GEZAMENLIJKE MEDEDELING AAN HET EUROPEES PARLEMENT EN DE RAAD

Verslag over de uitvoering van de EU-strategie inzake cyberbeveiliging voor het digitale tijdperk

I.Cyberveerkracht, operationele capaciteit en openheid essentiëler dan ooit

Cyberbeveiliging is onontbeerlijk voor de uitrol van slimmere en groenere technologie in de wereld na de pandemie. Ze is in het algemeen onmisbaar voor de veiligheid van de EU en is een pijler van de veiligheidsunie. Voor de sociale, politieke en economische ontwikkeling zijn technologische soevereiniteit en een wereldwijde, open en veilige cyberspace nodig, die gestoeld zijn op de rechtsstaat en op de eerbiediging van de mensenrechten en de fundamentele vrijheden. Dit was het belangrijkste uitgangspunt van de gezamenlijke mededeling van de Commissie en de hoge vertegenwoordiger voor buitenlandse zaken en veiligheidsbeleid over de EU-strategie inzake cyberbeveiliging voor het digitale tijdperk, die op 16 december 2020 is vastgesteld. Alle kritieke entiteiten zijn potentiële doelwitten van cyberaanvallen. De ontwikkelingen van de afgelopen zes maanden rechtvaardigen de nadruk die in de strategie wordt gelegd op het versnellen van de hervorming van de regelgeving, op investeringen en op een collectieve operationele reactie.

Door recente cyberaanvallen is gebleken dat met name ransomware en cyberspionage steeds alomtegenwoordiger zijn en een steeds groter risico vormen voor alle economische sectoren en voor de samenleving in het algemeen. De omvang van de incidenten is buitengewoon: honderdduizenden servers werden getroffen bij de cyberaanval op Microsoft Exchange; 18 000 organisaties zijn mogelijk getroffen door de SolarWinds Orion-campagne; bij de aanval met ransomware op de Ierse gezondheidszorg zijn gevoelige gegevens van honderden patiënten gestolen en werd de medische dienstverlening verstoord; er was brandstofnood en een massale gegevensdiefstal bij de cyberaanval op het factureringssysteem van Colonial Pipeline en de activiteiten van ‘s werelds grootste leverancier van rundvlees werden verstoord. Hoewel de volledige omvang van de schade nog niet bekend is, maakt elk incident duidelijk wat de mogelijke, verstrekkende gevolgen zijn van misbruik van zwakke plekken in ICT-producten, -diensten, -systemen en -netwerken. De impact en de frequentie van dergelijke cyberaanvallen zullen naar verwachting nog toenemen en onze veiligheid ondermijnen.

Het is daarom van essentieel belang dat de Europese Unie op alle fronten — wetgeving, operationele zaken, investeringen en diplomatie — sneller vooruitgang boekt, zoals in de strategie is uiteengezet. De voorstellen voor een richtlijn inzake maatregelen voor een hoog gemeenschappelijk cyberbeveiligingsniveau in de Unie (hierna “de NIB2-richtlijn” genoemd), voor een richtlijn betreffende de veerkracht van kritieke entiteiten, alsook voor een verordening en een richtlijn betreffende digitale operationele veerkracht, moeten zo snel mogelijk worden vastgesteld. Tegen deze achtergrond is een ambitieuze aanpak van essentieel belang, vooral wat betreft de toeleveringsketens, aangezien kwetsbaarheden tijdens recente cyberaanvallen terug te voeren waren op softwareleveranciers, en om maatregelen te nemen voor een betere veerkracht van overheidsdiensten en een snelle melding van incidenten. De noodzaak om een netwerk van operationele beveiligingscentra (Security Operations Centres of “SOC’s”) op te zetten voor de vroegtijdige detectie van signalen van cyberaanvallen is nu dringender dan ooit, net als de noodzaak om vanuit de EU en via de gezamenlijke cybereenheid een geloofwaardig, doeltreffend en collectief antwoord te bieden op grote incidenten, ook op operationeel niveau. Gezien de toename van cyberaanvallen door staten of door actoren die door staten worden gefinancierd, moet een verantwoord overheidsoptreden verder worden aangemoedigd binnen de Verenigde Naties, maar ook door middel van cyberdialogen en gestructureerde uitwisselingen met regionale organisaties, zoals de Afrikaanse Unie, het Regionaal Forum van de Asean, de Organisatie van Amerikaanse Staten (OAS) en de Organisatie voor Veiligheid en Samenwerking in Europa (OVSE), in combinatie met doeltreffende diplomatieke maatregelen om kwaadwillig gedrag in cyberspace te voorkomen, te ontmoedigen, af te schrikken en te bestrijden. De samenwerking met gelijkgestemde derde landen en de prioriteiten van de trans-Atlantische agenda zullen daarbij van bijzonder belang zijn. Zo moet met name de samenwerking tussen de EU en de VS rond specifieke aspecten van cyberbeveiliging verder worden verkend, onder meer wat betreft het delen van informatie en de strijd tegen ransomware.

