Artikel 21 Europees evaluatiemechanisme voor cyberbeveiligingsincidenten

Op verzoek van de Commissie of EU-CyCLONe, met steun van het CSIRT-netwerk en met goedkeuring van de betrokken lidstaten evalueert en beoordeelt Enisa cyberdreigingen, bekende kwetsbaarheden die kunnen worden uitgebuit, en mitigerende maatregelen met betrekking tot een specifiek significant cyberbeveiligingsincident of grootschalig cyberbeveiligingsincident. Na de voltooiing van een evaluatie en beoordeling van een incident verstrekt Enisa, teneinde daaruit lering te trekken om toekomstige incidenten te voorkomen of te beperken, een evaluatieverslag over het incident aan EU-CyCLONe, het CSIRT-netwerk, de betrokken lidstaten en de Commissie om hen te ondersteunen bij de uitvoering van hun taken, met name met het oog op de in de artikelen 15 en 16 van Richtlijn (EU) 2022/2555 vastgestelde taken. Wanneer een incident gevolgen heeft voor een met het programma Digitaal Europa geassocieerd derde land, verstrekt Enisa het verslag aan de Raad. In die gevallen verstrekt de Commissie het verslag aan de hoge vertegenwoordiger.

Om het in lid 1 van dit artikel bedoelde evaluatieverslag over het incident op te stellen, werkt Enisa samen, en verzamelt feedback van, alle relevante belanghebbenden, waaronder vertegenwoordigers van de lidstaten, de Commissie, andere relevante EU-instellingen, -organen en -instanties, de sector, waaronder aanbieders van beheerde beveiligingsdiensten, en gebruikers van cyberbeveiligingsdiensten. In voorkomend geval werkt Enisa, in overleg met CSIRT’s en, indien relevant, met uit hoofde van artikel 8, lid 1, van Richtlijn (EU) 2022/2555 aangewezen of ingestelde autoriteiten, ook samen met entiteiten die getroffen zijn door significante cyberbeveiligingsincidenten of grootschalige cyberbeveiligingsincidenten. De geraadpleegde vertegenwoordigers maken elk mogelijk belangenconflict bekend.

Het in lid 1 van dit artikel bedoelde evaluatieverslag over het incident omvat een evaluatie en analyse van het specifieke significante cyberbeveiligingsincident of grootschalige cyberbeveiligingsincident, met inbegrip van de belangrijkste oorzaken, bekende kwetsbaarheden die kunnen worden uitgebuit en geleerde lessen. Enisa zorgt ervoor dat het verslag voldoet aan het Unie- of nationale recht inzake de bescherming van gevoelige of gerubriceerde informatie. Indien de betrokken lidstaten of andere in artikel 14, lid 3, bedoelde gebruikers die zijn getroffen door het incident daarom verzoeken, zijn de gegevens en informatie van het verslag alleen geanonimiseerde gegevens. Het verslag bevat geen details over actief uitgebuite kwetsbaarheden die nog niet verholpen zijn.

In voorkomend geval worden in het evaluatieverslag over het incident aanbevelingen gedaan om de cyberstrategie van de Unie te verbeteren en kan het verslag beste praktijken en geleerde lessen van relevante belanghebbenden bevatten.

Enisa kan een openbaar beschikbare versie van het evaluatieverslag over het incident uitbrengen. Die versie van het verslag bevat uitsluitend betrouwbare openbare informatie, of andere informatie met toestemming van de betrokken lidstaat of lidstaten, en, wat betreft informatie over een in artikel 14, lid 3, punt b) of punt c), bedoelde gebruiker, met toestemming van die gebruiker.