Aanbeveling 2017/1584 - Gecoördineerde respons op grootschalige cyberincidenten en -crises - Hoofdinhoud

NL

Publicatieblad van de Europese Unie

L 239/36

Nu de onderlinge verbondenheid en afhankelijkheid van onze burgers en bedrijven, over sectoren en grenzen heen, groter is dan ooit tevoren, zijn het gebruik en de afhankelijkheid van informatie- en communicatietechnologieën fundamentele aspecten geworden van alle sectoren van de economische activiteit. De lidstaten en instellingen van de EU moeten goed voorbereid zijn op een cyberincident dat organisaties in meer dan één lidstaat of zelfs de hele Unie treft en dat de interne markt en, meer in het algemeen, de netwerk- en informatiesystemen waar de economie, democratie en samenleving van de Unie van afhankelijk zijn, ernstig kan verstoren.

Een cyberincident kan worden beschouwd als een crisis op het niveau van de Unie wanneer de verstoring die door het incident wordt veroorzaakt te groot is om door een getroffen lidstaat alleen te worden verholpen of wanneer de technische of politieke gevolgen voor twee of meer lidstaten zo wijdverspreid zijn dat tijdige coördinatie en respons op het politieke niveau van de Unie vereist zijn.

Cyberincidenten kunnen een ruimere crisis veroorzaken en gevolgen hebben voor activiteitensectoren die verder reiken dan netwerk- en informatiesystemen en communicatienetwerken; elke respons moet gebaseerd zijn op zowel cybergebonden als niet-cybergebonden risicobeperkende activiteiten.

Cyberincidenten zijn onvoorspelbaar en ontstaan en verspreiden zich vaak op zeer korte tijd; de getroffen entiteiten en degenen die verantwoordelijk zijn om op het incident te reageren en de gevolgen ervan te beperken, moeten hun respons dus snel coördineren. Bovendien blijven cyberincidenten vaak niet beperkt tot één bepaald geografisch gebied; ze kunnen zich gelijktijdig voordoen of razendsnel verspreiden over meerdere landen.

Een effectieve respons op grootschalige incidenten en crises op het gebied van cyberbeveiliging op het niveau van de EU vereist snelle en effectieve samenwerking tussen alle relevante belanghebbenden, en is afhankelijk van de paraatheid en capaciteiten van individuele lidstaten en van gecoördineerde gezamenlijke actie met de steun van de Unie. Het bestaan van vooraf vastgelegde en, in de mate van het mogelijke, goed ingeoefende samenwerkingsprocedures en -mechanismen, met duidelijk vastgestelde rollen en verantwoordelijkheden voor de belangrijkste actoren op nationaal en EU-niveau, is van essentieel belang om tijdig en effectief te kunnen reageren op incidenten.

In zijn conclusies (1) inzake de bescherming van kritieke informatie-infrastructuur van 27 mei 2011 heeft de Raad de EU-lidstaten verzocht „de samenwerking tussen de lidstaten te intensiveren en op basis van de nationale crisisbeheersingservaringen en -resultaten en in samenwerking met het Enisa te helpen bij de ontwikkeling van Europese samenwerkingsmechanismen bij cyberincidenten, die zullen worden uitgetest in het kader van de volgende CyberEurope-oefening in 2012”.

In haar mededeling uit 2016 „Versterken van het Europese cyberbeveiligingssysteem en bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche” (2) moedigt de Commissie de lidstaten aan de NIB-samenwerkingsmechanismen (3) maximaal te benutten en tevens de grensoverschrijdende samenwerking inzake de paraatheid voor een grootschalig cyberincident te versterken. Zij voegde eraan toe dat een gecoördineerde aanpak van de crisissamenwerking tussen de verschillende elementen van het cyber-ecosysteem die paraatheid zou vergroten en dat een dergelijke „blauwdruk” ook de synergieën en samenhang met bestaande mechanismen voor crisismanagement zou waarborgen.

In de conclusies van de Raad (4) over de bovenvermelde mededeling hebben de lidstaten de Commissie verzocht een dergelijke blauwdruk in te dienen, zodat de betrokken instanties en andere belanghebbenden deze kunnen bestuderen. De NIB-richtlijn voorziet echter niet in een samenwerkingskader op het niveau van de Unie in het geval van grootschalige cyberincidenten en -crises.

De Commissie heeft tijdens twee afzonderlijke workshops, die op 5 april en 4 juli 2017 plaatsvonden in Brussel, overleg gepleegd met vertegenwoordigers van de lidstaten die afkomstig waren uit Computer Security Incident Response Teams (CSIRT's), de bij de NIB-richtlijn opgerichte samenwerkingsgroep en de Horizontale Groep cybervraagstukken van de Raad, en met vertegenwoordigers van de Europese Dienst voor extern optreden (EDEO), Enisa, Europol/EC3 en het Algemeen Secretariaat van de Raad.

De in de bijlage bij deze aanbeveling gevoegde blauwdruk voor een gecoördineerde respons op grootschalige cyberincidenten en -crises op het niveau van de Unie is het resultaat van het bovenvermelde overleg en vormt een aanvulling op de mededeling „Versterken van het Europese cyberbeveiligingssysteem en bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche”.

