CELEX: 51990PC0314(04)
Language: nl
Date: 1990-09-13
Title: VOORSTEL VOOR EEN BESLUIT VAN DE RAAD OP HET GEBIED VAN INFORMATIE-VEILIGHEID

Nr. C 277/18                         Publikatieblad van de Europese Gemeenschappen                                 5. 11. 90
                       Voorstel voor een besluit van de Raad op het gebied van informatieveiligheid
                                                     COM(90) 314 def.
                                      (Door de Commissie ingediend op 27 juli 1990)
                                                       (90/C 277/05)
DE RAAD VAN DE EUROPESE GEMEENSCHAPPEN,                         beleid alsmede het werk dat de Europese Gemeenschap
                                                                reeds op deze gebieden heeft ondernomen;
Gelet op het Verdrag tot oprichting van de Europese
Economische Gemeenschap, inzonderheid op artikel 235.           Overwegende dat voor coördinatie van inspanningen dient
                                                                te worden gezorgd door op bestaande nationale en
Gezien het voorstel van de Commissie,                           internationale werkzaamheden voort te bouwen en door de
                                                                samenwerking tussen de belangrijkste betrokken partijen te
Gezien het advies van het Europese Parlement,                   bevorderen; dat men derhalve in het kader van een
                                                                coherent actieplan te werk dient te gaan;
Gezien het advies van het Economisch en Sociaal Comité,
                                                                Overwegende dat de verantwoordelijkheid van de Lid-
Overwegende dat de Gemeenschap tot taak heeft door het          Staten op dit terrein een gecoördineerde benadering
instellen van een gemeenschappelijk markt en door het           gebaseerd op een nauwe samenwerking met hoge ambtena-
geleidelijk nader tot elkaar brengen van het economische        ren van de Lid-Staten nodig maakt,
beleid van de Lid-Staten de harmonische ontwikkeling van
de economische activiteit binnen de gehele Gemeenschap,
een gestadige en evenwichtige expansie, een grotere             BESLUIT
stabiliteit, een toenemende verbetering van de levensstan-
daard en nauwere betrekkingen tussen de in de Gemeen-
                                                                                          Artikel 1
schap verenigde Staten te bevorderen;
Overwegende dat elektronisch opgeslagen, verwerkte en           1. Hierbij wordt een actieplan op het gebied van
verzonden informatie bij sociale en economische activitei-      informatieveiligheid (Infosec) vastgesteld voor de duur van
ten een steeds belangrijker rol vervult;                        24 maanden beginnend op...
                                                                2. Het actieplan heeft tot doel de ontwikkeling van een
Overwegende dat de komst van efficiënte, globale
                                                                algemene strategie die de gebruikers van elektronisch
communicatie en de wijdverbreide toepassing van elektro-
                                                                opgeslagen, verwerkte of verstuurde informatie en bescher-
nische informatieverwerking adequate bescherming drin-
                                                                ming van informatie en informatiesysteem moet ver-
gend noodzakelijk maken;
                                                                schaffen tegen door toeval veroorzaakte en tegen opzettelij-
                                                                ke bedreigingen.
Overwegende dat het Europese Parlement in zijn beraad-
slagingen en besluiten herhaaldelijk het belang van
                                                                3. De actie houdt rekening met de zich op Europees en
informatieveiligheid heeft onderstreept;                        wereldvlak op dit gebied ontwikkelende normalisa-
                                                                tieactiviteiten.
