13967/1/16 REV 1 dep/gra/mt 1 DG D 2B

Transcriptie

1 Raad van de Europese Unie Brussel, 7 november 2016 (OR. en) 13967/1/16 REV 1 NOTA I/A-PUNT van: aan: nr. vorig doc.: 11911/3/16 REV 3 Nr. Comdoc.: 11013/16 Betreft: het secretariaat-generaal van de Raad CYBER 122 COMPET 558 IND 229 RECH 302 TELECOM 213 het Comité van permanente vertegenwoordigers/de Raad Ontwerpconclusies van de Raad over het versterken van het Europese cyberbeveiligingssysteem en het bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche - Aanneming 1. Op de vergadering van de Groep vrienden van het voorzitterschap (cybervraagstukken) van 22 juli 2016 stelde de Commissie haar mededeling getiteld "Versterken van het Europese cyberbeveiligingssysteem en bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche" 1 voor. De mededeling heeft tot doel de groei van de Europese cyberbeveiligingsindustrie te ondersteunen en de samenwerking tussen de lidstaten te verbeteren, vooral bij grootschalige cyberaanvallen, en daarbij optimaal gebruik te maken van de diverse beschikbare hulpmiddelen. 1 Doc / /1/16 REV 1 dep/gra/mt 1 DG D 2B NL

2 2. Na de presentatie door de Commissie volgde een debat op basis van een door het voorzitterschap opgestelde lijst van kernpunten 2. Uit het debat bleek het belang van een strategische reflectie vooraf over de in de mededeling genoemde vraagstukken. Ook werd duidelijk dat de vooropgestelde doelen alleen kunnen worden bereikt als de politieke wil daartoe aanwezig is. 3. Op de vergadering van de groep van 17 september presenteerde het voorzitterschap een eerste reeks ontwerpconclusies van de Raad 3, die stoelde op de lijst van kernpunten en het commentaar en de schriftelijke opmerkingen van de lidstaten. Tijdens de eerste bespreking konden de structuur worden gestroomlijnd en de kernpunten verder toegespitst, met inachtneming van het lopende proces tot uitvoering van de onlangs aangenomen cyberbeveiligingsrichtlijn (NIB-richtlijn). 4. In aansluiting op de twee extra gespreksrondes in de groep, op 7 en 28 oktober 2016, en de schriftelijke bijdrage van de delegaties konden de onderhandelingen op het niveau van de groep worden afgerond, en kon de definitieve compromistekst worden voorbereid Derhalve wordt het Coreper verzocht de Raad in overweging te geven bijgaande ontwerpconclusies van de Raad over het versterken van het Europese cyberbeveiligingssysteem en het bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche goed te keuren Doc. DS 1373/16. Doc /16. Doc /3/16 REV /1/16 REV 1 dep/gra/mt 2 DG D 2B NL

3 BIJLAGE Ontwerpconclusies van de Raad over het versterken van het Europese cyberbeveiligingssysteem en het bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche DE RAAD VAN DE EUROPESE UNIE, HERINNEREND AAN: zijn conclusies over de gezamenlijke mededeling van de Commissie en de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid over de Strategie inzake cyberbeveiliging van de Europese Unie: een open, veilige en beveiligde cyberspace 5 ; het EU-beleidskader voor cyberdefensie 6 ; zijn conclusies over cyberdiplomatie 7 ; de mededeling van de Commissie getiteld "Strategie voor een digitale eengemaakte markt voor Europa" 8 ; zijn conclusies over bestrijding van hybride bedreigingen 9 ; zijn conclusies over het actieplan inzake e-overheid ; de mededeling van de Commissie getiteld "Versterken van het Europese cyberbeveiligingssysteem en bevorderen van een concurrerende en innovatieve cyberbeveiligingsbranche" 11 ; zijn conclusies over de integrale strategie voor het buitenlands en veiligheidsbeleid van de Europese Unie 12 ; Doc /13. Doc /14. Doc. 6122/15. COM(2015) 192 final van 6 mei Doc. 7857/16. Doc /16. COM(2016) 410 final van 5 juli Doc / /1/16 REV 1 dep/gra/mt 3

