Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie - Hoofdinhoud

NL

Publicatieblad van de Europese Unie

L 194/1

Netwerk- en informatiesystemen en -diensten spelen een cruciale rol in de samenleving. De betrouwbaarheid en beveiliging ervan zijn essentieel voor economische en maatschappelijke activiteiten, en met name voor de goede werking van de interne markt.

De omvang, de frequentie en de gevolgen van beveiligingsincidenten nemen toe en vormen een grote bedreiging voor de goede werking van netwerk- en informatiesystemen. Die systemen kunnen ook een doelwit worden van opzettelijke schadelijke acties die bedoeld zijn om de werking van de systemen te verstoren of te onderbreken. Zulke incidenten kunnen de economische bedrijvigheid belemmeren, aanzienlijke financiële verliezen opleveren, het gebruikersvertrouwen ondermijnen en de economie van de Unie ernstige schade toebrengen.

Netwerk- en informatiesystemen, en hoofdzakelijk het internet, spelen een cruciale rol bij het faciliteren van het grensoverschrijdende verkeer van goederen, diensten en personen. Vanwege dat transnationale karakter kan een ernstige verstoring van die systemen, al dan niet opzettelijk en ongeacht waar deze plaatsvindt, individuele lidstaten en de Unie als geheel treffen. De beveiliging van netwerk- en informatiesystemen is daarom essentieel voor de goede werking van de interne markt.

Voortbouwend op de aanzienlijke vooruitgang die in het Europees Forum voor de lidstaten is geboekt bij het bevorderen van gesprekken en de uitwisseling van goede beleidspraktijken, waaronder de ontwikkeling van beginselen voor Europese cybercrisissamenwerking, moet een samenwerkingsgroep worden ingesteld die bestaat uit vertegenwoordigers van de lidstaten, de Commissie en het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa) en die tot doel heeft de strategische samenwerking tussen de lidstaten op het gebied van beveiliging van netwerk- en informatiesystemen te ondersteunen en te faciliteren. Om die groep doeltreffend en inclusief te laten zijn, is het van essentieel belang dat alle lidstaten beschikken over minimumcapaciteiten en een strategie om op hun grondgebied een hoog niveau van beveiliging van netwerk- en informatiesystemen te waarborgen. Daarnaast moeten eisen inzake beveiliging en melding van toepassing zijn op aanbieders van essentiële diensten en digitaledienstverleners teneinde een cultuur van risicobeheer te bevorderen en ervoor te zorgen dat de ernstigste incidenten worden gemeld.

De bestaande capaciteiten volstaan niet om een hoog niveau van beveiliging van netwerk- en informatiesystemen in de Unie te waarborgen. Omdat de paraatheidsniveaus van de lidstaten sterk uiteenlopen, is de aanpak in de Unie gefragmenteerd. Dit leidt tot ongelijke niveaus van bescherming van consumenten en bedrijven en ondermijnt het algemene niveau van beveiliging van netwerk- en informatiesystemen in de Unie. Het feit dat er geen gemeenschappelijke eisen voor aanbieders van essentiële diensten en digitaledienstverleners gelden, maakt het dan weer onmogelijk een overkoepelend en doeltreffend mechanisme voor samenwerking op het niveau van de Unie op te zetten. Universiteiten en onderzoekscentra spelen een doorslaggevende rol bij het stimuleren van onderzoek, ontwikkeling en innovatie op deze gebieden.

Om doeltreffend te kunnen reageren op de uitdagingen voor de beveiliging van netwerk- en informatiesystemen is er dus behoefte aan een overkoepelende aanpak op het niveau van de Unie die gemeenschappelijke minimumvereisten inzake capaciteitsopbouw en planning, informatie-uitwisseling, samenwerking en gemeenschappelijke beveiligingseisen voor aanbieders van essentiële diensten en digitaledienstverleners omvat. Het staat aanbieders van essentiële diensten en digitaledienstverleners echter vrij beveiligingsmaatregelen te treffen die strenger zijn dan die waarin in deze richtlijn voorziet.

Om alle relevante incidenten en risico's te bestrijken, dient deze richtlijn van toepassing te zijn op zowel aanbieders van essentiële diensten als digitaledienstverleners. De verplichtingen van aanbieders van essentiële diensten en digitaledienstverleners dienen echter niet van toepassing te zijn op ondernemingen die openbare communicatienetwerken of openbare elektronischecommunicatiediensten in de zin van Richtlijn 2002/21/EG van het Europees Parlement en de Raad (3) aanbieden, welke onderworpen zijn aan de in die richtlijn vastgestelde specifieke veiligheids- en integriteitseisen, noch op verleners van vertrouwensdiensten in de zin van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad (4), die onderworpen zijn aan de in die verordening vastgestelde veiligheidseisen.

Deze richtlijn moet de mogelijkheid onverlet laten dat elke lidstaat de nodige maatregelen neemt om de bescherming van de wezenlijke belangen van zijn veiligheid te waarborgen, de openbare orde en de openbare veiligheid te garanderen, en het onderzoek, de opsporing en de vervolging van strafbare feiten mogelijk te maken. Overeenkomstig artikel 346 van het Verdrag betreffende de werking van de Europese Unie (VWEU) mag geen enkele lidstaat verplicht worden inlichtingen te verstrekken waarvan de openbaarmaking naar zijn mening strijdig is met zijn wezenlijke veiligheidsbelangen. In dit verband zijn Besluit 2013/488/EU van de Raad (5) en geheimhoudingsovereenkomsten of informele geheimhoudingsovereenkomsten, zoals het verkeerslichtprotocol („Traffic Light Protocol”), van belang.

Bepaalde sectoren van de economie zijn reeds of zullen in de toekomst mogelijk worden gereglementeerd door sectorspecifieke rechtshandelingen van de Unie waarin regels inzake de beveiliging van netwerk- en informatiesystemen zijn opgenomen. Wanneer deze rechtshandelingen van de Unie bepalingen bevatten die eisen inzake de beveiliging van netwerk- en informatiesystemen of de melding van incidenten voorschrijven, moeten die bepalingen gelden voor zover zij eisen bevatten die minstens feitelijk gelijkwaardig zijn aan de in deze richtlijn voorgeschreven verplichtingen. De lidstaten dienen dan de bepalingen van zulke sectorspecifieke rechtshandelingen van de Unie, inclusief die inzake jurisdictie, toe te passen en het in deze richtlijn voorgeschreven identificatieproces voor aanbieders van essentiële diensten niet uit te voeren. In dit verband moeten de lidstaten de Commissie informatie over de toepassing van zulke lex-specialisbepalingen verschaffen. Bij het bepalen of de in sectorspecifieke rechtshandelingen van de Unie opgenomen eisen inzake de beveiliging van netwerk- en informatiesystemen en de melding van incidenten gelijkwaardig zijn aan die in deze richtlijn, dienen uitsluitend de bepalingen van de toepasselijke rechtshandelingen van de Unie en de toepassing daarvan in de lidstaten in acht te worden genomen.

In de sector vervoer over water hebben beveiligingseisen voor ondernemingen, schepen, havenfaciliteiten, havens en scheepvaartbegeleidingsdiensten overeenkomstig rechtshandelingen van de Unie betrekking op alle activiteiten, met inbegrip van de radio- en telecommunicatiesystemen en computersystemen en netwerken. Een deel van de verplichte procedures omvat de melding van alle incidenten en moet derhalve worden beschouwd als lex specialis, voor zover die eisen ten minste gelijkwaardig zijn aan de overeenkomstige bepalingen van deze richtlijn.

Bij het identificeren van aanbieders in de sector vervoer over water, moeten de lidstaten rekening houden met bestaande en toekomstige internationale codes en richtsnoeren die zijn ontwikkeld door met name de Internationale Maritieme Organisatie, teneinde voor een coherente aanpak voor individuele maritieme aanbieders te zorgen.

