NL    NL NL 
 
NL    NL  COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN 
Brussel, 30.3.2009 
SEC(2009) 400 
  
WERKDOCUMENT VAN DE DIENSTEN VAN DE COMMISSIE 
Begeleidend document bij de 
   
MEDEDELING VAN DE COMMISSIE A AN DE RAAD, HET EUROPEES 
PARLEMENT, HET EUROPEES ECONOM ISCH EN SOCIAAL COMITÉ EN HET 
COMITÉ VAN DE REGIO'S 
 
betreffende de bescherming van kr itieke informatie-infrastructuur 
“Europa beschermen tegen grootschalige cyber aanvallen en verstoringen: verbeteren van 
de paraatheid, beveiliging en veerkracht”  
   
SAMENVATTING VAN DE  EFFECTBEOORDELING 
 
{COM(2009) 149} 
{SEC(2009) 399} 
 
NL 2   NL SAMENVATTING VAN DE  EFFECTBEOORDELING  
1. WAT IS HET PROBLEEM ? 
De ICT-sector is van vitaal belang v oor de Europese economie en samenleving 
Informatie- en communicatietechnologieën (ICT) vormen de ruggengraat van de Europese 
economie en samenleving. De ICT-sector is van vitaal bela ng voor alle geledingen van de 
maatschappij.  Zowel voor directe verkoop als voor de  efficiëntie en doelmatigheid van hun 
interne processen doen bedrijven een beroep op de ICT-sector . Voorts wordt ICT steeds 
belangrijker voor de werking van het beleid en overheidsdiensten : de opkomst van e-
governmentdiensten op alle niveaus zorgt voor  efficiëntere procedures, maar maakt de 
overheid voor haar werking tegelijk sterk afhanke lijk van ICT. Ten slotte maken burgers in 
hun dagelijks leven steeds meer ge bruik van informatiediensten en ICT: naast de negatieve 
effecten van een eventuele cyberstoring op die activiteiten worden steeds meer persoonlijke gegevens van burgers via elektronische weg m eegedeeld en uitgewisseld. Door ontoereikende 
veiligheidsmaatregelen kan persoonlijke informatie verloren gaan en ontstaat het risico op identiteitsdiefstal of andere vormen van fraude
1. Een betere beveiliging en veerkracht van 
de ICT-infrastructuur is derhalve van funda menteel belang voor de bescherming van de 
persoonsgegevens en een degelijke ha ndhaving van het recht op privacy.  
ICT-systemen en –diensten zijn een vitale  infrastructuur als dusdanig maar vormen 
daarenboven de basis voor andere kritieke technol ogische en maatschappel ijke infrastructuur. 
Dit werd erkend in het Groenboek van de Eur opese Commissie betreffende een Europees 
programma voor de bescherming van kritieke infrastructuur waar in onder het begrip kritieke 
informatie infrastructuur (KII)  alle " ICT-systemen worden begrep en die hetzij zelf kritieke 
infrastructuur vormen of die essentieel zijn voor de exploitatie van kritische infrastructuur 
(telecommunicatie, computer/software, internet, satellieten, enz2.", alsmede door de OESO3. 
Niettegenstaande de bestaande  terminologische verschillen is het met name belangrijk dat 
het begrip KII bijdraagt tot een systemisch perspectief voor een beleid met het oog op 
een continue en veilige werking van IC T-systemen, -diensten, -netwerken en 
-infrastructuur  (ICT-infrastructuur), waarvan het internet een uiterst belangrijke 
component is  vanwege zijn sterke ve rspreiding en het technol ogisch convergentieproces. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece 
2 COM(2005) 576 definitief. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf  
 
