De rechtsgrond voor deze verordening is artikel 298 van het Verdrag betreffende de werking van de Europese Unie (VWEU), dat bepaalt dat de instellingen, organen en instanties van de Unie bij de vervulling van hun taken steunen op een open, doeltreffend en onafhankelijk Europees ambtenarenapparaat. Met inachtneming van het statuut en de regeling vastgesteld op grond van artikel 336, stellen het Europees Parlement en de Raad volgens de gewone wetgevingsprocedure bij verordeningen toepasselijke bepalingen vast.

In zijn resolutie van 9 maart 2021 benadrukte de Raad van de Europese Unie dat cyberbeveiliging essentieel is voor de werking van openbare diensten en instellingen, zowel nationaal als op EU-niveau, en voor onze samenleving en de gehele economie, en hij benadrukte verder het belang van een robuust en consistent beveiligingskader om alle personeel, gegevens, communicatienetwerken en informatiesystemen evenals besluitvormingsprocessen te beschermen. Daartoe moet de EU weerbaarder worden gemaakt tegen cyberdreigingen en moet er een betere veiligheidscultuur komen bij de instellingen, organen en instanties van de Unie. Er moet worden gezorgd voor voldoende beschikbare middelen en capaciteiten, onder meer in het kader van de versterking van het mandaat van CERT-EU.

·Richtlijn (EU) 2016/1148 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie. Het is ook in overeenstemming met het voorstel voor een richtlijn (EU) XXX/XXX betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie en tot intrekking van Richtlijn (EU) 2016/1148 [NIS 2-voorstel];

Dit voorstel is erop gericht de cyberbeveiligingsweerbaarheid van de instellingen, organen en instanties van de Unie tegen cyberdreigingen te verbeteren en in overeenstemming te brengen met de bestaande wetgeving:

Het voorstel doopt CERT-EU om van “computercrisisteam” in “cyberbeveiligingscentrum” voor de instellingen, organen en instanties van de Unie, conform de ontwikkelingen in de lidstaten en wereldwijd, waar veel CERT’s worden omgedoopt tot cyberbeveiligingscentra; de korte naam “CERT-EU” blijft vanwege de herkenbaarheid evenwel behouden.

Bij dit voorstel wordt een kader voor gemeenschappelijke voorschriften en maatregelen voor cyberbeveiliging binnen de instellingen, organen en instanties van de Unie opgericht. Het voorstel beoogt de weerbaarheid van alle entiteiten en de responscapaciteit bij incidenten verder te verbeteren. Het sluit aan bij de prioriteiten van de Commissie om Europa klaar te maken voor het digitale tijdperk en een toekomstbestendige economie op te bouwen die werkt voor de mensen. Bovendien is de zorg voor een veilig en veerkrachtig openbaar bestuur een hoeksteen van de digitale transformatie van de samenleving in haar geheel.

Tussen 2019 en 2021 is het aantal door advanced persistent threat-actoren uitgevoerde significante incidenten met gevolgen voor de instellingen, organen en instanties van de Unie, dramatisch gestegen. In de eerste helft van 2021 waren er evenveel significante incidenten als in heel 2020. Dit is goed te zien in het aantal door CERT-EU in 2020 geanalyseerde forensische beelden (snapshots van de inhoud van getroffen systemen of apparaten), dat was verdrievoudigd ten opzichte van 2019, en het aantal significante incidenten is sinds 2018 meer dan vertienvoudigd.

·dreigingen die zijn ontdekt in de nabijheid van de instellingen, organen en instanties van de Unie (bijvoorbeeld in gerelateerde sectoren, groepen van belanghebbenden of in Europa);

CERT-EU heeft een beoordeling uitgevoerd van de belangrijkste cyberdreigingen waaraan de instellingen, organen en instanties van de Unie momenteel of waarschijnlijk in de nabije toekomst worden blootgesteld.

De keuze voor een verordening, die rechtstreeks toepasselijk is, wordt beschouwd als het geschikte rechtsinstrument om de aan de instellingen, organen en instanties van de Unie opgelegde verplichtingen te definiëren en te stroomlijnen. Met het oog op gerichte verbeteringen is een verordening het geschiktste rechtsinstrument.

De in deze verordening voorgestelde regels gaan niet verder dan nodig is om de specifieke doelstellingen op bevredigende wijze te verwezenlijken. De voorgenomen maatregelen dragen bij tot de verwezenlijking van een hoog gezamenlijk niveau van cyberbeveiliging, zonder verder te gaan dan wat nodig is om de doelstelling te verwezenlijken, in het licht van de steeds grotere risico’s.