De regulering van en het toezicht op bancaire- en financiëlemarktinfrastructuren is in hoge mate geharmoniseerd op Unieniveau, via het gebruik van primaire en secundaire Unierecht en de normen die samen met de Europese toezichthoudende autoriteiten zijn ontwikkeld. Binnen de bankenunie worden de toepassing van en het toezicht op deze eisen gewaarborgd door het gemeenschappelijk toezichtsmechanisme. Voor de lidstaten die geen deel uitmaken van de bankenunie worden deze gewaarborgd door de bevoegde bankentoezichthouders van de lidstaten. Op andere terreinen van de regulering van de financiële sector zorgt het Europees systeem voor financieel toezicht ook voor een grote mate van gemeenschappelijkheid en convergentie in de toezichtpraktijken. De Europese Autoriteit voor effecten en markten heeft ook een rechtstreekse toezichtrol voor bepaalde entiteiten (te weten: ratingbureaus en transactieregisters).

Operationeel risico is een cruciaal onderdeel van de prudentiële regulering en het prudentieel toezicht op bancaire-en financiëlemarktinfrastructuren. Het bestrijkt alle activiteiten, met inbegrip van de beveiliging, de integriteit en de veerkracht van netwerk- en informatiesystemen. De eisen voor deze systemen, die vaak verder gaan dan de eisen van deze richtlijn, zijn opgenomen in een aantal rechtshandelingen van de Unie, met inbegrip van, maar niet beperkt tot regels betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen en beleggingsondernemingen en regels betreffende prudentiële vereisten voor kredietinstellingen en beleggingsondernemingen, waaronder eisen inzake het operationele risico; regels betreffende markten voor financiële instrumenten, waaronder eisen inzake risicobeoordeling voor beleggingsondernemingen en gereglementeerde markten; regels betreffende otc-derivaten, centrale tegenpartijen en transactieregisters, waaronder eisen inzake het operationele risico voor centrale tegenpartijen en transactieregisters; en regels betreffende de verbetering van de effectenafwikkeling in de Unie en betreffende centrale effectenbewaarinstellingen, waaronder eisen inzake het operationele risico. Bovendien maken eisen inzake melding van incidenten deel uit van de normale toezichtspraktijken in de financiële sector en zijn zij vaak opgenomen in de handleidingen voor toezicht. De lidstaten moeten deze regels en eisen voor ogen houden bij de toepassing van lex specialis.

Zoals de Europese Centrale Bank in haar advies van 25 juli 2014 (6) stelt, laat deze richtlijn de regeling krachtens het Unierecht voor het toezicht op betalings- en afwikkelingssystemen van Eurosysteem onverlet. Het zou een goede zaak zijn als de autoriteiten die verantwoordelijk zijn voor dat toezicht met de voor deze richtlijn bevoegde autoriteiten ervaringen zouden uitwisselen over kwesties in verband met de beveiliging van netwerk- en informatiesystemen. Hetzelfde geldt voor niet tot het eurogebied behorende leden van het Europees Stelsel van centrale banken die dergelijk toezicht op betalings- en afwikkelingssystemen uitoefenen op basis van de nationale wet- en regelgeving.

Een onlinemarktplaats maakt het consumenten en ondernemers mogelijk online verkoop- of dienstenovereenkomsten met ondernemers te sluiten en is de eindbestemming voor het sluiten van deze overeenkomsten. Zij dient geen betrekking te hebben op onlinediensten die slechts als tussenschakel voor diensten van een derde fungeren waarmee uiteindelijk een overeenkomst kan worden gesloten. Derhalve dient zij geen betrekking te hebben op onlinediensten die de prijzen van bepaalde producten of diensten van verschillende ondernemers vergelijken en die de gebruiker vervolgens automatisch naar de geprefereerde ondernemer doorverwijzen om het product te kopen. Tot de computerdiensten die op de onlinemarktplaats worden aangeboden, kunnen de verwerking van transacties, de verzameling van gegevens of de profilering van gebruikers behoren. Applicatiewinkels, die als onlinewinkels de digitale distributie van applicaties of softwareprogramma's van derden mogelijk maken, moeten als een soort onlinemarktplaats worden beschouwd.

Een onlinezoekmachine maakt het de gebruiker mogelijk om in principe over elke website een zoekopdracht over elk mogelijk onderwerp uit te voeren. Er kan ook specifiek op websites in een bepaalde taal mee worden gezocht. De definitie van een onlinezoekmachine in deze richtlijn dient geen betrekking te hebben op zoekfuncties die beperkt zijn tot de inhoud van een specifieke website, ongeacht of de zoekfunctie door een externe zoekmachine wordt aangeboden. Zij dient evenmin betrekking te hebben op onlinediensten die de prijzen van bepaalde producten of diensten van andere ondernemers vergelijken en die de gebruiker vervolgens automatisch doorverwijst naar de geprefereerde ondernemer om het product te kopen.

Cloudcomputerdiensten bestrijken een breed scala aan activiteiten die volgens verschillende modellen kunnen worden verricht. Voor de toepassing van deze richtlijn wordt onder „cloudcomputerdiensten” verstaan: diensten die toegang tot een schaalbare en elastische groep van gedeelde computercapaciteit geven. Die „computercapaciteit” heeft betrekking op capaciteit zoals netwerken, servers en andere infrastructuur, opslag, applicaties en diensten. Met „schaalbaar” wordt bedoeld: computercapaciteit die, ongeacht de geografische locatie van de capaciteit, op flexibele wijze door aanbieders van cloudcomputerdiensten wordt toegewezen teneinde met schommelingen in de vraag te kunnen omgaan. Met „elastische groep” wordt bedoeld: de computercapaciteit die afhankelijk van de vraag ter beschikking wordt gesteld en wordt vrijgegeven teneinde deze beschikbare capaciteit snel te kunnen verhogen en verlagen naargelang van het werkvolume. Met „gedeeld” wordt bedoeld: de computercapaciteit die ter beschikking wordt gesteld aan meerdere gebruikers die een gemeenschappelijke toegang tot de dienst hebben, maar waarbij de verwerking voor elke gebruiker afzonderlijk plaatsvindt, hoewel de dienst door middel van dezelfde elektronische uitrusting wordt verleend.

Een internetknooppunt kenmerkt zich door zijn functie netwerken met elkaar te interconnecteren. Een internetknooppunt verschaft geen toegang tot een netwerk of doet dienst als dienstverlener of -aanbieder. Een internetknooppunt verleent evenmin andere diensten die geen verband houden met interconnectie, wat niet uitsluit dat een internetknooppuntaanbieder dergelijke diensten mag verlenen. Een internetknooppunt is er om technisch en organisatorisch afzonderlijke netwerken met elkaar te verbinden. De term „autonoom systeem” wordt gebruikt ter aanduiding van een technisch op zichzelf staand netwerk.

Het dient aan de lidstaten te zijn om te bepalen welke entiteiten aan de criteria van de definitie van aanbieder van essentiële diensten voldoen. Met het oog op een consistente benadering moeten de lidstaten de definitie van aanbieder van essentiële diensten op coherente wijze toepassen. Daartoe voorziet de richtlijn in de beoordeling van de entiteiten die actief zijn in de specifieke sectoren en deelsectoren, de opstelling van een lijst van essentiële diensten, het in overweging nemen van een gemeenschappelijke lijst van sectoroverschrijdende factoren om te bepalen of een potentieel incident een aanzienlijk verstorend effect zou hebben, een raadplegingsproces waaraan betrokken lidstaten deelnemen in het geval van entiteiten die in meer dan één lidstaat diensten verlenen, en de ondersteuning van de samenwerkingsgroep bij het identificatieproces. Opdat eventuele veranderingen in de markt nauwkeurig weerspiegeld zouden worden, moet de lijst van geïdentificeerde aanbieders op regelmatige basis door de lidstaten worden geëvalueerd en, indien nodig, geactualiseerd. Ten slotte moeten de lidstaten aan de Commissie de informatie verstrekken die nodig is om na te gaan in hoeverre deze gemeenschappelijke methodologie heeft bijgedragen tot de consistente toepassing van de definitie door de lidstaten.