NL 3   NL Wat staat er op het spel? 
De alomtegenwoordigheid van KII betekent dat de effecten van een cyberstoring een grote 
impact hebben op de hele samenleving . 
De met menselijke aanvallen, natuurrampen of technische  storingen verband houdende 
risico’s worden vaak niet volledig begrepen en /of geanalyseerd. De stakeholders zijn dan ook 
onvoldoende van de risico’s doordrongen om effectieve beveiligingsmaatregelen en 
tegenmaatregelen te ontwikkelen. 
Cyberaanvallen hebben een ongekend niveau van complexiteit bereikt  en worden vaak 
om politieke redenen of uit winstbejag uitg evoerd door individuele personen of criminele 
groepen. De grootschalige cyberaanvallen tegen Estland, Litouwen en Georgië zijn 
voorbeelden van een algemene trend.  Het enorme aantal virussen, wormen en andere 
kwaadaardige software, de uitbreiding van botnets  en de groei van spam wijzen op de ernst 
van het probleem4. ICT -infrastructuur wordt voortdurend aangevallen  en indien Europa 
zich niet voorbereidt, zulle n de gevolgen van de aanvall en nog veel ernstiger zijn. 
De grote afhankelijkheid van KII’s, hun gr ensoverschrijdende koppeling met andere 
infrastructuren alsmede de onderlinge afhankelij kheid tussen KII’s en a ndere infrastructuren 
vereisen dat hun beveiliging en veerkracht systemis ch als frontlijnverdediging tegen 
storingen en aanvallen worden aangepakt en dat bovendien maatregelen worden genomen om 
criminele en terrorist ische activiteiten te gen KII te voorkomen. 
Aard van het probleem 
Op dit moment wordt het beleid inzake be veiliging en veerkracht van KII voornamelijk op 
nationaal niveau gevoerd en is er  weinig pan-Europese coördinatie.  Het ontbreken van een 
systematische grensoverschrijdende samenw erking vermindert de effectiviteit van 
nationale tegenmaatregelen. Bovendien kan ee n ontoereikende beveiliging en veerkracht 
van KII in één land de kwetsbaarheid en  risico's in andere landen verhogen.  
Aangezien KII een mondiale dimensie hebben en nauw met elkaar en met andere 
infrastructuren zijn verweven,  kan de beveiliging en veerkracht daarvan niet worden 
gewaarborgd door een uitsluitend na tionale en niet-gecoördineerde aanpak . Bovendien 
bestaat de algemene indruk dat de mark twerking de private sector onvoldoende 
stimuleert om te investeren in het door de overheid doorgaans gewenste 
beschermingsniveau voor KII.  
De onderliggende oorzaken van de hierboven geschetste problemen zijn:  
• het ontbreken van een gecoördineerd beleid  tussen de lidstaten op het gebied van 
beveiliging en v eerkracht van KII . Het beleid van de lidstaten inzake de beveiliging en 
veerkracht van KII loopt uitee n. Bovendien blijkt uit de door de Commissie uitgevoerde 
analyse van het beleid van de lidstaten en uit een verslag van het Europees Agentschap 
voor Netwerk- en Inform atiebeveiliging (ENISA)5 dat niet alle lids taten over dezelfde 
deskundigheid en paraatheid beschikken; 
• moeilijke doorbraak van nieuwe  Europese bestuursmodellen . Een verbetering van de 
beveiliging en betrouwbaarheid  van KII vormt een bijzondere bestuurlijke uitdaging . De 
ontwikkeling van een beleid inzake KII is de verantwoordelijkheid van de overheid , 
maar de betrokkenheid van de particuliere  sector is essentieel voor de 
                                                 
4 COM(2006) 688 definitief. 
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_ta king_final_report_2008.pdf  
 
NL 4   NL tenuitvoerlegging  van dat beleid. In de lidstaten zijn publiek-private partnerschappen  
(PPP) opgezet als referentiemodel voor het beheer van die gecombineerde 
verantwoordelijkheden. Ondanks de algemene consensus over de wenselijkheid van PPP’s 
op Europees niveau zijn er tot dus ver geen Europese PPP's gecreëerd; 
• beperkte Europese capaciteit voor vroe gtijdige waarschuwi ng en respons bij 
incidenten.  Uit de raadplegingen is gebleken dat de nationale systemen voor vroegtijdige 
waarschuwing en respons bij incidenten ve rschillen. Sommige lidstaten ontvangen niet 
systematisch een rapport van netwerkb eveiligingsincidenten (hoewel sommige 
exploitanten wel via informele weg informatie meedelen) en/of hebben geen centraal meldpunt opgericht. De samenwerking en  uitwisseling van informatie tussen  
overheidsinstanties  blijven ontoereikend  en worden belemmerd door een gebrek aan 
betrouwbare uitwisselings- en coördinatiemechanismen; dit vereist op zijn beurt dat alle 
nationale responsteams voor computernoodgevallen ( National/Governmental Computer 
Emergency Response Teams - CERT) naar behoren functioneren en beschikken over 
een gemeenschappelijk basisnivea u wat capaciteiten betreft . Bovendien staan 
oefeningen en praktijksimulaties op EU-schaal , een essentieel aspect  om de beveiliging 
en veerkracht van KII te verbeteren, nog in de kinderschoenen ;
 