In de blauwdruk worden de doelstellingen en samenwerkingsvormen tussen de lidstaten en de EU-instellingen, -organen, -bureaus en -agentschappen (hierna „de EU-instellingen” genoemd) beschreven in reactie op grootschalige cyberincidenten en -crises, en wordt uiteengezet hoe bestaande crisisbeheersingsmechanismen optimaal gebruik kunnen maken van bestaande cyberbeveiligingsentiteiten op EU-niveau.

Wanneer in de zin van overweging 2 op een cybercrisis wordt gereageerd, dan is de coördinatie van de respons in de Raad, op het politieke niveau van de Unie, gebaseerd op de geïntegreerde regeling politieke crisisrespons (IPCR) (5); de Commissie maakt gebruik van Argus (6), het proces voor sectoroverschrijdende coördinatie op hoog niveau. Als de crisis een belangrijke externe dimensie heeft of raakt aan het gemeenschappelijk Europees veiligheids- en defensiebeleid, dan wordt het Crisisresponsmechanisme (CRM) (6) van de Europese Dienst voor extern optreden (EDEO) geactiveerd.

Op bepaalde gebieden voorzien sectorale crisisbeheersingsmechanismen op EU-niveau in samenwerking in het geval van cyberincidenten of -crises. Wat bijvoorbeeld het Europese wereldwijde satellietnavigatiesysteem (GNSS) betreft, is in Besluit 2014/496/GBVB van de Raad (7) reeds vastgesteld welke rol de Raad, de hoge vertegenwoordiger, de Commissie het Europees GNSS-agentschap en de lidstaten spelen in de keten van operationele verantwoordelijkheden die is opgezet om te reageren op een bedreiging voor de Unie, de lidstaten of het GNSS; dit heeft ook betrekking op cyberaanvallen. Deze aanbeveling laat dergelijke mechanismen dan ook onverlet.

Het is in de eerste plaats de verantwoordelijkheid van de lidstaten om te reageren als zij getroffen worden door grootschalige cyberincidenten of -crises. Er is echter ook een belangrijke rol weggelegd voor de Commissie, de hoge vertegenwoordiger en de andere instellingen of diensten van de EU, die voortvloeit uit de Uniewetgeving of uit het feit dat cyberincidenten en -crises gevolgen kunnen hebben voor alle deelgebieden van de economische activiteit in de interne markt, voor de beveiliging en de internationale betrekkingen van de Unie en voor de instellingen zelf.

De belangrijkste actoren die op het niveau van de Unie betrokken zijn bij een respons op cybercrises zijn onder meer de recentelijk opgerichte structuren en mechanismen van de NIB-richtlijn, namelijk het netwerk van Computer Security Incident Response Teams (CSIRT), en de relevante agentschappen en organen, namelijk het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa), het Europees Centrum voor de bestrijding van cybercriminaliteit, dat deel uitmaakt van Europol (Europol/EC3), het Centrum van de Europese Unie voor de analyse van inlichtingen (Intcen), de afdeling Militaire Inlichtingen van de EU (EUMS INT) en het Situatiecentrum (SitRoom), die samen de gezamenlijke capaciteit op het gebied van inlichtingenanalyse vormen, de EU-Fusiecel (die deel uitmaakt van Intcen), het computercrisisteam voor de EU-instellingen en agentschappen (CERT-EU) en het Coördinatiecentrum voor respons in noodsituaties van de Europese Commissie.

Het CSIRT-netwerk, dat in het kader van de NIB-richtlijn is opgezet, zorgt voor technische samenwerking tussen de lidstaten bij een respons op cyberincidenten. Enisa is het secretariaat van het netwerk en ondersteunt actief de samenwerking tussen de CSIRT's. De nationale CSIRT's en het CERT-EU werken samen en wisselen op vrijwillige basis informatie uit, indien nodig ook in reactie op cyberincidenten die één of meer lidstaten treffen. Op verzoek van de vertegenwoordiger van het CSIRT van een lidstaat kunnen zij, indien mogelijk, overleggen en een gecoördineerde respons bepalen op een incident dat binnen de jurisdictie van die lidstaat heeft plaatsgevonden. De relevante procedures zijn uiteengezet in de standaardwerkwijzen van het CSIRT-netwerk (8).

Het CSIRT-netwerk is ook belast met het bespreken, onderzoeken en vaststellen van verdere vormen van operationele samenwerking, onder meer ook met betrekking tot categorieën risico's en incidenten, vroegtijdige waarschuwingen, wederzijdse bijstand, beginselen en voorwaarden voor coördinatie, wanneer lidstaten reageren op grensoverschrijdende risico's en incidenten.

De bij artikel 11 van de NIB-richtlijn opgerichte samenwerkingsgroep is belast met het verlenen van strategische aansturing voor de activiteiten van het CSIRT-netwerk en het bespreken van de capaciteiten en paraatheid van de lidstaten en, op vrijwillige basis, het evalueren van nationale strategieën voor de beveiliging van netwerk- en informatiesystemen en de effectiviteit van CSIRT's, en het identificeren van beste praktijken.

