Regelgeving

De wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid (de "NIS2-wet") heeft in België de richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 (de "NIS2-richtlijn") omgezet.

Het doel van de NIS2-wet is het versterken van maatregelen op het gebied van cyberveiligheid, incidentbeheer en toezicht voor entiteiten die diensten leveren die essentieel zijn voor het in stand houden van kritieke maatschappelijke of economische activiteiten. De wet heeft ook als doel de coördinatie van overheidsbeleid op het gebied van cyberveiligheid te verbeteren.

De EU verordening Cybersolidariteit werd officieel gepubliceerd op 15 januari 2025 wordt van kracht op 4 februari 2025. Het is een nieuwe belangrijke stap in het versterken van de cybersecurity van Europa. De wet heeft als doel de EU-landen, inclusief België, te helpen bij het beter detecteren, voorbereiden op en reageren op ernstige cyberincidenten die zowel bedrijven als burgers kunnen treffen, en om solidariteit tussen lidstaten te bevorderen in tijden van crisis. Het draait allemaal om het zorgen dat Europa veerkrachtiger is in de digitale wereld van vandaag. In tegenstelling tot de NIS2-richtlijn of de Cyber Resilience Act, introduceert de verordening Cybersolidariteit geen verplichtingen voor aanbieders. Het is een puur vrijwillige wetgeving die hulpmiddelen en vooral financiering biedt. Lidstaten kunnen hiervan gebruik maken indien gewenst, om hun detectie-, informatie-uitwisselings- of crisisresponscapaciteiten te ondersteunen, vooral voor NIS2-entiteiten.

België, en specifiek het Centrum voor Cybersecurity België, speelde een sleutelrol in de ontwikkeling en de goedkeuring van de verordening tijdens het Belgische voorzitterschap van de Raad van de EU in de eerste helft van 2024. Het Centrum voor Cybersecurity België blijft een centrale rol spelen in de uitvoering van de bepalingen van de wet. Lees meer over het Belgisch voorzitterschap in dit uitgebreide artikel.

De Cyber Resilience Act (CRA) werd op 20 november 2024 gepubliceerd. Deze nieuwe EU-verordening bevat “horizontale cybersecurity-eisen voor producten met digitale elementen”. Met andere woorden, het legt minimale cybersecurity-eisen op voor alle verbonden producten die op de EU-markt worden geplaatst, waardoor het zogenaamde “Internet of Things” (IoT) veiliger wordt. 

De nieuwe regels zullen van toepassing zijn in alle EU-landen en de implementatie zal gefaseerd gebeuren. Uiteindelijk wordt verwacht dat de CRA zal bijdragen aan de visie van het CCB om België cyberveiliger te maken door ervoor te zorgen dat de burgers en organisaties, zowel publiek als privé, minder kwetsbaar zijn voor cyberaanvallen.

De Cybersecurity Act biedt een kader voor de afgifte en erkenning van Europese certificaten voor cyberbeveiliging. Deze certificaten zijn gebaseerd op certificeringsschema’s voor cyberbeveiliging met een of meer zekerheidsniveaus ("basis", "substantieel" of "hoog").

De bedoeling is de transparantie van de cyberbeveiligingszekerheid van producten, diensten en processen op het gebied van informatie- en communicatietechnologie te verbeteren. Dit zal het vertrouwen in en het concurrentievermogen van de digitale interne markt vergroten. Het gebruik van  certificeringen waarin de Cybersecurity Act voorziet, blijft in principe vrijwillig.

Een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden (of in het Engels “Coordinated Vulnerability Disclosure Policy” - CVDP) is een geheel van regels die vooraf zijn bepaald door een organisatie die verantwoordelijk is voor informatiesystemen waardoor deelnemers (of “ethische hackers”) met goede bedoelingen mogelijke kwetsbaarheden in haar systemen kunnen opsporen, of haar alle relevante informatie hierover kunnen bezorgen. 

Een beloningsprogramma voor het opsporen van kwetsbaarheden (of in het Engels “bug bounty”) heeft betrekking op alle regels die een verantwoordelijke organisatie heeft bepaald om beloningen toe te kennen aan deelnemers die kwetsbaarheden identificeren in de door haar gebruikte technologieën. Het betreft een beleidsvorm voor de gecoördineerde bekendmaking van kwetsbaarheden die voorziet in de toekenning van een beloning aan de deelnemer naargelang de hoeveelheid, het belang of de kwaliteit van de bezorgde informatie.

Krachtens de NIS2-wet is het Centrum voor Cybersecurity België belast met het opstellen, verspreiden en toezien op de uitvoering van standaarden, richtlijnen en normen voor de cyberbeveiliging van de verschillende soorten informatiesystemen.