Cyberincidenten over de grenzen heen: de verordening cybersolidariteit

Het juridisch kader

De verordening cybersolidariteit (Cyber Solidarity Act) is Verordening (EU) 2025/38 van 19 december 2024 "tot vaststelling van maatregelen ter versterking van de solidariteit en de capaciteit in de Unie om cyberdreigingen en -incidenten op te sporen, zich erop voor te bereiden en erop te reageren". Ze verscheen op 15 januari 2025 in het Publicatieblad en trad in werking op 4 februari 2025 (artikel 26). Ze wordt gefinancierd via het programma Digitaal Europa, Verordening (EU) 2021/694, die ze wijzigt (artikel 22).

Anders dan NIS2 of de verordening cyberweerbaarheid legt deze verordening bedrijven bijna geen plichten op. Ze bouwt publieke capaciteit uit: tools, een reserve van incidentresponders en een evaluatieproces. Voor bedrijven telt ze op twee manieren. Entiteiten onder NIS2 kunnen hulp krijgen bij een zwaar incident, en aanbieders van beheerde beveiligingsdiensten kunnen voor de reserve worden ingeschakeld. De verordening bouwt voort op de NIS2-structuren: ze gebruikt de NIS2-definities van incident, significant en grootschalig cyberbeveiligingsincident, en haar instrumenten voeden het CSIRT-netwerk en EU-CyCLONe, het netwerk van nationale autoriteiten voor cybercrisisbeheer (artikel 1, lid 4, en artikel 2).

Drie bouwstenen

Artikel 1, lid 1, zet drie mechanismen op.

1. Het Europees waarschuwingssysteem voor cyberbeveiliging (artikelen 3 tot en met 9). Een pan-Europees netwerk van nationale cyberhubs en grensoverschrijdende cyberhubs waaraan lidstaten vrijwillig deelnemen (artikel 3). Een nationale cyberhub is één entiteit onder het gezag van een lidstaat, bijvoorbeeld een CSIRT. Ze verzamelt en analyseert informatie over dreigingen en incidenten en kan samenwerken met private entiteiten, ook met sectorale gemeenschappen van essentiële en belangrijke entiteiten. Waar passend en wettig kan ze telemetrie-, sensor- en loggegevens vragen of ontvangen (artikel 4, lid 3). Een grensoverschrijdende cyberhub brengt de hubs van minstens drie lidstaten samen op basis van een schriftelijke consortiumovereenkomst (artikel 5). Hubs delen informatie zoals indicatoren van compromittering, kwetsbaarheden en waarschuwingen, waar passend geanonimiseerd (artikel 6, lid 1). Krijgen ze weet van een mogelijk of lopend grootschalig incident, dan waarschuwen ze de lidstaten en de Commissie zonder onnodige vertraging via EU-CyCLONe en het CSIRT-netwerk (artikel 7, lid 2). Enisa moest tegen 5 februari 2026 richtsnoeren voor interoperabiliteit uitvaardigen (artikel 6, lid 4).

2. Het noodmechanisme voor cyberbeveiliging (artikelen 10 tot en met 20). Het ondersteunt drie soorten acties (artikel 11):

• paraatheid: vrijwillige gecoördineerde paraatheidstests van entiteiten in de zeer kritieke sectoren van bijlage I bij NIS2, zoals penetratietests en dreigingsbeoordelingen (artikel 12), en andere paraatheidsacties zoals het monitoren van kwetsbaarheden, oefeningen en opleiding, ook voor sectoren uit bijlage II (artikel 13);
• respons: de EU-cyberbeveiligingsreserve van betrouwbare aanbieders van beheerde beveiligingsdiensten (artikel 14);
• wederzijdse bijstand: subsidies voor technische hulp van de ene lidstaat aan een andere die door een significant of grootschalig incident is getroffen (artikel 18).

3. Het Europees evaluatiemechanisme voor cyberbeveiligingsincidenten (artikel 21). Op verzoek van de Commissie of EU-CyCLONe, en met de instemming van de betrokken lidstaten, evalueert Enisa een significant of grootschalig incident en rapporteert ze over oorzaken, bekende uitbuitbare kwetsbaarheden en geleerde lessen (artikel 21). Ze kan getroffen entiteiten raadplegen. Het verslag mag geen details bevatten over actief uitgebuite kwetsbaarheden die nog niet zijn gepatcht, gegevens kunnen op verzoek worden geanonimiseerd, en een openbare versie bevat alleen betrouwbare openbare informatie of informatie die met toestemming wordt vrijgegeven.