Binnen de samenwerkingsgroep bestaat een specifieke actielijn voor de opstelling van richtsnoeren voor de melding van incidenten, overeenkomstig artikel 14, lid 7, van de NIB-richtlijn, waarin bepaald wordt in welke omstandigheden verleners van essentiële diensten incidenten moeten melden overeenkomstig artikel 14, lid 3, en in welk formaat en volgens welke procedure deze meldingen moeten worden gedaan (9).

Bewustzijn en begrip van de realtimesituatie, risicogedrag en bedreigingen, die zijn opgedaan dankzij rapportering, beoordelingen, studie, onderzoek en analyse, zijn van essentieel belang om goed onderbouwde besluiten te nemen. Voor een effectieve gecoördineerde respons is het van essentieel belang dat alle relevante belanghebbenden over dit „situatiebewustzijn” beschikken. Situatiebewustzijn heeft zowel betrekking op de oorzaken als de gevolgen van het incident. Algemeen wordt erkend dat dit afhankelijk is van de uitwisseling van informatie tussen relevante partijen in een geschikt formaat en op een voldoende veilige wijze, waarbij gebruik wordt gemaakt van een gemeenschappelijke classificatie om het incident te beschrijven.

Een respons op cyberincidenten kan vele vormen aannemen, van het identificeren van technische maatregelen waarbij twee of meer entiteiten samen de technische oorzaken van het incident onderzoeken (bijv. de analyse van malware) of het identificeren van manieren waarop organisaties kunnen nagaan of ze zijn getroffen (bijv. Indicators of Compromise), tot operationele besluiten over de toepassing van dergelijke maatregelen en, op politiek niveau, besluiten over het gebruik van andere instrumenten, zoals het kader voor een gezamenlijke respons op kwaadwillige cyberactiviteiten (10) of het operationeel EU-protocol voor de bestrijding van hybride bedreigingen (11), al naargelang het incident.

Het vertrouwen van Europese burgers en bedrijven in digitale diensten is van essentieel belang voor een bloeiende digitale interne markt. Daarom speelt crisiscommunicatie een bijzonder belangrijke rol in het beperken van de negatieve gevolgen van cyberincidenten en -crises. Ook in de context van het kader voor een gezamenlijk diplomatiek antwoord kan gebruik worden gemaakt van communicatie, als middel om het gedrag van (potentiële) daders die actief zijn vanuit derde landen te beïnvloeden. De politieke respons is alleen doeltreffend wanneer de publieke communicatie om de negatieve gevolgen van cyberincidenten en -crises te beperken en de publieke communicatie om daders te beïnvloeden, op elkaar worden afgestemd.

De gevolgen van grootschalige cyberincidenten of -crises kunnen ook op doeltreffende wijze worden beperkt door het publiek te informeren over de wijze waarop zij op het niveau van een individuele gebruiker of een organisatie de gevolgen van een incident kunnen beperken (bijv. door een patch te installeren of aanvullende maatregelen te nemen om de dreiging af te wenden).

Via de digitalediensteninfrastructuur op het gebied van cyberbeveiliging van de Connecting Europe Facility (CEF) ontwikkelt de Commissie een centraal dienstenplatform, een samenwerkingsmechanisme met de naam MeliCERTes, voor de CSIRT's van deelnemende lidstaten, zodat zij hun paraatheid, samenwerking en respons op ontluikende cyberdreigingen en -incidenten kunnen verbeteren. Via vergelijkende uitnodigingen tot het indienen van voorstellen voor de toekenning van subsidies in het kader van de CEF verleent de Commissie ook medefinanciering aan CSIRT's in de lidstaten, teneinde hun operationele capaciteiten op nationaal niveau te verbeteren.

Cyberbeveiligingsoefeningen op EU-niveau zijn essentieel om de samenwerking tussen de lidstaten en de private sector te bevorderen en te verbeteren. Om dit doel te bereiken, organiseert Enisa sinds 2010 regelmatig pan-Europese oefeningen met betrekking tot cyberincidenten („Cyber Europe”).

In de conclusies van de Raad (12) over de uitvoering van de gezamenlijke verklaring van de voorzitter van de Europese Raad, de voorzitter van de Europese Commissie en de secretaris-generaal van de Noord-Atlantische Verdragsorganisatie wordt een oproep gedaan om de samenwerking in cyberoefeningen te versterken via wederzijdse deelname van het personeel aan de respectieve oefeningen, met name Cyber Coalition en Cyber Europe.

Het voortdurend evoluerende dreigingslandschap en recente cyberincidenten zijn een indicatie van de alsmaar toenemende risico's waarmee de Unie wordt geconfronteerd; de lidstaten moeten dan ook onverwijld gevolg geven aan deze aanbeveling, uiterlijk tegen eind 2018,

De lidstaten en de EU-instellingen moeten een EU-kader voor respons op cybercrises vaststellen, waarin de in de blauwdruk gepresenteerde doelstellingen en samenwerkingsvoorwaarden worden opgenomen volgens de daarin beschreven leidende beginselen.

Het EU-kader voor respons op cybercrises moet met name de relevante actoren, EU-instellingen en instanties van de lidstaten identificeren, op alle nodige niveaus — technisch, operationeel, strategisch/politiek — en indien nodig standaardwerkwijzen opstellen voor hun onderlinge samenwerking in het kader van de EU-mechanismen voor crisisbeheersing. Daarbij moet de nadruk worden gelegd op het uitwisselen van informatie zonder onnodige vertraging en de respons en de coördinatie van de respons tijdens grootschalige cyberincidenten en -crises.

