EUROPESE COMMISSIE Brussel, 16.12.2020 COM(2020) 823 final 2020/0359(COD) Voorstel voor een RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie en tot intrekking van Richtlijn (EU) 2016/1148 (Voor de EER relevante tekst) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



TOELICHTING 1.CONTEXT VAN HET VOORSTEL •Redenen en doelstellingen van het voorstel Dit voorstel maakt deel uit van een pakket maatregelen om de veerkracht en de responscapaciteit bij incidenten van openbare en particuliere entiteiten, de bevoegde autoriteiten en de Unie als geheel op het gebied van cyberbeveiliging en de bescherming van kritieke infrastructuur verder te verbeteren. Het is in overeenstemming met de prioriteiten van de Commissie om Europa klaar te maken voor het digitale tijdperk en een economie op te bouwen die klaar is voor de toekomst en die werkt voor de mensen. Cyberbeveiliging is een prioriteit in de respons van de Commissie op de COVID-19-crisis. Het pakket omvat een nieuwe strategie inzake cyberbeveiliging met als doel de strategische autonomie van de Unie te versterken om haar veerkracht en collectieve respons te verbeteren en een open en mondiaal internet op te bouwen. Tot slot bevat het pakket een voorstel voor een richtlijn betreffende de veerkracht van kritieke aanbieders van essentiële diensten, die tot doel heeft de fysieke bedreigingen tegen dergelijke aanbieders te beperken. Dit voorstel bouwt voort op en strekt tot intrekking van Richtlijn (EU) 2016/1148 betreffende de beveiliging van netwerk- en informatiesystemen (NIS-richtlijn), die het eerste stuk EU-wetgeving over cyberbeveiliging is en voorziet in wettelijke maatregelen om het algemene niveau van cyberbeveiliging in de Unie te verhogen. De NIS-richtlijn heeft (1) bijgedragen aan de verbetering van de cyberbeveiligingscapaciteiten op nationaal niveau door de lidstaten te verplichten nationale cyberbeveiligingsstrategieën vast te stellen en cyberbeveiligingsautoriteiten aan te wijzen; (2) de samenwerking tussen de lidstaten op het niveau van de Unie versterkt door verschillende fora op te richten die de uitwisseling van strategische en operationele informatie vergemakkelijken; en (3) de cyberveerkracht van publieke en private entiteiten verbeterd in zeven specifieke sectoren (energie, vervoer, bankwezen, infrastructuur van de financiële markt, gezondheidszorg, drinkwatervoorziening en -distributie, en digitale infrastructuur) en bij drie digitale diensten (elektronische marktplaatsen, onlinezoekmachines en cloudcomputerdiensten) door van de lidstaten te eisen dat zij ervoor zorgen dat aanbieders van essentiële diensten en digitaledienstverleners cyberbeveiligingseisen stellen en incidenten melden. Het voorstel moderniseert het bestaande rechtskader, rekening houdend met de toegenomen digitalisering van de interne markt in de afgelopen jaren en een zich ontwikkelend bedreigingslandschap voor cyberbeveiliging. Beide ontwikkelingen zijn sinds het begin van de COVID-19-crisis verder versterkt. Het voorstel pakt ook een aantal zwakke punten aan die de NIS-richtlijn hebben belet haar volledige potentieel te ontsluiten. Niettegenstaande haar opmerkelijke verwezenlijkingen heeft de NIS-richtlijn, die de weg heeft vrijgemaakt voor een belangrijke verandering van de mentaliteit met betrekking tot de institutionele en regelgevende aanpak van cyberbeveiliging in veel lidstaten, ook haar beperkingen bewezen. De digitale transformatie van de maatschappij (nog versterkt door de COVID-19-crisis) heeft het bedreigingslandschap verruimd en leidt tot nieuwe uitdagingen, die een aangepaste, innovatieve reactie vereisen. Het aantal cyberaanvallen blijft toenemen, waarbij steeds geavanceerdere aanvallen uit een groot aantal bronnen binnen en buiten de EU komen. Bij de evaluatie van de werking van de NIS-richtlijn, die ten behoeve van de effectbeoordeling is uitgevoerd, zijn de volgende punten aan het licht gekomen: 1) de geringe mate van cyberveerkracht van bedrijven die actief zijn in de EU; 2) de inconsistente veerkracht binnen de lidstaten en sectoren; en 3) het lage niveau van gezamenlijk situationeel bewustzijn en het gebrek aan een gezamenlijke respons op een crisis. Zo vallen bepaalde grote ziekenhuizen in een lidstaat niet onder het toepassingsgebied van de NIS-richtlijn en zijn zij dus niet verplicht de daaruit voortvloeiende beveiligingsmaatregelen uit te voeren, terwijl in een andere lidstaat bijna elke zorgverlener in het land onder de beveiligingseisen voor netwerk- en informatiebeveiliging valt. Het voorstel is een initiatief in het kader van het programma voor gezonde regelgeving (REFIT) en heeft tot doel de regelgevingslast voor de bevoegde autoriteiten en de nalevingskosten voor openbare en particuliere entiteiten te verminderen. Dit wordt met name bereikt door het afschaffen van de verplichting voor de bevoegde autoriteiten om de aanbieders van essentiële diensten te identificeren en door het verhogen van het niveau van de harmonisatie van de beveiligings- en rapportage-eisen om de naleving van de regelgeving voor entiteiten die grensoverschrijdende diensten verlenen, te vergemakkelijken. Tegelijkertijd zullen de bevoegde autoriteiten ook een aantal nieuwe taken krijgen, waaronder het toezicht op entiteiten in sectoren die tot nu toe niet onder de NIS-richtlijn vielen. •Samenhang met bestaande beleidsbepalingen op het beleidsterrein Dit voorstel maakt deel uit van een breder pakket van bestaande rechtsinstrumenten en ophanden zijnde initiatieven op het niveau van de Unie die erop gericht zijn de veerkracht van openbare en particuliere entiteiten tegen bedreigingen te vergroten. Op het gebied van cyberbeveiliging gaat het met name om Richtlijn (EU) 2018/1972 tot vaststelling van het Europees wetboek voor elektronische communicatie (waarvan de bepalingen inzake cyberbeveiliging zullen worden vervangen door de bepalingen van het onderhavige voorstel) en om het voorstel voor een verordening betreffende digitale operationele veerkracht voor de financiële sector (COM(2020) 595 final), die als lex specialis van het onderhavige voorstel zal worden beschouwd zodra beide wetteksten in werking zijn getreden. Op het gebied van de fysieke beveiliging vormt het voorstel een aanvulling op het voorstel voor een richtlijn inzake de veerkracht van kritieke entiteiten, waarin Richtlijn 2008/114/EG inzake de identificatie van Europese kritieke infrastructuren, de aanmerking van infrastructuren als Europese kritieke infrastructuren en de beoordeling van de noodzaak de bescherming van dergelijke infrastructuren te verbeteren (ECI-richtlijn) wordt herzien, waarin een EU-procedure voor de identificatie van Europese kritieke infrastructuren en de aanmerking van infrastructuren als Europese kritieke infrastructuren wordt vastgesteld en waarin een aanpak voor de verbetering van de bescherming van dergelijke infrastructuren wordt uiteengezet. In juli 2020 heeft de Commissie de EU-strategie voor de veiligheidsunie goedgekeurd, waarin de toenemende interconnectie en onderlinge afhankelijkheid tussen fysieke en digitale infrastructuren wordt erkend. Zij benadrukte de noodzaak van een meer coherente en consistente aanpak tussen de ECI-richtlijn en Richtlijn (EU) 2016/1148 betreffende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de hele Unie. Het voorstel sluit dan ook nauw aan bij het voorstel voor een richtlijn betreffende de veerkracht van kritieke entiteiten, dat tot doel heeft de veerkracht van kritieke entiteiten tegen fysieke bedreigingen in een groot aantal sectoren te vergroten. Het voorstel heeft tot doel ervoor te zorgen dat de bevoegde autoriteiten in het kader van beide rechtshandelingen aanvullende maatregelen nemen en indien nodig informatie uitwisselen met betrekking tot cyber- en niet-cyberveerkracht, en dat met name kritieke aanbieders in de sectoren die volgens het onderhavige voorstel als “essentieel” worden beschouwd, ook onderworpen zijn aan meer algemene veerkrachtverhogende verplichtingen, met de nadruk op niet-cyberrisico’s. •Samenhang met ander beleid van de Unie Zoals uiteengezet in de mededeling “De digitale toekomst van Europa vormgeven” is het voor Europa van cruciaal belang om alle voordelen van het digitale tijdperk te benutten en zijn industrie en innovatiecapaciteit te versterken, binnen veilige en ethische grenzen. De Europese strategie voor gegevens bevat vier pijlers — gegevensbescherming, grondrechten, veiligheid en cyberbeveiliging — als essentiële voorwaarden voor een samenleving die zich verder ontwikkelt door gegevens te gebruiken. In een resolutie van 12 maart 2019 heeft het Europees Parlement de “[…] de Commissie [verzocht] na te gaan of het nodig is het toepassingsgebied van de NIS-richtlijn verder uit te breiden naar andere kritieke sectoren en diensten die niet onder sectorspecifieke wetgeving vallen”. In zijn conclusies van 9 juni 2020 was de Raad ingenomen “[...] met de plannen van de Commissie om voor consistente regels voor marktdeelnemers te zorgen en beveiligde, robuuste en adequate informatie-uitwisseling over dreigingen en incidenten te faciliteren, onder meer door een evaluatie van de richtlijn inzake de beveiliging van netwerk- en informatiesystemen (NIS-richtlijn), zodat kan worden gezocht naar opties voor een betere cyberweerbaarheid en een effectievere respons op cyberaanvallen, met name voor essentiële economische en maatschappelijke activiteiten, met inachtneming van de bevoegdheden van de lidstaten, waaronder de verantwoordelijkheid voor hun nationale veiligheid”. Voorts laat de voorgestelde rechtshandeling de toepassing van de mededingingsregels van het Verdrag betreffende de werking van de Europese Unie (VWEU) onverlet.

