsmede doeltreffende beleidslijnen en plannen inzake ICT-bedrijfscontinuïteit en respons- en herstelplannen voor ICT en een procedure om de toereikendheid en efficiëntie van deze plannen regelmatig te beproeven en te herzien overeenkomstig Verordening (EU) 2022/2554;”;

| b) | de derde alinea wordt vervangen door:

  “Bij de in punt j) van de eerste alinea bedoelde maatregelen op het gebied van beveiligingscontrole en risicobeperking wordt aangegeven op welke wijze een hoog niveau van digitale operationele weerbaarheid wordt gewaarborgd overeenkomstig hoofdstuk II van Verordening (EU) 2022/2554, met name wat betreft technische beveiliging en gegevensbescherming, ook wat betreft de software en ICT-systemen die worden gebruikt door de aanvrager of door ondernemingen waaraan de aanvrager zijn activiteiten geheel of gedeeltelijk uitbesteedt. Deze maatregelen omvatten tevens de bij artikel 95, lid 1, van deze richtlijn vastgestelde beveiligingsmaatregelen. Bij het opstellen van deze maatregelen wordt tevens rekening gehouden met de in artikel 95, lid 3, van deze richtlijn bedoelde EBA-richtsnoeren inzake beveiligingsmaatregelen, zodra die zijn vastgesteld.”. |
| --- | --- |

b)

de derde alinea wordt vervangen door:

“Bij de in punt j) van de eerste alinea bedoelde maatregelen op het gebied van beveiligingscontrole en risicobeperking wordt aangegeven op welke wijze een hoog niveau van digitale operationele weerbaarheid wordt gewaarborgd overeenkomstig hoofdstuk II van Verordening (EU) 2022/2554, met name wat betreft technische beveiliging en gegevensbescherming, ook wat betreft de software en ICT-systemen die worden gebruikt door de aanvrager of door ondernemingen waaraan de aanvrager zijn activiteiten geheel of gedeeltelijk uitbesteedt. Deze maatregelen omvatten tevens de bij artikel 95, lid 1, van deze richtlijn vastgestelde beveiligingsmaatregelen. Bij het opstellen van deze maatregelen wordt tevens rekening gehouden met de in artikel 95, lid 3, van deze richtlijn bedoelde EBA-richtsnoeren inzake beveiligingsmaatregelen, zodra die zijn vastgesteld.”.

| 3) | In artikel 19, lid 6, wordt de tweede alinea vervangen door:

  “Bij het uitbesteden van belangrijke operationele taken, waaronder ICT-systemen, mag niet wezenlijk afbreuk worden gedaan aan de kwaliteit van de interne controle van de betalingsinstelling, noch aan het vermogen van de bevoegde autoriteiten om te controleren en na te gaan of de betalingsinstelling alle in deze richtlijn neergelegde verplichtingen nakomt.”. |
| --- | --- |

3)

In artikel 19, lid 6, wordt de tweede alinea vervangen door:

“Bij het uitbesteden van belangrijke operationele taken, waaronder ICT-systemen, mag niet wezenlijk afbreuk worden gedaan aan de kwaliteit van de interne controle van de betalingsinstelling, noch aan het vermogen van de bevoegde autoriteiten om te controleren en na te gaan of de betalingsinstelling alle in deze richtlijn neergelegde verplichtingen nakomt.”.

| 4) | Aan artikel 95, lid 1, wordt de volgende alinea toegevoegd:

  “De eerste alinea doet geen afbreuk aan de toepassing van hoofdstuk II van Verordening (EU) 2022/2554 op:






  a) | betalingsdienstaanbieders als bedoeld in artikel 1, lid 1, punten a), b) en d), van deze richtlijn; |
| --- | --- | --- |

4)

Aan artikel 95, lid 1, wordt de volgende alinea toegevoegd:

“De eerste alinea doet geen afbreuk aan de toepassing van hoofdstuk II van Verordening (EU) 2022/2554 op:

a)

betalingsdienstaanbieders als bedoeld in artikel 1, lid 1, punten a), b) en d), van deze richtlijn;

| b) | aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van deze richtlijn; |
| --- | --- |

b)

aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van deze richtlijn;

| c) | uit hoofde van artikel 32, lid 1, van deze richtlijn vrijgestelde betalingsinstellingen; en |
| --- | --- |

c)

uit hoofde van artikel 32, lid 1, van deze richtlijn vrijgestelde betalingsinstellingen; en

| d) | instellingen voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel 9, lid 1, van Richtlijn 2009/110/EG.”. |
| --- | --- |

d)

instellingen voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel 9, lid 1, van Richtlijn 2009/110/EG.”.

| 5) | Aan artikel 96 wordt het volgende lid toegevoegd:

  “7.   De lidstaten zorgen ervoor dat de leden 1 tot en met 5 van dit artikel niet van toepassing zijn op:






  a) | betalingsdienstaanbieders als bedoeld in artikel 1, lid 1, punten a), b) en d), van deze richtlijn; |
| --- | --- | --- |

5)

Aan artikel 96 wordt het volgende lid toegevoegd:

“7.   De lidstaten zorgen ervoor dat de leden 1 tot en met 5 van dit artikel niet van toepassing zijn op:

a)

betalingsdienstaanbieders als bedoeld in artikel 1, lid 1, punten a), b) en d), van deze richtlijn;

| b) | aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van deze richtlijn; |
| --- | --- |

b)

aanbieders van rekeninginformatiediensten als bedoeld in artikel 33, lid 1, van deze richtlijn;

| c) | uit hoofde van artikel 32, lid 1, van deze richtlijn vrijgestelde betalingsinstellingen; |
| --- | --- |

c)

uit hoofde van artikel 32, lid 1, van deze richtlijn vrijgestelde betalingsinstellingen;

| d) | instellingen voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel 9, lid 1, van Richtlijn 2009/110/EG.”. |
| --- | --- |

d)

instellingen voor elektronisch geld waaraan een ontheffing is verleend als bedoeld in artikel 9, lid 1, van Richtlijn 2009/110/EG.”.

| 6) | In artikel 98 wordt lid 5 vervangen door:

  “5.   In overeenstemming met artikel 10 van Verordening (EU) nr. 1093/2010 evalueert en, in voorkomend geval, actualiseert EBA de technische reguleringsnormen regelmatig om onder meer rekening te houden met innovatie en technologische ontwikkelingen en met de bepalingen van hoofdstuk II van Verordening (EU) 2022/2554.”. |
| --- | --- |

6)

In artikel 98 wordt lid 5 vervangen door:

“5.   In overeenstemming met artikel 10 van Verordening (EU) nr. 1093/2010 evalueert en, in voorkomend geval, actualiseert EBA de technische reguleringsnormen regelmatig om onder meer rekening te houden met innovatie en technologische ontwikkelingen en met de bepalingen van hoofdstuk II van Verordening (EU) 2022/2554.”.

Artikel 8

Wijziging in Richtlijn (EU) 2016/2341

Artikel 21, lid 5, van Richtlijn (EU) 2016/2341 wordt vervangen door:

“5.   De lidstaten zorgen ervoor dat IBPV's redelijke maatregelen treffen, waaronder de ontwikkeling van noodplannen, om voor continuïteit en regelmatigheid in de verrichting van hun werkzaamheden te zorgen. Te dien einde worden door IBPV's passende en evenredige systemen, middelen en procedures gebruikt en, indien nodig, met name netwerk- en informatiesystemen gecreëerd en beheerd overeenkomstig Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (*8).

Artikel 9

Omzetting

1.   De lidstaten dienen uiterlijk op 17 januari 2025 de bepalingen vast te stellen en bekend te maken die nodig zijn om aan deze richtlijn te voldoen. Zij stellen de Commissie daarvan onmiddellijk in kennis.

Zij passen die bepalingen toe met ingang van 17 januari 2025.

Wanneer de lidstaten die bepalingen aannemen, wordt in die bepalingen zelf of bij de officiële bekendmaking ervan naar deze richtlijn verwezen. De regels voor deze verwijzing worden vastgesteld door de lidstaten.

2.   De lidstaten delen de Commissie de tekst van de belangrijkste bepalingen van intern recht mede die zij op het onder deze richtlijn vallende gebied vaststellen.

Artikel 10

Inwerkingtreding

Deze richtlijn treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Publicatieblad van de Europese Unie

Artikel 11

Adressaten

Deze richtlijn is gericht tot de lidstaten.

Gedaan te Straatsburg, 14 december 2022.

Voor het Europees Parlement

De voorzitter

R. METSOLA

Voor de Raad

De voorzitter

M. BEK

---

(1)  
  PB C 343 van 26.8.2021, blz. 1.

1

(2)  
  PB C 155 van 30.4.2021, blz. 38.

2

(3)  Standpunt van het Europees Parlement van 10 november 2022 (nog niet bekendgemaakt in het Publicatieblad) en besluit van de Raad van 28 november 2022.

3

(4)  Richtlijn 2009/65/EG van het Europees Parlement en de Raad van 13 juli 2009 tot coördinatie van de wettelijke en bestuursrechtelijke bepalingen betreffende bepaalde instellingen voor collectieve belegging in effecten (icbe’s) (PB L 302 van 17.11.2009, blz. 32).

4

(5)  Richtlijn 2009/138/EG van het Europees Parlement en de Raad van 25 november 2009 betreffende de toegang tot en uitoefening van het verzekerings- en het herverzekeringsbedrijf (Solvabiliteit II) (PB L 335 van 17.12.2009, blz. 1).

5

(6)  Richtlijn 2011/61/EU van het Europees Parlement en de Raad van 8 juni 2011 inzake beheerders van alternatieve beleggingsinstellingen en tot wijziging van de Richtlijnen 2003/41/EG en 2009/65/EG en van de Verordeningen (EG) nr. 1060/2009 en (EU) nr. 1095/2010 (PB L 174 van 1.7.2011, blz. 1).

6

(7)  Richtlijn 2013/36/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen, tot wijziging van Richtlijn 2002/87/EG en tot intrekking van Richtlijnen 2006/48/EG en 2006/49/EG (PB L 176 van 27.6.2013, blz. 338).

7

(8)  Richtlijn 2014/59/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende de totstandbrenging van een kader voor het herstel en de afwikkeling van kredietinstellingen en beleggingsondernemingen en tot wijziging van Richtlijn 82/891/EEG van de Raad en de Richtlijnen 2001/24/EG, 2002/47/EG, 2004/25/EG, 2005/56/EG, 2007/36/EG, 2011/35/EU, 2012/30/EU en 2013/36/EU en de Verordeningen (EU) nr. 1093/2010 en (EU) nr. 648/2012, van het Europees Parlement en de Raad (PB L 173 van 12.6.2014, blz. 190).

8

(9)  Richtlijn 2014/65/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten voor financiële instrumenten en tot wijziging van Richtlijn 2002/92/EG en Richtlijn 2011/61/EU (PB L 173 van 12.6.2014, blz. 349).

9

(10)  Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad van 25 november 2015 betreffende betalingsdiensten in de interne markt, houdende wijziging van de Richtlijnen 2002/65/EG, 2009/110/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010 en houdende intrekking van Richtlijn 2007/64/EG (PB L 337 van 23.12.2015, blz. 35).

10

(11)  Richtlijn (EU) 2016/2341 van het Europees Parlement en de Raad van 14 december 2016 betreffende de werkzaamheden van en het toezicht op instellingen voor bedrijfspensioenvoorziening (IBPV's) (PB L 354 van 23.12.2016, blz. 37).

11

(12)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (zie bladzijde 1 van dit Publicatieblad).

12

(13)  Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Bankautoriteit), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/78/EG van de Commissie (PB L 331 van 15.12.2010, blz. 12).

13

(14)  
  PB C 369 van 17.12.2011, blz. 14.

14

---

| 27.12.2022 | NL | Publicatieblad van de Europese Unie | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

NL

Publicatieblad van de Europese Unie

L 333/164

---

RICHTLIJN (EU) 2022/2557 VAN HET EUROPEES PARLEMENT EN DE RAAD

van 14 december 2022

betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad

(Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 114,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Gezien het advies van het Europees Economisch en Sociaal Comité (1),

Gezien het advies van het Comité van de Regio's (2),

Handelend volgens de gewone wetgevingsprocedure (3),

Overwegende hetgeen volgt:

| (1) | In de onderling steeds afhankelijker wordende economie van de Unie spelen kritieke entiteiten, als aanbieders van essentiële diensten, een onontbeerlijke rol bij het behoud van vitale maatschappelijke functies of economische activiteiten op de interne markt. Het is daarom essentieel een Uniekader vast te stellen met het doel om kritieke entiteiten op de interne markt enerzijds weerbaarder te maken door geharmoniseerde minimumvoorschriften vast te stellen en anderzijds te helpen door middel van coherente en gerichte ondersteunende en toezichtmaatregelen. |
| --- | --- |

(1)

In de onderling steeds afhankelijker wordende economie van de Unie spelen kritieke entiteiten, als aanbieders van essentiële diensten, een onontbeerlijke rol bij het behoud van vitale maatschappelijke functies of economische activiteiten op de interne markt. Het is daarom essentieel een Uniekader vast te stellen met het doel om kritieke entiteiten op de interne markt enerzijds weerbaarder te maken door geharmoniseerde minimumvoorschriften vast te stellen en anderzijds te helpen door middel van coherente en gerichte ondersteunende en toezichtmaatregelen.

| (2) | Richtlijn 2008/114/EG van de Raad (4) voorziet in een procedure voor het aanwijzen van Europese kritieke infrastructuren in de sectoren energie en vervoer, waarvan de ontwrichting of vernietiging aanzienlijke grensoverschrijdende gevolgen zou hebben voor ten minste twee lidstaten. Die richtlijn is uitsluitend gericht op de bescherming van dergelijke infrastructuren. De in 2019 verrichte evaluatie van Richtlijn 2008/114/EG wees echter uit dat door de steeds sterkere verwevenheid en grensoverschrijdende aard van activiteiten waarbij gebruik wordt gemaakt van de kritieke infrastructuur, beschermende maatregelen met betrekking tot louter individuele activa niet volstaan om alle verstoringen te voorkomen. Die aanpak moet dan ook worden verruild voor een aanpak waarin meer oog is voor de risico's, waarin de rol en plichten van kritieke entiteiten die diensten aanbieden die essentieel zijn voor de werking van de interne markt, beter worden omschreven en samenhangend zijn en waarin Unieregels worden vastgesteld om de weerbaarheid van kritieke entiteiten te vergroten. Kritieke entiteiten moeten derhalve beter in staat zijn om incidenten die de verlening van essentiële diensten kunnen verstoren, te voorkomen, te bestrijden, te beperken, te beheersen, en om bescherming te bieden of bestand te zijn tegen, of zich aan te passen aan die incidenten of daarvan te herstellen. |
| --- | --- |

(2)

Richtlijn 2008/114/EG van de Raad (4) voorziet in een procedure voor het aanwijzen van Europese kritieke infrastructuren in de sectoren energie en vervoer, waarvan de ontwrichting of vernietiging aanzienlijke grensoverschrijdende gevolgen zou hebben voor ten minste twee lidstaten. Die richtlijn is uitsluitend gericht op de bescherming van dergelijke infrastructuren. De in 2019 verrichte evaluatie van Richtlijn 2008/114/EG wees echter uit dat door de steeds sterkere verwevenheid en grensoverschrijdende aard van activiteiten waarbij gebruik wordt gemaakt van de kritieke infrastructuur, beschermende maatregelen met betrekking tot louter individuele activa niet volstaan om alle verstoringen te voorkomen. Die aanpak moet dan ook worden verruild voor een aanpak waarin meer oog is voor de risico's, waarin de rol en plichten van kritieke entiteiten die diensten aanbieden die essentieel zijn voor de werking van de interne markt, beter worden omschreven en samenhangend zijn en waarin Unieregels worden vastgesteld om de weerbaarheid van kritieke entiteiten te vergroten. Kritieke entiteiten moeten derhalve beter in staat zijn om incidenten die de verlening van essentiële diensten kunnen verstoren, te voorkomen, te bestrijden, te beperken, te beheersen, en om bescherming te bieden of bestand te zijn tegen, of zich aan te passen aan die incidenten of daarvan te herstellen.

| (3) | Hoewel er momenteel een aantal maatregelen van kracht zijn die tot doel hebben de bescherming van kritieke infrastructuur in de Unie te ondersteunen, op zowel het nationaal niveau als op het niveau van de Unie, zoals het Europees programma voor de bescherming van kritieke infrastructuur, zou er meer moeten worden gedaan om de entiteiten die een dergelijke infrastructuur exploiteren beter toe te rusten om het hoofd te bieden aan de risico's die de verlening van essentiële diensten zouden kunnen verstoren. Ook moet meer worden gedaan om die entiteiten beter toe te rusten omdat er sprake is van een dynamisch dreigingslandschap, met onder andere veranderende hybride en terroristische dreigingen en toenemende onderlinge afhankelijkheid tussen infrastructuur en sectoren. Bovendien is er een toenemend fysiek risico wegens natuurrampen en klimaatverandering, waardoor zich vaker en op grotere schaal extreme weersomstandigheden zullen voordoen en de gemiddelde klimaatcondities langetermijnveranderingen ondergaan die, als er geen maatregelen voor aanpassing aan de klimaatverandering worden getroffen, afbreuk kunnen doen aan de capaciteit, efficiëntie en levensduur van bepaalde soorten infrastructuur. Bovendien wordt de interne markt gekenmerkt door versnippering wat betreft de identificatie van kritieke entiteiten, en worden de betreffende sectoren en categorieën entiteiten dus niet altijd in alle lidstaten als kritiek erkend. Met deze richtlijn moet ten aanzien van de sectoren en categorieën entiteiten die onder het toepassingsgebied ervan vallen derhalve een solide niveau van harmonisatie worden bereikt. |
| --- | --- |

(3)

Hoewel er momenteel een aantal maatregelen van kracht zijn die tot doel hebben de bescherming van kritieke infrastructuur in de Unie te ondersteunen, op zowel het nationaal niveau als op het niveau van de Unie, zoals het Europees programma voor de bescherming van kritieke infrastructuur, zou er meer moeten worden gedaan om de entiteiten die een dergelijke infrastructuur exploiteren beter toe te rusten om het hoofd te bieden aan de risico's die de verlening van essentiële diensten zouden kunnen verstoren. Ook moet meer worden gedaan om die entiteiten beter toe te rusten omdat er sprake is van een dynamisch dreigingslandschap, met onder andere veranderende hybride en terroristische dreigingen en toenemende onderlinge afhankelijkheid tussen infrastructuur en sectoren. Bovendien is er een toenemend fysiek risico wegens natuurrampen en klimaatverandering, waardoor zich vaker en op grotere schaal extreme weersomstandigheden zullen voordoen en de gemiddelde klimaatcondities langetermijnveranderingen ondergaan die, als er geen maatregelen voor aanpassing aan de klimaatverandering worden getroffen, afbreuk kunnen doen aan de capaciteit, efficiëntie en levensduur van bepaalde soorten infrastructuur. Bovendien wordt de interne markt gekenmerkt door versnippering wat betreft de identificatie van kritieke entiteiten, en worden de betreffende sectoren en categorieën entiteiten dus niet altijd in alle lidstaten als kritiek erkend. Met deze richtlijn moet ten aanzien van de sectoren en categorieën entiteiten die onder het toepassingsgebied ervan vallen derhalve een solide niveau van harmonisatie worden bereikt.

| (4) | Hoewel bepaalde economische sectoren, zoals de energie- en vervoersectoren, reeds zijn gereguleerd door middel van sectorspecifieke rechtshandelingen van de Unie, bevatten die rechtshandelingen bepalingen die slechts verband houden met een aantal aspecten van de weerbaarheid van entiteiten die in die sectoren actief zijn. Om op een brede manier de weerbaarheid te bevorderen van entiteiten die van kritiek belang zijn voor een goede werking van de interne markt, creëert deze richtlijn een overkoepelend kader betreffende de weerbaarheid van kritieke entiteiten ten aanzien van alle gevaren, d.w.z. zowel natuurrampen als rampen die, accidenteel of opzettelijk, door de mens worden veroorzaakt. |
| --- | --- |

(4)

Hoewel bepaalde economische sectoren, zoals de energie- en vervoersectoren, reeds zijn gereguleerd door middel van sectorspecifieke rechtshandelingen van de Unie, bevatten die rechtshandelingen bepalingen die slechts verband houden met een aantal aspecten van de weerbaarheid van entiteiten die in die sectoren actief zijn. Om op een brede manier de weerbaarheid te bevorderen van entiteiten die van kritiek belang zijn voor een goede werking van de interne markt, creëert deze richtlijn een overkoepelend kader betreffende de weerbaarheid van kritieke entiteiten ten aanzien van alle gevaren, d.w.z. zowel natuurrampen als rampen die, accidenteel of opzettelijk, door de mens worden veroorzaakt.

| (5) | De toenemende onderlinge afhankelijkheid tussen infrastructuren en sectoren komt doordat er een netwerk van dienstverlening is dat steeds meer grensoverschrijdend en onderling afhankelijk is en dat in de hele Unie gebruikmaakt van belangrijke infrastructuur in de energie, vervoer, bankwezen, drinkwater, afvalwater, productie, verwerking en distributie van levensmiddelen, volksgezondheid, ruimtevaart, financiëlemarktinfrastructuur en digitaledienstverleningsectoren en bepaalde aspecten van de overheidssector.. De ruimtevaartsector valt onder het toepassingsgebied van deze richtlijn met betrekking tot de verlening van bepaalde diensten die afhankelijk zijn van grondinfrastructuren die eigendom zijn van en beheerd en geëxploiteerd worden door lidstaten of particuliere partijen; bijgevolg vallen infrastructuren die eigendom zijn van en beheerd of geëxploiteerd worden door of namens de Unie in het kader van haar ruimtevaartprogramma niet onder het toepassingsgebied van deze richtlijn.
  Wat de energiesector betreft, en meer bepaald de wijze van elektriciteitsproductie en -transmissie (met het oog op de elektriciteitsvoorziening), kan, indien zulks wenselijk wordt geacht, de elektriciteitsproductie ook de transmissieonderdelen van kerncentrales omvatten, maar niet de specifiek nucleaire elementen die vallen onder verdragen en het Unierecht, met inbegrip van relevante rechtshandelingen van de Unie betreffende kernenergie. In het proces om kritieke entiteiten in de levensmiddelensector te identificeren moet op passende wijze rekening worden gehouden met de aard van de interne markt in die sector en de uitgebreide Unievoorschriften met betrekking tot de algemene beginselen en voorschriften van het levensmiddelenrecht en de voedselveiligheid. Om een evenredige aanpak te waarborgen en om op passende wijze rekening te houden met de rol en het belang van die entiteiten op nationaal niveau, mogen levensmiddelenbedrijven, met of zonder winstoogmerk, publiek of privaat, derhalve alleen als kritieke entiteiten worden geïdentificeerd als zij zich uitsluitend bezighouden met logistiek en groothandel, dan wel grootschalige industriële productie en verwerking met een significant marktaandeel op nationaal niveau. Die onderlinge afhankelijkheden betekenen dat elke verstoring van essentiële diensten, ook als deze aanvankelijk beperkt is tot één entiteit of één sector, bredere cascade-effecten kan hebben, die in potentie verstrekkende en negatieve gevolgen op lange termijn kunnen hebben voor het verlenen van diensten op de interne markt. Grote crises, zoals de COVID-19-pandemie, hebben duidelijk gemaakt hoe kwetsbaar onze steeds meer onderling afhankelijke samenlevingen zijn voor risico's met een hoge impact en lage waarschijnlijkheid. |
| --- | --- |

(5)

De toenemende onderlinge afhankelijkheid tussen infrastructuren en sectoren komt doordat er een netwerk van dienstverlening is dat steeds meer grensoverschrijdend en onderling afhankelijk is en dat in de hele Unie gebruikmaakt van belangrijke infrastructuur in de energie, vervoer, bankwezen, drinkwater, afvalwater, productie, verwerking en distributie van levensmiddelen, volksgezondheid, ruimtevaart, financiëlemarktinfrastructuur en digitaledienstverleningsectoren en bepaalde aspecten van de overheidssector.. De ruimtevaartsector valt onder het toepassingsgebied van deze richtlijn met betrekking tot de verlening van bepaalde diensten die afhankelijk zijn van grondinfrastructuren die eigendom zijn van en beheerd en geëxploiteerd worden door lidstaten of particuliere partijen; bijgevolg vallen infrastructuren die eigendom zijn van en beheerd of geëxploiteerd worden door of namens de Unie in het kader van haar ruimtevaartprogramma niet onder het toepassingsgebied van deze richtlijn.