Om dit doel te bereiken, moeten de bevoegde autoriteiten van de lidstaten samen voortwerken aan specificaties voor informatie-uitwisseling en samenwerkingsprotocollen. De samenwerkingsgroep moet de ervaringen op deze gebieden uitwisselen met de relevante EU-instellingen.

De lidstaten moeten ervoor zorgen dat hun nationale mechanismen voor crisisbeheersing voorzien in een passende respons op cyberincidenten en in de nodige procedures voor samenwerking op EU-niveau in de context van het EU-kader.

Wat de bestaande crisisbeheersingsmechanismen van de EU betreft, moeten de lidstaten, overeenkomstig de blauwdruk, samen met de diensten van de Commissie en de EDEO praktische uitvoeringsrichtsnoeren opstellen voor de integratie van hun nationale crisisbeheersings- en cyberbeveiligingsentiteiten en -procedures in de bestaande crisisbeheersingsmechanismen van de EU, namelijk de IPCR en het CRM van de EDEO. De lidstaten moeten met name zorgen voor passende structuren die efficiënte informatiestromen mogelijk maken tussen hun nationale crisisbeheersingsautoriteiten en hun vertegenwoordigers op EU-niveau in de context van de EU-crisismechanismen.

De lidstaten moeten ten volle gebruikmaken van de mogelijkheden die worden geboden door het programma van de Connecting Europe Facility (CEF) voor digitalediensteninfrastructuur op het gebied van cyberbeveiliging, en moeten met de Commissie samenwerken om te garanderen dat het centraal dienstenplatform, een samenwerkingsmechanisme dat momenteel in ontwikkeling is, over de nodige functies beschikt en voldoet aan hun eisen op het gebied van samenwerking, ook tijdens cybercrises.

Met de bijstand van Enisa en voortbouwend op eerdere werkzaamheden op dit gebied, moeten de lidstaten samen een gemeenschappelijke classificatie opstellen en vaststellen, alsook een model voor situatieverslagen waarin de technische oorzaken en gevolgen van cyberincidenten worden beschreven, zodat zij hun technische en operationele samenwerking tijdens crises verder kunnen verbeteren. Wat dit betreft, dienen de lidstaten rekening te houden met de werkzaamheden die binnen de samenwerkingsgroep lopende zijn met betrekking tot richtsnoeren voor de melding van incidenten, en met name de aspecten die verband houden met het formaat van nationale meldingen.

De procedures die in het kader worden uiteengezet, moeten worden getest en indien nodig herzien op basis van de lessen die zijn getrokken uit de deelname van lidstaten aan cyberoefeningen op het niveau van de regio's, de lidstaten, de Unie en de NAVO en uit cyberdiplomatie. Ze moeten met name worden getest in het kader van de CyberEurope-oefeningen die door Enisa worden georganiseerd. De eerste gelegenheid om dit te doen is CyberEurope 2018.

De lidstaten en de EU-instellingen moeten regelmatig hun respons op grootschalige cyberincidenten en crises op nationaal en Europees niveau oefenen, met inbegrip van hun politieke respons, indien nodig, en in samenwerking met entiteiten uit de privésector, voor zover van toepassing.

Een effectieve respons mogelijk maken. De respons kan vele vormen aannemen, van het identificeren van technische maatregelen waarbij twee of meer entiteiten samen de technische oorzaken van het incident onderzoeken (bijv. de analyse van malware) of het identificeren van manieren waarop organisaties kunnen nagaan of ze zijn getroffen (bijv. Indicators of Compromise), tot operationele besluiten over de toepassing van dergelijke technische maatregelen en, op politiek niveau, besluiten over de inzet van andere instrumenten, zoals de diplomatieke EU-respons op kwaadwillige cyberactiviteiten („instrumentarium voor cyberdiplomatie”) of het operationeel EU-protocol voor de bestrijding van hybride bedreigingen, al naargelang het incident.

Situatiebewustzijn delen. Het is van essentieel belang voor een gecoördineerde respons dat alle relevante belanghebbenden op de drie niveaus (technisch, operationeel, politiek) de gebeurtenissen die zich voordoen voldoende begrijpen. Situatiebewustzijn kan zowel betrekking hebben op de technologische aspecten van de oorzaken als op de gevolgen en oorsprong van het incident. Aangezien cyberincidenten gevolgen kunnen hebben voor tal van sectoren (financiën, energie, vervoer, gezondheidszorg enz.) is het van primordiaal belang dat de passende informatie, in het geschikte formaat, alle relevante belanghebbenden tijdig bereikt.

Overeenstemming bereiken over belangrijke publieke communicatieberichten (9). Crisiscommunicatie speelt een belangrijke rol bij het beperken van de negatieve gevolgen van cyberincidenten en -crises, maar kan ook worden gebruikt om het gedrag van (potentiële) daders te beïnvloeden. Het gedrag van daders kan ook worden beïnvloed door in de berichtgeving duidelijk te wijzen op de waarschijnlijke diplomatieke gevolgen. De politieke respons zal alleen doeltreffend zijn wanneer de publieke communicatie om de negatieve gevolgen van cyberincidenten en -crises te beperken en de publieke communicatie om daders te beïnvloeden, op elkaar worden afgestemd. De verspreiding van praktische informatie over manieren waarop het publiek de gevolgen van een incident kan beperken (bijv. door een patch te installeren of aanvullende maatregelen te nemen om de dreiging af te wenden), is van zeer groot belang voor de cyberbeveiliging.