Bij het identificatieproces voor aanbieders van essentiële diensten moeten de lidstaten, ten minste voor elke in deze richtlijn vermelde deelsector, nagaan welke diensten als essentieel voor de instandhouding van kritieke maatschappelijke en economische activiteiten moeten worden beschouwd en moeten zij beoordelen of de in de sectoren en deelsectoren in deze richtlijn bedoelde entiteiten die deze diensten verlenen, aan de identificatiecriteria voor aanbieders voldoen. Bij de beoordeling of een entiteit een voor de instandhouding van kritieke maatschappelijke of economische activiteiten essentiële dienst verleent, volstaat het na te gaan of die entiteit verlener is van een in de lijst van essentiële diensten opgenomen dienst. Voorts moet worden aangetoond dat de verlening van de essentiële dienst afhankelijk is van netwerk- en informatiesystemen. Bij de beoordeling of een incident een aanzienlijk verstorend effect op de verlening van de dienst zou hebben, ten slotte, moeten de lidstaten rekening houden met een aantal sectoroverschrijdende factoren evenals, in voorkomend geval, met sectorspecifieke factoren.

Voor het vaststellen van de identiteit van aanbieders van essentiële diensten wordt voor de vestiging in een lidstaat de effectieve en daadwerkelijke uitoefening van activiteiten via vaste regelingen verlangd. De rechtsvorm van zulke regelingen, of het nu om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid gaat, is daarbij niet doorslaggevend.

Entiteiten die actief zijn in de in deze richtlijn bedoelde sectoren en deelsectoren kunnen zowel essentiële als niet-essentiële diensten verlenen. In de luchtvaartsector, bijvoorbeeld, kunnen luchthavens diensten verlenen die door een lidstaat als essentieel beschouwd zouden kunnen worden, zoals het beheer van de start- en landingsbanen. Daarnaast kunnen luchthavens ook een aantal diensten verlenen die als niet-essentieel beschouwd zouden kunnen worden, zoals de inrichting van winkelcentra. Aanbieders van essentiële diensten dienen enkel met betrekking tot deze als essentieel beschouwde diensten aan de specifieke beveiligingsvereisten onderworpen te worden. Voor de identificatie van aanbieders moeten de lidstaten derhalve een lijst van als essentieel beschouwde diensten opstellen.

Alle op het grondgebied van de lidstaat verleende diensten die aan de voorschriften van deze richtlijn voldoen, moeten in de dienstenlijst worden opgenomen. De lidstaten moeten de bestaande lijst kunnen aanvullen met nieuwe diensten. De dienstenlijst moet dienen als referentiepunt voor de lidstaten om aanbieders van essentiële diensten te identificeren. Zij heeft tot doel de soorten essentiële diensten in een bepaalde in deze richtlijn bedoelde sector te identificeren en deze zodoende te onderscheiden van niet-essentiële activiteiten waarvoor een in een bepaalde sector werkzame entiteit verantwoordelijk kan zijn. De door de lidstaten opgestelde dienstenlijsten zouden dienen als bijkomende inbreng bij de beoordeling van de regelgevingspraktijken van de lidstaten met het oog op het waarborgen van de algehele samenhang van het identificatieproces tussen de lidstaten.

Indien een entiteit een essentiële dienst in twee of meer lidstaten verleent, moeten deze lidstaten bilaterale of multilaterale besprekingen met elkaar voeren. Dit overlegproces heeft tot doel de lidstaten bij te staan bij het beoordelen van het kritieke karakter van de aanbieder wat betreft de grensoverschrijdende gevolgen, en biedt elke betrokken lidstaat de mogelijkheid zijn standpunt bekend te maken betreffende de risico's die aan de door aanbieder verleende diensten verbonden zijn. In het kader van dit proces moeten de betrokken lidstaten rekening houden met elkaars standpunten. De betrokken lidstaten kunnen in dit verband om de bijstand van de samenwerkingsgroep verzoeken.

Ingevolge het identificatieproces moeten de lidstaten nationale maatregelen vaststellen waarin bepaald wordt welke entiteiten onderworpen zijn aan verplichtingen in verband met beveiliging van netwerk- en informatiesystemen. Dit kan door het vaststellen van een lijst van alle aanbieders van essentiële diensten of door het vaststellen van nationale maatregelen, met inbegrip van objectieve kwantificeerbare criteria (zoals de output van de aanbieder of het aantal gebruikers) op basis waarvan bepaald kan worden welke entiteiten onderworpen zijn aan verplichtingen in verband met beveiliging van netwerk- en informatiesystemen en welke niet. De nationale maatregelen, zowel de reeds bestaande als de in het kader van deze richtlijn aangenomen maatregelen, moeten de wettelijke, administratieve en beleidsmaatregelen omvatten die de identificatie van aanbieders van essentiële diensten uit hoofde van deze richtlijn mogelijk maken.

Om een indicatie te geven van het belang van de geïdentificeerde aanbieders van essentiële diensten voor de betrokken sector moeten de lidstaten rekening houden met het aantal en de omvang van deze aanbieders, bijvoorbeeld wat betreft marktaandeel of geproduceerde of aanwezige hoeveelheid, zonder dat zij verplicht zijn informatie vrij te geven waaruit zou blijken welke aanbieders geïdentificeerd zijn.

Om te bepalen of een incident een aanzienlijk verstorend effect op een essentiële dienst heeft, moeten de lidstaten rekening houden met een aantal verschillende factoren, zoals het aantal gebruikers dat afhankelijk is van die dienst. Het gebruik van die dienst kan direct, indirect of door bemiddeling geschieden. Bij de beoordeling van de mogelijke gevolgen, wat betreft omvang en duur, van een incident op economische en maatschappelijke activiteiten of op de openbare veiligheid moeten de lidstaten ook inschatten hoe lang het zal duren voordat de discontinuïteit een negatief effect begint te sorteren.

Om te bepalen of een incident een aanzienlijk verstorend effect op de verlening van een dienst zou hebben, dienen niet alleen sectoroverschrijdende maar ook sectorspecifieke factoren in aanmerking genomen te worden. Voor energieleveranciers omvatten zulke factoren mogelijk het volume of het aandeel in de hoeveelheid nationaal geproduceerde energie; voor olieleveranciers het dagelijkse volume; voor het luchtvervoer (inclusief luchthavens en luchtvaartmaatschappijen), het spoorvervoer en de zeehavens het aandeel in het nationaal verkeersvolume en het jaarlijks aantal reizigers of vrachtactiviteiten; voor bancaire- of financiëlemarktinfrastructuren hun systemisch belang op basis van de totale activa of de verhouding tussen de totale activa en het bbp; voor de gezondheidssector het jaarlijks aantal patiënten die door een aanbieder worden behandeld; voor de waterproductie, -zuivering en -voorziening het volume en het aantal en type gebruikers (zoals ziekenhuizen, openbare diensten, organisaties of individuen) en het bestaan van alternatieve waterbronnen om hetzelfde geografische gebied van water te voorzien.

Om een hoog niveau van beveiliging van netwerk- en informatiesystemen te bereiken en te handhaven, moet elke lidstaat beschikken over een nationale strategie voor de beveiliging van netwerk- en informatiesystemen waarin de te verwezenlijken strategische doelstellingen en concrete beleidsmaatregelen zijn vastgesteld.