Overwegende dat het Economisch en Sociaal Comité er de
nadruk op heeft gelegd dat op het gebied van de
informatieveiligheid communautaire acties moeten worden                                  Artikel 2
ondernomen, met name met het oog op het effect daarvan
op de voltooiing van de interne markt;
                                                                De actie omvat voorbereidende werkzaamheden in het
                                                                kader van onderstaande, in de bijlage nader vermelde,
Overwegende dat het nodig is een algemene strategie op het
                                                                actielijnen:
gebied van informatieveiligheid te ontwikkelen ten einde de
veiligheid van de gebruiker op communautair niveau te
                                                                I.   ontwikkeling van een algemene strategie op het gebied
bewerkstelligen en het ontstaan van nieuwe technische
                                                                     van informatieveiligheid;
belemmeringen van de communicatie te voorkomen;
                                                                II. behoeften aan informatieveiligheid;
Overwegende dat de complexiteit van de informatieveilig-
heidsproblematiek, subsidiariteit, betrokkenheid van een        III. oplossingen voor onmiddellijke en tijdelijke behoeften;
aantal bedrijfstakken en gecoördineerde beleidsvoering
langs een aantal sporen nodig maakt.                            IV. specificaties, normalisatie en verificatie op het gebied
                                                                     van informatieveiligheid;
Overwegende dat acties op nationaal, internationaal en
communautair niveau een goede basis vormen;                     V. technologische en operationele ontwikkelingen ten
                                                                     behoeve van informatieveiligheid;
Overwegende dat er een nauw verband is tussen telecom-
municatie, normalisatie, informatiemarkt en O & TO-             VI. informatieveiligheidsvoorziening.
 ---pagebreak--- 5. 11. 90                              Publikatieblad van de Europese Gemeenschappen                                     Nr. C 277/19
                          Artikel 3                                                                 Artikel 6
Het actieplan wordt door de Commissie ten uitvoer gelegd
in samenwerking met de betrokken lichamen en bedrijven                 Voor de uitvoering van het actieplan raadpleegt de
                                                                       Commissie zo nodig een groep van hoge ambtenaren op het
en in nauwe samenwerking met de Lid-Staten.
                                                                       gebied van informatieveiligheid (SOG-IS). Deze groep
                                                                       bestaat uit twee vertegenwoordigers van elke Lid-Staat en
                          Artikel 4                                    van de Commissie. Het voorzitterschap wordt door een
                                                                       vertegenwoordiger van de Commissie waargenomen.
Het bedrag dat jaarlijks aan deze actie wordt toegekend,
wordt bepaald in de loop van de jaarlijkse begrotings-
procedure.                                                             De leden van de groep kunnen zich doen bijstaan door
                                                                        deskundigen of adviseurs, afhankelijk van de aard van de te
                                                                        behandelen aangelegenheden.
                          Artikel 5
De Commissie dient bij het Europese Parlement en bij de                 De verslagen van de groep zijn vertrouwelijk. De groep stelt
Raad binnen drie maanden na beëindiging van de actie een                zijn eigen reglement van orde vast. Het secretariaat wordt
verslag in met de uitkomsten van de actie.                              door de Commissie waargenomen.
                                                               BIJLAGE
                                                OVERZICHT VAN DE ACTIELIJNEN
                  1. Actielijn I — Ontwikkeling van een algemene strategie op het gebied van informatieveiligheid
                1.1. Probleem
              1.1.1. In een moderne samenleving wordt de noodzaak van informatieveiligheid overal erkend. Voor
                     elektronische informatiediensten zijn een veilige telecommunicatie-infrastructuur, veilige terminals
                     (met inbegrip van processors en databases) en een veilig gebruik vereist. Er moet een algemene, alle
                     aspecten van informatieveiligheid omvattende strategie komen en geen onsamenhangend beleid. In elke
                     strategie voor de beveiliging van elektronisch verwerkte informatie moet tot uiting komen dat de
                     samenleving effectieve bedrijfsvoering wenst, maar zich ook wil beschermen in een snel veranderende
                     wereld.
                1.2. Doelstelling
              1.2.2. Er moet een algemene strategie worden opgebouwd, die sociale, economische en politieke
                     doelstellingen kan doen samengaan met opties op het gebied van technologie, bedrijfsvoering en
                     wetgeving. Er zal een gevoelig evenwicht tussen de verschillende wensen, doelstellingen en beperkingen
                     moeten worden gevonden door de organisaties van de betrokken sectoren die zullen samenwerken bij
                     de ontwikkeling van een gemeenschappelijk concept en een algemeen aanvaarde strategie. Dit zijn de
                     voorwaarden waaraan moet worden voldaan om de belangen en behoeften op het vlak van de
                     beleidsvoering en dat van industriële ontwikkelingen met elkaar te verzoenen.