Gecoördineerde respons

Gedeeld situatiebewustzijn

Publieke communicatie

Aanpak van incidenten (11) tijdens een cybercrisis.

Monitoring van en toezicht op incidenten, met inbegrip van permanente analyse van dreigingen en risico's.

Lidstaten

Organen/Bureaus/Agentschappen van de EU

Europese Commissie

EDEO

In het kader van de regelmatige samenwerking op technisch niveau ter ondersteuning van het situatiebewustzijn van de Unie, moet het Enisa regelmatig het EU Cybersecurity Technical Situation Report over incidenten en bedreigingen opstellen, op basis van publiek beschikbare informatie en eigen analyses en verslagen die het ontvangt van de CSIRT's van de lidstaten (op vrijwillige basis) of de bij de NIB-richtlijn opgerichte centrale contactpunten, het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) van Europol en CERT-EU, en, voor zover passend, het EU-centrum voor inlichtingen (Intcen) van de Europese Dienst voor extern optreden (EDEO). Dit verslag moet ter beschikking worden gesteld van de relevante instanties van de Raad, de Commissie, de HV/VV en het CSIRT-netwerk.

In het geval van ernstige cyberincidenten stelt de voorzitter van het CSIRT-netwerk, met de hulp van het Enisa, een EU Cybersecurity Incident Situation Report (13) op dat wordt ingediend bij het voorzitterschap, de Commissie en de HV/VV via het roterende voorzitterschap van CSIRT.

Alle andere EU-agentschappen brengen verslag uit aan hun bevoegde DG, dat op zijn beurt verslag uitbrengt aan de leidende dienst van de Commissie.

CERT-EU stelt technische verslagen op voor het CSIRT-netwerk, de EU-instellingen en agentschappen (voor zover van toepassing) en Argus (indien geactiveerd).

Europol/EC3  (14) en CERT-EU stellen een deskundige forensische analyse van technische artefacten en andere technische informatie op voor het CSIRT-netwerk.

EDEO SIAC: de EU-Fusiecel voor analyse van hybride bedreigingen brengt namens Intcen verslag uit aan de relevante diensten van de EDEO.

Het CSIRT-netwerk wisselt technische bijzonderheden en analyses van het incident uit, zoals IP-adressen, Indicators of Compromise (15) enz. Dergelijke informatie moet onverwijld aan het Enisa worden bezorgd, uiterlijk 24 uur nadat het incident werd vastgesteld.

Overeenkomstig de standaardwerkwijzen van het CSIRT-netwerk, moeten de leden van het netwerk samen inspanningen leveren om de beschikbare technische artefacten en andere technische informatie over het incident te analyseren, teneinde de oorzaak ervan vast te stellen en mogelijke technische risicobeperkende maatregelen te nemen.

Het Enisa maakt gebruik van zijn deskundigheid om te helpen bij de technische activiteiten van de CSIRT's, overeenkomstig zijn mandaat (16).

De CSIRT's van de lidstaten coördineren hun technische respons, met de hulp van het Enisa en de Commissie.

EDEO SIAC: De EU-Fusiecel start namens het Intcen de procedure voor het verzamelen van eerste aanwijzingen.

De CSIRT's stellen technische adviezen (17) en kwetsbaarheidswaarschuwingen (18) op en verspreiden deze onder hun respectieve gemeenschappen en de bevolking nadat de toestemmingsprocedures die in elk geval van toepassing zijn, zijn doorlopen.

Het Enisa faciliteert de opstelling en verspreiding van gemeenschappelijke berichten van het CSIRT-netwerk.

Het Enisa coördineert zijn publieke communicatieactiviteiten met het CSIRT-netwerk en de dienst van de woordvoerder van de Commissie.

Het Enisa en EC3 coördineren hun publieke communicatieactiviteiten op basis van het gedeelde situatiebewustzijn dat is overeengekomen tussen de lidstaten. Ze coördineren beide hun publieke communicatieactiviteiten met de dienst van de woordvoerder van de Commissie.

Als de crisis een externe dimensie heeft of raakt aan het gemeenschappelijk Europees veiligheids- en defensiebeleid, dan moet de publieke communicatie worden gecoördineerd met de EDEO en de dienst van de woordvoerder van de HV/VV.

Besluitvorming op politiek niveau voorbereiden

Het beheer van de cybercrisis coördineren (in voorkomend geval)

De gevolgen en effecten op EU-niveau beoordelen en mogelijke risicobeperkende maatregelen voorstellen

Lidstaten

Organen/Bureaus/Agentschappen van de EU

Europese Commissie

EDEO

Raad

De opstelling van politiek-strategische verslagen ondersteunen (bijv. het ISAA in het geval van de activering van de IPCR);

De Horizontale Groep cybervraagstukken bereidt de vergadering van het Coreper of het PVC voor, al naargelang van toepassing.

