De Computer Security Incident Response Teams (CSIRT's), die verantwoordelijk zijn voor een snelle reactie op cyberbedreigingen en -incidenten, vormen een cruciaal onderdeel van de op grond van de richtlijn cyberbeveiliging vereiste nationale capaciteit. Deze teams worden gebundeld in een CSIRT-netwerk, dat belast wordt met de bevordering van de effectieve operationele samenwerking bij specifieke cyberveiligheidsincidenten en de uitwisseling van informatie over risico's. Voorts voorziet de richtlijn in de oprichting van een samenwerkingsgroep om de strategische samenwerking tussen de lidstaten te ondersteunen en te faciliteren en onderling vertrouwen op te bouwen.

Samenwerking op EU-niveau is derhalve essentieel voor de aanpak van zowel kleinschalige incidenten, die zich mogelijk kunnen uitbreiden, als een grootschalige cyberaanval tegen een groot aantal lidstaten tegelijk. De EU moet de cyberdimensie integreren in de bestaande mechanismen voor crisismanagement. Voorts moet zij zorgen voor effectieve samenwerking en snelle mechanismen voor informatie-uitwisseling tussen sectoren en lidstaten om dergelijke incidenten aan te pakken en te beheersen. Deze mechanismen moeten coherent werken en op die manier bijdragen tot de strijd tegen terrorisme, georganiseerde misdaad en cybercriminaliteit. Dit moet de EU in staat stellen beter met haar internationale partners samen te werken om effectief op te treden tegen mondiale bedreigingen en incidenten.

De EU-strategie inzake cyberbeveiliging en met name de geplande NIB-richtlijn, opent perspectieven voor een betere Europese samenwerking tussen de lidstaten. De snelle en daadwerkelijke tenuitvoerlegging van de richtlijn is van cruciaal belang voor de digitalisering van het economisch en maatschappelijk leven (ook rekening houdend met de cloud, het internet der dingen en machine-machinecommunicatie), de toenemende internationale interactie en de snelle ontwikkeling van het cyberdreigingslandschap. In die context moet de EU zich voorbereiden op een eventuele grootschalige cybercrisis met bijvoorbeeld meerdere gelijktijdige aanvallen op kritieke informatiesystemen in verschillende lidstaten.

In haar strategie voor een digitale eengemaakte markt (DSM) heeft de Commissie erkend dat de snel ontwikkelende technologieën en oplossingen voor online netwerkbeveiliging nog steeds bepaalde leemtes vertonen. Uit marktonderzoek blijkt tegelijk dat het aanbod van cyberbeveiligingsproducten en -diensten op de interne EU-markt nog steeds geografisch versnipperd is. In deze mededeling worden een aantal marktgerichte beleidsmaatregelen geschetst om die leemtes en knelpunten aan te pakken.

Tegelijk moet permanent worden ingezet op de ontwikkeling van sectoroverschrijdende synergieën en de stroomlijning van cybervereisten in alle relevante EU-beleidsterreinen om de weerbaarheid van kritieke cybervoorzieningen in de hele Unie te waarborgen. De Commissie zal bekijken of de EU-strategie voor cyberbeveiliging van 2013 in de nabije toekomst moet worden bijgewerkt.

De afhandeling van een grootschalig cyberincident waarbij meerdere lidstaten tegelijk worden getroffen, kan de EU in de problemen brengen. In samenhang met de mededelingen over de bestrijding van hybride bedreigingen en over de Europese veiligheidsagenda bekijkt de Commissie hoe de EU moet inspelen op de voortdurend wijzigende situatie op het gebied van cyberbeveiliging en welke extra maatregelen moeten worden genomen om de weerbaarheid en de paraatheid van de EU bij incidenten te versterken.