                1.3. Stand van zaken en trends
              1.3.3. Er is een groeiend besef dat er gehandeld moet worden. Omdat er nog geen poging is gedaan om de
                     krachten te bundelen, lijkt het heel waarschijnlijk dat de verschillende sectoren los van elkaar
                     maatregelen gaan nemen, waardoor tegenstrijdige ontwikkelingen op gang zullen komen die geleidelijk
                     steeds ernstiger wettelijke, maatschappelijke en economische problemen zullen veroorzaken.
                1.4. Behoeften, opties en prioriteiten
              1.1.4. In het kader van deze gemeenschappelijke strategie zal moeten worden gekeken naar de risicoanalyse en
                     het risicobeheer met betrekking tot de kwetsbaarheid van informatie en bijbehorende diensten, de
                     onderlinge aanpassing van wetten en voorschriften met betrekking tot verkeerd gebruik en misbruik
                     van computers/telecommunicatie, de administratieve infrastructuren, waaronder het veiligheidsbeleid
                     en hoe dit op doeltreffende wijze kan worden uitgevoerd in de verschillende bedrijfstakken/takken van
 ---pagebreak--- Nr. C 277/20                            Publikatieblad van de Europese G e m e e n s c h a p p e n                           5. 1 1 . 90
                    wetenschap, en problemen in de maatschappelijke en persoonlijke sfeer (b.v. de toepassing van
                    identificatie, authentificatie en eventueel autorisatieregelingen in een democratische omgeving).
             1.4.5. Er moeten duidelijke lijnen worden aangegeven voor de ontwikkeling van fysieke en logische
                    architecturen voor veilige gedistribueerde informatiediensten, normen, richtlijnen en definities voor
                    gewaarborgde veiligheidsprodukten en -diensten, proefprojecten en prototypes, ten einde de
                    haalbaarheid te kunnen vaststellen van de verschillende bij de behoeften van specifieke sectoren
                    passende administratieve structuren, architecturen en normen.
             1.4.6. Er moet een grotere bewustwording op veiligheidsgebied worden gekweekt waardoor de gebruikers
                    meer aandacht zullen gaan besteden aan de veiligheid van IT- en telecommunicatiesystemen.
                 2. Actielijn II — Behoeften op het gebied van informatieveiligheid
               2.1. Probleem
            2.1.7. Informatieveiligheid is een absoluut vereiste waar het gaat om de bescherming van de persoonlijke
                    levenssfeer, de intellectuele eigendom, de vertrouwelijkheid van handelsgegevens en de nationale
                    veiligheid. Een en ander heeft tot gevolg dat er een moeilijke afweging en soms keuzes moeten worden
                    gemaakt tussen vrije handel en het streven naar beveiliging van de persoonlijke levenssfeer en de
                    intellectuele eigendom. Dergelijke keuzes of compromissen moeten gebaseerd zijn op een volledige
                    inschatting van de behoeften en het effect van de mogelijke informatieveiligheidsopties die daaraan
                    moeten voldoen.
            2.1.8. Gebruikersbehoeften impliceren informatiebeveiligende functionaliteiten die samenhangen met
                    technologische, operationele en regelgevingsaspecten. Derhalve vormt een systematisch onderzoek
                    naar de behoeften aan informatieveiligheid een essentieel onderdeel van de ontwikkeling van passende
                    en effectieve maatregelen.
               2.2. Doelstelling
            2.2.9. Vaststelling van de aard en kenmerken van gebruikersbehoeften en hun relatie tot informatieveilig-
                    heidsmaatregelen.
