Verordening (EU) 2021/887 van het Europees Parlement en de Raad van 20 mei 2021 tot oprichting van het Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging en het netwerk van nationale coördinatiecentra
Verordening (EU) 2021/887 van het Europees Parlement en de Raad van 20 mei 2021 tot oprichting van het Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging en het netwerk van nationale coördinatiecentra
HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,
Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 173, lid 3, en artikel 188, eerste alinea,
Gezien het voorstel van de Europese Commissie,
Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,
Gezien het advies van het Europees Economisch en Sociaal Comité(1),
Handelend volgens de gewone wetgevingsprocedure(2),
Overwegende hetgeen volgt:
De meerderheid van de bevolking van de Unie is verbonden met het internet. In het dagelijkse leven van mensen en in onze economieën steunen we steeds meer op digitale technologieën. Burgers en bedrijven worden steeds meer blootgesteld aan ernstige cyberbeveiligingsincidenten en vele bedrijven in de Unie krijgen ieder jaar te maken met ten minste één cyberbeveiligingsincident. Dit onderstreept dat weerbaarheid, grotere technologische en industriële vermogens, hoge cyberbeveiligingsnormen en holistische cyberbeveiligingsoplossingen nodig zijn waarbij mensen, producten, processen en technologie in de Unie betrokken zijn, alsook dat leiderschap van de Unie op het gebied van cyberbeveiliging en digitale autonomie nodig is. Cyberbeveiliging kan ook worden verbeterd door het bewustzijn over cyberdreigingen te verhogen en door in de hele Unie competenties, capaciteiten en vermogens te ontwikkelen, waarbij terdege rekening wordt gehouden met de maatschappelijke en ethische implicaties en bezwaren.
De Unie heeft haar activiteiten met betrekking tot de toenemende uitdagingen op het gebied van cyberbeveiliging stelselmatig uitgebreid in aansluiting op de strategie inzake cyberbeveiliging, die de Commissie en de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid (hoge vertegenwoordiger) hebben gepresenteerd in hun gezamenlijke mededeling aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s van 7 februari 2013, getiteld “Strategie inzake cyberbeveiliging van de Europese Unie: een open, veilige en beveiligde cyberspace” (de “cyberbeveiligingsstrategie van 2013”). De cyberbeveiligingsstrategie van 2013 heeft tot doel een betrouwbaar, veilig en open cyber-ecosysteem tot stand te brengen. In 2016 heeft de Unie de eerste maatregelen op het gebied van cyberbeveiliging vastgelegd in Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad(3) betreffende de beveiliging van netwerk- en informatiesystemen.
De Commissie en de hoge vertegenwoordiger hebben in september 2017 aan het Europees Parlement en de Raad een gezamenlijke mededeling voorgesteld, getiteld “Weerbaarheid, afschrikking en defensie: bouwen aan sterke cyberbeveiliging voor de EU” om de weerbaarheid, het afschrikkingseffect en het reactievermogen van de Unie ten opzichte van cyberaanvallen verder te versterken.
De staats- en regeringsleiders hebben op de digitale top van Tallinn in september 2017 opgeroepen om van Europa uiterlijk in 2025 een mondiale leider in cyberbeveiliging te maken, zodat de burgers, consumenten en bedrijven vol vertrouwen online kunnen gaan en bescherming genieten, en zodat een vrij, veiliger en aan het recht onderworpen internet mogelijk wordt, en hebben verklaard dat zij voornemens zijn meer gebruik te maken van open-sourceoplossingen en open normen bij het (om)bouwen van informatie- en communicatietechnologiesystemen en -oplossingen (ICT), met name om afhankelijkheid van één leverancier (vendor lock-in) te voorkomen, met inbegrip van die welke zijn ontwikkeld of bevorderd door programma’s van de Unie voor interoperabiliteit en normalisatie, zoals ISA2.
Het Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging (het “kenniscentrum”) dat bij deze verordening wordt opgericht, moet de beveiliging van netwerk- en informatiesystemen, met inbegrip van het internet en andere infrastructuur die essentieel is voor de werking van de maatschappij, zoals vervoer, gezondheidszorg, energie, digitale infrastructuur, water, de financiële markten en de banksystemen, helpen vergroten.
Ernstige verstoringen van netwerk- en informatiesystemen kunnen gevolgen hebben voor individuele lidstaten en voor de Unie als geheel. Een hoge mate van beveiliging van netwerk- en informatiesystemen in de hele Unie is daarom essentieel zowel voor de maatschappij als voor de economie. Voor cyberbeveiliging is de Unie momenteel afhankelijk van niet-Europese aanbieders. Het is echter in het strategische belang van de Unie om essentiële onderzoeks- en technologische capaciteiten op het gebied van cyberbeveiliging te behouden en te ontwikkelen voor de beveiliging van netwerk- en informatiesystemen van burgers en bedrijven, met name de bescherming van vitale netwerk- en informatiesystemen en de verlening van essentiële diensten op het gebied van cyberbeveiliging.
