7.2.1 Theoretische basis

De EU-visie op cyberbeveiliging komt voor het eerst duidelijk naar voren in de EU-Cyberbeveiligingsstrategie uit 2013.1 Deze strategie is opgesteld naar aanleiding van het groeiende belang van cyberspace. In de strategie zijn onder andere de kansen en gevaren van cyberspace beschreven en is de wens geuit “de digitale omgeving in de EU de veiligste in de wereld te maken”.2 Ook in de Cybersecuritystrategie uit 2020 klinkt dit doel door, net als in andere Europese beleidsdocumenten.3

De EU benadert het belang van cyberbeveiliging op beleidsmatig niveau voornamelijk vanuit maatschappelijk en economisch perspectief.4

Vanuit maatschappelijk perspectief gaat de EU ervan uit dat cyberbeveiliging om verschillende redenen van belang is. Ten eerste is het een belangrijke voorwaarde voor een open en vrije digitale wereld, doordat het bijvoorbeeld zorgt voor de bescherming van grondrechten en fundamentele vrijheden.5 Het draagt zo bij aan de politieke en maatschappelijke cohesie over de hele wereld.6 Ook is het een middel om de kwetsbaarheid van de EU te verkleinen. Zo wordt de kans op bepaalde noodsituaties verkleind, zoals het verlies van de controle over een waterkeringsinstallatie. Ten slot gaat cyberbeveiliging economisch-maatschappelijke schade die bijvoorbeeld kan ontstaan na een storing in een systeem van een essentiële dienstverlener tegen, zoals het stilliggen van het girale betalingsverkeer of de drinkwatervoorziening.7

De economische cyberbeveiligingsbenadering is uitgewerkt in de Digitale Eengemaakte Marktstrategie. Zij komt voort uit het idee dat de EU “een leiderspositie in de wereldwijde digitale economie” kan vervullen bij een volledige benutting van de kansen van de Europese digitale markt.8 In dit kader zet de EU onder meer in op de toename van het grensoverschrijdend gebruik (en de grensoverschrijdende afzet) van digitale netwerken, digitale diensten en ICT-producten door ondernemingen en consumenten.9 Zij acht het vertrouwen van de inwoners van de EU-lidstaten in deze toepassingen in dit kader essentieel,10 en ziet voor het opwekken daarvan een belangrijke rol weggelegd voor cyberbeveiliging.11 De EU wil de innovatie op het gebied van cyberbeveiliging daarom stimuleren, en daarnaast bijvoorbeeld investeren in onderzoek op dit punt. Ook benadrukt de EU het belang van effectieve wetgeving. Die zou kunnen bewerkstelligen dat beveiligingsincidenten worden afgewend, de gevolgen van dergelijke incidenten worden beperkt en de grondrechten en fundamentele vrijheden van de burgers die gebruikmaken van de toepassingen worden beschermd.12

Bij de realisatie van de EU-cyberbeveiligingsdoelen is een belangrijke rol weggelegd voor grondrechtenbescherming. De EU overweegt in dit kader zelfs dat cyberbeveiliging alleen krachtig en doeltreffend kan zijn als zij is gebaseerd op de grondrechten en vrijheden zoals vastgelegd in het Handvest.13 Beveiligingsincidenten kunnen resulteren in een schending van bijvoorbeeld de rechten op de vrijheid van meningsuiting, de bescherming van persoonsgegevens en de eerbiediging van de persoonlijke levenssfeer.14 De EU beoogt zulke incidenten te voorkomen met regels over cyberbeveiliging.15 Hierbij acht zij de relatie tussen deze bescherming aan de ene kant en cyberbeveiliging aan de andere kant tweeledig. Aan de ene kant kunnen de rechten of vrijheden van het individu niet worden beschermd zonder veilige netwerken en systemen. Aan de andere kant moeten cyberbeveiligingsmaatregelen waarbij gebruik wordt gemaakt van persoonsgegevens voldoen aan de AVG (en dus de regels die de rechten en vrijheden beogen te beschermen).16 De AVG-beveiligingsbepalingen spelen dan ook een belangrijke rol bij de vormgeving van beveiliging. Voor zover het de economische kant van cyberbeveiliging betreft, bleek dit ook reeds in §5.3.3. In het kader van de maatschappelijke, maar niet-grondrechtelijke, kant van cyberbeveiliging is voornamelijk de NIB-richtlijn van belang, die hierna ter sprake komt (§7.3.5.).