Wat de energiesector betreft, en meer bepaald de wijze van elektriciteitsproductie en -transmissie (met het oog op de elektriciteitsvoorziening), kan, indien zulks wenselijk wordt geacht, de elektriciteitsproductie ook de transmissieonderdelen van kerncentrales omvatten, maar niet de specifiek nucleaire elementen die vallen onder verdragen en het Unierecht, met inbegrip van relevante rechtshandelingen van de Unie betreffende kernenergie. In het proces om kritieke entiteiten in de levensmiddelensector te identificeren moet op passende wijze rekening worden gehouden met de aard van de interne markt in die sector en de uitgebreide Unievoorschriften met betrekking tot de algemene beginselen en voorschriften van het levensmiddelenrecht en de voedselveiligheid. Om een evenredige aanpak te waarborgen en om op passende wijze rekening te houden met de rol en het belang van die entiteiten op nationaal niveau, mogen levensmiddelenbedrijven, met of zonder winstoogmerk, publiek of privaat, derhalve alleen als kritieke entiteiten worden geïdentificeerd als zij zich uitsluitend bezighouden met logistiek en groothandel, dan wel grootschalige industriële productie en verwerking met een significant marktaandeel op nationaal niveau. Die onderlinge afhankelijkheden betekenen dat elke verstoring van essentiële diensten, ook als deze aanvankelijk beperkt is tot één entiteit of één sector, bredere cascade-effecten kan hebben, die in potentie verstrekkende en negatieve gevolgen op lange termijn kunnen hebben voor het verlenen van diensten op de interne markt. Grote crises, zoals de COVID-19-pandemie, hebben duidelijk gemaakt hoe kwetsbaar onze steeds meer onderling afhankelijke samenlevingen zijn voor risico's met een hoge impact en lage waarschijnlijkheid.

| (6) | De entiteiten die betrokken zijn bij de verlening van essentiële diensten, zien zich steeds meer geconfronteerd met uiteenlopende voorschriften uit hoofde van het nationale recht. Het feit dat de veiligheidsvoorschriften voor die entiteiten in sommige lidstaten minder streng zijn, leidt niet alleen tot verschillende weerbaarheidsniveaus, maar brengt ook het risico met zich mee van negatieve gevolgen voor de instandhouding van vitale maatschappelijke functies of economische activiteiten in de hele Unie, en belemmert daarnaast de goede werking van de interne markt. Investeerders en bedrijven moeten kunnen steunen en vertrouwen op kritieke entiteiten die weerbaar zijn, en betrouwbaarheid en vertrouwen zijn de hoekstenen van een goed functionerende interne markt. Soortgelijke entiteiten worden door sommige lidstaten wel en door andere niet als kritiek beschouwd, en voor de entiteiten die wel als kritiek worden geïdentificeerd, gelden in verschillende lidstaten andere voorschriften. Dat leidt tot extra en onnodige administratieve lasten voor bedrijven die grensoverschrijdend opereren, met name als zij actief zijn in lidstaten met strengere voorschriften. Daarom zou een Uniekader ook leiden tot de totstandkoming van een gelijk speelveld voor kritieke entiteiten in de gehele Unie. |
| --- | --- |

(6)

De entiteiten die betrokken zijn bij de verlening van essentiële diensten, zien zich steeds meer geconfronteerd met uiteenlopende voorschriften uit hoofde van het nationale recht. Het feit dat de veiligheidsvoorschriften voor die entiteiten in sommige lidstaten minder streng zijn, leidt niet alleen tot verschillende weerbaarheidsniveaus, maar brengt ook het risico met zich mee van negatieve gevolgen voor de instandhouding van vitale maatschappelijke functies of economische activiteiten in de hele Unie, en belemmert daarnaast de goede werking van de interne markt. Investeerders en bedrijven moeten kunnen steunen en vertrouwen op kritieke entiteiten die weerbaar zijn, en betrouwbaarheid en vertrouwen zijn de hoekstenen van een goed functionerende interne markt. Soortgelijke entiteiten worden door sommige lidstaten wel en door andere niet als kritiek beschouwd, en voor de entiteiten die wel als kritiek worden geïdentificeerd, gelden in verschillende lidstaten andere voorschriften. Dat leidt tot extra en onnodige administratieve lasten voor bedrijven die grensoverschrijdend opereren, met name als zij actief zijn in lidstaten met strengere voorschriften. Daarom zou een Uniekader ook leiden tot de totstandkoming van een gelijk speelveld voor kritieke entiteiten in de gehele Unie.

| (7) | Het is nodig geharmoniseerde minimumvoorschriften vast te stellen om de verlening van essentiële diensten op de interne markt te waarborgen, de weerbaarheid van kritieke entiteiten te versterken en de grensoverschrijdende samenwerking tussen de bevoegde autoriteiten te verbeteren. Het is belangrijk dat deze voorschriften toekomstbestendig zijn wat betreft ontwerp en uitvoering, en dat er ruimte wordt gelaten voor de nodige flexibiliteit. Het is ook van cruciaal belang de capaciteit van kritieke entiteiten te vergroten zodat zij essentiële diensten kunnen blijven leveren tegen een achtergrond van een gevarieerde reeks risico's. |
| --- | --- |

(7)

Het is nodig geharmoniseerde minimumvoorschriften vast te stellen om de verlening van essentiële diensten op de interne markt te waarborgen, de weerbaarheid van kritieke entiteiten te versterken en de grensoverschrijdende samenwerking tussen de bevoegde autoriteiten te verbeteren. Het is belangrijk dat deze voorschriften toekomstbestendig zijn wat betreft ontwerp en uitvoering, en dat er ruimte wordt gelaten voor de nodige flexibiliteit. Het is ook van cruciaal belang de capaciteit van kritieke entiteiten te vergroten zodat zij essentiële diensten kunnen blijven leveren tegen een achtergrond van een gevarieerde reeks risico's.

| (8) | Om te zorgen voor een hoge weerbaarheid moeten de lidstaten vaststellen welke kritieke entiteiten aan specifieke voorschriften en toezicht zullen worden onderworpen bijzondere ondersteuning en begeleiding zullen krijgen ten aanzien van alle relevante risico's. |
| --- | --- |

(8)

Om te zorgen voor een hoge weerbaarheid moeten de lidstaten vaststellen welke kritieke entiteiten aan specifieke voorschriften en toezicht zullen worden onderworpen bijzondere ondersteuning en begeleiding zullen krijgen ten aanzien van alle relevante risico's.

| (9) | Gezien het belang van cyberbeveiliging voor de weerbaarheid van kritieke entiteiten en met het oog op consistentie moet waar mogelijk worden gezorgd voor een aanpak die coherent is met deze richtlijn en met Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (5). Gezien de hogere frequentie en bijzondere kenmerken van cyberrisico's legt Richtlijn (EU) 2022/2555 een grote groep entiteiten brede voorschriften op om hun cyberbeveiliging te waarborgen. Aangezien cyberbeveiliging voldoende geregeld wordt in Richtlijn (EU) 2022/2555, moet alles wat daaronder valt buiten het toepassingsgebied van deze richtlijn blijven, onverminderd de bijzondere regeling voor entiteiten in de sector digitale infrastructuur. |
| --- | --- |

(9)

Gezien het belang van cyberbeveiliging voor de weerbaarheid van kritieke entiteiten en met het oog op consistentie moet waar mogelijk worden gezorgd voor een aanpak die coherent is met deze richtlijn en met Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (5). Gezien de hogere frequentie en bijzondere kenmerken van cyberrisico's legt Richtlijn (EU) 2022/2555 een grote groep entiteiten brede voorschriften op om hun cyberbeveiliging te waarborgen. Aangezien cyberbeveiliging voldoende geregeld wordt in Richtlijn (EU) 2022/2555, moet alles wat daaronder valt buiten het toepassingsgebied van deze richtlijn blijven, onverminderd de bijzondere regeling voor entiteiten in de sector digitale infrastructuur.

| (10) | Wanneer bepalingen van sectorspecifieke rechtshandelingen van de Unie kritieke entiteiten voorschrijven maatregelen te nemen om hun weerbaarheid te vergroten, en wanneer die voorschriften door de lidstaten worden erkend als ten minste gelijkwaardig aan de in deze richtlijn vastgestelde overeenkomende verplichtingen, mogen de desbetreffende bepalingen van deze richtlijn niet van toepassing zijn, teneinde dubbel werk en onnodige last te voorkomen. In dat geval moeten de relevante bepalingen van dergelijke rechtshandelingen van de Unie van toepassing zijn. Wanneer de relevante bepalingen van deze richtlijn niet van toepassing zijn, mogen de bepalingen inzake toezicht en handhaving vastgesteld in deze richtlijn evenmin van toepassing zijn. |
| --- | --- |

(10)

Wanneer bepalingen van sectorspecifieke rechtshandelingen van de Unie kritieke entiteiten voorschrijven maatregelen te nemen om hun weerbaarheid te vergroten, en wanneer die voorschriften door de lidstaten worden erkend als ten minste gelijkwaardig aan de in deze richtlijn vastgestelde overeenkomende verplichtingen, mogen de desbetreffende bepalingen van deze richtlijn niet van toepassing zijn, teneinde dubbel werk en onnodige last te voorkomen. In dat geval moeten de relevante bepalingen van dergelijke rechtshandelingen van de Unie van toepassing zijn. Wanneer de relevante bepalingen van deze richtlijn niet van toepassing zijn, mogen de bepalingen inzake toezicht en handhaving vastgesteld in deze richtlijn evenmin van toepassing zijn.

| (11) | Deze richtlijn doet geen afbreuk aan de bevoegdheden van de lidstaten en hun autoriteiten op het gebied van bestuurlijke autonomie en evenmin aan hun verantwoordelijkheid om de nationale veiligheid en defensie te waarborgen of hun bevoegdheid om andere essentiële staatsfuncties te beschermen, met name op het gebied van openbare veiligheid, territoriale integriteit en het handhaven van de openbare orde. Overheidsinstanties moeten worden uitgesloten van het toepassingsgebied van deze richtlijn indien de activiteiten van entiteiten hoofdzakelijk worden uitgevoerd op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten. Overheidsinstanties waarvan de activiteiten slechts zijdelings verband houden met die gebieden, moeten evenwel vallen onder het toepassingsgebied van deze richtlijn. Voor de toepassing van deze richtlijn worden entiteiten met regelgevende bevoegdheden niet geacht activiteiten op het gebied van rechtshandhaving uit te voeren en zij worden dan ook op die grond niet uitgesloten van het toepassingsgebied van deze richtlijn. Overheidsinstanties die samen met een derde land zijn opgericht overeenkomstig een internationale overeenkomst, zijn uitgesloten van het toepassingsgebied van deze richtlijn. Deze richtlijn is niet van toepassing op diplomatieke en consulaire missies van de lidstaten in derde landen.
  Bepaalde kritieke entiteiten verrichten hoofdzakelijk activiteiten op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten, of verlenen uitsluitend diensten aan overheidsinstanties die hoofdzakelijk activiteiten verrichten op die gebieden. Gezien de verantwoordelijkheid van de lidstaten om de nationale veiligheid en defensie te waarborgen, moeten de lidstaten kunnen besluiten dat de verplichtingen voor kritieke entiteiten die zijn vastgelegd in deze richtlijn geheel of gedeeltelijk niet van toepassing zijn op deze kritieke entiteiten indien de diensten die zij verlenen of de activiteiten die zij verrichten hoofdzakelijk verband houden met nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten. Kritieke entiteiten waarvan de diensten of activiteiten slechts marginaal verband houden met die gebieden, moeten onder het toepassingsgebied van deze richtlijn vallen. Geen enkele lidstaat mag worden verplicht inlichtingen te verstrekken waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van zijn nationale veiligheid. Unie- of nationale regels voor de bescherming van gerubriceerde informatie en geheimhoudingsovereenkomsten zijn relevant. |
| --- | --- |

(11)

Deze richtlijn doet geen afbreuk aan de bevoegdheden van de lidstaten en hun autoriteiten op het gebied van bestuurlijke autonomie en evenmin aan hun verantwoordelijkheid om de nationale veiligheid en defensie te waarborgen of hun bevoegdheid om andere essentiële staatsfuncties te beschermen, met name op het gebied van openbare veiligheid, territoriale integriteit en het handhaven van de openbare orde. Overheidsinstanties moeten worden uitgesloten van het toepassingsgebied van deze richtlijn indien de activiteiten van entiteiten hoofdzakelijk worden uitgevoerd op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten. Overheidsinstanties waarvan de activiteiten slechts zijdelings verband houden met die gebieden, moeten evenwel vallen onder het toepassingsgebied van deze richtlijn. Voor de toepassing van deze richtlijn worden entiteiten met regelgevende bevoegdheden niet geacht activiteiten op het gebied van rechtshandhaving uit te voeren en zij worden dan ook op die grond niet uitgesloten van het toepassingsgebied van deze richtlijn. Overheidsinstanties die samen met een derde land zijn opgericht overeenkomstig een internationale overeenkomst, zijn uitgesloten van het toepassingsgebied van deze richtlijn. Deze richtlijn is niet van toepassing op diplomatieke en consulaire missies van de lidstaten in derde landen.

Bepaalde kritieke entiteiten verrichten hoofdzakelijk activiteiten op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten, of verlenen uitsluitend diensten aan overheidsinstanties die hoofdzakelijk activiteiten verrichten op die gebieden. Gezien de verantwoordelijkheid van de lidstaten om de nationale veiligheid en defensie te waarborgen, moeten de lidstaten kunnen besluiten dat de verplichtingen voor kritieke entiteiten die zijn vastgelegd in deze richtlijn geheel of gedeeltelijk niet van toepassing zijn op deze kritieke entiteiten indien de diensten die zij verlenen of de activiteiten die zij verrichten hoofdzakelijk verband houden met nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten. Kritieke entiteiten waarvan de diensten of activiteiten slechts marginaal verband houden met die gebieden, moeten onder het toepassingsgebied van deze richtlijn vallen. Geen enkele lidstaat mag worden verplicht inlichtingen te verstrekken waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van zijn nationale veiligheid. Unie- of nationale regels voor de bescherming van gerubriceerde informatie en geheimhoudingsovereenkomsten zijn relevant.

| (12) | Om de nationale veiligheid of de veiligheids- en commerciële belangen van kritieke entiteiten niet in gevaar te brengen, moet bij de toegang tot en de uitwisseling en behandeling van gevoelige informatie voorzichtigheid worden betracht en moet er bijzonder worden gelet op de transmissiekanalen en opslagcapaciteit die worden gebruikt. |
| --- | --- |

(12)

Om de nationale veiligheid of de veiligheids- en commerciële belangen van kritieke entiteiten niet in gevaar te brengen, moet bij de toegang tot en de uitwisseling en behandeling van gevoelige informatie voorzichtigheid worden betracht en moet er bijzonder worden gelet op de transmissiekanalen en opslagcapaciteit die worden gebruikt.

| (13) | Om te zorgen voor een integrale aanpak betreffende de weerbaarheid van kritieke entiteiten moet elke lidstaat beschikken over een strategie om de weerbaarheid van kritieke entiteiten te versterken (de “strategie”). De strategie moet de uit te voeren strategische doelstellingen en beleidsmaatregelen bevatten. In het belang van samenhang en efficiëntie moet de strategie zo worden ontworpen dat het bestaande beleid er naadloos in wordt geïntegreerd, en dat waar mogelijk wordt voortgebouwd op bestaande nationale en sectorale strategieën, plannen of soortgelijke documenten. Om een brede aanpak te bewerkstelligen, moeten de lidstaten ervoor zorgen dat hun strategieën een beleidskader creëren voor versterkte coördinatie tussen de uit hoofde van deze richtlijn en uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten bij de uitwisseling van informatie over cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten, evenals niet-cybergerelateerde risico's, dreigingen en incidenten, en in het kader van de uitoefening van toezichthoudende taken. Bij de invoering van hun strategieën moeten de lidstaten terdege rekening houden met de hybride aard van dreigingen voor kritieke entiteiten. |
| --- | --- |

(13)

Om te zorgen voor een integrale aanpak betreffende de weerbaarheid van kritieke entiteiten moet elke lidstaat beschikken over een strategie om de weerbaarheid van kritieke entiteiten te versterken (de “strategie”). De strategie moet de uit te voeren strategische doelstellingen en beleidsmaatregelen bevatten. In het belang van samenhang en efficiëntie moet de strategie zo worden ontworpen dat het bestaande beleid er naadloos in wordt geïntegreerd, en dat waar mogelijk wordt voortgebouwd op bestaande nationale en sectorale strategieën, plannen of soortgelijke documenten. Om een brede aanpak te bewerkstelligen, moeten de lidstaten ervoor zorgen dat hun strategieën een beleidskader creëren voor versterkte coördinatie tussen de uit hoofde van deze richtlijn en uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten bij de uitwisseling van informatie over cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten, evenals niet-cybergerelateerde risico's, dreigingen en incidenten, en in het kader van de uitoefening van toezichthoudende taken. Bij de invoering van hun strategieën moeten de lidstaten terdege rekening houden met de hybride aard van dreigingen voor kritieke entiteiten.

| (14) | De lidstaten moeten hun strategieën en belangrijke actualiseringen daarvan meedelen aan de Commissie, met name om de Commissie in staat te stellen de juiste toepassing van deze richtlijn te beoordelen wat betreft de beleidsaanpak van de weerbaarheid van kritieke entiteiten op nationaal niveau. Indien nodig kunnen strategieën als gerubriceerde informatie worden meegedeeld. De Commissie moet een samenvattend verslag van de door de lidstaten meegedeelde strategieën opstellen als basis voor uitwisselingen om beste praktijken en vraagstukken van gemeenschappelijk belang in kaart te brengen in het kader van een Groep voor de weerbaarheid van kritieke entiteiten. Gezien de gevoelige aard van de geaggregeerde informatie die in het samenvattend verslag, al dan niet gerubriceerd, is opgenomen, moet de Commissie zich het samenvattende verslag beheren met voldoende bewustzijn van de veiligheid van de kritieke entiteiten, de lidstaten en de Unie. Het samenvattend verslag en de strategieën moeten worden beschermd tegen onrechtmatige of kwaadwillige handelingen en mogen alleen toegankelijk zijn voor bevoegde personen met het doel de doelstellingen van deze richtlijn te verwezenlijken. De communicatie over de strategieën en belangrijke actualiseringen daarvan moet de Commissie ook helpen inzicht te krijgen in ontwikkelingen in de beleidsaanpak van de weerbaarheid van kritieke entiteiten en moeten een bijdrage leveren aan de monitoring van de impact en de toegevoegde waarde van deze richtlijn, die de Commissie periodiek moet evalueren. |
| --- | --- |

(14)

De lidstaten moeten hun strategieën en belangrijke actualiseringen daarvan meedelen aan de Commissie, met name om de Commissie in staat te stellen de juiste toepassing van deze richtlijn te beoordelen wat betreft de beleidsaanpak van de weerbaarheid van kritieke entiteiten op nationaal niveau. Indien nodig kunnen strategieën als gerubriceerde informatie worden meegedeeld. De Commissie moet een samenvattend verslag van de door de lidstaten meegedeelde strategieën opstellen als basis voor uitwisselingen om beste praktijken en vraagstukken van gemeenschappelijk belang in kaart te brengen in het kader van een Groep voor de weerbaarheid van kritieke entiteiten. Gezien de gevoelige aard van de geaggregeerde informatie die in het samenvattend verslag, al dan niet gerubriceerd, is opgenomen, moet de Commissie zich het samenvattende verslag beheren met voldoende bewustzijn van de veiligheid van de kritieke entiteiten, de lidstaten en de Unie. Het samenvattend verslag en de strategieën moeten worden beschermd tegen onrechtmatige of kwaadwillige handelingen en mogen alleen toegankelijk zijn voor bevoegde personen met het doel de doelstellingen van deze richtlijn te verwezenlijken. De communicatie over de strategieën en belangrijke actualiseringen daarvan moet de Commissie ook helpen inzicht te krijgen in ontwikkelingen in de beleidsaanpak van de weerbaarheid van kritieke entiteiten en moeten een bijdrage leveren aan de monitoring van de impact en de toegevoegde waarde van deze richtlijn, die de Commissie periodiek moet evalueren.

| (15) | Bij de acties van de lidstaten om kritieke entiteiten te identificeren en hun weerbaarheid te helpen waarborgen, moet een risicogebaseerde aanpak worden gevolgd die zich richt op de entiteiten die het meest relevant zijn voor de uitvoering van vitale maatschappelijke functies of economische activiteiten. Voor zo'n gerichte aanpak moet elke lidstaat binnen een geharmoniseerd kader een beoordeling verrichten van de relevante natuurlijke en door de mens veroorzaakte risico's, waaronder die van sector- en grensoverschrijdende aard, die negatieve gevolgen zouden kunnen hebben voor de verlening van essentiële diensten, waaronder ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid zoals pandemieën en hybride dreigingen of andere antagonistische dreigingen, waaronder terroristische misdrijven, criminele infiltratie en sabotage (“lidstaat-risicobeoordeling”). Bij het uitvoeren van lidstaat-risicobeoordelingen moeten de lidstaten tevens rekening houden met andere algemene of sectorspecifieke risicobeoordelingen die krachtens andere rechtshandelingen van de Unie zijn verricht, en moeten zij de onderlinge afhankelijkheid van sectoren in aanmerking nemen, ook waar het andere lidstaten en derde landen betreft. De resultaten van de lidstaat-risicobeoordelingen moeten worden benut voor het identificeren van kritieke entiteiten en om die entiteiten te helpen voldoen aan hun weerbaarheidseisen. Deze richtlijn is alleen van toepassing op lidstaten en kritieke entiteiten die binnen de Unie actief zijn. Niettemin kunnen de deskundigheid en kennis die door de bevoegde autoriteiten, met name aan de hand van risicobeoordelingen, en door de Commissie, met name door middel van diverse vormen van steun en samenwerking, worden gegenereerd, waar passend en in overeenstemming met de toepasselijke rechtsinstrumenten worden gebruikt ten behoeve van derde landen, met name landen in de directe nabijheid van de Unie, zodat zij kunnen bijdragen aan de bestaande samenwerking op het gebied van weerbaarheid. |
| --- | --- |

(15)

Bij de acties van de lidstaten om kritieke entiteiten te identificeren en hun weerbaarheid te helpen waarborgen, moet een risicogebaseerde aanpak worden gevolgd die zich richt op de entiteiten die het meest relevant zijn voor de uitvoering van vitale maatschappelijke functies of economische activiteiten. Voor zo'n gerichte aanpak moet elke lidstaat binnen een geharmoniseerd kader een beoordeling verrichten van de relevante natuurlijke en door de mens veroorzaakte risico's, waaronder die van sector- en grensoverschrijdende aard, die negatieve gevolgen zouden kunnen hebben voor de verlening van essentiële diensten, waaronder ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid zoals pandemieën en hybride dreigingen of andere antagonistische dreigingen, waaronder terroristische misdrijven, criminele infiltratie en sabotage (“lidstaat-risicobeoordeling”). Bij het uitvoeren van lidstaat-risicobeoordelingen moeten de lidstaten tevens rekening houden met andere algemene of sectorspecifieke risicobeoordelingen die krachtens andere rechtshandelingen van de Unie zijn verricht, en moeten zij de onderlinge afhankelijkheid van sectoren in aanmerking nemen, ook waar het andere lidstaten en derde landen betreft. De resultaten van de lidstaat-risicobeoordelingen moeten worden benut voor het identificeren van kritieke entiteiten en om die entiteiten te helpen voldoen aan hun weerbaarheidseisen. Deze richtlijn is alleen van toepassing op lidstaten en kritieke entiteiten die binnen de Unie actief zijn. Niettemin kunnen de deskundigheid en kennis die door de bevoegde autoriteiten, met name aan de hand van risicobeoordelingen, en door de Commissie, met name door middel van diverse vormen van steun en samenwerking, worden gegenereerd, waar passend en in overeenstemming met de toepasselijke rechtsinstrumenten worden gebruikt ten behoeve van derde landen, met name landen in de directe nabijheid van de Unie, zodat zij kunnen bijdragen aan de bestaande samenwerking op het gebied van weerbaarheid.

| (16) | Om te waarborgen dat de weerbaarheidseisen van deze richtlijn voor alle relevante entiteiten gelden en onderlinge verschillen in dat opzicht te beperken, is het van belang om geharmoniseerde regels vast te stellen op basis waarvan kritieke entiteiten in de hele Unie op consistente wijze kunnen worden geïdentificeerd, maar die de lidstaten ook vrij laten om op passende wijze rekening te houden met de rol en het belang van die entiteiten op nationaal niveau. Bij de toepassing van de in deze richtlijn vastgestelde criteria moet elke lidstaat entiteiten identificeren die een of meer essentiële diensten verlenen en die kritieke infrastructuur op zijn grondgebied hebben en exploiteren. Een entiteit moet worden geacht actief te zijn op het grondgebied van een lidstaat waar zij activiteiten verricht die noodzakelijk zijn voor de essentiële dienst of diensten in kwestie en waar de kritieke infrastructuur van die entiteit, die wordt gebruikt om die dienst of diensten te verlenen, zich bevindt. Indien er in een lidstaat geen entiteit is die aan die criteria voldoet, mag die lidstaat niet verplicht worden een kritieke entiteit in de overeenkomstige sector of deelsector te identificeren. Omwille van de doeltreffendheid, doelmatigheid, consistentie en rechtszekerheid moeten er ook passende regels worden vastgesteld ten aanzien van de kennisgeving aan entiteiten dat zij zijn geïdentificeerd als kritieke entiteiten. |
| --- | --- |

(16)

Om te waarborgen dat de weerbaarheidseisen van deze richtlijn voor alle relevante entiteiten gelden en onderlinge verschillen in dat opzicht te beperken, is het van belang om geharmoniseerde regels vast te stellen op basis waarvan kritieke entiteiten in de hele Unie op consistente wijze kunnen worden geïdentificeerd, maar die de lidstaten ook vrij laten om op passende wijze rekening te houden met de rol en het belang van die entiteiten op nationaal niveau. Bij de toepassing van de in deze richtlijn vastgestelde criteria moet elke lidstaat entiteiten identificeren die een of meer essentiële diensten verlenen en die kritieke infrastructuur op zijn grondgebied hebben en exploiteren. Een entiteit moet worden geacht actief te zijn op het grondgebied van een lidstaat waar zij activiteiten verricht die noodzakelijk zijn voor de essentiële dienst of diensten in kwestie en waar de kritieke infrastructuur van die entiteit, die wordt gebruikt om die dienst of diensten te verlenen, zich bevindt. Indien er in een lidstaat geen entiteit is die aan die criteria voldoet, mag die lidstaat niet verplicht worden een kritieke entiteit in de overeenkomstige sector of deelsector te identificeren. Omwille van de doeltreffendheid, doelmatigheid, consistentie en rechtszekerheid moeten er ook passende regels worden vastgesteld ten aanzien van de kennisgeving aan entiteiten dat zij zijn geïdentificeerd als kritieke entiteiten.

| (17) | De lidstaten moeten de Commissie het volgende verstrekken, op een manier die voldoet aan de doelstellingen van deze richtlijn: de lijst van essentiële diensten, het aantal kritieke entiteiten dat voor elke van de in de bijlage beschreven sectoren en deelsectoren en voor de essentiële dienst of diensten die elke entiteit verleent, is geïdentificeerd, en, indien van toepassing, de drempels. Het moet mogelijk zijn om drempels als zodanig of in geaggregeerde vorm te presenteren, wat betekent dat de informatie kan worden berekend als gemiddelde per geografisch gebied, per jaar, per sector, per deelsector, of anderszins, en informatie over het aantal verstrekte indicatoren kan omvatten. |
| --- | --- |

(17)

De lidstaten moeten de Commissie het volgende verstrekken, op een manier die voldoet aan de doelstellingen van deze richtlijn: de lijst van essentiële diensten, het aantal kritieke entiteiten dat voor elke van de in de bijlage beschreven sectoren en deelsectoren en voor de essentiële dienst of diensten die elke entiteit verleent, is geïdentificeerd, en, indien van toepassing, de drempels. Het moet mogelijk zijn om drempels als zodanig of in geaggregeerde vorm te presenteren, wat betekent dat de informatie kan worden berekend als gemiddelde per geografisch gebied, per jaar, per sector, per deelsector, of anderszins, en informatie over het aantal verstrekte indicatoren kan omvatten.

| (18) | Er moeten criteria worden vastgesteld aan de hand waarvan kan worden bepaald hoe ernstig het verstorend effect van een incident is. Die criteria moeten voortbouwen op de criteria van Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (6) teneinde zowel de inspanningen van de lidstaten om exploitanten van essentiële diensten als gedefinieerd in die richtlijn en de daarmee opgedane ervaring te benutten. Grote crises, zoals de COVID-19-pandemie, hebben aangetoond hoe belangrijk het is de veiligheid van de toeleveringsketen te waarborgen en laten zien hoe de verstoring ervan negatieve economische en maatschappelijke gevolgen kan hebben in een groot aantal sectoren en over de grenzen heen. Daarom moeten de lidstaten bij het bepalen van de mate waarin andere sectoren en deelsectoren afhankelijk zijn van de essentiële dienst die wordt verleend door een kritieke entiteit, voor zover mogelijk ook rekening houden met de effecten op de toeleveringsketen. |
| --- | --- |

(18)

Er moeten criteria worden vastgesteld aan de hand waarvan kan worden bepaald hoe ernstig het verstorend effect van een incident is. Die criteria moeten voortbouwen op de criteria van Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (6) teneinde zowel de inspanningen van de lidstaten om exploitanten van essentiële diensten als gedefinieerd in die richtlijn en de daarmee opgedane ervaring te benutten. Grote crises, zoals de COVID-19-pandemie, hebben aangetoond hoe belangrijk het is de veiligheid van de toeleveringsketen te waarborgen en laten zien hoe de verstoring ervan negatieve economische en maatschappelijke gevolgen kan hebben in een groot aantal sectoren en over de grenzen heen. Daarom moeten de lidstaten bij het bepalen van de mate waarin andere sectoren en deelsectoren afhankelijk zijn van de essentiële dienst die wordt verleend door een kritieke entiteit, voor zover mogelijk ook rekening houden met de effecten op de toeleveringsketen.

| (19) | In overeenstemming met het toepasselijke Unie- en nationale recht, met inbegrip van Verordening (EU) 2019/452 van het Europees Parlement en de Raad (7), waarmee een kader wordt opgericht voor de screening van buitenlandse directe investeringen in de Unie, moet de potentiële dreiging die uitgaat van buitenlands eigendom van kritieke infrastructuur binnen de Unie worden erkend aangezien diensten, de economie alsook het vrije verkeer en de veiligheid van de EU-burgers afhankelijk zijn van de goede werking van kritieke infrastructuur. |
| --- | --- |

(19)

In overeenstemming met het toepasselijke Unie- en nationale recht, met inbegrip van Verordening (EU) 2019/452 van het Europees Parlement en de Raad (7), waarmee een kader wordt opgericht voor de screening van buitenlandse directe investeringen in de Unie, moet de potentiële dreiging die uitgaat van buitenlands eigendom van kritieke infrastructuur binnen de Unie worden erkend aangezien diensten, de economie alsook het vrije verkeer en de veiligheid van de EU-burgers afhankelijk zijn van de goede werking van kritieke infrastructuur.

| (20) | Richtlijn (EU) 2022/2555 verplicht entiteiten die behoren tot de sector digitale infrastructuur, die in het kader van deze richtlijn wellicht als kritieke entiteiten kunnen worden geïdentificeerd, passende en evenredige technische, operationele en organisatorische maatregelen te nemen ter beheersing van de risico's voor de beveiliging van netwerk- en informatiesystemen en om significante incidenten en cyberdreigingen te melden. Aangezien dreigingen voor de beveiliging van netwerk- en informatiesystemen uit verschillende hoeken kunnen komen, wordt in Richtlijn (EU) 2022/2555 een alle gevaren-benadering gevolgd die betrekking heeft op de weerbaarheid van netwerk- en informatiesystemen alsmede op de fysieke componenten en omgevingen van die systemen.
  Aangezien de voorschriften die in dat verband zijn vastgesteld in Richtlijn (EU) 2022/2555 ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde overeenkomstige verplichtingen, mogen de verplichtingen die zijn vastgesteld in artikel 11 en de hoofdstukken III, IV en VI van deze richtlijn niet van toepassing zijn op entiteiten die behoren tot de sector digitale infrastructuur, teneinde dubbel werk en onnodige administratieve lasten te voorkomen. Aangezien de diensten die door entiteiten die behoren tot de sector digitale infrastructuur worden verleend van belang zijn voor kritieke entiteiten in alle andere sectoren, moeten de lidstaten aan de hand van de criteria en procedure waarin deze richtlijn voorziet, entiteiten die behoren tot de sector digitale infrastructuur als kritieke entiteiten identificeren. Dientengevolge moeten de strategieën, de lidstaat-risicobeoordelingen en de ondersteunende maatregelen die zijn vastgesteld in hoofdstuk II van deze richtlijn van toepassing zijn. De lidstaten moeten ook bepalingen van nationaal recht kunnen vaststellen of handhaven teneinde het weerbaarheidsniveau van die kritieke entiteiten te verhogen, op voorwaarde dat die bepalingen stroken met het toepasselijke Unierecht. |
| --- | --- |

(20)

Richtlijn (EU) 2022/2555 verplicht entiteiten die behoren tot de sector digitale infrastructuur, die in het kader van deze richtlijn wellicht als kritieke entiteiten kunnen worden geïdentificeerd, passende en evenredige technische, operationele en organisatorische maatregelen te nemen ter beheersing van de risico's voor de beveiliging van netwerk- en informatiesystemen en om significante incidenten en cyberdreigingen te melden. Aangezien dreigingen voor de beveiliging van netwerk- en informatiesystemen uit verschillende hoeken kunnen komen, wordt in Richtlijn (EU) 2022/2555 een alle gevaren-benadering gevolgd die betrekking heeft op de weerbaarheid van netwerk- en informatiesystemen alsmede op de fysieke componenten en omgevingen van die systemen.