Aangezien een significant deel van de cyberbeveiligingsbedreigingen hun oorsprong vinden buiten de EU, is een coherente aanpak van de internationale samenwerking nodig. Deze richtlijn vormt een referentiemodel dat moet worden bevorderd in het kader van de samenwerking van de EU met derde landen, met name bij het verlenen van externe technische bijstand. 2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID •Rechtsgrondslag De rechtsgrondslag voor de NIS-richtlijn is artikel 114 van het Verdrag betreffende de werking van de Europese Unie, dat tot doel heeft de interne markt tot stand te brengen en te laten functioneren door de maatregelen voor de onderlinge aanpassing van de nationale regels te versterken. Zoals het Hof van Justitie van de EU in zijn arrest in zaak C-58/08 Vodafone e.a. heeft geoordeeld, is de toepassing van artikel 114 VWEU gerechtvaardigd wanneer er verschillen zijn tussen de nationale voorschriften die rechtstreeks van invloed zijn op de werking van de interne markt. Het Hof heeft ook geoordeeld dat wanneer een op artikel 114 VWEU gebaseerde handeling reeds elke handelsbelemmering op het door haar geharmoniseerde gebied heeft weggenomen, de Uniewetgever niet de mogelijkheid kan worden ontzegd om die handeling aan te passen aan elke wijziging van de omstandigheden of ontwikkeling van de kennis in het licht van zijn door het Verdrag erkende taak om de algemene belangen te vrijwaren. Ten slotte heeft het Hof geoordeeld dat de maatregelen voor de in artikel 114 VWEU bedoelde onderlinge aanpassing bedoeld zijn om, afhankelijk van de algemene context en de specifieke omstandigheden van de te harmoniseren materie, een beoordelingsmarge te laten ten aanzien van de methode van onderlinge aanpassing die het meest geschikt is om het gewenste resultaat te bereiken. De voorgestelde wetshandeling zou de belemmeringen voor de totstandbrenging en de werking van de interne markt voor essentiële en belangrijke entiteiten wegnemen en verbeteren door duidelijke, algemeen toepasselijke regels vast te stellen over het toepassingsgebied van de NIS-richtlijn en de regels die van toepassing zijn op het gebied van het beheer van risico’s inzake cyberbeveiliging en de rapportage van incidenten te harmoniseren. De huidige verschillen op dit gebied, op zowel wetgevend en toezichthoudend niveau als op nationaal en EU-niveau, zijn belemmeringen voor de interne markt omdat entiteiten die grensoverschrijdende activiteiten ontplooien, te maken hebben met verschillende en mogelijk overlappende regelgevingsvereisten en/of de toepassing daarvan, hetgeen ten koste gaat van de uitoefening van hun vrijheid van vestiging en van dienstverlening. Verschillende regels hebben ook een negatief effect op de concurrentievoorwaarden in de interne markt wanneer het gaat om entiteiten van hetzelfde type in verschillende lidstaten. •Subsidiariteit (voor niet-exclusieve bevoegdheid) Cyberbeveiligingsveerkracht in de hele Unie kan niet effectief zijn als deze op een ongelijke manier wordt benaderd via nationale of regionale silo’s. De NIS-richtlijn heeft deze tekortkoming gedeeltelijk verholpen door een kader voor de beveiliging van netwerk- en informatiesystemen op nationaal en Unieniveau vast te stellen. Bij de omzetting en uitvoering van de richtlijn zijn echter ook inherente tekortkomingen en beperkingen van bepaalde bepalingen of benaderingen aan het licht gekomen, zoals de onduidelijke afbakening van het toepassingsgebied van de richtlijn, wat leidt tot aanzienlijke verschillen in de omvang en diepgang van het feitelijke EU-optreden op het niveau van de lidstaten. Bovendien is de Europese economie sinds de COVID-19-crisis nog afhankelijker geworden van netwerk- en informatiesystemen dan ooit tevoren en zijn sectoren en diensten steeds meer met elkaar verbonden. Het optreden van de EU dat verder gaat dan de huidige maatregelen van de NIS-richtlijn is vooral gerechtvaardigd door: (i) het in toenemende mate grensoverschrijdende karakter van de bedreigingen en uitdagingen op het gebied van netwerk- en informatiebeveiliging; (ii) het potentieel van het optreden van de Unie om doeltreffend en gecoördineerd nationaal beleid te verbeteren en te vergemakkelijken; en (iii) de bijdrage van gecoördineerde en gezamenlijke beleidsacties aan een doeltreffende bescherming van de gegevensbescherming en de persoonlijke levenssfeer. •Evenredigheid De in deze richtlijn voorgestelde regels gaan niet verder dan wat nodig is om de specifieke doelstellingen op bevredigende wijze te verwezenlijken. De beoogde afstemming en stroomlijning van de beveiligingsmaatregelen en de rapportageverplichtingen hebben betrekking op de verzoeken van de lidstaten en het bedrijfsleven om het huidige kader te verbeteren. Het voorstel houdt rekening met de reeds bestaande praktijken in de lidstaten. Een hoger beschermingsniveau dat door dergelijke gestroomlijnde en gecoördineerde eisen wordt bereikt, staat in verhouding tot de steeds grotere risico’s die worden gelopen, met inbegrip van de risico’s met een grensoverschrijdend element; zij zijn redelijk en komen over het algemeen overeen met het belang dat de betrokken entiteiten hebben bij het waarborgen van de continuïteit en de kwaliteit van hun diensten. De kosten voor het waarborgen van systematische samenwerking tussen de lidstaten zouden niet opwegen tegen de economische en maatschappelijke verliezen en schade die door cyberbeveiligingsincidenten worden veroorzaakt. Bovendien blijkt uit de raadplegingen van belanghebbenden in het kader van de herziening van de NIS-richtlijn, met inbegrip van de resultaten van de openbare raadpleging en de gerichte enquêtes, dat de herziening van de NIS-richtlijn in de bovengenoemde zin wordt gesteund. •Keuze van het instrument Het voorstel zal de verplichtingen voor het bedrijfsleven verder stroomlijnen en zorgen voor een hoger niveau van harmonisatie. Tegelijkertijd beoogt het voorstel de lidstaten de nodige flexibiliteit te bieden om rekening te houden met specifieke nationale kenmerken (zoals de mogelijkheid om aanvullende essentiële of belangrijke entiteiten te identificeren die verder gaan dan het in de rechtshandeling vastgestelde basisniveau). Het toekomstige rechtsinstrument moet daarom een richtlijn zijn, aangezien dit rechtsinstrument een gerichte verbeterde harmonisatie en een zekere mate van flexibiliteit voor de bevoegde autoriteiten mogelijk maakt. 3.RESULTATEN VAN EVALUATIES ACHTERAF, RAADPLEGINGEN VAN BELANGHEBBENDEN EN EFFECTBEOORDELINGEN •Evaluaties/geschiktheidscontroles achteraf van bestaande wetgeving De Commissie heeft de werking van de NIS-richtlijn geëvalueerd. Zij heeft de relevantie, de toegevoegde waarde voor de EU, de samenhang, de doeltreffendheid en de efficiëntie ervan geanalyseerd. De belangrijkste bevindingen van deze analyse zijn: ·Het toepassingsgebied van de NIS-richtlijn is te beperkt wat betreft de sectoren die onder de richtlijn vallen, voornamelijk als gevolg daarvan: (i) de toegenomen digitalisering in de afgelopen jaren en een hogere mate van onderlinge verbondenheid, (ii) het toepassingsgebied van de NIS-richtlijn dat niet langer alle gedigitaliseerde sectoren die essentiële diensten aan de economie en de samenleving als geheel leveren, weerspiegelt. ·De NIS-richtlijn is niet duidelijk genoeg als het gaat om het toepassingsgebied voor aanbieders van essentiële diensten en de bepalingen ervan bieden onvoldoende duidelijkheid over de nationale bevoegdheid voor digitaledienstverleners. Dit heeft geleid tot een situatie waarin bepaalde soorten entiteiten niet in alle lidstaten zijn geïdentificeerd en dus niet verplicht zijn om beveiligingsmaatregelen te treffen en incidenten te melden. ·De NIS-richtlijn liet de lidstaten een ruime beoordelingsmarge bij het vaststellen van de eisen inzake beveiliging en het melden van incidenten voor aanbieders van essentiële diensten. Uit de evaluatie blijkt dat de lidstaten deze eisen in sommige gevallen op sterk uiteenlopende wijze hebben uitgevoerd, wat een extra belasting vormt voor bedrijven die in meer dan één lidstaat actief zijn. ·Het toezichts- en handhavingsregime van de NIS-richtlijn is ondoeltreffend. De lidstaten zijn bijvoorbeeld zeer terughoudend geweest in het opleggen van sancties aan entiteiten die geen beveiligingseisen stellen of incidenten melden. Dit kan negatieve gevolgen hebben voor de cyberveerkracht van individuele entiteiten.

·De financiële en personele middelen die de lidstaten opzijzetten voor het vervullen van hun taken (zoals de identificatie van of het toezicht op de aanbieders van essentiële diensten), en bijgevolg de verschillende niveaus van rijpheid bij het omgaan met cyberbeveiligingsrisico’s, lopen sterk uiteen. Dit vergroot de verschillen in cyberveerkracht tussen de lidstaten nog meer. ·De lidstaten delen niet systematisch informatie met elkaar, wat met name negatieve gevolgen heeft voor de effectiviteit van de cyberbeveiligingsmaatregelen en voor het niveau van gezamenlijk situationeel bewustzijn op EU-niveau. Dit is ook het geval voor de uitwisseling van informatie tussen particuliere entiteiten en voor de betrokkenheid van de samenwerkingsstructuren op EU-niveau en particuliere entiteiten. •Raadpleging van belanghebbenden De Commissie heeft een breed scala aan belanghebbenden geraadpleegd. De lidstaten en belanghebbenden zijn uitgenodigd om deel te nemen aan de openbare raadpleging en aan de door Wavestone, CEPS en ICF georganiseerde enquêtes en workshops, die door de Commissie zijn gecontracteerd om een studie uit te voeren ter ondersteuning van de herziening van de NIS-richtlijn. De geraadpleegde belanghebbenden waren onder meer bevoegde autoriteiten, organen van de Unie die zich bezighouden met cyberbeveiliging, aanbieders van essentiële diensten, digitaledienstverleners, entiteiten die diensten verlenen die buiten het toepassingsgebied van de huidige NIS-richtlijn vallen, beroepsverenigingen en consumentenorganisaties en burgers. Bovendien heeft de Commissie voortdurend contact gehad met de bevoegde instanties die belast zijn met de uitvoering van de NIS-richtlijn. De samenwerkingsgroep heeft zich uitgebreid beziggehouden met diverse transversale en sectorale uitvoeringsaspecten. Ten slotte heeft de Commissie tijdens haar NIS-landenbezoeken in 2019 en 2020 154 openbare en particuliere entiteiten en 117 bevoegde autoriteiten geïnterviewd. •Bijeenbrengen en benutten van expertise De Commissie heeft een consortium van Wavestone, CEPS en ICF gecontracteerd om de Commissie te ondersteunen bij de herziening van de NIS-richtlijn. De contractant heeft niet alleen de belanghebbenden die rechtstreeks te maken hebben met de NIS-richtlijn bereikt door middel van doelgerichte enquêtes en workshops, maar heeft ook overleg gepleegd met een breed scala aan deskundigen op het gebied van cyberbeveiliging, zoals onderzoekers op het gebied van cyberbeveiliging en professionals uit de cyberbeveiligingsindustrie. •Effectbeoordeling Dit voorstel gaat vergezeld van een effectbeoordeling, die op 23 oktober 2020 is voorgelegd aan de Raad voor regelgevingstoetsing (“Regulatory Scrutiny Board” — RSB) en op 20 november 2020 een positief advies met opmerkingen van de RSB heeft ontvangen. De RSB heeft met het oog hierop op sommige punten verbeteringen aanbevolen: (1) de rol van grensoverschrijdende overloopeffecten in de probleemanalyse beter weergeven; (2) beter uitleggen hoe het succes van het initiatief eruit zou zien; (3) de lijst van beleidsopties verder motiveren; (4) de kosten van de voorgestelde maatregelen verder uitwerken. De effectbeoordeling werd aangepast om rekening te houden met deze punten en met meer gedetailleerde opmerkingen van de RSB. Zij bevat nu meer gedetailleerde uitleg over de rol van grensoverschrijdende overloopeffecten op het gebied van cyberbeveiliging, een duidelijker overzicht van hoe succes kan worden gemeten, een meer gedetailleerde uitleg over het opzet en de logica van de verschillende beleidsopties en acties die binnen deze opties worden overwogen, een meer gedetailleerde uitleg over de aspecten die zijn geanalyseerd in verband met het sectorale toepassingsgebied van de NIS-richtlijn en verdere verduidelijkingen met betrekking tot de kosten. De Commissie heeft een aantal beleidsopties overwogen om het rechtskader op het gebied van cyberveerkracht en incidentrespons te verbeteren: ·“Niets doen”: De NIS-richtlijn blijft ongewijzigd en er worden geen andere maatregelen van niet-wetgevende aard genomen om de bij de evaluatie van de NIS-richtlijn vastgestelde problemen aan te pakken. ·Optie 1: er zouden geen veranderingen zijn op het niveau van de wetgeving. In plaats daarvan zou de Commissie, na raadpleging van de samenwerkingsgroep, het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) en, indien van toepassing, het netwerk van computer security incident response teams (CSIRT’s), aanbevelingen en richtsnoeren uitvaardigen (zoals over de identificatie van aanbieders van essentiële diensten, beveiligingseisen, procedures voor het melden van incidenten en toezicht). ·Optie 2: deze optie houdt gerichte wijzigingen van de NIS-richtlijn in, waaronder een uitbreiding van het toepassingsgebied en diverse andere wijzigingen die erop gericht zijn bepaalde onmiddellijke oplossingen voor de geconstateerde problemen te garanderen en meer duidelijkheid en verdere harmonisatie te bieden (zoals bepalingen om de identificatiedrempels te harmoniseren). In de gewijzigde NIS-richtlijn worden echter de belangrijkste bouwstenen, de aanpak en de motivering gehandhaafd. ·Optie 3: dit scenario houdt systematische en structurele wijzigingen van de NIS-richtlijn in (door middel van een nieuwe richtlijn) die een meer fundamentele verschuiving in de aanpak inhouden naar een breder segment van de economieën in de hele Unie, maar met een meer gericht toezicht op grote en belangrijke spelers. Het zou ook de verplichtingen voor bedrijven stroomlijnen en zorgen voor een hoger niveau van harmonisatie, een effectiever kader voor operationele aspecten creëren en een duidelijke grondslag leggen voor meer gedeelde verantwoordelijkheden en verantwoordingsplicht van verschillende belanghebbenden met betrekking tot cyberbeveiligingsmaatregelen. De conclusie van de effectbeoordeling is dat de voorkeur uitgaat naar de derde optie (d.w.z. systemische en structurele wijzigingen van het kader voor netwerk- en informatiebeveiliging). Wat de doeltreffendheid betreft, zou de voorkeursoptie duidelijk het toepassingsgebied van de NIS-richtlijn bepalen, dat wordt uitgebreid tot een meer representatief deel van de economieën en samenlevingen in de EU, en de eisen stroomlijnen, samen met een meer gedefinieerd kader voor toezicht en handhaving dat gericht is op het verhogen van het nalevingsniveau. Dit houdt ook maatregelen in die gericht zijn op het verbeteren van de beleidsvorming op het niveau van de lidstaten en het veranderen van het paradigma daarvan, het bevorderen van nieuwe kaders voor risicobeheer van leveranciersrelaties en het coördineren van de bekendmaking van de kwetsbaarheid. Tegelijkertijd legt de voorkeursoptie een duidelijke grondslag voor gedeelde verantwoordelijkheden en verantwoordingsplicht en voorziet zij in mechanismen om meer vertrouwen tussen de lidstaten, zowel de autoriteiten als het bedrijfsleven, te bevorderen, het delen van informatie te stimuleren en te zorgen voor een meer operationele aanpak, zoals de mechanismen voor wederzijdse bijstand en intercollegiale toetsing. Deze optie zou ook voorzien in een EU-kader voor crisisbeheer, voortbouwend op het onlangs gelanceerde operationele netwerk van de EU, en zou ervoor zorgen dat het Enisa, binnen zijn huidige mandaat, meer betrokken is bij het houden van een accuraat overzicht van de cyberbeveiligingstoestand van de Unie. Wat de efficiëntie betreft, zou de voorkeursoptie weliswaar extra nalevings- en handhavingskosten voor het bedrijfsleven en de lidstaten met zich meebrengen, maar zij zou ook leiden tot efficiënte trade-offs en synergieën, waarbij het beste potentieel van alle geanalyseerde beleidsopties wordt benut om te zorgen voor een groter en consistent niveau van cyberveerkracht van de belangrijkste entiteiten in de hele Unie, wat uiteindelijk zou leiden tot kostenbesparingen voor zowel het bedrijfsleven als de samenleving. Deze beleidsoptie zou bepaalde extra administratieve lasten en nalevingskosten voor de autoriteiten van de lidstaten met zich meebrengen. Per saldo zou het echter op middellange en lange termijn ook aanzienlijke voordelen opleveren door meer samenwerking tussen de lidstaten, ook op operationeel niveau, en door het stimuleren van een algemene toename van de cyberbeveiligingscapaciteiten op nationaal en regionaal niveau via wederzijdse bijstand, mechanismen voor collegiale toetsing en een beter overzicht van en interactie met belangrijke bedrijven. De voorkeursbeleidsoptie zou ook in hoge mate zorgen voor samenhang met andere wetgeving, initiatieven of beleidsmaatregelen, met inbegrip van sectorspecifieke lex specialis. Het aanpakken van de huidige ontoereikendheid van de paraatheid op het gebied van cyberbeveiliging op het niveau van de lidstaten en op het niveau van de bedrijven en andere organisaties zou kunnen leiden tot efficiëntiewinst en tot vermindering van de extra kosten die voortvloeien uit cyberbeveiligingsincidenten. ·Voor essentiële en belangrijke entiteiten zou het verhogen van de paraatheid op het gebied van cyberbeveiliging kunnen leiden tot een beperking van het potentiële verlies aan inkomsten als gevolg van verstoringen — onder meer door industriële spionage — en zou het de grote uitgaven voor een ad-hocbedreiging kunnen verminderen. Dergelijke winsten zullen waarschijnlijk opwegen tegen de noodzakelijke investeringskosten. De versnippering van de interne markt verminderen zou ook het gelijke speelveld tussen de aanbieders verbeteren. ·Voor de lidstaten zou dit het risico van toenemende begrotingsuitgaven voor het verminderen van ad-hocbedreigingen en extra kosten in geval van noodsituaties in verband met cyberbeveiligingsincidenten verder kunnen verminderen. ·Voor burgers zal het aanpakken van cyberbeveiligingsincidenten naar verwachting leiden tot minder inkomensverlies als gevolg van economische ontwrichting.