Indien de IPCR wordt geactiveerd,

Indien Argus wordt geactiveerd,

Indien het Crisisresponsmechanisme van de EDEO wordt geactiveerd,

grensoverschrijdende samenwerking met het centrale contactpunt en de nationale bevoegde autoriteiten (NIB-richtlijn) om de gevolgen en effecten te beperken.

Alle technische beperkende maatregelen activeren en de technische capaciteiten coördineren die nodig zijn om de gevolgen van gerichte aanvallen op informatiesystemen te stoppen of in te perken.

Samenwerking en, indien zo besloten, coördinatie van technische capaciteiten om tot een gezamenlijke of op samenwerking gebaseerde respons te komen, overeenkomstig de standaardwerkwijzen van het CSIRT-netwerk .

De behoefte aan samenwerking met relevante derde partijen beoordelen.

(indien geactiveerd) Besluitvorming volgens het Argus-proces.

(indien geactiveerd) Besluiten voorbereiden en coördineren volgens de IPCR.

(indien geactiveerd) De besluitvorming van de EDEO ondersteunen via het Crisisresponsmechanisme van de EDEO, ook wat betreft de contacten met derde landen en internationale organisaties, en alle maatregelen die gericht zijn op de bescherming van missies en activiteiten van het gemeenschappelijk Europees veiligheids- en defensiebeleid en de EU-delegaties.

Overeenstemming bereiken over publieke communicatie met betrekking tot het incident.

Als de crisis een externe dimensie heeft of raakt aan het gemeenschappelijk Europees veiligheids- en defensiebeleid, dan moet de publieke communicatie worden gecoördineerd met de EDEO en de dienst van de woordvoerder van de HV/VV.

Voor lidstaten: de ministers die bevoegd zijn voor cyberbeveiliging

Voor de Europese Raad: de voorzitter

Voor de Raad: het roterende voorzitterschap

Met betrekking tot maatregelen uit het instrumentarium voor cyberdiplomatie: het PVC en de Horizontale Groep

Voor de Europese Commissie: de voorzitter of de afgevaardigde vicevoorzitter/commissaris.

De hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid/vicevoorzitter van de Commissie

Nagaan welk effect de door de crisis veroorzaakte verstoringen hebben op de werking van de Unie.

Aanvullende crisisbeheersingsmechanismen/-instrumenten activeren, al naargelang van de aard en gevolgen van het incident. Het kan bijvoorbeeld gaan om het mechanisme voor civiele bescherming.

Maatregelen nemen in het kader van een gemeenschappelijke diplomatieke EU-respons op kwaadwillige cyberactiviteiten.

Noodsteun ter beschikking stellen van getroffen lidstaten, bijvoorbeeld door het cyberbeveiligingsnoodfonds te activeren (22), zodra dit is opgericht.

Samenwerking en coördinatie met internationale organisaties, indien van toepassing, zoals de Verenigde Naties (VN), de Organisatie voor Veiligheid en Samenwerking in Europa (OVSE) en met name de NAVO.

Gevolgen voor de nationale veiligheid en defensie analyseren.

Stap 1 — Regelmatige sectorale monitoring en waarschuwing: de bestaande, regelmatige sectorale situatieverslagen en waarschuwingen geven het voorzitterschap van de Raad indicaties over een ontwikkelende crisis en de mogelijke evolutie ervan.

Stap 2 — Analyse en advies: op basis van beschikbare monitoring en waarschuwingen houden de diensten van de Commissie, de EDEO en het SGR elkaar op de hoogte van mogelijke ontwikkelingen, teneinde klaar te zijn om het voorzitterschap te adviseren over te gaan tot een activering van de IPCR (volledig of in de modus informatie-uitwisseling);

Stap 3 — Beoordeling/Besluit over de activering van de IPCR: het voorzitterschap beoordeelt de behoefte aan politieke coördinatie, informatie-uitwisseling of besluitvorming op EU-niveau. Daartoe kan het voorzitterschap een informele rondetafelvergadering beleggen. Het voorzitterschap gaat in de eerste plaats na op welke gebieden optreden van het Coreper of de Raad nodig is. Dit vormt de basis van de richtsnoeren voor de opstelling van geïntegreerde situatiekennis- en -analyseverslagen (ISAA). In het licht van de kenmerken van de crisis, de mogelijke gevolgen en de aanverwante politieke behoeften, beslist het voorzitterschap of het gepast is vergaderingen van de relevante groepen van de Raad en/of het Coreper en/of het PVC te beleggen.

De Commissie, de EDEO en het SGR kunnen, met volledige instemming van en in samenspraak met het voorzitterschap, ook besluiten de IPCR te activeren in de modus informatie-uitwisseling door een crisispagina te genereren, teneinde het pad te effenen voor een mogelijke volledige activering.

Stap 4 — Activering van de IPCR/Informatieverzameling en -uitwisseling: na activering (volledig of in de modus informatie-uitwisseling) wordt een crisispagina gegenereerd op het IPCR-webplatform, teneinde specifieke informatie-uitwisselingen mogelijk te maken die gericht zijn op aspecten die zullen bijdragen tot ISAA, en voorbereidingen te treffen voor de besprekingen op politiek niveau. Wie de leiding heeft over ISAA (een van de diensten van de Commissie of de EDEO) hangt af van de omstandigheden van het geval.

