BESLUIT (GBVB) 2019/797 VAN DE RAAD

van 17 mei 2019

betreffende beperkende maatregelen tegen cyberaanvallen die de Unie of haar lidstaten bedreigen

DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de Europese Unie, en met name artikel 29,

Gezien het voorstel van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid,

Overwegende hetgeen volgt:

Op 19 juni 2017 nam de Raad conclusies aan over een kader voor een gezamenlijke diplomatieke reactie op kwaadwillige cyberactiviteiten ("Instrumentarium voor cyberdiplomatie"), waarin de Raad zijn bezorgdheid uitte over de toegenomen capaciteit en bereidheid van staten en niet-statelijke actoren om hun doelstellingen te realiseren door middel van kwaadwillige cyberactiviteiten en wees op de groeiende behoefte aan bescherming van de integriteit en veiligheid van de Unie, haar lidstaten en haar burgers tegen cyberdreigingen en kwaadwillige cyberactiviteiten.

De Raad benadrukte dat een duidelijke boodschap over de te verwachten gevolgen van een gezamenlijke diplomatieke reactie van de Unie op dergelijke kwaadaardige cyberactiviteiten het gedrag van potentiële agressors in de cyberspace beïnvloedt, waardoor de veiligheid van de Unie en haar lidstaten wordt versterkt. De Raad bevestigde ook dat de maatregelen uit hoofde van het gemeenschappelijk buitenlands en veiligheidsbeleid (GBVB), met inbegrip van, indien nodig, beperkende maatregelen, vastgesteld conform de desbetreffende bepalingen van de Verdragen, geschikt zijn voor een kader voor een gezamenlijke diplomatieke reactie van de Unie op kwaadwillige cyberactiviteiten, met als doel de samenwerking te bevorderen, de beperking van bedreigingen op korte en lange termijn te vergemakkelijken en van invloed te zijn op het gedrag van potentiële agressors op lange termijn.

In de conclusies van de Raad van 16 april 2018 over kwaadwillige cyberactiviteiten werd het kwaadwillige gebruik van informatie- en communicatietechnologieën (ICT's) met klem veroordeeld en werd benadrukt dat het gebruik van ICT's voor kwaadwillige doeleinden onaanvaardbaar is, aangezien het de stabiliteit, de veiligheid en de voordelen van het internet en het gebruik van ICT's in de Unie ondermijnt. De Raad memoreerde dat het instrumentarium voor cyberdiplomatie bijdraagt tot conflictpreventie, samenwerking en stabiliteit in de cyberspace, met een beschrijving van de maatregelen binnen het GBVB, waaronder beperkende maatregelen, die kunnen worden ingezet om kwaadwillige cyberactiviteiten te voorkomen en erop te reageren. De Raad stelde dat de Unie erop zal blijven hameren dat het bestaande internationale recht toepasselijk is op de cyberspace, en benadrukte dat de inachtneming van het internationaal recht, met name het Handvest van de Verenigde Naties, van essentieel belang is voor het handhaven van vrede en stabiliteit. De Raad onderstreepte ook dat staten geen internationale onrechtmatige daden met informatie- en communicatietechnologieën mogen begaan via derden, en erop moeten trachten toe te zien dat hun grondgebied niet door niet-statelijke actoren wordt benut om dergelijke daden te plegen, zoals beschreven in het rapport van 2015 van de VN-groep van regeringsdeskundigen inzake ontwikkelingen op het gebied van informatie en telecommunicatie in de context van de internationale veiligheid.

Op 18 oktober 2018 nam de Europese Raad conclusies aan waarin werd gevraagd om de werkzaamheden voort te zetten in verband met de capaciteit om te reageren op cyberaanvallen en deze door middel van beperkende maatregelen van de Unie tegen te gaan, in aansluiting op de conclusies van de Raad van 19 juni 2017.

In dit verband wordt bij dit besluit een kader vastgesteld voor gerichte beperkende maatregelen als afschrikking tegen en reactie op cyberaanvallen met aanzienlijke gevolgen die een externe bedreiging vormen voor de Unie of haar lidstaten. Indien zulks nodig wordt geacht ter verwezenlijking van GBVB-doelstellingen die in de desbetreffende bepalingen van artikel 21 van het Verdrag betreffende de Europese Unie zijn vermeld, kunnen op basis van dit besluit tevens beperkende maatregelen worden toegepast als reactie op tegen derde staten of internationale organisaties gerichte cyberaanvallen met aanzienlijke gevolgen.