De toegenomen cyberbeveiliging in de lidstaten en het vermogen van bedrijven en autoriteiten om snel te reageren op een incident en de gevolgen ervan te beperken, zullen hoogstwaarschijnlijk leiden tot een toename van het algemene vertrouwen van de burgers in de digitale economie, wat een positief effect zou kunnen hebben op de groei en de investeringen. Het verhogen van het algemene niveau van cyberbeveiliging zal waarschijnlijk leiden tot een verhoogde algemene beveiliging en tot een soepele en ononderbroken werking van essentiële diensten, die kritiek zijn voor de samenleving. Het initiatief kan ook bijdragen tot andere sociale gevolgen, zoals minder cybercriminaliteit en terrorisme en meer civiele bescherming. Het verhogen van het niveau van cyberparaatheid voor bedrijven en andere organisaties kan potentiële financiële verliezen als gevolg van cyberaanvallen voorkomen, waardoor de noodzaak om werknemers te ontslaan, wordt voorkomen. Een verhoging van het algemene cyberbeveiligingsniveau zou ook kunnen leiden tot het voorkomen van omgevingsrisico’s/schade in geval van een aanval op een essentiële dienst. Dit kan met name gelden voor de sectoren energie, watervoorziening en distributie of vervoer. Door de cyberbeveiligingscapaciteiten te versterken, zou het initiatief ertoe kunnen leiden dat er meer gebruik wordt gemaakt van ICT-infrastructuren en -diensten van de nieuwste generatie die ook uit milieu-oogpunt duurzamer zijn, en dat inefficiënte en minder veilige legacy-infrastructuren worden vervangen. Dit zal naar verwachting ook bijdragen aan het verminderen van het aantal dure cyberincidenten, waardoor er middelen vrijkomen voor duurzame investeringen. •Regelgevende geschiktheid en vereenvoudiging Het voorstel voorziet in een algemene uitsluiting van micro- en kleine entiteiten van het NIB-toepassingsgebied en in een lichtere regeling voor toezicht achteraf, die van toepassing is op een groot aantal van de nieuwe entiteiten die onder het herziene toepassingsgebied vallen (de zogenaamde belangrijke entiteiten). Deze maatregelen hebben tot doel de lasten voor ondernemingen en overheidsdiensten tot een minimum te beperken en in evenwicht te brengen. Bovendien vervangt het voorstel het complexe identificatiesysteem voor aanbieders van essentiële diensten door een algemeen geldende verplichting en voert het een hoger niveau van harmonisatie van de beveiligings- en rapportageverplichtingen in, waardoor de nalevingslast zou afnemen, met name voor entiteiten die grensoverschrijdende diensten verlenen. Het voorstel beperkt de nalevingskosten voor kleine en middelgrote ondernemingen (kmo’s) tot een minimum, aangezien de entiteiten alleen die maatregelen hoeven te nemen die nodig zijn om een niveau van beveiliging van de netwerk- en informatiesystemen te waarborgen dat is afgestemd op het aanwezige risico. •Grondrechten De EU heeft zich ertoe verbonden hoge normen voor de bescherming van de grondrechten te waarborgen. Alle vrijwillige regelingen voor de uitwisseling van informatie tussen entiteiten die deze richtlijn bevordert, zouden worden uitgevoerd in een betrouwbare omgeving met volledige inachtneming van de gegevensbeschermingsregels van de Unie, met name Verordening (EU) 2016/679 van het Europees Parlement en de Raad. 4.GEVOLGEN VOOR DE BEGROTING Zie financiële fiche 5.ANDERE ELEMENTEN •Uitvoeringsplannen en regelingen voor toezicht, evaluatie en rapportage Het voorstel bevat een algemeen plan voor het toezicht op en de evaluatie van de gevolgen op de specifieke doelstellingen, waarbij de Commissie ten minste [54 maanden] na de datum van inwerkingtreding een evaluatie moet uitvoeren en aan het Europees Parlement en de Raad verslag moet uitbrengen over haar belangrijkste bevindingen. De herziening moet worden uitgevoerd overeenkomstig de richtsnoeren voor betere regelgeving van de Commissie. •Gedetailleerde toelichting bij de specifieke bepalingen van het voorstel Het voorstel is opgebouwd rond verschillende belangrijke beleidsgebieden, die onderling verband houden en tot doel hebben het niveau van de cyberbeveiliging in de Unie te verhogen. Onderwerp en toepassingsgebied (artikel 1 en artikel 2) De richtlijn bepaalt in het bijzonder: a) dat de lidstaten een nationale strategie voor cyberbeveiliging moeten vaststellen en bevoegde nationale autoriteiten, centrale contactpunten en CSIRT’s moeten aanwijzen; b) dat de lidstaten verplichtingen inzake risicobeheer en rapportage op het gebied van cyberbeveiliging moeten vaststellen voor entiteiten die in bijlage I essentiële entiteiten worden genoemd en in bijlage II belangrijke entiteiten; c) dat de lidstaten verplichtingen moeten vaststellen inzake het delen van informatie op het gebied van cyberbeveiliging. Zij is van toepassing op bepaalde openbare of particuliere essentiële entiteiten die actief zijn in de in bijlage I genoemde sectoren (energie; vervoer; bankwezen; financiëlemarktinfrastructuren; gezondheidszorg, drinkwater; afvalwater; digitale infrastructuur; openbaar bestuur en ruimtevaart) en bepaalde belangrijke entiteiten die actief zijn in de in bijlage II genoemde sectoren (post- en koeriersdiensten; afvalbeheer; vervaardiging, productie en distributie van chemische stoffen; voedingsproductie, -verwerking en -distributie; verwerkende industrie en digitale aanbieders). Micro- en kleine entiteiten in de zin van Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 zijn uitgesloten van het toepassingsgebied van de richtlijn, met uitzondering van aanbieders van elektronische-communicatienetwerken of van openbare elektronische-communicatiediensten, aanbieders van vertrouwensdiensten, registers voor topleveldomeinnamen en overheidsdiensten, en bepaalde andere entiteiten, zoals de enige aanbieder van een dienst in een lidstaat. Nationale kaders voor cyberbeveiliging (artikelen 5 tot en met 11)

De lidstaten moeten een nationale strategie voor cyberbeveiliging vaststellen waarin de strategische doelstellingen en passende beleids- en regelgevingsmaatregelen worden gedefinieerd om een hoog niveau van cyberbeveiliging te bereiken en te handhaven. De richtlijn stelt ook een kader vast voor de gecoördineerde bekendmaking van de kwetsbaarheid en verplicht de lidstaten de CSIRT’s aan te wijzen als betrouwbare tussenpersonen en de interactie tussen de rapporterende entiteiten en de fabrikanten of aanbieders van ICT-producten en ICT-diensten te vergemakkelijken. Het Enisa is verplicht een Europees kwetsbaarheidsregister te ontwikkelen en bij te houden voor de ontdekte kwetsbaarheden. De lidstaten moeten nationale kaders voor crisisbeheersing op het gebied van cyberbeveiliging opzetten, onder meer door nationale bevoegde autoriteiten aan te wijzen die verantwoordelijk zijn voor het beheer van grootschalige cyberbeveiligingsincidenten en -crises. De lidstaten moeten ook een of meer nationale bevoegde autoriteiten op het gebied van cyberbeveiliging aanwijzen voor de toezichthoudende taken in het kader van deze richtlijn en een nationaal centraal contactpunt voor cyberbeveiliging (SPOC) aanwijzen dat een verbindingsfunctie heeft om de grensoverschrijdende samenwerking van de autoriteiten van de lidstaten te waarborgen. De lidstaten moeten ook CSIRT’s aanwijzen. Samenwerking (artikelen 12 tot en met 16) Bij de richtlijn wordt een samenwerkingsgroep opgericht om de strategische samenwerking en de uitwisseling van informatie tussen de lidstaten te ondersteunen en te vergemakkelijken en om vertrouwen te ontwikkelen. Ook wordt er een CSIRT-netwerk opgericht om bij te dragen aan de ontwikkeling van het vertrouwen tussen de lidstaten en om een snelle en doeltreffende operationele samenwerking te bevorderen. Er wordt een Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) opgericht om het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en -crises te ondersteunen en om de regelmatige uitwisseling van informatie tussen de lidstaten en de EU-instellingen te garanderen. Het Enisa moet in samenwerking met de Commissie een tweejaarlijks verslag over de stand van zaken op het gebied van cyberbeveiliging in de Unie opstellen. De Commissie moet een systeem van collegiale toetsing opzetten dat het mogelijk maakt regelmatig de doeltreffendheid van het cyberbeveiligingsbeleid van de lidstaten te beoordelen. Verplichtingen inzake risicobeheer en rapportage op het gebied van cyberbeveiliging (artikelen 17 tot en met 23) De richtlijn vereist dat de lidstaten bepalen dat de beheersorganen van alle entiteiten die onder het toepassingsgebied vallen, de door de respectieve entiteiten genomen maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten goedkeuren en een specifieke opleiding op het gebied van cyberbeveiliging moeten volgen. De lidstaten moeten ervoor zorgen dat de entiteiten die onder het toepassingsgebied vallen, passende en evenredige technische en organisatorische maatregelen nemen om de cyberbeveiligingsrisico’s voor de beveiliging van netwerk- en informatiesystemen te beheren. Zij moeten er ook voor zorgen dat de entiteiten de nationale bevoegde autoriteiten of de CSIRT’s in kennis stellen van elk cyberbeveiligingsincident dat een significant effect heeft op de verlening van de door hen verleende dienst. De registers voor topleveldomeinnamen en de entiteiten die registratiediensten voor topleveldomeinnamen verlenen, verzamelen en bewaren nauwkeurige en volledige gegevens over de registratie van domeinnamen. Bovendien zijn dergelijke entiteiten verplicht om legitieme toegangvragende partijen efficiënte toegang te verlenen tot de gegevens van de domeinregistratie. Jurisdictie en registratie (artikelen 24 en 25) In de regel worden essentiële en belangrijke entiteiten geacht onder de jurisdictie te vallen van de lidstaat waar zij hun diensten verlenen. Bepaalde soorten entiteiten (DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputerdiensten, aanbieders van datacentra en van netwerken voor de levering van inhoud, alsmede bepaalde digitale aanbieders) worden echter geacht onder de jurisdictie te vallen van de lidstaat waar zij hun hoofdvestiging in de Unie hebben. Dit om ervoor te zorgen dat dergelijke entiteiten niet worden geconfronteerd met een veelheid aan verschillende wettelijke vereisten, aangezien zij in hoge mate grensoverschrijdende diensten verlenen. Het Enisa is verplicht een register van dit laatste type entiteiten aan te maken en bij te houden. Uitwisseling van informatie (artikelen 26 en 27) De lidstaten stellen regels vast die entiteiten in staat stellen om informatie over cyberbeveiliging uit te wisselen in het kader van specifieke regelingen voor informatie-uitwisseling op het gebied van cyberbeveiliging, met inachtneming van artikel 101 VWEU. Bovendien staan de lidstaten toe dat entiteiten die buiten het toepassingsgebied van deze richtlijn vallen, op vrijwillige basis melding maken van significante incidenten, cyberbedreigingen of bijna-ongelukken. Toezicht en handhaving (artikelen 28 tot en met 34) De bevoegde autoriteiten moeten toezicht houden op de entiteiten die onder het toepassingsgebied van de richtlijn vallen en er met name voor zorgen dat zij voldoen aan de eisen inzake beveiliging en het melden van incidenten. Er wordt een onderscheid gemaakt tussen een regeling voor toezicht vooraf op essentiële entiteiten en een regeling voor toezicht achteraf op belangrijke entiteiten, waarbij de bevoegde autoriteiten later worden verplicht actie te ondernemen wanneer zij bewijzen of aanwijzingen krijgen dat een belangrijke entiteit niet voldoet aan de vereisten inzake beveiliging en het melden van incidenten. De richtlijn verplicht de lidstaten ook om administratieve boeten op te leggen aan essentiële en belangrijke entiteiten en stelt bepaalde maximumboeten vast.