4 WIJZEND OP: de resultaten van de in mei 2016 in Amsterdam gehouden conferentie op hoog niveau over cyberbeveiliging; de resultaten van de internationale conferenties over cyberspace van 2011 (Londen), 2012 (Boedapest), 2013 (Seoel) en 2015 (Den Haag). ONDERKENT HETGEEN VOLGT: 1. de lidstaten, de Commissie en de andere EU-entiteiten - conform het subsidiariteitsbeginsel - werken nauw samen om de cyberbeveiliging en -veerkracht van Europa op EU- en nationaal niveau te bevorderen, met name sinds de aanneming van de cyberbeveiligingsstrategie van de EU, en er moet verder intensief worden samengewerkt om de EU te beschermen tegen cyberdreigingen, waarbij het van belang is om cyberbeveiliging op een alomvattende en coherente manier te benaderen; 2. cyberdreigingen en -kwetsbaarheden blijven evolueren en worden groter, wat noopt tot een permanente nauwere samenwerking, vooral bij de behandeling van grootschalige grensoverschrijdende cyberincidenten; 3. cyberbeveiliging is een essentiële factor voor het goede functioneren van de digitale eengemaakte markt, aangezien cyberincidenten niet alleen ernstige verstoringen in de moderne samenleving en grote economische schade voor Europese bedrijven kunnen veroorzaken, maar ook het vertrouwen van burgers en bedrijven in de digitale samenleving kunnen aantasten en twijfels over het gebruik van digitale technologie kunnen zaaien; 13967/1/16 REV 1 dep/gra/mt 4

5 4. de onlangs aangenomen cyberbeveiligingsrichtlijn (NIB-richtlijn) 13, die voorziet in nieuwe samenwerkingsmechanismen, de EU-strategie inzake cyberbeveiliging (te zijner tijd te herzien), en de Enisa-verordening (binnenkort te herzien) vormen de kern van een EU-kader voor cyberbeveiliging dat effectief werk maakt van de cyberbeveiliging van de lidstaten en van EU-entiteiten; 5. het ontwikkelen, via onderwijs en opleiding, van passende cyberbeveiligingsvaardigheden voor het voorkomen van cyberbeveiligingsincidenten en het verwerken en beperken van hun impact, is een van de essentiële elementen om tot een veerkrachtige cyberbeveiliging te komen, en om de samenwerking tussen de lidstaten, de Commissie, de EDEO, Enisa, Europol, Eurojust, het EDA en de NAVO, naargelang het geval, te stimuleren; 6. strategische en operationele samenwerking en informatie-uitwisseling tussen de sectoren binnen de lidstaten en over de grenzen heen binnen de EU is essentieel om cyberbeveiliging te handhaven en de impact van cyberincidenten te voorkomen en te beperken. Deze samenwerking helpt niet alleen om de paraatheid en de veerkracht te vergroten, maar ook om een beter inzicht te krijgen in de onderlinge afhankelijkheden, onder meer door de uitvoering van het Europees programma voor de bescherming van kritieke infrastructuur; 7. om de omvang van de gedeelde risico's en de impact van grootschalige cyberincidenten in te schatten, is de mate van onderlinge afhankelijkheid tussen landen en sectoren doorslaggevend, zowel in de publieke als in de particuliere sector; 8. het is belangrijk een toereikende financieringscapaciteit op te zetten ter ondersteuning van het mkb/kmo's (hierna: kleine en middelgrote ondernemingen) en starters die actief zijn op het gebied van cyberbeveiliging, en met name hun toegang tot financiering en investeringen te faciliteren, vooral in de eerste fasen van hun ontwikkeling; 9. het opzetten van een contractueel publiek-privaat partnerschap (PPP) inzake cyberbeveiliging in het kader van Horizon 2020 heeft als meerwaarde dat het concurrentie- en innovatievermogen van de Europese cyberbeveiligingsindustrie wordt bevorderd; 13 Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PB L 194 van , blz. 1) /1/16 REV 1 dep/gra/mt 5