II.Overzicht van de eerste zes maanden van de uitvoering

Enkele strategische acties bevinden zich al in een vergevorderd stadium.

II.1 Veerkracht, technologische soevereiniteit en leiderschap

Overal ter wereld lopen toeleveringsketens en kritieke infrastructuur, waaronder ziekenhuizen die vechten tegen de COVID-19-pandemie, nu voortdurend het risico op een cyberaanval. De Commissie steunt de medewetgevers zodat de voorgestelde hervorming van de NIS-richtlijn snel kan worden vastgesteld. Die zal de gezondheidssector een uitgebreidere bescherming bieden, met inbegrip van onderzoekslaboratoria en de productie van kritieke medische apparatuur en geneesmiddelen, en nieuwe activiteiten in de energiesector, zoals waterstofproductie, stadsverwarming, elektriciteitsproductie en centrale olievoorraden.

Op 20 mei 2021 is de Verordening tot oprichting van het kenniscentrum voor cyberbeveiliging en het netwerk van nationale coördinatiecentra vastgesteld. Die zal middelen van de EU, de lidstaten en de industrie bundelen om de technologische en industriële cyberbeveiligingscapaciteiten te verbeteren en uit te breiden. Op die manier wordt de open strategische autonomie van de EU versterkt en kan een deel van de cyberbeveiligingsactiviteiten, die worden gefinancierd in het kader van de programma’s Horizon Europa en Digitaal Europa, evenals de faciliteit voor herstel en veerkracht, worden geconsolideerd. Deze financieringsstromen zijn goed voor een totaalbedrag van 4,5 miljard EUR in de komende zes jaar. Hiermee wordt tegen 2023 de ontwikkeling van een EU-cyberschild voor de vroegtijdige opsporing van cyberaanvallen ondersteund, dat bestaat uit een netwerk van openbare of particuliere SOC’s, die gebruik zullen maken van instrumenten op basis van artificiële intelligentie. Verscheidene lidstaten hebben de ontwikkeling van dergelijke nationale centra opgenomen in hun respectieve plannen voor herstel en veerkracht. De Commissie zal deze inspanningen aanvullen door middelen uit het programma Digitaal Europa toe te wijzen en de gefaseerde verbinding ervan te ondersteunen. Via de financiële programma’s wordt ook het EuroQCI-initiatief ondersteund om een veilige infrastructuur voor kwantumcommunicatie uit te bouwen in de hele EU, met inbegrip van de overzeese gebieden, waarbij gebruik wordt gemaakt van de beste combinatie van technologieën op de grond en in de ruimte en van een specifiek begrotingsonderdeel om de cyberveerkracht in de gezondheidssector te ondersteunen.