Om rekening te houden met de uiteenlopende nationale bestuursstructuren, reeds bestaande sectorale regelingen of toezichthoudende en regelgevende instanties van de Unie ongemoeid te laten en dubbel werk te voorkomen, moeten de lidstaten meer dan één nationale bevoegde autoriteit kunnen aanwijzen die belast is met de uitvoering van de uit deze richtlijn voortvloeiende taken in verband met de beveiliging van de netwerk- en informatiesystemen van aanbieders van essentiële diensten en digitaledienstverleners.

Ter bevordering van de grensoverschrijdende samenwerking en communicatie, en om de richtlijn doeltreffend te kunnen uitvoeren, is het echter nodig dat iedere lidstaat, ongeacht de sectorale regelingen, een centraal contactpunt aanwijst dat verantwoordelijk is voor de coördinatie van zaken die verband houden met de beveiliging van netwerk- en informatiesystemen en voor de grensoverschrijdende samenwerking op Unieniveau. Bevoegde autoriteiten en centrale contactpunten moeten de nodige technische, financiële en personele middelen krijgen om de hun toegewezen taken op doeltreffende en efficiënte wijze te kunnen verrichten en aldus de doelstellingen van deze richtlijn te verwezenlijken. Aangezien met deze richtlijn wordt beoogd de werking van de interne markt te verbeteren door het scheppen van vertrouwen, moeten de instanties van de lidstaten in staat zijn doeltreffend samen te werken met economische actoren en dienovereenkomstig worden gestructureerd.

Incidenten moeten worden gemeld bij de bevoegde autoriteiten of de computer security incident response teams (CSIRT's). De centrale contactpunten dienen niet rechtstreeks alle meldingen van incidenten te ontvangen, tenzij zij ook optreden als bevoegde autoriteit of CSIRT. Een bevoegde autoriteit of een CSIRT moet het centraal contactpunt echter kunnen opdragen incidenten door te melden aan de centrale contactpunten van andere betrokken lidstaten.

Om ervoor te zorgen dat de lidstaten en de Commissie doeltreffend worden geïnformeerd, moet een samenvattend verslag door het centraal contactpunt bij de samenwerkingsgroep worden ingediend, en worden geanonimiseerd met het oog op de bescherming van de vertrouwelijkheid van de meldingen en de identiteit van de aanbieders van essentiële diensten en digitaledienstverleners. Informatie over de identiteit van de meldende entiteiten is immers niet vereist voor de uitwisseling van goede praktijken in de samenwerkingsgroep. Het samenvattend verslag moet informatie bevatten over het aantal ontvangen meldingen, en een indicatie betreffende de aard van de gemelde incidenten, zoals de soorten inbreuken in verband met beveiliging, de ernst of de duur ervan.

De lidstaten moeten zowel technisch als organisatorisch voldoende zijn toegerust voor het voorkomen en opsporen van, het reageren op en verlichten van incidenten en risico's met betrekking tot netwerk- en informatiesystemen. De lidstaten moeten er daarom voor zorgen dat zij over goed functionerende, aan essentiële eisen beantwoordende CSIRT's, ook bekend als computer emergency response teams (CERT's), beschikken die voor doeltreffende en compatibele capaciteiten voor de aanpak van incidenten en risico's moeten zorgen en doeltreffende samenwerking op Unieniveau moeten waarborgen. Opdat deze capaciteiten en deze samenwerking ten goede zouden komen aan alle soorten aanbieders van essentiële diensten en digitaledienstverleners, moeten de lidstaten ervoor zorgen dat alle soorten onder een aangewezen CSIRT vallen. Gezien het belang van internationale samenwerking op het gebied van cyberbeveiliging, moeten CSIRT's kunnen deelnemen aan internationale samenwerkingsnetwerken naast het bij deze richtlijn ingestelde CSIRT-netwerk.

Aangezien de meeste netwerk- en informatiesystemen privaat worden geëxploiteerd, is samenwerking tussen de publieke en de private sector essentieel. Aanbieders van essentiële diensten en digitaledienstverleners moeten worden aangemoedigd om hun eigen informele samenwerkingsmechanismen na te streven om de beveiliging van netwerk- en informatiesystemen te waarborgen. De samenwerkingsgroep moet in voorkomend geval belanghebbenden kunnen uitnodigen om aan de beraadslagingen deel te nemen. Om de uitwisseling van informatie en beste praktijken effectief te stimuleren is het essentieel ervoor te zorgen dat aanbieders van essentiële diensten en digitaledienstverleners die deelnemen aan een dergelijke uitwisseling, geen nadelen ondervinden van hun samenwerking.

Het Enisa moet de lidstaten en de Commissie met deskundigheid en advies bijstaan en de uitwisseling van beste praktijken faciliteren. Met name bij de toepassing van deze richtlijn moet de Commissie het Enisa raadplegen, en moeten de lidstaten hiertoe de mogelijkheid hebben. Om capaciteit en kennis bij de lidstaten op te bouwen, moet de samenwerkingsgroep ook fungeren als instrument voor de uitwisseling van beste praktijken, besprekingen over capaciteiten en paraatheid van de lidstaten en, op vrijwillige basis, om haar leden bijstand te verlenen bij de evaluatie van nationale strategieën voor de beveiliging van netwerk- en informatiesystemen, bij capaciteitsopbouw en bij de evaluatie van oefeningen in verband met de evaluatie van de beveiliging van netwerk- en informatiesystemen.

De lidstaten moeten bij de toepassing van deze richtlijn, waar van toepassing, bestaande organisatiestructuren of strategieën kunnen gebruiken of aanpassen.

De respectieve taken van de samenwerkingsgroep en het Enisa zijn onderling afhankelijk en complementair. In het algemeen moet het Enisa de samenwerkingsgroep bijstaan bij de uitvoering van haar taken, overeenkomstig de doelstelling van het Enisa die is vastgesteld in Verordening (EU) nr. 526/2013 van het Europees Parlement en de Raad (7), namelijk „bijstand verlenen aan de instellingen, organen en instanties van de Unie en de lidstaten bij de tenuitvoerlegging van het beleid dat nodig is voor de naleving van wettelijke of regelgevende eisen aangaande beveiliging van netwerk- en informatiesystemen uit hoofde van de bestaande en toekomstige rechtshandelingen van de Unie”. In het bijzonder dient het Enisa bijstand te verlenen op de gebieden die overeenstemmen met zijn eigen taken, als bepaald in Verordening (EU) nr. 526/2013, te weten de analyse van strategieën voor beveiliging van netwerk- en informatiesystemen, het verlenen van ondersteuning voor het organiseren en uitvoeren van uniale oefeningen in verband met de beveiliging van netwerk- en informatiesystemen en de uitwisseling van informatie en beste praktijken op het gebied van bewustmaking en opleiding. Het Enisa moet ook worden betrokken bij het opstellen van richtsnoeren voor sectorspecifieke criteria voor het bepalen van de aanzienlijkheid van de gevolgen van een incident.

Met het oog op de bevordering van geavanceerde netwerk- en informatiebeveiligingssystemen moet de samenwerkingsgroep, waar nodig, samenwerken met de bevoegde instellingen, organen en instanties van de Unie, om kennis en beste praktijken uit te wisselen en advies te verlenen over de veiligheidsaspecten van netwerk- en informatiebeveiligingssystemen die een effect kunnen hebben op hun werkzaamheden, met inachtneming van bestaande regelingen voor de uitwisseling van niet-openbare informatie. Bij de samenwerking met rechtshandhavingsautoriteiten inzake de beveiligingsaspecten van netwerk- en informatiesystemen die van invloed kunnen zijn op hun werkzaamheden, moet de samenwerkingsgroep bestaande informatiekanalen en gevestigde netwerken respecteren.