Bovendien vormen de huidige verschillen in opstelling jegens en benadering van cyberbeveiliging tussen de instellingen, organen en instanties van de Unie, zoals uiteengezet in punt 3 hieronder, verdere belemmeringen voor een open, efficiënt en onafhankelijk Europees bestuur. Zonder een gemeenschappelijke aanpak zou de positie ten opzichte van cyberbeveiliging onder de instellingen, organen en instanties van de Unie zich in uiteenlopende richtingen blijven ontwikkelen. De rechtsgrond is derhalve passend, aangezien de verordening tot doel heeft een gemeenschappelijk rechtskader voor cyberbeveiliging te scheppen binnen de instellingen, organen en instanties van de Unie.

Informatietechnologie heeft de instellingen, organen en instanties van de Unie nieuwe manieren geboden om te functioneren, met burgers te communiceren en de algehele werking te verbeteren. Cyberdreigingen evolueren mee met de zich ontwikkelende technologie. De instellingen, organen en instanties van de Unie zijn zeer aantrekkelijke doelwitten van geavanceerde cyberaanvallen geworden. Het opzetten van systemen en vereisten om cyberbeveiliging te waarborgen, lijkt bij te dragen tot de efficiëntie en de onafhankelijkheid van het Europese openbaar bestuur, zodat de instellingen, organen en instanties van de Unie bij de uitvoering van hun taken efficiënter kunnen functioneren in een digitale wereld.

Hoewel het daarom waarschijnlijk is dat veel instellingen, organen en instanties van de Unie minder aan cyberbeveiliging uitgeven dan zou moeten, zal deze verordening als zodanig niet leiden tot een verhoging van de huidige uitgaven. Ook zonder de verordening moet iedere entiteit een passend niveau van cyberbeveiliging waarborgen. De verordening bestendigt de eerdere samenwerking binnen het CERT-EU-bestuur, en formaliseert een momenteel al ten dele bestaande informatie-uitwisseling. Zoals beschreven in het financieel memorandum, heeft CERT-EU extra middelen nodig om zijn uitgebreide rol te vervullen, en die middelen moeten worden geheroriënteerd van de instellingen, organen en instanties van de Unie die van de diensten van CERT-EU profiteren.

Uit marktbenchmarks en studies blijkt dat de directe uitgaven voor cyberbeveiliging plegen te variëren van 4 tot 7 % van de totale IT-uitgaven van organisaties. Uit de dreigingsanalyse van CERT-EU ter ondersteuning van dit wetgevingsvoorstel blijkt echter dat internationale organen en politieke organisaties met grotere risico’s te kampen hebben en dat een niveau van 10 % van de IT-uitgaven voor cyberbeveiliging derhalve een adequater cijfer is. De precieze kosten van die inspanningen kunnen niet worden bepaald vanwege het gebrek aan nadere informatie over de IT-uitgaven van de instellingen, organen en instanties van de Unie en het relevante deel van de uitgaven aan cyberbeveiliging.

De EU heeft zich ertoe verbonden hoge normen voor de bescherming van de grondrechten te waarborgen. Het delen van informatie op basis van deze verordening vindt plaats in een betrouwbare omgeving met volledige inachtneming van het recht op bescherming van persoonsgegevens in de zin van artikel 8 van het Handvest van de grondrechten van de Europese Unie en de toepasselijke gegevensbeschermingsregels, met name Verordening (EU) 2018/1725 van het Europees Parlement en de Raad.

Het onderhavige voorstel heeft gevolgen voor de instellingen, organen en instanties van de Unie. Aangezien het niet van toepassing is op de lidstaten, is een specifieke effectbeoordeling overbodig.

De Commissie heeft belanghebbenden uit alle instellingen, organen en instanties van de Unie, alsook vertegenwoordigers van de lidstaten in de Raad en belanghebbenden in het Europees Parlement geraadpleegd. Vertegenwoordigers van de lidstaten en belanghebbenden van de instellingen, organen en instanties van de Unie hebben op 25 juni 2021 deelgenomen aan een door de Commissie georganiseerde workshop om de inhoud van het toekomstige verordeningsvoorstel te bespreken.

Samenvattend blijkt uit de analyse van de 20 instellingen, organen en instanties van de Unie dat hun governance, cyberhygiëne, algehele capaciteit en maturiteit over een breed spectrum uiteenlopen. Daarom is de eis dat alle instellingen, organen en instanties van de Unie een basis van cyberbeveiligingsmaatregelen implementeren, bevorderlijk om dit verschil in maturiteit aan te pakken en alle instellingen, organen en instanties van de Unie naar een hoog gezamenlijk niveau van cyberbeveiliging te tillen.

