GEZAMENLIJKE MEDEDELING AAN HET EUROPEES PARLEMENT EN DE RAAD

De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk

I.INLEIDING: EEN CYBERCRIMINALITEITSBESTENDIGE DIGITALE TRANSFORMATIE IN EEN OMGEVING VAN COMPLEXE BEDREIGINGEN

Cyberbeveiliging vormt een wezenlijk onderdeel van de veiligheid van de Europeanen. Of het nu gaat om verbonden apparaten, elektriciteitsnetwerken, luchtvaartuigen, overheidsdiensten of ziekenhuizen die zij gebruiken of bezoeken, mensen moeten in de wetenschap kunnen verkeren dat zij steeds beschermd zijn tegen cyberdreigingen. De Europese economie, democratie en samenleving zijn meer dan ooit afhankelijk van veilige, betrouwbare digitale hulpmiddelen en connectiviteit. Cyberbeveiliging is dan ook van essentieel belang om een veerkrachtig, groen en digitaal Europa op te bouwen.

Vervoer, energie en gezondheid, telecommunicatie, financiën, veiligheid, democratische processen, ruimtevaart en defensie berusten in grote mate op netwerk- en informatiesystemen die steeds meer onderling verbonden zijn. Verschillende sectoren zijn sterk van elkaar afhankelijk omdat netwerk- en informatiesystemen voor hun werking op hun beurt afhankelijk zijn van een continue elektriciteitsvoorziening. Er zijn nu al meer verbonden apparaten dan er mensen zijn op deze planeet, en hun aantal zal naar verwachting stijgen tot 25 miljard in 2025: een kwart van deze apparaten zal zich in Europa bevinden. De digitalisering van arbeidspatronen is door de COVID-19-pandemie in een stroomversnelling terechtgekomen: 40 % van de werknemers in de EU is overgeschakeld op telewerk, en dit zal naar verwachting blijvende effecten hebben op het dagelijkse leven. Dit maakt ons kwetsbaarder voor cyberaanvallen. Verbonden voorwerpen worden vaak naar de consument verzonden met bekende zwakke plekken, die het aanvalsoppervlak voor kwaadwillige cyberactiviteiten verder vergroten. Het industriële landschap in de EU is steeds meer gedigitaliseerd en verbonden; dat betekent ook dat cyberaanvallen veel grotere gevolgen kunnen hebben voor bedrijfstakken en ecosystemen dan in het verleden.

De diverse bedreigingen worden verder aangescherpt door de geopolitieke spanningen over het mondiale, open internet en over de controle over technologieën in de gehele toeleveringsketen. Die spanningen komen tot uiting in het feit dat steeds meer natiestaten digitale grenzen opwerpen. Beperkingen van en voor het internet bedreigen de mondiale, open cyberspace, maar ook de rechtsstaat, de grondrechten, de vrijheid en de democratie – de kernwaarden van de EU. Cyberspace wordt steeds vaker misbruikt voor politieke en ideologische doeleinden, en de toenemende polarisering op internationaal niveau staat een doeltreffend multilateralisme in de weg. Hybride bedreigingen vormen een combinatie van desinformatiecampagnes en cyberaanvallen op infrastructuur, economische processen en democratische instellingen en kunnen zo fysieke schade berokkenen, op onrechtmatige wijze toegang krijgen tot persoonsgegevens, bedrijfs- of staatsgeheimen stelen, wantrouwen zaaien en de sociale samenhang verzwakken. Dergelijke activiteiten ondermijnen de internationale veiligheid en stabiliteit en de voordelen van cyberspace voor de economische, sociale en politieke ontwikkeling.

Kwaadwillige aanvallen op kritieke infrastructuur vormen ook een belangrijk risico wereldwijd. Het internet is gedecentraliseerd opgezet, het heeft geen centrale structuur en kent een multistakeholdergovernance. Het heeft exponentiële toenames van de verkeersvolumes weten op te vangen terwijl het voortdurend het doelwit was van kwaadwillige pogingen om de werking te verstoren. Tegelijkertijd worden de kernfuncties van het mondiale, open internet steeds meer bevraagd, zoals het Domain Name System (DNS) en essentiële internetdiensten voor communicatie en hosting, toepassingen en gegevens. Die diensten zijn steeds meer geconcentreerd bij een klein aantal particuliere bedrijven. Daardoor zijn de Europese economie en samenleving kwetsbaar voor verstorende geopolitieke of technische gebeurtenissen die de kern van het internet of een of meer van die bedrijven treffen. Door het toenemende gebruik van het internet en de veranderende patronen vanwege de pandemie is eens te meer gebleken hoe kwetsbaar toeleveringsketens zijn die van die digitale infrastructuur afhankelijk zijn.