De lidstaten zijn verplicht samen te werken en elkaar waar nodig bij te staan wanneer entiteiten diensten verlenen in meer dan één lidstaat of wanneer de hoofdvestiging van een entiteit of haar vertegenwoordiger zich in een bepaalde lidstaat bevindt, maar haar netwerk- en informatiesystemen zich in een of meer andere lidstaten bevinden. 2020/0359 (COD) Voorstel voor een RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie en tot intrekking van Richtlijn (EU) 2016/1148 (Voor de EER relevante tekst) HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE, Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 114, Gezien het voorstel van de Europese Commissie, Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen, Gezien het advies van het Europees Economisch en Sociaal Comité, Gezien het advies van het Comité van de Regio’s, Handelend volgens de gewone wetgevingsprocedure, Overwegende hetgeen volgt: (1)Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad heeft tot doel capaciteiten op het gebied van cyberbeveiliging in de hele Unie op te bouwen, de bedreigingen voor netwerk- en informatiesystemen die worden gebruikt om essentiële diensten in belangrijke sectoren aan te bieden, te beperken en de continuïteit van dergelijke diensten te waarborgen wanneer zij worden geconfronteerd met cyberbeveiligingsincidenten, en aldus bij te dragen tot een doeltreffende werking van de economie en de samenleving van de Unie. (2)Sinds de inwerkingtreding van Richtlijn (EU) 2016/1148 is er aanzienlijke vooruitgang geboekt bij het vergroten van de veerkracht van de Unie op het gebied van cyberbeveiliging. Uit de evaluatie van die richtlijn is gebleken dat zij heeft gediend als katalysator voor de institutionele en regelgevende aanpak van cyberbeveiliging in de Unie, waardoor de weg is vrijgemaakt voor een significante verandering in de manier waarop deze wordt benaderd. Die richtlijn heeft gezorgd voor de voltooiing van nationale kaders door nationale strategieën voor cyberbeveiliging te definiëren, nationale capaciteiten vast te stellen en regelgevende maatregelen uit te voeren die betrekking hebben op essentiële infrastructuren en actoren die door elke lidstaat zijn geïdentificeerd. Zij heeft ook bijgedragen aan de samenwerking op het niveau van de Unie door de oprichting van de samenwerkingsgroep en een netwerk van nationale computer security incident response teams (“netwerk van CSIRT’s”). Ondanks deze resultaten heeft de herziening van Richtlijn (EU) 2016/1148 inherente tekortkomingen aan het licht gebracht die verhinderen dat deze richtlijn de hedendaagse en opkomende uitdagingen op het gebied van cyberbeveiliging effectief aanpakt. (3)Netwerk- en informatiesystemen hebben zich ontwikkeld tot een centraal kenmerk van het dagelijks leven door de snelle digitale transformatie en de onderlinge verbondenheid van de samenleving, ook bij grensoverschrijdende uitwisselingen. Die ontwikkeling heeft geleid tot een uitbreiding van het bedreigingslandschap voor de cyberbeveiliging, wat nieuwe uitdagingen met zich meebrengt, die in alle lidstaten een aangepaste, gecoördineerde en innovatieve respons vereist. Het aantal, de omvang, de complexiteit, de frequentie en de impact van cyberbeveiligingsincidenten nemen toe en vormen een grote bedreiging voor het functioneren van netwerk- en informatiesystemen. Daardoor kunnen cyberincidenten de uitoefening van economische activiteiten in de interne markt belemmeren, financiële verliezen veroorzaken, het vertrouwen van de gebruikers ondermijnen en grote schade toebrengen aan de economie en de samenleving van de Unie. Voor de goede werking van de interne markt zijn paraatheid en doeltreffendheid op het gebied van cyberbeveiliging daarom nu meer dan ooit van essentieel belang. (4)De rechtsgrondslag voor Richtlijn (EU) 1148/2016 was artikel 114 van het Verdrag betreffende de werking van de Europese Unie, dat tot doel heeft de interne markt tot stand te brengen en te laten functioneren door de maatregelen voor de onderlinge aanpassing van de nationale regels te versterken. De cyberbeveiligingseisen die worden gesteld aan entiteiten die diensten of economisch relevante activiteiten verrichten, verschillen aanzienlijk van lidstaat tot lidstaat wat betreft het soort eis, de mate van gedetailleerdheid en de wijze van toezicht. Deze verschillen brengen extra kosten met zich mee en leveren problemen op voor ondernemingen die goederen of diensten grensoverschrijdend aanbieden. De eisen die door de ene lidstaat worden gesteld en die verschillen van of zelfs in strijd zijn met de eisen die door een andere lidstaat worden gesteld, kunnen een aanzienlijke invloed hebben op deze grensoverschrijdende activiteiten. Bovendien zal de mogelijkheid van een suboptimaal ontwerp of een suboptimale uitvoering van cyberbeveiligingsnormen in een lidstaat waarschijnlijk gevolgen hebben voor het niveau van de cyberbeveiliging in andere lidstaten, met name gezien de intensieve grensoverschrijdende uitwisselingen. Bij de herziening van Richtlijn (EU) 2016/1148 is gebleken dat de lidstaten de richtlijn op zeer uiteenlopende wijze uitvoeren, ook wat het toepassingsgebied betreft, waarvan de afbakening grotendeels aan het oordeel van de lidstaten is overgelaten. Richtlijn (EU) 2016/1148 bood de lidstaten ook een zeer ruime discretionaire bevoegdheid bij de uitvoering van de daarin opgenomen verplichtingen inzake beveiliging en incidentenmelding. Deze verplichtingen zijn daarom op nationaal niveau op aanzienlijk verschillende wijze uitgevoerd. Soortgelijke verschillen in de uitvoering hebben zich voorgedaan met betrekking tot de bepalingen van die richtlijn inzake toezicht en handhaving. (5)Al deze verschillen leiden tot een versnippering van de interne markt en kunnen een nadelig effect hebben op de werking ervan, wat met name gevolgen heeft voor de grensoverschrijdende dienstverlening, en op de veerkracht van cyberbeveiliging als gevolg van de toepassing van verschillende normen. Deze richtlijn heeft tot doel dergelijke grote verschillen tussen de lidstaten weg te werken, met name door minimumvoorschriften vast te stellen voor de werking van een gecoördineerd regelgevingskader, door mechanismen vast te stellen voor een doeltreffende samenwerking tussen de verantwoordelijke autoriteiten in elke lidstaat, door de lijst van sectoren en activiteiten waarvoor cyberbeveiligingverplichtingen gelden bij te werken en door te voorzien in doeltreffende rechtsmiddelen en sancties die bijdragen tot een doeltreffende handhaving van deze verplichtingen. Daarom moet Richtlijn (EU) 2016/1148 worden ingetrokken en door deze richtlijn worden vervangen. (6)Deze richtlijn laat het vermogen van de lidstaten onverlet om de nodige maatregelen te nemen ter bescherming van de wezenlijke belangen van hun beveiliging, ter vrijwaring van de openbare orde en de openbare veiligheid en om het onderzoek, de opsporing en de vervolging van strafbare feiten mogelijk te maken, met inachtneming van het recht van de Unie. Overeenkomstig artikel 346 VWEU is geen enkele lidstaat verplicht inlichtingen te verstrekken waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van zijn openbare veiligheid. In dit verband zijn de nationale en uniale regels voor de bescherming van gerubriceerde informatie, geheimhoudingsovereenkomsten en informele geheimhoudingsovereenkomsten, zoals het verkeerslichtprotocol, van belang.

