L 333/90
NL
Publicatieblad van de Europese Unie
27.12.2022
(51)
De lidstaten moeten het gebruik aanmoedigen van innovatieve technologieën, met inbegrip van artificiële intelligentie, waarvan het gebruik de preventie en de opsporing van cyberaanvallen kan verbeteren, zodat de middelen ter bestrijding van cyberaanvallen doeltreffender kunnen worden ingezet.
Daarom moeten de lidstaten in hun nationale cyberbeveiligingsstrategie activiteiten op het gebied van onderzoek en ontwikkeling bevorderen met het oog op het gebruik van dergelijke technologieën, met name die welke verband houden met geautomatiseerde of semigeautomatiseerde instrumenten op het gebied van cyberbeveiliging, en, indien nodig, het delen van gegevens om gebruikers van dergelijke technologieën op te leiden en deze te verbeteren.
Het gebruik van innovatieve technologieën, met inbegrip van artificiële intelligentie, moet in overeenstemming zijn met het Uniegegevensbe­ schermingsrecht, met inbegrip van de gegevensbeschermingsbeginselen van nauwkeurigheid van de gegevens, minimale gegevensverwerking, billijkheid en transparantie, en gegevensbeveiliging, zoals geavanceerde versleuteling.
Er moet ten volle worden tegemoetgekomen aan de in Verordening (EU) 2016/679 vastgestelde eisen inzake gegevensbescherming door ontwerp en door standaardinstellingen.
(52)
Opensource-instrumenten en -toepassingen voor cyberbeveiliging kunnen bijdragen tot meer openheid en de efficiëntie van industriële innovatie positief beïnvloeden.
Open normen bevorderen de interoperabiliteit tussen beveiligingsinstrumenten, wat ten goede komt aan de beveiliging van belanghebbenden uit het bedrijfsleven.
Opensource-instrumenten en -toepassingen voor cyberbeveiliging kunnen een hefboomwerking hebben voor de bredere gemeenschap van ontwikkelaars, waardoor diversificatie van leveranciers mogelijk wordt.
Dankzij open source kan het proces voor de verificatie van instrumenten voor cyberbeveiliging transparanter verlopen en kan het proces om kwetsbaarheden te ontdekken door de gemeenschap worden aangestuurd.
Daarom moet het voor de lidstaten mogelijk zijn om het gebruik van opensourcesoftware en open normen te bevorderen door het nastreven van beleidsmaatregelen die gericht zijn op het gebruik van open data en open source in het kader van beveiliging door transparantie.
Beleidsmaatregelen ter bevordering van de invoering en het duurzame gebruik van opensourceinstrumenten voor cyberbeveiliging zijn van bijzonder belang voor kleine en middelgrote ondernemingen die te maken krijgen met aanzienlijke uitvoeringskosten, die tot een minimum kunnen worden beperkt door de behoefte aan specifieke toepassingen of instrumenten te verminderen.
(53)
Nutsbedrijven zijn in toenemende mate aangesloten op digitale netwerken in steden om de stedelijke vervoersnetwerken te verbeteren, de watervoorziening en afvalverwijderingsinstallaties te moderniseren en gebouwen efficiënter te verlichten en verwarmen.
Die gedigitaliseerde nutsbedrijven zijn kwetsbaar voor cyberaanvallen en lopen het risico dat zij burgers bij een succesvolle cyberaanval op grote schaal schade berokkenen doordat zij onderling verbonden zijn.
De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategie een beleid vaststellen dat gericht is op de ontwikkeling van dergelijke verbonden of slimme steden en de mogelijke gevolgen daarvan voor de samenleving.
(54)
De afgelopen jaren is er in de Unie een exponentiële toename van het aantal ransomwareaanvallen, waarbij gegevens en systemen worden vergrendeld met malware en voor de ontgrendeling losgeld moet worden betaald.
De toenemende frequentie en ernst van ransomwareaanvallen kan het gevolg zijn van diverse factoren, zoals verschillende aanvalspatronen, criminele bedrijfsmodellen rond “ransomware als dienst” en cryptovaluta, de vraag om losgeld en de toename van aanvallen op de toeleveringsketen.
De lidstaten moeten in het kader van hun nationale cyberbeveiligingsstrategie beleidsmaatregelen ontwikkelen om de toename van ransomwareaanvallen aan te pakken.
(55)
Publiek-private partnerschappen (PPP’s) op het gebied van cyberbeveiliging kunnen een passend kader bieden om kennis en beste praktijken uit te wisselen en te komen tot een gedeeld niveau van inzicht onder de belanghebbenden.
De lidstaten moeten beleidsmaatregelen bevorderen ter ondersteuning van de oprichting van specifieke PPP’s op het gebied van cyberbeveiliging.
In die beleidsmaatregelen moeten met betrekking tot PPP’s onder meer de draagwijdte en de betrokken belanghebbenden, het governancemodel, de beschikbare financierings­ mogelijkheden en de interactie tussen de deelnemende belanghebbenden worden verduidelijkt.
Dankzij PPP’s kunnen entiteiten uit de particuliere sector de bevoegde autoriteiten met hun expertise ondersteunen met het oog op de ontwikkeling van geavanceerde diensten en processen, waaronder informatie-uitwisseling, vroegtijdige waarschuwingen, oefeningen betreffende cyberdreigingen en -incidenten, crisisbeheer en weerbaarheidsplanning.
(56)
De lidstaten moeten in hun nationale cyberbeveiligingsstrategieën rekening houden met de specifieke behoeften van kleine en middelgrote ondernemingen op het gebied van cyberbeveiliging.
Kleine en middelgrote ondernemingen vertegenwoordigen in de hele Unie een groot percentage van de industriële en zakelijke markt en hebben vaak moeite om zich aan te passen aan nieuwe bedrijfspraktijken in een meer verbonden wereld en aan de digitale wereld, met thuiswerkende werknemers en steeds meer online verrichte bedrijfsactiviteiten.
Sommige kleine en middelgrote ondernemingen worden geconfronteerd met specifieke uitdagingen op het gebied van cyberbeveiliging, namelijk een beperkt cyberbewustzijn, een gebrek aan IT-beveiliging op afstand, hoge kosten van cyberbeveiligings­ oplossingen en een verhoogd dreigingsniveau, onder meer door ransomware, waarvoor zij begeleiding en bijstand moeten krijgen.
Kleine en middelgrote ondernemingen worden steeds vaker het doelwit van aanvallen op de toeleveringsketen omdat zij minder strenge maatregelen voor het beheer van cyberbeveiligingsrisico’s en aanvalsbeheer nemen, en omdat zij beperkte beveiligingsmiddelen hebben.
Dergelijke aanvallen op de toeleveringsketen hebben niet alleen gevolgen voor kleine en middelgrote ondernemingen en hun activiteiten, maar