De EU-cyberbeveiligingsreserve in detail

Wie kan vragen. Niet de bedrijven zelf. De gebruikers zijn de autoriteiten voor cybercrisisbeheer en de CSIRT's van de lidstaten, CERT-EU voor de EU-instellingen, en autoriteiten van derde landen die met het programma Digitaal Europa geassocieerd zijn, als hun overeenkomst dat toelaat (artikel 14, lid 3). Gebruikers uit de lidstaten sturen hun verzoek via het centrale contactpunt van NIS2 (artikel 15, lid 3).

Waarvoor. Respons op en eerste herstel na significante cyberbeveiligingsincidenten, grootschalige cyberbeveiligingsincidenten en, voor EU-instellingen en geassocieerde derde landen, daarmee gelijkwaardige incidenten (artikel 15, lid 1). Een grootschalig incident is een incident dat de reactiecapaciteit van een lidstaat overschrijdt of aanzienlijke gevolgen heeft voor minstens twee lidstaten (NIS2, artikel 6, punt 7). Voor gebruikers uit de lidstaten mogen de diensten alleen worden ingezet voor entiteiten in de NIS2-sectoren van de bijlagen I en II (artikel 16, lid 8).

Voorwaarden. De gebruiker neemt zelf alle passende maatregelen om de gevolgen van het incident te beperken (artikel 15, lid 2). Het verzoek beschrijft de getroffen entiteit, de mogelijke gevolgen, ook het risico op overslag naar andere lidstaten, de gevraagde dienst en de al genomen maatregelen (artikel 15, lid 5).

Snelheid en voorrang. De aanbestedende dienst (de Commissie, of Enisa als de uitvoering aan haar is toevertrouwd) antwoordt op verzoeken van gebruikers uit de lidstaten en de EU-instellingen zonder vertraging en in elk geval binnen 48 uur (artikel 16, lid 1). Ze weegt de omvang en ernst van het incident af, het soort entiteit, met voorrang voor essentiële entiteiten onder NIS2, de gevolgen, het grensoverschrijdende karakter en het risico op overslag, en de maatregelen die de gebruiker al nam (artikel 16, lid 3).

Overeenkomsten en aansprakelijkheid. De diensten worden verleend op basis van specifieke overeenkomsten tussen de aanbieder en de gebruiker, eventueel ook met de getroffen entiteit. Die overeenkomsten bevatten aansprakelijkheidsvoorwaarden en zijn gebaseerd op modellen van Enisa (artikel 16, leden 5 en 6). De Commissie, Enisa en de gebruikers dragen geen contractuele aansprakelijkheid voor schade die de diensten aan derden toebrengen (artikel 16, lid 7). Binnen twee maanden na het einde van de steun rapporteert de gebruiker over de dienst, de resultaten en de geleerde lessen (artikel 16, lid 9).

Toetreden tot de reserve als aanbieder

Aanbieders van beheerde beveiligingsdiensten worden via een overheidsopdracht geselecteerd. De aanbestedingsstukken moeten onder meer eisen (artikel 17, lid 2):

• personeel met de hoogste beroepsintegriteit, onafhankelijkheid en technische deskundigheid;
• bescherming van vertrouwelijke en gerubriceerde informatie, ook bij dochterondernemingen en onderaannemers;
• een transparante bestuursstructuur zonder belangenconflicten;
• een veiligheidsmachtiging als een lidstaat die eist, en een passend beveiligingsniveau van de eigen IT-systemen;
• hardware en software zonder bekende uitbuitbare kwetsbaarheden, met de laatste beveiligingsupdates en in lijn met de verordening cyberweerbaarheid;
• ervaring met nationale autoriteiten of entiteiten in kritieke sectoren, en het vermogen om snel en in de gevraagde talen in te zetten;
• certificering onder een Europese regeling voor beheerde beveiligingsdiensten binnen twee jaar nadat die regeling van toepassing wordt, zodra zo'n regeling bestaat;
• voorwaarden om ongebruikte responsdiensten om te zetten in paraatheidsdiensten, zoals oefeningen of opleiding.

In de praktijk

Een Belgische ziekenhuisgroep wordt getroffen door ransomware die de patiëntensystemen in België en in een kliniek in Luxemburg platlegt. Ze meldt het incident binnen 24 uur aan haar CSIRT onder NIS2. De nationale autoriteiten beschouwen het incident als grootschalig, omdat het twee lidstaten raakt, en vragen via het centrale contactpunt steun aan de EU-cyberbeveiligingsreserve, met een beschrijving van wat het ziekenhuis zelf al deed. Binnen 48 uur horen ze of het verzoek wordt toegekend. Een betrouwbare aanbieder wordt ingezet op basis van een overeenkomst met het CSIRT en het ziekenhuis. Het ziekenhuis blijft zelf verantwoordelijk voor zijn meldingen onder de AVG en NIS2.

