None
7670/22



pc



ORG.5.C


NL



 Raad van de
Europese Unie





Brussel , 28 maart  2022
(OR. en)


7670 /22




CSC 128
CSCI 45
CYBER 100
INST 99
INF 40
CODEC 385
IA 34

Interinstitutioneel dossier:
2022/0084(COD)


VOORSTEL
van: de secretaris -generaal van de Europese Commiss ie, ondertekend door
mevrouw Martine DEPREZ, directeur
ingekomen:  22 maart  2022
aan: de heer Jeppe TRANHOLM -MIKKELSEN, secretaris -generaal van de
Raad van de Europese Unie
nr. Comdoc.:  COM(2022) 119 final
Betreft:  Voorstel voor een VERORDENING VAN HET EUROPEES
PARLEMENT EN DE RAAD betreffende informatiebeveiliging in de
instellingen, organen en instanties van de Unie


Hierbij gaat voor de delegaties document
COM(2022) 119 final.
Bijlage:
COM(2022) 119 final


NL



NL




EUROPESE

COMMISSIE


Brussel, 22.3.2022

COM(2022) 119 final

2022/0084 (COD)


Voorstel voor een

VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD

betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie

 {SWD(2022)  65  final}  -  {SWD(2022)  66  final}

舶
糾

NL 1  NL TOELICHTING
1. ACHTERGROND  VAN  HET  VOORSTEL
• Motivering en doel van het voorstel
Dit voorstel is een onderdeel van de EU -strategie voor de veiligheidsunie1 die de Commissie
op 24 juli 2020  heeft aangenomen, waarbij zij zich ertoe verbond de nationale
veiligheidsinspanningen te ondersteunen met de meerwaarde die de Europese Unie biedt.
Onderdeel van deze verbintenis  is het initiatief om de interne rechtskaders op het gebied van
informatiebeveiliging in alle instellingen en organen van de Unie te stroomlijnen.
 Een belangrijk onderdeel van de strategische agenda voor 2019 –2024 , die de Europese Raad
in juni 2019  heeft a angenomen, is de bescherming van onze samenlevingen tegen de steeds
veranderende dreigingen waaraan de door de instellingen en organen verwerkte informatie
blootstaat. De Europese Raad verzocht in zijn conclusies2 in het bijzonder “de EU -instellingen
om sa men met de lidstaten aan maatregelen te werken om de weerbaarheid te vergroten en de
veiligheidscultuur van de EU tegen cyber - en hybride dreigingen van buiten de EU te
verbeteren, en om de informatie - en communicatienetwerken en de besluitvormingsprocesse n
van de EU beter te beschermen tegen alle soorten kwaadwillige activiteiten”.
Op diezelfde lijn concludeerde de Raad Algemene Zaken van december 20193 dat de
instellingen, organen en instanties, ondersteund door de lidstaten, een uitgebreide reeks
maatreg elen moeten uitwerken en toepassen om hun veiligheid te waarborgen. Ook het
Beveiligingscomité van de Raad vraagt al geruime tijd dat onderzoek wordt gedaan naar een
gemeenschappelijke kern van beveiligingsvoorschriften voor de Raad, de Commissie en de
Europese Dienst voor extern optreden4.
De instellingen en organen van de Unie hebben momenteel ofwel elk hun eigen voorschriften
op het gebied van informatiebeveiliging, gebaseerd op hun reglement van orde of
oprichtingshandeling, ofwel helemaal geen voorschr iften op dat gebied. Dat laatste geldt met
name voor enkele kleine entiteiten die geen formeel beleid hebben op het gebied van
informatiebeveiliging.
 Door de steeds grotere hoeveelheden gevoelige niet -gerubriceerde informatie en
gerubriceerde informatie v an de Europese Unie (“EUCI”) die de instellingen en organen van
de Unie onderling moeten uitwisselen en door de dramatische ontwikkeling van het
dreigingslandschap staat het Europese bestuur bloot aan aanvallen op alle gebieden waarop
het actief is. De inf ormatie die onze instellingen en organen verwerken, is zeer aantrekkelijk
voor de dreigingsactoren en moet adequaat worden beschermd. Voor een betere bescherming
moet daarom snel actie worden ondernomen.
Om de door het Europese bestuur verwerkte informatie  beter te beschermen, beoogt dit
initiatief de verschillende rechtskaders van de instellingen en organen van de Unie op dit
gebied te stroomlijnen door:
• uitgebreide geharmoniseerde informatiecategorieën en gemeenschappelijke
verwerkingsvoorschriften vast  te stellen voor alle instellingen en organen van de
Unie;