               2.3. Stand van zaken en trends
           2.3.10. Tot nu toe zijn er geen gezamenlijke inspanningen ondernomen om de zich snel ontwikkelende en
                    veranderende behoeften op het gebied van informatieveiligheid van de voornaamste betrokken
                    organisaties vast te stellen. De Lid-Staten van de Europese Gemeenschap hebben de behoeften aan
                    harmonisatie van nationale activiteiten (speciaal van de „IT-veiligheidscriteria") bepaald. Uniforme
                    evaluatiecriteria en -regels voor de wederzijdse erkenning van evaluatieresultaten/certificaten zijn van
                    groot belang.
               2.4. Behoeften, opties en prioriteiten
           2.4.11. Als basis voor een logische en doorzichtige behandeling van de rechtmatige behoeften van de betrokken
                    sectoren moet een overeengekomen classificatie worden ontwikkeld van gebruikersbehoeften, alsmede
                    de relatie daarvan met de informatieveiligheidsvoorziening.
           2.4.12. Verder wordt het van belang geacht de behoeften aan wetgeving, voorschriften en praktijkrichtlijnen
                    vast te stellen aan de hand van een beoordeling van trends op het gebied van dienstkenmerken en
                    technologie, alternatieve strategieën uit te stippelen voor de realisering van de doelstellingen door
                    administratieve, dienst-, operationele en technische voorzieningen, en de doeltreffendheid,
                    gebruikersvriendelijkheid en kosten te schatten van alternatieve informatieveiligheidsopties en
                    -strategieën voor gebruikers, dienstenverschaffers en exploitanten.
                 3. Actielijn III — Oplossingen voor onmiddellijke en tijdelijke behoeften
               3.1. Probleem
           3.1.13. Het is tegenwoordig mogelijk computers afdoende te beschermen tegen ongeautoriseerde benadering
                    van buitenaf door „isolatie", dit wil zeggen door toepassing van conventionele, organisatorische en
                    fysieke maatregelen. Dit geldt ook voor elektronische communicatie binnen een besloten
 ---pagebreak--- 5. 11. 90                             Publikatieblad van de Europese Gemeenschappen                                     Nr. C 277/21
                  gebruikersgroep die een specifiek netwerk gebruikt. De situatie ligt heel anders als de informatie wordt
                  gedeeld door verschillende gebruikersgroepen of wordt uitgewisseld via een openbaar of algemeen
                  toegankelijk netwerk. In het algemeen beschikt men niet over de technologie, terminals en diensten
                  noch over de bijbehorende standaards en procedures om in deze gevallen vergelijkbare
                  informatieveiligheid te verschaffen.
             3.2. Doelstelling
          3.2.14. Doelstelling is om op korte termijn oplossingen te bieden voor de meest dringende behoeften van de
                  gebruikers. De opzet daarvan moet zoveel mogelijk aansluiting bieden voor toekomstige behoeften en
                  oplossingen.
             3.3. Stand van zaken en trends
          3.3.15. Sommige gebruikersgroepen hebben technieken en procedures ontwikkeld voor eigen gebruik die met
                  name zijn afgestemd op de behoefte aan identificatie, integriteit en niet-afwijzing. Over het algemeen
                  worden magneetkaarten of chipkaarten gebruikt. Bij sommige daarvan zijn al dan niet verfijnde
                  cryptografische technieken gebruikt. Vaak betekende dit dat er voor gebruikersgroepen specifieke
                  „autorisaties" moesten worden gedefinieerd. Het is echter moeilijk om deze technieken en methoden te
                  veralgemenen en geschikt te maken voor een open omgeving.
          3.3.16. De ISO werkt aan OSI-informatieveiligheid (ISO DIS 7498-2) en de CCITT in het kader van X 400. Het
                  is ook mogelijk informatieveiligheidssegmenten in de berichten in te voegen. Het authentiseren, de
                  integriteit en de niet-afwijzing worden bekeken als onderdeel van de berichten (Edifact) en als
                  onderdeel van het X 400 MHS.
          3.3.17. Het wettelijke kader voor de EDI verkeert momenteel nog in het ontwerp-stadium. De internationale
                   Kamer van Koophandel heeft uniforme gedragsregels uitgevaardigd voor de uitwisseling van
                  handelsgegevens via telecommunicatienetwerken.