(7)Met de intrekking van Richtlijn (EU) 2016/1148 moet het toepassingsgebied per sector worden uitgebreid tot een groter deel van de economie in het licht van de overwegingen (4) tot en met (6). De sectoren die onder Richtlijn (EU) 2016/1148 vallen, moeten daarom worden uitgebreid om de sectoren en diensten die van vitaal belang zijn voor belangrijke maatschappelijke en economische activiteiten binnen de interne markt, volledig te bestrijken. De regels mogen niet verschillen naargelang het gaat om aanbieders van essentiële diensten of digitaledienstverleners. Dat onderscheid is achterhaald gebleken, aangezien het niet het werkelijke belang van de sectoren of diensten voor de maatschappelijke en economische activiteiten in de interne markt weerspiegelt. (8)Overeenkomstig Richtlijn (EU) 2016/1148 waren de lidstaten verantwoordelijk voor het bepalen welke entiteiten voldoen aan de criteria om als aanbieders van essentiële diensten te worden aangemerkt (“identificatieproces”). Om de grote verschillen tussen de lidstaten in dat opzicht weg te werken en rechtszekerheid te bieden voor de vereisten inzake risicobeheer en de rapportageverplichtingen voor alle relevante entiteiten, moet er een uniform criterium worden vastgesteld dat bepaalt welke entiteiten binnen het toepassingsgebied van deze richtlijn vallen. Dit criterium moet bestaan uit de toepassing van de “size-cap”-regel, waarbij alle middelgrote en grote ondernemingen, zoals gedefinieerd in Aanbeveling 2003/361/EG van de Commissie, die actief zijn in de sectoren of het soort diensten verrichten die onder deze richtlijn vallen, binnen de werkingssfeer van de richtlijn vallen. Van de lidstaten mag niet worden verlangd dat zij een lijst opstellen van de entiteiten die aan dit algemeen geldende groottecriterium voldoen. (9)Kleine of micro-entiteiten die voldoen aan bepaalde criteria die wijzen op een sleutelrol voor de economieën of samenlevingen van de lidstaten of voor bepaalde sectoren of soorten diensten, moeten echter ook onder deze richtlijn vallen. De lidstaten moeten verantwoordelijk zijn voor het opstellen van een lijst van dergelijke entiteiten en deze aan de Commissie voorleggen. (10)De Commissie kan, in samenwerking met de samenwerkingsgroep, richtsnoeren opstellen voor de toepassing van de criteria die van toepassing zijn op micro- en kleine ondernemingen. (11)Afhankelijk van de sector waarin zij actief zijn of het soort dienst dat zij verlenen, moeten de entiteiten die onder het toepassingsgebied van deze richtlijn vallen in twee categorieën worden ingedeeld: essentiële en belangrijke. Bij deze indeling in categorieën moet rekening worden gehouden met de mate van kriticiteit van de sector of het soort dienst, alsmede met de mate van afhankelijkheid van andere sectoren of soorten diensten. Voor zowel essentiële als belangrijke entiteiten moeten dezelfde eisen inzake risicobeheer en rapportageverplichtingen gelden. De toezichts- en sanctieregelingen tussen deze twee categorieën entiteiten moeten worden gedifferentieerd om te zorgen voor een billijk evenwicht tussen eisen en verplichtingen enerzijds en de administratieve lasten die voortvloeien uit het toezicht op de naleving anderzijds. (12)Sectorspecifieke wetgeving en instrumenten kunnen bijdragen tot het waarborgen van een hoog niveau van cyberbeveiliging, waarbij ten volle rekening wordt gehouden met de specifieke kenmerken en de complexiteit van deze sectoren. Wanneer een sectorspecifieke rechtshandeling van de Unie vereist dat essentiële of belangrijke entiteiten risicobeheersmaatregelen op het gebied van cyberbeveiliging nemen of incidenten of significante cyberbedreigingen met ten minste een gelijkwaardig effect als de in deze richtlijn vastgestelde verplichtingen melden, moeten die sectorspecifieke bepalingen, onder meer inzake toezicht en handhaving, van toepassing zijn. De Commissie kan richtsnoeren uitvaardigen met betrekking tot de uitvoering van de lex specialis. Deze richtlijn vormt geen beletsel voor de vaststelling van aanvullende sectorspecifieke handelingen van de Unie met betrekking tot maatregelen voor het beheer van cyberbeveiligingsrisico’s en meldingen van incidenten. Deze richtlijn laat de bestaande uitvoeringsbevoegdheden die aan de Commissie zijn verleend in een aantal sectoren, waaronder vervoer en energie, onverlet. (13)Verordening XXXX/XXXX van het Europees Parlement en de Raad moet worden beschouwd als een sectorspecifieke rechtshandeling van de Unie met betrekking tot deze richtlijn voor wat betreft de entiteiten in de financiële sector. De bepalingen van Verordening XXXX/XXXX betreffende maatregelen voor het risicobeheer op het gebied van informatie- en communicatietechnologie (ICT), het beheer van ICT-gerelateerde incidenten en met name de rapportage van incidenten, alsmede betreffende digitale operationele veerkrachttests, regelingen voor het delen van informatie en risico’s van derden op het gebied van ICT, moeten van toepassing zijn in plaats van de bepalingen die in het kader van deze richtlijn zijn vastgesteld. De lidstaten mogen de bepalingen van deze richtlijn betreffende de verplichtingen inzake risicobeheer en rapportage op het gebied van cyberbeveiliging, de uitwisseling van informatie en het toezicht en de handhaving dan ook niet toepassen op financiële entiteiten die onder Verordening XXXX/XXXX vallen. Tegelijkertijd is het van belang een sterke relatie en de uitwisseling van informatie met de financiële sector in het kader van deze richtlijn in stand te houden. Daartoe biedt Verordening XXXX/XXXX alle financiële toezichthouders, de Europese toezichthoudende autoriteiten (ETA’s) voor de financiële sector en de nationale bevoegde autoriteiten op grond van Verordening XXXX/XXXX, de mogelijkheid deel te nemen aan strategische beleidsdiscussies en technische werkzaamheden van de samenwerkingsgroep en informatie uit te wisselen en samen te werken met de op grond van deze richtlijn aangewezen centrale contactpunten en met de nationale CSIRT’s. De bevoegde autoriteiten uit hoofde van Verordening XXXX/XXXX moeten de details van grote ICT-gerelateerde incidenten ook doorgeven aan de in het kader van deze richtlijn aangewezen centrale contactpunten. Bovendien moeten de lidstaten de financiële sector blijven opnemen in hun cyberbeveiligingsstrategieën en kunnen de nationale CSIRT’s de financiële sector bij hun activiteiten betrekken. (14)Gezien de onderlinge verbanden tussen cyberbeveiliging en de fysieke beveiliging van entiteiten moet een coherente aanpak worden gewaarborgd tussen Richtlijn (EU) XXX/XXX van het Europees Parlement en de Raad en deze richtlijn. Daartoe moeten de lidstaten ervoor zorgen dat kritieke entiteiten en gelijkwaardige entiteiten uit hoofde van Richtlijn (EU) XXX/XXX als essentiële entiteiten uit hoofde van deze richtlijn worden beschouwd. De lidstaten moeten er ook voor zorgen dat hun strategieën op het gebied van cyberbeveiliging voorzien in een beleidskader voor een betere coördinatie tussen de bevoegde autoriteit in het kader van deze richtlijn en die in het kader van Richtlijn (EU) XXX/XXX in de context van de uitwisseling van informatie over incidenten en cyberbedreigingen en de uitoefening van toezichthoudende taken. De autoriteiten in het kader van beide richtlijnen moeten samenwerken en informatie uitwisselen, met name met betrekking tot de identificatie van kritieke entiteiten, cyberbedreigingen, cyberbeveiligingsrisico’s, incidenten die kritieke entiteiten treffen en de door kritieke entiteiten genomen cyberbeveiligingsmaatregelen. Op verzoek van de bevoegde autoriteiten uit hoofde van Richtlijn (EU) XXX/XXX moeten de bevoegde autoriteiten uit hoofde van deze richtlijn in staat worden gesteld hun toezichts- en handhavingsbevoegdheden uit te oefenen ten aanzien van een essentiële entiteit die als kritiek is aangemerkt. Beide autoriteiten moeten hiertoe samenwerken en informatie uitwisselen. (15)Het behoud van een betrouwbaar, veerkrachtig en veilig domeinnaamsysteem (DNS) is een sleutelfactor voor het behoud van de integriteit van het internet en is essentieel voor de continue en stabiele werking ervan, waarvan de digitale economie en de maatschappij afhankelijk zijn. Daarom moet deze richtlijn van toepassing zijn op alle aanbieders van DNS-diensten in de gehele DNS-omzettingsketen, met inbegrip van exploitanten van root-naamservers, topleveldomeinnaamservers, gezaghebbende naamservers voor domeinnamen en recursieve resolvers. (16)Cloudcomputerdiensten moeten betrekking hebben op diensten die toegang op aanvraag en brede toegang op afstand mogelijk maken tot een schaalbare en elastische pool van gedeelde en gedistribueerde computerbronnen. Deze computerbronnen omvatten middelen zoals netwerken, servers of andere infrastructuur, besturingssystemen, software, opslag, toepassingen en diensten. De invoeringsmodellen van cloudcomputing moeten private, gemeenschaps-, publieke en hybride cloud omvatten. De genoemde dienst- en invoeringsmodellen hebben dezelfde betekenis als de in de ISO/IEC 17788:2014-norm gedefinieerde benamingen van dienst- en invoeringsmodellen. Het vermogen van de cloudcomputergebruiker om eenzijdig zelfvoorzienend te zijn, zoals servertijd of netwerkopslag, zonder enige menselijke interactie door de cloudcomputerdienstverlener, zou kunnen worden omschreven als beheer op verzoek. Met het begrip “brede toegang op afstand” wordt bedoeld: de cloudcapaciteiten worden via het netwerk aangeboden en zijn toegankelijk via mechanismen die het gebruik van heterogene thin- of thick-client-platforms bevorderen (waaronder mobiele telefoons, tablets, laptops, werkstations). Met “schaalbaar” wordt bedoeld: computercapaciteit die, ongeacht de geografische locatie van de capaciteit, op flexibele wijze door aanbieders van cloudcomputerdiensten wordt toegewezen teneinde schommelingen in de vraag te kunnen opvangen Met “elastische groep” wordt bedoeld: de computercapaciteit die, afhankelijk van de vraag, ter beschikking wordt gesteld en wordt vrijgegeven teneinde deze beschikbare capaciteit snel te kunnen verhogen en verlagen naargelang van het werkvolume. Met “gedeeld” wordt bedoeld: de computercapaciteit die ter beschikking wordt gesteld van meerdere gebruikers die een gemeenschappelijke toegang tot de dienst hebben, maar waarbij de verwerking voor elke gebruiker afzonderlijk plaatsvindt, hoewel de dienst door middel van dezelfde elektronische uitrusting wordt verleend. Met “gedistribueerd” wordt bedoeld: de computercapaciteit die zich op verschillende netwerkcomputers of -toestellen bevindt en die onderling communiceert en coördineert door middel van het doorgeven van berichten. (17)Gezien de opkomst van innovatieve technologieën en nieuwe bedrijfsmodellen wordt verwacht dat er nieuwe invoerings- en servicemodellen voor cloudcomputing op de markt zullen verschijnen als antwoord op de veranderende behoeften van klanten. In die context kunnen cloudcomputerdiensten in een sterk gedistribueerde vorm worden verleend, nog dichter bij de plaats waar de gegevens worden gegenereerd of verzameld, waardoor de overstap van het traditionele model naar een sterk gedistribueerd model (“edge computing”) wordt gemaakt. (18)Diensten die worden aangeboden door aanbieders van datacentradiensten kunnen niet altijd worden verleend in een vorm van een cloudcomputerdienst. Datacentra maken dan ook niet altijd deel uit van de cloudcomputerinfrastructuur. Om alle risico’s voor de beveiliging van netwerk- en informatiesystemen te beheren, moet deze richtlijn ook van toepassing zijn op aanbieders van dergelijke datacentrumdiensten die geen cloudcomputerdienstdiensten zijn. Voor de toepassing van deze richtlijn wordt onder “datacentrumdienst” verstaan: de verlening van een dienst die structuren, of groepen van structuren, omvat die bestemd zijn voor de gecentraliseerde accommodatie, de interconnectie en de exploitatie van informatietechnologie en netwerkapparatuur die diensten op het gebied van gegevensopslag, -verwerking en -transport aanbiedt, samen met alle faciliteiten en infrastructuren voor energiedistributie en omgevingscontrole. De term “datacentrumdienst” is niet van toepassing op interne bedrijfsdatacentra die eigendom zijn van en geëxploiteerd worden voor eigen doeleinden van de betreffende entiteit. (19)Verleners van postdiensten in de zin van Richtlijn 97/67/EG van het Europees Parlement en de Raad, alsmede verleners van expres- en koeriersdiensten, moeten onder deze richtlijn vallen indien zij ten minste een van de stappen in de postbestelketen en met name de ophaling, sortering of distributie, met inbegrip van de ophaaldiensten, verzorgen. Vervoersdiensten die niet in samenhang met een van deze stappen worden ondernomen, moeten buiten het toepassingsgebied van de postdiensten vallen. (20)Deze toenemende onderlinge afhankelijkheid is het resultaat van een steeds meer grensoverschrijdend en onderling afhankelijk dienstverleningsnetwerk dat gebruik maakt van belangrijke infrastructuren in de hele Unie in de sectoren energie, vervoer, digitale infrastructuur, drinkwater en afvalwater, gezondheid, bepaalde aspecten van het openbaar bestuur en de ruimtevaart, voor zover het gaat om de verlening van bepaalde diensten die afhankelijk zijn van grondgebonden infrastructuren die eigendom zijn van, beheerd en geëxploiteerd worden door de lidstaten of door particuliere partijen, en die dus geen betrekking hebben op infrastructuren die eigendom zijn van, beheerd of geëxploiteerd worden door of namens de Unie als onderdeel van haar ruimtevaartprogramma’s. Deze onderlinge afhankelijkheid houdt in dat elke verstoring, zelfs als deze aanvankelijk beperkt blijft tot één entiteit of één sector, meer in het algemeen een cascade-effect kan hebben, met mogelijkerwijs verstrekkende en langdurige negatieve gevolgen voor de verlening van diensten op de hele interne markt. De COVID-19-pandemie heeft de kwetsbaarheid van onze steeds meer onderling afhankelijke samenlevingen voor de risico’s van lage waarschijnlijkheid aangetoond. (21)Gezien de verschillen tussen de nationale governancestructuren en om de reeds bestaande sectorale regelingen of toezichts- en regelgevingsorganen van de Unie te vrijwaren, moeten de lidstaten meer dan één nationale bevoegde autoriteit kunnen aanwijzen die verantwoordelijk is voor het vervullen van de taken in verband met de beveiliging van de netwerk- en informatiesystemen van essentiële en belangrijke entiteiten in het kader van deze richtlijn. De lidstaten moeten deze rol kunnen toewijzen aan een bestaande autoriteit. (22)Om de grensoverschrijdende samenwerking en communicatie tussen de autoriteiten te vergemakkelijken en een doeltreffende uitvoering van deze richtlijn mogelijk te maken, moet elke lidstaat één nationaal centraal contactpunt aanwijzen dat verantwoordelijk is voor de coördinatie van kwesties in verband met de beveiliging van de netwerk- en informatiesystemen en de grensoverschrijdende samenwerking op het niveau van de Unie. (23)De bevoegde autoriteiten of de CSIRT’s moeten de meldingen van incidenten op een effectieve en efficiënte manier van de entiteiten ontvangen. De centrale contactpunten moeten worden belast met het doorsturen van meldingen van incidenten naar de centrale contactpunten van andere betrokken lidstaten. Op het niveau van de autoriteiten van de lidstaten moeten, om te zorgen voor een centraal contactpunt in elke lidstaat, de centrale contactpunten ook de geadresseerden zijn van relevante informatie over incidenten met betrekking tot entiteiten uit de financiële sector van de bevoegde autoriteiten uit hoofde van Verordening XXXX/XXXX, die zij in voorkomend geval moeten kunnen doorsturen naar de relevante nationale bevoegde autoriteiten of CSIRT’s uit hoofde van deze richtlijn. (24)De lidstaten moeten, zowel wat de technische als de organisatorische mogelijkheden betreft, adequaat worden uitgerust om incidenten en risico’s van het netwerk- en het informatiesysteem te voorkomen, op te sporen, erop te reageren en te beperken. De lidstaten moeten er daarom voor zorgen dat zij beschikken over goed functionerende CSIRT’s, ook bekend als computercrisisresponsteams (“computer emergency response teams” — “CERT’s”), die voldoen aan de essentiële eisen om te garanderen dat zij over doeltreffende en compatibele capaciteiten beschikken om incidenten en risico’s aan te pakken en om een efficiënte samenwerking op het niveau van de Unie te waarborgen. Om de vertrouwensrelatie tussen de entiteiten en de CSIRT’s te versterken, moeten de lidstaten, in gevallen waarin een CSIRT deel uitmaakt van de bevoegde autoriteit, een functionele scheiding overwegen tussen de operationele taken van de CSIRT’s, met name met betrekking tot de uitwisseling van informatie en de ondersteuning van de entiteiten, en de toezichtsactiviteiten van de bevoegde autoriteiten. (25)Wat de persoonsgegevens betreft, moeten de CSIRT’s overeenkomstig Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad namens en op verzoek van een entiteit in het kader van deze richtlijn een proactieve scan kunnen uitvoeren van de netwerk- en informatiesystemen die voor de verlening van hun diensten worden gebruikt. De lidstaten moeten ernaar streven dat alle sectorale CSIRT’s over gelijke technische capaciteiten beschikken. De lidstaten kunnen het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) om bijstand vragen bij de ontwikkeling van nationale CSIRT’s. (26)Gezien het belang van internationale samenwerking op het gebied van cyberbeveiliging moeten de CSIRT’s kunnen deelnemen aan internationale samenwerkingsnetwerken, naast het bij deze richtlijn opgerichte CSIRT-netwerk.