In de Unie is er een overvloed aan deskundigheid en ervaring als het gaat om onderzoek, technologie en industriële ontwikkeling op het gebied van cyberbeveiliging, maar de inspanningen van de industrie- en onderzoeksgemeenschappen zijn versnipperd, onvoldoende op elkaar afgestemd en niet gericht op een gezamenlijke missie, hetgeen het concurrentievermogen schaadt en de effectieve bescherming van netwerken en systemen op dat gebied hindert. Dergelijke inspanningen en deskundigheid moeten op een efficiënte manier gebundeld, in een netwerk ondergebracht en gebruikt worden om bestaande capaciteiten op het gebied van onderzoek, technologie en industriële capaciteiten en vaardigheden op Unieniveau en nationaal niveau te vergroten en aan te vullen. Hoewel de ICT-sector voor belangrijke uitdagingen staat, zoals voorzien in zijn behoefte aan bekwame arbeidskrachten, kan hij er baat bij hebben de diversiteit van de samenleving als geheel af te spiegelen, te zorgen voor evenwichtige gendervertegenwoordiging, etnische diversiteit en non-discriminatie van personen met een beperking, en de toegang te faciliteren tot kennis en opleiding voor toekomstige deskundigen op het gebied van cyberbeveiliging, met inbegrip van de opleiding van deze deskundigen in niet-formele contexten, bijvoorbeeld in projecten op het gebied van gratis en opensource-software, civic technology-projecten, start-ups en micro-ondernemingen.
Kleine en middelgrote ondernemingen (kmo’s (mkb)) zijn cruciale stakeholders in de cyberbeveiligingssector van de Unie en kunnen dankzij hun beweeglijkheid de allernieuwste oplossingen bieden. Kmo’s die niet in cyberbeveiliging gespecialiseerd zijn, zijn echter meestal kwetsbaarder voor cyberbeveiligingsincidenten, omdat voor het instellen van effectieve cyberbeveiligingsoplossingen grote investeringen en kennis nodig zijn. Daarom moeten het kenniscentrum en het netwerk van nationale coördinatiecentra (het “netwerk”) kmo’s steun verlenen door de toegang van kmo’s tot kennis te vergemakkelijken en door toegang op maat tot onderzoeks- en ontwikkelingsresultaten te bieden, zodat kmo’s zichzelf voldoende kunnen beveiligen en zodat kmo’s die actief zijn op het gebied van cyberbeveiliging kunnen concurreren en bijdragen tot de leidende positie van de Unie op het gebied van cyberbeveiliging.
Er bestaat expertise buiten de context van industrie en onderzoek. Niet-commerciële en precommerciële projecten, bekend onder de noemer van “civic technology”, maken gebruik van open normen, open data en gratis en opensource-software, ten dienste van de maatschappij en het algemeen belang.
Het gebied van cyberbeveiliging is divers. De betrokken stakeholders zijn afkomstig van openbare entiteiten, de lidstaten en de Unie, alsook van het bedrijfsleven, het maatschappelijk middenveld, zoals vakbonden, consumentenorganisaties, de gemeenschap voor vrije en opensource-software en de academische wereld en de onderzoeksgemeenschap, en andere entiteiten.
In de in november 2017 aangenomen conclusies van de Raad werd de Commissie verzocht een snelle effectbeoordeling te maken van de mogelijke opties om een netwerk van kenniscentra voor cyberbeveiliging en een Europees onderzoeks- en kenniscentrum voor cyberbeveiliging op te richten en medio 2018 het relevante rechtsinstrument voor te stellen voor de creatie van een dergelijk netwerk en een dergelijk centrum.
Het ontbreekt de Unie nog steeds aan voldoende technologische en industriële capaciteiten en vermogens om haar economie en vitale infrastructuur zelfstandig te beveiligen en een wereldleider op het gebied van cyberbeveiliging te worden. Er is een gebrek aan strategische, duurzame coördinatie en samenwerking tussen bedrijfstakken, onderzoeksgemeenschappen op het gebied van cyberbeveiliging en overheden. De Unie ondervindt de nadelen van het feit dat er ontoereikende investeringen en beperkte toegang tot kennis, vaardigheden en faciliteiten op het gebied van cyberbeveiliging zijn, en slechts weinig resultaten van onderzoek en innovatie in de Unie op het gebied van cyberbeveiliging worden vertaald in commercieel interessante oplossingen of op grote schaal in de economie toegepast.
Het oprichten van het kenniscentrum en van het netwerk, met een mandaat om maatregelen te nemen ter ondersteuning van industriële technologieën en op het gebied van onderzoek en innovatie, is de beste manier om aan de doelstellingen van deze verordening te voldoen en tegelijkertijd optimale economische, maatschappelijke en ecologische effecten te bieden en de belangen van de Unie te beschermen.
Het kenniscentrum moet het belangrijkste instrument van de Unie zijn om investeringen in onderzoek, technologie en industriële ontwikkeling op het gebied van cyberbeveiliging te bundelen en om samen met het netwerk relevante projecten en initiatieven uit te voeren. Het kenniscentrum moet financiële steun voor cyberbeveiliging beheren uit Horizon Europa, het kaderprogramma voor onderzoek en innovatie dat is vastgesteld bij Verordening (EU) 2021/695 van het Europees Parlement en de Raad(4) (“Horizon Europa”), en uit het programma Digitaal Europa, dat is vastgesteld bij Verordening (EU) 2021/694 van het Europees Parlement en de Raad(5) (het “programma Digitaal Europa”), en in voorkomend geval ook open staan voor andere programma’s. Deze aanpak moet bijdragen tot het creëren van synergieën en tot coördinatie van financiële steun voor initiatieven van de Unie op het gebied van onderzoek en ontwikkeling, innovatie, technologie en industriële ontwikkeling met betrekking tot cyberbeveiliging en moet vermijden dat er onnodig dubbel werk wordt verricht.