De Strategie inzake cyberbeveiliging van de Europese Unie van 2013 (EU-cyberbeveiligingsstrategie), de richtlijn netwerk- en informatiebeveiliging – die binnenkort wordt aangenomen – en Richtlijn 2013/40/EU over aanvallen op informatiesystemen zijn tot dusver de belangrijkste beleidsinstrumenten van de EU op het gebied van cyberbeveiliging. Voorts beschikt de EU over een aantal gespecialiseerde entiteiten, zoals het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa), het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) bij Europol en het computercrisisteam (CERT-EU). Bovendien is onlangs een aantal sectorale initiatieven gelanceerd (bv. op het gebied van energie en vervoer) om de cyberbeveiliging in een aantal kritieke sectoren te verbeteren.

Elke dag berokkenen cyberveiligheidsincidenten het Europese bedrijfsleven en onze economie ernstige economische schade. Dergelijke incidenten ondermijnen het vertrouwen van burgers en ondernemingen in de digitale samenleving. Diefstal van bedrijfsgeheimen, zakelijke informatie en persoonsgegevens, verstoring van diensten – die soms van vitaal belang zijn – en van infrastructuur veroorzaken jaarlijks honderden miljarden euro verlies. Dit kan ook een impact hebben op de grondrechten van burgers en de maatschappij in het algemeen.

Gezien de aard en veelzijdigheid van cyberdreigingen, moedigt de Commissie de lidstaten aan de NIB-samenwerkingsmechanismen maximaal te benutten en tevens de grensoverschrijdende samenwerking inzake de paraatheid voor een grootschalig cyberincident te versterken. Extra samenwerking in het licht van grote cyberincidenten is gebaat bij een gecoördineerde aanpak van de crisissamenwerking tussen de verschillende elementen van het cyber-ecosysteem. Die aanpak kan worden vertaald in een "blauwdruk", die ook de synergieën en samenhang met bestaande mechanismen voor crisismanagement waarborgt. Een en ander moet daarna regelmatig worden getest door middel van cyber- en andere crisismanagementoefeningen. Daarbij zal ook een beroep worden gedaan op EU-instanties zoals het Enisa, CERT-EU en het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) bij Europol, en op de in het kader van het CSIRT-netwerk ontwikkelde tools. In de eerste helft van 2017 zal de Commissie een blauwdruk voor die samenwerking voorstellen aan de samenwerkingsgroep, het CSIRT-netwerk en andere belanghebbenden.

Op EU-niveau is er reeds kennis en deskundigheid op het gebied van cyberbeveiliging beschikbaar, maar die is versnipperd en niet gestructureerd. Om de NIB-samenwerkingsmechanismen te ondersteunen moet die informatie worden gebundeld in een "informatiehub", zodat ze op verzoek ter beschikking van de lidstaten kan worden gesteld. Die hub zou de spil worden voor de uitwisseling van informatie tussen de EU-instellingen en de lidstaten. Een vlottere toegang tot beter gestructureerde informatie over cyberbeveiligingsrisico's en potentiële remedies moet de lidstaten helpen hun capaciteit te versterken en praktijken op elkaar af te stemmen, en uiteindelijke de algemene weerbaarheid tegen aanvallen versterken. De Commissie, met steun van het Enisa, CERT-EU en met de deskundigheid van het Gemeenschappelijk Centrum voor Onderzoek, zal de oprichting en duurzaamheid van de hub faciliteren.

Bovendien moet op EU-niveau een gewone adviesgroep op hoog niveau op het gebied van cyberbeveiliging worden ingesteld, samengesteld uit deskundigen en beleidsmakers uit de sector, academici, het maatschappelijk middenveld en andere relevante organisaties. Via deze groep zou de Commissie voor haar cyberbeveiligingsbeleid en eventuele regelgevende of andere beleidsmaatregelen op een open en transparante wijze een beroep kunnen doen op externe deskundigheid en input. De groep zou een aanvulling vormen op en aansluiten bij de andere structuren op het gebied van cyberbeveiliging.

Bovendien moet de Commissie uiterlijk op 20 juni 2018 een evaluatie van het Enisa maken en moet de eventuele wijziging of verlenging van het mandaat van het Enisa uiterlijk 19 juni 2020 worden vastgesteld. In het licht van het huidige cyberbeveiligingslandschap, wil de Commissie werk maken van die evaluatie en, afhankelijk van de resultaten daarvan, zo snel mogelijk een voorstel indienen.