6 10. dynamische technologische ontwikkelingen op digitaal gebied die worden vertaald in een breed gamma van ICT-producten, -diensten en -oplossingen brengen niet alleen nieuwe maatschappelijke en economische uitdagingen met zich mee, maar ook nieuwe beveiligingsuitdagingen, vooral met betrekking tot data, die verder aan bod moeten komen in het kader van de digitale eengemaakte markt; 11. cyberdiefstallen van bedrijfsgeheimen kunnen een nadelig effect hebben op het vermogen van het Europese bedrijfsleven om te innoveren en te concurreren, en dit effect verdient extra aandacht; 12. de lidstaten delen het gemeenschappelijke doel om bij te dragen tot de strategische autonomie van Europa, overeenkomstig de conclusies van de Raad over de integrale strategie voor het buitenlands en veiligheidsbeleid van de Europese Unie, ook in de cyberspace; BEKLEMTOONT HET VOLGENDE: 13. iedere lidstaat blijft verantwoordelijk om de nodige maatregelen te treffen ter vrijwaring van zijn fundamentele belangen op het gebied van beveiliging, met volledige inachtneming van de Verdragen; 14. de lidstaten dienen prioritair werk te maken van de omzetting van de richtlijn NIB-richtlijn in hun nationale wetgevingskaders, en daarbij reëel recht te doen aan de samenwerking binnen de onlangs opgezette samenwerkingsgroep en het CSIRT-netwerk, die bevorderlijk kan zijn voor de cyberveerkracht en -beveiliging en voor de behandeling van grootschalige incidenten; 15. bij het verbeteren van de cyberbeveiliging in de hele EU dient prioritair te worden ingezet op het versterken van het netwerk en de informatiebeveiliging van de EU-entiteiten; 16. maatregelen voor cybercapaciteitsopbouw en vertrouwensopbouw zijn noodzakelijk om het risico op cyberbeveiligingsincidenten te voorkomen en te beperken, en om vertrouwen in de digitale eengemaakte markt te creëren; 13967/1/16 REV 1 dep/gra/mt 6

7 17. er moet worden ingezet op diplomatieke, juridische en technische instrumenten en op meer samenwerking op EU- en nationaal niveau om afdoende te kunnen reageren op cyberincidenten, met inbegrip van offensieve cyberoperaties, en om cybercriminaliteit te kunnen bestrijden; 18. de EU moet de benaderingen inzake "beveiliging door ontwerp" en "privacy door ontwerp" grondig aanpassen om effectieve, hoogwaardige, betaalbare en interoperabele cyberbeveiligingsproducten en -diensten te ontwikkelen, aan te bieden en toe te passen, en maatregelen treffen om daarvoor een meer geïntegreerde en mondiale markt tot stand te brengen; 19. inzetten op een dialoog met het bedrijfsleven over cyberbeveiliging kan helpen om lacunes op te sporen in de certificerings- en valideringsmechanismen voor cyberbeveiliging en in de etiketteringsregelingen, waarbij rekening moet worden gehouden met de internationaal aanvaarde normen en beginselen; 20. samenhang tussen de respectieve maatregelen en beleidslijnen, financiële instrumenten en programma's van de EU is noodzakelijk voor het effectief implementeren van de cyberbeveiligingssystemen in Europa; 21. het contractuele PPP inzake cyberbeveiliging moeten open blijven staan voor nieuwkomers, de voorwaarden om eraan deel te nemen moeten transparant blijven en de informatie daarover moet eenvoudig raadpleegbaar blijven /1/16 REV 1 dep/gra/mt 7