Het is van belang ervoor te zorgen dat de grondrechten en regels inzake ethisch gedrag worden geëerbiedigd bij onderzoeksprojecten op het gebied van cyberbeveiliging die door het kenniscentrum worden ondersteund.
Het kenniscentrum mag geen operationele taken op het gebied van cyberbeveiliging uitvoeren, zoals taken die verband houden met Computer Security Incident Response Teams (CSIRT’s), met inbegrip van het monitoren en aanpakken van cyberincidenten. Het kenniscentrum zou echter de ontwikkeling van ICT-infrastructuur ten dienste van het bedrijfsleven, met name kmo’s, onderzoeksgemeenschappen, het maatschappelijk middenveld en de overheidssector, kunnen faciliteren, in overeenstemming met de in deze verordening vastgelegde opdracht en doelstellingen. Wanneer CSIRT’s en andere stakeholders trachten de rapportage en openbaarmaking van kwetsbaarheden te bevorderen, moeten het kenniscentrum en de leden van de Kennisgemeenschap voor cyberbeveiliging (de “kennisgemeenschap”) deze stakeholders op hun verzoek kunnen ondersteunen binnen de grenzen van hun respectieve taken, en zonder overlapping met het Agentschap van de Europese Unie voor cyberbeveiliging (“Enisa”) zoals opgericht bij Verordening (EU) 2019/881 van het Europees Parlement en de Raad(6).
Het is de bedoeling dat het kenniscentrum, de kennisgemeenschap en het netwerk voor het beheer van de kennisgemeenschap en de vertegenwoordiging van de kennisgemeenschap in het kenniscentrum profiteren van de ervaring en de brede vertegenwoordiging van relevante stakeholders, opgebouwd dankzij het contractuele publiek-private partnerschap voor cyberbeveiliging tussen de Commissie en de Europese organisatie voor cyberbeveiliging (ECSO) voor de looptijd van Horizon 2020 — het kaderprogramma voor onderzoek en innovatie (2014-2020), zoals vastgesteld bij Verordening (EU) nr. 1291/2013 van het Europees Parlement en de Raad(7), van de lessen die zijn getrokken uit vier proefprojecten die begin 2019 in het kader van Horizon 2020 zijn gestart, namelijk Concordia, ECHO, Sparta en CyberSec4Europe, en van het proefproject en de voorbereidende actie inzake Free and Open Source Software Audits (EU Fossa).
Gezien de omvang van de uitdaging op het gebied van cyberbeveiliging en gezien de investeringen in cyberbeveiligingscapaciteiten en -vermogens in andere delen van de wereld, moeten de Unie en de lidstaten worden aangemoedigd hun financiële steun voor onderzoek, ontwikkeling en invoering op dit gebied te vergroten. Om schaalvoordelen te realiseren en een vergelijkbaar beschermingsniveau in de gehele Unie te bereiken, moeten de lidstaten hun inspanningen in een uniaal kader plaatsen door actief bij te dragen aan het werk van het kenniscentrum en het netwerk.
Ter bevordering van het concurrentievermogen van de Unie en hoge internationale cyberbeveiligingsnormen moeten het kenniscentrum en de kennisgemeenschap streven naar uitwisseling over de ontwikkelingen op het gebied van cyberbeveiliging, ook op het gebied van producten en processen, van normen en van technische normen, met de internationale gemeenschap, indien dit van belang is voor de opdracht, de doelstellingen en de taken van het kenniscentrum. Toepasselijke technische normen kunnen voor de doelstellingen van deze verordening onder meer zijn de creatie van referentie-implementaties, inclusief die welke worden gepubliceerd in het kader van open standaardlicenties.
De zetel van het kenniscentrum is in Boekarest.
Het kenniscentrum moet bij het opstellen van zijn jaarlijkse werkprogramma (jaarlijks werkprogramma) de Commissie in kennis stellen van zijn medefinancieringsbehoeften, zulks op basis van de geplande medefinancieringsbijdragen van de lidstaten aan gezamenlijke acties, zodat de Commissie bij het opstellen van het ontwerp van de algemene Uniebegroting voor het daaropvolgende jaar de overeenkomstige Uniebijdrage in aanmerking kan nemen.
De Commissie moet bij het opstellen van het deel van het werkprogramma van Horizon Europa dat verband houdt met cyberbeveiliging, ook bij de procedure voor raadpleging van stakeholders en in het bijzonder voorafgaand aan de vaststelling van dat werkprogramma, rekening houden met de input van het kenniscentrum en moet die input meedelen aan het programmacomité van Horizon Europa.
Het kenniscentrum moet worden opgericht als een Unieorgaan met rechtspersoonlijkheid waarop Gedelegeerde Verordening (EU) 2019/715 van de Commissie(8) van toepassing is, zodat het zijn rol op het gebied van cyberbeveiliging kan spelen, de betrokkenheid van het netwerk wordt gefaciliteerd, en teneinde ervoor te zorgen dat de lidstaten een sterke rol op het gebied van governance wordt toebedeeld. Het kenniscentrum moet een dubbele rol vervullen, namelijk specifieke taken uitvoeren met betrekking tot industrie, technologie en onderzoek op het gebied van cyberbeveiliging, zoals vastgelegd in deze verordening, en tegelijkertijd zorgen voor het beheer van cyberbeveiligingsgerelateerde financiering uit verschillende programma’s, met name uit Horizon Europa en het programma Digitaal Europa, en mogelijk ook uit andere Unieprogramma’s. Dat beheer zou moeten voldoen aan de voor die programma’s geldende regels. Aangezien de werking van het kenniscentrum voornamelijk zal worden gefinancierd uit Horizon Europa en het programma Digitaal Europa, moet het kenniscentrum, wat betreft de uitvoering van de begroting, ook tijdens de programmeringsfase niettemin worden beschouwd als een partnerschap.
