Interview met Despina Spanou

Cybersecurity is een hot topic. Meerdere incidenten wijzen ons voortdurend op de ingrijpende gevolgen die een aanval kan hebben. We hadden een gesprek met specialiste Despina Spanou, die bij de Europese Commissie vooropgaat in de strijd.

Cruciaal voor Europese markt

Motion Control: wat is het belang van cyber­security vandaag?
“Cyberveiligheid is een eerste vereiste voor de goede werking en groei van de eengemaakte digitale markt in Europa. Burgers en bedrijven zullen alleen digitale transformatie en nieuwe ICT-technologieën omarmen als zij erop kunnen vertrouwen dat hun ICT-systemen en -netwerken niet aangetast zijn en dat hun gegevens veilig behandeld worden. Kwetsbaarheden in de cyberbeveiliging en cyberveiligheidincidenten zullen dit vertrouwen schaden en op die wijze een barrière vormen voor onze digitale economie en samenleving, en daarmee onze sociaal-economische vooruitgang in het algemeen.”

Reglementering

Motion Control: welke initiatieven neemt de EU om onze cyberveiligheid te garanderen?
“De digitale dimensie wordt steeds belangrijker in alle EU-beleidsdomeinen (bv. energie, transport, onderwijs, gezondheidszorg) en deze beleidsdomeinen zijn afhankelijk van cybersecurity.” Een voorbeeld: het vooruitzicht op geautomatiseerde/zelfrijdende wagens kan alleen gematerialiseerd worden indien de relevante gegevens met een zeer hoog niveau van beveiliging behandeld worden.

“De Europese Unie heeft al belangrijke stappen gezet om haar cybersecuritycapaciteit en weerbaarheid op te voeren. We hebben reeds enkele juridische instrumenten die Europa’s digitale eengemaakte markt moeten beschermen tegen cybercriminelen en die cyberdreigingen en -risico’s beperken. Van deze juridische instrumenten zijn de NIB-richtlijn (NIS Directive), de EU Cybersecurity Act die op 27 juni 2019 van kracht werd, en de nieuwe telecomregelgeving het belangrijkst.”

NIS Directive

“De NIB-richtlijn heeft nieuwe mechanismen voor samenwerking op EU-niveau geïntroduceerd, alsook maatregelen om de nationale capaciteiten en verplichtingen van aanbieders van essentiële diensten en digitale dienstver­leners op nationaal vlak te vergroten, waaronder de verplichting om risicobeheersingspraktijken toe te passen en belangrijke incidenten te rapporteren aan de nationale autoriteiten.”

EU Cybersecurity Act

“De EU Cybersecurity Act introduceert, voor de eerste keer, regels die in de gehele Europese Unie van toepassing zijn voor de cyberveiligheidscertificatie van producten, processen en diensten. Bovendien geeft de EU Cybersecurity Act een nieuw permanent mandaat aan ENISA, het Europese Agentschap voor Cyberveiligheid, en worden er ook meer middelen ter beschikking gesteld aan het Agentschap om het in staat te stellen om zijn doelstellingen te bereiken. De nieuwe telecomregelgeving (Electronic Communications Code) stelt dat de Europese lidstaten ervoor moeten zorgen dat de integriteit en veiligheid van publieke communicatienetwerken worden gehandhaafd, en legt verplichtingen op die ervoor moeten zorgen dat de aanbieders technische en organisatorische maatregelen nemen om op afdoende wijze de veiligheidsrisico’s van netwerken en diensten te beheren. De telecomregelgeving geeft de competente nationale regelgevende autoriteiten ook bevoegdheden, waaronder de bevoegdheid om bin­dende instructies te geven en ervoor te zorgen dat ze worden nageleefd. Bovendien kunnen de Europese lidstaten ook voorwaarden met betrekking tot de veiligheid van publieke netwerken tegen niet-geautoriseerde toegang verbinden aan de algemene autorisatie voor aanbieders, met als doel de confidentialiteit van de communicatie te verzekeren. In mei 2019 heeft de Raad van Europa een regime van sancties in het leven geroepen dat de EU toelaat om gerichte beperkende maatregelen te nemen om externe cyberaanvallen die een gevaar betekenen voor de EU en haar lid­staten, af te weren en van antwoord te dienen. Het nieuwe sanctieregime maakt deel uit van de EU-werktuigen voor cyberdiplomatie, een kader voor een gezamenlijk diplomatiek antwoord van de EU op kwaad­willende cyberactiviteiten waarmee de EU ten volle gebruik kan maken van maatregelen binnen het gemeenschappelijk buitenlands en veiligheidsbeleid, waaronder verklaringen van de Hoge Vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid, diplomatieke stappen en, indien nodig, beperkende maatregelen om te reageren op kwaadwillende cyberactiviteiten.”

