Cyberveiligheid: op weg naar NIS 2+ en een versterkte CSA

De Europese Commissie werkt momenteel aan een belangrijke herziening van de NIS 2 Richtlijn en van de Cybersecurity Act (CSA).

Uit de eerste contouren van deze hervorming blijkt een duidelijke ambitie: de digitale veerkracht van de Unie versterken en tegelijkertijd de technologische toeleveringsketens beter beveiligen.

NIS 2 + (Richtlijn 2022/2555)

Een van de belangrijkste veranderingen betreft het toepassingsgebied van NIS 2.

De Commissie overweegt de invoering van een nieuwe categorie ondernemingen, namelijk de „kleine mid-cap-ondernemingen“ (small mid-cap enterprises). Het zou gaan om ondernemingen met minder dan 750 werknemers en met een jaaromzet van minder dan 150 miljoen euro of een balanstotaal van minder dan 129 miljoen euro. Hoewel deze organisaties momenteel voldoen aan de criteria voor essentiële entiteiten, zouden ze in de toekomst kunnen worden herkwalificeerd als belangrijke entiteiten. In België zou deze ontwikkeling betrekking kunnen hebben op 100 tot 200 ondernemingen, waarvan de verplichtingen daardoor zouden worden verminderd.

Ook het toepassingsgebied per sector zou worden herzien. Bepaalde activiteiten zouden van de regeling worden uitgesloten, met name exploitanten van zonnepanelen met een productiecapaciteit van minder dan 1 MW, bepaalde instellingen voor langdurige zorg, fabrikanten van chemische producten die niet onder de REACH Verordening vallen, en micro- en kleine DNS-dienstverleners.

Daarentegen zouden verschillende strategische sectoren worden toegevoegd en als essentiële entiteiten worden aangemerkt, ongeacht hun omvang, zoals aanbieders van digitale portemonnees, infrastructuur voor dubbel gebruik in verband met militaire mobiliteit en onderzeese kabelinfrastructuur.

Cybersecurity Act (Verordening 2019/881)

Naast de betrokken entiteiten is de hervorming ook gericht op het versterken van de veiligheid van de digitale toeleveringsketen. Aangezien de huidige contractuele mechanismen niet altijd voldoende zijn om de naleving door aanbieders en onderaannemers te waarborgen, overweegt de Commissie om een Europees vertrouwenskader voor ICT-toeleveringsketens in te voeren.

Dit zou kunnen leiden tot de identificatie van aanbieders of derde landen die (hoge) structurele cyberrisico’s inhouden, en tot het opleggen van beperkende maatregelen of zelfs uitsluiting. In het licht van de besluiten inzake de adequaatheid van de bescherming van persoonsgegevens (artikel 45 van de AVG), waarin wordt erkend dat bepaalde derde landen een passend beschermingsniveau bieden, zou de Unie dus een omgekeerd mechanisme kunnen ontwikkelen dat leidt tot de identificatie van zogenaamde „high risk“-leveranciers en tot hun uitsluiting van bepaalde specifieke Europese activiteiten, met name overheidsopdrachten, Europese financiering en de toegang tot certificering en normalisatieprocessen.