Overheid & open data
ENISA (European Union Agency for Cybersecurity)
ENISA is het EU-agentschap voor cyberbeveiliging, opgericht in 2004 en met een permanent mandaat sinds de Cybersecurity Act, Verordening (EU) 2019/881. Het agentschap ondersteunt EU-cyberbeleid, bereidt Europese certificeringsregelingen voor, bouwt capaciteit en kennis op, en faciliteert samenwerking tussen lidstaten en EU-organen op strategisch, operationeel en technisch niveau. Daarnaast ontwikkelt en onderhoudt ENISA de Europese kwetsbaarheidsdatabase en publiceert het analyses over de staat van cyberbeveiliging in de Unie, sectorale guidance en praktische handreikingen.
Naar de website van de bronWelke producten deze bron raadplegen
BEVER — Direct raadplegen
De bron wordt tijdens het werk rechtstreeks geraadpleegd.
IRMA — Direct raadplegen
De bron wordt tijdens het werk rechtstreeks geraadpleegd.
Beschikbaarheid hangt af van de inrichting en toegangsrechten van uw organisatie.
Wat deze bron niet geeft
ENISA is geen toezichthouder en geen juridische bron: het agentschap houdt geen toezicht op organisaties en legt geen maatregelen op. Onder NIS2 ligt het toezicht bij de bevoegde autoriteiten die elke lidstaat op grond van artikel 8 aanwijst of instelt. ENISA-publicaties zijn hulpmiddelen, geen normen: ze scheppen geen verplichtingen en tonen niet aan dat aan een verplichting is voldaan.
Veelgestelde vragen
- Kan ik met ENISA-guidance aantonen dat ik aan NIS2 voldoe?
- Nee. ENISA-materiaal helpt bij het inrichten van maatregelen, maar de norm staat in de NIS2-richtlijn en vooral in de nationale wet waarin die richtlijn is omgezet. Wie beoordeelt of een organisatie voldoet, is de nationale bevoegde autoriteit, niet ENISA. Gebruik ENISA-documenten dus als onderbouwing van gemaakte keuzes, en niet als het normkader zelf.
- Wie houdt dan wel toezicht op NIS2?
- Artikel 8 van NIS2 verplicht elke lidstaat een of meer bevoegde autoriteiten aan te wijzen of in te stellen die verantwoordelijk zijn voor cyberbeveiliging en voor de toezichthoudende taken uit hoofdstuk VII van de richtlijn. Die autoriteiten monitoren de tenuitvoerlegging op nationaal niveau. Daarnaast wijst elke lidstaat een centraal contactpunt aan voor grensoverschrijdende samenwerking. Toezicht en handhaving zijn dus nationaal georganiseerd, ook al is de norm Europees.
- Wat is de Europese kwetsbaarheidsdatabase van ENISA?
- Artikel 12, tweede lid, van NIS2 draagt ENISA op een Europese kwetsbaarheidsdatabase te ontwikkelen en te onderhouden, na raadpleging van de samenwerkingsgroep, inclusief de bijbehorende informatiesystemen, beleidsmaatregelen en procedures. Doel is dat entiteiten en hun leveranciers publiek bekende kwetsbaarheden in ICT-producten en -diensten kunnen raadplegen, ook als die entiteiten zelf niet onder de richtlijn vallen. Het eerste lid van hetzelfde artikel regelt de gecoordineerde bekendmaking van kwetsbaarheden via een door de lidstaat aangewezen coordinerend CSIRT.
- Stelt ENISA de Europese cyberbeveiligingscertificering vast?
- ENISA bereidt ze voor, maar stelt ze niet vast. Volgens artikel 49 van de Cybersecurity Act stelt ENISA een potentiele regeling op naar aanleiding van een verzoek van de Europese Commissie, of desgevraagd van de Europese groep voor cyberbeveiligingscertificering. Dat gebeurt via een open en transparante raadpleging en een ad-hocwerkgroep. De potentiele regeling gaat vervolgens naar de Commissie, die haar vaststelt. Een verwijzing naar 'de ENISA-regeling' is dus onnauwkeurig zodra het om de geldende regeling gaat.
- Waarvoor is het ENISA-dreigingsbeeld dan wel bruikbaar?
- Voor context en onderbouwing. De analyses over de staat van cyberbeveiliging in de Unie, de sectorale dreigingsbeelden en de handreikingen voor specifieke doelgroepen geven een beeld van wat er speelt en van wat als goede praktijk geldt. Dat is bruikbaar bij risicobeoordelingen, bij het motiveren van maatregelen en bij het beoordelen van leveranciers. Het zegt niets over de situatie in een concrete organisatie en levert geen oordeel op dat een toezichthouder of rechter bindt.