Aangezien de voorschriften die in dat verband zijn vastgesteld in Richtlijn (EU) 2022/2555 ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde overeenkomstige verplichtingen, mogen de verplichtingen die zijn vastgesteld in artikel 11 en de hoofdstukken III, IV en VI van deze richtlijn niet van toepassing zijn op entiteiten die behoren tot de sector digitale infrastructuur, teneinde dubbel werk en onnodige administratieve lasten te voorkomen. Aangezien de diensten die door entiteiten die behoren tot de sector digitale infrastructuur worden verleend van belang zijn voor kritieke entiteiten in alle andere sectoren, moeten de lidstaten aan de hand van de criteria en procedure waarin deze richtlijn voorziet, entiteiten die behoren tot de sector digitale infrastructuur als kritieke entiteiten identificeren. Dientengevolge moeten de strategieën, de lidstaat-risicobeoordelingen en de ondersteunende maatregelen die zijn vastgesteld in hoofdstuk II van deze richtlijn van toepassing zijn. De lidstaten moeten ook bepalingen van nationaal recht kunnen vaststellen of handhaven teneinde het weerbaarheidsniveau van die kritieke entiteiten te verhogen, op voorwaarde dat die bepalingen stroken met het toepasselijke Unierecht.

| (21) | Het Unierecht inzake financiële diensten legt financiële entiteiten vergaande voorschriften op om alle risico's waarmee zij te maken krijgen, waaronder operationele risico's, te beheersen en bedrijfscontinuïteit te waarborgen. Onder dit recht vallen onder andere Verordeningen (EU) nr. 648/2012 (8), (EU) nr. 575/2013 (9) en (EU) nr. 600/2014 (10) van het Europees Parlement en de Raad en Richtlijnen 2013/36/EU (11) en 2014/65/EU (12) van het Europees Parlement en de Raad. Dat juridisch kader wordt aangevuld met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (13), waarbij financiële entiteiten worden voorgeschreven informatie- en communicatietechnologie (ICT) risico's te beheersen, waaronder betreffende de bescherming van fysieke ICT-infrastructuur te beschermen. Aangezien de weerbaarheid van die entiteiten derhalve volledig is gedekt, mogen artikel 11 en de hoofdstukken III, IV en VI van deze richtlijn niet op die entiteiten van toepassing zijn, teneinde dubbel werk en onnodige administratieve lasten te voorkomen.
  Aangezien de diensten die door entiteiten in de financiële sector worden verleend van belang zijn voor kritieke entiteiten in alle andere sectoren, moeten de lidstaten aan de hand van de criteria en procedure waarin deze richtlijn voorziet, entiteiten in de financiële sector als kritieke entiteiten identificeren. Dientengevolge moeten de strategieën de lidstaat-risicobeoordelingen en de ondersteunende maatregelen als vastgelegd in hoofdstuk II van deze richtlijn van toepassing zijn. De lidstaten moeten bepalingen van nationaal recht kunnen vaststellen of handhaven teneinde het weerbaarheidsniveau van die kritieke entiteiten te verhogen, op voorwaarde dat die bepalingen stroken met het toepasselijke Unierecht. |
| --- | --- |

(21)

Het Unierecht inzake financiële diensten legt financiële entiteiten vergaande voorschriften op om alle risico's waarmee zij te maken krijgen, waaronder operationele risico's, te beheersen en bedrijfscontinuïteit te waarborgen. Onder dit recht vallen onder andere Verordeningen (EU) nr. 648/2012 (8), (EU) nr. 575/2013 (9) en (EU) nr. 600/2014 (10) van het Europees Parlement en de Raad en Richtlijnen 2013/36/EU (11) en 2014/65/EU (12) van het Europees Parlement en de Raad. Dat juridisch kader wordt aangevuld met Verordening (EU) 2022/2554 van het Europees Parlement en de Raad (13), waarbij financiële entiteiten worden voorgeschreven informatie- en communicatietechnologie (ICT) risico's te beheersen, waaronder betreffende de bescherming van fysieke ICT-infrastructuur te beschermen. Aangezien de weerbaarheid van die entiteiten derhalve volledig is gedekt, mogen artikel 11 en de hoofdstukken III, IV en VI van deze richtlijn niet op die entiteiten van toepassing zijn, teneinde dubbel werk en onnodige administratieve lasten te voorkomen.

Aangezien de diensten die door entiteiten in de financiële sector worden verleend van belang zijn voor kritieke entiteiten in alle andere sectoren, moeten de lidstaten aan de hand van de criteria en procedure waarin deze richtlijn voorziet, entiteiten in de financiële sector als kritieke entiteiten identificeren. Dientengevolge moeten de strategieën de lidstaat-risicobeoordelingen en de ondersteunende maatregelen als vastgelegd in hoofdstuk II van deze richtlijn van toepassing zijn. De lidstaten moeten bepalingen van nationaal recht kunnen vaststellen of handhaven teneinde het weerbaarheidsniveau van die kritieke entiteiten te verhogen, op voorwaarde dat die bepalingen stroken met het toepasselijke Unierecht.

| (22) | De lidstaten moeten autoriteiten aanwijzen of oprichten die bevoegd zijn om toezicht te houden op de toepassing van de regels van deze richtlijn en om die regels zo nodig te handhaven, alsmede ervoor zorgen dat die autoriteiten over adequate bevoegdheden en middelen beschikken. Gezien de uiteenlopende nationale bestuursstructuren en om bestaande sectorale regelingen of toezichthoudende en regelgevende instanties van de Unie in stand te laten en dubbel werk te voorkomen, moeten de lidstaten meer dan één nationale bevoegde autoriteit kunnen aanwijzen of oprichten. Wanneer lidstaten meer dan één bevoegde autoriteit aanwijzen of oprichten, moeten zij de desbetreffende taken van de betrokken autoriteiten duidelijk afbakenen en ervoor zorgen dat deze vlot en effectief samenwerken. Alle bevoegde autoriteiten moeten ook meer in het algemeen met andere bevoegde autoriteiten samenwerken, zowel op Unie- als op nationaal niveau. |
| --- | --- |

(22)

De lidstaten moeten autoriteiten aanwijzen of oprichten die bevoegd zijn om toezicht te houden op de toepassing van de regels van deze richtlijn en om die regels zo nodig te handhaven, alsmede ervoor zorgen dat die autoriteiten over adequate bevoegdheden en middelen beschikken. Gezien de uiteenlopende nationale bestuursstructuren en om bestaande sectorale regelingen of toezichthoudende en regelgevende instanties van de Unie in stand te laten en dubbel werk te voorkomen, moeten de lidstaten meer dan één nationale bevoegde autoriteit kunnen aanwijzen of oprichten. Wanneer lidstaten meer dan één bevoegde autoriteit aanwijzen of oprichten, moeten zij de desbetreffende taken van de betrokken autoriteiten duidelijk afbakenen en ervoor zorgen dat deze vlot en effectief samenwerken. Alle bevoegde autoriteiten moeten ook meer in het algemeen met andere bevoegde autoriteiten samenwerken, zowel op Unie- als op nationaal niveau.

| (23) | Om grensoverschrijdende samenwerking en communicatie te vergemakkelijken en de effectieve uitvoering van deze richtlijn mogelijk te maken, moet elke lidstaat, onverminderd de voorschriften van sectorspecifieke rechtshandelingen van de Unie, in voorkomend geval binnen een bevoegde autoriteit, één centraal contactpunt aanwijzen dat verantwoordelijk is voor de coördinatie van kwesties in verband met de weerbaarheid van kritieke entiteiten en grensoverschrijdende samenwerking op Unieniveau (“centraal contactpunt”). Elk centraal contactpunt moet waar nodig contacten onderhouden en de communicatie coördineren met de bevoegde autoriteiten van zijn lidstaat, met de centrale contactpunten van andere lidstaten, en met de Groep voor de weerbaarheid van kritieke entiteiten. |
| --- | --- |

(23)

Om grensoverschrijdende samenwerking en communicatie te vergemakkelijken en de effectieve uitvoering van deze richtlijn mogelijk te maken, moet elke lidstaat, onverminderd de voorschriften van sectorspecifieke rechtshandelingen van de Unie, in voorkomend geval binnen een bevoegde autoriteit, één centraal contactpunt aanwijzen dat verantwoordelijk is voor de coördinatie van kwesties in verband met de weerbaarheid van kritieke entiteiten en grensoverschrijdende samenwerking op Unieniveau (“centraal contactpunt”). Elk centraal contactpunt moet waar nodig contacten onderhouden en de communicatie coördineren met de bevoegde autoriteiten van zijn lidstaat, met de centrale contactpunten van andere lidstaten, en met de Groep voor de weerbaarheid van kritieke entiteiten.

| (24) | De bevoegde autoriteiten uit hoofde van deze richtlijn en de bevoegde autoriteiten uit hoofde van Richtlijn (EU) 2022/2555 moeten samenwerken en informatie uitwisselen met betrekking tot cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten en niet-cybergerelateerde risico's, dreigingen en incidenten die negatieve gevolgen hebben voor de kritieke entiteiten, alsook met betrekking tot maatregelen die hieromtrent zijn genomen door uit hoofde van deze richtlijn bevoegde autoriteiten en uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten aangewezen bevoegde autoriteiten. Het is van belang dat de lidstaten ervoor zorgen dat de voorschriften waarin de onderhavige richtlijn en Richtlijn (EU) 2022/2555 voorzien, elkaar aanvullen en dat kritieke entiteiten niet met administratieve lasten te maken krijgen die verder gaan dan nodig is om de doelstellingen van de onderhavige en de genoemde richtlijn te verwezenlijken. |
| --- | --- |

(24)

De bevoegde autoriteiten uit hoofde van deze richtlijn en de bevoegde autoriteiten uit hoofde van Richtlijn (EU) 2022/2555 moeten samenwerken en informatie uitwisselen met betrekking tot cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten en niet-cybergerelateerde risico's, dreigingen en incidenten die negatieve gevolgen hebben voor de kritieke entiteiten, alsook met betrekking tot maatregelen die hieromtrent zijn genomen door uit hoofde van deze richtlijn bevoegde autoriteiten en uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten aangewezen bevoegde autoriteiten. Het is van belang dat de lidstaten ervoor zorgen dat de voorschriften waarin de onderhavige richtlijn en Richtlijn (EU) 2022/2555 voorzien, elkaar aanvullen en dat kritieke entiteiten niet met administratieve lasten te maken krijgen die verder gaan dan nodig is om de doelstellingen van de onderhavige en de genoemde richtlijn te verwezenlijken.

| (25) | De lidstaten moeten kritieke entiteiten, met inbegrip van als kleine of middelgrote aan te merken ondernemingen, ondersteunen bij het versterken van hun weerbaarheid, met naleving van verplichtingen van lidstaten die zijn vastgesteld in deze richtlijn, onverminderd de eigen wettelijke verantwoordelijkheid van de kritieke entiteiten om deze naleving te waarborgen, zodat buitensporige administratieve lasten worden voorkomen. De lidstaten zouden met name richtsnoeren en methoden kunnen ontwikkelen, ondersteuning kunnen verlenen bij de organisatie van oefeningen om de weerbaarheid van kritieke entiteiten te testen en advies en opleiding kunnen verstrekken aan het personeel van kritieke entiteiten. Indien nodig en gerechtvaardigd door doelstellingen van algemeen belang, kunnen de lidstaten financiële middelen ter beschikking stellen en moeten zij vrijwillige uitwisseling van informatie en goede praktijken tussen kritieke entiteiten faciliteren, onverminderd de toepassing van de mededingingsregels als vervat in het Verdrag betreffende de werking van de Europese Unie (VWEU). |
| --- | --- |

(25)

De lidstaten moeten kritieke entiteiten, met inbegrip van als kleine of middelgrote aan te merken ondernemingen, ondersteunen bij het versterken van hun weerbaarheid, met naleving van verplichtingen van lidstaten die zijn vastgesteld in deze richtlijn, onverminderd de eigen wettelijke verantwoordelijkheid van de kritieke entiteiten om deze naleving te waarborgen, zodat buitensporige administratieve lasten worden voorkomen. De lidstaten zouden met name richtsnoeren en methoden kunnen ontwikkelen, ondersteuning kunnen verlenen bij de organisatie van oefeningen om de weerbaarheid van kritieke entiteiten te testen en advies en opleiding kunnen verstrekken aan het personeel van kritieke entiteiten. Indien nodig en gerechtvaardigd door doelstellingen van algemeen belang, kunnen de lidstaten financiële middelen ter beschikking stellen en moeten zij vrijwillige uitwisseling van informatie en goede praktijken tussen kritieke entiteiten faciliteren, onverminderd de toepassing van de mededingingsregels als vervat in het Verdrag betreffende de werking van de Europese Unie (VWEU).

| (26) | Om de door de lidstaten geïdentificeerde kritieke entiteiten weerbaarder te maken en om de administratieve lasten voor deze kritieke entiteiten te verminderen, moeten de bevoegde autoriteiten waar nodig overleg plegen om te waarborgen dat deze richtlijn op een consistente manier wordt toegepast. Dit overleg moet worden gepleegd op verzoek van een belanghebbende bevoegde autoriteit en gericht zijn op een convergerende aanpak ten aanzien van onderling verbonden kritieke entiteiten die gebruikmaken van kritieke infrastructuur met fysieke verbindingen tussen twee of meer lidstaten, die tot dezelfde groepen of bedrijfsstructuren behoren, of die in een lidstaat zijn geïdentificeerd en die essentiële diensten verlenen aan of in andere lidstaten. |
| --- | --- |

(26)

Om de door de lidstaten geïdentificeerde kritieke entiteiten weerbaarder te maken en om de administratieve lasten voor deze kritieke entiteiten te verminderen, moeten de bevoegde autoriteiten waar nodig overleg plegen om te waarborgen dat deze richtlijn op een consistente manier wordt toegepast. Dit overleg moet worden gepleegd op verzoek van een belanghebbende bevoegde autoriteit en gericht zijn op een convergerende aanpak ten aanzien van onderling verbonden kritieke entiteiten die gebruikmaken van kritieke infrastructuur met fysieke verbindingen tussen twee of meer lidstaten, die tot dezelfde groepen of bedrijfsstructuren behoren, of die in een lidstaat zijn geïdentificeerd en die essentiële diensten verlenen aan of in andere lidstaten.

| (27) | Wanneer bepalingen van het Unierecht of het nationale recht kritieke entiteiten voorschrijven de voor de toepassing van deze richtlijn relevante risico's te beoordelen en maatregelen te nemen om hun eigen weerbaarheid te waarborgen, moeten deze voorschriften afdoende in aanmerking worden genomen met het oog op het toezicht op de naleving van deze richtlijn door kritieke entiteiten. |
| --- | --- |

(27)

Wanneer bepalingen van het Unierecht of het nationale recht kritieke entiteiten voorschrijven de voor de toepassing van deze richtlijn relevante risico's te beoordelen en maatregelen te nemen om hun eigen weerbaarheid te waarborgen, moeten deze voorschriften afdoende in aanmerking worden genomen met het oog op het toezicht op de naleving van deze richtlijn door kritieke entiteiten.

| (28) | Kritieke entiteiten moeten een breed inzicht hebben in de risico's waaraan zij zijn blootgesteld en zij moeten die risico's analyseren. Daartoe moeten zij, telkens wanneer hun specifieke omstandigheden en de evolutie van die risico's daartoe nopen, en in ieder geval om de vier jaar, risicobeoordelingen uitvoeren, teneinde alle relevante risico's te beoordelen die de verlening van hun essentiële diensten kunnen verstoren (“risicobeoordeling door een kritieke entiteit”). Indien kritieke entiteiten risicobeoordelingen hebben uitgevoerd of documenten hebben opgesteld op grond van verplichtingen opgenomen in andere rechtshandelingen die relevant zijn voor hun risicobeoordeling door een kritieke entiteit, moeten zij die beoordelingen en documenten kunnen gebruiken om aan de voorschriften betreffende risicobeoordelingen door een kritieke entiteit die zijn vastgesteld in deze richtlijn, te voldoen. Met hetzelfde doel moet een bevoegde autoriteit kunnen verklaren dat een bestaande risicobeoordeling uitgevoerd door een kritieke entiteit waarin de relevante risico's en de relevante mate van afhankelijkheid aan de orde komen, geheel of ten dele voldoet aan de in deze richtlijn opgenomen verplichtingen. |
| --- | --- |

(28)

Kritieke entiteiten moeten een breed inzicht hebben in de risico's waaraan zij zijn blootgesteld en zij moeten die risico's analyseren. Daartoe moeten zij, telkens wanneer hun specifieke omstandigheden en de evolutie van die risico's daartoe nopen, en in ieder geval om de vier jaar, risicobeoordelingen uitvoeren, teneinde alle relevante risico's te beoordelen die de verlening van hun essentiële diensten kunnen verstoren (“risicobeoordeling door een kritieke entiteit”). Indien kritieke entiteiten risicobeoordelingen hebben uitgevoerd of documenten hebben opgesteld op grond van verplichtingen opgenomen in andere rechtshandelingen die relevant zijn voor hun risicobeoordeling door een kritieke entiteit, moeten zij die beoordelingen en documenten kunnen gebruiken om aan de voorschriften betreffende risicobeoordelingen door een kritieke entiteit die zijn vastgesteld in deze richtlijn, te voldoen. Met hetzelfde doel moet een bevoegde autoriteit kunnen verklaren dat een bestaande risicobeoordeling uitgevoerd door een kritieke entiteit waarin de relevante risico's en de relevante mate van afhankelijkheid aan de orde komen, geheel of ten dele voldoet aan de in deze richtlijn opgenomen verplichtingen.

| (29) | Kritieke entiteiten moeten technische, beveiligings- en organisatorische maatregelen nemen die passen bij en evenredig zijn met de risico's waarmee zij worden geconfronteerd, om incidenten te voorkomen, te beperken of te beheersen, en om bescherming te bieden of bestand te zijn tegen, te reageren op of zich aan te passen aan een incident of daarvan te herstellen. Kritieke entiteiten moeten die maatregelen nemen overeenkomstig deze richtlijn, maar die maatregelen moeten wat betreft details en reikwijdte passen bij en evenredig zijn met de verschillende risico's die elke kritieke entiteit bij haar risicobeoordeling door een kritieke entiteit heeft vastgesteld en de specifieke kenmerken van de betrokken entiteit. Om een coherente Unieaanpak te bevorderen, moet de Commissie, na raadpleging van de Groep voor de weerbaarheid van kritieke entiteiten, niet-bindende richtsnoeren vaststellen om die technische, beveiligings- en organisatorische maatregelen nader te bepalen. De lidstaten moeten ervoor zorgen dat elke kritieke entiteit een verbindingsambtenaar of een gelijkwaardige ambtenaar aanwijst als contactpunt met de bevoegde autoriteiten. |
| --- | --- |

(29)

Kritieke entiteiten moeten technische, beveiligings- en organisatorische maatregelen nemen die passen bij en evenredig zijn met de risico's waarmee zij worden geconfronteerd, om incidenten te voorkomen, te beperken of te beheersen, en om bescherming te bieden of bestand te zijn tegen, te reageren op of zich aan te passen aan een incident of daarvan te herstellen. Kritieke entiteiten moeten die maatregelen nemen overeenkomstig deze richtlijn, maar die maatregelen moeten wat betreft details en reikwijdte passen bij en evenredig zijn met de verschillende risico's die elke kritieke entiteit bij haar risicobeoordeling door een kritieke entiteit heeft vastgesteld en de specifieke kenmerken van de betrokken entiteit. Om een coherente Unieaanpak te bevorderen, moet de Commissie, na raadpleging van de Groep voor de weerbaarheid van kritieke entiteiten, niet-bindende richtsnoeren vaststellen om die technische, beveiligings- en organisatorische maatregelen nader te bepalen. De lidstaten moeten ervoor zorgen dat elke kritieke entiteit een verbindingsambtenaar of een gelijkwaardige ambtenaar aanwijst als contactpunt met de bevoegde autoriteiten.

| (30) | Met het oog op effectiviteit en verantwoording moeten kritieke entiteiten, rekening houdend met de vastgestelde risico's, de maatregelen die zij nemen voldoende gedetailleerd beschrijven in een weerbaarheidsplan dan wel een of meer daarmee vergelijkbare documenten om de doelen van effectiviteit en verantwoording te kunnen verwezenlijken, en dat plan in de praktijk toepassen. Wanneer een kritieke entiteit reeds technische, beveiligings- en organisatorische maatregelen heeft genomen en documenten heeft opgesteld op grond van andere rechtshandelingen die relevant zijn voor weerbaarheidsbevorderende maatregelen uit hoofde van deze richtlijn, moet zij die maatregelen en documenten kunnen gebruiken om aan de voorschriften ten aanzien van weerbaarheidsmaatregelen uit hoofde van deze richtlijn te voldoen. Om dubbel werk te vermijden moet een bevoegde autoriteit kunnen verklaren dat bestaande weerbaarheidsmaatregelen genomen door een kritieke entiteit, op grond waarvan zij voldoen aan hun verplichting om technische, veiligheids- en organisatorische maatregelen te nemen op grond van deze richtlijn, geheel of ten dele voldoen aan de voorschriften van deze richtlijn. |
| --- | --- |

(30)

Met het oog op effectiviteit en verantwoording moeten kritieke entiteiten, rekening houdend met de vastgestelde risico's, de maatregelen die zij nemen voldoende gedetailleerd beschrijven in een weerbaarheidsplan dan wel een of meer daarmee vergelijkbare documenten om de doelen van effectiviteit en verantwoording te kunnen verwezenlijken, en dat plan in de praktijk toepassen. Wanneer een kritieke entiteit reeds technische, beveiligings- en organisatorische maatregelen heeft genomen en documenten heeft opgesteld op grond van andere rechtshandelingen die relevant zijn voor weerbaarheidsbevorderende maatregelen uit hoofde van deze richtlijn, moet zij die maatregelen en documenten kunnen gebruiken om aan de voorschriften ten aanzien van weerbaarheidsmaatregelen uit hoofde van deze richtlijn te voldoen. Om dubbel werk te vermijden moet een bevoegde autoriteit kunnen verklaren dat bestaande weerbaarheidsmaatregelen genomen door een kritieke entiteit, op grond waarvan zij voldoen aan hun verplichting om technische, veiligheids- en organisatorische maatregelen te nemen op grond van deze richtlijn, geheel of ten dele voldoen aan de voorschriften van deze richtlijn.

| (31) | Bij Verordeningen (EG) nr. 725/2004 (14) en (EG) nr. 300/2008 (15) van het Europees Parlement en de Raad en Richtlijn 2005/65/EG van het Europees Parlement en de Raad (16) zijn voorschriften voor entiteiten in de sectoren luchtvaart en zeevervoer vastgesteld om incidenten als gevolg van wederrechtelijke gedragingen te voorkomen en de gevolgen van dergelijke incidenten het hoofd te bieden en te beperken. Hoewel de uit hoofde van deze richtlijn vereiste maatregelen breder zijn wat de bestreken risico's en soorten te nemen maatregelen betreft, moeten de kritieke entiteiten in die sectoren de krachtens die andere rechtshandelingen van de Unie genomen maatregelen tot uitdrukking brengen in hun weerbaarheidsplan of daarmee vergelijkbare documenten. Kritieke entiteiten moeten ook rekening houden met Richtlijn 2008/96/EG van het Europees Parlement en de Raad (17), die voorziet in een wegennetbeoordeling voor het hele netwerk om het risico op ongevallen in kaart te brengen, en in een gerichte verkeersveiligheidsinspectie om gevaarlijke omstandigheden, gebreken en problemen die het risico op ongevallen en verwondingen verhogen, vast te stellen op basis van bezoeken ter plaatse aan bestaande wegen of weggedeelten. Het waarborgen van de bescherming en weerbaarheid van kritieke entiteiten is van het grootste belang voor de spoorwegsector, en kritieke entiteiten worden ertoe aangespoord om bij de uitvoering van weerbaarheidsmaatregelen uit hoofde van deze richtlijn terug te grijpen op niet-bindende richtsnoeren en documenten met goede praktijken die zijn ontwikkeld in het kader van sectorale werkstromen, zoals het EU-veiligheidsplatform voor treinreizigers dat is opgericht bij Besluit 2018/C 232/03 van de Commissie (18). |
| --- | --- |

(31)