·hoewel de cyberbeveiligingskaders (strategie, beleid en een basis van regels) van de geëvalueerde instellingen, organen en instanties van de Unie over het algemeen op de belangrijkste in bijlage I bij de verordening opgenomen cyberbeveiligingsgebieden aanwezig zijn, een degelijk bedrijfscontinuïteitsbeheer, naleving, audit en voortdurende verbetering bij sommige instellingen, organen en instanties van de Unie ontbreken;

·hoewel veel instellingen, organen en instanties van de Unie over het algemeen over degelijke opsporings- en responscapaciteiten beschikken, de niveaus van geïntegreerd risicobeheer binnen hun governancevermogens op het gebied van cyberbeveiliging uiteenlopen;

Het onderzoek was gebaseerd op vragenlijsten die deze instellingen, organen en instanties hadden ingevuld, openbare gegevens en gegevens die rechtstreeks door de instellingen, organen en instanties van de Unie zelf werden verstrekt. Het bood voldoende inzicht in de huidige situatie om te kunnen concluderen dat:

In aanvulling op de dreigingsanalyse van CERT-EU heeft de Commissie de werking van de cyberbeveiliging van 20 instellingen, organen en instanties van de Unie onderzocht. Dit gaf inzicht in de bestaande cyberbeveiligingspraktijken en de capaciteiten op het gebied van cyberbeveiligingsbeheer, met externe benchmarking van een aantal technische beveiligingscontroles.

Het CERT-EU-bestuur heeft in 2020 een nieuwe strategische doelstelling voor CERT-EU vastgesteld om te zorgen voor een alomvattend niveau van cyberdefensie voor alle instellingen, organen en instanties van de Unie, met een passend bereik en met voortdurende aanpassing aan huidige of op handen zijnde dreigingen, waaronder aanvallen op mobiele apparatuur, cloudomgevingen en apparaten voor het internet der dingen.

De instellingen, organen en instanties van de Unie stellen CERT-EU met name onverwijld en in ieder geval binnen 24 uur nadat zij daarvan kennis hebben gekregen, op de hoogte van significante cyberdreigingen, significante kwetsbaarheden en significante incidenten (artikelen 18-22).

CERT-EU kan een voorstel voor richtsnoeren of een aanbeveling opstellen, dat de IICB kan besluiten aan te nemen. Richtsnoeren zijn een advies, gericht tot alle of een aantal van de instellingen, organen en instanties van de Unie, en aanbevelingen zijn gericht tot individuele instellingen, organen en instanties van de Unie. Een oproep tot actie is een advies van CERT-EU betreffende dringende veiligheidsmaatregelen die instellingen, organen en instanties van de Unie binnen een bepaalde termijn met klem wordt aangeraden te treffen.

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 298,

Gezien het Verdrag tot oprichting van de Europese Gemeenschap voor Atoomenergie, en met name artikel 106 bis,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Handelend volgens de gewone wetgevingsprocedure,

Overwegende hetgeen volgt:

(1)In het digitale tijdperk vormt informatie- en communicatietechnologie een hoeksteen van een open, efficiënt en onafhankelijk openbaar bestuur van de Unie. Technologische ontwikkelingen en toegenomen complexiteit en onderlinge verwevenheid van digitale systemen vergroten de risico’s op het gebied van cyberbeveiliging, waardoor het openbaar bestuur van de Unie kwetsbaarder wordt voor cyberdreigingen en cyberincidenten, wat uiteindelijk de bedrijfscontinuïteit en de gegevensbeveiligingscapaciteit in gevaar brengt. Het toegenomen gebruik van clouddiensten, een alomtegenwoordig gebruik van IT, een hoge graad van digitalisering, thuiswerk en technologische ontwikkelingen en connectiviteit zijn tegenwoordig kernkenmerken van alle activiteiten van de entiteiten van de Unie, maar digitale weerbaarheid is hier nog onvoldoende ingebouwd.

(2)De instellingen, organen en instanties van de Unie hebben te kampen met constant veranderende dreigingen op het gebied van cyberveiligheid. De tactieken, technieken en procedures van dreigingsactoren evolueren constant, maar de voornaamste motieven voor die aanvallen blijven dezelfde: die gaan van diefstal van waardevolle niet openbaar gemaakte informatie tot geld verdienen, het manipuleren van de publieke opinie en het ondermijnen van de digitale infrastructuur. Cyberaanvallen volgen elkaar steeds sneller op, met steeds geavanceerdere en meer geautomatiseerde campagnes, gericht tegen zwakke plekken, en daarbij worden kwetsbaarheden snel uitgebuit.

