Nieuwe EU-wetten inzake cyberbeveiliging

Het Europees Parlement heeft nieuwe wetten aangenomen die de cyberveiligheid in de EU in belangrijke sectoren versterken. Ontdek hoe zij u zullen beschermen.

Met de snel toenemende digitalisering van het dagelijks leven, nog versneld door de Covid-19 pandemie, is bescherming tegen cyberdreigingen essentieel geworden voor het goed functioneren van de samenleving. Cyberaanvallen kunnen zeer kostbaar zijn. Volgens de Europese Commissie zullen de jaarlijkse kosten van cybercriminaliteit voor de wereldeconomie tegen eind 2020 naar schatting 5,5 biljoen euro bedragen.

In november 2022 heeft het Europees Parlement de EU-wetgeving bijgewerkt om meer te investeren in sterke cyberbeveiliging voor essentiële diensten en kritieke infrastructuur en de EU-brede regels aan te scherpen.

De digitale transformatie is een van de prioriteiten van de EU. Het Europees Parlement helpt het beleid vorm te geven dat de capaciteiten van Europa op het gebied van nieuwe digitale technologieën versterkt, bedrijven en consumenten nieuwe kansen biedt, de groene overgang van de EU ondersteunt en haar helpt om tegen 2050 klimaatneutraal te zijn, de digitale vaardigheden van mensen en de opleiding van werknemers ondersteunt, en de overheidsdiensten helpt digitaliseren, met inachtneming van de grondrechten en -waarden.

In mei 2021 heeft het Parlement een verslag aangenomen over de vormgeving van de digitale toekomst van Europa, waarin de Europese Commissie wordt opgeroepen de uitdagingen van de digitale transitie verder aan te pakken en met name de kansen van de digitale interne markt te benutten, het gebruik van kunstmatige intelligentie te verbeteren en digitale innovatie en vaardigheden te ondersteunen.

Aangescherpte verplichtingen inzake cyberbeveiliging - de NIS2-richtlijn. De richtlijn inzake netwerk- en informatiebeveiliging (NIS2) introduceert nieuwe regels om een hoog gemeenschappelijk niveau van cyberbeveiliging in de EU te bevorderen - zowel voor bedrijven als voor landen. Ook worden de cyberbeveiligingseisen aangescherpt voor middelgrote en grote entiteiten die in belangrijke sectoren actief zijn en diensten verlenen.

De richtlijn is een actualisering van de richtlijn inzake netwerk- en informatiebeveiliging van 2016 en heeft tot doel de duidelijkheid en de tenuitvoerlegging te verbeteren en in te spelen op de snelle ontwikkelingen op dit gebied. De richtlijn bestrijkt meer sectoren en activiteiten dan voorheen, stroomlijnt de rapportageverplichtingen en gaat in op de beveiliging van de toeleveringsketen. Na goedkeuring door het Parlement op 10 november 2022 moet de richtlijn ook door de EU-landen in de Raad worden goedgekeurd, waarna de lidstaten 21 maanden de tijd hebben om de richtlijn uit te voeren.

Meer sectoren opgenomen. De nieuwe wet breidt het toepassingsgebied uit van sectoren en activiteiten die cruciaal zijn voor de economie en de samenleving, waaronder energie, vervoer, banken, gezondheid, digitale infrastructuur, openbaar bestuur en ruimtevaart. Nationale en openbare veiligheid, rechtshandhaving en justitie vallen er echter niet onder. De wet is van toepassing op het openbaar bestuur op centraal en regionaal niveau, maar niet op parlementen en centrale banken. Meer entiteiten en sectoren, waaronder aanbieders van openbare elektronische communicatiediensten, exploitanten van sociale media, fabrikanten van kritieke producten (waaronder medische apparatuur) en post- en koeriersdiensten, moeten maatregelen nemen voor risicobeheer op het gebied van cyberbeveiliging.

Strengere verplichtingen voor landen. De wet legt EU-landen strengere verplichtingen op het gebied van cyberbeveiliging op als het gaat om toezicht. Zij verbetert de handhaving van die verplichtingen, onder meer door de sancties in alle lidstaten te harmoniseren. Ook wordt gestreefd naar betere samenwerking tussen EU-landen, ook bij grootschalige incidenten, onder de paraplu van het EU-agentschap voor cyberbeveiliging (Enisa).

Bescherming van het financiële systeem van de EU – Dora. Omdat de financiële sector steeds afhankelijker wordt van software en digitale processen, moet hij ook beter worden beschermd. De wet digitale operationele veerkracht (digital operational resilience act Dora) zal ervoor zorgen dat de financiële sector van de EU beter bestand is tegen ernstige operationele verstoringen en cyberaanvallen. Het Parlement heeft op 10 november 2022 zijn definitieve goedkeuring gehecht aan de wetgeving, waarover eerder overeenstemming was bereikt met de Raad.

De wet introduceert en harmoniseert de vereisten inzake digitale operationele veerkracht voor de financiële dienstensector van de EU en verplicht bedrijven ervoor te zorgen dat zij bestand zijn tegen, kunnen reageren op en kunnen herstellen van alle soorten verstoringen en bedreigingen in verband met informatie- en communicatietechnologie (ICT). De nieuwe regels gelden voor alle ondernemingen die financiële diensten verlenen - zoals banken, betalingsaanbieders, aanbieders van elektronisch geld, beleggingsondernemingen, aanbieders van crypto-activadiensten, alsook voor kritieke externe ICT-dienstverleners. De nationale autoriteiten zullen toezien op de uitvoering en deze afdwingen.