Stap 5 — Opstelling van ISAA-verslagen: de opstelling van ISAA-verslagen wordt geïnitieerd. De Commissie/de EDEO geven ISAA-verslagen uit, zoals uiteengezet in de ISAA-standaardwerkwijzen, en kunnen de informatie-uitwisseling verder bevorderen op het IPCR-webplatform, of specifieke verzoeken om informatie doen. De ISAA-verslagen worden afgestemd op de behoeften van het politieke niveau (d.w.z. Coreper of de Raad), zoals gedefinieerd door het voorzitterschap en uiteengezet in zijn richtsnoeren, waardoor een strategisch overzicht en een geïnformeerd debat over de door het voorzitterschap vastgestelde agendapunten mogelijk wordt. Overeenkomstig de ISAA-standaardwerkwijzen, zal de aard van de cybercrisis bepalen of het ISAA-verslag wordt voorbereid door een van de diensten van de Commissie (DG CNECT, DG HOME) of door de EDEO.

Na de activering van de IPCR geeft het voorzitterschap de specifieke domeinen aan waaraan ISAA aandacht moet schenken om de politieke coördinatie en/of het besluitvormingsproces in de Raad te ondersteunen. Het voorzitterschap zal ook de timing van het verslag aangeven, na overleg met de diensten van de Commissie/de EDEO;

Stap 6 — Voorbereiding van de informele rondetafel van het voorzitterschap: het voorzitterschap, bijgestaan door het secretariaat-generaal van de Raad, zal de timing, agenda, deelnemers en de verwachte resultaten (mogelijke concrete resultaten) van de informele rondetafelvergadering van het voorzitterschap bepalen. Het SGR geeft relevante informatie namens het voorzitterschap door op het IPCR-webplatform en stelt met name de notulen van de vergadering op.

Stap 7 — Rondetafel van het voorzitterschap/voorbereidende maatregelen voor politieke coördinatie/besluitvorming van de EU: het voorzitterschap zal een informele rondetafel bijeenroepen om de situatie te beoordelen en om de punten die onder de aandacht van het Coreper of de Raad moeten worden gebracht, voor te bereiden en te beoordelen. De informele rondetafel van het voorzitterschap is ook het forum waarop alle voorstellen voor actie die bij het Coreper/de Raad zijn ingediend, worden beoordeeld en besproken.

Stap 8 — Politieke coördinatie en besluitvorming in het Coreper/de Raad: de resultaten van de vergaderingen van het Coreper/de Raad hebben betrekking op de coördinatie van de respons op alle niveaus, besluiten over buitengewone maatregelen, politieke verklaringen enz. Deze besluiten vormen ook geactualiseerde politieke/strategische richtsnoeren voor de verdere opstelling van ISAA-verslagen.

Stap 9 — Monitoring van de gevolgen: de leidende ISAA-dienst zal, met de steun van ISAA-medewerkers, informatie verstrekken over de evolutie van de crisis en de gevolgen van de genomen politieke beslissingen. Deze feedback ondersteunt een proces in ontwikkeling; het voorzitterschap baseert zich op deze feedback bij zijn besluit of de betrokkenheid van het politieke niveau van de EU moet worden voortgezet of de IPCR moet worden teruggeschroefd.

Stap 10 — Uitfasering: volgens hetzelfde proces als dat voor de activering kan het voorzitterschap een informele rondetafel bijeenroepen om te beoordelen of de IPCR actief moet blijven of niet. Het voorzitterschap kan beslissen de activering te stoppen of terug te schroeven.

Het roterende voorzitterschap (meestal de voorzitter van het Coreper) heeft de leiding

Voor de Europese Raad: het kabinet van de voorzitter

Voor de Europese Commissie: DSG/DG-niveau en/of deskundigen ter zake

Voor de EDEO, DSG/MD-niveau en/of deskundigen ter zake

Voor het SGR: het kabinet van het secretariaat-generaal, het IPCR-team en de bevoegde DG's

(Niet actief): IPCR-monitoringpagina's kunnen worden gegenereerd om de ontwikkeling te volgen van situaties die kunnen escaleren tot een crisis met gevolgen voor de EU.

(IPCR in modus informatie-uitwisseling): Op basis van input van de diensten van de Commissie, de EDEO en de lidstaten (via de IPCR-vragenlijsten) stelt de leidende ISAA-dienst ISAA-verslagen op.

(Volledige activering van de IPCR): In aanvulling op de ISAA-verslagen brengen rondetafels verschillende actoren uit de lidstaten, de Commissie, de EDEO, de relevante agentschappen enz. bijeen om tekortkomingen en knelpunten te bespreken.

Fase I: wordt gebruikt voor de uitwisseling van informatie over een crisis van beperkte omvang

Voorbeelden van recentelijk gerapporteerde gebeurtenissen van fase I zijn de bosbranden in Portugal en Israël, de aanslag in Berlijn in 2016, de overstromingen in Albanië, orkaan Matthew in Haïti en de droogte in Bolivia. Elk DG kan een gebeurtenis van fase I openen als het van oordeel is dat een situatie op zijn bevoegdheidsdomein ernstig genoeg is om informatie uit te wisselen. DG CNECT of DG HOME kunnen bijvoorbeeld een gebeurtenis van fase I openen als zij van oordeel zijn dat een cybersituatie op hun respectieve bevoegdheidsdomein ernstig genoeg is om informatie uit te wisselen.

