Aangezien de digitalisering en de vervlechting van de economieën en samenlevingen zich op mondiaal vlak voltrekken, rijken de hiermee samenghangende problemen verder dan het grondgebied van een enkele lidstaat. Ingrijpen op EU-niveau is daarom noodzakelijk. In de huidige context en rekening houdend met toekomstige scenario's, lijkt het erop dat individuele maatregelen van lidstaten en een versnipperde benadering ten aanzien van cyberbeveiliging, met name gezien de belangrijke grensoverschrijdende dimensie ervan, de collectieve cyberweerbaarheid van de EU niet kunnen versterken.

6.De versnippering van certificeringsregelingen in de EU en van de daarmee samenhangende beveiligingseisen en evaluatiecriteria in alle lidstaten en sectoren voorkomen.

5.De zekerheid inzake cyberbeveiliging van ICT-producten en -diensten in het algemeen transparanter maken zodat het vertrouwen in de digitale eengemaakte markt en in digitale innovatie toeneemt.

3.De vermogens op EU-niveau versterken ter aanvulling van maatregelen van de lidstaten, met name in het geval van grensoverschrijdende cybercrises.

Digitale technologieën en het internet vormen de ruggengraat van de Europese economie en samenleving. Kritieke economische sectoren zoals vervoer, energie, gezondheidszorg en financiën zijn in steeds grotere mate afhankelijk van netwerk- en informatiesystemen om hun kernactiviteiten uit te voeren. Het internet der dingen verbindt objecten en mensen via communicatienetwerken. Deze nieuwe werkelijkheid zorgt voor ongekende mogelijkheden, maar ook voor kwetsbare punten. Cyberincidenten worden een steeds ernstiger probleem. De complexiteit, veelvuldigheid en reikwijdte van dergelijke incidenten (van toegang tot essentiële diensten tot impact op democratische processen) zullen nog verder toenemen.

Wat is het probleem en waarom is het een probleem?

B.Oplossingen

Welke opties dienen zich aan? Is er al dan niet een voorkeursoptie?

In deze effectbeoordeling komt een specifieke reeks beleidsopties aan bod die betrekking hebben op de herziening van het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa) en de ICT-beveiligingscertificering.

Herziening van het Enisa

Optie 0 – Basisscenario – Deze optie houdt in dat de huidige toestand wordt gehandhaafd. Het mandaat van het Enisa wordt verlengd en de doelstellingen en taken van het agentschap blijven grotendeels ongewijzigd, waarbij rekening wordt gehouden met de taken die op grond van achteraf vastgestelde EU-wetgeving (bijv. de richtlijn cyberbeveiliging) aan het Enisa zijn toevertrouwd.

Optie 1 – Het mandaat van het Enisa vervalt (het Enisa wordt afgeschaft). Deze optie houdt in dat het Enisa aan het eind van het mandaat (juni 2020) wordt afgeschaft en dat de bevoegdheden/activiteiten opnieuw worden verdeeld op EU- en/of nationaal niveau.

Optie 2 – "Hervormd Enisa". Deze optie houdt in dat er wordt voortgebouwd op het huidige mandaat van het Enisa om met een aantal specifieke veranderingen rekening te houden met de ontwikkeling van het cyberbeveiligingslandschap. Het agentschap krijgt een permanent mandaat dat is gebaseerd op de volgende bouwstenen: steun voor de ontwikkeling en implementatie van EU-beleid; capaciteitsopbouw; kennis en informatie; marktgerelateerde taken; onderzoek en innovatie; en operationele samenwerking en crisisbeheersing.

Optie 3 – EU-cyberbeveiligingsagentschap met volledige operationele vermogens. Deze optie houdt in dat het Enisa wordt hervormd doordat drie hoofdfuncties bij elkaar worden gebracht: 1. een beleids-/adviesfunctie; 2. een informatie- en expertisecentrum, en 3. een computercrisisteam (Computer Emergency Response Team – CERT). De reikwijdte van het mandaat ondergaat bij deze optie grotendeels dezelfde verandering als bij optie 2. Er komen echter aanvullende taken bij op het gebied van de reactie op incidenten en crisisbeheersing, waardoor het agentschap betrokken is bij de gehele levenscyclus van cyberbeveiliging en het zich bezighoudt met de preventie en opsporing van alsmede de reactie op cyberincidenten.

Certificering

Optie 0 – Basisscenario – Geen maatregelen. Deze optie houdt in dat de Commissie de huidige toestand handhaaft en geen beleids- of wetgevende maatregelen neemt.

Optie 1 – Niet-wetgevende maatregelen ("soft law"). Deze optie houdt in dat de Commissie "soft policy"-instrumenten gebruikt (bijv. interpretatieve mededelingen, ondersteuning van EU-brede zelfreguleringsinitiatieven en normalisatiewerkzaamheden) om de transparantie te vergroten en de versnippering terug te dringen.

Optie 2 – Een EU-wetgevingshandeling die ervoor zorgt dat de SOG-IS-overeenkomst voor alle lidstaten geldt. Deze beleidsoptie houdt in dat de Commissie een voorstel doet voor een wetgevingshandeling op basis waarvan alle lidstaten lid worden.

Optie 3 – Een algemeen EU-kader voor ICT-beveiligingscertificering. Deze optie houdt in dat er een Europees kader voor ICT-beveiligingscertificering wordt opgezet (met inbegrip van een deskundigengroep waarvan nationale autoriteiten deel uitmaken), voor zover mogelijk voortbouwend op bestaande regelingen voor ICT-beveiligingscertificering. In wezen maakt het kader het mogelijk dat EU-regelingen voor beveiligingscertificering worden opgezet die in alle lidstaten worden aanvaard.

De voorkeursoptie is een combinatie van optie 2 voor het Enisa en optie 3 voor certificering.

Wie zijn de verschillende belanghebbenden? Wie steunt welke optie?

De overgrote meerderheid van de belanghebbenden uit alle categorieën (de lidstaten, het bedrijfsleven, de EU-instellingen, de onderzoeksgemeenschap) die hebben deelgenomen aan de raadplegingen lijkt achter de voorkeursoptie te staan: zij zijn voorstander van de versterking van het Enisa en de totstandbrenging van een Europees kader voor ICT-beveiligingscertificering.

Men is het er met name over eens dat het (minimaal) noodzakelijk is om een goed werkend EU-agentschap met een permanent mandaat te hebben, dat dat agentschap over voldoende middelen moet beschikken en dat het gemachtigd moet zijn om de huidige en toekomstige cyberbeveiligingsuitdagingen aan te gaan. De belanghebbenden zijn het verder in grote lijnen eens over de totstandbrenging van een vrijwillig, schaalbaar Europees kader.

Vanuit de branche wordt deze oplossing voor certificering gesteund door bedrijven die al aan eisen inzake certificering zijn onderworpen en die zouden profiteren van een EU-breed mechanisme dat is gebaseerd op de wederzijdse erkenning van certificaten. Deze oplossing wordt ook gesteund door de kleine en middelgrote ondernemingen die er het meest onder zouden lijden als in de verschillende lidstaten verschillende certificeringsprocedures moeten worden doorlopen. Sommige lidstaten, met name lidstaten die over minder middelen beschikken, en sommige vertegenwoordigers van de branche en de EU-instellingen, staan ook positief tegenover optie 3 voor het Enisa.

C. Effecten van de voorkeursoptie