• onvoldoende bewustzijn van de risico's in zake internetbeveiliging en -veerkracht.  Het 
internet is dankzij zijn  gedistribueerde, redunda nte opzet tot dusver een behoorlijk 
robuuste en veerkrachtige infrastructuur gebleken . Toch moet, gelet op de explosieve 
groei, de toenemende complexiteit en de opkomst van nieuwe internetdiensten , de 
vraag worden gesteld  in hoeverre het internet in staat is weerstand te bieden aan de 
toename van het aantal  storingen en cyberaanvallen. 
Geen enkel land vormt een eiland.  Het mondiale karakter van de KII, en het internet in het 
bijzonder, vergt een gemeenschappelijke mondiale aanpak  van beveiliging en veerkracht. 
Met name een sterke EU-coör dinatie kan op internatonaal  niveau directe effecten 
sorteren.  
2. WAAROM IS ER BEHOEFTE AAN EU- MAATREGELEN ? 
Een zuiver nationale aanpak van de hierboven geschetste problemen zal mogelijk niet 
volstaan.  Gelet op de aanzienlijke grensovers chrijdende effecten, kunnen talrijke 
bedreigingen van de netwerk- en informatiebe veiliging (NIB) negatieve grensoverschrijdende 
effecten veroorzaken, die door de lidstaten niet op afdoende wijze kunnen worden aangepakt 
en ook in andere landen tot verstoringen kunnen leiden. 
Een geïntegreerde EU-benadering om de beve iliging en de veerkracht van KII’s te 
verbeteren, zou een zinvolle aanvulling zijn op en een Europese toegevoegde waarde 
bieden aan nationale programma’s voor de  bescherming van kritieke informatie-
infrastructuur  en de bestaande samenwerkingsverba nden tussen de lidstaten. Aangezien een 
groot aantal uitdagingen en problemen van gemeen schappelijk aard zijn, heeft iedereen baat 
bij een gemeenschappelijk beleid. 
Na de aanval op Estland werd tijdens bespre kingen gesteld dat vergelijkbare aanvallen 
kunnen worden ingedijkt door preventieve maatregelen  – zoals de structurele uitwisseling 
van informatie op Europees niveau – en gecoördineerde acties  tijdens de huidige crisis. De 
Commissie is, met volledige inachtneming van het subsidiariteitsbeginsel , perfect in staat 
om die inspanningen in nauwe samenwerking me t de lidstaten en andere internationale 
organisaties te coördineren. 
 
NL 5   NL Nationale veiligheidskwesties kunnen voorts weliswaar een bela ngrijke rol spelen bij de 
ontwikkeling van het beleid en de verplic htingen inzake NIB, maar ook leiden tot 
versnippering van de regelgeving en de concurre ntiekracht van de Europese Unie als geheel 
en de welvaartscreatie door  de interne markt aantasten. 
In 2006 heeft de Commissie haar voornemen6 bekend gemaakt om, in het kader van het 
Europees programma voor de bescherming van kritieke infras tructuur (EPCIP)7, een 
sectorspecifiek beleid voor de  ICT-sector te ontwikkelen " om de veiligheid te verhogen en 
netwerken en informatiesy stemen robuuster te maken ". In 2007 heeft de Europese Raad dit 
voornemen toegejuicht8. 
In het kader van dit initiatief wordt ten volle rekening gehouden met internationale 
beleidsontwikkelingen zoals de G8-beginsele n betreffende de bescherming van kritieke 
informatie-infrastructuren, Resolutie 58/199 van de Algemene Vergadering van de VN 
“Creation of a global cu lture of cybersecurity and the protection of critical information 
infrastructures” en de recente OESO-aanbeve ling betreffende de bescherming van kritieke 
informatie-infrastructuren. 
Daarenboven houdt het voorgestelde initiatief rekening met en is  het complementair aan de 
NAVO-activiteiten inzake cyberverdediging, het gemeenschappelijk beleid inzake cyberdefensie, de activiteiten van de Cyber De fence Management Authority (CDMA) en de 
resultaten van het Cooperative Cyber Defen ce Centre of Excellence van de NAVO (CCD-
COE). 
3. W
AT ZIJN DE DOELSTELLINGEN ? 
Doel van deze maatregel is het paraatheidsniveau en de respo nscapaciteit in Europa ten 
aanzien  van de beschreven risico’s en bedreigi ngen te verbeteren en een gefragmenteerde 
aanpak door de lidstaten te vermijden. De nadruk ligt op de definiëring van 
gemeenschappelijke processen om flexibel te reageren op bekende en  onbekende dreigingen. 
Er wordt een beroep gedaan op relevante publieke en private actoren om ervoor te zorgen dat 
passende en consequente preventie-, detectie -, nood- en herstelmaat regelen in werking 
worden gesteld om een degelijke veiligheids en weerbaarhe idsniveau van KII te bereiken 
en de continuïteit van de dienstverlening te waarborgen . De verbeterde beveiliging en 
veerkracht zou ook positieve effecten hebben op de bescherming van de persoonsgegevens 
en privacy van EU-burgers . 
De algemene doelstellingen van dit voorstel, namelijk de beveiliging en veerkracht van KII 
waarborgen als frontlijnverdediging , kan worden bereikt door vier specifieke 
doelstellingen: 
(1) de kloof tussen de lidstaten met betrekking tot het beleid inzake de beveiliging en 
veerkracht van ICT overbruggen; 
(2) versterking van het Europees beleid inzake de beveiliging en veerkracht van KII; 
(3) de versterking van de Europese operatione le middelen voor respons bij incidenten; 
(4) verbeteren van de internetbeveiliging en –veerkracht. 
                                                 