Als gevolg van de bijdrage van de Unie dient de toegang tot de resultaten van de activiteiten en projectresultaten van het kenniscentrum zo open mogelijk en zo gesloten als nodig te zijn, en dient hergebruik van deze resultaten in voorkomend geval mogelijk te zijn.
Het kenniscentrum moet de werkzaamheden van het netwerk bevorderen en coördineren. Het netwerk moet bestaan uit één nationaal coördinatiecentrum per lidstaat. Nationale coördinatiecentra waarvan de Commissie heeft erkend dat zij over de nodige capaciteit beschikken om middelen te beheren teneinde de in deze verordening vastgelegde opdracht en doelstellingen te verwezenlijken, moeten rechtstreekse financiële steun van de Unie ontvangen, met inbegrip van subsidies die zonder oproep tot het indienen van voorstellen worden toegekend, om hun activiteiten in verband met deze verordening uit te voeren.
De nationale coördinatiecentra moeten door de lidstaten geselecteerde publiekrechtelijke entiteiten of entiteiten met een overwegend publiekrechtelijk belang zijn, die openbarediensttaken verrichten krachtens het nationale recht, onder meer door middel van bevoegdheidsdelegatie. De taken van een nationaal coördinatiecentrum in een lidstaat moeten kunnen worden uitgevoerd door een entiteit die ook andere taken krachtens het Unierecht verricht, zoals die van een nationaal bevoegde autoriteit, een centraal contactpunt in de zin van Richtlijn (EU) 2016/1148 of een andere verordening van de Unie, of een digitale-innovatiehub als bedoeld in Verordening (EU) 2021/694. Andere publiekrechtelijke entiteiten of entiteiten die in een lidstaat openbarediensttaken verrichten, moeten het nationale coördinatiecentrum in die lidstaat bij de uitoefening van zijn taken kunnen bijstaan.
De nationale coördinatiecentra moeten de noodzakelijke administratieve capaciteit bezitten, beschikken over, of toegang hebben tot, industriële, technologische en onderzoeksdeskundigheid op het gebied van cyberbeveiliging en effectief in dialoog kunnen gaan en samenwerken met de industrie, de overheidssector en de onderzoeksgemeenschap.
In het onderwijs in de lidstaten moet het belang van voldoende bekendheid met en het hebben van vaardigheden op het gebied van cyberbeveiliging terug te zien zijn. Daartoe en rekening houdend met de rol van Enisa en onverminderd de bevoegdheden van de lidstaten op het gebied van onderwijs, moeten de nationale coördinatiecentra, samen met de bevoegde overheidsinstanties en belanghebbenden, bijdragen aan de bevordering en verspreiding van onderwijsprogramma’s op het gebied van cyberbeveiliging.
De nationale coördinatiecentra moeten subsidies van het kenniscentrum kunnen ontvangen om financiële steun aan derden te verlenen in de vorm van subsidies. De directe kosten die door de nationale coördinatiecentra worden gemaakt voor de verlening en het beheer van financiële steun aan derden moeten in aanmerking komen voor financiering in het kader van de desbetreffende programma’s.
Het kenniscentrum, het netwerk en de kennisgemeenschap moeten bijdragen tot de bevordering en verspreiding van de nieuwste cyberbeveiligingsproducten, -diensten en -procedures. Tegelijkertijd moeten het kenniscentrum en het netwerk de cyberbeveiligingsvermogens aan de vraagzijde van de industrie bevorderen, met name door ontwikkelaars en exploitanten te ondersteunen in sectoren zoals vervoer, energie, gezondheidszorg, financiën, overheid, telecommunicatie, maakindustrie en ruimtevaart, teneinde deze ontwikkelaars en exploitanten te helpen hun problemen op het gebied van cyberbeveiliging op te lossen, zoals door het toepassen van security by design. Het kenniscentrum en het netwerk moeten ook de standaardisering en de uitrol van cyberbeveiligingsproducten, -diensten en -procedures ondersteunen en, waar mogelijk, de implementatie bevorderen van het Europees kader voor cyberbeveiligingscertificering dat is vastgesteld bij Verordening (EU) 2019/881.
Omdat cyberdreigingen en cyberbeveiliging snel veranderen, moet de Unie zich snel en voortdurend kunnen aanpassen aan nieuwe ontwikkelingen op dit gebied. Het kenniscentrum, het netwerk en de kennisgemeenschap moeten daarom flexibel genoeg zijn om het vereiste reactievermogen inzake dergelijke ontwikkelingen te waarborgen. Zij moeten projecten vergemakkelijken die entiteiten in staat stellen continu vermogens op te bouwen om hun eigen weerbaarheid en die van de Unie te vergroten.