8 VERZOEKT DE COMMISSIE: 22. de doelstellingen van de mededeling over het versterken van de Europese cyberbeveiliging te verwezenlijken, met name door: a) een blauwdruk in te dienen voor samenwerking op EU-niveau in geval van grootschalige cyberincidenten. Deze blauwdruk, die een complementaire rol vervult, dient in de eerste helft van 2017 te worden bestudeerd door de bij de NIB-richtlijn betrokken instanties en andere belanghebbenden, met name Enisa; b) uiterlijk eind 2017 de evaluatie van Enisa af te ronden, en zo snel mogelijk met voorstellen te komen over alle elementen in verband met de hernieuwing van het mandaat van Enisa (waaronder de uitbreiding ervan met de taken waarin de NIBrichtlijn voorziet); c) in nauwe samenwerking met de lidstaten, de EDEO, Europol, Eurojust, Enisa, het EDA en andere relevante EU-entiteiten een opleidingsplatform inzake cyberbeveiliging op te zetten; d) zich te buigen over de vereiste juridische en organisatorische voorwaarden om de lidstaten in staat te stellen de openbare netwerkinfrastructuur op regelmatige basis aan een kwetsbaarheidscontrole te onderwerpen; e) na te denken over de mogelijkheid om een certificerings- en etiketteringsregeling voor cyberbeveiliging in te voeren, waarin in voorkomend geval de effectieve beveiligingsregelingen die reeds voorhanden zijn worden weerspiegeld, teneinde op dit gebied uiterlijk in 2017 maatregelen, inclusief wetgeving, voor te stellen; f) de cyberbeveiligingsgemeenschap bewust te maken van de bestaande financieringsmechanismen, en het gebruik van EU-instrumenten en -middelen ter ondersteuning van innoverende kleine en middelgrote ondernemingen te bevorderen; g) de opties te bestuderen om de toegang van kleine en middelgrote ondernemingen en starters tot financiering en investeringen te faciliteren (bijv. door middel van een investeringsplatform inzake cyberbeveiliging), vooral in de eerste fasen van hun ontwikkeling; h) in voorkomend geval, het huidige functioneren van de Europese ISAC's (activiteitencentra informatiemaatschappij) tegen het licht te houden en te werken aan voorstellen om deze structuren te versterken, samen met de lidstaten en, waar passend, met bestaande nationale ISAC's; i) de filosofie van "beveiliging door ontwerp" te bevorderen bij grote investeringen in infrastructuur die een digitale component heeft en waarvoor medefinanciering wordt verleend uit EU-fondsen; 13967/1/16 REV 1 dep/gra/mt 8

9 23. de lidstaten te raadplegen voordat nieuwe mechanismen en structuren (bijv. een "informatiehub" of een adviesgroep op hoog niveau) of nieuwe instrumenten (bijv. een samenwerkingsblauwdruk) worden ingesteld, in verband met cyberbeveiliging, hun complementaire rol, doelstellingen en taken; 24. jaarlijks schriftelijk verslag bij de Raad uit te brengen over de geboekte vooruitgang. VERZOEKT DE LIDSTATEN: 25. de samenwerkingsmechanismen inzake cyberbeveiliging volledig operationeel te maken, en de grensoverschrijdende samenwerking inzake de paraatheid voor het voorkomen, verwerken en/of beperken van de impact van grootschalige cyberincidenten te verbeteren in overeenstemming met de beginselen en de bepalingen van de NIB-richtlijn; 26. actief deel te nemen aan het contractuele PPP inzake cyberbeveiliging ter versterking van het concurrentievermogen en ter bevordering van onderzoek en innovatie in het Europese bedrijfsleven; 27. met de Commissie samen te werken aan de uitbouw van een open Europees kader, met inachtneming van de ontwikkeling van een mondiaal kader voor de certificering van cyberbeveiligingsproducten en -diensten, conform de internationale normen en met de inspraak van deskundigen, dat een breed gamma van ICT-systemen en -oplossingen op elk beveiligingsniveau bestrijkt en dat in alle lidstaten toepasselijk is, teneinde tot een echte, beveiligde digitale eengemaakte markt te komen die van Europa een voortrekker op het gebied van mondiale standaardisering maakt; 28. met de Commissie en andere relevante partijen samen te werken om de strategische doelstellingen van de onderhavige conclusies te verwezenlijken /1/16 REV 1 dep/gra/mt 9

10 VERZOEKT DE BETROKKEN ACTOREN: 29. beste praktijken op het gebied van cyberbeveiliging aan te nemen, bewustmaking te bevorderen, en de vaardigheden en opleiding inzake cyberbeveiliging te verbeteren; 30. zich te beraden op een verhoging van de investeringen in hoogwaardige cyberbeveiligingsproducten en -diensten, en tegelijkertijd de samenwerking met overheidsinstanties, waaronder nationale CERT's, in voorkomend geval te verdiepen; 31. optimaal gebruik te maken van het contractuele PPP inzake cyberbeveiliging en de Europese ISAC's teneinde de industriële samenwerking te bevorderen, vooral op het gebied van onderzoek en innovatie, standaardisering, certificering, etikettering, gezamenlijke investeringen en industriële consolidatie; 32. proactief bij te dragen tot het verwezenlijken van de in de onderhavige conclusies genoemde strategische doelstellingen om de veerkracht van het Europese bedrijfsleven te vergroten; 33. zich toe te leggen op het verbeteren van de integratie van cyberbeveiligingsoplossingen in alle sectoren en door alle soorten gebruikers /1/16 REV 1 dep/gra/mt 10