          3.3.18. Een aantal landen, waaronder de Bondsrepubliek Duitsland, Frankrijk, het Verenigd Koninkrijk en de
                  Verenigde Staten, hebben criteria ontwikkeld voor de evaluatie van de betrouwbaarheid van IT- en
                  telecommunicatieprodukten en -systemen en de bijbehorende procedures voor de uitvoering van die
                  evaluaties, of zijn daar nog mee bezig. Deze criteria zijn opgesteld in samenwerking met de nationale
                  fabrikanten en zullen leiden tot een toenemend aantal vertrouwde produkten en systemen, te beginnen
                  met eenvoudige produkten. De oprichting van nationale organisaties die evaluaties uitvoeren en
                  certificaten afgeven, zullen deze ontwikkeling ondersteunen.
          3.3.19. Verschaffing van vertrouwelijkheid wordt door de meeste gebruikers niet beschouwd als een eerste
                  vereiste. Deze houding zal in de toekomst waarschijnlijk veranderen, wanneer het gebruik van
                  geavanceerde communicatiediensten en met name mobiele diensten algemeen is geworden.
             3.4. Behoeften, opties en prioriteiten
          3.4.20. Het is van essentieel belang zo spoedig mogelijk de procedures, standaards, produkten en
                  gereedschappen te ontwikkelen die geschikt zijn om informatieveiligheid op openbare communicatie-
                  netwerken te verzekeren. Hoge prioriteit moet worden gegeven aan authentiseren, integriteit en niet-
                  afwijzing. Er moeten proefprojecten worden uitgevoerd om de bruikbaarheid van de voorgestelde
                  oplossingen vast te stellen. Binnen de meer algemene opzet van dit actieplan wordt in het kader van het
                  Tedis-programma gekeken naar de prioritaire behoeften bij EDI.
               4. Actielijn IV — Specificaties, normalisatie en verificatie op het gebied van informatieveiligheid
             4.1. Probleem
          4.1.21. Behoefte aan informatieveiligheid bestaat overal en daarom zijn gemeenschappelijke specificaties en
                  normen van essentieel belang. Het ontbreken van overeengekomen normen en specificaties kan een
                  ernstige belemmering vormen voor de vooruitgang op het gebied van op informatie gebaseerde
                  processen en diensten in de hele economie en samenleving. Acties zijn nodig om de ontwikkeling en
                  toepassing van technologie en normen te versnellen op een aantal met communicatie- en
                  computernetwerk verband houdende gebieden die van essentieel belang zijn voor gebruikers, industrie
                  en administraties.
 ---pagebreak--- Nr. C 277/22                           Publikatieblad van de Europese Gemeenschappen                                       5. 11. 90
              4.2. Doelstelling
           4.2.22. Er zijn inspanningen nodig om middelen te vinden voor het ondersteunen en verrichten van specifieke
                    functies op algemene gebieden als OSI, ONP, ISDN/IBC, netwerkbeheer en netwerkbeveiliging,
                    wanneer het gaat om niet geheime maar gevoelige informatie. Nauw verbonden met normalisatie en
                    specificatie zijn de voor verificatie vereiste technieken en benaderingen.
              4.3. Stand van zaken en trends
           4.3.23. Vooral in de Verenigde Staten zijn grote programma's opgezet op het gebied van informatieveiligheid
                    op niet militair gebied. In Europa wordt deze problematiek behandeld in het kader van IT- en
                    telecommunicatienormalisatie door ETS1 en CEN/Cenelec ter voorbereiding van CCITT en ISO-
                    werkzaamheden op dit gebied.
           4.3.24. Gezien de groeiende bezorgdheid worden de activiteiten in de Verenigde Staten snel opgevoerd en zowel
                    leveranciers als dienstenverschaffers verhogen hun inspanningen op dit gebied. In Europa zijn los van
                    elkaar soortgelijke activiteiten van start gegaan in Frankrijk, de Bondsrepubliek Duitsland en het
                    Verenigd Koninkrijk, maar een gemeenschappelijke inspanning zoals die in de Verenigde Staten komt
                    slechts langzaam op gang.