Bij Verordeningen (EG) nr. 725/2004 (14) en (EG) nr. 300/2008 (15) van het Europees Parlement en de Raad en Richtlijn 2005/65/EG van het Europees Parlement en de Raad (16) zijn voorschriften voor entiteiten in de sectoren luchtvaart en zeevervoer vastgesteld om incidenten als gevolg van wederrechtelijke gedragingen te voorkomen en de gevolgen van dergelijke incidenten het hoofd te bieden en te beperken. Hoewel de uit hoofde van deze richtlijn vereiste maatregelen breder zijn wat de bestreken risico's en soorten te nemen maatregelen betreft, moeten de kritieke entiteiten in die sectoren de krachtens die andere rechtshandelingen van de Unie genomen maatregelen tot uitdrukking brengen in hun weerbaarheidsplan of daarmee vergelijkbare documenten. Kritieke entiteiten moeten ook rekening houden met Richtlijn 2008/96/EG van het Europees Parlement en de Raad (17), die voorziet in een wegennetbeoordeling voor het hele netwerk om het risico op ongevallen in kaart te brengen, en in een gerichte verkeersveiligheidsinspectie om gevaarlijke omstandigheden, gebreken en problemen die het risico op ongevallen en verwondingen verhogen, vast te stellen op basis van bezoeken ter plaatse aan bestaande wegen of weggedeelten. Het waarborgen van de bescherming en weerbaarheid van kritieke entiteiten is van het grootste belang voor de spoorwegsector, en kritieke entiteiten worden ertoe aangespoord om bij de uitvoering van weerbaarheidsmaatregelen uit hoofde van deze richtlijn terug te grijpen op niet-bindende richtsnoeren en documenten met goede praktijken die zijn ontwikkeld in het kader van sectorale werkstromen, zoals het EU-veiligheidsplatform voor treinreizigers dat is opgericht bij Besluit 2018/C 232/03 van de Commissie (18).

| (32) | Het risico dat werknemers van kritieke entiteiten of hun contractanten bijvoorbeeld hun toegangsrechten misbruiken om binnen de organisatie van de kritieke entiteit schade te veroorzaken, wordt steeds zorgwekkender. De lidstaten moeten derhalve bepalen onder welke voorwaarden kritieke entiteiten, in goed gemotiveerde gevallen en rekening houdende met de lidstaat-risicobeoordelingen, om antecedentenonderzoeken kunnen verzoeken voor personen die tot specifieke categorieën van hun personeel behoren. Er moet voor worden gezorgd dat de relevante autoriteiten die verzoeken binnen een redelijke termijn beoordelen en afhandelen overeenkomstig het nationale recht en de nationale procedures, alsook het relevante en toepasselijke Unierecht, onder meer inzake de bescherming van persoonsgegevens. Om de identiteit van een persoon die aan een antecedentenonderzoek wordt onderworpen te bevestigen, is het wenselijk dat de lidstaten een identiteitsbewijs voorschrijven, zoals een paspoort, een nationale identiteitskaart of een digitale vorm van identificatie, overeenkomstig het toepasselijke recht.
  Bij antecedentenonderzoek moet worden gekeken naar het strafregister van de betrokken persoon. De lidstaten moeten gebruikmaken van het Europees Strafregisterinformatiesysteem volgens de procedures die zijn vastgesteld in Kaderbesluit 2009/315/JBZ van de Raad (19) en, waar nuttig en toepasselijk, Verordening (EU) 2019/816 van het Europees Parlement en de Raad (20), om gegevens uit de strafregisters van andere lidstaten te verkrijgen. De lidstaten kunnen ook, waar nuttig en toepasselijk, gebruikmaken van het bij Verordening (EU) 2018/1862 van het Europees Parlement en de Raad (21) opgezette Schengeninformatiesysteem van de tweede generatie (SIS II), inlichtingen en andere beschikbare objectieve informatie die nodig kan zijn om te bepalen of de betrokken persoon geschikt is voor de functie waarvoor de kritieke entiteit een antecedentenonderzoek heeft aangevraagd. |
| --- | --- |

(32)

Het risico dat werknemers van kritieke entiteiten of hun contractanten bijvoorbeeld hun toegangsrechten misbruiken om binnen de organisatie van de kritieke entiteit schade te veroorzaken, wordt steeds zorgwekkender. De lidstaten moeten derhalve bepalen onder welke voorwaarden kritieke entiteiten, in goed gemotiveerde gevallen en rekening houdende met de lidstaat-risicobeoordelingen, om antecedentenonderzoeken kunnen verzoeken voor personen die tot specifieke categorieën van hun personeel behoren. Er moet voor worden gezorgd dat de relevante autoriteiten die verzoeken binnen een redelijke termijn beoordelen en afhandelen overeenkomstig het nationale recht en de nationale procedures, alsook het relevante en toepasselijke Unierecht, onder meer inzake de bescherming van persoonsgegevens. Om de identiteit van een persoon die aan een antecedentenonderzoek wordt onderworpen te bevestigen, is het wenselijk dat de lidstaten een identiteitsbewijs voorschrijven, zoals een paspoort, een nationale identiteitskaart of een digitale vorm van identificatie, overeenkomstig het toepasselijke recht.

Bij antecedentenonderzoek moet worden gekeken naar het strafregister van de betrokken persoon. De lidstaten moeten gebruikmaken van het Europees Strafregisterinformatiesysteem volgens de procedures die zijn vastgesteld in Kaderbesluit 2009/315/JBZ van de Raad (19) en, waar nuttig en toepasselijk, Verordening (EU) 2019/816 van het Europees Parlement en de Raad (20), om gegevens uit de strafregisters van andere lidstaten te verkrijgen. De lidstaten kunnen ook, waar nuttig en toepasselijk, gebruikmaken van het bij Verordening (EU) 2018/1862 van het Europees Parlement en de Raad (21) opgezette Schengeninformatiesysteem van de tweede generatie (SIS II), inlichtingen en andere beschikbare objectieve informatie die nodig kan zijn om te bepalen of de betrokken persoon geschikt is voor de functie waarvoor de kritieke entiteit een antecedentenonderzoek heeft aangevraagd.

| (33) | Er moet een mechanisme komen voor de melding van bepaalde incidenten zodat de bevoegde autoriteiten snel en adequaat kunnen reageren op incidenten en een volledig overzicht krijgen van de impact, aard, oorzaak en mogelijke gevolgen van incidenten waarmee de kritieke entiteiten te maken hebben. De kritieke entiteiten moeten de bevoegde autoriteiten zonder onnodige vertraging incidenten melden die de verlening van essentiële diensten aanzienlijk verstoren of zouden kunnen verstoren. De kritieke entiteiten moeten uiterlijk 24 uur nadat zij zich bewust zijn geworden van een incident een eerste melding indienen, tenzij zij hier operationeel gezien niet toe in staat zijn. De eerste melding hoeft enkel informatie te bevatten die strikt noodzakelijk is om de bevoegde autoriteit op de hoogte te brengen van het incident en de kritieke entiteit in staat te stellen om, indien nodig, bijstand te vragen. Een dergelijke melding moet, indien mogelijk, de vermoedelijke oorzaak van het incident vermelden. De lidstaten moeten ervoor zorgen dat het voorschrift om die eerste melding in te dienen de middelen van de kritieke entiteit niet afleidt van activiteiten in verband met incidentenbehandeling die prioriteit moeten krijgen. De eerste melding moet, in voorkomend geval, worden gevolgd door een gedetailleerd verslag dat uiterlijk één maand na het incident moet worden ingeleverd. Het gedetailleerde verslag moet de eerste melding aanvullen en een vollediger beeld geven van het incident. |
| --- | --- |

(33)

Er moet een mechanisme komen voor de melding van bepaalde incidenten zodat de bevoegde autoriteiten snel en adequaat kunnen reageren op incidenten en een volledig overzicht krijgen van de impact, aard, oorzaak en mogelijke gevolgen van incidenten waarmee de kritieke entiteiten te maken hebben. De kritieke entiteiten moeten de bevoegde autoriteiten zonder onnodige vertraging incidenten melden die de verlening van essentiële diensten aanzienlijk verstoren of zouden kunnen verstoren. De kritieke entiteiten moeten uiterlijk 24 uur nadat zij zich bewust zijn geworden van een incident een eerste melding indienen, tenzij zij hier operationeel gezien niet toe in staat zijn. De eerste melding hoeft enkel informatie te bevatten die strikt noodzakelijk is om de bevoegde autoriteit op de hoogte te brengen van het incident en de kritieke entiteit in staat te stellen om, indien nodig, bijstand te vragen. Een dergelijke melding moet, indien mogelijk, de vermoedelijke oorzaak van het incident vermelden. De lidstaten moeten ervoor zorgen dat het voorschrift om die eerste melding in te dienen de middelen van de kritieke entiteit niet afleidt van activiteiten in verband met incidentenbehandeling die prioriteit moeten krijgen. De eerste melding moet, in voorkomend geval, worden gevolgd door een gedetailleerd verslag dat uiterlijk één maand na het incident moet worden ingeleverd. Het gedetailleerde verslag moet de eerste melding aanvullen en een vollediger beeld geven van het incident.

| (34) | Normalisatie moet in de eerste plaats een door de markt gestuurd proces blijven. Er kunnen zich echter situaties voordoen waarin het wenselijk is de naleving van specifieke normen voor te schrijven. De lidstaten moeten, waar nuttig, het gebruik aanmoedigen van Europese en internationale normen en technische specificaties die relevant zijn voor de beveiligings- en weerbaarheidsmaatregelen die van toepassing zijn op kritieke entiteiten. |
| --- | --- |

(34)

Normalisatie moet in de eerste plaats een door de markt gestuurd proces blijven. Er kunnen zich echter situaties voordoen waarin het wenselijk is de naleving van specifieke normen voor te schrijven. De lidstaten moeten, waar nuttig, het gebruik aanmoedigen van Europese en internationale normen en technische specificaties die relevant zijn voor de beveiligings- en weerbaarheidsmaatregelen die van toepassing zijn op kritieke entiteiten.

| (35) | Ofschoon kritieke entiteiten over het algemeen binnen een steeds hechter dienstverlenings- en infrastructureel netwerk opereren en dikwijls in meer dan een lidstaat essentiële diensten verlenen, zijn een aantal van die kritieke entiteiten van bijzonder belang voor de Unie en haar interne markt omdat zij essentiële diensten verlenen aan of in zes of meer lidstaten, en kunnen zij daarom specifieke ondersteuning op Unieniveau krijgen. Derhalve moeten er regels inzake adviesmissies naar dergelijke kritieke entiteiten van bijzonder Europees belang worden vastgesteld. Deze regels laten de in deze richtlijn vastgestelde regels inzake toezicht en handhaving onverlet. |
| --- | --- |

(35)

Ofschoon kritieke entiteiten over het algemeen binnen een steeds hechter dienstverlenings- en infrastructureel netwerk opereren en dikwijls in meer dan een lidstaat essentiële diensten verlenen, zijn een aantal van die kritieke entiteiten van bijzonder belang voor de Unie en haar interne markt omdat zij essentiële diensten verlenen aan of in zes of meer lidstaten, en kunnen zij daarom specifieke ondersteuning op Unieniveau krijgen. Derhalve moeten er regels inzake adviesmissies naar dergelijke kritieke entiteiten van bijzonder Europees belang worden vastgesteld. Deze regels laten de in deze richtlijn vastgestelde regels inzake toezicht en handhaving onverlet.

| (36) | Op gemotiveerd verzoek van de Commissie of van een of meer lidstaten waaraan of waar de essentiële dienst wordt verleend, moet de lidstaat die een kritieke entiteit van bijzonder Europees belang heeft geïdentificeerd als kritieke entiteit, wanneer aanvullende informatie noodzakelijk is om een kritieke entiteit te kunnen adviseren bij het nakomen van haar verplichtingen uit hoofde van deze richtlijn of om te kunnen beoordelen of een kritieke entiteit van bijzonder Europees belang die verplichtingen nakomt, de Commissie bepaalde informatie verstrekken als vastgesteld in deze richtlijn. In overleg met de lidstaat die de kritieke entiteit van bijzonder Europees belang heeft geïdentificeerd als een kritieke entiteit, moet de Commissie een adviesmissie kunnen organiseren om de door die entiteit genomen maatregelen te beoordelen. Om ervoor te zorgen dat dergelijke adviesmissies correct worden verricht, moeten aanvullende regels worden vastgesteld, met name inzake de organisatie en uitvoering van de adviesmissies, de te treffen follow-upmaatregelen en de verplichtingen van de betrokken kritieke entiteiten van bijzonder Europees belang. De adviesmissie moet worden uitgevoerd volgens de specifieke regels van het recht van de betrokken lidstaat, bijvoorbeeld inzake de precieze voorwaarden waaraan moet worden voldaan om toegang tot de betreffende gebouwen of documenten te krijgen en inzake rechtsverhaal, hetgeen onverlet laat dat de lidstaat waar de adviesmissie wordt uitgevoerd alsook de betrokken kritieke entiteit de regels van deze richtlijn moeten naleven. Om de specifieke deskundigheid die voor dergelijke adviesmissies voorgeschreven is, zou in voorkomend geval kunnen worden verzocht via het bij Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad (22) opgerichte Coördinatiecentrum voor respons in noodsituaties. |
| --- | --- |

(36)

Op gemotiveerd verzoek van de Commissie of van een of meer lidstaten waaraan of waar de essentiële dienst wordt verleend, moet de lidstaat die een kritieke entiteit van bijzonder Europees belang heeft geïdentificeerd als kritieke entiteit, wanneer aanvullende informatie noodzakelijk is om een kritieke entiteit te kunnen adviseren bij het nakomen van haar verplichtingen uit hoofde van deze richtlijn of om te kunnen beoordelen of een kritieke entiteit van bijzonder Europees belang die verplichtingen nakomt, de Commissie bepaalde informatie verstrekken als vastgesteld in deze richtlijn. In overleg met de lidstaat die de kritieke entiteit van bijzonder Europees belang heeft geïdentificeerd als een kritieke entiteit, moet de Commissie een adviesmissie kunnen organiseren om de door die entiteit genomen maatregelen te beoordelen. Om ervoor te zorgen dat dergelijke adviesmissies correct worden verricht, moeten aanvullende regels worden vastgesteld, met name inzake de organisatie en uitvoering van de adviesmissies, de te treffen follow-upmaatregelen en de verplichtingen van de betrokken kritieke entiteiten van bijzonder Europees belang. De adviesmissie moet worden uitgevoerd volgens de specifieke regels van het recht van de betrokken lidstaat, bijvoorbeeld inzake de precieze voorwaarden waaraan moet worden voldaan om toegang tot de betreffende gebouwen of documenten te krijgen en inzake rechtsverhaal, hetgeen onverlet laat dat de lidstaat waar de adviesmissie wordt uitgevoerd alsook de betrokken kritieke entiteit de regels van deze richtlijn moeten naleven. Om de specifieke deskundigheid die voor dergelijke adviesmissies voorgeschreven is, zou in voorkomend geval kunnen worden verzocht via het bij Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad (22) opgerichte Coördinatiecentrum voor respons in noodsituaties.

| (37) | Ter ondersteuning van de Commissie en ter vereenvoudiging van de samenwerking tussen de lidstaten en de uitwisseling van informatie, waaronder beste praktijken, betreffende kwesties in verband met deze richtlijn, moet een groep voor de weerbaarheid van kritieke entiteiten worden opgericht als deskundigengroep van de Commissie. De lidstaten moeten trachten te waarborgen dat de aangewezen vertegenwoordigers van hun bevoegde autoriteiten binnen de Groep voor de weerbaarheid van kritieke entiteiten doeltreffend en doelmatig samenwerken, onder meer door waar nodig vertegenwoordigers aan te wijzen die over een veiligheidsmachtiging beschikken. De Groep voor de weerbaarheid van kritieke entiteiten moet haar taken zo snel mogelijk aanvatten, teneinde te voorzien in aanvullende middelen voor de nodige samenwerking tijdens de omzettingsperiode van deze richtlijn. De Groep voor de weerbaarheid van kritieke entiteiten moet samenwerken met andere relevante sectorspecifieke werkgroepen van deskundigen. |
| --- | --- |

(37)

Ter ondersteuning van de Commissie en ter vereenvoudiging van de samenwerking tussen de lidstaten en de uitwisseling van informatie, waaronder beste praktijken, betreffende kwesties in verband met deze richtlijn, moet een groep voor de weerbaarheid van kritieke entiteiten worden opgericht als deskundigengroep van de Commissie. De lidstaten moeten trachten te waarborgen dat de aangewezen vertegenwoordigers van hun bevoegde autoriteiten binnen de Groep voor de weerbaarheid van kritieke entiteiten doeltreffend en doelmatig samenwerken, onder meer door waar nodig vertegenwoordigers aan te wijzen die over een veiligheidsmachtiging beschikken. De Groep voor de weerbaarheid van kritieke entiteiten moet haar taken zo snel mogelijk aanvatten, teneinde te voorzien in aanvullende middelen voor de nodige samenwerking tijdens de omzettingsperiode van deze richtlijn. De Groep voor de weerbaarheid van kritieke entiteiten moet samenwerken met andere relevante sectorspecifieke werkgroepen van deskundigen.

| (38) | Ter bevordering van een alomvattend kader voor de cyber- en niet-cybergerelateerde weerbaarheid van kritieke entiteiten moet de Groep voor de weerbaarheid van kritieke entiteiten samenwerken met de bij Richtlijn (EU) 2022/2555 opgezette Samenwerkingsgroep. De Groep voor de weerbaarheid van kritieke entiteiten en de bij Richtlijn (EU) 2022/2555 opgezette Samenwerkingsgroep moeten regelmatig met elkaar in dialoog treden teneinde de samenwerking tussen de uit hoofde van deze richtlijn bevoegde autoriteiten en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten te bevorderen en de uitwisseling van informatie, in het bijzonder over onderwerpen die voor beide partijen van belang zijn te vergemakkelijken. |
| --- | --- |

(38)

Ter bevordering van een alomvattend kader voor de cyber- en niet-cybergerelateerde weerbaarheid van kritieke entiteiten moet de Groep voor de weerbaarheid van kritieke entiteiten samenwerken met de bij Richtlijn (EU) 2022/2555 opgezette Samenwerkingsgroep. De Groep voor de weerbaarheid van kritieke entiteiten en de bij Richtlijn (EU) 2022/2555 opgezette Samenwerkingsgroep moeten regelmatig met elkaar in dialoog treden teneinde de samenwerking tussen de uit hoofde van deze richtlijn bevoegde autoriteiten en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten te bevorderen en de uitwisseling van informatie, in het bijzonder over onderwerpen die voor beide partijen van belang zijn te vergemakkelijken.

| (39) | Ter verwezenlijking van de doelstellingen van deze richtlijn en onverminderd de wettelijke verantwoordelijkheid van de lidstaten en kritieke entiteiten om te waarborgen dat zij hun in deze richtlijn vastgelegde respectieve verplichtingen naleven, moet de Commissie, voor zover zij zulks wenselijk acht, bevoegde autoriteiten en kritieke entiteiten ondersteunen om voor hen de naleving van hun respectieve verplichtingen te vergemakkelijken. Wanneer de Commissie de lidstaten en kritieke entiteiten bij de uitvoering van verplichtingen uit hoofde van deze richtlijn ondersteunt, moet zij voortbouwen op bestaande structuren en instrumenten, zoals die van het bij Besluit nr. 1313/2013/EU opgezette Uniemechanisme voor civiele bescherming en het Europees referentienetwerk voor de bescherming van kritieke infrastructuur. Daarnaast moet zij de lidstaten informeren over de beschikbare middelen op Unieniveau, zoals uit het bij Verordening (EU) 2021/1149 van het Europees Parlement en de Raad (23) opgezette Fonds voor interne veiligheid, het bij Verordening (EU) 2021/695 van het Europees Parlement en de Raad (24) opgezette programma Horizon Europa, en andere instrumenten die relevant zijn voor de weerbaarheid van kritieke entiteiten. |
| --- | --- |

(39)

Ter verwezenlijking van de doelstellingen van deze richtlijn en onverminderd de wettelijke verantwoordelijkheid van de lidstaten en kritieke entiteiten om te waarborgen dat zij hun in deze richtlijn vastgelegde respectieve verplichtingen naleven, moet de Commissie, voor zover zij zulks wenselijk acht, bevoegde autoriteiten en kritieke entiteiten ondersteunen om voor hen de naleving van hun respectieve verplichtingen te vergemakkelijken. Wanneer de Commissie de lidstaten en kritieke entiteiten bij de uitvoering van verplichtingen uit hoofde van deze richtlijn ondersteunt, moet zij voortbouwen op bestaande structuren en instrumenten, zoals die van het bij Besluit nr. 1313/2013/EU opgezette Uniemechanisme voor civiele bescherming en het Europees referentienetwerk voor de bescherming van kritieke infrastructuur. Daarnaast moet zij de lidstaten informeren over de beschikbare middelen op Unieniveau, zoals uit het bij Verordening (EU) 2021/1149 van het Europees Parlement en de Raad (23) opgezette Fonds voor interne veiligheid, het bij Verordening (EU) 2021/695 van het Europees Parlement en de Raad (24) opgezette programma Horizon Europa, en andere instrumenten die relevant zijn voor de weerbaarheid van kritieke entiteiten.

| (40) | De lidstaten moeten ervoor zorgen dat hun bevoegde autoriteiten over bepaalde specifieke bevoegdheden beschikken voor de juiste toepassing en handhaving van deze richtlijn met betrekking tot kritieke entiteiten, voor zover die entiteiten volgens deze richtlijn onder hun jurisdictie vallen. Daarbij gaat het met name om de bevoegdheid inspecties en audits te verrichten, de bevoegdheid om toezicht te houden, de bevoegdheid om kritieke entiteiten voor te schrijven dat ze informatie en bewijs verstrekken in verband met de maatregelen die zij met het oog op het nakomen van hun verplichtingen hebben genomen, en zo nodig de bevoegdheid om vastgestelde inbreuken te beëindigen. Bij het geven van zulke opdrachten mogen de lidstaten geen maatregelen voorschrijven die verder gaan dan wat nodig en evenredig is om te waarborgen dat de betrokken kritieke entiteit aan haar verplichtingen voldoet, en moeten zij met name rekening houden met de ernst van de inbreuk en de economische capaciteit van de betrokken kritieke entiteit. Meer algemeen moeten die bevoegdheden vergezeld gaan van adequate en effectieve waarborgen die in nationaal recht moeten worden vastgelegd overeenkomstig het Handvest van de grondrechten van de Europese Unie. Bij de beoordeling of een kritieke entiteit haar verplichtingen die zijn vastgelegd zijn in deze richtlijn nakomt, moeten de uit hoofde van deze richtlijn bevoegde autoriteiten de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten kunnen verzoeken om hun toezichts- en handhavingsbevoegdheden uit te oefenen met betrekking tot een entiteit uit hoofde van die richtlijn die uit hoofde van de onderhavige richtlijn als een kritieke entiteit is geïdentificeerd. De uit hoofde van deze richtlijn bevoegde autoriteiten en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten moeten daartoe hun medewerking verlenen en informatie uitwisselen. |
| --- | --- |

(40)

De lidstaten moeten ervoor zorgen dat hun bevoegde autoriteiten over bepaalde specifieke bevoegdheden beschikken voor de juiste toepassing en handhaving van deze richtlijn met betrekking tot kritieke entiteiten, voor zover die entiteiten volgens deze richtlijn onder hun jurisdictie vallen. Daarbij gaat het met name om de bevoegdheid inspecties en audits te verrichten, de bevoegdheid om toezicht te houden, de bevoegdheid om kritieke entiteiten voor te schrijven dat ze informatie en bewijs verstrekken in verband met de maatregelen die zij met het oog op het nakomen van hun verplichtingen hebben genomen, en zo nodig de bevoegdheid om vastgestelde inbreuken te beëindigen. Bij het geven van zulke opdrachten mogen de lidstaten geen maatregelen voorschrijven die verder gaan dan wat nodig en evenredig is om te waarborgen dat de betrokken kritieke entiteit aan haar verplichtingen voldoet, en moeten zij met name rekening houden met de ernst van de inbreuk en de economische capaciteit van de betrokken kritieke entiteit. Meer algemeen moeten die bevoegdheden vergezeld gaan van adequate en effectieve waarborgen die in nationaal recht moeten worden vastgelegd overeenkomstig het Handvest van de grondrechten van de Europese Unie. Bij de beoordeling of een kritieke entiteit haar verplichtingen die zijn vastgelegd zijn in deze richtlijn nakomt, moeten de uit hoofde van deze richtlijn bevoegde autoriteiten de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten kunnen verzoeken om hun toezichts- en handhavingsbevoegdheden uit te oefenen met betrekking tot een entiteit uit hoofde van die richtlijn die uit hoofde van de onderhavige richtlijn als een kritieke entiteit is geïdentificeerd. De uit hoofde van deze richtlijn bevoegde autoriteiten en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten moeten daartoe hun medewerking verlenen en informatie uitwisselen.

| (41) | Teneinde deze richtlijn op doeltreffende en consistente wijze toe te passen, moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 VWEU handelingen vast te stellen, zodat zij deze richtlijn kan aanvullen met een lijst van essentiële diensten. Die lijst moet door de bevoegde autoriteiten worden gebruikt met het oog op de uitvoering van lidstaat-risicobeoordelingen en het identificeren van kritieke entiteiten op grond van deze richtlijn. In het licht van de minimale harmonisatie waarvoor is gekozen bij deze richtlijn is die lijst niet uitputtend en kunnen lidstaten de lijst aanvullen met andere essentiële diensten op nationaal niveau, teneinde rekening te houden met nationale bijzonderheden bij de verlening van essentiële diensten. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen gebeuren in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (25). Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen. |
| --- | --- |

(41)

Teneinde deze richtlijn op doeltreffende en consistente wijze toe te passen, moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 VWEU handelingen vast te stellen, zodat zij deze richtlijn kan aanvullen met een lijst van essentiële diensten. Die lijst moet door de bevoegde autoriteiten worden gebruikt met het oog op de uitvoering van lidstaat-risicobeoordelingen en het identificeren van kritieke entiteiten op grond van deze richtlijn. In het licht van de minimale harmonisatie waarvoor is gekozen bij deze richtlijn is die lijst niet uitputtend en kunnen lidstaten de lijst aanvullen met andere essentiële diensten op nationaal niveau, teneinde rekening te houden met nationale bijzonderheden bij de verlening van essentiële diensten. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen gebeuren in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (25). Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.

| (42) | Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze richtlijn, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad (26). |
| --- | --- |

(42)

Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze richtlijn, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad (26).

| (43) | Aangezien de doelstellingen van deze richtlijn, namelijk te verzekeren dat diensten die essentieel zijn voor het behoud van vitale maatschappelijke functies of economische activiteiten, binnen de interne markt zonder belemmeringen worden verleend en de weerbaarheid van de kritieke entiteiten die dergelijke diensten verlenen, te vergroten, niet voldoende door de lidstaten kunnen worden verwezenlijkt, maar vanwege de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel 5 neergelegde evenredigheidsbeginsel, gaat deze richtlijn niet verder dan nodig is om die doelstellingen te verwezenlijken. |
| --- | --- |

(43)

Aangezien de doelstellingen van deze richtlijn, namelijk te verzekeren dat diensten die essentieel zijn voor het behoud van vitale maatschappelijke functies of economische activiteiten, binnen de interne markt zonder belemmeringen worden verleend en de weerbaarheid van de kritieke entiteiten die dergelijke diensten verlenen, te vergroten, niet voldoende door de lidstaten kunnen worden verwezenlijkt, maar vanwege de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel 5 neergelegde evenredigheidsbeginsel, gaat deze richtlijn niet verder dan nodig is om die doelstellingen te verwezenlijken.

| (44) | Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (27) is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 11 augustus 2021 heeft hij een advies uitgebracht. |
| --- | --- |

(44)

Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (27) is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 11 augustus 2021 heeft hij een advies uitgebracht.

| (45) | Richtlijn 2008/114/EG moet derhalve worden ingetrokken, |
| --- | --- |

(45)

Richtlijn 2008/114/EG moet derhalve worden ingetrokken,

HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD:

HOOFDSTUK I

ALGEMENE BEPALINGEN

Artikel 1

Voorwerp en toepassingsgebied

1.   Deze richtlijn:

| a) | legt verplichtingen voor de lidstaten vast tot het nemen van specifieke maatregelen om te waarborgen dat diensten die essentieel zijn voor de instandhouding van vitale maatschappelijke functies of economische activiteiten, binnen het toepassingsgebied van artikel 114 VWEU op de interne markt zonder belemmeringen worden verleend, met name de verplichtingen om kritieke entiteiten te identificeren en kritieke entiteiten te helpen aan hun opgelegde verplichtingen te voldoen; |
| --- | --- |

a)

legt verplichtingen voor de lidstaten vast tot het nemen van specifieke maatregelen om te waarborgen dat diensten die essentieel zijn voor de instandhouding van vitale maatschappelijke functies of economische activiteiten, binnen het toepassingsgebied van artikel 114 VWEU op de interne markt zonder belemmeringen worden verleend, met name de verplichtingen om kritieke entiteiten te identificeren en kritieke entiteiten te helpen aan hun opgelegde verplichtingen te voldoen;

| b) | legt verplichtingen voor kritieke entiteiten vast ter vergroting van hun weerbaarheid en hun vermogen om diensten als bedoeld in punt a) op de interne markt te verlenen; |
| --- | --- |

b)

legt verplichtingen voor kritieke entiteiten vast ter vergroting van hun weerbaarheid en hun vermogen om diensten als bedoeld in punt a) op de interne markt te verlenen;

| c) | stelt regels vast:






  i) | voor het toezicht op kritieke entiteiten |
| --- | --- | --- |

c)

stelt regels vast:

i)

voor het toezicht op kritieke entiteiten

| ii) | voor handhaving; |
| --- | --- |

ii)

voor handhaving;

| iii) | voor de identificatie van kritieke entiteiten van bijzonder Europees belang en voor de adviesmissies om maatregelen te beoordelen die entiteiten hebben ingevoerd om aan hun verplichtingen uit hoofde van hoofdstuk III te voldoen; |
| --- | --- |

iii)

voor de identificatie van kritieke entiteiten van bijzonder Europees belang en voor de adviesmissies om maatregelen te beoordelen die entiteiten hebben ingevoerd om aan hun verplichtingen uit hoofde van hoofdstuk III te voldoen;

| d) | stelt gemeenschappelijke procedures voor samenwerking en rapportage vast voor de toepassing van deze richtlijn; |
| --- | --- |

d)

stelt gemeenschappelijke procedures voor samenwerking en rapportage vast voor de toepassing van deze richtlijn;

| e) | legt maatregelen vast om de weerbaarheid van kritieke entiteiten op een hoog niveau te brengen teneinde de verlening van essentiële diensten in de Unie te waarborgen en de werking van de interne markt te verbeteren. |
| --- | --- |

e)

legt maatregelen vast om de weerbaarheid van kritieke entiteiten op een hoog niveau te brengen teneinde de verlening van essentiële diensten in de Unie te waarborgen en de werking van de interne markt te verbeteren.

