De Verordening (EU) 2019/881, bij de goedkeuring algemeen bekend als de Cyberbeveiligingswet, dient als het mandaat en regelgevingskader van ENISA. In deze verordening worden de structuur en de belangrijkste verantwoordelijkheden van ENISA, het EU-agentschap voor cyberbeveiliging, vastgelegd en wordt een certificeringskader voor cyberbeveiliging ingesteld voor ICT-producten, -diensten en -processen in de hele EU. Deze verordening is een cruciaal onderdeel van de EU-strategie om de cyberbeveiliging te verbeteren en een geharmoniseerde digitale interne markt te creëren.

Structuur en hoofdstukken

1. Mandaat ENISA: De verordening stelt ENISA permanent in en versterkt zijn rol bij het ondersteunen van lidstaten en EU-instellingen om cyberbeveiliging te verbeteren, te dienen als knooppunt voor expertise en marktfragmentatie te verminderen. Het ENISA heeft als taak te helpen bij de ontwikkeling en uitvoering van EU-beleid, capaciteitsopbouw te bevorderen, operationele samenwerking te ondersteunen en het publiek bewust te maken van de risico's van cyberbeveiliging.
2. Certificeringskader voor cyberbeveiliging: Een aanzienlijk deel van de verordening is gewijd aan het creëren van een Europees certificeringskader voor cyberbeveiliging. Dit kader is bedoeld om gemeenschappelijke certificeringsschema's in de hele EU op te stellen om het vertrouwen in ICT-producten, -diensten en -processen te vergroten. Deze schema's zijn ontworpen om de beveiligingsniveaus (basis, substantieel of hoog) aan te geven en hebben als doel het certificeringslandschap een te maken door nationale schema's te vervangen door een samenhangende EU-brede aanpak.
3. Administratieve structuur: ENISA werkt met een raad van bestuur, een dagelijks bestuur en een adviesgroep, zodat het doeltreffend kan functioneren en zijn uitgebreide verantwoordelijkheden kan nakomen. Daarnaast is er een European Cybersecurity Certification Group (ECCG) opgericht om te helpen bij de ontwikkeling en toepassing van het certificeringskader voor cyberbeveiliging.
4. Toetsing en evaluatie: De verordening bevat bepalingen voor regelmatige evaluaties van de impact van ENISA en de doeltreffendheid van de certificeringsregelingen. De eerste uitgebreide evaluatie was gepland voor 2024 en de daaropvolgende evaluaties moeten om de vijf jaar plaatsvinden.
5. Intrekking van eerdere verordening: De verordening trekt de eerdere Verordening (EU) nr. 526/2013 in en weerspiegelt daarmee de evoluerende EU-benadering van cyberbeveiliging en het toenemende belang van een robuuste en uniforme respons op cyberdreigingen.

De CER-richtlijn is een belangrijke stap voorwaarts in de inspanningen van de EU om kritieke infrastructuur te beschermen tegen een breed scala aan dreigingen. Door duidelijke verplichtingen voor zowel lidstaten als kritieke entiteiten vast te stellen, beoogt de richtlijn een veerkrachtigere en veiligere omgeving in de hele Unie te creëren.