              4.4. Behoeften, opties en prioriteiten
           4.4.25. De regelgevende, operationele, administratieve en technische aspecten van de informatieveiligheid zijn
                    nauw met elkaar verweven. Voorschriften moeten tot uitdrukking komen in normen en
                    informatieveiligheidsvoorzieningen moeten op een toetsbare wijze voldoen aan de normen en
                    voorschriften. Wat een aantal aspecten betreft, vereist de regelgeving specificaties die buiten het
                    normale door normalisatie bestreken gebied vallen, dit wil zeggen die praktijkrichtlijnen omvatten. Op
                    alle gebieden van informatieveiligheid bestaat behoefte aan normen en praktijkrichtlijnen en er moet
                    onderscheid worden gemaakt tussen de beschermingsbehoeften die overeenkomen met de
                    veiligheidsdoelstellingen en bepaalde technische behoeften die aan de bevoegde Europese
                    normalisatieorganisaties (CEN/Cenelec/ETSI) kunnen worden toevertrouwd.
           4.4.26. De specificaties en normen moeten betrekking hebben op informatiebeveiligingsdiensten (persoons- en
                    bedrijfsauthentisering, niet-afwijzingsprotocollen, wettelijk toegestaan elektronisch bewijs, autori-
                    satiecontrole), communicatiediensten (privacy van beeldcommunicatie, privacy van stem en data bij
                    mobiele communicatie, bescherming van data- en beelddatabase, beveiliging geïntegreerde diensten),
                    communicatie en beveiligingsbeheer (openbaar/particulier centraal systeem voor open- netwerk-
                    besturing, bescherming van netwerkbeheer, bescherming van dienstverschaffer) en certificatie
                     (verzekeringscriteria en niveaus van informatieveiligheid, veiligheidsverzekeringsprocedures).
                 5. Actielijn V — Technologische en operationele ontwikkelingen ten behoeve van informatiebeveiliging
              5.1. Probleem
           5.1.27. Systematisch O & O op technologisch gebied om economisch haalbare en operationeel bevredigende
                    oplossingen te realiseren en daarmee te voldoen aan een reeks behoeften op het gebied van
                    informatieveiligheid nu en in de toekomst is een voorwaarde voor de ontwikkeling van de
                    dienstenmarkt en de concurrentiekracht van de gehele Europese economie.
           5.1.28. Alle technologische ontwikkelingen op het gebied van informatiesysteembeveiliging zullen zowel de
                    gebieden computerbeveiliging als communicatiebeveiliging moeten omvatten, aangezien de meeste
                     systemen tegenwoordig gedistribueerde systemen zijn die toegankelijk zijn via communicatiediensten.
               5.2. Doelstelling
           5.2.29. Systematisch O & O op technologisch gebied om economisch haalbare en operationeel bevredigende
                     oplossingen te vinden voor een reeks behoeften op het gebied van informatieveiligheid nu en in de
                     toekomst.
               5.3. Behoeften, opties en prioriteiten
           5.3.30. De werkzaamheden op het gebied van informatieveiligheid moeten betrekking hebben op
                     ontwikkelings- en implementatiestrategieën, technologieën, alsmede integratie en verificatie.
 ---pagebreak--- 5. 1 1 . 90                             Publikatieblad van de Europese G e m e e n s c h a p p e n                          Nr. C 277/23
            5.3.31. De strategische O & O-werkzaamheden moeten betrekking hebben op ontwerp-modellen voor zo
                     veilig mogelijke systemen, modellen van functionele eisen, risicomodellen en architecturen voor
                     beveiliging.
            5.3.32. De technologie gerichte O &C O-werkzaamheden moeten ook gebruiks- en berichtauthentisering
                     omvatten (bij voorbeeld door stemanalyse en elektronische handtekeningen), technische interfaces en
                     protocollen voor encryptie, toegangscontrolemechanismen en implementatiemethoden voor
                     bewijsbaar veilige systemen.