Informatie over incidenten wordt steeds waardevoller voor het grote publiek en bedrijfsleven, met name het midden- en kleinbedrijf. In sommige gevallen is deze informatie al verstrekt via websites op nationaal niveau, in de taal van het betreffende land en voornamelijk gericht op incidenten en voorvallen met een nationale dimensie. Aangezien bedrijven in toenemende mate grensoverschrijdend actief zijn en burgers gebruik maken van onlinediensten, moet informatie over incidenten in pakketvorm op Unieniveau worden verstrekt. Het secretariaat van het CSIRT-netwerk wordt aangemoedigd een website te hebben of een specifieke pagina op een bestaande website te hosten waar algemene informatie met betrekking tot belangrijke incidenten die in de hele Unie plaatsvonden, ter beschikking wordt gesteld van het grote publiek, met speciale aandacht voor de belangen en de behoeften van het bedrijfsleven. CSIRT's die deelnemen aan het CSIRT-netwerk, worden aangespoord om op vrijwillige basis de informatie te verstrekken die op deze website moet worden gepubliceerd, maar geen vertrouwelijke of gevoelige informatie.

Wanneer informatie volgens uniale en nationale voorschriften inzake de vertrouwelijkheid van bedrijfsinformatie als vertrouwelijk wordt beschouwd, moet die vertrouwelijkheid worden gewaarborgd tijdens de activiteiten die noodzakelijk zijn ter verwezenlijking van de doelstellingen van deze richtlijn.

Oefeningen inzake cyberbeveiliging, waarbij incidentenscenario's in realtime worden gesimuleerd, zijn van essentieel belang voor het testen van de paraatheid en de samenwerking van de lidstaten op het gebied van de beveiliging van netwerk- en informatiesystemen. De door het Enisa gecoördineerde CyberEurope-cyclus van oefeningen, waaraan de lidstaten deelnemen, is een nuttig instrument voor het testen en het formuleren van aanbevelingen om de incidentenrespons op Unieniveau mettertijd te verbeteren. Overwegende dat de lidstaten momenteel niet verplicht zijn oefeningen te plannen of eraan deel te nemen, moet de oprichting van het CSIRT-netwerk op grond van deze richtlijn de lidstaten in staat stellen deel te nemen aan oefeningen op basis van een nauwkeurige planning en strategische keuzes. De krachtens deze richtlijn ingestelde samenwerkingsgroep moet de strategische beslissingen inzake oefeningen nemen, met name maar niet uitsluitend wat betreft de regelmatigheid van de oefeningen en het ontwerp van de scenario's. Het Enisa moet, overeenkomstig zijn taakopdracht, de organisatie en uitvoering van oefeningen in de hele Unie ondersteunen door expertise en advies te verlenen aan de samenwerkingsgroep en het CSIRT-netwerk.

Gezien het mondiale karakter van veiligheidsproblemen in verband met netwerk- en informatiebeveiligingssystemen is er behoefte aan nauwere internationale samenwerking om beveiligingsnormen en informatie-uitwisseling te verbeteren en een gemeenschappelijke internationale aanpak van veiligheidskwesties te bevorderen.

De verantwoordelijkheid voor het waarborgen van de veiligheid van netwerk- en informatiesystemen ligt voor een groot deel bij aanbieders van essentiële diensten en digitaledienstverleners. Aan de hand van passende regelgevingseisen en vrijwillige sectorconvenanten moet een cultuur van risicobeheer worden bevorderd en ontwikkeld, die risicobeoordeling en de uitvoering van risicogerichte beveiligingsmaatregelen behelst. Ook de totstandbrenging van een betrouwbaar gelijk speelveld is essentieel om te waarborgen dat alle lidstaten doeltreffend samenwerken in de samenwerkingsgroep en het CSIRT-netwerk.

Deze richtlijn is alleen van toepassing op overheidsdiensten die aangemerkt worden als aanbieders van essentiële diensten. Het is bijgevolg de verantwoordelijkheid van de lidstaten om te zorgen voor de beveiliging van netwerk- en informatiesystemen van overheidsdiensten die niet binnen de werkingssfeer van deze richtlijn vallen.

Maatregelen voor risicobeheer omvatten maatregelen om incidentrisico's in beeld te brengen, incidenten te voorkomen, op te sporen en aan te pakken en de gevolgen ervan te beperken; de beveiliging van netwerk- en informatiesystemen behelst de beveiliging van opgeslagen, doorgegeven en verwerkte gegevens.

De bevoegde autoriteiten moeten nationale richtsnoeren kunnen blijven vaststellen met betrekking tot de omstandigheden waarin aanbieders van essentiële diensten incidenten moeten melden.

Veel bedrijven in de Unie vertrouwen voor de verlening van hun eigen diensten op de digitaledienstverleners zoals gedefinieerd in deze richtlijn. Aangezien sommige digitale diensten een belangrijk hulpmiddel kunnen zijn voor hun gebruikers, met inbegrip van aanbieders van essentiële diensten, en aangezien deze gebruikers niet altijd over alternatieven beschikken, moet deze richtlijn ook van toepassing zijn op de verleners van dergelijke diensten. De beveiliging, continuïteit en betrouwbaarheid van het soort digitale diensten bedoeld in deze richtlijn zijn van essentieel belang voor de vlotte werking van tal van bedrijven. Een verstoring van een dergelijke digitale dienst kan verhinderen dat andere diensten worden verleend die daarvan afhankelijk zijn, en kan dus gevolgen hebben voor belangrijke economische en maatschappelijke activiteiten in de Unie. Dergelijke digitale diensten kunnen derhalve van cruciaal belang zijn voor de goede werking van ondernemingen die daarvan afhankelijk zijn, en tevens voor de deelname van deze ondernemingen aan de interne markt en de grensoverschrijdende handel in de hele Unie. Digitaledienstverleners als bedoeld in deze richtlijn zijn die welke geacht worden digitale diensten aan te bieden waarop steeds meer bedrijven in de Unie vertrouwen.

Digitaledienstverleners moeten zorgen voor een niveau van beveiliging dat in verhouding staat tot de risicograad voor de beveiliging van de digitale diensten die ze verlenen, gezien het belang van hun diensten voor de activiteiten van andere ondernemingen binnen de Unie. In de praktijk zal de risicograad voor aanbieders van essentiële diensten, die vaak van essentieel belang zijn voor het behoud van kritieke maatschappelijke en economische activiteiten, hoger zijn dan voor digitaledienstverleners. Daarom moeten de beveiligingseisen voor digitaledienstverleners lichter zijn. Digitaledienstverleners moeten de vrijheid behouden om maatregelen te treffen die zij passend achten ter beheersing van de risico's voor de beveiliging van hun netwerk- en informatiesystemen. Vanwege hun grensoverschrijdende aard moet voor digitaledienstverleners een meer geharmoniseerde aanpak op Unieniveau worden gehanteerd. Uitvoeringshandelingen moeten de invulling en tenuitvoerlegging van deze maatregelen vergemakkelijken.

Hoewel hardwareproducenten en softwareontwikkelaars geen aanbieders van essentiële diensten of digitaledienstverleners zijn, bevorderen hun producten de beveiliging van netwerk- en informatiesystemen. Zij hebben derhalve een belangrijke rol omdat zij de aanbieders van essentiële diensten en digitaledienstverleners in staat stellen hun netwerk- en informatiesystemen te beveiligen. Voor dergelijke hardware en software gelden reeds bestaande regels betreffende productaansprakelijkheid.

In de technische en organisatorische maatregelen die aan aanbieders van essentiële diensten en digitaledienstverleners worden opgelegd, mag niet de eis worden gesteld dat een bepaald commercieel informatie- en communicatietechnologieproduct op een bepaalde wijze wordt ontworpen, ontwikkeld of vervaardigd.