Bezorgdheid over de veiligheid is een belangrijke ontmoedigende factor voor het gebruik van onlinediensten. Ongeveer twee vijfde van de gebruikers in de EU heeft beveiligingsproblemen ervaren en drie vijfde acht zich niet in staat om zichzelf te beschermen tegen cybercriminaliteit . Een derde heeft de afgelopen drie jaar frauduleuze e-mails of telefoontjes gekregen waarin om persoonsgegevens werd gevraagd, maar 83 % heeft nooit melding gemaakt van cybercriminaliteit. Een op acht bedrijven werd al getroffen door een cyberaanval . Meer dan de helft van de pc’s van bedrijven en consumenten die één keer met malware zijn geïnfecteerd, wordt binnen een jaar opnieuw geïnfecteerd. Elk jaar gaan honderden miljoenen gegevens verloren door gegevenslekken; de gemiddelde kosten van een lek voor een enkele onderneming stegen in 2018 tot meer dan 3,5 miljoen EUR . De effecten van een cyberaanval staan vaak niet alleen en kunnen een kettingreactie op gang brengen in de gehele economie en samenleving, die miljoenen individuen treft .

Het onderzoek naar nagenoeg alle soorten criminaliteit heeft een digitale component. In 2019 was het gemelde aantal incidenten verdrievoudigd in vergelijking met het jaar daarvoor. Het aantal nieuwe malwareprogramma’s – het vaakst gebruikte middel om een cyberaanval uit te voeren – wordt op 700 miljoen geraamd. De jaarlijkse kosten van cybercriminaliteit voor de wereldeconomie werden in 2020 op 5,5 biljoen EUR geraamd, twee keer zoveel als in 2015 . Dit komt neer op de grootste overdracht van economische rijkdom ooit, meer nog dan de mondiale drugshandel. Voor één groot incident, de aanval met de WannaCry-ransomware in 2017, werden de kosten voor de wereldeconomie op meer dan 6,5 miljoen EUR geraamd.

Digitale diensten en de financiële sector worden het vaakst het doelwit van cyberaanvallen, naast de publieke sector en de verwerkende sector, en toch blijft de cyberparaatheid bij bedrijven en individuen beperkt en zijn zij zich niet goed bewust van het probleem. Daarnaast is er een groot tekort aan cyberbeveiligingsvaardigheden bij de beroepsbevolking. In 2019 waren er 450 cyberbeveiligingsincidenten waarbij Europese kritieke infrastructuur betrokken was, zoals financiële infrastructuur of energie-infrastructuur. Gezondheidszorgorganisaties en -werkers werden tijdens de pandemie bijzonder zwaar getroffen. Nu technologie onlosmakelijk verbonden is met de fysieke wereld, brengen cyberaanvallen het leven en welzijn van de meest kwetsbaren in gevaar. Meer dan twee derde van de ondernemingen, in het bijzonder kmo’s, worden als “leken” op het gebied van cyberbeveiliging beschouwd, en Europese ondernemingen worden geacht minder goed voorbereid te zijn dan ondernemingen in Azië en Amerika . In Europa blijven naar schatting 291 000 functies voor cyberbeveiligingsprofessionals niet ingevuld. Het aanwerven en opleiden van cyberbeveiligingsdeskundigen is een langzaam proces dat meer cyberbeveiligingsrisico’s met zich brengt voor organisaties.

De EU beschikt niet over voldoende collectieve situationele kennis over cyberdreigingen. De reden daarvoor is dat nationale autoriteiten niet systematisch informatie verzamelen en delen – in tegenstelling tot de particuliere sector – die de staat van de cyberbeveiliging in de EU zou kunnen helpen beoordelen. Slechts een fractie van de incidenten wordt door de lidstaten gemeld, en informatie wordt niet systematisch of volledig gedeeld ; cyberaanvallen zijn mogelijk maar één facet van gecoördineerde kwaadwillige aanvallen op Europese samenlevingen. De wederzijdse operationele bijstand tussen de lidstaten is momenteel beperkt, en er zijn geen operationele mechanismen tussen de lidstaten en de instellingen, agentschappen en organen van de EU voor grootschalige, grensoverschrijdende cyberincidenten of crises.

Het is dan ook van essentieel belang om de cyberbeveiliging te verbeteren opdat mensen innovatie, connectiviteit en automatisering zouden vertrouwen en in hun voordeel zouden gebruiken en om de grondrechten en fundamentele vrijheden, waaronder het recht op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens, en de vrijheid van meningsuiting en van informatie te waarborgen. Cyberbeveiliging is absoluut noodzakelijk voor de netwerkconnectiviteit en het mondiale, open internet waarop de transformatie van de economie en de samenleving in de jaren 2020 gestoeld moet zijn. Zij draagt bij aan betere vaardigheden en banen, flexibelere werkplekken, efficiëntere en duurzamere landbouw en vervoer en een vlottere, billijkere toegang tot gezondheidsdiensten. Zij draagt ook bij aan de transitie naar schonere energie in het kader van de Europese Green Deal, via grensoverschrijdende netwerken en slimme meters en door onnodige dubbele opslag van gegevens te voorkomen. Tot slot is cyberbeveiliging van essentieel belang voor de internationale veiligheid en stabiliteit en voor de ontwikkeling van economieën, democratieën en samenlevingen wereldwijd. Regeringen, ondernemingen en individuen moeten digitale hulpmiddelen daarom op een verantwoordelijke, veiligheidsbewuste manier gebruiken. Het bewustzijn van en de aandacht voor cyberbeveiliging moeten aan de basis liggen van de digitale transformatie van dagelijkse bezigheden.