            5.3.33. In het kader van projecten op het gebied van integratie en verificatie moet onderzoek worden verricht
                     naar verificatie en validering van technische systeembeveiliging.
            5.3.34. Naast consolidering en ontwikkeling van beveiligingstechnologie is een aantal begeleidende
                     maatregelen nodig met betrekking tot de opstelling, het onderhoud en de consistente toepassing van
                     normen, alsmede de validering en certificatie van IT- en telecommunicatieprodukten wat betreft hun
                     veiligheidseigenschappen, met inbegrip van validering en certificatie van methoden voor het ontwerpen
                     en implementeren van systemen.
            5.3.35. Het derde kaderprogramma van de Gemeenschap voor O & TO kan misschien worden gebruikt voor
                     het stimuleren van samenwerkingsprojecten op precommercieel en prenormatief vlak.
                  6. Actielijn VI — informatieveiligheidsvoorzieningen
                6.1. Probleem
            6.1.36. Afhankelijk van de precieze aard van de informatiebeveiligingskenmerken zullen de vereiste functies
                     moeten worden ingebouwd in de verschillende delen van de communicatiesystemen, dus in terminals/
                     computers, diensten, netwerkbeheer, cryptografische apparatuur, chipkaarten, openbare en privé
                     sleutels, enz. Sommige functies zullen waarschijnlijk kunnen worden ingebed in de door leveranciers
                     geleverde apparatuur of programmatuur, terwijl andere functies weer onderdeel zullen zijn van
                     gedistribueerde systemen (bij voorbeeld netwerkbeheer), in het bezit zijn van individuele gebruikers (bij
                     voorbeeld chipkaarten) of door een gespecialiseerde organisatie worden verschaft (bij voorbeeld
                     openbare/privé-sleutels).
            6.1.37. De meeste informatiebeveiligingsprodukten en diensten zullen waarschijnlijk worden geleverd door
                     leveranciers, dienstverschaffers en exploitanten. Wat specifieke functies betreft, bij voorbeeld de
                     verschaffing van openbare privé-sleutels, auditing en autorisatie, zullen misschien bevoegde
                     organisaties moeten worden aangewezen en van volmachten voorzien.
            6.1.38. Hetzelfde geldt voor certificatie, evaluatie en verificatie van de kwaliteit van diensten, zijnde functies
                     die moeten vallen onder het beheer van organisaties die los staan van de belangen van leveranciers,
                     dienstverschaffers en exploitanten. Dit kunnen particuliere of overheidsorganisaties zijn dan wel
                     organisaties die door de regering gemachtigd zijn gedelegeerde functies te verrichten.
                6.2. Doelstelling
            6.2.39. Met het oog op de bevordering van een harmonieuze ontwikkeling op het gebied van
                      informatieveiligheidsvoorziening in de Gemeenschap ter bescherming van het publiek en van zakelijke
                      belangen zal het nodig zijn een samenhangende aanpak op het betreffende gebied te ontwikkelen.
                     Wanneer er machtiging van onafhankelijke organisaties nodig is, zullen functies en voorwaarden
                      moeten worden omschreven en overeengekomen en indien nodig in een wettelijk kader worden
                      ingebed. Men zou moeten kunnen komen tot een duidelijk omschreven en overeengekomen verdeling
                      van verantwoordelijkheden op communautair niveau tussen de verschillende organisaties, hetgeen een
                      vereiste is voor wederzijdse erkenning.
                6.3. Stand van zaken en trends
            6.3.40. Momenteel is informatieveiligheidsvoorziening alleen goed georganiseerd voor specifieke gebieden en
                     daarbij beperkt tot bepaalde behoeften. De organisatie op Europees niveau is meestal niet officieel en
                     buiten besloten groepen is het nog niet gekomen tot wederzijdse erkenning van verificatie en
                     certificatie. Gezien het steeds groter wordend belang van informatieveiligheid wordt het hoog tijd te
                     komen tot de definitie van een Europese en internationale, samenhangende aanpak op het gebied van
                     informatieveiligheid.