Het kenniscentrum moet de kennisgemeenschap ondersteunen. Het kenniscentrum moet de relevante met cyberbeveiliging verband houdende delen van Horizon Europa en het programma Digitaal Europa uitvoeren overeenkomstig het meerjarige werkprogramma van het kenniscentrum (“meerjarig werkprogramma”), het jaarlijkse werkprogramma en het strategisch planningsproces van Horizon Europa door subsidies en andere vormen van financiering toe te kennen, voornamelijk na uitschrijving van een oproep tot het indienen van voorstellen. Het kenniscentrum moet ook de overdracht van deskundigheid binnen zowel het netwerk als de kennisgemeenschap faciliteren en gezamenlijke investeringen door de Unie, de lidstaten of de industrie ondersteunen. Daarbij moet het bijzondere aandacht besteden aan het ondersteunen van kmo’s op het gebied van cyberbeveiliging en aan acties die de vaardigheidskloof helpen dichten.
Technische bijstand voor de voorbereiding van projecten moet op volledig objectieve en transparante wijze worden verleend zodat alle potentiële begunstigden dezelfde informatie ontvangen en dient belangenconflicten te voorkomen.
Het kenniscentrum moet een stimulans geven en ondersteuning bieden voor langdurige strategische samenwerking en coördinatie van de activiteiten van de kennisgemeenschap, waarbij een grote, open, interdisciplinaire en diverse groep Europese stakeholders die zich met cyberbeveiligingstechnologie bezighouden, wordt betrokken. De kennisgemeenschap moet onderzoeksorganen, industrieën en de publieke sector omvatten. De kennisgemeenschap moet input leveren voor de activiteiten van het kenniscentrum, voor het meerjarige werkprogramma en voor het jaarlijkse werkprogramma, met name via de strategische adviesgroep. De kennisgemeenschap moet ook profiteren van de gemeenschapsvormende activiteiten van het kenniscentrum en het netwerk, maar mag verder geen voorkeursbehandeling krijgen bij oproepen tot het indienen van voorstellen en aanbestedingen. De kennisgemeenschap moet bestaan uit collectieve organen en organisaties. Tegelijkertijd moeten het kenniscentrum en zijn organen, om te kunnen profiteren van alle deskundigheid op het gebied van cyberbeveiliging in de Unie, ook een beroep kunnen doen op de deskundigheid van natuurlijke personen als ad-hocdeskundigen.
Het kenniscentrum moet samenwerken en zorgen voor synergie met Enisa en moet relevante input krijgen van Enisa bij het bepalen van de financieringsprioriteiten.
Om tegemoet te komen aan de behoeften zowel aan de vraag- als aan de aanbodzijde van cyberbeveiliging, moet het kenniscentrum zich bij de uitvoering van zijn taak om de industrieën kennis en technische bijstand op het gebied van cyberbeveiliging te verlenen, zowel richten op ICT-producten, -processen en -diensten als op alle andere technologische producten en processen waarin cyberbeveiligingstechnologie wordt ingebouwd. Op zijn verzoek kan de overheidssector ook gebruikmaken van steun van het kenniscentrum.
Om een duurzame cyberbeveiligingsomgeving tot stand te brengen, is het belangrijk dat security by design als beginsel wordt gebruikt bij het ontwikkelen, onderhouden, exploiteren en actualiseren van infrastructuur, producten en diensten, met name door het ondersteunen van geavanceerde veilige ontwikkelingsmethoden, adequate beveiligingstests en beveiligingsaudits, door het onverwijld beschikbaar stellen van updates om bekende kwetsbaarheden of bedreigingen te verhelpen, en waar mogelijk door derden in staat te stellen updates te creëren en te verstrekken ook na het eind van de levensduur van producten. Security by design moet tijdens de gehele levensduur van ICT-producten, -diensten of -processen worden gewaarborgd door middel van ontwikkelingsprocessen die constant evolueren om het risico op schade door kwaadwillig gebruik te verminderen.
Terwijl het kenniscentrum en het netwerk moeten streven naar meer synergie en coördinatie tussen de civiele en de militaire cyberbeveiligingsindustrie, moeten de conform deze verordening door Horizon Europa gefinancierde projecten worden uitgevoerd overeenkomstig Verordening (EU) 2021/695, waarin is bepaald dat onderzoeks- en innovatieactiviteiten in het kader van Horizon Europa exclusief op civiele toepassingen moeten zijn gericht.
Deze verordening heeft voornamelijk betrekking op civiele aangelegenheden, maar bij de activiteiten van de lidstaten op grond van deze verordening kan rekening worden gehouden met de specifieke kenmerken van de lidstaten wanneer het cyberbeveiligingsbeleid wordt gevoerd door autoriteiten die zowel civiele als militaire taken uitvoeren, moet naar complementariteit worden gestreefd en moet overlapping met defensiegerelateerde financieringsinstrumenten worden vermeden.
Deze verordening moet ervoor zorgen dat de aansprakelijkheid en de transparantie van het kenniscentrum en de ondernemingen die financiering ontvangen wordt gewaarborgd, overeenkomstig de relevante programmaverordeningen.
De uitvoering van uitrolprojecten, met name uitrolprojecten met betrekking tot infrastructuur en capaciteiten die op Unieniveau of via een gezamenlijke aanbestedingsprocedure worden uitgevoerd, kan in verschillende uitvoeringsfasen worden verdeeld, zoals afzonderlijke aanbestedingen voor het ontwerp van de architectuur van hardware en software, de productie ervan en de werking en het onderhoud ervan, waarbij bedrijven elk slechts in één fase kunnen deelnemen, in voorkomend geval met de eis dat de begunstigden in een of meer van die fasen aan bepaalde voorwaarden wat betreft Europese eigendom of zeggenschap voldoen.
