NL Publicatieblad van de Europese Unie CE 84/766

(2004/C 84 E/0862)

SCHRIFTELIJKE VRAAG E-0183/04

van Charlotte Cederschiöld (PPE-DE) aan de Commissie

(29 januari 2004)

Betreft: Netwerk- en informatiebeveiliging

Beveiliging van informatietechnologie blijft voor de Commissie en andere EU-instanties een terrein van zorg als het om bescherming van het interne systemen gaat. Deelt de Commissie de mening dat de „gemeenschappelijke criteria” internationaal aanvaarde normen zijn voor het beoordelen van de beveiliging van ICT-producten, en zo ja, hoe kan het Europees Agentschap voor netwerk- en informatiebeveiliging de gemeenschappelijke criteria toepassen bij de aankoop van eigen producten en bij het verstrekken van richtsnoeren voor aankoop door andere instanties van de EU en de lidstaten?

Gecombineerd Antwoord

van de heer Liikanen namens de Commissie

op de schritftelijke vragen E-0181/04, E-0182/04 en E-0183/04

(10 maart 2004)

Wat betreft de standaardisering van netwerk- en informatiebeveiliging, in het bijzonder ten aanzien van de gemeenschappelijke criteria, heeft de Commissie vanaf het moment dat zij betrokken was bij de ontwikkeling van voorloper ITSEC in 1991 een bijdrage geleverd aan het gehele proces van de ontwikkeling van gemeenschappelijke criteria. De Commissie heeft ook samengewerkt met de lidstaten bij het opstellen van de overeenkomst tot wederzijdse erkenning van de ISO/IEC-norm 15408 inzake gemeenschappelijke criteria.

Het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA), dat ook door het geachte parlementslid wordt genoemd als mogelijk medium om deze norm verder in Europa te verbreiden, zal in de komende maanden met zijn werkzaamheden beginnen. De Commissie levert momenteel haar bijdrage aan het opstellen van het werkprogramma voor het ENISA. In dit antwoord stelt de Commissie voor om bepaalde taken inzake standaardisering toe te wijzen aan het ENISA, maar op dit moment kan de Commissie nog geen definitief antwoord geven op de vraag hoe het werkprogramma van het ENISA eruit zal zien.

De Commissie heeft het gebruik van erkende normen voor de beoordeling en certificering van ICT-producten altijd als een belangrijk onderdeel van het beleid voor netwerk- en informatiebeveiliging beschouwd. Het gebruik van dergelijke normen bij de aanschaf van producten werd bepleit in de Aanbeveling van de Raad (95/144/EG) van 7 april 1995 (1). In de mededeling van de Commissie „Netwerken informatieveiligheid: Voorstel voor een Europese beleidsaanpak” (2) heeft de Commissie benadrukt hoe belangrijk het voor het vertrouwen van de gebruiker is om de veiligheid van producten te certificeren. De gemeenschappelijkecriterianorm vormt in dit opzicht een solide, internationaal erkend kader voor het certificeren van de veiligheid van producten. Als zodanig is het een breed gehanteerde norm bij de aanschaf van producten.

Het is echter moeilijk gebleken (ook in de Verenigde Staten) om in de commerciële sector (en met name de financiële sector) interesse en bereidheid te kweken om ISO/IEC-norm 15408 toe te passen. Dit is aan de orde gesteld tijdens de internationale conferentie over gemeenschappelijke criteria die in september 2003 in Stockholm is gehouden. Een oplossing kan zijn dat het ENISA de acceptatie van een dergelijke norm stimuleert door met de belanghebbenden op het gebied van netwerkbeveiliging om de tafel te gaan zitten en alle aangelegenheden, problemen en mogelijkheden te bespreken die verband houden met het gebruik van gemeenschappelijke criteria.

Wat betreft de standaardisering van netwerk- en informatiebeveiliging bekijkt de Commissie momenteel welke conclusies zij moet trekken naar aanleiding van het onlangs uitgebrachte gezamenlijke rapport van het CEN en het ETSI (3), waarin kwesties inzake de standaardisering van netwerk- en informatiebeveiliging aan de orde komen die van belang zijn voor de Europese normalisatieorganisaties. Op basis hiervan zullen toekomstige maatregelen en beleidsinitiatieven worden uitgewerkt.

Op het technische vlak heeft de Commissie bepaald dat de ontwikkeling van veilige producten en systemen een hoge prioriteit moet krijgen binnen het IST-programma. Dit zal ongetwijfeld bijdragen tot een verbetering van de ontwikkelingsmethoden van ICT-producten in Europa. In aanvulling hierop zou het ENISA de lidstaten kunnen helpen bij het ontwikkelen van geschikte opleidingsprogramma's op het gebied van beveiliging, het uitwisselen van ervaringen en het gezamenlijk opzetten van bewustwordingscampagnes die met name gericht zijn op het midden- en kleinbedrijf (MKB).

Aangezien de gemeenschappelijkecriterianormen een kader bieden voor de beveiliging en certificering van producten, zou de Commissie het een goede zaak vinden als bij de aanschaf van producten in alle gevallen waar een strenge en controleerbare beveiliging nodig is een dergelijke norm werd gehanteerd. Daarom zou het raadzaam zijn, mocht het ENISA hieraan behoefte hebben, om in voorkomende gevallen de gemeenschappelijke criteria als richtlijn te gebruiken bij de aanschaf van producten voor de eigen organisatie of bij het adviseren van de Commissie en de lidstaatregeringen over het gebruik van gemeenschappelijke criteria bij de aanschaf van producten. De Commissie geeft zich er echter rekenschap van dat er een prijskaartje aan gecertificeerde veiligheid hangt.

Tot slot is het van belang om op te merken dat de technische ISO/IEC-norm 1 5408 alleen niet voldoende is om een adequaat beveiligingsniveau binnen een organisatie te garanderen. Elke organisatie en elk bedrijf moet ook aan de hand van een code voor informatieveiligheidsbeheer (zoals ISO/IEC-norm 17799) de nodige beveiligingsprocessen en -methoden ontwikkelen en beheren.

(1) PB L 93 van 26.4.1995.

(2) COM(2001)298 def.

(3) ETSI SR 002 298.