Het garanderen van de cyberbeveiliging voor 5G is een continu proces dat gepaard zal gaan met de geleidelijke uitrol van 5G en met de uitvoering van de EU-toolbox voor 5G. De meeste lidstaten beschikken ondertussen al over kaders om passende beperkingen op te leggen aan 5G-leveranciers, of zullen dergelijke kaders binnenkort invoeren. De eisen die worden gesteld aan de exploitanten van mobiele netwerken worden aangescherpt door de omzetting van het wetboek voor elektronische communicatie, en het EU-agentschap voor cyberbeveiliging, Enisa, werkt aan een mogelijke EU-certificeringsregeling voor cyberbeveiliging voor 5G-netwerken. Gelet op de nieuwe trends en ontwikkelingen in de toeleveringsketen voor 5G hebben de autoriteiten van de lidstaten besloten om in het kader van de EU-toolbox een grondige analyse op te stellen van de gevolgen voor de veiligheid van open, gedesaggregeerde en interoperabele netwerkoplossingen (“Open RAN”). Het resultaat van deze inspanningen zal verder bijdragen tot de gecoördineerde aanpak van de EU inzake de beveiliging van 5G-netwerken.

Er zijn meer inspanningen nodig, met name via het actieplan voor digitaal onderwijs van de EU, om het enorme tekort aan vaardigheden aan te pakken dat naar verwachting tegen 2022 zal leiden tot bijna twee miljoen vacatures in de cyberbeveiligingssector wereldwijd die niet ingevuld zullen raken, waarvan 350 000 alleen al in Europa, maar ook om iets te doen aan de ernstige ondervertegenwoordiging van vrouwen. Zij maken wereldwijd slechts 11 % uit van de beroepsbevolking die werkt in cyberbeveiliging en in Europa ligt dat cijfer nog lager (7 %). Via andere lopende beleidsinspanningen worden toekomstige initiatieven voorbereid voor de beveiliging van het internet der dingen en, wat internetnormen betreft, de ontwikkeling van een non-profitdienst voor domeinnaamomzetting (“DNS4EU”).

II.2 Opbouwen van operationele capaciteit om te voorkomen, te ontmoedigen en te reageren

Gezien het stijgende aantal door staten georganiseerde of gefinancierde criminele aanvallen op netwerken en informatiesystemen, en het toenemende gebruik van databanken met gevoelige informatie, moeten de cybergemeenschappen in de EU nauwer met elkaar verbonden zijn. Zij moeten op een gecoördineerde manier reageren op de civiele, criminele, diplomatieke en defensieaspecten van de grootschalige cyberaanvallen waarmee veel gevoelige economische sectoren de laatste tijd te maken krijgen. Alle gemeenschappen moeten zich daarom inspannen om de vier stappen te voltooien die zijn uiteengezet in de aanbeveling van de Commissie inzake het opzetten van de gezamenlijke cybereenheid, die tegelijk met dit verslag is vastgesteld, als mechanisme voor de verdere coördinatie en het opvullen van lacunes in de reactie van de EU op cyberdreigingen. In de strijd tegen cybercriminaliteit werd politieke overeenstemming bereikt over de tijdelijke verordening ter bestrijding van seksueel misbruik van kinderen online, die binnenkort zal worden vastgesteld, en in de nieuwe strategie van de Commissie voor georganiseerde misdaad wordt de nadruk gelegd op de noodzaak om rechtshandhavingsinstanties uit te rusten met de digitale instrumenten die zij nodig hebben. De Commissie heeft in februari 2020 ook een actieplan voor synergieën tussen de civiele, de defensie- en de ruimtevaartindustrie vastgesteld, waarin een nieuw vlaggenschipproject wordt voorgesteld voor de totstandbrenging van een wereldwijd, in de ruimte gebaseerd en beveiligd EU-connectiviteitssysteem. Het streeft ernaar “iedereen in Europa toegang te geven tot snelle connectiviteit en een veerkrachtig connectiviteitssysteem te bieden dat Europa in staat stelt verbonden te blijven, ongeacht wat er gebeurt”.