6 COM(2006) 251. 
7 COM(2006) 786. 
8 Resolutie van de Raad 2007/C 68/01. 
 
NL 6   NL 4. WAT ZIJN DE BELEIDSOPTIES ? 
Beleidsoptie 1:  ongewijzigd beleid  
Geen maatregelen nemen, is geen valabele optie.  Zonder horizontale acties op EU-niveau 
zullen de lidstaten individueel of op bilaterale of beperkte multilaterale basis blijven optreden. Het risico bestaat dat de lid staten voor uiteenlopende, niet met elkaar verzoenbare, 
beleidsoriëntaties opteren.  Grensoverschrijdende samenw erking zou bovendien slechts ad 
hoc gebeuren en geen doeltreffend antwoord bi eden door de complexiteit en de omvang van 
cyberaanvallen. 
Het verschillend tempo waarin de lidstaten deze problemen aanpakken, zou belanghebbenden 
ervan kunnen  weerhouden te investeren in beveiliging en veerkracht omdat het grote 
aantal normen en verplichtingen hun conc urrentiepositie schaadt. Door het 
grensoverschrijdende karakter  van het probleem zouden de ve rschillen op het gebied van 
beveiliging, veerkracht en paraatheid in Eur opa nog worden benadrukt. De kwetsbaarheid van 
de KII in Europa blijft hoog en zou, indivi duele inspanningen ten spijt, misschien nog 
toenemen. 
Beleidsoptie 2: niet-bindend kader  
De Commissie creëert een kader voor c oördinatie en samenwerking  door de publicatie van 
een mededeling en stelt een act ieplan op voor de lidstaten, de private sector en het 
maatschappelijk middenveld. Deze mededeling ka n worden bekrachtigd door de Raad en ook 
het Europees Parlement kan besluiten zich over deze kwestie te buigen. 
In dit initiatief wordt de nadruk gele gd op de voormelde doelstellingen, met name: 
(1) de samenhang bevorderen tussen het beleid van de lidstaten inzake de beveiliging 
en veerkracht van KII  door: 
• het verzamelen van toepasbare voorbeel den van goede beleidspraktijken en 
gemeenschappelijke kenmerken; 
• het oprichten van een Europees Forum voor de lidstaten om informatie en goede 
beleidspraktijken inzake beveiliging en veerkracht van KII’s uit te wisselen. 
(2) versterken van het Europees beleid inza ke de beveiliging en veerkracht van KII  
door: 
• het opzetten van een Europees publiek-privaat partnerschap voor veerkracht 
(EP3R)  om de samenwerking tussen de publ ieke en de private sector op het 
gebied van beveiligings- en veerkracht doelstellingen, basisniv eau-eisen en goede 
beleidspraktijken en –maatregelen aan te zwengelen. 
(3) versterking van de Europese operationele  capaciteit voor respons bij incidenten 
door : 
• goed functionerende nati onale/overheids-CERT’s
9 op te zetten als essentiële 
component van de nationale capaciteit voo r paraatheid, informatie-uitwisseling, 
coördinatie en respons; 
• overeenstemming te bereiken over he t minimumniveau van capaciteiten en 
diensten voor nationale /overheids-CERT’s; 
                                                 