(27)Overeenkomstig de bijlage bij Aanbeveling (EU) 2017/1548 van de Commissie inzake een gecoördineerde respons op grootschalige cyberincidenten en -crises (“Blauwdruk”), moet onder een grootschalig incident een incident worden verstaan met significante gevolgen voor ten minste twee lidstaten of die verstoringen veroorzaken die te groot zijn om door een getroffen lidstaat alleen te worden verholpen. Afhankelijk van hun oorzaak en gevolgen kunnen grootschalige incidenten escaleren en veranderen in volwaardige crises die de goede werking van de interne markt niet mogelijk maken. Gezien het brede toepassingsgebied en in de meeste gevallen het grensoverschrijdende karakter van dergelijke incidenten, moeten de lidstaten en de betrokken instellingen, organen en agentschappen van de Unie op technisch, operationeel en politiek niveau samenwerken om de respons in de hele Unie naar behoren te coördineren. (28)Aangezien de exploitatie van kwetsbaarheden in netwerk- en informatiesystemen aanzienlijke verstoringen en schade kan veroorzaken, is het snel identificeren en verhelpen van deze kwetsbaarheden een belangrijke factor in het verminderen van het cyberbeveiligingsrisico. Entiteiten die dergelijke systemen ontwikkelen, moeten daarom passende procedures vaststellen om kwetsbaarheden aan te pakken wanneer deze worden ontdekt. Aangezien kwetsbaarheden vaak door derden (rapporterende entiteiten) worden ontdekt en gemeld (bekendgemaakt), moet de fabrikant of aanbieder van ICT-producten of -diensten ook de nodige procedures invoeren om kwetsbaarheidsinformatie van derden te ontvangen. In dit verband bieden de internationale normen ISO/IEC 30111 en ISO/IEC 29417 richtsnoeren voor respectievelijk de respons op kwetsbaarheden en het bekendmaken van kwetsbaarheden. Wat de bekendmaking van kwetsbaarheden betreft, is met name de coördinatie tussen de rapporterende entiteiten en de fabrikanten of aanbieders van ICT-producten of -diensten van belang. De gecoördineerde bekendmaking van kwetsbaarheden duidt een gestructureerd proces aan waarbij kwetsbaarheden aan organisaties worden gemeld op een manier die de organisatie in staat stelt de kwetsbaarheid te diagnosticeren en te verhelpen voordat gedetailleerde informatie over de kwetsbaarheid aan derden of aan het publiek wordt bekendgemaakt. De gecoördineerde bekendmaking van kwetsbaarheden moet ook de coördinatie tussen de rapporterende entiteit en de organisatie omvatten wat betreft het tijdstip van het herstel en de bekendmaking van de kwetsbaarheden. (29)De lidstaten moeten daarom maatregelen nemen om een gecoördineerde bekendmaking van kwetsbaarheden te vergemakkelijken door een relevant nationaal beleid vast te stellen. In dit verband moeten de lidstaten een CSIRT aanwijzen die de rol van “coördinator” op zich neemt en die, indien nodig, optreedt als tussenpersoon tussen de rapporterende entiteiten en de fabrikanten of aanbieders van ICT-producten of -diensten. De taken van de CSIRT-coördinator moeten met name bestaan uit het identificeren van en contact opnemen met de betrokken entiteiten, het ondersteunen van de rapporterende entiteiten, het onderhandelen over tijdschema’s voor de openbaarmaking en het beheren van kwetsbaarheden die van invloed zijn op meerdere organisaties (openbaarmaking van kwetsbaarheden door meerdere partijen). Wanneer kwetsbaarheden meerdere fabrikanten of aanbieders van ICT-producten of -diensten in meer dan één lidstaat treffen, moeten de aangewezen CSIRT’s van elk van de getroffen lidstaten binnen het CSIRT-netwerk samenwerken. (30)Toegang tot correcte en tijdige informatie over kwetsbaarheden die van invloed zijn op ICT-producten en -diensten draagt bij aan een verbeterd risicobeheer inzake cyberbeveiliging. In dat opzicht zijn bronnen van openbaar beschikbare informatie over kwetsbaarheden een belangrijk instrument voor entiteiten en hun gebruikers, maar ook voor nationale bevoegde autoriteiten en CSIRT’s. Daarom moet het Enisa een kwetsbaarheidsregister instellen waarin essentiële en belangrijke entiteiten en hun leveranciers, alsmede entiteiten die niet onder het toepassingsgebied van deze richtlijn vallen, op vrijwillige basis kwetsbaarheden kunnen bekendmaken en de kwetsbaarheidsinformatie kunnen verstrekken die gebruikers in staat stelt passende beperkende maatregelen te nemen. (31)Hoewel er soortgelijke kwetsbaarheidsregisters of -databases bestaan, worden deze gehost en onderhouden door entiteiten die niet in de Unie zijn gevestigd. Een Europees kwetsbaarheidsregister dat door het Enisa wordt bijgehouden, zou zorgen voor meer transparantie met betrekking tot het bekendmakingsproces voordat de kwetsbaarheid officieel bekend wordt gemaakt, en voor meer veerkracht in geval van verstoringen of onderbrekingen van de verlening van soortgelijke diensten. Om dubbel werk te voorkomen en zoveel mogelijk complementariteit na te streven, moet het Enisa de mogelijkheid onderzoeken om gestructureerde samenwerkingsovereenkomsten te sluiten met soortgelijke registers in jurisdicties van derde landen. (32)De samenwerkingsgroep moet om de twee jaar een werkprogramma opstellen, met inbegrip van de acties die door de groep moeten worden ondernomen om zijn doelstellingen en taken uit te voeren. Om mogelijke verstoringen van de werkzaamheden van de groep te voorkomen, moet het tijdschema van het eerste programma dat in het kader van deze richtlijn is vastgesteld, worden afgestemd op het tijdschema van het laatste programma dat in het kader van Richtlijn (EU) 2016/1148 is vastgesteld. (33)Bij de ontwikkeling van richtsnoeren moet de samenwerkingsgroep consequent nationale oplossingen en ervaringen in kaart brengen, het effect van de resultaten van de samenwerkingsgroep op de nationale aanpak beoordelen, de uitdagingen op het gebied van de uitvoering bespreken en specifieke aanbevelingen formuleren die moeten worden aangepakt door een betere uitvoering van de bestaande regels. (34)De samenwerkingsgroep moet een flexibel forum blijven en in staat zijn te reageren op veranderende en nieuwe beleidsprioriteiten en -uitdagingen, rekening houdend met de beschikbaarheid van middelen. Hij moet regelmatig gezamenlijke bijeenkomsten organiseren met relevante particuliere belanghebbenden uit de hele Unie om de activiteiten van de groep te bespreken en input te verzamelen over nieuwe beleidsuitdagingen. Om de samenwerking op het niveau van de Unie te versterken, moet de groep overwegen organen en agentschappen van de Unie die betrokken zijn bij het cyberbeveiligingsbeleid, zoals het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3), het Agentschap van de Europese Unie voor de veiligheid van de luchtvaart (EASA) en het Agentschap van de Europese Unie voor het ruimtevaartprogramma (EUSPA), uit te nodigen om deel te nemen aan de werkzaamheden van de groep. (35)De bevoegde autoriteiten en de CSIRT’s moeten de bevoegdheid krijgen om deel te nemen aan uitwisselingsprogramma’s voor ambtenaren uit andere lidstaten om de samenwerking te verbeteren. De bevoegde autoriteiten moeten de nodige maatregelen nemen om ambtenaren uit andere lidstaten in staat te stellen een doeltreffende rol te spelen in de activiteiten van de bevoegde autoriteit van ontvangst. (36)De Unie moet in voorkomend geval overeenkomstig artikel 218 VWEU internationale overeenkomsten met derde landen of internationale organisaties sluiten die hun deelname aan bepaalde activiteiten van de samenwerkingsgroep en het CSIRT-netwerk mogelijk maken en organiseren. Dergelijke overeenkomsten moeten zorgen voor een passende bescherming van de gegevens. (37)De lidstaten moeten bijdragen aan de totstandbrenging van het in Aanbeveling (EU) 2017/1584 beschreven EU-kader voor crisisrespons op het gebied van cyberbeveiliging via de bestaande samenwerkingsnetwerken, met name het netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe), het CSIRT-netwerk en de samenwerkingsgroep. EU-CyCLONe en het CSIRT-netwerk moeten samenwerken op basis van procedurele regelingen die de modaliteiten van die samenwerking bepalen. In de procedureregels van het EU-CyCLONe moet nader worden gespecificeerd hoe het netwerk moet functioneren, met inbegrip van, maar niet beperkt tot rollen, samenwerkingswijzen, interacties met andere relevante actoren en modellen voor het delen van informatie, alsmede communicatiemiddelen. Voor crisisbeheer op het niveau van de Unie moeten de betrokken partijen zich baseren op de regelingen voor geïntegreerde politieke crisisrespons (“Integrated Political Crisis Response” — IPCR). De Commissie moet hiervoor gebruikmaken van het ARGUS-proces voor sectoroverschrijdende crisiscoördinatie op hoog niveau. Als de crisis een belangrijke externe of gemeenschappelijke veiligheids- en defensiedimensie (GVDB) met zich meebrengt, moet het crisisresponsmechanisme van de Europese Dienst voor extern optreden (EDEO) worden geactiveerd. (38)Voor de toepassing van deze richtlijn wordt onder “risico” verstaan: de mogelijkheid van verlies of verstoring als gevolg van een cyberbeveiligingsincident; dit wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of verstoring en de waarschijnlijkheid dat een dergelijk incident zich voordoet. (39)Voor de toepassing van deze richtlijn wordt onder “bijna-ongelukken” verstaan: een gebeurtenis die mogelijkerwijs schade had kunnen veroorzaken, maar die met succes is voorkomen. (40)Risicobeheersmaatregelen moeten maatregelen omvatten om eventuele risico’s van incidenten te identificeren, om incidenten te voorkomen, op te sporen en te behandelen en om de gevolgen ervan te beperken. De beveiliging van netwerk- en informatiesystemen moet de beveiliging van opgeslagen, verzonden en verwerkte gegevens omvatten. (41)Om te voorkomen dat aan essentiële en belangrijke entiteiten onevenredige financiële en administratieve lasten worden opgelegd, moeten de eisen inzake het beheer van cyberbeveiligingsrisico’s in verhouding staan tot het risico dat het betrokken netwerk- en informatiesysteem met zich meebrengt, rekening houdend met de stand van de techniek van dergelijke maatregelen. (42)Essentiële en belangrijke entiteiten moeten de beveiliging van de netwerk- en informatiesystemen die zij bij hun activiteiten gebruiken, waarborgen. Dit zijn voornamelijk particuliere netwerk- en informatiesystemen die door hun interne IT-medewerkers worden beheerd of waarvan de beveiliging is uitbesteed. De vereisten inzake risicobeheer en rapportage voor cyberbeveiliging uit hoofde van deze richtlijn moeten van toepassing zijn op de relevante essentiële en belangrijke entiteiten, ongeacht of zij het onderhoud van hun netwerk- en informatiesystemen intern uitvoeren of uitbesteden. (43)Het aanpakken van risico’s op het gebied van cyberbeveiliging die voortvloeien uit de toeleveringsketen van een entiteit en uit haar relatie met haar leveranciers is bijzonder belangrijk gezien de prevalentie van incidenten waarbij entiteiten het slachtoffer zijn geworden van cyberaanvallen en waarbij kwaadwillende actoren de beveiliging van de netwerk- en informatiesystemen van een entiteit in gevaar hebben kunnen brengen door gebruik te maken van kwetsbaarheden die van invloed zijn op producten en diensten van derden. De entiteiten moeten daarom de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners beoordelen en er rekening mee houden, met inbegrip van hun veilige ontwikkelingsprocedures. (44)Onder de dienstverleners spelen aanbieders van beheerde beveiligingsdiensten (“managed security services providers” — MSSP’s) op het gebied van bijvoorbeeld