Vanuit internationaal oogpunt en in lijn met de ambitie van het Strategisch Kompas werkt de hoge vertegenwoordiger momenteel aan de herziening van het beleidskader inzake cyberdefensie, dat in de tweede helft van 2021 aan de lidstaten moet worden voorgelegd. De hoge vertegenwoordiger heeft inspanningen geleverd om de EU beter in staat te stellen kwaadaardige cyberactiviteiten te voorkomen, te ontmoedigen, af te schrikken en erop te reageren, onder meer door de internationale samenwerking te versterken. Op 17 mei 2021 heeft de Europese Dienst voor extern optreden (EDEO), in samenwerking met het Portugese voorzitterschap en het Instituut voor veiligheidsstudies van de Europese Unie (EUISS), een op een scenario gebaseerde discussie met EU-lidstaten en internationale partners georganiseerd om het wederzijdse begrip van de respectieve diplomatieke benaderingen ter voorkoming, ontmoediging, afschrikking en bestrijding van kwaadaardige cyberactiviteiten te verbeteren, en om de mogelijkheden te verkennen voor een verdere versterking van de internationale samenwerking op dit gebied. Om het EU-instrumentarium voor cyberdiplomatie verder te versterken, trekt de EDEO lessen uit het verleden en kan zij de uitvoeringsrichtsnoeren van het kader voor een gemeenschappelijke diplomatieke EU-respons op kwaadwillige cyberactiviteiten herzien.

Zoals aangekondigd in de EU-strategie inzake cyberbeveiliging voor het digitale tijdperk laat de Commissie een studie uitvoeren om bewustmakingsinstrumenten te ontwikkelen die de paraatheid en weerbaarheid van EU-bedrijven tegen diefstal van intellectuele eigendom door cyberaanvallen verbeteren. De Commissie heeft ook de handhavingsacties met betrekking tot Richtlijn 2013/40/EU over aanvallen op informatiesystemen geïntensiveerd door in juni 2021 aanvullende inbreukprocedures in te leiden tegen verschillende lidstaten. De Commissie zal indien nodig verdere maatregelen overwegen. Ook de verbetering van de cyberbeveiligingsvaardigheden onder de beroepsbevolking van de EU zal van cruciaal belang zijn; het kenniscentrum voor cyberbeveiliging zal in dit verband kernactiviteiten ontplooien, met als doel de kennis en capaciteit te verbeteren en de ontwikkeling van interdisciplinaire vaardigheden op het gebied van cyberbeveiliging aan te moedigen.

II.3 Een wereldwijde en open cyberspace bevorderen

De diverse bedreigingen worden verder aangescherpt door de geopolitieke spanningen over het wereldwijde, open internet en over technologieën in de gehele toeleveringsketen. Beperkingen van en op het internet, de toename van kwaadwillige cyberactiviteiten en activiteiten die de veiligheid en de integriteit van ICT-producten en -diensten aantasten, vormen een bedreiging voor een wereldwijde en open cyberspace, maar ook voor de rechtsstaat, de mensenrechten, de fundamentele vrijheden en de democratische waarden. De hoge vertegenwoordiger werkt daarom samen met de lidstaten om ervoor te zorgen dat overheden zich verantwoordelijk gedragen in cyberspace, met name door samen met 53 andere mede-indieners een actieprogramma op te stellen op het niveau van de Verenigde Naties om verantwoordelijk overheidsgedrag te bevorderen. Dit programma bouwt voort op de aanbeveling van het consensusverslag van 12 maart 2021 van de Open Werkgroep van de Verenigde Naties inzake ontwikkelingen op het gebied van informatie en telecommunicatie in de context van de internationale veiligheid. De EU werkt aan de versterking en uitbreiding van de betrekkingen met derde landen, internationale en regionale organisaties en de gemeenschap van belanghebbenden via cyberdialogen, zoals uiteengezet in de strategie, door de oprichting van een EU-cyberdiplomatienetwerk. Tevens wordt de EU-raad voor de opbouw van cybercapaciteit opgericht, die de EU-instellingen, -organen en -agentschappen in staat stelt de externe inspanningen van de EU op het gebied van cybercapaciteitsopbouw beter te coördineren en op dit gebied samen te werken.