2.   Deze richtlijn is niet van toepassing op aangelegenheden die vallen onder Richtlijn (EU) 2022/2555, onverminderd artikel 8 van deze richtlijn. Aangezien de fysieke beveiliging en cyberbeveiliging van kritieke entiteiten met elkaar verband houden, zorgen de lidstaten ervoor dat deze richtlijn en Richtlijn (EU) 2022/2555 op gecoördineerde wijze worden uitgevoerd.

3.   Wanneer bepalingen van sectorspecifieke rechtshandelingen van de Unie voorschrijven dat kritieke entiteiten maatregelen nemen om hun weerbaarheid te vergroten, en wanneer die voorschriften door de lidstaten worden erkend als ten minste gelijkwaardig aan de in deze richtlijn overeenkomende verplichtingen, zijn de desbetreffende bepalingen van deze richtlijn, met inbegrip van de bepalingen inzake toezicht en handhaving van hoofdstuk VI, niet van toepassing.

4.   Onverminderd artikel 346 VWEU wordt informatie die op grond van Unie- of nationale regelgeving vertrouwelijk is, zoals voorschriften inzake de vertrouwelijkheid van bedrijfsinformatie, uitsluitend met de Commissie en andere betrokken autoriteiten, overeenkomstig deze richtlijn, uitgewisseld wanneer dat noodzakelijk is voor de toepassing van deze richtlijn. Er wordt uitsluitend informatie uitgewisseld die relevant is voor en evenredig is met het doel van die uitwisseling. Bij de uitwisseling van informatie worden de vertrouwelijkheid van die informatie en de veiligheids- en commerciële belangen van kritieke entiteiten gewaarborgd, en wordt de veiligheid van de lidstaten in acht genomen.

5.   Deze richtlijn laat de verantwoordelijkheid van de lidstaten om de nationale veiligheid te beschermen en hun bevoegdheid om andere essentiële staatsfuncties te beschermen, waaronder het verdedigen van de territoriale integriteit van de staat en het handhaven van de openbare orde, onverlet.

6.   Deze richtlijn is niet van toepassing op overheidsinstanties die activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten.

7.   De lidstaten kunnen besluiten dat de bepalingen van artikel 11 en hoofdstuk III, IV en VI geheel of gedeeltelijk niet van toepassing zijn op specifieke kritieke entiteiten die activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten, of die uitsluitend diensten verlenen aan de in lid 6 van dit artikel bedoelde overheidsinstanties.

8.   De in deze richtlijn vastgelegde verplichtingen omvatten niet de verstrekking van informatie waarvan de bekendmaking strijdig zou zijn met de wezenlijke belangen van de lidstaten inzake nationale veiligheid, openbare veiligheid of defensie.

9.   Deze richtlijn doet geen afbreuk aan het Unierecht inzake de bescherming van persoonsgegevens, met name Verordening (EU) 2016/679 van het Europees Parlement en de Raad (28) en Richtlijn 2002/58/EG van het Europees Parlement en de Raad (29).

Artikel 2

Definities

Voor de toepassing van deze richtlijn wordt verstaan onder:

| 1) | “kritieke entiteit”: een publieke of particuliere entiteit die overeenkomstig artikel 6 door een lidstaat is geïdentificeerd als behorende tot een van de categorieën die zijn vermeld in de derde kolom van de tabel in de bijlage; |
| --- | --- |

1)

“kritieke entiteit”: een publieke of particuliere entiteit die overeenkomstig artikel 6 door een lidstaat is geïdentificeerd als behorende tot een van de categorieën die zijn vermeld in de derde kolom van de tabel in de bijlage;

| 2) | “weerbaarheid”: het vermogen van een kritieke entiteit om een incident te voorkomen, te beperken en te beheersen, en om bescherming te bieden en bestand te zijn tegen, te reageren op of, zich aan te passen aan en te herstellen van een incident; |
| --- | --- |

2)

“weerbaarheid”: het vermogen van een kritieke entiteit om een incident te voorkomen, te beperken en te beheersen, en om bescherming te bieden en bestand te zijn tegen, te reageren op of, zich aan te passen aan en te herstellen van een incident;

| 3) | “incident”: elke gebeurtenis die het verlenen van een essentiële dienst aanzienlijk kan verstoren of verstoort, ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtsstaat waarborgen; |
| --- | --- |

3)

“incident”: elke gebeurtenis die het verlenen van een essentiële dienst aanzienlijk kan verstoren of verstoort, ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtsstaat waarborgen;

| 4) | “kritieke infrastructuur”: een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, of een onderdeel van een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, hetgeen noodzakelijk is voor de verlening van een essentiële dienst; |
| --- | --- |

4)

“kritieke infrastructuur”: een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, of een onderdeel van een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, hetgeen noodzakelijk is voor de verlening van een essentiële dienst;

| 5) | “essentiële dienst”: een dienst die van cruciaal belang is voor de instandhouding van vitale maatschappelijke functies, economische activiteiten, de volksgezondheid en openbare veiligheid of het milieu; |
| --- | --- |

5)

“essentiële dienst”: een dienst die van cruciaal belang is voor de instandhouding van vitale maatschappelijke functies, economische activiteiten, de volksgezondheid en openbare veiligheid of het milieu;

| 6) | “risico”: de mogelijkheid van verlies of verstoring als gevolg van een incident; dat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of een dergelijke verstoring en de waarschijnlijkheid dat het incident zich voordoet; |
| --- | --- |

6)

“risico”: de mogelijkheid van verlies of verstoring als gevolg van een incident; dat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of een dergelijke verstoring en de waarschijnlijkheid dat het incident zich voordoet;

| 7) | “risicobeoordeling”: het gehele proces ter bepaling van de aard en omvang van een risico door potentiële relevante dreigingen, kwetsbaarheden en gevaren die tot een incident kunnen leiden, in kaart te brengen en te analyseren, en door het verlies of de verstoring van een essentiële dienst die dat incident zou kunnen veroorzaken in te schatten; |
| --- | --- |

7)

“risicobeoordeling”: het gehele proces ter bepaling van de aard en omvang van een risico door potentiële relevante dreigingen, kwetsbaarheden en gevaren die tot een incident kunnen leiden, in kaart te brengen en te analyseren, en door het verlies of de verstoring van een essentiële dienst die dat incident zou kunnen veroorzaken in te schatten;

| 8) | “norm”: een norm zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad (30); |
| --- | --- |

8)

“norm”: een norm zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad (30);

30

| 9) | “technische specificatie”: een technische specificatie zoals gedefinieerd in artikel 2, punt 4, van Verordening (EU) nr. 1025/2012; |
| --- | --- |

9)

“technische specificatie”: een technische specificatie zoals gedefinieerd in artikel 2, punt 4, van Verordening (EU) nr. 1025/2012;

| 10) | “overheidsinstantie”: een entiteit die overeenkomstig het nationale recht als zodanig in een lidstaat is erkend, met uitzondering van de rechterlijke macht, parlementen en centrale banken, en die aan de volgende criteria voldoet:






  a) | zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter; |
| --- | --- | --- |

10)

“overheidsinstantie”: een entiteit die overeenkomstig het nationale recht als zodanig in een lidstaat is erkend, met uitzondering van de rechterlijke macht, parlementen en centrale banken, en die aan de volgende criteria voldoet:

a)

zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter;

| b) | zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden; |
| --- | --- |

b)

zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden;

| c) | zij wordt grotendeels gefinancierd door staatsautoriteiten of door andere publiekrechtelijke centrale organen, is onderworpen aan beheerstoezicht door deze autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door staatsautoriteiten of door andere publiekrechtelijke centrale organen worden benoemd; |
| --- | --- |

c)

zij wordt grotendeels gefinancierd door staatsautoriteiten of door andere publiekrechtelijke centrale organen, is onderworpen aan beheerstoezicht door deze autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door staatsautoriteiten of door andere publiekrechtelijke centrale organen worden benoemd;

| d) | zij heeft de bevoegdheid ten aanzien van natuurlijke of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten bij het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal. |
| --- | --- |

d)

zij heeft de bevoegdheid ten aanzien van natuurlijke of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten bij het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal.

Artikel 3

Minimumharmonisatie

Deze richtlijn belet lidstaten niet bepalingen van nationaal recht vast te stellen of te handhaven teneinde het weerbaarheidsniveau van kritieke entiteiten te verhogen, mits dergelijke bepalingen stroken met de plichten van de lidstaten die zijn vastgelegd in het Unierecht

HOOFDSTUK II

NATIONALE KADERS INZAKE DE WEERBAARHEID VAN KRITIEKE ENTITEITEN

Artikel 4

Strategie inzake de weerbaarheid van kritieke entiteiten

1.   Na een raadpleging die, voor zover praktisch mogelijk, openstaat voor belanghebbenden, stelt elke lidstaat uiterlijk op 17 januari 2026 een strategie vast om de weerbaarheid van kritieke entiteiten te verbeteren (de “strategie”). De strategie bevat, voortbouwend op bestaande nationale en sectorale strategieën, alsook op plannen of soortgelijke documenten, strategische doelstellingen en beleidsmaatregelen die ervoor moeten zorgen dat kritieke entiteiten een hoge weerbaarheid hebben en behouden, en die ten minste op de in de bijlage beschreven sectoren betrekking hebben.

2.   Elke strategie bevat ten minste de volgende elementen:

| a) | strategische doelstellingen alsook prioriteiten ter vergroting van de algehele weerbaarheid van kritieke entiteiten met inachtneming van grensoverschrijdende en intersectorale afhankelijkheden en onderlinge afhankelijkheden; |
| --- | --- |

a)

strategische doelstellingen alsook prioriteiten ter vergroting van de algehele weerbaarheid van kritieke entiteiten met inachtneming van grensoverschrijdende en intersectorale afhankelijkheden en onderlinge afhankelijkheden;

| b) | een governancekader ter verwezenlijking van de strategische doelstellingen alsook prioriteiten, met inbegrip van een beschrijving van de taken en verantwoordelijkheden van de verschillende autoriteiten, kritieke entiteiten en andere partijen die bij de uitvoering van de strategie betrokken zijn; |
| --- | --- |

b)

een governancekader ter verwezenlijking van de strategische doelstellingen alsook prioriteiten, met inbegrip van een beschrijving van de taken en verantwoordelijkheden van de verschillende autoriteiten, kritieke entiteiten en andere partijen die bij de uitvoering van de strategie betrokken zijn;

| c) | een beschrijving van de maatregelen die nodig zijn om de algehele weerbaarheid van kritieke entiteiten te vergroten, inclusief een beschrijving van de in artikel 5 bedoelde risicobeoordeling; |
| --- | --- |

c)

een beschrijving van de maatregelen die nodig zijn om de algehele weerbaarheid van kritieke entiteiten te vergroten, inclusief een beschrijving van de in artikel 5 bedoelde risicobeoordeling;

| d) | een beschrijving van het proces waarmee kritieke entiteiten worden geïdentificeerd; |
| --- | --- |

d)

een beschrijving van het proces waarmee kritieke entiteiten worden geïdentificeerd;

| e) | een beschrijving van het proces waarmee kritieke entiteiten overeenkomstig dit hoofdstuk worden ondersteund, met inbegrip van de maatregelen ter verdieping van de samenwerking tussen de publieke sector enerzijds en de particuliere sector en publieke en particuliere entiteiten anderzijds; |
| --- | --- |

e)

een beschrijving van het proces waarmee kritieke entiteiten overeenkomstig dit hoofdstuk worden ondersteund, met inbegrip van de maatregelen ter verdieping van de samenwerking tussen de publieke sector enerzijds en de particuliere sector en publieke en particuliere entiteiten anderzijds;

| f) | een lijst van de belangrijkste autoriteiten en belanghebbenden, met uitzondering van kritieke entiteiten, die betrokken zijn bij de uitvoering van de strategie; |
| --- | --- |

f)

een lijst van de belangrijkste autoriteiten en belanghebbenden, met uitzondering van kritieke entiteiten, die betrokken zijn bij de uitvoering van de strategie;

| g) | een beleidskader voor coördinatie tussen de uit hoofde van deze richtlijn bevoegde autoriteiten (“bevoegde autoriteiten”) en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten aangewezen bevoegde autoriteiten met het oog op het delen van informatie over cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten, en niet-cybergerelateerde risico's, dreigingen en incidenten en de uitoefening van toezichthoudende taken; |
| --- | --- |

g)

een beleidskader voor coördinatie tussen de uit hoofde van deze richtlijn bevoegde autoriteiten (“bevoegde autoriteiten”) en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten aangewezen bevoegde autoriteiten met het oog op het delen van informatie over cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten, en niet-cybergerelateerde risico's, dreigingen en incidenten en de uitoefening van toezichthoudende taken;

| h) | een beschrijving van de maatregelen die reeds genomen zijn om het voor kleine en middelgrote ondernemingen in de zin van de bijlage bij Aanbeveling 2003/361/EG van de Commissie (31) die door de lidstaat in kwestie zijn geïdentificeerd als kritieke entiteiten, gemakkelijker te maken de verplichtingen uit hoofde van hoofdstuk III van deze richtlijn uit te voeren. |
| --- | --- |

h)

een beschrijving van de maatregelen die reeds genomen zijn om het voor kleine en middelgrote ondernemingen in de zin van de bijlage bij Aanbeveling 2003/361/EG van de Commissie (31) die door de lidstaat in kwestie zijn geïdentificeerd als kritieke entiteiten, gemakkelijker te maken de verplichtingen uit hoofde van hoofdstuk III van deze richtlijn uit te voeren.

De lidstaten actualiseren ten minste om de vier jaar hun strategieën, na een raadpleging die, voor zover praktisch mogelijk, openstaat voor belanghebbenden.

3.   De lidstaten delen hun strategieën en belangrijke actualiseringen daarvan binnen drie maanden na de vaststelling ervan aan de Commissie mee.

Artikel 5

Risicobeoordeling door de lidstaten

1.   De Commissie is bevoegd uiterlijk op 17 november 2023 overeenkomstig artikel 23 een gedelegeerde handeling vast te stellen om deze richtlijn aan te vullen met een niet-uitputtende lijst van essentiële diensten in de in de bijlage genoemde sectoren en deelsectoren. De bevoegde autoriteiten voeren uiterlijk op 17 januari 2026 en vervolgens wanneer dat nodig is en ten minste om de vier jaar, een risicobeoordeling (“lidstaat-risicobeoordeling”) uit, waarbij ze gebruikmaken van die lijst van essentiële diensten. De bevoegde autoriteiten gebruiken lidstaat-risicobeoordelingen om kritieke entiteiten te identificeren overeenkomstig artikel 6 en die kritieke entiteiten te assisteren bij het nemen van maatregelen op grond van artikel 13.

In lidstaat-risicobeoordelingen wordt rekening gehouden met relevante natuurlijke en door de mens veroorzaakte risico's, met inbegrip van intersectorale of grensoverschrijdende risico's, ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid en hybride dreigingen of andere antagonistische dreigingen, waaronder terroristische misdrijven als voorzien in Richtlijn (EU) 2017/541 van het Europees Parlement en de Raad (32).

2.   Bij de uitvoering van lidstaat-risicobeoordelingen houden de lidstaten ten minste rekening met het volgende:

| a) | de algemene risicobeoordeling die wordt uitgevoerd op grond van artikel 6, lid 1, van Besluit nr. 1313/2013/EU; |
| --- | --- |

a)

de algemene risicobeoordeling die wordt uitgevoerd op grond van artikel 6, lid 1, van Besluit nr. 1313/2013/EU;

| b) | andere relevante risicobeoordelingen die worden uitgevoerd overeenkomstig de voorschriften van de relevante sectorspecifieke rechtshandelingen van de Unie, waaronder Verordeningen (EU) 2017/1938 (33) en (EU) 2019/941 (34) van het Europees Parlement en de Raad en Richtlijnen 2007/60/EG (35) en 2012/18/EU (36) van het Europees Parlement en de Raad; |
| --- | --- |

b)

andere relevante risicobeoordelingen die worden uitgevoerd overeenkomstig de voorschriften van de relevante sectorspecifieke rechtshandelingen van de Unie, waaronder Verordeningen (EU) 2017/1938 (33) en (EU) 2019/941 (34) van het Europees Parlement en de Raad en Richtlijnen 2007/60/EG (35) en 2012/18/EU (36) van het Europees Parlement en de Raad;

| c) | de relevante risico's die voortvloeien uit de mate van onderlinge afhankelijkheid tussen de in de bijlage genoemde sectoren, waaronder de mate van afhankelijkheid van deze sectoren ten aanzien van entiteiten met vestiging in andere lidstaten en derde landen, en de gevolgen die een aanzienlijke verstoring in één sector kan hebben voor andere sectoren, met inbegrip van eventuele significante risico's voor burgers en de interne markt; |
| --- | --- |

c)

de relevante risico's die voortvloeien uit de mate van onderlinge afhankelijkheid tussen de in de bijlage genoemde sectoren, waaronder de mate van afhankelijkheid van deze sectoren ten aanzien van entiteiten met vestiging in andere lidstaten en derde landen, en de gevolgen die een aanzienlijke verstoring in één sector kan hebben voor andere sectoren, met inbegrip van eventuele significante risico's voor burgers en de interne markt;

| d) | alle informatie over incidenten waarvan overeenkomstig artikel 15 is kennisgegeven. |
| --- | --- |

d)

alle informatie over incidenten waarvan overeenkomstig artikel 15 is kennisgegeven.

Voor de toepassing van de eerste alinea, punt c), werken de lidstaten samen met de bevoegde autoriteiten van andere lidstaten en de bevoegde autoriteiten van derde landen, naargelang het geval.

3.   De lidstaten stellen, in voorkomend geval via hun centrale contactpunten, de relevante elementen van lidstaat-risicobeoordelingen ter beschikking aan de kritieke entiteiten die zij overeenkomstig artikel 6 hebben geïdentificeerd. De lidstaten zorgen ervoor dat de aan kritieke entiteiten verstrekte informatie hen zal helpen bij het verrichten van hun risicobeoordelingen op grond van artikel 12, en bij het nemen van maatregelen om hun weerbaarheid te waarborgen op grond van artikel 13.

4.   Binnen drie maanden na de uitvoering van een lidstaat-risicobeoordeling verstrekt een lidstaat aan de Commissie relevante informatie over de soorten geïdentificeerde risico's en de resultaten van die lidstaat-risicobeoordeling, per sector en deelsector als beschreven in de bijlage.

5.   De Commissie stelt, in samenwerking met de lidstaten, een vrijwillig gemeenschappelijk rapportagemodel op waarmee aan lid 4 kan worden voldaan.

Artikel 6

Identificatie van kritieke entiteiten

1.   Uiterlijk op 17 juli 2026 identificeert elke lidstaat de kritieke entiteiten voor de in de bijlage beschreven sectoren en deelsectoren.

2.   Bij de identificatie van kritieke entiteiten op grond van lid 1 houdt een lidstaat rekening met de resultaten van zijn lidstaat-risicobeoordeling en zijn strategie inzake de weerbaarheid van kritieke entiteiten en past hij alle onderstaande criteria toe:

| a) | de entiteit verleent een of meer essentiële diensten; |
| --- | --- |

a)

de entiteit verleent een of meer essentiële diensten;

| b) | de entiteit is actief en haar kritieke infrastructuur bevindt zich op het grondgebied van die lidstaat, en |
| --- | --- |

b)

de entiteit is actief en haar kritieke infrastructuur bevindt zich op het grondgebied van die lidstaat, en

| c) | een incident zou aanzienlijke verstorende effecten hebben, zoals bepaald overeenkomstig artikel 7, lid 1, op de verlening door de entiteit van een of meer essentiële diensten of op de verlening van andere essentiële diensten in de in de bijlage beschreven sectoren die afhankelijk zijn van die diensten. |
| --- | --- |

c)

een incident zou aanzienlijke verstorende effecten hebben, zoals bepaald overeenkomstig artikel 7, lid 1, op de verlening door de entiteit van een of meer essentiële diensten of op de verlening van andere essentiële diensten in de in de bijlage beschreven sectoren die afhankelijk zijn van die diensten.

3.   Elke lidstaat stelt een lijst op van de op grond van lid 2 geïdentificeerde kritieke entiteiten en zorgt ervoor dat die kritieke entiteiten binnen een maand na die identificatie in kennis worden gesteld van hun identificatie als kritieke entiteit. De lidstaten informeren die kritieke entiteiten over hun verplichtingen uit hoofde van de hoofdstukken III en IV en over de datum vanaf wanneer die verplichtingen op hen van toepassing zijn, onverminderd artikel 8. De lidstaten delen de kritieke entiteiten in de in de punten 3, 4 en 8 van de tabel in de bijlage vermelde sectoren mee dat zij geen verplichtingen hebben uit hoofde van de hoofdstukken III en IV, tenzij in nationale maatregelen anders wordt bepaald.

Voor de betrokken kritieke entiteiten gelden de bepalingen van hoofdstuk III na verloop van 10 maanden na de datum van de in de eerste alinea van dit lid bedoelde kennisgeving.

4.   De lidstaten zorgen ervoor dat hun aangewezen bevoegde autoriteiten de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten binnen een maand na de identificatie ervan in kennis stellen welke kritieke entiteiten zij op grond van dit artikel hebben geïdentificeerd. Daarbij wordt, indien van toepassing, vermeld dat het entiteiten betreft in de in de punten 3, 4 en 8 van de tabel in de bijlage bij deze richtlijn vermelde sectoren, die geen verplichtingen hebben uit hoofde van de hoofdstukken III en IV van deze richtlijn.

5.   Wanneer dat nodig is en in ieder geval om de vier jaar, evalueren de lidstaten de in lid 3 bedoelde lijst van geïdentificeerde kritieke entiteiten, die zij indien nodig actualiseren. Indien deze actualiseringen leiden tot de identificatie van meer kritieke entiteiten, zijn de leden 3 en 4 van toepassing op die bijkomende kritieke entiteiten. Daarnaast zorgen de lidstaten ervoor dat entiteiten die na een dergelijke actualisering niet langer als kritiek worden beschouwd, tijdig in kennis worden gesteld daarvan en van het feit dat zij vanaf de datum van ontvangst van die kennisgeving niet langer onderworpen zijn aan de verplichtingen uit hoofde van hoofdstuk III.

6.   De Commissie ontwikkelt, in samenwerking met de lidstaten, aanbevelingen en niet-bindende richtsnoeren om de lidstaten te helpen bij het identificeren van kritieke entiteiten.

Artikel 7

Aanzienlijk verstorend effect

1.   Bij het bepalen of een verstorend effect aanzienlijk is, als bedoeld in artikel 6, lid 2, punt c), houden de lidstaten rekening met de volgende criteria:

| a) | het aantal gebruikers dat afhankelijk is van de door de betrokken entiteit verleende essentiële dienst; |
| --- | --- |

a)

het aantal gebruikers dat afhankelijk is van de door de betrokken entiteit verleende essentiële dienst;

| b) | de mate waarin andere in de bijlage beschreven sectoren en deelsectoren afhankelijk zijn van de betrokken essentiële dienst; |
| --- | --- |

b)

de mate waarin andere in de bijlage beschreven sectoren en deelsectoren afhankelijk zijn van de betrokken essentiële dienst;

| c) | de ernst en duur van de gevolgen die incidenten kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid; |
| --- | --- |

c)

de ernst en duur van de gevolgen die incidenten kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid;

| d) | het marktaandeel van de entiteit op de markt voor de betrokken essentiële dienst(en); |
| --- | --- |

d)

het marktaandeel van de entiteit op de markt voor de betrokken essentiële dienst(en);

| e) | het geografische gebied dat door een incident kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio's, afgelegen regio's of bergachtige gebieden; |
| --- | --- |

e)

het geografische gebied dat door een incident kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio's, afgelegen regio's of bergachtige gebieden;

| f) | het belang van de entiteit om de essentiële dienst op een voldoende niveau te houden, rekening houdend met de beschikbare alternatieven voor het verlenen van die essentiële dienst. |
| --- | --- |

f)

het belang van de entiteit om de essentiële dienst op een voldoende niveau te houden, rekening houdend met de beschikbare alternatieven voor het verlenen van die essentiële dienst.

2.   Na de identificatie van de kritieke entiteiten op grond van artikel 6, lid 1, verstrekt elke lidstaat de Commissie zonder onnodige vertraging de volgende informatie:

| a) | een lijst van essentiële diensten in die lidstaat indien er sprake is van aanvullende essentiële diensten in vergelijking met de lijst van essentiële diensten als bedoeld in artikel 5, lid 1 |
| --- | --- |

a)

een lijst van essentiële diensten in die lidstaat indien er sprake is van aanvullende essentiële diensten in vergelijking met de lijst van essentiële diensten als bedoeld in artikel 5, lid 1

| b) | het aantal kritieke entiteiten dat is geïdentificeerd voor elke in de bijlage bedoelde sector en deelsector en voor elke essentiële dienst |
| --- | --- |

b)

het aantal kritieke entiteiten dat is geïdentificeerd voor elke in de bijlage bedoelde sector en deelsector en voor elke essentiële dienst

| c) | eventuele drempels die worden toegepast om een of meer van de in lid 1 genoemde criteria te specificeren. |
| --- | --- |

c)

eventuele drempels die worden toegepast om een of meer van de in lid 1 genoemde criteria te specificeren.

Drempels als bedoeld in de eerste alinea, punt c), kunnen als zodanig of in geaggregeerde vorm worden aangeboden.

