Cyber Solidarity Act — het Europese cyberschild en de EU Cybersecurity Reserve

De Cyber Solidarity Act bouwt drie EU-mechanismen om de Unie robuuster te maken tegen grootschalige en grensoverschrijdende cyberincidenten: een vroegtijdig waarschuwingssysteem van nationale en grensoverschrijdende cyberhubs, een noodmechanisme met een EU Cybersecurity Reserve van vertrouwde private dienstverleners, en een systeem om grote incidenten achteraf te evalueren. Voor de gemiddelde onderneming is de directe relevantie klein: de verordening legt geen enkele verplichting op aan bedrijven in het algemeen, en wijzigt niets aan de zorg- of meldplichten van de Cyberbeveiligingswet, DORA of de Cyber Resilience Act. Relevant wordt zij vooral voor gespecialiseerde aanbieders van incident response- en beveiligingsdiensten, die zich als ‘trusted provider’ kunnen aanmelden voor de EU Cybersecurity Reserve en zo tegen vergoeding worden ingezet bij Europese cybercrises.

Waarvoor is dit bedoeld

Na een reeks grootschalige cyberincidenten bleek dat lidstaten onderling weinig gestructureerde mogelijkheden hadden om elkaar bij te staan of dreigingsinformatie snel te bundelen. De verordening bouwt daarvoor EU-brede structuren, aanvullend op de nationale taken die CSIRT's — in Nederland het NCSC — al hebben.

Voor wie

In de eerste plaats lidstaten, hun CSIRT's en de aan te wijzen nationale en grensoverschrijdende cyberhubs. Voor een gewone onderneming is er geen rechtstreekse rol, behalve voor gespecialiseerde dienstverleners die zich willen aanmelden als ‘trusted provider’ voor de EU Cybersecurity Reserve, en voor organisaties in kritieke sectoren die via de paraatheidstests van het noodmechanisme worden getoetst.

Wat er niet onder valt

De verordening stelt geen zorgplicht, meldplicht of beveiligingseisen aan individuele bedrijven — dat blijft het terrein van de Cyberbeveiligingswet (NIS2), DORA en de Cyber Resilience Act. Zij regelt uitsluitend de EU- en lidstaatstructuren voor crisisrespons en -voorbereiding.

Wat je moet doen

Voor het overgrote deel van het Nederlandse bedrijfsleven: niets. Alleen een onderneming die zich wil aanmelden als leverancier van incident response-diensten voor de EU Cybersecurity Reserve moet aan de selectiecriteria voor ‘trusted providers’ voldoen; de precieze aanmeldingsprocedure is in dit onderzoek niet bij de brontekst geverifieerd.

European Cybersecurity Alert System

Een netwerk van nationale en grensoverschrijdende cyberhubs die met onder meer AI en data-analyse dreigingen vroegtijdig opsporen en waarschuwingen over de grenzen tussen lidstaten heen delen.

Cybersecurity Emergency Mechanism

Drie onderdelen: paraatheidstests bij organisaties in kritieke sectoren zoals financiën, energie en gezondheidszorg; de EU Cybersecurity Reserve; en ondersteuning van wederzijdse bijstand tussen lidstaten bij een grensoverschrijdend incident.

De EU Cybersecurity Reserve

Bestaat uit incident response-diensten van vooraf geselecteerde private ‘trusted providers’, die worden ingezet wanneer een lidstaat of EU-instelling om bijstand vraagt bij een significant cyberincident. De reserve is bedoeld als aanvulling op wat lidstaten zelf al aan capaciteit hebben, niet als vervanging daarvan.

Wat het oplevert voor een ‘trusted provider’

Concrete, betaalde opdrachten op het moment dat de reserve wordt geactiveerd. Toetreding vereist een aanmeldings- en selectieprocedure waarvan de precieze criteria in dit onderzoek niet zijn geverifieerd.

Incident Review Mechanism

Een systeem om grote cyberincidenten achteraf te evalueren, met als doel lessen te trekken en aanbevelingen te doen voor toekomstige preventie en respons.

Financiering

De maatregelen lopen via het Digital Europe Programme (Verordening (EU) 2021/694, die deze verordening wijzigt). Voor cybersecurity is binnen dat programma in totaal circa € 842,8 miljoen beschikbaar; dat bedrag is niet exclusief voor de Cyber Solidarity Act bestemd.

Verhouding tot andere cyberwetgeving

Deze verordening regelt crisisrespons en -voorbereiding op EU-niveau. De beveiligingsplichten van individuele organisaties lopen via andere regelingen: de Cyberbeveiligingswet voor de brede doelgroep, DORA voor de financiële sector, en de Cyber Resilience Act voor fabrikanten van digitale producten.

Toezicht NL

Niet van toepassing in de klassieke zin van bedrijfstoezicht: het NCSC is als nationaal CSIRT de Nederlandse schakel naar het Europese systeem van cyberhubs en het noodmechanisme.

Boete

De verordening legt geen boetes op aan bedrijven: zij richt zich op EU- en lidstaatstructuren, niet op de sanctionering van ondernemingen. Er is dus geen boetebepaling om na te leven.