incidentrespons, penetratietesten, beveiligingsaudits en consultancy een bijzonder belangrijke rol in het bijstaan van entiteiten bij hun inspanningen om incidenten op te sporen en erop te reageren. Deze MSSP’s zijn echter ook zelf het doelwit geweest van cyberaanvallen en vormen door hun nauwe integratie in de activiteiten van de exploitanten een bijzonder cyberbeveiligingsrisico. De entiteiten moeten daarom meer zorgvuldigheid betrachten bij de selectie van een MSSP. (45)Entiteiten moeten ook aandacht besteden aan de risico’s op het gebied van cyberbeveiliging die voortvloeien uit hun interacties en relaties met andere belanghebbenden binnen een breder ecosysteem. De entiteiten moeten met name passende maatregelen nemen om ervoor te zorgen dat hun samenwerking met academische en onderzoeksinstellingen in overeenstemming is met hun cyberbeveiligingsbeleid en dat zij goede praktijken volgen met betrekking tot veilige toegang en verspreiding van informatie in het algemeen en de bescherming van de intellectuele eigendom in het bijzonder. Evenzo moeten de entiteiten, gezien het belang en de waarde van gegevens voor de activiteiten van de entiteiten, bij het gebruik van gegevenstransformatie en gegevensanalysediensten van derden, alle passende cyberbeveiligingsmaatregelen nemen. (46)Om de belangrijkste risico’s van de toeleveringsketen verder aan te pakken en entiteiten die actief zijn in sectoren die onder deze richtlijn vallen, te helpen om de risico’s van de toeleveringsketen en de leveranciers op het gebied van cyberbeveiliging op passende wijze te beheren, moet de samenwerkingsgroep waarbij de relevante nationale autoriteiten betrokken zijn, in samenwerking met de Commissie en het Enisa, gecoördineerde sectorale risicobeoordelingen van de toeleveringsketen uitvoeren, zoals reeds is gedaan voor 5G-netwerken naar aanleiding van Aanbeveling (EU) 2019/534 inzake cyberbeveiliging van 5G-netwerken, met als doel per sector vast te stellen welke de kritieke ICT-diensten, -systemen of -producten, de relevante bedreigingen en kwetsbaarheden zijn.

(47)Bij de beoordeling van de risico’s voor de toeleveringsketen moet er, in het licht van de kenmerken van de betrokken sector, rekening worden gehouden met zowel technische als, in voorkomend geval, niet-technische factoren, met inbegrip van die welke zijn gedefinieerd in Aanbeveling (EU) 2019/534, in de gecoördineerde risicobeoordeling van de beveiliging van 5G-netwerken in de hele EU en in het EU-instrumentarium voor 5G-cyberbeveiliging dat door de samenwerkingsgroep is overeengekomen. Om te bepalen welke toeleveringsketens aan een gecoördineerde risicobeoordeling moeten worden onderworpen, moet rekening worden gehouden met de volgende criteria: i) de mate waarin essentiële en belangrijke entiteiten gebruik maken van en vertrouwen op specifieke kritieke ICT-diensten, -systemen of -producten; ii) de relevantie van specifieke kritieke ICT-diensten, -systemen of -producten voor het uitvoeren van kritieke of gevoelige functies, met inbegrip van de verwerking van persoonsgegevens; iii) de beschikbaarheid van alternatieve ICT-diensten, -systemen of -producten; iv) de veerkracht van de gehele toeleveringsketen van ICT-diensten, -systemen of -producten tegen verstorende gebeurtenissen en v) voor opkomende ICT-diensten, -systemen of -producten, hun potentiële toekomstige betekenis voor de activiteiten van de entiteiten. (48)Om de wettelijke verplichtingen die aan aanbieders van openbare elektronische-communicatienetwerken of openbare elektronische-communicatiediensten worden opgelegd, te stroomlijnen en aanbieders van vertrouwensdiensten in verband met de beveiliging van hun netwerk- en informatiesystemen in staat te stellen gebruik te maken van het bij deze richtlijn vastgestelde rechtskader (met inbegrip van de aanwijzing van het CSIRT dat verantwoordelijk is voor de behandeling van risico’s en incidenten, de deelname van de bevoegde autoriteiten en organen aan de werkzaamheden van de samenwerkingsgroep en het CSIRT-netwerk), moeten zij worden opgenomen in het toepassingsgebied van deze richtlijn. De overeenkomstige bepalingen van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad en Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad met betrekking tot het opleggen van een beveiligings- en meldingsverplichting aan dit soort entiteiten moeten derhalve worden ingetrokken. De regels inzake de rapportageverplichtingen moeten Verordening (EU) nr. 2016/679 en Richtlijn 2002/58/EG van het Europees Parlement en de Raadonverlet laten. (49)Indien nodig en om onnodige verstoringen te voorkomen, moeten de bestaande nationale richtsnoeren en de nationale wetgeving die zijn vastgesteld voor de omzetting van de in artikel 40, lid 1, van Richtlijn (EU) 2018/1972 vastgestelde regels met betrekking tot beveiligingsmaatregelen, alsmede van de eisen van artikel 40, lid 2, van die richtlijn betreffende de parameters in verband met de ernst van een incident, verder worden gebruikt door de bevoegde autoriteiten die belast zijn met het toezicht en de handhaving voor de toepassing van deze richtlijn. (50)Gezien het toenemende belang van nummeronafhankelijke interpersoonlijke communicatiediensten moet ervoor worden gezorgd dat ook voor dergelijke diensten passende beveiligingseisen gelden, gelet op hun specifieke aard en economisch belang. Aanbieders van dergelijke diensten moeten dus ook zorgen voor een beveiligingsniveau van de netwerk- en informatiesystemen dat is afgestemd op het risico. Aangezien aanbieders van nummeronafhankelijke interpersoonlijke communicatiediensten normaal gesproken geen daadwerkelijke controle uitoefenen op de transmissie van signalen over netwerken, kan de mate van risico voor dergelijke diensten in sommige opzichten als lager worden beschouwd dan voor traditionele elektronische-communicatiediensten. Hetzelfde geldt voor interpersoonlijke communicatiediensten die gebruik maken van nummers en die geen daadwerkelijke controle uitoefenen op de signaaloverdracht. (51)De interne markt is meer dan ooit afhankelijk van het functioneren van het internet. De diensten van vrijwel alle essentiële en belangrijke entiteiten zijn afhankelijk van diensten die via het internet worden verleend. Om te zorgen voor een soepele verlening van diensten die door essentiële en belangrijke entiteiten worden verleend, is het van belang dat openbare elektronische-communicatienetwerken, zoals bijvoorbeeld internetbackbones of onderzeese communicatiekabels, over passende cyberbeveiligingsmaatregelen beschikken en incidenten in verband daarmee melden. (52)In voorkomend geval moeten de entiteiten de ontvangers van hun diensten op de hoogte brengen van bijzondere en significante bedreigingen en van de maatregelen die zij kunnen nemen om het daaruit voortvloeiende risico voor henzelf te beperken. De verplichting om de ontvangers van dergelijke bedreigingen te informeren mag entiteiten niet ontslaan van de verplichting om op eigen kosten passende en onmiddellijke maatregelen te nemen om eventuele cyberbedreigingen te voorkomen of te verhelpen en het normale beveiligingsniveau van de dienst te herstellen. De verstrekking van dergelijke informatie over beveiligingsrisico’s aan de ontvangers moet gratis zijn. (53)De aanbieders van openbare elektronische-communicatienetwerken of openbare elektronische-communicatiediensten moeten met name de ontvangers van de dienst op de hoogte brengen van bijzondere en significante cyberbedreigingen en van de maatregelen die zij kunnen nemen om de beveiliging van hun communicatie te beschermen, bijvoorbeeld door gebruik te maken van specifieke soorten software of encryptietechnologieën. (54)Om de veiligheid van elektronische-communicatienetwerken en -diensten te waarborgen, moet het gebruik van encryptie, en met name eind-tot-eindcodering, worden bevorderd en, waar nodig, verplicht worden gesteld voor aanbieders van dergelijke diensten en netwerken, overeenkomstig de beginselen van beveiliging en privacy, standaard en door het ontwerp, voor de doeleinden van artikel 18. Het gebruik van eind-tot-eindcodering moet aansluiten op de bevoegdheden van de lidstaten om de bescherming van hun wezenlijke veiligheidsbelangen en de openbare veiligheid te waarborgen en om het onderzoek, de opsporing en de vervolging van strafbare feiten in overeenstemming met het recht van de Unie mogelijk te maken. Oplossingen voor legale toegang tot informatie in eind-tot-eind versleutelde communicatie moeten de effectiviteit van de versleuteling voor de bescherming van de privacy en de beveiliging van de communicatie behouden en tegelijkertijd een effectief antwoord op misdaad bieden. (55)Deze richtlijn voorziet in een aanpak in twee fasen van de melding van incidenten om het juiste evenwicht te vinden tussen enerzijds een snelle melding die de potentiële verspreiding van incidenten helpt te beperken en entiteiten in staat stelt steun te zoeken, en anderzijds een grondige melding die waardevolle lessen trekt uit individuele incidenten en mettertijd de veerkracht van individuele bedrijven en hele sectoren ten aanzien van cyberbedreigingen verbetert. Wanneer entiteiten zich bewust worden van een incident, moeten zij binnen 24 uur een eerste melding doen, gevolgd door een eindverslag uiterlijk een maand later. De eerste melding hoeft enkel de informatie te bevatten die strikt noodzakelijk is om de bevoegde autoriteiten op de hoogte te brengen van het incident en de entiteit in staat te stellen om, indien nodig, bijstand te vragen. In die melding moet, indien van toepassing, worden aangegeven of het incident vermoedelijk door een onwettige of kwaadwillige handeling is veroorzaakt. De lidstaten moeten ervoor zorgen dat de eis om deze eerste melding in te dienen de middelen van de rapporterende entiteit niet afleidt van activiteiten die verband houden met de incidentenbehandeling en die als prioritair moeten worden aangemerkt. Om verder te voorkomen dat de verplichtingen inzake de melding van incidenten middelen onttrekken aan de incidentrespons of de inspanningen van de entiteiten op dat gebied anderszins in gevaar brengen, moeten de lidstaten ook bepalen dat de betrokken entiteit in naar behoren gemotiveerde gevallen en in overleg met de bevoegde autoriteiten of het CSIRT kan afwijken van de termijnen van 24 uur voor de eerste melding en één maand voor het eindverslag. (56)Essentiële en belangrijke entiteiten bevinden zich vaak in een situatie waarin een bepaald incident, vanwege de kenmerken ervan, aan verschillende autoriteiten moet worden gemeld als gevolg van meldingsverplichtingen die in verschillende rechtsinstrumenten zijn opgenomen. Dergelijke gevallen creëren extra lasten en kunnen ook leiden tot onzekerheden met betrekking tot het formaat en de procedures van dergelijke meldingen. Met het oog hierop en om de melding van beveiligingsincidenten te vereenvoudigen, moeten de lidstaten een centraal contactpunt instellen voor alle meldingen die op grond van deze richtlijn en ook op grond van andere EU-wetgeving, zoals Verordening (EU) nr. 2016/679 en Richtlijn 2002/58/EG, vereist zijn. Het Enisa moet, in samenwerking met de samenwerkingsgroep, gemeenschappelijke meldingsmodellen ontwikkelen door middel van richtsnoeren die de door het recht van de Unie verlangde rapportage-informatie vereenvoudigen en stroomlijnen en de lasten voor bedrijven verminderen. (57)Wanneer het vermoeden bestaat dat een incident verband houdt met ernstige criminele activiteiten op grond van het recht van de Unie of