De nieuwe EU-strategie inzake cyberbeveiliging voor het digitale tijdperk vormt een cruciaal aspect van de digitale toekomst van Europa vormgeven, het herstelplan voor Europa van de Commissie, de strategie voor de veiligheidsunie 2020-2025, de integrale strategie voor het buitenlands en veiligheidsbeleid van de EU en de strategische agenda 2019-2024 van de Europese Raad. In de strategie is uiteengezet hoe de EU haar mensen, ondernemingen en instellingen zal beschermen tegen cyberdreigingen, hoe zij de internationale samenwerking zal bevorderen en hoe zij het voortouw zal nemen bij het beveiligen van een mondiaal en open internet.

II.MONDIAAL DENKEN, EUROPEES OPTREDEN

Deze strategie moet een mondiaal, open internet verzekeren, met duidelijke waarborgen om de risico’s voor de veiligheid en de grondrechten en fundamentele vrijheden van de mensen in Europa aan te pakken. De strategie bouwt voort op de vorderingen die zijn gemaakt bij de vorige strategieën en bevat concrete voorstellen voor de uitrol van drie belangrijke instrumenten – regelgevings-, investerings- en beleidsinstrumenten – om drie gebieden voor EU-actie aan te pakken – (1) veerkracht, technologische soevereiniteit en leiderschap, (2) de opbouw van operationele capaciteit om te voorkomen, af te schrikken en te reageren en (3) het bevorderen van een mondiale, open cyberspace. De EU is vastberaden om deze strategie te ondersteunen, via ongeziene investeringen in de digitale transitie van de EU gedurende de komende zeven jaar – het investeringsniveau zou wel vier keer zo hoog kunnen zijn als voordien – als onderdeel van het nieuwe technologie- en industriebeleid en de agenda voor herstel.

Cyberbeveiliging moet in al die digitale investeringen worden geïntegreerd, in het bijzonder in investeringen in sleuteltechnologieën zoals kunstmatige intelligentie (KI), versleuteling en kwantumcomputing, via stimulansen, verplichtingen en benchmarks. Dit kan de groei van de Europese cyberbeveiligingssector stimuleren en de nodige zekerheid bieden om de buitengebruikstelling van oude systemen te vergemakkelijken. Het Europees Defensiefonds (EDF) zal Europese cyberdefensie-oplossingen ondersteunen, als onderdeel van de Europese technologische en industriële defensiebasis. Cyberbeveiliging is opgenomen in externe financieringsinstrumenten om onze partners te ondersteunen, met name in het instrument voor nabuurschapsbeleid, ontwikkeling en internationale samenwerking. Door misbruik van technologieën te voorkomen, kritieke infrastructuur te beschermen en de integriteit van toeleveringsketens te verzekeren, kan de EU ook voldoen aan de normen, regels en beginselen inzake verantwoordelijk staatsgedrag van de VN.

1. VEERKRACHT, TECHNOLOGISCHE SOEVEREINITEIT EN LEIDERSCHAP

De kritieke infrastructuur en essentiële diensten van de EU zijn steeds meer van elkaar afhankelijk en steeds meer gedigitaliseerd. Alle op het internet aangesloten dingen in de EU, of het nu gaat om geautomatiseerde auto’s, industriële controlesystemen of huishoudelijke apparaten, en de hele toeleveringsketen om die dingen aan te bieden, moeten beveiligd zijn door hun ontwerp, bestand zijn tegen cyberincidenten en snel kunnen worden gepatcht als er zwakke plekken worden ontdekt. Dat is van fundamenteel belang om de particuliere en de publieke sector in de EU de mogelijkheid te bieden om te kiezen voor de veiligste infrastructuur en diensten. De komende tien jaar krijgt de EU de kans om de leiding te nemen in de ontwikkeling van veilige technologieën in de gehele toeleveringsketen. Om de veerkracht te verzekeren en de industriële en technologische capaciteit op het gebied van cyberbeveiliging te vergroten moeten alle nodige regelgevings-, investerings- en beleidsinstrumenten worden ingezet. Cyberbeveiliging door ontwerp voor industriële processen, activiteiten en apparaten kan de risico’s beperken en zou de kosten voor zowel ondernemingen als voor de ruimere samenleving kunnen drukken en zo de veerkracht kunnen vergroten.