Aanbieders van essentiële diensten en digitaledienstverleners moeten zorgen voor de beveiliging van de netwerk- en informatiesystemen die zij gebruiken. Het gaat daarbij voornamelijk om private netwerk- en informatiesystemen die door hun intern IT-personeel worden beheerd of waarvan de beveiliging is uitbesteed. De beveiligings- en meldingsvereisten moeten van toepassing zijn op de betrokken aanbieders van essentiële diensten en digitaledienstverleners, ongeacht of zij het onderhoud van hun netwerk- en informatiesystemen zelf verrichten dan wel uitbesteden.

Om te voorkomen dat aan aanbieders van essentiële diensten en digitaledienstverleners onevenredige financiële en administratieve lasten worden opgelegd, moeten de eisen, rekening houdend met de stand van de techniek, in verhouding staan tot het risico dat verbonden is aan het netwerk- en informatiesysteem in kwestie. In het geval van digitaledienstverleners mogen deze eisen niet van toepassing zijn op micro-ondernemingen en kleine ondernemingen.

Wanneer overheidsdiensten in de lidstaten gebruik maken van diensten die worden aangeboden door digitaledienstverleners, met name cloudcomputerdiensten, is het mogelijk dat zij van de verleners van die diensten extra beveiligingsmaatregelen verlangen naast datgene wat de digitaledienstverleners normaliter zouden aanbieden conform de eisen van deze richtlijn. Dit moeten zij kunnen doen door middel van contractuele verplichtingen.

De definities van onlinemarktplaatsen, onlinezoekmachines en cloudcomputerdiensten in deze richtlijn gelden voor de specifieke toepassing van deze richtlijn, onverminderd andere instrumenten.

Deze richtlijn mag de lidstaten niet beletten nationale maatregelen te nemen op grond waarvan openbare lichamen verplicht worden specifieke beveiligingseisen te stellen wanneer zij contracten sluiten voor cloudcomputerdiensten. Dergelijke nationale maatregelen moeten gelden voor het betrokken openbare lichaam en niet voor de aanbieder van cloudcomputerdiensten.

Gezien de fundamentele verschillen tussen aanbieders van essentiële diensten, met name wat betreft hun rechtstreekse band met de fysieke infrastructuur, en digitaledienstverleners, met name hun grensoverschrijdende karakter, moet deze richtlijn ten aanzien van deze twee categorieën entiteiten een gedifferentieerde aanpak volgen met betrekking tot de mate van harmonisatie. Voor aanbieders van essentiële diensten moeten de lidstaten kunnen achterhalen wie de betreffende aanbieders zijn en strengere eisen kunnen opleggen dan die welke in deze richtlijn zijn vastgelegd. De lidstaten hoeven niet te achterhalen wie digitaledienstverleners zijn, aangezien deze richtlijn van toepassing moet zijn op alle digitaledienstverleners die binnen de werkingssfeer ervan vallen. Bovendien moeten deze richtlijn en de op grond daarvan vastgestelde uitvoeringshandelingen zorgen voor een hoge mate van harmonisatie van de beveiligings- en meldingseisen voor digitaledienstverleners. Deze elementen moeten een uniforme aanpak van digitaledienstverleners in de gehele Unie mogelijk maken, die in verhouding staat tot de aard en de graad van het risico dat zij kunnen lopen.

Deze richtlijn mag de lidstaten niet verhinderen beveiligings- en meldingseisen op te leggen aan entiteiten die geen digitaledienstverleners in de zin van deze richtlijn zijn, onverminderd de verplichtingen van de lidstaten uit hoofde van het Unierecht.

De bevoegde autoriteiten moeten de nodige aandacht besteden aan de instandhouding van informele en betrouwbare kanalen voor informatie-uitwisseling. Bij de bekendmaking van aan de bevoegde autoriteiten gemelde incidenten moet het belang van het publiek om te worden geïnformeerd over bedreigingen worden afgewogen tegen mogelijke commerciële en imagoschade voor de aanbieders van essentiële diensten en digitaledienstverleners die incidenten melden. Bij het nakomen van de meldingsverplichtingen moeten de bevoegde autoriteiten en de CSIRT's bijzondere aandacht besteden aan de noodzaak om informatie over de kwetsbare punten van producten strikt vertrouwelijk te houden tot er passende herstel- en beveiligingsmaatregelen zijn genomen.

Digitaledienstverleners moeten worden onderworpen aan licht en reactief toezicht achteraf dat te rechtvaardigen is door de aard van hun diensten en activiteiten. De betrokken bevoegde autoriteit moet daarom alleen maatregelen nemen als zij over bewijzen beschikt (bijvoorbeeld verstrekt door de digitaledienstverlener zelf, door een andere bevoegde autoriteit, met inbegrip van een bevoegde autoriteit van een andere lidstaat, of door een gebruiker van de dienst) dat een digitaledienstverlener niet voldoet aan de eisen van deze richtlijn, met name nadat een incident zich heeft voorgedaan. Voor de bevoegde autoriteit moet er daarom geen algemene verplichting zijn om toezicht te houden op digitaledienstverleners.

De bevoegde autoriteiten moeten over de nodige middelen beschikken om hun taken uit te voeren, met inbegrip van bevoegdheden om voldoende informatie te kunnen verzamelen om na te gaan in hoeverre netwerk- en informatiesystemen beveiligd zijn.

Incidenten kunnen het resultaat zijn van criminele activiteiten, waarvan de voorkoming, het onderzoek en de vervolging wordt ondersteund door coördinatie en samenwerking tussen aanbieders van essentiële diensten, digitaledienstverleners, bevoegde autoriteiten en rechtshandhavingsinstanties. Indien vermoed wordt dat een incident gerelateerd is aan ernstige criminele activiteiten volgens het Unierecht of het nationale recht, dienen de lidstaten aanbieders van essentiële diensten en digitaledienstverleners ertoe aan te sporen incidenten van vermoedelijk ernstig criminele aard zelf te melden aan de bevoegde rechtshandhavingsinstanties. In voorkomend geval is het wenselijk dat de coördinatie tussen bevoegde autoriteiten en de rechtshandhavingsinstanties van verschillende lidstaten wordt bevorderd door het Centrum voor de bestrijding van cybercriminaliteit van het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) en het Enisa.

In veel gevallen worden persoonsgegevens aangetast als gevolg van incidenten. Daarom moeten de bevoegde autoriteiten en de autoriteiten voor gegevensbescherming samenwerken en informatie over alle relevante zaken uitwisselen om inbreuken in verband met persoonsgegevens als gevolg van incidenten aan te pakken.

De jurisdictie ten aanzien van digitaledienstverleners mag aan slechts één lidstaat worden verleend, te weten die waar de betrokken digitaledienstverlener zijn hoofdvestiging heeft in de Unie; in beginsel is dat de plaats waar de dienstverlener zijn hoofdkantoor heeft in de Unie. Vestiging veronderstelt het effectief en daadwerkelijk uitoefenen van activiteiten via vaste regelingen. De rechtsvorm van dergelijke regelingen, of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid, is daarbij niet doorslaggevend. Dit criterium mag niet zitten in het feit of de netwerk- en informatiesystemen fysiek zijn ondergebracht op in die plaats; de aanwezigheid en het gebruik van die systemen zijn op zich onvoldoende om te kunnen spreken van hoofdvestiging en zijn dan ook geen criteria voor het bepalen van de hoofdvestiging.