het nationale recht, moeten de lidstaten essentiële en belangrijke entiteiten aanmoedigen om, op basis van de toepasselijke regels voor strafrechtelijke procedures in overeenstemming met het recht van de Unie, incidenten met een vermoedelijk ernstig crimineel karakter aan de betrokken rechtshandhavingsinstanties te melden. In voorkomend geval en onverminderd de voor Europol geldende regels inzake de bescherming van persoonsgegevens is het wenselijk dat de coördinatie tussen de bevoegde autoriteiten en de rechtshandhavingsinstanties van de verschillende lidstaten wordt vergemakkelijkt door het EC3 en het Enisa. (58)Persoonsgegevens worden in veel gevallen in gevaar gebracht als gevolg van incidenten. In dit verband moeten de bevoegde autoriteiten samenwerken en informatie uitwisselen over alle relevante zaken met de gegevensbeschermingsautoriteiten en de toezichthoudende autoriteiten overeenkomstig Richtlijn 2002/58/EG. (59)Het onderhouden van nauwkeurige en volledige databases van domeinnamen en registratiegegevens (de zogenaamde “WHOIS-gegevens”) en het verlenen van rechtmatige toegang tot dergelijke gegevens is essentieel om de beveiliging, stabiliteit en veerkracht van het DNS te waarborgen, wat op zijn beurt bijdraagt tot een hoog gemeenschappelijk niveau van cyberbeveiliging binnen de Unie. Wanneer de verwerking persoonsgegevens omvat, moet die verwerking in overeenstemming zijn met het recht van de Unie inzake gegevensbescherming. (60)De beschikbaarheid en tijdige toegankelijkheid van deze gegevens voor overheidsinstanties, met inbegrip van de autoriteiten die krachtens het recht van de Unie of het interne recht bevoegd zijn voor het voorkomen, onderzoeken of vervolgen van strafbare feiten, CERT’s, CSIRT’s, en met betrekking tot de gegevens van hun cliënten voor aanbieders van elektronische-communicatienetwerken en -diensten en aanbieders van cyberbeveiligingstechnologieën en -diensten die namens die cliënten optreden, is van essentieel belang om misbruik van domeinnamensystemen te voorkomen en te bestrijden, met name om cyberbeveiligingsincidenten te voorkomen, op te sporen en erop te reageren. Deze toegang moet in overeenstemming zijn met de EU-wetgeving inzake gegevensbescherming voor zover deze betrekking heeft op persoonsgegevens. (61)Om de beschikbaarheid van nauwkeurige en volledige domeinnaamregistratiegegevens te waarborgen, moeten registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten voor topleveldomeinnamen verlenen (de zogenaamde registratoren) de integriteit en beschikbaarheid van domeinnaamregistratiegegevens verzamelen en waarborgen. Met name registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten voor topleveldomeinnamen verlenen, moeten beleid en procedures vaststellen om nauwkeurige en volledige registratiegegevens te verzamelen en bij te houden en om onjuiste registratiegegevens te voorkomen en te corrigeren in overeenstemming met de gegevensbeschermingsregels van de Unie. (62)Registers voor topleveldomeinnamen en de entiteiten die voor hen domeinnaamregistratiediensten verlenen, moeten gegevens voor de registratie van domeinnamen die buiten het toepassingsgebied van de gegevensbeschermingsregels van de Unie vallen, zoals gegevens die betrekking hebben op rechtspersonen, openbaar maken. Registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten voor topleveldomeinnamen verlenen, moeten ook legale toegang tot specifieke domeinnaamregistratiegegevens over natuurlijke personen mogelijk maken voor legitieme toegangvragende partijen, in overeenstemming met de wetgeving van de Unie inzake gegevensbescherming. De lidstaten moeten ervoor zorgen dat registers voor topleveldomeinnamen en de entiteiten die voor hen domeinnaamregistratiediensten verlenen, onverwijld reageren op verzoeken van legitieme toegangvragende partijen om openbaarmaking van gegevens over domeinnaamregistratie. Registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten voor hen verlenen, moeten beleid en procedures vaststellen voor de publicatie en openbaarmaking van registratiegegevens, met inbegrip van overeenkomsten inzake het dienstverleningsniveau voor de behandeling van verzoeken om toegang van legitieme toegangvragende partijen. De toegangsprocedure kan ook het gebruik van een interface, een portaal of een ander technisch hulpmiddel omvatten om een efficiënt systeem te bieden voor het aanvragen en raadplegen van registratiegegevens. Met het oog op de bevordering van geharmoniseerde praktijken in de gehele interne markt kan de Commissie richtsnoeren voor dergelijke procedures vaststellen, zonder afbreuk te doen aan de bevoegdheden van het Europees Comité voor gegevensbescherming. (63)In de regel worden essentiële en belangrijke entiteiten uit hoofde van deze richtlijn geacht onder de jurisdictie te vallen van de lidstaat waar zij hun diensten verlenen. Indien de entiteit diensten verricht in meer dan één lidstaat, moet zij onder de afzonderlijke en gelijktijdige jurisdictie van elk van deze lidstaten vallen. De bevoegde autoriteiten van deze lidstaten moeten samenwerken, elkaar wederzijds bijstand verlenen en, in voorkomend geval, gezamenlijke toezichtsacties uitvoeren. (64)Om rekening te houden met het grensoverschrijdende karakter van de diensten en activiteiten van DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van netwerken voor de levering van inhoud, aanbieders van cloudcomputerdiensten, aanbieders van datacentrumdiensten en digitale aanbieders, zou slechts één lidstaat jurisdictie mogen hebben over deze entiteiten. De jurisdictie moet worden toegekend aan de lidstaat waar de respectieve entiteit haar hoofdvestiging in de Unie heeft. Het vestigingscriterium voor de toepassing van deze richtlijn houdt de daadwerkelijke uitoefening van de activiteit in door middel van stabiele regelingen. De rechtsvorm van dergelijke regelingen, hetzij via een filiaal, hetzij via een dochteronderneming met rechtspersoonlijkheid, is in dat opzicht niet bepalend. Of aan dit criterium wordt voldaan, mag niet afhangen van de vraag of het netwerk- en informatiesysteem zich fysiek op een bepaalde plaats bevinden; de aanwezigheid en het gebruik van dergelijke systemen vormen op zich niet een dergelijke hoofdvestiging en zijn dus geen doorslaggevende criteria voor het bepalen van de hoofdvestiging. De belangrijkste vestiging moet de plaats zijn waar de besluiten met betrekking tot de risicobeheersmaatregelen op het gebied van cyberbeveiliging in de Unie worden genomen. Dit zal doorgaans overeenkomen met de plaats van de centrale administratie van de bedrijven in de Unie. Indien dergelijke besluiten niet in de Unie worden genomen, moet de hoofdvestiging worden geacht zich te bevinden in de lidstaten waar de entiteit een vestiging heeft met het hoogste aantal werknemers in de Unie. Wanneer de diensten door een groep van ondernemingen worden verricht, moet de hoofdvestiging van de zeggenschap uitoefenende onderneming worden beschouwd als de hoofdvestiging van de groep van ondernemingen. (65)Wanneer een DNS-dienstverlener, register voor topleveldomeinnamen, aanbieder van een netwerk voor de levering van inhoud, aanbieder van cloudcomputerdiensten, aanbieder van datacentrumdiensten en digitale aanbieder die niet in de Unie is gevestigd, diensten binnen de Unie aanbiedt, moet hij een vertegenwoordiger aanwijzen. Om te bepalen of een dergelijke entiteit diensten binnen de Unie aanbiedt, moet worden nagegaan of het duidelijk is dat de entiteit van plan is diensten aan te bieden aan personen in een of meer lidstaten. De loutere toegankelijkheid in de Unie van de website van de entiteit of van een tussenpersoon of van een e-mailadres en van andere contactgegevens, of het gebruik van een taal die algemeen wordt gebruikt in het derde land waar de entiteit is gevestigd, is als zodanig onvoldoende om een dergelijk voornemen vast te stellen. Factoren zoals het gebruik van een taal of een valuta die in een of meer lidstaten algemeen wordt gebruikt en de mogelijkheid om diensten in die andere taal te bestellen, of de vermelding van klanten of gebruikers die zich in de Unie bevinden, kunnen echter duidelijk maken dat de entiteit van plan is om diensten binnen de Unie aan te bieden. De vertegenwoordiger moet namens de entiteit optreden en de bevoegde autoriteiten of de CSIRT’s moeten contact met de vertegenwoordiger kunnen opnemen. De vertegenwoordiger moet uitdrukkelijk bij schriftelijke opdracht van de entiteit worden aangewezen om namens de entiteit op te treden met betrekking tot haar verplichtingen uit hoofde van deze richtlijn, met inbegrip van de melding van incidenten. (66)Wanneer er krachtens de bepalingen van deze richtlijn informatie wordt uitgewisseld, gerapporteerd of anderszins gedeeld die volgens het nationale of het EU-recht als gerubriceerd wordt beschouwd, moeten de overeenkomstige specifieke regels voor de behandeling van gerubriceerde informatie worden toegepast.

(67)Nu cyberbedreigingen complexer en geavanceerder worden, zijn goede opsporings- en preventiemaatregelen voor een groot deel afhankelijk van de regelmatige uitwisseling van informatie over bedreigingen en kwetsbaarheden tussen entiteiten. Het delen van informatie draagt bij aan een grotere bewustwording van cyberbedreigingen, wat op zijn beurt het vermogen van de entiteiten om te voorkomen dat bedreigingen tot echte incidenten leiden, vergroot en de entiteiten in staat stelt om de effecten van incidenten beter te beheersen en efficiënter te herstellen. Bij gebrek aan richtsnoeren op het niveau van de Unie lijken verschillende factoren een dergelijke uitwisseling van inlichtingen te hebben afgeremd, met name de onzekerheid over de verenigbaarheid met de mededingings- en aansprakelijkheidsregels. (68)Entiteiten moeten worden aangemoedigd om hun individuele kennis en praktische ervaring op strategisch, tactisch en operationeel niveau collectief te benutten om hun capaciteiten te vergroten om cyberbedreigingen adequaat te beoordelen, te monitoren, zich ertegen te verdedigen en ze te bestrijden. Het is dus noodzakelijk om op het niveau van de Unie mechanismen voor vrijwillige informatie-uitwisseling mogelijk te maken. Daarom moeten de lidstaten ook relevante entiteiten die niet onder het toepassingsgebied van deze richtlijn vallen, actief ondersteunen en aanmoedigen om deel te nemen aan dergelijke mechanismen voor informatie-uitwisseling. Deze mechanismen moeten worden uitgevoerd met volledige inachtneming van de mededingingsregels van de Unie en de regels van het recht van de Unie inzake gegevensbescherming. (69)De verwerking van persoonsgegevens, voor zover strikt noodzakelijk en evenredig met het oog op de netwerk- en informatiebeveiliging, door entiteiten, overheidsinstanties, CERT’s, CSIRT’s en aanbieders van beveiligingstechnologieën en -diensten moet een rechtmatig belang van de betrokken verwerkingsverantwoordelijke vormen, zoals bedoeld in Verordening (EU) nr. 2016/679. Dit omvat maatregelen met betrekking tot de preventie, opsporing en analyse van incidenten en de reactie erop, maatregelen om het bewustzijn met betrekking tot specifieke cyberbedreigingen te vergroten, uitwisseling van informatie in het kader van herstel van de kwetsbaarheid en gecoördineerde openbaarmaking, alsmede de vrijwillige uitwisseling van informatie over deze incidenten, alsmede over cyberbedreigingen en kwetsbaarheden, indicatoren voor aantasting, tactieken, technieken en procedures, cyberbeveiligingswaarschuwingen en configuratiehulpmiddelen. Dergelijke maatregelen