Om de solidariteit en capaciteiten van de EU te versterken bij het detecteren, voorbereiden op en reageren op cyberdreigingen en -incidenten, heeft de Raad van de Europese Unie vandaag op 2 december twee nieuwe wetten aangenomen die deel uitmaken van het cybersecuritywetgevingspakket: de zogenaamde ‘Cyber Solidarity Act’ en een gerichte wijziging van de Cybersecurity Act (CSA).
Belangrijkste elementen van de Cyber Solidarity Act
De nieuwe wet stelt EU-capaciteiten vast om Europa veerkrachtiger te maken tegen cyberdreigingen en versterkt samenwerkingsmechanismen. Een van de belangrijkste onderdelen is de oprichting van een ‘cyberbeveiligingswaarschuwingssysteem’, een pan-Europese infrastructuur bestaande uit nationale en grensoverschrijdende cyberhubs in de hele EU. Deze hubs delen informatie en detecteren en reageren op cyberdreigingen. Ze zullen gebruikmaken van geavanceerde technologieën zoals kunstmatige intelligentie (AI) en geavanceerde data-analyse om tijdige waarschuwingen over cyberdreigingen en -incidenten grensoverschrijdend te delen.
Daarnaast wordt een cybernoodmechanisme gecreëerd om de paraatheid te vergroten en de capaciteit voor incidentrespons binnen de EU te versterken. Dit omvat:
- Voorbereidingsacties: testen van entiteiten in kritieke sectoren (gezondheidszorg, transport, energie, enz.) op mogelijke kwetsbaarheden, gebaseerd op gemeenschappelijke risicoscenario’s en methodologieën.
- Een EU-cyberbeveiligingsreserve: incidentresponsdiensten uit de private sector die, op verzoek van een lidstaat of EU-instellingen, klaarstaan om in te grijpen bij grootschalige cyberincidenten.
- Technische wederzijdse bijstand.
Verder introduceert de wet een incidentbeoordelingsmechanisme om onder andere de effectiviteit van de acties binnen het cybernoodmechanisme te evalueren en bij te dragen aan een sterkere concurrentiepositie van de industrie en dienstensectoren.
Gerichte wijziging van de Cybersecurity Act van 2019
Deze wijziging beoogt de cyberweerbaarheid van de EU te vergroten door toekomstige Europese certificeringsschema’s voor ‘managed security services’ mogelijk te maken. Dit erkent het toenemende belang van dergelijke diensten bij het voorkomen, detecteren, reageren op en herstellen van cyberincidenten, zoals incidentbeheer, penetratietesten, beveiligingsaudits en technisch advies.
In afwachting van de evaluatie van de CSA maakt deze wijziging het mogelijk om Europese certificeringsschema’s voor deze diensten op te stellen, waardoor de kwaliteit en vergelijkbaarheid worden verbeterd, het vertrouwen in aanbieders toeneemt en fragmentatie van de interne markt wordt voorkomen.
Achtergrond
Op 18 april 2023 presenteerde de Europese Commissie het voorstel voor de ‘Cyber Solidarity Act’ en een gerichte wijziging van de CSA. De CSA uit 2019 legde het eerste EU-brede cybersecuritycertificeringskader vast. Op 6 maart 2024 bereikten de medewetgevers een voorlopig akkoord over beide voorstellen, waarbij wijzigingen werden aangebracht in de concepten van het ‘European Cyber Shield’ en de ‘SOCs’ in vergelijking met het oorspronkelijke voorstel van de Commissie.
Volgende stappen
Na ondertekening door de voorzitters van de Raad en het Europees Parlement worden beide wetten gepubliceerd in het Publicatieblad van de EU en treden ze 20 dagen na publicatie in werking.