Daarna verstrekken de lidstaten informatie bedoeld in de eerste alinea wanneer dat nodig is en ten minste om de vier jaar.

3.   De Commissie stelt, na raadpleging van de Groep voor de weerbaarheid van kritieke entiteiten zoals bedoeld in artikel 19, niet-bindende richtsnoeren vast om de toepassing van de in lid 1 van dit artikel bedoelde criteria te vergemakkelijken, rekening houdend met de in lid 2 van dit artikel bedoelde informatie.

Artikel 8

Kritieke entiteiten in de sectoren bankwezen, financiëlemarktinfrastructuur en digitale infrastructuur

De lidstaten zorgen ervoor dat artikel 11 en de hoofdstukken III, IV en VI niet van toepassing zijn op kritieke entiteiten die zij hebben geïdentificeerd in de in de punten 3, 4 en 8 van de tabel in de bijlage vermelde sectoren. De lidstaten kunnen bepalingen van nationaal recht vaststellen of handhaven teneinde tot een hoger weerbaarheidsniveau van die kritieke entiteiten te komen op voorwaarde dat die bepalingen stroken met het toepasselijke Unierecht.

Artikel 9

Bevoegde autoriteiten en centraal contactpunt

1.   Elke lidstaat wijst een of meer bevoegde autoriteiten aan, of richt een of meer bevoegde autoriteiten op, die verantwoordelijk zijn voor de correcte toepassing en, waar nodig, handhaving van de voorschriften van deze richtlijn op nationaal niveau.

Ten aanzien van de kritieke entiteiten in de in de punten 3 en 4 van de tabel in de bijlage bij deze richtlijn vermelde sectoren, zijn de bevoegde autoriteiten in principe de in artikel 46 van Verordening (EU) 2022/2554 bedoelde bevoegde autoriteiten. Ten aanzien van de kritieke entiteiten in de in punt 8 van de tabel in de bijlage bij deze richtlijn vermelde sector, zijn de bevoegde autoriteiten, in principe, de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten. De lidstaten kunnen een andere bevoegde autoriteit aanwijzen voor de sectoren die zijn vermeld in punten 3, 4 en 8 van de tabel in de bijlage van deze richtlijn, overeenkomstig bestaande nationale kaders.

Wanneer lidstaten meer dan één bevoegde autoriteit aanwijzen of oprichten, stellen zij de taken voor elk van de betrokken autoriteiten duidelijk vast en zorgen zij ervoor dat zij doeltreffend samenwerken bij de vervulling van hun taken uit hoofde van deze richtlijn, onder meer met betrekking tot de aanwijzing en de activiteiten van het in lid 2 bedoelde centraal contactpunt.

2.   Elke lidstaat wijst een nationaal centraal contactpunt aan, of richt dit op, waarbij dit contactpunt een verbindingsfunctie vervult met het oog op grensoverschrijdende samenwerking met de centrale contactpunten van andere lidstaten en met de in artikel 19 bedoelde Groep voor de weerbaarheid van kritieke entiteiten (“centraal contactpunt”). In voorkomend geval wijst een lidstaat zijn eigen centraal contactpunt aan binnen een bevoegde autoriteit. In voorkomend geval kan een lidstaat bepalen dat zijn centraal contactpunt ook een verbindingsfunctie vervult in de samenwerking met de Commissie en zorgt hij voor de samenwerking met derde landen.

3.   Uiterlijk op 17 juli 2028 en vervolgens om de twee jaar dienen de centrale contactpunten bij de Commissie en de Groep voor de weerbaarheid van kritieke entiteiten als bedoeld in artikel 9 een samenvattend verslag in over de ontvangen meldingen, met vermelding van het aantal daarvan, de aard van de gemelde incidenten en de overeenkomstig artikel 15, lid 3, genomen maatregelen.

De Commissie ontwikkelt, in samenwerking met de Groep voor de weerbaarheid van kritieke entiteiten, een gemeenschappelijk rapportagemodel. De bevoegde autoriteitenkunnen dat gemeenschappelijke rapportagemodel op vrijwillige basis gebruiken voor de indiening van de in de eerste alinea bedoelde samenvattende verslagen.

4.   Elke lidstaat zorgt ervoor dat zijn bevoegde autoriteit en centraal contactpunt, over de nodige bevoegdheden en toereikende financiële, personele en technische middelen beschikken om de hun toegewezen taken op doeltreffende en efficiënte wijze uit te voeren.

5.   Elke lidstaat zorgt ervoor dat zijn bevoegde autoriteit wanneer wenselijk, overeenkomstig het Unierecht en het nationale recht, overlegt en samenwerkt met andere betrokken nationale autoriteiten, waaronder autoriteiten die belast zijn met civiele bescherming, rechtshandhaving en de bescherming van persoonsgegevens en met kritieke entiteiten en betrokken belanghebbende partijen.

6.   Elke lidstaat zorgt ervoor dat zijn uit hoofde van deze richtlijn bevoegde autoriteit met de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten samenwerkt en informatie uitwisselt inzake cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten en niet-cybergerelateerde risico's, dreigingen en incidenten die negatieve gevolgen hebben voor kritieke entiteiten, alsook inzake relevante maatregelen die zijn bevoegde autoriteit en de uit hoofde van Richtlijn (EU) 2022/2555 bevoegde autoriteiten hebben genomen.

7.   Elke lidstaat stelt de Commissie binnen drie maanden na de aanwijzing of de oprichting van de bevoegde autoriteit en het centraal contactpunt in kennis van hun identiteit en van hun taken en verantwoordelijkheden uit hoofde van deze richtlijn, hun contactgegevens en eventuele latere wijzigingen daarvan. Indien lidstaten besluiten een andere autoriteit dan de in lid 1, tweede alinea, bedoelde autoriteiten aan te wijzen als de bevoegde autoriteiten ten aanzien van de kritieke entiteiten in de punten 3, 4 en 8 van de tabel in de bijlage genoemde sectoren, stellen zij de Commissie daarvan in kennis. Elke lidstaat maakt de identiteit van zijn bevoegde autoriteit en zijn centraal contactpunt openbaar beschikbaar.

8.   De Commissie maakt een lijst van de centrale contactpunten voor het publiek beschikbaar.

Artikel 10

Ondersteuning van kritieke entiteiten door de lidstaten

1.   De lidstaten ondersteunen kritieke entiteiten bij het vergroten van hun weerbaarheid. Die ondersteuning kan onder meer bestaan in het ontwikkelen van richtsnoeren en methodologieën, hulp bij de organisatie van oefeningen om de weerbaarheid van de kritieke entiteiten te testen en het verstrekken van advies en opleiding aan personeel van kritieke entiteiten. De lidstaten kunnen, indien nodig en gerechtvaardigd door doelstellingen van algemeen belang, financiële middelen verstrekken aan kritieke entiteiten, onverminderd de toepasselijke regels inzake staatssteun.

2.   Elke lidstaat zorgt ervoor dat zijn bevoegde autoriteit samenwerkt met kritieke entiteiten uit de in de bijlage beschreven sectoren en met hen informatie en beste praktijken uitwisselen.

3.   De lidstaten faciliteren het vrijwillig delen van informatie tussen kritieke entiteiten over aangelegenheden die onder deze richtlijn vallen, overeenkomstig het Unierecht en het nationale recht inzake, met name, gerubriceerde en gevoelige informatie, mededinging en bescherming van persoonsgegevens.

Artikel 11

Samenwerking tussen de lidstaten

1.   De lidstaten raadplegen elkaar over kritieke entiteiten, wanneer dat passend is, om te zorgen voor een consistente toepassing van de richtlijn. Dergelijke raadplegingen zijn met name verplicht met betrekking tot kritieke entiteiten die:

| a) | gebruikmaken van kritieke infrastructuur met fysieke verbindingen tussen twee of meer lidstaten; |
| --- | --- |

a)

gebruikmaken van kritieke infrastructuur met fysieke verbindingen tussen twee of meer lidstaten;

| b) | behoren tot bedrijfsstructuren die verbonden zijn met of gekoppeld zijn aan kritieke entiteiten in andere lidstaten; |
| --- | --- |

b)

behoren tot bedrijfsstructuren die verbonden zijn met of gekoppeld zijn aan kritieke entiteiten in andere lidstaten;

| c) | zijn geïdentificeerd als kritieke entiteiten in één lidstaat en essentiële diensten verlenen aan of in andere lidstaten. |
| --- | --- |

c)

zijn geïdentificeerd als kritieke entiteiten in één lidstaat en essentiële diensten verlenen aan of in andere lidstaten.

2.   De in lid 1 bedoelde raadplegingen moeten de weerbaarheid van kritieke entiteiten verhogen en, indien mogelijk, de administratieve lasten voor hen verminderen.

HOOFDSTUK III

WEERBAARHEID VAN KRITIEKE ENTITEITEN

Artikel 12

Risicobeoordeling door kritieke entiteiten

1.   Niettegenstaande de termijn vastgesteld in artikel 6, lid 3, tweede alinea, zorgen de lidstaten ervoor dat kritieke entiteiten binnen negen maanden na ontvangst van de in artikel 6, lid 3, bedoelde kennisgeving en vervolgens telkens wanneer dat nodig is en ten minste om de vier jaar, op basis van de risicobeoordelingen door de lidstaten en andere relevante informatiebronnen, alle relevante risico's beoordelen die de verlening van hun essentiële diensten (“risicobeoordeling door een kritieke entiteit”) kunnen verstoren.

2.   Bij risicobeoordelingen door kritieke entiteiten worden alle bedoelde relevante risico’s die door de natuur en door de mens veroorzaakt zijn, in aanmerking genomen die tot een incident zouden kunnen leiden, onder meer die van sectoroverschrijdende of van grensoverschrijdende aard, ongevallen, natuurrampen, noodsituaties op het gebied van volksgezondheid en hybride bedreigingen en andere antagonistische dreigingen, waaronder terroristische misdrijven als bepaald in Richtlijn (EU) 2017/541. Een risicobeoordeling door een kritieke entiteit houdt rekening met de mate waarin andere in de bijlage beschreven sectoren afhankelijk zijn van de door de kritieke entiteit verleende essentiële dienst, en de mate waarin die kritieke entiteit afhankelijk is van essentiële diensten van andere entiteiten in dergelijke andere sectoren, in voorkomend geval tevens in naburige lidstaten en derde landen.

Indien een kritieke entiteit reeds risicobeoordelingen heeft uitgevoerd of documenten heeft opgesteld op grond van verplichtingen die zijn opgenomen in andere rechtshandelingen die relevant zijn voor haar risicobeoordeling door kritieke entiteiten, mag zij die beoordelingen en documenten gebruiken om aan de voorschriften van dit artikel te voldoen. Bij de uitoefening van haar toezichthoudende taken kan bevoegde autoriteit verklaren dat een bestaande risicobeoordeling die is uitgevoerd door een kritieke entiteit waarin de in de eerste alinea van dit lid bedoelde risico's en de mate van afhankelijkheid aan de orde komen, geheel of ten dele voldoet aan de verplichtingen uit hoofde van dit artikel.

Artikel 13

Weerbaarheidsmaatregelen van kritieke entiteiten

1.   De lidstaten zorgen ervoor dat kritieke entiteiten passende en evenredige technische, beveiligings-, en organisatorische maatregelen nemen om voor hun weerbaarheid te zorgen, op basis van de door de lidstaten verstrekte relevante informatie over de lidstaat-risicobeoordeling en van de resultaten van de risicobeoordeling door een kritieke entiteit, met inbegrip van maatregelen die nodig zijn om:

| a) | te voorkomen dat zich incidenten voordoen, naar behoren rekening houdend met maatregelen ter beperking van het risico op rampen en maatregelen voor aanpassing aan de klimaatverandering; |
| --- | --- |

a)

te voorkomen dat zich incidenten voordoen, naar behoren rekening houdend met maatregelen ter beperking van het risico op rampen en maatregelen voor aanpassing aan de klimaatverandering;

| b) | te zorgen voor adequate fysieke bescherming van hun gebouwen en de kritieke infrastructuur, terdege rekening houdend met bijvoorbeeld het plaatsen van omheiningen, het oprichten van barrières, instrumenten en routines voor bewaking van de omgeving, detectieapparatuur en toegangscontroles; |
| --- | --- |

b)

te zorgen voor adequate fysieke bescherming van hun gebouwen en de kritieke infrastructuur, terdege rekening houdend met bijvoorbeeld het plaatsen van omheiningen, het oprichten van barrières, instrumenten en routines voor bewaking van de omgeving, detectieapparatuur en toegangscontroles;

| c) | de gevolgen van incidenten te bestrijden, te beperken en ertegen bestand te zijn, naar behoren rekening houdend met de uitvoering van risico- en crisisbeheersingsprocedures en -protocollen en waarschuwingsroutines; |
| --- | --- |

c)

de gevolgen van incidenten te bestrijden, te beperken en ertegen bestand te zijn, naar behoren rekening houdend met de uitvoering van risico- en crisisbeheersingsprocedures en -protocollen en waarschuwingsroutines;

| d) | te herstellen van incidenten, naar behoren rekening houdend met bedrijfscontinuïteitsmaatregelen en de identificatie van alternatieve toeleveringsketens, teneinde de verlening van de essentiële dienst te hervatten; |
| --- | --- |

d)

te herstellen van incidenten, naar behoren rekening houdend met bedrijfscontinuïteitsmaatregelen en de identificatie van alternatieve toeleveringsketens, teneinde de verlening van de essentiële dienst te hervatten;

| e) | te zorgen voor adequaat beheer van personeelsbeveiliging, naar behoren rekening houdend met maatregelen zoals het vaststellen van categorieën personeelsleden die kritieke functies vervullen, het vaststellen van het recht van toegang tot gebouwen, kritieke infrastructuur en gevoelige informatie, het instellen van procedures voor antecedentenonderzoek in overeenstemming met artikel 14 en het aanwijzen van categorieën van personen die aan een dergelijk antecedentenonderzoek moeten worden onderworpen, en het vaststellen van passende opleidingsvoorschriften en kwalificaties; |
| --- | --- |

e)

te zorgen voor adequaat beheer van personeelsbeveiliging, naar behoren rekening houdend met maatregelen zoals het vaststellen van categorieën personeelsleden die kritieke functies vervullen, het vaststellen van het recht van toegang tot gebouwen, kritieke infrastructuur en gevoelige informatie, het instellen van procedures voor antecedentenonderzoek in overeenstemming met artikel 14 en het aanwijzen van categorieën van personen die aan een dergelijk antecedentenonderzoek moeten worden onderworpen, en het vaststellen van passende opleidingsvoorschriften en kwalificaties;

| f) | het relevante personeel bewust te maken van de in de punten a) tot en met e) bedoelde maatregelen, naar behoren rekening houdend met opleidingen, informatiemateriaal en oefeningen. |
| --- | --- |

f)

het relevante personeel bewust te maken van de in de punten a) tot en met e) bedoelde maatregelen, naar behoren rekening houdend met opleidingen, informatiemateriaal en oefeningen.

Voor de toepassing van punt e) van de eerste alinea zorgen lidstaten ervoor dat kritieke entiteiten rekening houden met het personeel van externe dienstverleners bij het bepalen van categorieën personeelsleden die kritieke functies vervullen.

2.   De lidstaten zorgen ervoor dat kritieke entiteiten beschikken over een weerbaarheidsplan of een gelijkwaardig document of gelijkwaardige documenten, waarin de maatregelen uit hoofde van lid 1 worden beschreven, en dat toepassen. Indien kritieke entiteiten reeds documenten hebben opgesteld of maatregelen hebben genomen op grond van verplichtingen die zijn vastgelegd in andere rechtshandelingen die van toepassing zijn op de in lid 1 bedoelde maatregelen, mogen zij die documenten en maatregelen gebruiken om aan de voorschriften van dit artikel te voldoen. Bij de uitoefening van haar toezichthoudende taken kan de bevoegde autoriteit verklaren dat de bestaande weerbaarheidsbevorderende maatregelen genomen door een kritieke entiteit waarin de in lid 1 bedoelde technische, beveiligings- en organisatorische maatregelen op passende en evenredige wijze aan de orde komen, geheel of ten dele voldoen aan de verplichtingen uit hoofde van dit artikel.

3.   De lidstaten zorgen ervoor dat elke kritieke entiteit een verbindingsfunctionaris of een gelijkwaardige functionaris aanwijst als het contactpunt met de bevoegde autoriteiten.

4.   Op verzoek van de lidstaat die de kritieke entiteit heeft geïdentificeerd en met instemming van de betrokken kritieke entiteit organiseert de Commissie overeenkomstig de regelingen die zijn vermeld in artikel 18, leden 6, 8 en 9, adviesmissies die de betrokken kritieke entiteit adviseren over de nakoming van haar verplichtingen uit hoofde van hoofdstuk III. De adviesmissie brengt verslag uit over haar bevindingen aan de Commissie, die lidstaat en de betrokken kritieke entiteit.

5.   De Commissie stelt, na raadpleging van de Groep voor de weerbaarheid van kritieke entiteiten als bedoeld in artikel 19 niet-bindende richtsnoeren vast om de technische, beveiligings- en organisatorische maatregelen die krachtens lid 1 van dit artikel mogen worden genomen nader te bepalen.

6.   De Commissie stelt uitvoeringshandelingen vast om de nodige technische en methodologische specificaties vast te stellen met betrekking tot de toepassing van de in lid 1 van dit artikel bedoelde maatregelen. Die uitvoeringshandelingen worden volgens de in artikel 24, lid 2, bedoelde onderzoeksprocedure vastgesteld.

Artikel 14

Antecedentenonderzoek

1.   De lidstaten bepalen de voorwaarden waaronder het aan een kritieke entiteit is toegestaan, in goed gemotiveerde gevallen en rekening houdend met de lidstaat-risicobeoordeling, om antecedentenonderzoeken te verzoeken voor personen die:

| a) | een gevoelige functie vervullen in of voor de kritieke entiteit, met name wat betreft de weerbaarheid ervan; |
| --- | --- |

a)

een gevoelige functie vervullen in of voor de kritieke entiteit, met name wat betreft de weerbaarheid ervan;

| b) | de toelating hebben om rechtstreeks of op afstand toegang te hebben tot de gebouwen, de informatie of de controlesystemen van de kritieke entiteit, onder meer in verband met de beveiliging ervan; |
| --- | --- |

b)

de toelating hebben om rechtstreeks of op afstand toegang te hebben tot de gebouwen, de informatie of de controlesystemen van de kritieke entiteit, onder meer in verband met de beveiliging ervan;

| c) | in aanmerking komen voor aanwerving voor functies die onder de in de punten a) en b) genoemde criteria vallen. |
| --- | --- |

c)

in aanmerking komen voor aanwerving voor functies die onder de in de punten a) en b) genoemde criteria vallen.

2.   Verzoeken als bedoeld in lid 1 van dit artikel worden binnen een redelijke termijn beoordeeld en verwerkt in overeenstemming met het nationale recht en de nationale procedures en met het relevante en toepasselijke Unierecht, waaronder Verordening (EU) 2016/679 en Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (37). Antecedentenonderzoeken zijn evenredig en strikt beperkt tot wat noodzakelijk is. Zij worden uitsluitend uitgevoerd om een mogelijk veiligheidsrisico voor de betrokken kritieke entiteit te beoordelen.

3.   Bij een in lid 1 bedoeld antecedentenonderzoek wordt ten minste:

| a) | de identiteit bevestigd van de persoon op wie de achtergrondcontrole betrekking heeft; |
| --- | --- |

a)

de identiteit bevestigd van de persoon op wie de achtergrondcontrole betrekking heeft;

| b) | het strafregister geraadpleegd van die persoon wat betreft strafbare feiten die relevant zijn voor een specifieke functie. |
| --- | --- |

b)

het strafregister geraadpleegd van die persoon wat betreft strafbare feiten die relevant zijn voor een specifieke functie.

Bij de uitvoering van antecedentenonderzoeken maken de lidstaten gebruik van het Europees Strafregisterinformatiesysteem volgens de procedures in Kaderbesluit 2009/315/JBZ en, waar relevant en toepasselijk, Verordening (EU) 2019/816, teneinde de gegevens uit de strafregisters van andere lidstaten te verkrijgen. De in artikel 3, lid 1, van Kaderbesluit 2009/315/JBZ en in artikel 3, punt 5, van Verordening (EU) 2019/816 bedoelde centrale autoriteiten beantwoorden verzoeken om dergelijke gegevens binnen tien werkdagen na de datum van ontvangst van het verzoek overeenkomstig artikel 8, lid 1, van Kaderbesluit 2009/315/JBZ.

Artikel 15

Melding van incidenten

1.   De lidstaten zorgen ervoor dat kritieke entiteiten de bevoegde autoriteit zonder onnodige vertraging incidenten melden die de verlening van essentiële diensten aanzienlijk verstoren of kunnen verstoren. De lidstaten ervoor dat kritieke entiteiten, tenzij dit operationeel niet mogelijk is, een eerste melding indienen binnen 24 uur nadat zij kennis heeft genomen van een incident, in voorkomend geval gevolgd door een gedetailleerd verslag uiterlijk een maand later. Om uit te maken of de verstoring aanzienlijk is, wordt met name met de volgende parameters rekening gehouden:

| a) | het aantal door de verstoring getroffen gebruikers en hun aandeel daarin; |
| --- | --- |

a)

het aantal door de verstoring getroffen gebruikers en hun aandeel daarin;

| b) | de duur van de verstoring; |
| --- | --- |

b)

de duur van de verstoring;

| c) | het door de verstoring getroffen geografische gebied, rekening houdend met de vraag of het gebied geografisch geïsoleerd is. |
| --- | --- |

c)

het door de verstoring getroffen geografische gebied, rekening houdend met de vraag of het gebied geografisch geïsoleerd is.

Indien een incident aanzienlijke gevolgen heeft of kan hebben voor de continuïteit van de verlening van essentiële diensten aan of in zes of meer lidstaten, melden de bevoegde autoriteiten van de door het incident getroffen lidstaten dat incident aan de Commissie.

2.   Meldingen als bedoeld in de eerste alinea van lid 1 bevatten alle beschikbare informatie die de bevoegde autoriteit nodig heeft om te bepalen wat de aard, oorzaak en mogelijke gevolgen van het incident zijn, waaronder alle beschikbare informatie die nodig is om te bepalen of er grensoverschrijdende gevolgen zijn. Dergelijke meldingen leiden niet tot een verhoogde aansprakelijkheid voor de kritieke entiteiten.

3.   Op basis van de informatie die de kritieke entiteit verstrekt in een melding als bedoeld in lid 1, informeert de betrokken bevoegde autoriteit, via het centraal contactpunt, het centraal contactpunt van andere getroffen lidstaten indien het incident aanzienlijke gevolgen heeft of kan hebben voor kritieke entiteiten en voor de continuïteit van de verlening van essentiële diensten aan of in een of meer andere lidstaten.

Bij het versturen of ontvangen van informatie krachtens de eerste alinea behandelen de centrale contactpunten, overeenkomstig het Unie- of het nationale recht, die informatie zodanig dat ze vertrouwelijk kan worden gehouden en de veiligheid en de commerciële belangen van de betrokken kritieke entiteit worden beschermd.

4.   Zo snel mogelijk na een melding als bedoeld in lid 1, verstrekt de betrokken bevoegde autoriteit de betrokken kritieke entiteit zo spoedig mogelijk relevante vervolginformatie, waaronder informatie die die kritieke entiteit kan helpen om doeltreffend te reageren op het incident in kwestie. De lidstaten informeren het publiek wanneer zij van oordeel zijn dat dit in het algemeen belang zou zijn.

Artikel 16

Normen

Ter bevordering van de convergente uitvoering van deze richtlijn moedigen de lidstaten, waar nuttig zonder het gebruik van een bepaald soort technologie op te leggen of te bevoorrechten, het gebruik aan van Europese en internationale normen en technische specificaties die relevant zijn voor de beveiligings- en weerbaarheidsmaatregelen die van toepassing zijn op kritieke entiteiten.

HOOFDSTUK IV

KRITIEKE ENTITEITEN VAN BIJZONDER EUROPEES BELANG

Artikel 17

Identificatie van kritieke entiteiten van bijzonder Europees belang

1.   Een entiteit wordt als een kritieke entiteit van bijzonder Europees belang beschouwd wanneer zij

| a) | op grond van artikel 6, lid 1, als een kritieke entiteit is geïdentificeerd; |
| --- | --- |

a)

op grond van artikel 6, lid 1, als een kritieke entiteit is geïdentificeerd;

| b) | dezelfde of soortgelijke essentiële diensten verleent aan of in ten minste zes lidstaten, en |
| --- | --- |

b)

dezelfde of soortgelijke essentiële diensten verleent aan of in ten minste zes lidstaten, en

| c) | op grond van lid 3 van dit artikel in kennis is gesteld. |
| --- | --- |

c)

op grond van lid 3 van dit artikel in kennis is gesteld.

2.   De lidstaten zorgen ervoor dat een kritieke entiteit na de in artikel 6, lid 3, bedoelde kennisgeving haar bevoegde autoriteit informeert wanneer zij essentiële diensten verleent aan of in zes of meer lidstaten. In een dergelijk geval zorgt de lidstaat ervoor dat de kritieke entiteit de bevoegde autoriteit meedeelt welke essentiële diensten zij levert aan of in die lidstaten en aan of in welke lidstaten zij die essentiële diensten verleent. De lidstaten stellen de Commissie zonder onnodige vertraging in kennis van de identiteit van dergelijke kritieke entiteiten en van de informatie die zij verstrekken uit hoofde van dit lid.

De Commissie raadpleegt de bevoegde autoriteit van de lidstaat die de kritieke entiteit als bedoeld in de eerste alinea heeft geïdentificeerd, de bevoegde autoriteit van andere betrokken lidstaten en de betrokken kritieke entiteit. Tijdens die raadplegingen deelt elke lidstaat de Commissie mee of de diensten die de kritieke entiteit aan die lidstaat verleent naar zijn oordeel essentiële diensten zijn.

3.   Indien de Commissie op basis van de in lid 2 van dit artikel bedoelde raadplegingen oordeelt dat de betrokken kritieke entiteit essentiële diensten verleent aan of in ten minste zes lidstaten, stelt de Commissie die betrokken entiteit er via haar bevoegde autoriteit van in kennis dat zij als een kritieke entiteit van bijzonder Europees belang wordt beschouwd, waarbij zij die kritieke entiteit op de hoogte stelt van haar verplichtingen krachtens dit hoofdstuk en van de datum vanaf wanneer die verplichtingen voor haar gelden. Zodra de Commissie de bevoegde autoriteit in kennis heeft gesteld van haar besluit om een kritieke entiteit als kritieke entiteit van bijzonder Europees belang te beschouwen, zendt de bevoegde autoriteit die kennisgeving zonder onnodige vertraging toe aan die kritieke entiteit.

4.   Dit hoofdstuk is vanaf de datum van ontvangst van de in lid 3 van dit artikel bedoelde kennisgeving op de betrokken kritieke entiteit van bijzonder Europees belang van toepassing.

Artikel 18

Adviesmissies

1.   Op verzoek van de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, organiseert de Commissie een adviesmissie ter beoordeling van de maatregelen die die entiteit heeft genomen om aan haar verplichtingen uit hoofde van hoofdstuk III te voldoen.

2.   Op eigen initiatief of op verzoek van een of meer lidstaten waaraan of waarin de essentiële dienst wordt verleend, organiseert de Commissie een adviesmissie als bedoeld in lid 1 van dit artikel, mits de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, hiermee instemt.