 ---pagebreak--- Nr. C 277/24                             Publikatieblad van de Europese Gemeenschappen                                       5. 11. 90
                 6.4. Behoeften, opties en prioriteiten
              6.4.41. In verband met het grote aantal betrokken organisaties en de nauwe verwevenheid met wettelijke en
                      bestuursrechtelijke vraagstukken is het van groot belang eerst tot overeenstemming te komen over de
                      beginselen die moeten gelden voor informatieveiligheidsvoorziening.
                      Om zo'n aanpak te kunnen ontwikkelen zullen aspecten van identificatie en specificatie van functies
                      moeten worden behandeld, die van dien aard zijn dat hiervoor de hulp nodig is van een onafhankelijke
                      organisatie (of samenwerkende organisaties). Men zou hierbij kunnen denken aan functies als het
                      beheer van een openbaar/privé-sleutelsysteem : daarnaast is het nodig om in een vroeg stadium functies
                      aan te geven en te specificeren die in het algemeen belang aan een onafhankelijke organisatie (of
                      samenwerkende organisaties) moeten worden toevertrouwd. Men zou hierbij bij voorbeeld kunnen
                      denken aan auditing, kwaliteitsborging, verificatie, certificatie en soortgelijke functies.
              Voorstel voor een besluit van de Raad betreffende de sluiting door de Europese Economische
              Gemeenschap van een Overeenkomst inzake handel en commerciële en economische
              samenwerking tussen de Europese Economische Gemeenschap en de Europese Gemeenschap voor
                                         Atoomenergie enerzijds en Roemenië anderzijds
                                                          ESC(90) 1872 def.
                                (Door de Commissie bij de Raad ingediend op 8 oktober 1990)
                                                            (90/C 277/06)
DE RAAD VAN DE EUROPESE GEMEENSCHAPPEN,                                 BESLUIT:
                                                                                                      Artikel 1
Gelet op het Verdrag tot oprichting van de Europese
Economische Gemeenschap, inzonderheid op de artike-                     De Overeenkomst inzake handel en commerciële en
len 113 en 235,                                                         economische samenwerking tussen de Europese Economi-
                                                                        sche Gemeenschap en de Europese Gemeenschap voor
                                                                        Atoomenergie enerzijds en Roemenië anderzijds wordt
Gezien het voorstel van de Commissie,                                   namens de Europese Economische Gemeenschap goedge-
                                                                        keurd.
Gezien het advies van het Europese Parlement,                           De tekst van de Overeenkomst is aan dit besluit gehecht.
                                                                                                      Artikel 2
Overwegende dat sluiting door de Europese Economische
Gemeenschap van de Overeenkomst inzake handel en                        De Voorzitter van de Raad gaat namens de Europese
commerciële en economische samenwerking tussen de                       Economische Gemeenschap over tot de in artikel 25 van de
Europese Economische Gemeenschap en de Europese                         Overeenkomst bepaalde kennisgeving ( ! ).
Gemeenschap voor Atoomenergie enerzijds en Roemenië
anderzijds noodzakelijk blijkt voor de verwezenlijking van                                            Artikel 3
de doelstellingen van de Gemeenschap op het gebied van de
buitenlandse betrekkingen;                                              De Commissie, bijgestaan door de vertegenwoordigers van
                                                                        de Lid-Staten, vertegenwoordigt de Gemeenschap in het bij
                                                                        artikel 22 van de Overeenkomst ingestelde Gemengd
                                                                        Comité.
Overwegende dat blijkt dat bepaalde van de in bedoelde
Overeenkomst voorziene economische samenwerkings-
maatregelen het terrein van de in het Verdrag vastgestelde
                                                                        (!) Het Secretariaat-generaal van de Raad maakt de datum van
bevoegdheden overschrijden, met name die op het gebied                      inwerkingtreding van de Overeenkomst bekend in het
van het gemeenschappelijk handelsbeleid,                                    Publikatieblad van de Europese Gemeenschappen.