Wanneer een digitaledienstverlener die niet gevestigd is in de Unie diensten aanbiedt in de Unie, moet hij een vertegenwoordiger aanwijzen. Om te bepalen of een dergelijke digitaledienstverlener diensten aanbiedt in de Unie, moet worden nagegaan of hij kennelijk voornemens is diensten aan te bieden aan personen in één of meer lidstaten. Het loutere feit van toegankelijkheid van de website van de digitaledienstverlener of van een tussenpersoon in de Unie of van een e-mailadres of van andere contactgegevens of het gebruik van een taal die algemeen wordt gebruikt in het derde land waar de digitaledienstverlener is gevestigd, is op zich ontoereikend om een dergelijk voornemen vast te stellen. Uit factoren zoals het gebruik van een taal of een valuta die in één of meer lidstaten algemeen wordt gebruikt, met de mogelijkheid om in die taal diensten te bestellen, of de vermelding van klanten of gebruikers die zich in de Unie bevinden, kan evenwel blijken dat de digitaledienstverlener voornemens is diensten aan te bieden in de Unie. De vertegenwoordiger dient namens de digitaledienstverlener te handelen, en de bevoegde autoriteiten of de CSIRT's moeten contact kunnen opnemen met de vertegenwoordiger. De vertegenwoordiger dient via een schriftelijk mandaat van de digitaledienstverlener uitdrukkelijk te worden aangewezen om, in het kader van deze richtlijn, namens laatstgenoemde op te treden met betrekking tot diens verplichtingen, waaronder de melding van incidenten.

De normalisatie van beveiligingseisen is een marktgestuurd proces. Met het oog op een eenvormige toepassing van de beveiligingsnormen moeten de lidstaten naleving van of afstemming op specifieke normen aanmoedigen om een hoog niveau van beveiliging van netwerk- en informatiesystemen op Unieniveau te waarborgen. Het Enisa dient de lidstaten bij te staan met advies en richtsnoeren. Daartoe kan het nuttig zijn geharmoniseerde normen op te stellen, hetgeen moet gebeuren overeenkomstig Verordening (EU) nr. 1025/2012 van het Europees Parlement en de Raad (8).

Entiteiten die buiten het toepassingsgebied van deze richtlijn vallen, kunnen worden geconfronteerd met incidenten die aanzienlijke gevolgen hebben voor de door hen verleende diensten. Wanneer deze entiteiten van mening zijn dat het melden van deze incidenten het openbaar belang dient, moeten zij in staat zijn dat op vrijwillige basis te doen. Zulke meldingen moeten door de bevoegde autoriteit of het CSIRT worden verwerkt wanneer die verwerking geen onevenredige of overmatige belasting voor de betrokken lidstaat vormt.

Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze richtlijn, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend om de procedurele regelingen vast te stellen die noodzakelijk zijn voor de werking van de samenwerkingsgroep en de beveiligings- en meldingseisen die van toepassing zijn op digitaledienstverleners. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad (9). Bij de vaststelling van uitvoeringshandelingen met betrekking tot de procedurele regelingen die noodzakelijk zijn voor de werking van de samenwerkingsgroep, moet de Commissie zo veel mogelijk rekening houden met het advies van het Enisa.

Bij het vaststellen van uitvoeringshandelingen inzake de beveiligingseisen voor digitaledienstverleners, moet de Commissie zo veel mogelijk rekening houden met het advies van het Enisa en zij betrokken belanghebbenden raadplegen. Bovendien wordt de Commissie aangemoedigd om rekening te houden met de volgende voorbeelden: met betrekking tot de beveiliging van systemen en voorzieningen: fysieke en omgevingsbeveiliging, bevoorradingszekerheid, controle op de toegang tot netwerk- en informatiesystemen en integriteit van netwerk- en informatiesystemen; met betrekking tot incidentbeheer: procedures voor incidentbeheer, capaciteit voor incidentdetectie, incidentrapportage en -communicatie; met betrekking tot het beheer van de bedrijfscontinuïteit: strategie inzake continuïteit van de dienstverlening en rampenplannen, uitwijkcapaciteiten; en op het gebied van toezicht, controle en testen: toezicht- en registratiebeleid, oefenen rampenplannen, testen van de netwerk- en informatiesystemen, beoordelingen van de beveiliging en toezicht op de naleving.

Bij de tenuitvoerlegging van deze richtlijn moet de Commissie waar passend met de bevoegde sectorale comités en de op Unieniveau opgerichte bevoegde organen contacten onderhouden op de onder deze richtlijn vallende gebieden.

De Commissie moet deze richtlijn in overleg met alle belanghebbenden op gezette tijden evalueren, met name om na te gaan of zij in het licht van de veranderende maatschappelijke, politieke, technologische of marktomstandigheden moet worden gewijzigd.

Voor de uitwisseling van informatie over risico's en incidenten in de samenwerkingsgroep en het CSIRT-netwerk en de naleving van de voorschriften inzake het melden van incidenten aan de nationale bevoegde autoriteiten of het CSIRT, kan de verwerking van persoonsgegevens worden verlangd. Die verwerking moet gebeuren in overeenstemming met Richtlijn 95/46/EG van het Europees Parlement en de Raad (10) en Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (11). Waar zulks passend is, moet bij de toepassing van deze richtlijn Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad (12) van toepassing zijn.

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 28, lid 2, van Verordening (EG) nr. 45/2001 en heeft op 14 juni 2013 advies uitgebracht (13).

Daar de doelstelling van deze richtlijn, namelijk het komen tot een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie, niet voldoende door de lidstaten alleen kan worden verwezenlijkt maar vanwege de gevolgen van de maatregelen beter door de Unie kan worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om die doelstelling te verwezenlijken.

Deze richtlijn is in overeenstemming met de grondrechten en beginselen die door het Handvest van de grondrechten van de Europese Unie worden erkend, met name het recht op eerbiediging van het privéleven en communicatie, de bescherming van persoonsgegevens, de vrijheid van ondernemerschap, het recht op eigendom, het recht op een doeltreffende voorziening in rechte en het recht te worden gehoord. Deze richtlijn moet overeenkomstig deze rechten en beginselen ten uitvoer worden gelegd,

de vaststelling van verplichtingen voor alle lidstaten om een nationale strategie voor beveiliging van netwerk- en informatiesystemen vast te stellen;

de instelling van een samenwerkingsgroep die de strategische samenwerking en informatie-uitwisseling tussen de lidstaten moet ondersteunen en onderling vertrouwen moet scheppen;

de totstandbrenging van een netwerk van computer security incident response teams („CSIRT's-netwerk”) dat mede vertrouwen moet scheppen tussen de lidstaten en snelle en doeltreffende operationele samenwerking moet bevorderen;

de vaststelling van beveiligings- en meldingseisen voor aanbieders van essentiële diensten en voor digitaledienstverleners;

de vaststelling van verplichtingen voor de lidstaten om nationale bevoegde autoriteiten, centrale contactpunten en CSIRT's aan te wijzen, met taken in verband met de beveiliging van netwerk- en informatiesystemen.

een elektronisch communicatienetwerk in de zin van artikel 2, onder a), van Richtlijn 2002/21/EG;

een apparaat of groep van geïnterconnecteerde of bij elkaar behorende apparaten, waarvan een of meer, overeenkomstig een programma, digitale gegevens automatisch verwerkt of verwerken, of

digitale gegevens die via in de punten a) en b) bedoelde elementen worden opgeslagen, verwerkt, opgehaald of verzonden met het oog op de werking, het gebruik, de beveiliging en het onderhoud ervan;

een entiteit verleent een dienst die van essentieel belang is voor de instandhouding van kritieke maatschappelijke en/of economische activiteiten;

de verlening van die dienst is afhankelijk van netwerk- en informatiesystemen, en

een incident zou aanzienlijke verstorende effecten hebben voor de verlening van die dienst.