 

Soft law

“Naast de wettelijke maatregelen heeft de EU ook een aantal zachtere beleidsmaatregelen genomen om de paraatheid en antwoordvaardigheid van belanghebbenden te coördineren: zoals de aanbeveling van de Europese Commissie van 2017 over de gecoördineerde reactie op grootschalige grensoverschrijdende cyberbeveiligingsincidenten en -crisissen (de zogeheten EU cybersecurity blueprint), en de aanbeveling van de Europese Commissie over een gemeenschappelijke EU-aanpak van de beveiliging van 5G-net­werken. Ik zou hier willen benadrukken dat we samen met de EU-lidstaten en ENISA ook cyberbeveiligingsoefeningen organiseren om onze coördinatie te verbeteren en onze cyberbeveiligingsparaatheid te testen. Een tijdje terug vond bijvoorbeeld de Blue OLEx 2019-oefening plaats in Parijs.”

Investeringen

“De EU zet ook haar investeringsprogramma voort met instrumenten zoals het Horizon2020 onderzoeks- en innovatieprogramma en het ‘Connecting Europe Facility’-programma. In deze programma’s worden grote hoeveelheden geld vrijgemaakt om de Europese cybercapabiliteit op te drijven en innovatieve cyberbeveiligingsoplossingen te ontwikkelen.”

Nieuwe verordening

“De EU blijft verder haar inspanningen op­voeren om haar cyberbeveiliging te vergroten. Een voorbeeld hiervan is het laatste voorstel voor een nieuwe EU-verordening die een ‘Europees Competentiecentrum en -netwerk voor Cyberveiligheid’ opricht. Dit voorstel wordt momenteel onderhandeld door de co-wetgevende EU-instanties. Vast staat dat cyberveiligheid hoog op de Europese politieke agenda staat.”

Industrie in gevaar

Motion Control: zijn er specifieke gevaren voor industriële bedrijven?
“Industriële bedrijven spelen een grote rol in onze economie. Het merendeel van de indus­trie heeft digitalisering omarmd en daarom is cyberveiligheid zeer belangrijk voor hen. De eerder genoemde richtlijn inzake beveiliging van netwerk- en informatiesystemen (NIB-richtlijn) verzoekt de EU-lidstaten om ‘aanbieders van essentiële diensten’ te identificeren, van wie verwacht wordt dat zij bijzonder toegewijd en veerkrachtig zullen zijn als het gaat om cyberveiligheid. De NIB-richtlijn bestrijkt zowel de energiesector als het vervoer, het bankwezen, de financiële marktinfrastructuren, de digitale infrastructuur, de watersector en de gezondheidssector. De NIB-richtlijn omvat nl. de vitale sectoren van onze eco­nomie en samenleving. Veel industriële be­drijven zijn betrokken of ondernemen in deze sectoren. “

Veranderende gevaren

“Vandaag de dag verandert het landschap van cyberdreigingen voort­durend en het evolueert snel. Dit is waarom we hebben voorgesteld een Adviesraad te creëren waarin ook de industrie zal zijn vertegenwoordigd. De Adviesraad zal de EU-lidstaten en de Europese Commissie adviseren over investering, onderzoek en innovatie met betrekking tot het volgende meerjarig financieel kader (2021-2027) en met name met betrekking tot de financieringsprogramma’s Digital Europe en Horizon Europe. Om onze digitale economie en maatschappij te beveiligen, moeten we investeren in het bevorderen van onze cyberbeveiligingsmogelijkheden en -competenties, inclusief industriële bedrijven.”

Aanpassen om voor te blijven

Motion Control: volstaat het huidige beleid van de EU rond cybersecurity policies om cyber­criminaliteit aan te pakken?
”Cybercriminelen passen hun aanpak voort­durend aan door het gebruik van nieuwe technologieën. Dit vereist een effectieve reactie van de rechtshandhaving zodat wij hen voor blijven. De aanpak van de Europese Com­missie voor de bestrijding van cybercriminaliteit is gebaseerd op de Europese veiligheidsagenda van 2015, waarin cybercriminaliteit wordt erkend als een ernstige bedreiging van de grondrechten van de burger en voor de economie. De Europese Commissie en de Hoge Vertegenwoordiger van de Europese Unie voor Buitenlandse Zaken en Veiligheidsbeleid hebben in 2017 ook een gezamenlijke mededeling gepubliceerd met als doel een hoog niveau van cyberbeveiliging voor de Europese Unie te bouwen op basis van veerkracht, afschrikking en verdediging. Dit omvat onder meer maatregelen om een meer effectieve wetshandhavingsreactie op cybercriminaliteit mogelijk te maken en maatregelen om de opsporing, traceerbaarheid en vervolging van cybercriminelen te verbeteren. Niettegenstaande het gevoerde EU-beleid blijft cyber­criminaliteit een belangrijke bedreiging. Uit de recente Eurobarometer over de houding van Europeanen ten aanzien van internetbeveiliging blijkt dat een meerderheid van de burgers in 2018 bezorgd was over ten minste één vorm van cybercriminaliteit, inclusief de besmetting van apparaten met malware, identiteitsdiefstal of fraude met internetbankieren. We zijn verplicht om zorgvuldig de trends in cybercriminaliteit te volgen, waarvoor we ook kunnen vertrouwen op de jaarlijkse internet­criminaliteitsbarometer (iOCTA) van het Bureau van de Europese Unie voor samenwerking op het gebied van wetshandhaving (Europol).”