3.   Op gemotiveerd verzoek van de Commissie of van een of meer lidstaten waaraan of waarin de essentiële dienst wordt verleend, verstrekt de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, aan de Commissie het volgende:

| a) | de relevante delen van de risicobeoordeling door een kritieke entiteit; |
| --- | --- |

a)

de relevante delen van de risicobeoordeling door een kritieke entiteit;

| b) | een lijst van de relevante overeenkomstig artikel 13 genomen maatregelen; |
| --- | --- |

b)

een lijst van de relevante overeenkomstig artikel 13 genomen maatregelen;

| c) | de toezichts- of handhavingsmaatregelen, zoals beoordelingen van naleving of gegeven opdrachten, die zijn bevoegde autoriteit op grond van de artikelen 21 en 22 met betrekking tot die kritieke entiteit heeft genomen. |
| --- | --- |

c)

de toezichts- of handhavingsmaatregelen, zoals beoordelingen van naleving of gegeven opdrachten, die zijn bevoegde autoriteit op grond van de artikelen 21 en 22 met betrekking tot die kritieke entiteit heeft genomen.

4.   De adviesmissie rapporteert haar bevindingen binnen drie maanden na afloop van haar werkzaamheden aan de Commissie, aan de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, aan de lidstaten waaraan of waarin de essentiële dienst wordt verleend, en aan de betrokken kritieke entiteit.

De lidstaten waaraan of waarin de essentiële dienst wordt verleend, analyseren het verslag als bedoeld in de eerste alinea en adviseren de Commissie indien nodig over de vraag of de betrokken kritieke entiteit van bijzonder Europees belang haar verplichtingen uit hoofde van hoofdstuk III nakomt en, in voorkomend geval, over de maatregelen die kunnen worden genomen om de weerbaarheid van die kritieke entiteit te verbeteren.

Op basis van het advies als bedoeld in de tweede alinea van dit lid, deelt de Commissie aan de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, aan de lidstaten waaraan of waarin de essentiële dienst wordt verleend, en aan die kritieke entiteit mee of die kritieke entiteit naar haar oordeel haar verplichtingen uit hoofde van hoofdstuk III nakomt en, in voorkomend geval, welke maatregelen kunnen worden genomen om de weerbaarheid van die kritieke entiteit te verbeteren.

De lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, zorgt ervoor dat de bevoegde autoriteit en de betrokken kritieke entiteit terdege rekening houden met het in de derde alinea van dit lid bedoelde oordeel en verstrekt aan de Commissie en aan de lidstaten waaraan of waarin de essentiële dienst wordt verleend informatie over de maatregelen die hij naar aanleiding van dat oordeel heeft genomen.

5.   Elke adviesmissie bestaat uit deskundigen uit de lidstaat waar de kritieke entiteit van bijzonder Europees belang is gevestigd, deskundigen uit de lidstaten waaraan of waarin de essentiële dienst wordt verleend, en vertegenwoordigers van de Commissie. Die lidstaten kunnen kandidaten voorstellen voor deelname aan een adviesmissie. Na overleg met de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit, selecteert en benoemt de Commissie de leden van elke adviesmissie op basis van hun beroepsbekwaamheid, en zorgt daarbij indien mogelijk voor een geografisch evenwichtige vertegenwoordiging uit al die lidstaten. De leden van de adviesmissie beschikken zo nodig over een geldige en passende veiligheidsmachtiging. De Commissie draagt de kosten voor deelname aan adviesmissies.

De Commissie stelt het programma van elke adviesmissie op, in overleg met de leden van de betrokken adviesmissie en in samenspraak met de lidstaat die een kritieke entiteit van bijzonder Europees belang op grond van artikel 6, lid 1, heeft geïdentificeerd als een kritieke entiteit.

6.   De Commissie stelt een uitvoeringshandeling vast met daarin de procedurele regelingen voor verzoeken om adviesmissies te organiseren, voor de behandeling van dergelijke verzoeken, voor de uitvoering van en rapportage over adviesmissies, en voor de behandeling van de mededeling van het oordeel van de Commissie als bedoeld in lid 4, derde alinea, van dit artikel en van de genomen maatregelen, terdege rekening houdend met de vertrouwelijkheid en de commerciële gevoeligheid van de betreffende informatie. Die uitvoeringshandeling wordt vastgesteld volgens de in artikel 24, lid 2, bedoelde onderzoeksprocedure.

7.   De lidstaten zorgen ervoor dat de kritieke entiteiten van bijzonder Europees belang de adviesmissie toegang verlenen tot informatie, systemen en faciliteiten die betrekking hebben op de verlening van hun essentiële diensten en die de betrokken adviesmissie nodig heeft om haar taken uit te voeren.

8.   Adviesmissies worden uitgevoerd met naleving van het toepasselijke nationale recht van de lidstaat waar deze plaatsvinden, met eerbiediging van de verantwoordelijkheid van die lidstaat voor de nationale veiligheid en de bescherming van zijn veiligheidsbelangen.

9.   Bij het organiseren van adviesmissies houdt de Commissie rekening met de verslagen van eventuele inspecties die de Commissie uit hoofde van Verordening (EG) nr. 725/2004 en Verordening (EG) nr. 300/2008 heeft uitgevoerd en met de verslagen van de controles die de Commissie uit hoofde van Richtlijn 2005/65/EG heeft uitgevoerd ten aanzien van de betrokken kritieke entiteit.

10.   De Commissie stelt de Groep voor de weerbaarheid van kritieke entiteiten bedoeld in artikel 19 ervan in kennis wanneer een adviesmissie wordt georganiseerd. Ter bevordering van wederzijds leren, stellen de lidstaat waar de adviesmissie heeft plaatsgevonden en de Commissie de Groep voor de weerbaarheid van kritieke entiteiten ook in kennis van de belangrijkste bevindingen van de adviesmissie en van de geleerde lessen.

HOOFDSTUK V

SAMENWERKING EN RAPPORTAGE

Artikel 19

Groep voor de weerbaarheid van kritieke entiteiten

1.   Deze richtlijn richt een Groep voor de weerbaarheid van kritieke entiteiten op. De Groep voor de weerbaarheid van kritieke entiteiten ondersteunt de Commissie en faciliteert de samenwerking tussen de lidstaten en de uitwisseling van informatie over aangelegenheden in verband met deze richtlijn.

2.   De Groep voor de weerbaarheid van kritieke entiteiten bestaat uit vertegenwoordigers van de lidstaten en de Commissie, die waar passend over een veiligheidsmachtiging beschikken. Indien dit voor de uitvoering van haar taken relevant is, kan de Groep voor de weerbaarheid van kritieke entiteiten belanghebbenden uitnodigen om aan haar werkzaamheden deel te nemen. Op verzoek van het Europees Parlement kan de Commissie deskundigen van het Europees Parlement uitnodigen om de vergaderingen van de Groep voor de weerbaarheid van kritieke entiteiten bij te wonen.

De vertegenwoordiger van de Commissie zit de Groep voor de weerbaarheid van kritieke entiteiten voor.

3.   De Groep voor de weerbaarheid van kritieke entiteiten heeft de volgende taken:

| a) | het ondersteunen van de Commissie wanneer die de lidstaten assisteert bij het versterken van hun capaciteit om te zorgen voor de weerbaarheid van kritieke entiteiten overeenkomstig deze richtlijn; |
| --- | --- |

a)

het ondersteunen van de Commissie wanneer die de lidstaten assisteert bij het versterken van hun capaciteit om te zorgen voor de weerbaarheid van kritieke entiteiten overeenkomstig deze richtlijn;

| b) | het analyseren van de strategieën teneinde beste praktijken met betrekking tot de strategieën vast te stellen; |
| --- | --- |

b)

het analyseren van de strategieën teneinde beste praktijken met betrekking tot de strategieën vast te stellen;

| c) | het faciliteren van de uitwisseling van beste praktijken met betrekking tot de identificatie van kritieke entiteiten door de lidstaten op grond van artikel 6, lid 1, onder meer met betrekking tot grensoverschrijdende en intersectorale afhankelijkheden en wat betreft risico's en incidenten; |
| --- | --- |

c)

het faciliteren van de uitwisseling van beste praktijken met betrekking tot de identificatie van kritieke entiteiten door de lidstaten op grond van artikel 6, lid 1, onder meer met betrekking tot grensoverschrijdende en intersectorale afhankelijkheden en wat betreft risico's en incidenten;

| d) | waar passend, het leveren van bijdragen met betrekking tot deze richtlijn aan documenten betreffende weerbaarheid op Unieniveau; |
| --- | --- |

d)

waar passend, het leveren van bijdragen met betrekking tot deze richtlijn aan documenten betreffende weerbaarheid op Unieniveau;

| e) | het bijdragen aan de opstelling van de in artikel 7, lid 3, en artikel 13, lid 5, bedoelde richtsnoeren en, op verzoek, de gedelegeerde handelingen of uitvoeringshandelingen die worden vastgesteld uit hoofde van deze richtlijn; |
| --- | --- |

e)

het bijdragen aan de opstelling van de in artikel 7, lid 3, en artikel 13, lid 5, bedoelde richtsnoeren en, op verzoek, de gedelegeerde handelingen of uitvoeringshandelingen die worden vastgesteld uit hoofde van deze richtlijn;

| f) | het analyseren van de in artikel 9, lid 3, bedoelde samenvattende verslagen ter bevordering van het delen van beste praktijken met betrekking tot de overeenkomstig artikel 15, lid 3, genomen maatregelen; |
| --- | --- |

f)

het analyseren van de in artikel 9, lid 3, bedoelde samenvattende verslagen ter bevordering van het delen van beste praktijken met betrekking tot de overeenkomstig artikel 15, lid 3, genomen maatregelen;

| g) | het delen van beste praktijken met betrekking tot de melding van incidenten als bedoeld in artikel 15; |
| --- | --- |

g)

het delen van beste praktijken met betrekking tot de melding van incidenten als bedoeld in artikel 15;

| h) | het bespreken van de samenvattende verslagen van adviesmissies en van de geleerde lessen overeenkomstig artikel 18, lid 10; |
| --- | --- |

h)

het bespreken van de samenvattende verslagen van adviesmissies en van de geleerde lessen overeenkomstig artikel 18, lid 10;

| i) | het uitwisselen van informatie en het delen van beste praktijken op het gebied van innovatie, onderzoek en ontwikkeling met betrekking tot de weerbaarheid van kritieke entiteiten overeenkomstig deze richtlijn; |
| --- | --- |

i)

het uitwisselen van informatie en het delen van beste praktijken op het gebied van innovatie, onderzoek en ontwikkeling met betrekking tot de weerbaarheid van kritieke entiteiten overeenkomstig deze richtlijn;

| j) | waar nodig, het uitwisselen van informatie op gebied van de weerbaarheid van kritieke entiteiten met de betrokken instellingen, organen en instanties van de Unie. |
| --- | --- |

j)

waar nodig, het uitwisselen van informatie op gebied van de weerbaarheid van kritieke entiteiten met de betrokken instellingen, organen en instanties van de Unie.

4.   Uiterlijk op 17 januari 2025 en vervolgens om de twee jaar, stelt de Groep voor de weerbaarheid van kritieke entiteiten een werkprogramma op inzake te nemen maatregelen ter uitvoering van haar doelstellingen en taken. Dat werkprogramma moet in overeenstemming zijn met de voorschriften en doelstellingen van deze richtlijn.

5.   De Groep voor de weerbaarheid van kritieke entiteiten komt regelmatig en ten minste eenmaal per jaar met de bij Richtlijn (EU) 2022/2555 ingestelde samenwerkingsgroep bijeen teneinde de samenwerking en de uitwisseling van informatie te bevorderen en te faciliteren.

6.   De Commissie kan uitvoeringshandelingen vaststellen met daarin de procedurele regelingen die nodig zijn voor het functioneren van de Groep voor de weerbaarheid van kritieke entiteiten, met inachtneming van artikel 1, lid 4. Die uitvoeringshandelingen worden volgens de in artikel 24, lid 2, bedoelde onderzoeksprocedure vastgesteld.

7.   De Commissie verstrekt de Groep voor de weerbaarheid van kritieke entiteiten uiterlijk op 17 januari 2027 en vervolgens wanneer dat nodig is en ten minste om de vier jaar, een samenvattend verslag van de informatie die de lidstaten op grond van artikel 4, lid 3, en artikel 5, lid 4, hebben verstrekt.

Artikel 20

Ondersteuning door de Commissie van bevoegde autoriteiten en kritieke entiteiten

1.   Waar nodig ondersteunt de Commissie de lidstaten en de kritieke entiteiten bij het nakomen van hun verplichtingen uit hoofde van deze Richtlijn. De Commissie stelt een overzicht op Unieniveau op van de grensoverschrijdende en intersectorale risico's voor de verlening van essentiële diensten, organiseert de in artikel 13, lid 4, en artikel 18 bedoelde adviesmissies, en faciliteert de informatie-uitwisseling tussen de lidstaten en deskundigen in de hele Unie.

2.   De Commissie vult de in artikel 10 bedoelde activiteiten van de lidstaten aan door beste praktijken, richtsnoeren en methoden, en grensoverschrijdende opleidingsactiviteiten en oefeningen te ontwikkelen om de weerbaarheid van kritieke entiteiten te testen.

3.   De Commissie informeert de lidstaten over de op Unieniveau beschikbare financiële middelen ter bevordering van de weerbaarheid van kritieke entiteiten.

HOOFDSTUK VI

TOEZICHT EN HANDHAVING

Artikel 21

Toezicht en handhaving

1.   Om te beoordelen of de entiteiten die de lidstaten op grond van artikel 6, lid 1, als kritieke entiteiten hebben geïdentificeerd, de in deze richtlijn opgenomen verplichtingen naleven, zorgen de lidstaten ervoor dat de bevoegde autoriteiten over de bevoegdheden en middelen beschikken om:

| a) | inspecties ter plaatse te verrichten van de kritieke infrastructuur en de bedrijfsruimten die de kritieke entiteit gebruikt voor de verlening van haar essentiële diensten, en op afstand toezicht uit te oefenen op de maatregelen genomen door kritieke entiteiten overeenkomstig artikel 13; |
| --- | --- |

a)

inspecties ter plaatse te verrichten van de kritieke infrastructuur en de bedrijfsruimten die de kritieke entiteit gebruikt voor de verlening van haar essentiële diensten, en op afstand toezicht uit te oefenen op de maatregelen genomen door kritieke entiteiten overeenkomstig artikel 13;

| b) | audits uit te voeren of te gelasten met betrekking tot kritieke entiteiten. |
| --- | --- |

b)

audits uit te voeren of te gelasten met betrekking tot kritieke entiteiten.

2.   De lidstaten zorgen ervoor dat de bevoegde autoriteiten over de bevoegdheden en middelen beschikken om, indien nodig voor de uitvoering van hun taken uit hoofde van deze richtlijn, voor te schrijven dat de entiteiten uit hoofde van Richtlijn (EU) 2022/2555 die lidstaten op grond van deze richtlijn ook als kritieke entiteiten hebben geïdentificeerd, hen binnen een door die autoriteiten vastgestelde redelijke termijn:

| a) | de informatie verstrekken die nodig is om te beoordelen of de maatregelen die deze entiteiten hebben genomen om hun weerbaarheid te waarborgen, voldoen aan de voorschriften opgenomen in artikel 13; |
| --- | --- |

a)

de informatie verstrekken die nodig is om te beoordelen of de maatregelen die deze entiteiten hebben genomen om hun weerbaarheid te waarborgen, voldoen aan de voorschriften opgenomen in artikel 13;

| b) | bewijs verstrekken van de effectieve uitvoering van die maatregelen, met inbegrip van de resultaten van een audit die op kosten van de desbetreffende entiteit is uitgevoerd door een onafhankelijke en gekwalificeerde auditor die door de entiteit is geselecteerd. |
| --- | --- |

b)

bewijs verstrekken van de effectieve uitvoering van die maatregelen, met inbegrip van de resultaten van een audit die op kosten van de desbetreffende entiteit is uitgevoerd door een onafhankelijke en gekwalificeerde auditor die door de entiteit is geselecteerd.

Wanneer zij die informatie voorschrijven, vermelden de bevoegde autoriteiten het doel van het voorschrift en specificeren zij welke informatie wordt voorgeschreven.

3.   Onverminderd de mogelijkheid om sancties op te leggen overeenkomstig artikel 22, kunnen de bevoegde autoriteiten, in aansluiting op de in lid 1 van dit artikel bedoelde toezichtmaatregelen of de beoordeling van de in lid 2 van dit artikel bedoelde informatie, de betrokken kritieke entiteiten opdragen de nodige en evenredige maatregelen te nemen om een eventueel vastgestelde inbreuk op deze richtlijn binnen een door die autoriteiten vastgestelde redelijke termijn te verhelpen en die autoriteiten informatie over de genomen maatregelen te verstrekken. Bij een dergelijke opdracht wordt met name rekening gehouden met de ernst van de inbreuk.

4.   De lidstaten zorgen ervoor dat de in de leden 1, 2 en 3 bedoelde bevoegdheden alleen met de nodige waarborgen kunnen worden uitgeoefend. Met die waarborgen wordt met name verzekerd dat een dergelijke uitoefening op objectieve, transparante en evenredige wijze plaatsvindt en dat de rechten en rechtmatige belangen van de betrokken kritieke entiteiten, zoals de bescherming van handels- en bedrijfsgeheimen, afdoende worden gegarandeerd, met inbegrip van hun recht om te worden gehoord, hun recht van verdediging en hun recht op een doeltreffende voorziening in rechte voor een onafhankelijke rechtbank.

5.   De lidstaten zorgen ervoor dat een krachtens deze richtlijn bevoegde autoriteit bij het beoordelen van de naleving door een kritieke entiteit op grond van dit artikel, de bevoegde autoriteiten van de betrokken lidstaten daarvan in kennis stelt krachtens Richtlijn (EU) 2022/2555. Daartoe zorgen de lidstaten ervoor dat krachtens de onderhavige richtlijn bevoegde autoriteiten de op grond van Richtlijn (EU) 2022/2555 bevoegde autoriteiten kunnen verzoeken om hun toezichts- en handhavingsbevoegdheden uit te oefenen in verband met een entiteit uit hoofde van die richtlijn en die als een kritieke entiteit uit hoofde van onderhavige richtlijn is geïdentificeerd. Daartoe zorgen lidstaten ervoor dat krachtens de onderhavige richtlijn bevoegde autoriteiten met krachtens Richtlijn (EU) 2022/2555 bevoegde autoriteiten samenwerken en informatie uitwisselen.

Artikel 22

Sancties

De lidstaten stellen de voorschriften vast ten aanzien van de sancties die van toepassing zijn op overtredingen van de nationale maatregelen die zijn genomen op grond van deze richtlijn en nemen alle nodige maatregelen om ervoor te zorgen dat deze sancties worden uitgevoerd. De sancties moeten doeltreffend, evenredig en afschrikkend zijn. De lidstaten stellen de Commissie, uiterlijk op 17 oktober 2024, van die voorschriften en maatregelen in kennis en delen haar onverwijld alle latere wijzigingen daarvan mee.

HOOFDSTUK VII

GEDELEGEERDE HANDELINGEN EN UITVOERINGSHANDELINGEN

Artikel 23

Uitoefening van de bevoegdheidsdelegatie

1.   De bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend onder de in dit artikel neergelegde voorwaarden.

2.   De in artikel 5, lid 1, bedoelde bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend voor een termijn van vijf jaar met ingang van 16 januari 2023.

3.   Het Europees Parlement of de Raad kan de in artikel 5, lid 1, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet.

4.   Vóór de vaststelling van een gedelegeerde handeling raadpleegt de Commissie de door elke lidstaat aangewezen deskundigen overeenkomstig de beginselen die zijn neergelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven.

5.   Zodra de Commissie een gedelegeerde handeling heeft vastgesteld, doet zij daarvan gelijktijdig kennisgeving aan het Europees Parlement en de Raad.

6.   Een op grond van artikel 5, lid 1, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van twee maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben meegedeeld dat zij daartegen geen bezwaar zullen maken. Die termijn wordt op initiatief van het Europees Parlement of de Raad met twee maanden verlengd.

Artikel 24

Comitéprocedure

1.   De Commissie wordt bijgestaan door een comité. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011.

2.   Wanneer naar dit lid wordt verwezen, is artikel 5 van Verordening (EU) nr. 182/2011 van toepassing.

HOOFDSTUK VIII

SLOTBEPALINGEN

Artikel 25

Rapportering en toetsing

De Commissie dient uiterlijk op 17 juli 2027 een verslag in bij het Europees Parlement en de Raad waarin wordt beoordeeld in welke mate elke lidstaat de nodige maatregelen heeft genomen om aan deze richtlijn te voldoen.

De Commissie evalueert op gezette tijden de werking van deze richtlijn en brengt daarover verslag uit aan het Europees Parlement en de Raad. In dat verslag worden met name de toegevoegde waarde van deze richtlijn, de impact ervan op het waarborgen van de weerbaarheid van kritieke entiteiten beoordeeld en wordt nagegaan of de bijlage bij de richtlijn moet worden gewijzigd. De Commissie dient uiterlijk op 17 juni 2029 het eerste dergelijke verslag in. Bij de rapportering uit hoofde van dit artikel houdt de Commissie rekening met relevante documenten van de Groep voor de weerbaarheid van kritieke entiteiten.

Artikel 26

Omzetting

1.   De lidstaten dienen uiterlijk op 17 oktober 2024 de nodige wettelijke en bestuursrechtelijke bepalingen vast te stellen en bekend te maken om aan deze richtlijn te voldoen. Zij stellen de Commissie daarvan onmiddellijk in kennis.

Zij passen die bepalingen toe met ingang van 18 oktober 2024.

2.   Wanneer de lidstaten de in lid 1 bedoelde bepalingen aannemen, wordt in die bepalingen zelf of bij de officiële bekendmaking ervan naar deze richtlijn verwezen. De regels voor die verwijzing worden vastgesteld door de lidstaten.

Artikel 27

Intrekking van Richtlijn 2008/114/EG

Richtlijn 2008/114/EG wordt met ingang van 18 oktober 2024 ingetrokken.

Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar de onderhavige richtlijn.

Artikel 28

Inwerkingtreding

Deze richtlijn treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Publicatieblad van de Europese Unie

Artikel 29

Adressaten

Deze richtlijn is gericht tot de lidstaten.

Gedaan te Straatsburg, 14 december 2022.

Voor het Europees Parlement

De voorzitter

R. METSOLA

Voor de Raad

De voorzitter

M. BEK

---

(1)  
  PB C 286 van 16.7.2021, blz. 170.

1

(2)  
  PB C 440 van 29.10.2021, blz. 99.

2

(3)  Standpunt van het Europees Parlement van 22 november 2022 (nog niet bekendgemaakt in het Publicatieblad) en besluit van de Raad van 8 december 2022.

3

(4)  Richtlijn 2008/114/EG van de Raad van 8 december 2008 inzake de identificatie van Europese kritieke infrastructuren, de aanmerking van infrastructuren als Europese kritieke infrastructuren en de beoordeling van de noodzaak de bescherming van dergelijke infrastructuren te verbeteren (PB L 345 van 23.12.2008, blz. 75).

4

(5)  Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972, en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (zie bladzijde 80 van dit Publicatieblad).

5

(6)  Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PB L 194 van 19.7.2016, blz. 1).

6

(7)  Verordening (EU) 2019/452 van het Europees Parlement en de Raad van 19 maart 2019 tot vaststelling van een kader voor de screening van buitenlandse directe investeringen in de Unie (PB L 79I van 21.3.2019, blz. 1).

7

(8)  Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad van 4 juli 2012 betreffende otc-derivaten, centrale tegenpartijen en transactieregisters (PB L 201 van 27.7.2012, blz. 1).

8

(9)  Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en tot wijziging van Verordening (EU) nr. 648/2012 (PB L 176 van 27.6.2013, blz. 1).

9

(10)  Verordening (EU) nr. 600/2014 van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten in financiële instrumenten en tot wijziging van Verordening (EU) nr. 648/2012 (PB L 173 van 12.6.2014, blz. 84).

10

(11)  Richtlijn 2013/36/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen en beleggingsondernemingen, tot wijziging van Richtlijn 2002/87/EG en tot intrekking van de Richtlijnen 2006/48/EG en 2006/49/EG (PB L 176 van 27.6.2013, blz. 338).

11

(12)  Richtlijn 2014/65/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten voor financiële instrumenten en tot wijziging van Richtlijn 2002/92/EG en Richtlijn 2011/61/EU (PB L 173 van 12.6.2014, blz. 349).

12

(13)  Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele veerkracht voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (zie bladzijde 1 van dit Publicatieblad).

13

(14)  Verordening (EG) nr. 725/2004 van het Europees Parlement en de Raad van 31 maart 2004 betreffende de verbetering van de beveiliging van schepen en havenfaciliteiten (PB L 129 van 29.4.2004, blz. 6).

14

(15)  Verordening (EG) nr. 300/2008 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van Verordening (EG) nr. 2320/2002 (PB L 97 van 9.4.2008, blz. 72).

15

(16)  Richtlijn 2005/65/EG van het Europees Parlement en de Raad van 26 oktober 2005 betreffende het verhogen van de veiligheid van havens (PB L 310 van 25.11.2005, blz. 28).

16

(17)  Richtlijn 2008/96/EG van het Europees Parlement en de Raad van 19 november 2008 betreffende het beheer van de verkeersveiligheid van weginfrastructuur (PB L 319 van 29.11.2008, blz. 59).

17

(18)  Besluit van de Commissie van 29 juni 2018 tot oprichting van het EU-veiligheidsplatform voor treinreizigers 2018/C 232/03 (PB C 232 van 3.7.2018, blz. 10).

18

(19)  Kaderbesluit 2009/315/JBZ van de Raad van 26 februari 2009 betreffende de organisatie en de inhoud van uitwisseling van gegevens uit het strafregister tussen de lidstaten (PB L 93 van 7.4.2009, blz. 23).

19

(20)  Verordening (EU) 2019/816 van het Europees Parlement en de Raad van 17 april 2019 tot invoering van een gecentraliseerd systeem voor de vaststelling welke lidstaten over informatie beschikken inzake veroordelingen van onderdanen van derde landen en staatlozen (Ecris-TCN) ter aanvulling van het Europees Strafregisterinformatiesysteem en tot wijziging van Verordening (EU) 2018/1726 (PB L 135 van 22.5.2019, blz. 1).

20

(21)  Verordening (EU) 2018/1862 van het Europees Parlement en de Raad van 28 november 2018 betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem (SIS) op het gebied van politiële en justitiële samenwerking in strafzaken, tot wijziging en intrekking van Besluit 2007/533/JBZ van de Raad en tot intrekking van Verordening (EG) nr. 1986/2006 van het Europees Parlement en de Raad en Besluit 2010/261/EU van de Commissie (PB L 312 van 7.12.2018, blz. 56).

21

(22)  Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad van 17 december 2013 betreffende een Uniemechanisme voor civiele bescherming (PB L 347 van 20.12.2013, blz. 924).

22

(23)  Verordening (EU) 2021/1149 van het Europees Parlement en de Raad van 7 juli 2021 tot oprichting van het Fonds voor interne veiligheid (PB L 251 van 15.7.2021, blz. 94).

23

(24)  Verordening (EU) 2021/695 van het Europees Parlement en de Raad van 28 april 2021 tot vaststelling van Horizon Europa — het kaderprogramma voor onderzoek en innovatie, tot vaststelling van de regels voor deelname en verspreiding en tot intrekking van Verordeningen (EU) nr. 1290/2013 en (EU) nr. 1291/2013 (PB L 170 van 12.5.2021, blz. 1).

24

(25)  
  PB L 123 van 12.5.2016, blz. 1.

25

(26)  Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad van 16 februari 2011 tot vaststelling van de algemene voorschriften en beginselen die van toepassing zijn op de wijze waarop de lidstaten de uitoefening van de uitvoeringsbevoegdheden door de Commissie controleren (PB L 55 van 28.2.2011, blz. 13).

26

(27)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).

27

(28)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

28

(29)  Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37).

29

(30)  Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad van 25 oktober 2012 betreffende Europese normalisatie, tot wijziging van de Richtlijnen 89/686/EEG en 93/15/EEG van de Raad alsmede de Richtlijnen 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG en 2009/105/EG van het Europees Parlement en de Raad en tot intrekking van Beschikking 87/95/EEG van de Raad en Besluit nr. 1673/2006/EG van het Europees Parlement en de Raad (PB L 316 van 14.11.2012, blz. 12).