(3)De IT-omgevingen van de instellingen, organen en instanties van de Unie hebben onderlinge afhankelijkheden en geïntegreerde gegevensstromen, en hun gebruikers werken nauw samen. Deze onderlinge afhankelijkheid betekent dat elke verstoring, zelfs als die in eerste instantie beperkt is tot één instelling, orgaan of instantie van de Unie, breder kan uitwaaieren en ingrijpende langdurige negatieve gevolgen voor de andere entiteiten kan hebben. Bovendien zijn de IT-omgevingen van bepaalde instellingen, organen en instanties van de Unie verbonden met de IT-omgevingen van de lidstaten, zodat een incident in één entiteit van de Unie een risico kan vormen voor de cyberbeveiliging van de IT-omgevingen van de lidstaten, en omgekeerd.

(4)De instellingen, organen en instanties van de Unie zijn aantrekkelijke doelwitten die worden geconfronteerd met hooggekwalificeerde en goed toegeruste dreigingsactoren en andere dreigingen. Tegelijkertijd lopen de maturiteit van cyberveerkracht en het vermogen om kwaadwillige cyberactiviteiten op te sporen, aanzienlijk uiteen tussen deze entiteiten. Daarom is het voor de werking van het Europese openbaar bestuur nodig dat de instellingen, organen en instanties van de Unie een hoog gezamenlijk niveau van cyberbeveiliging bereiken, door tot een basisniveau van cyberbeveiliging te komen (minimumregels inzake cyberbeveiliging waaraan netwerk- en informatiesystemen en hun beheerders en gebruikers moeten voldoen om cyberbeveiligingsrisico’s tot een minimum te beperken), informatie uit te wisselen en samen te werken.

(5)De richtlijn [NIS 2-voorstel] betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie beoogt de weerbaarheid op het gebied van cyberbeveiliging en de responscapaciteit bij incidenten van publieke en private entiteiten, nationale bevoegde autoriteiten en organen alsmede de Unie als geheel verder te verbeteren. Daarom moeten de instellingen, organen en instanties van de Unie hetzelfde doen en zorgen voor regels die in overeenstemming zijn met de richtlijn [NIS 2-voorstel] en het ambitieniveau ervan weerspiegelen.

(6)Om een hoog gezamenlijk niveau van cyberbeveiliging te bereiken, moeten de instellingen, organen en instanties van de Unie elk een intern kader voor het beheer, de governance en de controle met betrekking tot cyberbeveiligingsrisico’s opzetten, dat een doeltreffend en prudent beheer van alle cyberbeveiligingsrisico’s waarborgt en rekening houdt met bedrijfscontinuïteit en crisisbeheer.

(7)De verschillen tussen de instellingen, organen en instanties van de Unie vereisen flexibiliteit bij de uitvoering, omdat een uniforme aanpak niet mogelijk is. De maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging mogen geen verplichtingen omvatten die rechtstreeks ingrijpen in de uitoefening van de missie van de instellingen, organen en instanties van de Unie, of hun institutionele autonomie aantasten. Die instellingen, organen en instanties van de Unie moeten dus hun eigen kaders voor het beheer, de governance en de controle met betrekking tot cyberbeveiligingsrisico’s opstellen en hun eigen basisniveau van cyberbeveiliging en cyberbeveiligingsplannen vaststellen.

(8)Om te voorkomen dat aan de instellingen, organen en instanties van de Unie onevenredige financiële en administratieve lasten worden opgelegd, moeten de eisen inzake risicobeheer op het gebied van cyberbeveiliging, rekening houdend met de stand van de techniek, in verhouding staan tot het risico dat verbonden is aan het netwerk- en informatiesysteem in kwestie. De instellingen, organen en instanties van de Unie moeten beogen een passend percentage van hun IT-begroting aan betere cyberbeveiliging te besteden; op langere termijn moet een doel van ongeveer 10 % worden nagestreefd.

(9)Voor een hoog gezamenlijk niveau van cyberbeveiliging is vereist dat cyberbeveiliging wordt geplaatst onder het toezicht van het hoogste managementniveau van de individuele instellingen, organen en instanties van de Unie, dat een basisniveau van cyberbeveiliging moet goedkeuren om de risico’s aan te pakken die in het door de afzonderlijke instellingen, organen en instanties van de Unie op te stellen kader zijn aangeduid. Het aanpakken van de cyberbeveiligingscultuur, dat wil zeggen de dagelijkse cyberbeveiligingspraktijk, maakt integraal deel uit van een basisniveau van cyberbeveiliging binnen de instellingen, organen en instanties van de Unie.

