Cybersecurity en cybercrime: Europese ontwikkelingen: Europese Cyber Resilience Act en NIS2-richtlijn

Onlangs hebben we u geïnformeerd over Europese ontwikkelingen op het gebied van cybersecurity en cybercrime.

Zo stelden we dat in 2016 de NIS-richtlijn (EU 2016/1148) in werking is getreden. Deze richtlijn bevat een aantal verplichtingen voor een aantal sectoren en bedrijven. De richtlijn wordt in de Nederlandse wetgeving geïmplementeerd via de ‘Wet beveiliging netwerk- en informatiesystemen’.

De NIS-richtlijn wordt vervangen door de NIS2-richtlijn, die voor een groter aantal sectoren en bedrijven nog meer verplichtingen zal bevatten. Meer informatie over de NIS2-richtlijn is te vinden op de website van de Europese Commissie.

Daarnaast werkt de Europese Commissie aan een Europese ‘Cyber ​​Resilience Act’, waarin gemeenschappelijke cybersecuritynormen voor producten worden opgenomen. Dit is ook van belang in verband met de klimaatdoelstelling (reductie van de uitstoot met minimaal 55 procent in 2030). Om dat doel te bereiken zal de Commissie

“[will] propose an action plan for an accelerated digital transformation of the sector, which is needed to ensure the shift towards renewables, connected mobility, smart buildings, and a more integrated energy system with consumers at its core. The wide-scale energy disruptions in the US and the EU over the past year show the need for resilient and cyber-secure energy.” (We verwijzen naar deze pagina).

De Nederlandse autoriteiten hebben het initiatief verwelkomd. Op 4 januari 2022 is een zogenaamde ‘non-paper’ verschenen waarin aanvullende ideeën van Nederland over een dergelijke ‘Cyber ​​Resilience Act’ worden beschreven. De non-paper concludeert dat:

“The Cyber Resilience Act should be an essential building block in a European and holistic approach to the cybersecurity of digital products and services in which a mandatory horizontal approach is complementary to sectoral regulation in specialized domains. Specifically, the Cyber Resilience Act should function as a horizontal regulation containing a lex specialis application with regard to sectoral and harmonised rules. The focus of the Cyber Resilience Act should be on setting cybersecurity requirements that cover all forms of both digital products and services, irrespective if they are offered for consumer or business/industrial purposes and irrespective if they are linked to a physical product. It should cover the entire lifecycle of digital products, processes and services and target the manufacturers and providers of ICT products, processes and services through a duty of care based on the latest state of technology.”

Het voorstel voor een Europese ‘Cyber Resilience Act’ wordt in het derde kwartaal van 2022 gepubliceerd. We zullen u blijven informeren over Europese en nationale ontwikkelingen op het gebied van cybersecurity en cybercrime.