de nationale maatregelen die de identificatie van aanbieders van essentiële diensten mogelijk maken;

de in lid 3 bedoelde lijst van diensten;

het aantal aanbieders van essentiële diensten die zijn geïdentificeerd voor elke in bijlage II genoemde sector en een indicatie van hun belang ten aanzien van die sector;

de drempels, waar zij voorkomen, voor het bepalen van het relevante verleningsniveau ten aanzien van het aantal gebruikers dat afhankelijk is van deze dienst als bedoeld in artikel 6, lid 1, onder a), of het belang van die bepaalde aanbieder van essentiële diensten overeenkomstig artikel 6, lid 1, onder f).

het aantal gebruikers dat afhankelijk is van de door de betrokken entiteit verleende dienst;

de afhankelijkheid van andere in bijlage II genoemde sectoren van de door die entiteit verleende dienst;

de gevolgen die incidenten kunnen hebben, wat betreft mate en duur, voor economische en maatschappelijke activiteiten of de openbare veiligheid;

het marktaandeel van die entiteit;

de omvang van het geografische gebied dat door een incident kan worden getroffen;

het belang van de entiteit voor de instandhouding van een toereikend dienstverleningsniveau, rekening houdend met de beschikbare alternatieven voor het verlenen van die dienst.

de doelstellingen en de prioriteiten van de nationale strategie voor de beveiliging van netwerk- en informatiesystemen;

een governancekader ter verwezenlijking van de doelstellingen en de prioriteiten van de nationale strategie voor de beveiliging van netwerk- en informatiesystemen, met inbegrip van de taken en verantwoordelijkheden van de overheidsorganen en de andere betrokken actoren;

de bepaling van maatregelen inzake paraatheid, reactie en herstel, met inbegrip van samenwerking tussen de publieke en de particuliere sector;

een vermelding van de onderwijs-, bewustmakings- en opleidingsprogramma's met betrekking tot de nationale strategie voor de beveiliging van netwerk- en informatiesystemen;

een vermelding van de plannen voor onderzoek en ontwikkeling met betrekking tot de nationale strategie voor de beveiliging van netwerk- en informatiesystemen;

een risicobeoordelingsplan om risico's vast te stellen;

een lijst van de verschillende actoren die betrokken zijn bij de uitvoering van de nationale strategie voor de beveiliging van netwerk- en informatiesystemen.

strategische richtsnoeren bepalen voor de activiteiten van het CSIRT-netwerk als bedoeld in artikel 12;

beste praktijken uitwisselen inzake de uitwisseling van informatie over de melding van incidenten als bedoeld in artikel 14, leden 3 en 5, en artikel 16, leden 3 en 6;

beste praktijken uitwisselen tussen de lidstaten en, in samenwerking met het Enisa, de lidstaten bijstaan bij het opbouwen van capaciteit op het gebied van de beveiliging van netwerk- en informatiesystemen;

de capaciteiten en de paraatheid van de lidstaten bespreken en, op vrijwillige basis, de nationale strategieën voor de beveiliging van netwerk- en informatiesystemen en de doeltreffendheid van de CSIRT's evalueren, en beste praktijken identificeren;

informatie en beste praktijken uitwisselen op het gebied van bewustmaking en opleiding;

informatie en beste praktijken uitwisselen inzake onderzoek en ontwikkeling op het gebied van de beveiliging van netwerk- en informatiesystemen;

waar nodig ervaringen op gebied van de beveiliging van netwerk- en informatiesystemen uitwisselen met de betrokken instellingen, organen, bureaus en agentschappen van de Unie;

de in artikel 19 bedoelde normen en specificaties bespreken met vertegenwoordigers van de betrokken Europese normalisatie-instellingen;

informatie over beste praktijken verzamelen inzake risico's en incidenten;

jaarlijks de in artikel 10, lid 3, tweede alinea, bedoelde samenvattende verslagen bestuderen;

de werkzaamheden met betrekking tot oefeningen in verband met de beveiliging van netwerk- en informatiesystemen, onderwijsprogramma's en opleiding, met inbegrip van de werkzaamheden van het Enisa, bespreken;

met de hulp van het Enisa beste praktijken uitwisselen inzake de identificatie door de lidstaten van aanbieders van essentiële diensten, onder meer wat betreft grensoverschrijdende afhankelijkheid inzake risico's en -incidenten;

de nadere bepalingen bespreken voor de rapportage betreffende incidentmeldingen als bedoeld in de artikelen 14 en 16.

informatie uit te wisselen over diensten, activiteiten en samenwerkingscapaciteiten van de CSIRT's;

op verzoek van een vertegenwoordiger van een CSIRT van een lidstaat die mogelijk door een incident is getroffen, informatie die niet commercieel gevoelig is en verband houdt met het betreffende incident uit te wisselen en de daaraan verbonden risico's te bespreken; elk CSIRT van een lidstaat kan echter weigeren tot die bespreking bij te dragen als er een risico is dat het onderzoek naar het incident in gevaar wordt gebracht;

op vrijwillige basis niet-vertrouwelijke informatie over afzonderlijke incidenten uit te wisselen en beschikbaar te maken;

op verzoek van de vertegenwoordiger van het CSIRT van een lidstaat, een incident dat binnen de jurisdictie van die zelfde lidstaat heeft plaatsgevonden te bespreken en, indien mogelijk, een gecoördineerde reactie daarop te bepalen;

de lidstaten op basis van de vrijwillige wederzijdse bijstand te ondersteunen bij de aanpak van grensoverschrijdende incidenten;

andere vormen van operationele samenwerking te bespreken, te verkennen en vast te stellen, onder andere met betrekking tot:

de samenwerkingsgroep te informeren over zijn werkzaamheden en over de overeenkomstig punt f) besproken andere vormen van operationele samenwerking, en te verzoeken om sturing hieromtrent;

de lessen die uit oefeningen in verband met de beveiliging van netwerk- en informatiesystemen — waaronder de door het Enisa georganiseerde oefeningen — getrokken zijn, te bespreken;

op verzoek van een afzonderlijk CSIRT, de capaciteiten en paraatheid van dat CSIRT te bespreken;

richtsnoeren uit te vaardigen ter bevordering van de harmonisatie van de (operationele) praktijken inzake de toepassing van de bepalingen van dit artikel met betrekking tot de operationele samenwerking.

het aantal gebruikers dat door de verstoring van de essentiële dienst wordt getroffen;

de duur van het incident;

de omvang van het geografische gebied dat door het incident is getroffen.

de informatie verschaffen die nodig is om de beveiliging van hun netwerk- en informatiesystemen te beoordelen, met inbegrip van gedocumenteerde beleidsmaatregelen op het gebied van beveiliging;

het bewijs leveren dat het beveiligingsbeleid daadwerkelijk wordt uitgevoerd, bijvoorbeeld de resultaten van een beveiligingsaudit die door de bevoegde autoriteit of een bevoegde auditor is uitgevoerd en, in het laatste geval, de resultaten daarvan, met inbegrip van de onderliggende gegevens, ter beschikking te stellen van de bevoegde autoriteit.

de beveiliging van systemen en voorzieningen,

behandeling van incidenten,

het beheer van de bedrijfscontinuïteit,

toezicht, controle en testen,

inachtneming van de internationale normen.

het aantal gebruikers dat door het incident wordt getroffen, in het bijzonder gebruikers die de dienst nodig hebben voor de verlening van hun eigen diensten;

de duur van het incident;

de omvang van het geografische gebied dat door het incident is getroffen;

de omvang van de verstoring van de werking van de dienst;

de omvang van de impact op de economische en maatschappelijke activiteiten.

hen de informatie verstrekken die nodig is om de beveiliging van hun netwerk- en informatiesystemen te beoordelen, met inbegrip van gedocumenteerde beleidsmaatregelen op het gebied van beveiliging;

iedere niet-naleving van de in artikel 16 vastgestelde eisen rechtzetten.

voorschriften voor CSIRT's:

Taken van de CSIRT's:

Onlinemarktplaats

Onlinezoekmachine

Cloudcomputerdiensten