De EU-lidstaten hebben ingestemd met een voorgestelde hervorming van de richtlijn netwerk- en informatiebeveiliging. De nieuwe wetgeving, bekend als NIS2, zal naar verwachting leiden tot een betere coördinatie van cyberbeveiliging in de hele EU, met vereisten voor meer bedrijven om preventieve maatregelen te nemen tegen onlinebedreigingen en om te rapporteren over beveiligingsincidenten. Volgend op de goedkeuring door de nationale telecomministers tijdens de Raad, zal de richtlijn worden uitonderhandeld in een triloog met het Europees Parlement en de Commissie. De implementatietermijn is twee jaar.
De nieuwe richtlijn is in december 2020 gepresenteerd door de Europese Commissie. Zij heeft tot doel de inspanningen van de EU om het groeiende aantal cyberbeveiligingsbedreigingen te bestrijden, op te voeren. De oorspronkelijke NIS-richtlijn uit 2016 verplichtte bedrijven in vitale industrieën om bepaalde beveiligingsmaatregelen te nemen en informatie over mogelijke bedreigingen en incidenten te delen, de nieuwe richtlijn zal deze vereisten uitbreiden naar meer sectoren en kleinere bedrijven.
Amendementen van de Raad
Onder de huidige richtlijn bepalen de regeringen welke entiteiten gelden als essentiële dienst. De nieuwe richtlijn introduceert een size-cap-regel, zodat alle middelgrote en grote organisaties die actief zijn in de sectoren of diensten verlenen die onder de richtlijn vallen, binnen het toepassingsgebied zullen vallen. De Raad van Ministers zegt in een verklaring dat het aanvullende bepalingen aan het voorstel van de Commissie heeft toegevoegd om "te zorgen voor evenredigheid, een hoger niveau van risicobeheer en duidelijke criteria voor het bepalen van de betrokken entiteiten."
De tekst van de Raad verduidelijkt ook dat de richtlijn niet van toepassing is op een aantal sectoren, waaronder defensie of nationale veiligheid, openbare veiligheid, rechtshandhaving en de rechterlijke macht. Ook parlementen en centrale banken vallen buiten het toepassingsgebied. Omdat overheidsdiensten echter vaak het doelwit zijn van cyberaanvallen, zal NIS2 van toepassing zijn op overheidsdiensten van centrale overheden. Daarnaast kunnen de EU-landen besluiten de regels ook uit te breiden tot hun regionale en lokale autoriteiten.
NIS2 beoogt ook om de rapportageverplichtingen te stroomlijnen, "om overrapportage te voorkomen en geen buitensporige last voor de betrokken entiteiten te veroorzaken", aldus de Raad. Er is ook een vrijwillig peer-learning mechanisme toegevoegd om het wederzijdse vertrouwen te vergroten en te leren van goede praktijken en ervaringen.