 

Handhaven

Motion Control: zijn er gevallen waarin de Europese wet- en regelgeving al succesvol toegepast werden?
Spanou: “Een effectief antwoord op cyber­criminaliteit vereist samenwerking tussen alle betrokkenen, waaronder EU-instellingen, -agentschappen, en EU-lidstaten en hun wetshandhavingsinstanties. Wetgeving op het niveau van de Europese Unie kan een cruciale rol spelen om deze samenwerking te vergemakkelijken. Met name de grensoverschrijdende samenwerking is belangrijk in de strijd tegen cybercriminaliteit, aangezien cybercriminelen geen grenzen kennen en vaak opereren vanuit een ander land. De richtlijn inzake aanvallen van informatiesystemen van 2013, bijvoorbeeld, is bedoeld om de typering van cyberaanvallen en de daaraan gerelateerde niveaus van straffen in de Europese Unie te harmoniseren. Door de omzetting van de richtlijn in nationaal strafrecht zijn de autoriteiten van de EU-lidstaten beter uitgerust om zaken te onderzoeken die ook betrekking hebben op andere EU-lidstaten, bijvoorbeeld wanneer een verdachte of een slachtoffer van een cybercriminaliteit zich in een ander land bevindt. De wetgeving van de Europese Unie vergemakkelijkt ook de samenwerking tussen autoriteiten bij het onderzoeken van cyber­criminaliteit, bijvoorbeeld via de richtlijn inzake Europese onderzoeken uit 2014. In 2018 stelde de Europese Commissie ook een nieuwe wetgeving voor om de grensoverschrijdende samenwerking te verbeteren om toe­gang te krijgen tot elektronisch bewijsmateriaal in strafrechtelijke onderzoeken. Toegang tot elektronisch bewijsmateriaal is tegenwoordig nodig in meer dan twee derde van alle strafrechtelijke onderzoeken, en rechtshandhavingsinstanties en justitie moeten de juiste werktuigen ter beschikking hebben voor effectief onderzoek naar cybercriminaliteit.”

Europol

“Ten slotte speelt het Europees Agentschap voor samenwerking op het gebied van wetshandhaving (Europol) ook een belangrijke rol bij de samenwerking tussen autoriteiten van de lidstaten en andere landen in de strijd tegen cybercriminaliteit, en dit in het kader van de Europol-verordening van 2016. Voorbeelden van deze belangrijke rol zijn de ontmanteling van het internationale criminele netwerk dat verantwoordelijk is voor de GozNym-malware en het opruimen van internationale darkwebmarktplaatsen Wallstreet en Silkkitie in 2019 en de ontmanteling van het internationale criminele infrastructuurplatform Avalanche in 2016.”

Uitvoering EU cybersecurity act

Motion Control: welke toekomstige initiatieven wilt u als directeur uitvoeren?
”De prioriteit van ons team is het nakomen van de belofte van de Europese Commissie met betrekking tot het opbouwen van een sterke cyberveiligheid in de Europese Unie. De volgende maanden is een van onze belangrijkste prioriteiten de uitvoering van de EU Cybersecurity Act. Ons team werkt namelijk al samen met ENISA, het EU-agentschap voor cyberbeveiliging, aan de implementatie van het nieuwe mandaat van het Agentschap; we zijn begonnen met het werk aan cybersecurity-certificeringsregelingen voor ICT-producten, -diensten en -processen.

Daarnaast maken de afronding van de onderhandelingen over de voorgestelde EU-verordening voor de oprichting van een competentiecentrum en -netwerk voor cyberveiligheid en de voorgestelde verordening inzake elektro­nische privacy, die een fundamenteel onderdeel is van de digitale privacy, deel uit van ons huidige werk. De implementatie van de NIB-richtlijn is een andere prioriteit, met name met betrekking tot de kritieke infrastructuren. Een vermeldenswaardig voorbeeld hiervan is ons werk met betrekking tot de veiligheid van 5G-netwerken.

En ten slotte zijn we bezig om, in nauw overleg met de EU-lidstaten en andere belanghebbenden, de cyberveiligheidsprioriteiten voor de nieuwe EU-financieringsprogramma's Horizon Europe en het Digital Europe-programma te definiëren.”