Bij de beoordeling van de eventuele behoefte aan een wijziging van het mandaat van het Enisa moet de Commissie rekening houden met de hierboven omschreven knelpunten inzake cyberbeveiliging en met de algemene inspanningen om de samenwerking en kennisuitwisseling te versterken. Dit proces biedt de gelegenheid om te bekijken of het Agentschap moet worden versterkt zodat het de lidstaten op duurzame wijze kan ondersteunen bij het opbouwen van weerbaarheid op het gebied van cyberbeveiliging. Bij de denkoefening over het mandaat van het Enisa moet bovendien rekening worden gehouden met de nieuwe verantwoordelijkheden van het Agentschap op grond van de NIB-richtlijn, de nieuwe beleidsdoelstellingen ter ondersteuning van de cyberbeveiligingsbranche (DSM-strategie en in het bijzonder het cPPP), de veranderende behoeften voor de beveiliging van kritieke sectoren en ten slotte de nieuwe uitdagingen in verband met grensoverschrijdende incidenten, onder meer de gecoördineerde respons op cybercrises.

De Commissie: -komt in de eerste helft van 2017 met een blauwdruk voor Europese samenwerking bij de aanpak van grootschalige cyberincidenten; -faciliteert het opzetten van een informatiehub voor de uitwisseling van informatie tussen de EU-instanties en de lidstaten; -richt een adviesgroep op hoog niveau op inzake cyberbeveiliging; en -rondt tegen eind 2017 de evaluatie van het Enisa af. Bij die evaluatie wordt bekeken of het mandaat van het Enisa moet worden gewijzigd of uitgebreid en wordt getracht zo snel mogelijk een voorstel in te dienen.

2.2 Sterker inzetten op onderwijs, opleiding en oefeningen op het gebied van cyberbeveiliging

De juiste vaardigheden en opleiding om cyberbeveiligingsincidenten te voorkomen en de impact daarvan op te vangen of te beperken, zijn enkele cruciale elementen om weerstand op te bouwen inzake cyberbeveiliging.

Op dit moment leveren het Enisa en de Europese groep voor opleiding in verband met cybercriminaliteit (ECTEG) in samenwerking met het Europees Centrum voor de bestrijding van cybercriminaliteit en de Europese Politieacademie (Cepol), allemaal een belangrijke bijdrage tot de opbouw van capaciteit – ook op forensisch gebied – door de opstelling van handboeken en door de organisatie van opleidingen en oefeningen op het gebied van cyberbeveiliging.

Tegelijk is de cyberruimte een zich snel veranderend domein waar capaciteiten voor tweeërlei gebruik een cruciale rol spelen. Daarom is het noodzakelijk civiel-militaire samenwerking op te zetten en synergieën te ontwikkelen op het gebied van opleiding en oefeningen om de EU weerbaarder te maken en beter te wapenen tegen incidenten.

Om op die behoefte in te spelen en als volgende stap na de vaststelling van de NIB-richtlijn en het EU-beleidskader voor cyberdefensie, zullen de diensten van de Commissie, in samenwerking met de lidstaten, de Europese Dienst voor extern optreden (EDEO), het Enisa en andere betrokken EU-organen, een onderwijs-, opleidings- en oefenplatform op het gebied van cyberbeveiliging opzetten dat de synergieën tussen burgerlijke en militaire opleidingen zal bevorderen.

De Commissie: -creëert in nauwe samenwerking met de lidstaten, het Enisa, de EDEO en andere betrokken EU-organen een opleidingsplatform op het gebied van cyberbeveiliging.

2.3. Aanpakken van sectoroverschrijdende afhankelijkheden en de weerbaarheid van vitale openbare netwerkinfrastructuur

Bij de beoordeling van risico's en de impact van een grootschalig cyberincident is de grens- of sectoroverschrijdende afhankelijkheid een doorslaggevende factor. Een ernstig cyberincident in één sector of lidstaat kan een directe of indirecte invloed hebben op of zich uitbreiden naar andere sectoren of lidstaten.

