Zowel de meldplicht van cyberaanvallen uitbreiden, als een betere beveiliging tegen cyberaanvallen instellen voor meer sectoren. Dat besloten minister Stef Blok (VVD) en zijn Europese collega’s vandaag in Brussel.
“Digitale veiligheid regelen is in eerste instantie ieders eigen verantwoordelijkheid,” zei Minister Blok, een van verantwoordelijke bewindspersonen tijdens de vergadering van de Europese Raad. “Maar cyberincidenten hebben in toenemende mate serieuze gevolgen voor maatschappij en economie. Denk aan recente gevallen zoals lege supermarktschappen of een stilgevallen industriële productie.” Daarom is een herziening van de netwerk-, en informatieveiligheid richtlijn nodig, zo besloten de Europese ministers van Economie.
Meldplicht
Zo werd in oktober het Nederlandse bedrijf VDL in het Zuid-Limburgse Born getroffen door een cyberaanval. Die aanvallen worden al gemeld in sommige sectoren, maar het is tijd om deze meldplicht uit te breiden naar meer sectoren zeggen minister Blok en zijn Europese collega’s. Ook wordt het aantal sectoren uitgebreid dat verplicht is om passende maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen.
De herziene richtlijn kent in de toekomst twee categorieën: essentiële aanbieders en belangrijke aanbieders. De essentiële aanbieders zijn vitale sectoren, zoals banken, drinkwater en de energiesector. Hierbij zal toezicht op cyberaanvallen proactief zijn. Bij de belangrijke aanbieders vindt het toezicht achteraf plaats, vooral naar aanleiding van een incident.
De regels richten zich volgens Blok op (middel-)grote organisaties en bedrijven. Ze zijn niet van toepassing op kleine organisaties of het MKB.
Definitief akkoord
De uitbreiding van de regels voor cyberveiligheid gaat nog niet gelijk in werking. Over de herziening van de netwerk-, en informatieveiligheid richtlijn wordt onderhandeld met het Europees Parlement, dat ermee moet instemmen. Het streven is om een definitief akkoord te bereiken in 2022. Hierna kunnen lidstaten de wetgeving in eigen land aanpassen.