9 Computer Emergency Response Teams. 
 
NL 7   NL • de Europese samenwerking tussen nationa le/overheids-CERT’s te stimuleren; het 
contact en de samenwerking  tussen nationale responsin stanties te faciliteren; 
Europese en/of regionale oefeningen met simulaties van grootsc halige incidenten 
te organiseren; 
• rampenplanning te stimuleren met het oog op de respons bij netwerkincidenten en 
noodherstel; 
• de ontwikkeling van Europese oefeningen met gesimuleerde 
netwerkbeveiligingsincidenten te financieren; 
• de ontwikkeling en invoering van een Eu ropees informatie-uitwisselings- en 
alarmeringssysteem (EISAS) te ondersteunen om de burgers en het mkb op een 
doeltreffende en gelijke manier te bereiken. 
(4) de beveiliging en veerkracht van het internet verbeteren  door: 
• EU-prioriteiten voor de stabiliteit en v eerkracht van het intern et op lange termijn 
te definiëren;  
• overeenkomsten te sluiten over in eerste inst antie Europese en later internationale 
beginselen voor de beveiliging en  de robuustheid van het internet.  
Beleidsoptie 3: bindend kader  
De meeste van de hierboven opgesomde asp ecten worden aangepakt door middel van 
bindende maatregelen in de vorm van een  richtlijn, verordening of besluit. 
De Commissie kan bindende maatregelen voorstellen om: (1) een basisniveau vast te stellen om het beleid van de lidstaten te harmoniseren.  Bij 
dergelijke maatregelen kan de nadruk wo rden gelegd op extra beveiliging en 
veerkracht van KII buiten het kader van de  reeds voorgestelde marktregelgeving; 
(2) de rol en verantwoordelijkheden van publieke en private actoren op het gebied  
van beveiliging en veerkracht van de KII  te definiëren;  
(3) de operationele paraatheid te verbeteren , onder meer door: 
(a) een aantal minimumnormen voor geharmoni seerde functieniv eaus en diensten 
voor nationale/overheids-CER T’s vast te stellen; 
(b) een kader te creëren v oor nationale rampenplanning met het oog op de 
ontwikkeling van een rampenplan voor de EU. 
5. W
ELKE OPTIES BIEDEN DE MEESTE VOORDELEN ? 
De optie "ongewijzigd beleid" biedt geen enkel duidelijk voordeel  voor de beveiliging en 
veerkracht van de Europese KII. Derhalve dien t te worden gekozen tussen een bindend en een 
niet-bindend kader. Op dit moment lijkt een "bindend kader" niet haalbaar vanwege onder meer: 
• de politieke realiteit  van soevereine staten waarmee in het kader van een communautair 
NIB-beleid steeds rekeni ng moet worden gehouden; 
• de sterk versnipperde operationele verantwoordelijkheden in de private sector; 
• het gebrek aan opgebouwde ervaring met de ui twisseling van informatie en samenwerking 
tussen de publieke en privat e sector inzake het KII-beleid. 
 
NL 8   NL Bovendien belemmert de slechte kwaliteit van de momenteel beschikbare  gegevens  over 
beveiligingsincidenten – door informatie-asymm etrieën en nationale veiligheidskwesties – de 
mogelijkheid om op samenhangende wijze en  vanuit een publiek beleidsperspectief 
regelgevende maatregelen vast te stellen en rijst er een probleem met betrekking tot de  
naleving van het evenredigheidsbeginsel  aangezien het onmogelijk is evenredige 
maatregelen voor te stellen wanneer de exact e omvang van het probleem nog onduidelijk is. 
Ten slotte is door de lange goedkeuringspro cedure de termijn waar binnen een bindend kader 
kan worden vastgesteld, niet verzoenbaar met de behoefte aan snelle maatregelen door alle 
actoren. 
Bij wijze van besluit wordt in  de effectbeoordeling gestel d dat optie 2 op korte en 
middellange termijn de voorkeur verdient waarb ij de voorgestelde acties onmiddellijk worden 
gestart en de resultaten te gepasten tijde wo rden geëvalueerd, alsook een publiek debat over 
een versterkt en gemoderniseerd NIB-beleid  in de EU wordt gehouden. Op basis daarvan 
zullen de behoeften aan en de opties voor toekomstige bindende maatregelen worden 
beoordeeld. 
In dat kader zouden maatregelen die vergelijkb aar zijn met beleidsoptie 3 in beeld kunnen 
komen.