Enisa moet, gezien zijn deskundigheid op het gebied van cyberbeveiliging en zijn mandaat als referentiepunt voor advies en deskundigheid ter zake voor de instellingen, organen en instanties van de Unie en voor betrokken stakeholders in de Unie, en gezien de inputs die het dankzij zijn taken verzamelt, een actieve rol spelen in de activiteiten van het kenniscentrum, waaronder de ontwikkeling van de agenda, en kan daarbij dubbel werk voorkomen, in het bijzonder dankzij zijn rol als permanent waarnemer in de raad van bestuur van het kenniscentrum. Wat de opstelling van de agenda, het jaarlijkse werkprogramma en het meerjarige werkprogramma betreft, moeten de uitvoerend directeur van het kenniscentrum en de raad van bestuur rekening houden met alle strategische adviezen en bijdragen van Enisa in dit verband, overeenkomstig het door de raad van bestuur vastgestelde reglement van orde.
Indien zij een financiële bijdrage uit de algemene begroting van de Unie ontvangen, moeten de nationale coördinatiecentra en de entiteiten die deel uitmaken van de kennisgemeenschap, bekendmaken dat hun respectieve activiteiten in het kader van deze verordening worden ondernomen.
De kosten die voortvloeien uit de oprichting en de administratieve en coördinatieactiviteiten van het kenniscentrum moeten door de Unie en door de lidstaten worden gefinancierd, in verhouding tot de vrijwillige bijdragen van de lidstaten aan gemeenschappelijke optredens. Om dubbele financiering te voorkomen, mogen deze activiteiten niet tegelijkertijd in aanmerking komen voor een bijdrage uit andere programma’s van de Unie.
De raad van bestuur, die moet zijn samengesteld uit vertegenwoordigers van de lidstaten en van de Commissie, moet de algemene richting van de werkzaamheden van het kenniscentrum vaststellen en moet garanderen dat het kenniscentrum zijn taken overeenkomstig deze verordening uitvoert. De Raad van bestuur moet de agenda aannemen.
De raad van bestuur moet de noodzakelijke bevoegdheden toegewezen krijgen voor de vaststelling van de begroting van het kenniscentrum. Hij moet de uitvoering van de begroting controleren, passende financiële regels vaststellen, en transparante werkprocedures voor besluitvorming door het kenniscentrum opstellen, met inbegrip van de vaststelling van het jaarlijkse werkprogramma en het meerjarige werkprogramma overeenkomstig de agenda. De raad van bestuur moet tevens zijn reglement van orde vaststellen, de uitvoerend directeur benoemen en besluiten nemen over de verlenging of beëindiging van de ambtstermijn van de uitvoerend directeur.
De raad van bestuur moet toezicht houden op de strategische en de uitvoerende activiteiten van het kenniscentrum en de afstemming daartussen waarborgen. In zijn jaarverslag moet het kenniscentrum speciale aandacht besteden aan de strategische doelstellingen die het heeft gehaald en indien nodig voorstellen doen voor verdere verbeteringen van de verwezenlijking van die strategische doelstellingen.
Ter wille van de goede en doeltreffende werking van het kenniscentrum moeten de Commissie en de lidstaten erop toezien dat de personen die worden benoemd tot lid van de raad van bestuur over de nodige professionele deskundigheid en ervaring op functionele gebieden beschikken. De Commissie en de lidstaten dienen zich tevens in te spannen om het verloop onder hun respectieve vertegenwoordigers in de raad van bestuur te beperken teneinde de continuïteit van zijn werkzaamheden zeker te stellen.
Gezien de specifieke status en verantwoordelijkheid van het kenniscentrum voor de uitvoering van de fondsen van de Unie, met name die van Horizon Europa en het programma Digitaal Europa, moet de Commissie in de raad van bestuur 26 % van het totale aantal stemmen hebben wat betreft besluiten die betrekking hebben op Uniemiddelen, teneinde de toegevoegde Uniewaarde van die besluiten te maximaliseren en tegelijkertijd de rechtmatigheid van die besluiten en de afstemming ervan op de prioriteiten van de Unie te waarborgen.
Voor een goede werking van het kenniscentrum is het noodzakelijk dat de uitvoerend directeur op transparante wijze wordt benoemd op basis van verdiensten, aantoonbare bestuurlijke en leidinggevende vaardigheden, en bekwaamheid en ervaring die relevant is voor cyberbeveiliging; daarnaast dient de uitvoerend directeur zijn taken op volledig onafhankelijke wijze uit te voeren.
Het kenniscentrum moet beschikken over een strategische adviesgroep als adviesorgaan. De strategische adviesgroep moet advies verstrekken op basis van een regelmatige dialoog tussen het kenniscentrum en de kennisgemeenschap, die moet bestaan uit de vertegenwoordigers van de particuliere sector, consumentenorganisaties, de academische wereld en andere betrokken stakeholders. De strategische adviesgroep moet zich richten op kwesties die relevant zijn voor de stakeholders en deze onder de aandacht van de raad van bestuur en de uitvoerend directeur brengen. De taken van de strategische adviesgroep moeten onder meer bestaan in het verstrekken van advies over de agenda, het jaarlijkse werkprogramma en het meerjarige werkprogramma. De strategische adviesgroep moet een evenwichtige vertegenwoordiging van de verschillende stakeholders omvatten, met bijzondere aandacht voor de vertegenwoordiging van kmo’s, om ervoor te zorgen dat stakeholders passend in de werkzaamheden van het kenniscentrum zijn vertegenwoordigd.
