In een poging om de weerbaarheid van de Europese Unie (EU) tegen toenemende cyberdreigingen te versterken, evalueert en herziet de Europese Commissie (EC) de Cybersecurity Act uit 2019. Daarin krijgt in ieder geval Enisa, het cyberagentschap van de EU, een krachtiger mandaat. Jeremy Rollison, die bij Microsoft aan het hoofd staat van de EU Policy-afdeling in Brussel, gaf hierover op Cybersec Europe een toelichting.
‘De Europese Unie zorgt ervoor dat wij een druk bestaan hebben’, grapte Microsoft-lobbyist Jeremy Rollison vorige week tijdens zijn presentatie op de Main Stage van Cybersec Europe in Brussel. Hij ging eerst in op al die regelgevende initiatieven rond digitalisering die de EU de afgelopen jaren heeft opgezet (‘a busy list’: zie ook zijn presentatie van vorig jaar november op Cybersec Netherlands). Om daarna een brug te slaan naar de herziening van Cybersecurity Act uit 2019.
Hoofddoelen
Rollison noemde vier hoofddoelen van de ‘EU Cybersecurity Revision’: een versimpeling van de regelgeving, een versterking van het mandaat van Enisa, een herziening van het European Cyber Certification Framework en extra aandacht voor de beveiliging rond de ict-supply-chain. Door de rapportageverplichtingen te stroomlijnen, wil de EC de uitvoering vergemakkelijken, de administratieve rompslomp verminderen en een bedrijfsvriendelijk klimaat bevorderen.
Er loopt nu nog een publieke consultatie in het kader van deze revisie. De Europese Commissie vraagt daarin input voor het herzien van de cyberbeveiligingsverordening van 2019. Belanghebbende partijen, waaronder regeringen, cyberbeveiligingsautoriteiten, branche- en handelsverenigingen, onderzoekers, consumentenorganisaties en burgers, worden uitgenodigd om tot en met 20 juni hun mening te geven. De consultatie wordt meegenomen in de voorbereidingen voor een eerste voorstel. De EC verwacht dat eind 2025 te kunnen presenteren, waarna het in 2026 door allerlei comités en rapporteurs van het Europees Parlement wordt gewogen. In 2027 volgt de finetuning waarna volgens verwachting in het eerste kwartaal van2028 de herziene Cybersecurity Act in werking treedt.
Enisa
Volgens de Microsoft-lobbyist krijgt Enisa in de vernieuwde Cybersecurity Act meer macht en meer taken. Dat zou bijvoorbeeld kunnen zijn bij het uitgeven van certificaten. Dat gebeurt nu nog op vrijwillige basis en geregeld door nationale cybersecurity-autoriteiten maar zou in de toekomst verplicht kunnen worden gesteld, in het kader van NIS2, de ‘Network and Information Security’-richtlijn die minimumnormen voorschrijft waaraan organisaties moeten voldoen op het gebied van informatie- en netwerkbeveiliging (de voorganger NIS1 gold alleen voor bedrijven uit ‘vitale sectoren’).
Zo is Enisa bezig met het opstellen van een ‘EU Cloud Certification Scheme’. Zo’n Europees certificatieprogramma zou in 2027 de nationale programma’s kunnen vervangen. Rollison: ‘Het uitgangspunt is dat zo’n certificaat alle clouddiensten beslaat, van infrastructuur tot applicaties, en drie jaar geldig is. Er kan op drie niveaus een certificaat worden behaald: het basisniveau om eenvoudige cyberaanvallen tegen te houden; een tweede niveau om de wat meer slimmere attacks op te vangen en het derde niveau om de geavanceerde aanvallen te weren.’ Enisa laat zich hierbij inspireren door de bestaande nationale schema’s en internationale standaarden, aldus de Microsoft-manager.
Fotobijschrift: Jeremy Rollison, hoofd EU Policy-afdeling Microsoft, tijdens Cybersec Europe 2025.