Fase II: wordt gebruikt voor grote crises die meerdere sectoren treffen of voor voorspelbare of nakende dreigingen voor de Unie.

Fase II brengt een specifiek coördinatieproces op gang, dat de Commissie in staat stelt besluiten te nemen en over te gaan tot een snelle, gecoördineerde en coherente respons op het hoogste niveau van haar bevoegdheidsdomein en in samenwerking met de andere instellingen. Fase II is bedoeld voor grote crises die meerdere sectoren treffen of voor voorspelbare of nakende dreigingen. Voorbeelden van echte gebeurtenissen van fase II zijn de migratie-/vluchtelingencrisis die sinds 2015 aan de gang is, de drievoudige ramp in Fukushima (2011) en de uitbarsting van de vulkaan Eyjafjallajökull in IJsland (2010).

Fase II wordt door de voorzitter geactiveerd, op eigen initiatief of op verzoek van een lid van de Commissie. De voorzitter kan de politieke verantwoordelijkheid voor de respons van de Commissie overdragen aan de commissaris van de dienst die het meest is betrokken bij de crisis, of kan de verantwoordelijkheid zelf opnemen.

In fase II vinden spoedvergaderingen van het Crisiscoördinatiecomité (CCC) plaats. Deze vergaderingen worden bijeengeroepen door de voorzitter of de commissaris aan wie de verantwoordelijkheid is overgedragen. De vergaderingen worden belegd door het SG via het IT-instrument van Argus. Het CCC is een specifieke operationele structuur voor crisisbeheer die wordt ingesteld om de respons van de Commissie op een crisis te leiden en te coördineren, en die is samengesteld uit vertegenwoordigers van de betrokken directoraten-generaal van de Commissie, kabinetten en andere EU-diensten. Onder het voorzitterschap van de adjunct secretaris-generaal beoordeelt het CCC de situatie, weegt het de opties tegen elkaar af en neemt het besluiten, zorgt het ervoor dat de besluiten en acties ten uitvoer worden gelegd en ziet het toe op de coherentie en consistentie van de respons. Het SG verleent steun aan het CCC.

The European Cyber Crises Cooperation Framework, Versie 1, 17 oktober 2012.

Report on Cyber Crisis Cooperation and Management, Enisa, 2014.

Actionable Information for Security Incident Response, Enisa, 2014.

Common practices of EU-level crisis management and applicability to cyber crises, Enisa, 2015.

Strategies for Incident Response and Cyber Crisis Cooperation, Enisa, 2016.

EU Cyber Standard Operating Procedures, Enisa, 2016.

A good practice guide of using taxonomies in incident prevention and detection, Enisa, 2017.

Mededeling „Versterken van het Europese cyberbeveiligingssysteem en bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche”, COM(2016) 410 final, 5 juli 2016.

Conclusies van de Raad over de versterking van het Europese cyberweerbaarheidssysteem en bevordering van een concurrerende en innovatieve cyberbeveiligingssector — Conclusies van de Raad (15 november 2016), 14540/16.

Besluit 2014/415/EU van de Raad van 24 juni 2014 inzake de regeling voor de toepassing van de solidariteitsclausule door de Unie (PB L 192 van 1.7.2014, blz. 53).

Finale toetsing van de EU-regeling inzake coördinatie bij crisis- en noodsituaties (CCA): de EU-regeling geïntegreerde politieke-crisisbestrijding (IPCR), 10708/13, 7 juni 2013.

Integrated Situational Awareness and Analysis (ISAA) — Standard Operating Procedures, DS 1570/15, 22 oktober 2015.

Bepalingen van de Commissie betreffende het algemeen systeem voor snelle waarschuwing „Argus”, COM(2005) 662 definitief van 23 december 2005.

Besluit 2006/25/EG, Euratom van de Commissie van 23 december 2005 tot wijziging van haar Reglement van orde (PB L 19 van 24.1.2006, blz. 20).

Argus Modus Operandi, Europese Commissie, 23 oktober 2013.

Ontwerpconclusies van de Raad over een kader voor een gezamenlijke diplomatieke EU-respons op kwaadwillige cyberactiviteiten („Instrumentarium voor cyberdiplomatie”), Doc. 9916/17.

Operationeel EU-protocol voor de bestrijding van hybride bedreigingen, „EU-draaiboek”, SWD(2016) 227.

EEAS Crisis Response Mechanism, 8 november 2016 [Ares(2017)880661]. Gezamenlijk werkdocument van de diensten van de EU „operationeel EU-protocol voor de bestrijding van hybride bedreigingen”, EU-draaiboek, SWD(2016) 227 final van 5 juli 2016.

Gezamenlijke mededeling aan het Europees Parlement en de Raad: Gezamenlijk kader voor de bestrijding van hybride bedreigingen: een reactie van de Europese Unie, JOIN/2016/018 final, 6 april 2016.

EEAS(2016) 1674 — Working Document of the European External Action Service — EU Hybrid Fusion Cell — Terms of Reference