De bijdragen van de lidstaten aan de middelen van het kenniscentrum kunnen financieel of in natura zijn. Financiële bijdragen kunnen bijvoorbeeld bestaan uit een door een lidstaat aan een begunstigde in die lidstaat gegeven subsidie, ter aanvulling van de financiële steun van de Unie aan een project in het kader van het jaarlijkse werkprogramma. Van bijdragen in natura is meestal sprake indien een entiteit van een lidstaat zelf de begunstigde van financiële steun van de Unie is. Indien de Unie bijvoorbeeld een activiteit van een nationaal coördinatiecentrum voor 50 % subsidieert, worden de resterende kosten van de activiteit als een bijdrage in natura geboekt. Ook indien een entiteit van een lidstaat financiële steun van de Unie ontvangt voor het creëren of verbeteren van infrastructuur die door de belanghebbenden zal worden gedeeld overeenkomstig het jaarlijkse werkprogramma, worden de desbetreffende niet-gesubsidieerde kosten als bijdragen in natura geboekt.
Overeenkomstig de relevante bepalingen van Gedelegeerde Verordening (EU) 2019/715 inzake belangenconflicten, moet het kenniscentrum beschikken over regels inzake preventie, vaststelling en oplossing van, alsmede omgang met, belangenconflicten met betrekking tot zijn leden, organen en personeel, de raad van bestuur, de strategische adviesgroep en de kennisgemeenschap. De lidstaten moeten ervoor zorgen dat belangenconflicten met betrekking tot de nationale coördinatiecentra worden voorkomen, vastgesteld en opgelost conform nationaal recht. Het kenniscentrum moet verder het desbetreffende recht van de Unie inzake publieke toegang tot documenten toepassen, zoals uiteengezet in Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad(9). Op de verwerking van persoonsgegevens door het kenniscentrum moet Verordening (EU) 2018/1725 van het Europees Parlement en de Raad(10) van toepassing zijn. Het kenniscentrum moet de bepalingen van Unierecht naleven die van toepassing zijn op de instellingen van de Unie, alsmede het nationaal recht inzake de behandeling van informatie, in het bijzonder de behandeling van gevoelige niet-gerubriceerde informatie en gerubriceerde EU-informatie.
De financiële belangen van de Unie en de lidstaten moeten worden beschermd met evenredige maatregelen in de gehele uitgavencyclus, onder meer op het gebied van preventie, opsporing en onderzoek van onregelmatigheden, terugvordering van verloren gegane, ten onrechte betaalde of onjuist bestede financiële middelen, en, voor zover van toepassing, met administratieve en financiële sancties overeenkomstig Verordening (EU, Euratom) 2018/1046 van het Europees Parlement en de Raad(11) (het “Financieel Reglement”).
Het kenniscentrum dient op een open en transparante manier te functioneren. Het dient alle relevante informatie tijdig ter beschikking te stellen en dient bekendheid te geven aan zijn activiteiten, onder meer door informatie- en verspreidingsactiviteiten bij het bredere publiek. Het reglement van orde van de raad van bestuur van het kenniscentrum en van de strategische adviesgroep moet openbaar worden gemaakt.
De intern controleur van de Commissie moet ten aanzien van het kenniscentrum dezelfde bevoegdheden uitoefenen als die welke hij met betrekking tot de Commissie uitoefent.
De Commissie, de Rekenkamer en het Europees Bureau voor fraudebestrijding moeten toegang krijgen tot alle nodige informatie en alle locaties van het kenniscentrum om audits en onderzoeken uit te voeren met betrekking tot de subsidies, contracten en overeenkomsten die door het kenniscentrum zijn ondertekend.
Daar de doelstellingen van deze verordening, namelijk het vergroten van het concurrentievermogen en de capaciteiten van de Unie, het behouden en verder ontwikkelen van de technologische en industriële capaciteiten van de Unie op het gebied van cyberbeveiligingsonderzoek, het concurrerender maken van de cyberbeveiligingsbranche van de Unie en het tot concurrentievoordeel voor andere bedrijfstakken in de Unie maken van cyberbeveiliging, niet voldoende door de lidstaten alleen kunnen worden verwezenlijkt omdat de bestaande, beperkte middelen versnipperd zijn en omdat de benodigde investeringen aanzienlijk zijn, maar beter door de Unie kunnen worden verwezenlijkt omdat zo dubbel werk wordt vermeden, er een kritische massa van investeringen kan worden bereikt, de overheidsfinanciering optimaal wordt benut en een hoog niveau van cyberbeveiliging wordt bevorderd in alle lidstaten, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie (VEU) neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze verordening niet verder dan nodig is om deze doelstellingen te verwezenlijken,
HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:
HOOFDSTUK I Algemene bepalingen en beginselen van het kenniscentrum en het netwerk
Artikel 1 Onderwerp en toepassingsgebied
Bij deze verordening worden het Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging (het “kenniscentrum”) en het netwerk van nationale coördinatiecentra (het “netwerk”) opgericht. Zij stelt regels vast voor de aanwijzing van nationale coördinatiecentra en regels voor de oprichting van de kennisgemeenschap voor cyberbeveiliging (de “kennisgemeenschap”).
Het kenniscentrum speelt een essentiële rol in de uitvoering van het onderdeel cyberbeveiliging van het programma Digitaal Europa, met name wat betreft acties met betrekking tot artikel 6 van Verordening (EU) 2021/694, en draagt bij tot de uitvoering van Horizon Europa, met name wat betreft afdeling 3.1.3. van pijler II van bijlage I bij Besluit (EU) 2021/764 van de Raad(12).