Grens- en sectoroverschrijdende samenwerking faciliteert de uitwisseling van informatie en deskundigheid en bevordert derhalve de paraatheid en weerbaarheid. Via het Europees programma voor de bescherming van kritieke infrastructuur heeft de Commissie ondersteuning verleend voor de werkzaamheden in diverse sectoren om een beter inzicht te verwerven in de onderlinge afhankelijkheden.

Tegelijk is de bekwaamheid van elke afzonderlijke sector om cyberincidenten te detecteren, er zich op voor te bereiden en ze aan te pakken een noodzakelijke vereiste voor de aanpak van sectoroverschrijdende risico's. De Commissie zal een beoordeling maken van de risico's die voortvloeien uit cyberincidenten in sterk onderling afhankelijke sectoren in binnen en buitenland, met name in sectoren die onder de NIB-richtlijn vallen, waarbij rekening wordt gehouden met de internationale ontwikkelingen. Op basis van die beoordeling zal de Commissie bepalen of er voor die kritieke sectoren behoefte is aan verdere specifieke regels en/of richtsnoeren inzake de paraatheid voor cyberrisico's.

Op Europees niveau kunnen de sectorale Activiteitencentra voor de informatiemaatschappij (ISAC's) en de overeenkomstige CSIRT's een cruciale rol spelen in de voorbereiding en respons op cyberincidenten. Om de effectieve informatiedoorstroming over wijzigende bedreigingen te waarborgen en de respons op cyberincidenten te faciliteren, moeten de ISAC's worden aangespoord tot samenwerking met het CSIRT-netwerk waarin de NIB-richtlijn voorziet en met het Europees Centrum voor de bestrijding van cybercriminaliteit bij Europol, het CERT-EU en de bevoegde rechtshandhavingsinstanties.

Voor de uitwisseling van informatie tussen belanghebbenden en autoriteiten tijdens de volledige levenscyclus van cyberrisico’s moeten de deelnemers erop kunnen vertrouwen dat zij niet aansprakelijk zullen worden gesteld. De Commissie heeft geconstateerd dat een aantal problemen bedrijven ervan weerhouden waardevolle informatie over dreigingen uit te wisselen met collega's, andere sectoren of de autoriteiten, met name over de grenzen heen. In het belang van een betere uitwisseling van informatie over cyberdreigingen tracht de Commissie die bezwaren aan te pakken en te verlichten.

Betrouwbare rapportagekanalen die de vertrouwelijkheid waarborgen, zijn essentieel om bedrijven aan te moedigen cyberdiefstal van bedrijfsgeheimen te melden. Hierdoor zou het mogelijk worden de schade voor het Europese bedrijfsleven (die tevens tot een verlies aan omzet en werkgelegenheid leidt) en onderzoeksinstellingen te monitoren en in kaart te brengen. Die informatie zal ook helpen om passende beleidsmaatregelen te ontwikkelen. Met steun van het Enisa, het Bureau voor intellectuele eigendom van de Europese Unie (EUIPO) en EC3 bij Europol, zal de Commissie – in overleg met particuliere belanghebbenden – kanalen opzetten waar cyberdiefstal van bedrijfsgeheimen vrijwillig kan worden gemeld en waar de vertrouwelijkheid wordt gewaarborgd. Dit moet het mogelijk maken op EU-niveau geanonimiseerde en geaggregeerde gegevens te verzamelen. Die kunnen vervolgens worden gedeeld met de lidstaten als input voor hun diplomatieke inspanningen en voorlichtingsacties om de immateriële activa van de EU te beschermen tegen cyberaanvallen.

Om de sectorale cyberbeveiliging te bevorderen, zal de Commissie er ook voor pleiten de cyberveiligheidsdimensie mee te nemen bij de ontwikkeling van sectorale EU-beleidsmaatregelen.