Een middelgrote aanbieder van beheerde beveiligingsdiensten in Gent wil tot de reserve toetreden. Hij bereidt de aanbesteding voor door de ervaring van zijn incidentteam met klanten in kritieke sectoren te documenteren, net als zijn vertrouwelijkheidsafspraken met onderaannemers, zijn eigen beveiligingsniveau en zijn patchbeleid. Hij houdt rekening met de certificeringseis zodra een Europese regeling voor beheerde beveiligingsdiensten van toepassing is.

Een energiedistributeur wordt uitgenodigd voor een gecoördineerde paraatheidstest in zijn sector. Deelname is vrijwillig. Leidt de test tot aanbevelingen, dan kan de nationale autoriteit nagaan hoe het bedrijf die opvolgt (artikel 12, lid 7).

Praktische stappen

1. Houd je NIS2-meldingen scherp: steun uit de reserve begint bij een incident dat de autoriteiten kennen.
2. Ken je nationale centrale contactpunt en je CSIRT, en weet hoe je escaleert.
3. Bereid je voor om met een extern responsteam te werken: toegangsrechten, omgang met bewijs, vertrouwelijkheid en een vaste interne trekker.
4. Bekijk hoe je cyberverzekering en je contracten met incidentresponders omgaan met hulp van buitenaf.
5. Ben je een beveiligingsaanbieder, leg je aanbod dan naast artikel 17, lid 2, voordat er oproepen tot inschrijving verschijnen.

Contracten

Werken responders uit de reserve op jouw systemen, dan kan de overeenkomst driepartijdig zijn, met het CSIRT en de aanbieder. Lees de aansprakelijkheidsvoorwaarden in het Enisa-model goed, want de Commissie, Enisa en de gebruikers dragen geen contractuele aansprakelijkheid tegenover derden. Stem je eigen dienstencontracten erop af: je vaste incidentresponder en je outsourcingpartners aanvaarden best samenwerking met externe responders en toegang tot logbestanden.

Veelgestelde vragen

Kan mijn bedrijf de EU-cyberbeveiligingsreserve om hulp vragen?

Niet rechtstreeks. Het verzoek komt van de autoriteit voor cybercrisisbeheer of het CSIRT van je lidstaat, via het centrale contactpunt van NIS2 (artikel 14, lid 3, en artikel 15, lid 3).

Voegt de verordening cybersolidariteit meldplichten toe voor bedrijven?

Nee. Meldplichten komen uit NIS2, de verordening cyberweerbaarheid en de AVG. De verordening cybersolidariteit gebruikt de informatie die via de NIS2-instanties loopt.

Moeten we gegevens delen met een nationale cyberhub?

De verordening voorziet in samenwerking en informatie-uitwisseling met private entiteiten, en hubs kunnen waar passend en wettig telemetrie-, sensor- en loggegevens vragen of ontvangen (artikel 4, lid 3). Ze legt bedrijven zelf geen algemene deelplicht op.

Is een paraatheidstest verplicht?

Nee. Gecoördineerde paraatheidstests zijn vrijwillig voor de lidstaten en worden met subsidies ondersteund (artikel 12, leden 3 en 4).

Hoe dit samenhangt

Gaat een incident over de grenzen heen, dan tellen timing en samenhang. Ons team datalekken coördineert de meldingen onder NIS2, de CRA en de AVG, en de workflow voor datalekken bewaart het incidentdossier waarop autoriteiten en externe responders steunen. Ons team handelscontracten toetst responsovereenkomsten en outsourcingvoorwaarden, en het register van rechten en verplichtingen volgt samenwerkings- en vertrouwelijkheidsplichten op.

In één oogopslag

Aangehaalde bepalingen: Verordening (EU) 2025/38, artikelen 1 tot en met 7, 11 tot en met 18, 21, 22 en 26; Richtlijn (EU) 2022/2555, artikel 6, punt 7.

Belangrijke data: vastgesteld op 19 december 2024; bekendgemaakt op 15 januari 2025; in werking sinds 4 februari 2025; richtsnoeren van Enisa over interoperabiliteit tegen 5 februari 2026; eerste evaluatie door de Commissie tegen 5 februari 2027 (artikel 25).

Verwant: de NIS2-richtlijn, het cyberbeveiligingspakket van 2026, Verordening cyberweerbaarheid II, kwetsbaarheden en meldingen en de 72-urenregel bij datalekken.