De lidstaten dragen gezamenlijk bij tot de werkzaamheden van het kenniscentrum en het netwerk.
Deze verordening laat de bevoegdheden van de lidstaten betreffende openbare veiligheid, defensie, nationale veiligheid en activiteiten van de staat op strafrechtelijk gebied onverlet.
Artikel 2 Definities
Voor de toepassing van deze verordening wordt verstaan onder:
-
“cyberbeveiliging”: de activiteiten die nodig zijn om netwerk- en informatiesystemen, de gebruikers van dergelijke systemen, en andere personen die getroffen worden door cyberdreigingen, te beschermen;
-
“netwerk- en informatiesysteem”: een netwerk- en informatiesysteem als gedefinieerd in artikel 4, punt 1, van Richtlijn (EU) 2016/1148;
-
“cyberbeveiligingsproducten, -diensten en -processen”: commerciële en niet-commerciële ICT-producten, -diensten of -processen met als specifiek doel netwerk- en informatiesystemen te beschermen of te zorgen voor de vertrouwelijkheid, integriteit en toegankelijkheid van gegevens die worden verwerkt of opgeslagen in netwerk- en informatiesystemen, en voor de cyberbeveiliging van de gebruikers van die systemen, en andere door cyberdreigingen getroffen personen;
-
“cyberdreiging”: elke potentiële omstandigheid, gebeurtenis of actie die netwerk- en informatiesystemen, de gebruikers van dergelijke systemen en andere personen kan schaden, verstoren of op andere wijze negatief kan beïnvloeden;
-
“gezamenlijke actie”: een in het jaarlijkse werkprogramma opgenomen actie die financiële steun van de Unie ontvangt uit Horizon Europa, het programma Digitaal Europa of andere Unieprogramma’s, alsmede financiële steun of steun in natura van een of meer lidstaten, en die wordt uitgevoerd via projecten waarbij begunstigden zijn betrokken die zijn gevestigd in en financiële steun of steun in natura ontvangen van die lidstaten;
-
“bijdrage in natura”: de in aanmerking komende kosten die worden gemaakt door nationale coördinatiecentra en andere publieke entiteiten wanneer zij deelnemen aan projecten die op grond van deze verordening worden gefinancierd, wanneer die kosten niet worden gefinancierd door een bijdrage van de Unie of door financiële bijdragen van de lidstaten;
-
“Europese digitale-innovatiehub”: een Europese digitale-innovatiehub als gedefinieerd in artikel 2, punt e), van Verordening (EU) 2021/694;
-
“agenda”: een integrale en duurzame strategie voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging, waarin strategische aanbevelingen voor de ontwikkeling en groei van de Europese industriële, technologische en onderzoekssector op het gebied van cyberbeveiliging en strategische prioriteiten voor de activiteiten van het kenniscentrum zijn opgenomen en die niet bindend is ten aanzien van de besluiten die over de jaarlijkse werkprogramma’s moeten worden genomen;
-
“technische bijstand”: het bijstaan door het kenniscentrum van de nationale coördinatiecentra of de kennisgemeenschap bij de uitvoering van hun taken, door kennis te verschaffen of de toegang tot deskundigheid op het gebied van onderzoek, technologie en industrie met betrekking tot cyberbeveiliging te vergemakkelijken, netwerkvorming te faciliteren, bewustwording te verhogen en samenwerking te bevorderen, of het bijstaan door het kenniscentrum samen met de nationale coördinatiecentra van stakeholders met betrekking tot de voorbereiding van projecten met betrekking tot de opdracht van het kenniscentrum en het netwerk en de doelstellingen van het kenniscentrum.
Artikel 3 Opdracht van het kenniscentrum en het netwerk
De opdracht van het kenniscentrum en het netwerk is de Unie te helpen:
-
om haar leiderschap en strategische autonomie op het gebied van cyberbeveiliging te versterken door het behoud en de ontwikkeling van de onderzoeks-, academische, maatschappelijke, technologische en industriële capaciteiten en vermogens van de Unie op het gebied van cyberbeveiliging die nodig zijn om het vertrouwen en de veiligheid te vergroten, met inbegrip van de vertrouwelijkheid, integriteit en toegankelijkheid van gegevens in de digitale eengemaakte markt;
-
bij het ondersteunen van technologische capaciteiten, vermogens en vaardigheden in de Unie met betrekking tot de weerbaarheid en betrouwbaarheid van de infrastructuur van netwerk- en informatiesystemen, met inbegrip van vitale infrastructuur en algemeen gebruikte hardware en software in de Unie, en
-
om het mondiale concurrentievermogen van de cyberbeveiligingssector van de Unie te vergroten, te zorgen voor hoge normen op het gebied van cyberbeveiliging in de hele Unie, en van cyberbeveiliging een concurrentievoordeel voor andere industrieën in de Unie te maken.
In voorkomend geval voeren het kenniscentrum en het netwerk hun taken uit in samenwerking met Enisa en de kennisgemeenschap.
Het kenniscentrum gebruikt de betreffende financiële middelen van de Unie op zodanige wijze dat ze bijdragen aan de in lid 1 bedoelde opdracht, in overeenstemming met de wetgevingshandelingen tot vaststelling van de relevante programma’s, met name Horizon Europa en het programma Digitaal Europa.