(10)De instellingen, organen en instanties van de Unie moeten de risico’s betreffende de betrekkingen met leveranciers en dienstverleners, inclusief leveranciers van gegevensopslag- en gegevensverwerkingsdiensten of beheerde beveiligingsdiensten, beoordelen, en daarvoor passende maatregelen treffen. Deze maatregelen moeten deel uitmaken van het basisniveau van cyberbeveiliging en nader worden gespecificeerd in richtsnoeren of aanbevelingen van CERT-EU. Bij het definiëren van maatregelen en richtsnoeren moet terdege rekening worden gehouden met de toepasselijke Uniewetgeving en ‑beleidsmaatregelen, met inbegrip van risicobeoordelingen en aanbevelingen van de NIS-samenwerkingsgroep, zoals de gecoördineerde EU‑risicobeoordeling en de EU-toolbox inzake 5G-cyberbeveiliging. Bovendien kan het noodzakelijk zijn dat relevante ICT-systemen, diensten en processen worden gecertificeerd op grond van artikel 49 van Verordening (EU) 2019/881 vastgestelde specifieke EU-cyberbeveiligingscertificeringsregelingen.

(11)In mei 2011 hebben de secretarissen-generaal van de instellingen, organen en instanties van de Unie besloten een preconfiguratieteam voor een computercrisisteam voor de instellingen, organen en instanties van de Unie (CERT-EU) in te stellen, onder toezicht van een interinstitutionele stuurgroep. In juli 2012 bevestigden de secretarissen-generaal de praktische regelingen en kwamen zij overeen CERT-EU te handhaven als permanente entiteit om het algehele niveau van IT-veiligheid van de instellingen, organen en instanties van de EU verder te helpen verbeteren, als voorbeeld van zichtbare interinstitutionele samenwerking op het gebied van cyberveiligheid. In september 2012 is CERT-EU opgericht als taskforce van de Europese Commissie, met een interinstitutioneel mandaat. In december 2017 zijn de instellingen, organen en instanties van de Unie een interinstitutionele regeling overeengekomen over de organisatie en de werking van CERT-EU. Deze regeling moet doorlopend evolueren ter ondersteuning van de uitvoering van deze verordening.

(12)CERT-EU moet worden omgedoopt van “computercrisisteam” in “cyberbeveiligingscentrum” voor de instellingen, organen en instanties van de Unie, in overeenstemming met de ontwikkelingen in de lidstaten en wereldwijd, waar veel CERT’s worden omgedoopt tot cyberbeveiligingscentra, maar de korte naam “CERT-EU” moet vanwege de herkenbaarheid behouden blijven.

(13)Veel cyberaanvallen zijn onderdeel van bredere campagnes die gericht zijn tegen groepen instellingen, organen en instanties van de Unie of belangengemeenschappen die de instellingen, organen en instanties van de Unie omvatten. Om proactief opsporings-, incidentrespons- of beperkende maatregelen te kunnen treffen, moeten de instellingen, organen en instanties van de Unie CERT-EU onverwijld in kennis stellen van significante dreigingen, significante kwetsbaarheden en significante incidenten op het gebied van cyberveiligheid en passende technische details delen, op grond waarvan opsporings-, incidentrespons- of beperkende maatregelen kunnen worden getroffen tegen vergelijkbare dreigingen, kwetsbaarheden en incidenten op het gebied van cyberveiligheid binnen andere instellingen, organen en instanties van de Unie. Op basis van dezelfde aanpak als die voorzien in richtlijn [NIS 2-voorstel] moeten entiteiten binnen 24 uur nadat zij daarvan kennis hebben gekregen, CERT-EU initieel van significante incidenten op de hoogte stellen. Aan de hand van die informatie-uitwisseling moet CERT-EU de informatie kunnen verspreiden onder de andere instellingen, organen en instanties van de Unie en aan passende tegenhangers, om de IT-omgevingen van de Unie en die van de tegenhangers van de Unie te helpen beschermen tegen soortgelijke incidenten, dreigingen en kwetsbaarheden.

(14)Naast meer taken en een grotere rol voor CERT-EU, moet een interinstitutionele raad voor cyberbeveiliging (IICB) worden opgericht, die een hoog gezamenlijk niveau van cyberbeveiliging onder de instellingen, organen en instanties van de Unie moet bevorderen, door middel van toezicht op de uitvoering van deze verordening door de instellingen, organen en instanties van de Unie en op de uitvoering van de algemene prioriteiten en doelstellingen door CERT-EU, en via de strategische leiding van CERT-EU. De IICB moet vertegenwoordiging van de instellingen waarborgen, en via het netwerk van agentschappen van de Unie vertegenwoordigers van instanties en organen omvatten.