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

6. Indien nodig ter verwezenlijking van GBVB-doelstellingen die in de desbetreffende bepalingen van artikel 21 van het Verdrag betreffende de Europese Unie zijn vermeld, kunnen tevens beperkende maatregelen krachtens dit besluit worden toegepast in reactie op tegen derde staten of internationale organisaties gerichte cyberaanvallen met aanzienlijke gevolgen.

5. Cyberaanvallen die een bedreiging vormen voor de Unie omvatten die welke worden uitgevoerd tegen haar instellingen, organen en instanties, haar delegaties in derde landen of in internationale organisaties, haar operaties en missies in het kader van het gemeenschappelijk veiligheids- en defensiebeleid (GVDB) en haar speciale vertegenwoordigers.

de opslag of de verwerking van gerubriceerde informatie; of

kritieke functies van de staat, met name op het gebied van defensie, van het bestuur en het functioneren van instellingen, onder meer voor openbare verkiezingen of de kiesprocedure, van het functioneren van de economische en civiele infrastructuur, van de interne veiligheid, en de externe betrekkingen, onder meer via diplomatieke missies;

diensten die nodig zijn voor het in stand houden van essentiële sociale en / of economische activiteiten, met name in de sectoren energie (elektriciteit, olie en gas); vervoer (via de lucht, via het spoor, over water en over de weg); bankwezen; financiëlemarktinfrastructuren; gezondheidszorg (gezondheidszorgverleners, ziekenhuizen en privéklinieken); levering en distributie van drinkwater; digitale infrastructuur; en elke andere sector die voor de betrokken lidstaat van essentieel belang is;

kritieke infrastructuur, waaronder kabels onder zee en objecten die in de ruimte zijn gelanceerd, die van essentieel belang is voor het in stand houden van vitale functies van de maatschappij, of de gezondheid, veiligheid, beveiliging en het economische of sociale welzijn van mensen;

indien die acties niet door de eigenaar of een andere rechthebbende van het systeem of gegevens of een deel daarvan zijn toegelaten, of niet zijn toegestaan krachtens het recht van de Unie of de betrokken lidstaat.

worden uitgevoerd met de steun, op aanwijzing of onder zeggenschap van natuurlijke personen of rechtspersonen, entiteiten of lichamen die buiten de Unie actief zijn;

worden uitgevoerd door natuurlijke personen of rechtspersonen, entiteiten of lichamen die buiten de Unie zijn gevestigd of actief zijn; of

1. Dit besluit is van toepassing op cyberaanvallen met aanzienlijke gevolgen, met inbegrip van pogingen tot cyberaanvallen met potentieel aanzienlijke gevolgen, die een externe bedreiging vormen voor de Unie of haar lidstaten.

Artikel 2

Voor de toepassing van dit besluit wordt verstaan onder:

a) "informatiesystemen": apparaat of groep van onderling verbonden of samenhangende apparaten, waarvan er één of meer op grond van een programma automatisch digitale gegevens verwerken, alsmede de digitale gegevens die met dit apparaat of deze groep van apparaten worden opgeslagen, verwerkt, opgehaald of verzonden met het oog op de werking, het gebruik, de beveiliging en het onderhoud van het apparaat of van de groep van apparaten;

b) "verstoren van een informatiesysteem": ernstige obstructie of onderbreking van de werking van een informatiesysteem door het invoeren, doorgeven, beschadigen, wissen, aantasten, wijzigen of onderdrukken van digitale gegevens, of door deze gegevens ontoegankelijk te maken;

c) "verstoren van gegevens": het wissen, beschadigen, aantasten, wijzigen of onderdrukken van digitale gegevens in een informatiesysteem, of het ontoegankelijk maken van deze gegevens; hieronder valt ook diefstal van gegevens, tegoeden, economische middelen of intellectuele eigendom;

d) "onderscheppen van gegevens": onderschepping, met technische middelen, van niet-openbare transmissies van digitale gegevens naar, vanuit of binnen een informatiesysteem, met inbegrip van elektromagnetische emissies uit een informatiesysteem dat deze gegevens bevat.