30

(31)  Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PB L 124 van 20.5.2003, blz. 36).

31

(32)  Richtlijn (EU) 2017/541 van het Europees Parlement en de Raad van 15 maart 2017 inzake terrorismebestrijding en ter vervanging van Kaderbesluit 2002/475/JBZ van de Raad en tot wijziging van Besluit 2005/671/JBZ van de Raad (PB L 88 van 31.3.2017, blz. 6).

32

(33)  Verordening (EU) 2017/1938 van het Europees Parlement en de Raad van 25 oktober 2017 betreffende maatregelen tot veiligstelling van de gasleveringszekerheid en houdende intrekking van Verordening (EU) nr. 994/2010 (PB L 280 van 28.10.2017, blz. 1).

33

(34)  Verordening (EU) 2019/941 van het Europees Parlement en de Raad van 5 juni 2019 betreffende risicoparaatheid in de elektriciteitssector en tot intrekking van Richtlijn 2005/89/EG (PB L 158 van 14.6.2019, blz. 1).

34

(35)  Richtlijn 2007/60/EG van het Europees Parlement en de Raad van 23 oktober 2007 over beoordeling en beheer van overstromingsrisico’s (PB L 288 van 6.11.2007, blz. 27).

35

(36)  Richtlijn 2012/18/EU van het Europees Parlement en de Raad van 4 juli 2012 betreffende de beheersing van de gevaren van zware ongevallen waarbij gevaarlijke stoffen zijn betrokken, houdende wijziging en vervolgens intrekking van Richtlijn 96/82/EG van de Raad (PB L 197 van 24.7.2012, blz. 1).

36

(37)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).

37

---

BIJLAGE

SECTOREN, DEELSECTOREN EN CATEGORIEËN VAN ENTITEITEN

| Sectoren | Deelsectoren | Categorieën van entiteiten |
| --- | --- | --- |
| 1. | Energie |

Sectoren

Deelsectoren

Categorieën van entiteiten

1.

Energie

| a) | Elektriciteit |
| --- | --- |

a)

Elektriciteit

| — | Elektriciteitsbedrijven zoals gedefinieerd in artikel 2, punt 57, van Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad (1), die de functie verrichten van “levering” zoals gedefinieerd in artikel 2, punt 12, van die richtlijn |
| --- | --- |

—

Elektriciteitsbedrijven zoals gedefinieerd in artikel 2, punt 57, van Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad (1), die de functie verrichten van “levering” zoals gedefinieerd in artikel 2, punt 12, van die richtlijn

| — | Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 29, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 29, van Richtlijn (EU) 2019/944

| — | Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 35, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 35, van Richtlijn (EU) 2019/944

| — | Producenten zoals gedefinieerd in artikel 2, punt 38, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Producenten zoals gedefinieerd in artikel 2, punt 38, van Richtlijn (EU) 2019/944

| — | Benoemde elektriciteitsmarktbeheerders zoals gedefinieerd in artikel 2, punt 8, van Verordening (EU) 2019/943 van het Europees Parlement en de Raad (2) |
| --- | --- |

—

Benoemde elektriciteitsmarktbeheerders zoals gedefinieerd in artikel 2, punt 8, van Verordening (EU) 2019/943 van het Europees Parlement en de Raad (2)

| — | Marktdeelnemers zoals gedefinieerd in artikel 2, punt 25, van Verordening (EU) 2019/943, die diensten verlenen op het gebied van aggregatie, vraagrespons of energieopslag zoals gedefinieerd in artikel 2, punten 18, 20 en 59, van Richtlijn (EU) 2019/944 |
| --- | --- |

—

Marktdeelnemers zoals gedefinieerd in artikel 2, punt 25, van Verordening (EU) 2019/943, die diensten verlenen op het gebied van aggregatie, vraagrespons of energieopslag zoals gedefinieerd in artikel 2, punten 18, 20 en 59, van Richtlijn (EU) 2019/944

| b) | Stadsverwarming en -koeling |
| --- | --- |

b)

Stadsverwarming en -koeling

| — | Exploitanten van stadsverwarming of stadskoeling zoals gedefinieerd in artikel 2, punt 19, van Richtlijn (EU) 2018/2001 van het Europees Parlement en de Raad (3) |
| --- | --- |

—

Exploitanten van stadsverwarming of stadskoeling zoals gedefinieerd in artikel 2, punt 19, van Richtlijn (EU) 2018/2001 van het Europees Parlement en de Raad (3)

| c) | Olie |
| --- | --- |

c)

Olie

| — | Exploitanten van oliepijpleidingen |
| --- | --- |

—

Exploitanten van oliepijpleidingen

| — | Exploitanten van voorzieningen voor de productie, raffinage, behandeling, opslag en transmissie van olie |
| --- | --- |

—

Exploitanten van voorzieningen voor de productie, raffinage, behandeling, opslag en transmissie van olie

| — | Centrale entiteiten voor de voorraadvorming zoals gedefinieerd in artikel 2, punt f), van Richtlijn 2009/119/EG van de Raad (4) |
| --- | --- |

—

Centrale entiteiten voor de voorraadvorming zoals gedefinieerd in artikel 2, punt f), van Richtlijn 2009/119/EG van de Raad (4)

| d) | Gas |
| --- | --- |

d)

Gas

| — | Leveringsbedrijven zoals gedefinieerd in artikel 2, punt 8, van Richtlijn 2009/73/EG van het Europees Parlement en de Raad (5) |
| --- | --- |

—

Leveringsbedrijven zoals gedefinieerd in artikel 2, punt 8, van Richtlijn 2009/73/EG van het Europees Parlement en de Raad (5)

| — | Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 6, van Richtlijn 2009/73/EG |
| --- | --- |

—

Distributiesysteembeheerders zoals gedefinieerd in artikel 2, punt 6, van Richtlijn 2009/73/EG

| — | Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 4, van Richtlijn 2009/73/EG |
| --- | --- |

—

Transmissiesysteembeheerders zoals gedefinieerd in artikel 2, punt 4, van Richtlijn 2009/73/EG

| — | Opslagsysteembeheerders zoals gedefinieerd in artikel 2, punt 10, van Richtlijn 2009/73/EG |
| --- | --- |

—

Opslagsysteembeheerders zoals gedefinieerd in artikel 2, punt 10, van Richtlijn 2009/73/EG

| — | LNG-systeembeheerders zoals gedefinieerd in artikel 2, punt 12, van Richtlijn 2009/73/EG |
| --- | --- |

—

LNG-systeembeheerders zoals gedefinieerd in artikel 2, punt 12, van Richtlijn 2009/73/EG

| — | Aardgasbedrijven zoals gedefinieerd in artikel 2, punt 1, van Richtlijn 2009/73/EG |
| --- | --- |

—

Aardgasbedrijven zoals gedefinieerd in artikel 2, punt 1, van Richtlijn 2009/73/EG

| — | Exploitanten van voorzieningen voor de raffinage en behandeling van aardgas |
| --- | --- |

—

Exploitanten van voorzieningen voor de raffinage en behandeling van aardgas

| e) | Waterstof |
| --- | --- |

e)

Waterstof

| — | Exploitanten van voorzieningen voor de productie, opslag en transmissie van waterstof |
| --- | --- |

—

Exploitanten van voorzieningen voor de productie, opslag en transmissie van waterstof

| 2. | Vervoer |
| --- | --- |

2.

Vervoer

| a) | Lucht |
| --- | --- |

a)

Lucht

| — | Luchtvaartmaatschappijen zoals gedefinieerd in artikel 3, punt 4, van Verordening (EG) nr. 300/2008, die voor commerciële doeleinden worden gebruikt |
| --- | --- |

—

Luchtvaartmaatschappijen zoals gedefinieerd in artikel 3, punt 4, van Verordening (EG) nr. 300/2008, die voor commerciële doeleinden worden gebruikt

| — | Luchthavenbeheerders zoals gedefinieerd in artikel 2, punt 2, van Richtlijn 2009/12/EG van het Europees Parlement en de Raad (6); luchthavens zoals gedefinieerd in artikel 2, punt 1, van die richtlijn, inclusief de tot het kernnetwerk behorende luchthavens die in afdeling 2 van bijlage II bij Verordening (EU) nr. 1315/2013 van het Europees Parlement en de Raad (7) zijn opgenomen, alsook de entiteiten die bijbehorende installaties bedienen welke zich op luchthavens bevinden |
| --- | --- |

—

Luchthavenbeheerders zoals gedefinieerd in artikel 2, punt 2, van Richtlijn 2009/12/EG van het Europees Parlement en de Raad (6); luchthavens zoals gedefinieerd in artikel 2, punt 1, van die richtlijn, inclusief de tot het kernnetwerk behorende luchthavens die in afdeling 2 van bijlage II bij Verordening (EU) nr. 1315/2013 van het Europees Parlement en de Raad (7) zijn opgenomen, alsook de entiteiten die bijbehorende installaties bedienen welke zich op luchthavens bevinden

| — | Luchtverkeersleidingsdiensten zoals gedefinieerd in artikel 2, punt 1, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad (8) |
| --- | --- |

—

Luchtverkeersleidingsdiensten zoals gedefinieerd in artikel 2, punt 1, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad (8)

| b) | Spoor |
| --- | --- |

b)

Spoor

| — | Infrastructuurbeheerders zoals gedefinieerd in artikel 3, punt 2, van Richtlijn 2012/34/EU van het Europees Parlement en de Raad (9) |
| --- | --- |

—

Infrastructuurbeheerders zoals gedefinieerd in artikel 3, punt 2, van Richtlijn 2012/34/EU van het Europees Parlement en de Raad (9)

| — | Spoorwegondernemingen zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2012/34/EU, en exploitanten van dienstvoorzieningen zoals gedefinieerd in artikel 3, punt 12, van die richtlijn |
| --- | --- |

—

Spoorwegondernemingen zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2012/34/EU, en exploitanten van dienstvoorzieningen zoals gedefinieerd in artikel 3, punt 12, van die richtlijn

| c) | Water |
| --- | --- |

c)

Water

| — | Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht zoals voor maritiem transport gedefinieerd in bijlage I bij Verordening (EG) nr. 725/2004, met uitzondering van de door deze bedrijven geëxploiteerde individuele vaartuigen |
| --- | --- |

—

Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht zoals voor maritiem transport gedefinieerd in bijlage I bij Verordening (EG) nr. 725/2004, met uitzondering van de door deze bedrijven geëxploiteerde individuele vaartuigen

| — | Beheerders van havens zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2005/65/EG, inclusief hun havenfaciliteiten zoals gedefinieerd in artikel 2, punt 11, van Verordening (EG) nr. 725/2004, alsook entiteiten die werken en uitrusting in havens beheren |
| --- | --- |

—

Beheerders van havens zoals gedefinieerd in artikel 3, punt 1, van Richtlijn 2005/65/EG, inclusief hun havenfaciliteiten zoals gedefinieerd in artikel 2, punt 11, van Verordening (EG) nr. 725/2004, alsook entiteiten die werken en uitrusting in havens beheren

| — | Exploitanten van verkeersbegeleidingssystemen (VTS) zoals gedefinieerd in artikel 3, punt o), van Richtlijn 2002/59/EG van het Europees Parlement en de Raad (10) |
| --- | --- |

—

Exploitanten van verkeersbegeleidingssystemen (VTS) zoals gedefinieerd in artikel 3, punt o), van Richtlijn 2002/59/EG van het Europees Parlement en de Raad (10)

| d) | Weg |
| --- | --- |

d)

Weg

| — | Wegenautoriteiten zoals gedefinieerd in artikel 2, punt 12, van Gedelegeerde Verordening (EU) 2015/962 van de Commissie (11) die verantwoordelijk zijn voor het verkeersbeheer, met uitzondering van overheidsinstanties voor wie verkeersbeheer of de exploitatie van intelligente vervoerssystemen een niet-essentieel onderdeel van hun algemene activiteiten is |
| --- | --- |

—

Wegenautoriteiten zoals gedefinieerd in artikel 2, punt 12, van Gedelegeerde Verordening (EU) 2015/962 van de Commissie (11) die verantwoordelijk zijn voor het verkeersbeheer, met uitzondering van overheidsinstanties voor wie verkeersbeheer of de exploitatie van intelligente vervoerssystemen een niet-essentieel onderdeel van hun algemene activiteiten is

| — | Exploitanten van intelligente vervoerssystemen zoals gedefinieerd in artikel 4, punt 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad (12) |
| --- | --- |

—

Exploitanten van intelligente vervoerssystemen zoals gedefinieerd in artikel 4, punt 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad (12)

| e) | Openbaar vervoer |
| --- | --- |

e)

Openbaar vervoer

| — | Exploitanten van openbare diensten zoals gedefinieerd in artikel 2, punt d), van Verordening (EG) nr. 1370/2007 van het Europees Parlement en de Raad (13) |
| --- | --- |

—

Exploitanten van openbare diensten zoals gedefinieerd in artikel 2, punt d), van Verordening (EG) nr. 1370/2007 van het Europees Parlement en de Raad (13)

| 3. | Bankwezen |
| --- | --- |

3.

Bankwezen

| — | Kredietinstellingen zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) nr. 575/2013 |
| --- | --- |

—

Kredietinstellingen zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) nr. 575/2013

| 4. | Infrastructuur voor de financiële markt |
| --- | --- |

4.

Infrastructuur voor de financiële markt

| — | Beheerders van handelsplatforms zoals gedefinieerd in artikel 4, punt 24, van Richtlijn 2014/65/EU |
| --- | --- |

—

Beheerders van handelsplatforms zoals gedefinieerd in artikel 4, punt 24, van Richtlijn 2014/65/EU

| — | Centrale tegenpartijen (CTP's) zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 648/2012 |
| --- | --- |

—

Centrale tegenpartijen (CTP's) zoals gedefinieerd in artikel 2, punt 1, van Verordening (EU) nr. 648/2012

| 5. | Volksgezondheid |
| --- | --- |

5.

Volksgezondheid

| — | Zorgaanbieders zoals gedefinieerd in artikel 3, punt g), van Richtlijn 2011/24/EG van het Europees Parlement en de Raad (14) |
| --- | --- |

—

Zorgaanbieders zoals gedefinieerd in artikel 3, punt g), van Richtlijn 2011/24/EG van het Europees Parlement en de Raad (14)

| — | EU-referentielaboratoria als bedoeld in artikel 15 van Verordening (EU) 2022/2371 van het Europees Parlement en de Raad (15) |
| --- | --- |

—

EU-referentielaboratoria als bedoeld in artikel 15 van Verordening (EU) 2022/2371 van het Europees Parlement en de Raad (15)

| — | Entiteiten die zich bezighouden met het onderzoek naar en de ontwikkeling van geneesmiddelen zoals gedefinieerd in artikel 1, punt 2), van Richtlijn 2001/83/EG van het Europees Parlement en de Raad (16) |
| --- | --- |

—

Entiteiten die zich bezighouden met het onderzoek naar en de ontwikkeling van geneesmiddelen zoals gedefinieerd in artikel 1, punt 2), van Richtlijn 2001/83/EG van het Europees Parlement en de Raad (16)

| — | Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen als bedoeld in sectie C, afdeling 21, van NACE Rev. 2 vervaardigen |
| --- | --- |

—

Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen als bedoeld in sectie C, afdeling 21, van NACE Rev. 2 vervaardigen

| — | Entiteiten die medische hulpmiddelen vervaardigen die in het kader van een noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd (“lijst van in een noodsituatie op het gebied van de volksgezondheid kritieke hulpmiddelen”) in de zin van artikel 22 van Verordening (EU) 2022/123 van het Europees Parlement en de Raad (17) |
| --- | --- |

—

Entiteiten die medische hulpmiddelen vervaardigen die in het kader van een noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd (“lijst van in een noodsituatie op het gebied van de volksgezondheid kritieke hulpmiddelen”) in de zin van artikel 22 van Verordening (EU) 2022/123 van het Europees Parlement en de Raad (17)

| — | Entiteiten die houder zijn van een groothandelsvergunning als bedoeld in artikel 79 van Richtlijn 2001/83/EG |
| --- | --- |

—

Entiteiten die houder zijn van een groothandelsvergunning als bedoeld in artikel 79 van Richtlijn 2001/83/EG

| 6. | Drinkwater |
| --- | --- |

6.

Drinkwater

| — | Leveranciers en distributeurs van voor menselijke consumptie bestemd water zoals gedefinieerd in artikel 2, punt 1, a), van Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad (18), maar met uitzondering van distributeurs voor wie de distributie van water voor menselijke consumptie een niet-essentieel onderdeel is van hun algemene activiteit van distributie van andere waren en goederen |
| --- | --- |

—

Leveranciers en distributeurs van voor menselijke consumptie bestemd water zoals gedefinieerd in artikel 2, punt 1, a), van Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad (18), maar met uitzondering van distributeurs voor wie de distributie van water voor menselijke consumptie een niet-essentieel onderdeel is van hun algemene activiteit van distributie van andere waren en goederen

| 7. | Afvalwater |
| --- | --- |

7.

Afvalwater

| — | Ondernemingen die stedelijk, huishoudelijk of industrieel afvalwater zoals gedefinieerd in artikel 2, punten 1, 2 en 3, van Richtlijn 91/271/EEG (19) van de Raad opvangen, lozen of behandelen, met uitzondering van ondernemingen waarvoor het opvangen, lozen of behandelen van stedelijk, huishoudelijk of industrieel afvalwater een niet-essentieel onderdeel van hun algemene activiteit is. |
| --- | --- |

—

Ondernemingen die stedelijk, huishoudelijk of industrieel afvalwater zoals gedefinieerd in artikel 2, punten 1, 2 en 3, van Richtlijn 91/271/EEG (19) van de Raad opvangen, lozen of behandelen, met uitzondering van ondernemingen waarvoor het opvangen, lozen of behandelen van stedelijk, huishoudelijk of industrieel afvalwater een niet-essentieel onderdeel van hun algemene activiteit is.

| 8. | Digitale infrastructuur |
| --- | --- |

8.

Digitale infrastructuur

| — | Aanbieders van internetknooppunten zoals gedefinieerd in artikel 6, punt 18, van Richtlijn (EU) 2022/2555 |
| --- | --- |

—

Aanbieders van internetknooppunten zoals gedefinieerd in artikel 6, punt 18, van Richtlijn (EU) 2022/2555

| — | DNS-dienstverleners zoals gedefinieerd in artikel 6, punt 20, van Richtlijn (EU) 2022/2555, met uitzondering van exploitanten van root-naamservers |
| --- | --- |

—

DNS-dienstverleners zoals gedefinieerd in artikel 6, punt 20, van Richtlijn (EU) 2022/2555, met uitzondering van exploitanten van root-naamservers

| — | Registers voor topleveldomeinnamen zoals gedefinieerd in artikel 6, punt 21, van Richtlijn (EU) 2022/2555 |
| --- | --- |

—

Registers voor topleveldomeinnamen zoals gedefinieerd in artikel 6, punt 21, van Richtlijn (EU) 2022/2555

| — | Aanbieders van cloudcomputingdiensten zoals gedefinieerd in artikel 6, punt 30, van Richtlijn (EU) 2022/2555 |
| --- | --- |

—

Aanbieders van cloudcomputingdiensten zoals gedefinieerd in artikel 6, punt 30, van Richtlijn (EU) 2022/2555

| — | Aanbieders van datacenterdiensten zoals gedefinieerd in artikel 6, punt 31, van Richtlijn (EU) 2022/2555 |
| --- | --- |

—

Aanbieders van datacenterdiensten zoals gedefinieerd in artikel 6, punt 31, van Richtlijn (EU) 2022/2555

| — | Aanbieders van netwerken voor content delivery zoals gedefinieerd in artikel 6, punt 32, van Richtlijn (EU) 2022/2555 |
| --- | --- |

—

Aanbieders van netwerken voor content delivery zoals gedefinieerd in artikel 6, punt 32, van Richtlijn (EU) 2022/2555

| — | Verleners van vertrouwensdiensten zoals gedefinieerd in artikel 3, punt 19, van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad (20) |
| --- | --- |

—

Verleners van vertrouwensdiensten zoals gedefinieerd in artikel 3, punt 19, van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad (20)

| — | Aanbieders van openbare elektronischecommunicatienetwerken zoals gedefinieerd in artikel 2, punt 8, van Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad (21) |
| --- | --- |

—

Aanbieders van openbare elektronischecommunicatienetwerken zoals gedefinieerd in artikel 2, punt 8, van Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad (21)

| — | Aanbieders van elektronischecommunicatiediensten zoals gedefinieerd in artikel 2, punt 4, van Richtlijn (EU) 2018/1972, voor zover hun diensten publiek beschikbaar zijn |
| --- | --- |

—

Aanbieders van elektronischecommunicatiediensten zoals gedefinieerd in artikel 2, punt 4, van Richtlijn (EU) 2018/1972, voor zover hun diensten publiek beschikbaar zijn

| 9. | Overheid |
| --- | --- |

9.

Overheid

| — | Overheidsinstanties van centrale overheden, zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht |
| --- | --- |

—

Overheidsinstanties van centrale overheden, zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht

| 10. | Ruimtevaart |
| --- | --- |

10.

Ruimtevaart

| — | Exploitanten van grondfaciliteiten die in het bezit zijn van, beheerd of geëxploiteerd worden door de lidstaten of door particuliere partijen en die de verlening van vanuit de ruimte opererende diensten ondersteunen, met uitzondering van aanbieders van openbare elektronischecommunicatienetwerken zoals gedefinieerd in artikel 2, punt 8, van Richtlijn (EU) 2018/1972 |
| --- | --- |

—

Exploitanten van grondfaciliteiten die in het bezit zijn van, beheerd of geëxploiteerd worden door de lidstaten of door particuliere partijen en die de verlening van vanuit de ruimte opererende diensten ondersteunen, met uitzondering van aanbieders van openbare elektronischecommunicatienetwerken zoals gedefinieerd in artikel 2, punt 8, van Richtlijn (EU) 2018/1972

| 11. | Productie, verwerking en distributie van levensmiddelen |
| --- | --- |

11.

Productie, verwerking en distributie van levensmiddelen

| — | Levensmiddelenbedrijven zoals gedefinieerd in artikel 3, punt 2; van Verordening (EG) nr. 178/2002 van het Europees Parlement en de Raad (22) die zich uitsluitend bezighouden met logistiek en groothandel, en met grootschalige industriële productie en verwerking |
| --- | --- |

—

Levensmiddelenbedrijven zoals gedefinieerd in artikel 3, punt 2; van Verordening (EG) nr. 178/2002 van het Europees Parlement en de Raad (22) die zich uitsluitend bezighouden met logistiek en groothandel, en met grootschalige industriële productie en verwerking

---

(1)  Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad van 5 juni 2019 betreffende gemeenschappelijke regels voor de interne markt voor elektriciteit en tot wijziging van Richtlijn 2012/27/EU (PB L 158 van 14.6.2019, blz. 125).

(2)  Verordening (EU) 2019/943 van het Europees Parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (PB L 158 van 14.6.2019, blz. 54).

(3)  Richtlijn (EU) 2018/2001 van het Europees Parlement en de Raad van 11 december 2018 ter bevordering van het gebruik van energie uit hernieuwbare bronnen (PB L 328 van 21.12.2018, blz. 82).

(4)  Richtlijn 2009/119/EG van de Raad van 14 september 2009 houdende verplichting voor de lidstaten om minimumvoorraden ruwe aardolie en/of aardolieproducten in opslag te houden (PB L 265 van 9.10.2009, blz. 9).

(5)  Richtlijn 2009/73/EG van het Europees Parlement en de Raad van 13 juli 2009 betreffende gemeenschappelijke regels voor de interne markt voor aardgas en tot intrekking van Richtlijn 2003/55/EG (PB L 211 van 14.8.2009, blz. 94).

(6)  Richtlijn 2009/12/EG van het Europees Parlement en de Raad van 11 maart 2009 inzake luchthavengelden (PB L 70 van 14.3.2009, blz. 11).

(7)  Verordening (EU) nr. 1315/2013 van het Europees Parlement en de Raad van 11 december 2013 betreffende richtsnoeren van de Unie voor de ontwikkeling van het trans-Europees vervoersnetwerk en tot intrekking van Besluit nr. 661/2010/EU (PB L 348 van 20.12.2013, blz. 1).

(8)  Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad van 10 maart 2004 tot vaststelling van het kader voor de totstandbrenging van het gemeenschappelijke Europese luchtruim (“de kaderverordening”) (PB L 96 van 31.3.2004, blz. 1).

(9)  Richtlijn 2012/34/EU van het Europees Parlement en de Raad van 21 november 2012 tot instelling van één Europese spoorwegruimte (PB L 343 van 14.12.2012, blz. 32).

(10)  Richtlijn 2002/59/EG van het Europees Parlement en de Raad van 27 juni 2002 betreffende de invoering van een communautair monitoring- en informatiesysteem voor de zeescheepvaart en tot intrekking van Richtlijn 93/75/EEG van de Raad (PB L 208 van 5.8.2002, blz. 10).

(11)  Gedelegeerde Verordening (EU) 2015/962 van de Commissie van 18 december 2014 ter aanvulling van Richtlijn 2010/40/EU van het Europees Parlement en de Raad wat de verlening van EU-wijde realtimeverkeersinformatiediensten betreft (PB L 157 van 23.6.2015, blz. 21).

(12)  Richtlijn 2010/40/EU van het Europees Parlement en de Raad van 7 juli 2010 betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen (PB L 207 van 6.8.2010, blz. 1).

(13)  Verordening (EG) nr. 1370/2007 van het Europees Parlement en de Raad van 23 oktober 2007 betreffende het openbaar personenvervoer per spoor en over de weg en tot intrekking van Verordening (EEG) nr. 1191/69 van de Raad en Verordening (EEG) nr. 1107/70 van de Raad (PB L 315 van 3.12.2007, blz. 1).

(14)  Richtlijn 2011/24/EU van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PB L 88 van 4.4.2011, blz. 45).

(15)  Verordening (EU) 2022/2371 van het Europees Parlement en de Raad van 23 november 2022 inzake ernstige grensoverschrijdende gezondheidsbedreigingen en tot intrekking van Besluit nr. 1082/2013/EU (PB L 314 van 6.12.2022, blz. 26).

(16)  Richtlijn 2001/83/EG van het Europees Parlement en de Raad van 6 november 2001 tot vaststelling van een communautair wetboek betreffende geneesmiddelen voor menselijk gebruik (PB L 311 van 28.11.2001, blz. 67).

(17)  Verordening (EU) 2022/123 van het Europees Parlement en de Raad van 25 januari 2022 betreffende een grotere rol van het Europees Geneesmiddelenbureau inzake crisisparaatheid en -beheersing op het gebied van geneesmiddelen en medische hulpmiddelen (PB L 20 van 31.1.2022, blz. 1).

(18)  Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad van 16 december 2020 betreffende de kwaliteit van voor menselijke consumptie bestemd water (PB L 435 van 23.12.2020, blz. 1).

(19)  Richtlijn 91/271/EEG van de Raad van 21 mei 1991 inzake de behandeling van stedelijk afvalwater (PB L 135 van 30.5.1991, blz. 40).

(20)  Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PB L 257 van 28.8.2014, blz. 73).

(21)  Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad van 11 december 2018 tot vaststelling van het Europees wetboek voor elektronische communicatie (PB L 321 van 17.12.2018, blz. 36).

(22)  Verordening (EG) nr. 178/2002 van het Europees Parlement en de Raad van 28 januari 2002 tot vaststelling van de algemene beginselen en voorschriften van de levensmiddelenwetgeving, tot oprichting van een Europese Autoriteit voor voedselveiligheid en tot vaststelling van procedures voor voedselveiligheidsaangelegenheden (PB L 31 van 1.2.2002, blz. 1).

---