1 Mededeling betreffende de EU -strategie voor de veiligheidsunie, COM( 2020 ) 605 van 24 juli 2020
(strategische prioriteit “Een toekomstbestendige veiligheidsomgeving”).
2 EUCO 9/19.
3 14972 /19.
4 WK 10563 /2018  INIT afdeling 9.
NL 2  NL • een flexibele regeling voor de samenwerking inzake informatiebeveiliging tussen de
instellingen en organen van de Unie op te zetten, waarmee voor het gehele Europese
bestuur een samenhangende in formatiebeveiligingscultuur tot stand kan worden
gebracht;
• het informatiebeveiligingsbeleid op alle rubricerings - en categoriseringsniveaus te
moderniseren voor alle instellingen en organen van de Unie, rekening houdend met
de digitale transformatie en d e ontwikkeling van thuiswerken als structurele praktijk.
• Samenhang met bestaande bepalingen op het beleidsterrein
Dit initiatief is in overeenstemming met een breed scala aan EU -beleid op het gebied van
veiligheid en informatiebeveiliging.
 Al in 2016  stelden het Europees Parlement en de Raad een richtlijn5 vast met maatregelen
voor een hoog gemeenschappelijk niveau van beveiliging van netwerk - en
informatiesystemen in de Unie. Die richtlijn was de eerste EU -brede wetgevingsmaatregel
waarmee werd gestreefd  naar nauwere samenwerking tussen de lidstaten op het gebied van
cyberbeveiliging. De Commissie kwam in december 2020  met een voorstel tot herziening van
dit instrument, waarbij toezichtmaatregelen voor de nationale autoriteiten werden voorgesteld,
maar da t had geen betrekking op het bestuur van de Unie.
Ter bescherming van de informatiebeveiliging is het ook, als aanvulling op de inspanningen
van de lidstaten op veiligheidsgebied, van het allergrootste belang dat de instellingen en
organen van de Unie zor gen voor een hoog niveau van bescherming van hun informatie en de
daarmee samenhangende informatie - en communicatiesystemen.
De Commissie stelde in juli 2020  de strategie voor de veiligheidsunie vast6, waarin de EU
zich er op alle vlakken toe verbindt de i nspanningen van de lidstaten op alle
beveiligingsterreinen aan te vullen. De strategie loopt van 2020  tot en met 2025  en voorziet in
vier grote actiegebieden: een toekomstbestendige veiligheidsomgeving, aanpak van
veranderende dreigingen, bescherming van E uropeanen tegen terrorisme en georganiseerde
misdaad en een krachtig Europees veiligheidsecosysteem. Verschillende thema’s op deze
gebieden zijn gericht op informatiebeveiliging, cyberbeveiliging, samenwerking en
informatie -uitwisseling en kritieke infrast ructuur.
 In overeenstemming met de strategie voor de veiligheidsunie stelt de Europese Commissie
voor een minimumreeks voorschriften op het gebied van informatiebeveiliging op te stellen
voor alle instellingen en organen van de Unie, waarbij verplichte, st rikte gemeenschappelijke
normen voor de veilige uitwisseling van informatie tot stand zullen komen. Dit initiatief toont
aan dat de instellingen en organen zich ertoe verbinden om binnen het Europese bestuur
evenveel ambitie op het gebied van veiligheid te  tonen als van de lidstaten wordt geëist.
Op 16 december 2020  hebben de Commissie en de hoge vertegenwoordiger voor buitenlandse
zaken en veiligheidsbeleid een nieuwe EU -strategie inzake cyberbeveiliging7 gepresenteerd.
Daarin werden prioriteiten en belang rijke maatregelen voorgesteld om veerkracht, autonomie,
leiderschap en operationele capaciteit voor Europa op te bouwen in het licht van de

5 Richtlijn (EU) 2016 /1148  van het Europees Parlement en de Raad van 6 juli 2016  houdende
maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk - en
informatiesystemen in de Unie (PB L  194 van 19.7.2016 , blz.  1).
6 C(2020 ) 605.
7 De EU -strategie inzake cyberbeveiliging voor het digitale tijdperk — De digitale toekomst van Europa
vormgeven (europa.eu), een gezamenlijke mededeling met de hoge vertegenwoordiger van de Unie
voor buitenlandse zaken en veiligheidsbeleid ( JOIN( 2020 ) 18) en een herziening van de richtlijn
netwerk - en informatiebeveiliging (NIS) (COM( 2020 ) 823).
NL 3  NL toenemende complexe dreigingen voor netwerk - en informatiesystemen, en om een mondiale
open cyberspace en internatio nale partnerschappen in dat verband te bevorderen. Het is
evenzeer belangrijk dat de instellingen en organen van de Unie bijdragen tot de
verwezenlijking van deze prioriteiten door gelijkwaardige eisen op het gebied van
informatiebeveiliging en cyberbeveil iging vast te stellen.
 Samen met het voorstel voor een verordening betreffende maatregelen voor een hoog
gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie
beoogt dit voorstel de regelgeving in het kader van de s trategie voor de veiligheidsunie te
vervolledigen met specifieke vereisten voor het Europese bestuur. Gezien de onderlinge
verbanden tussen informatiebeveiliging en cyberbeveiliging moet ten aanzien van deze twee
voorstellen worden gezorgd voor een coheren te aanpak van de bescherming van niet -
gerubriceerde informatie.
• Verenigbaarheid met andere beleidsterreinen van de Unie
Dit initiatief houdt ook rekening met andere beleidsterreinen van de Unie die voor
informatiebeveiliging relevant zijn.
Op het gebied  van gegevensbescherming is Verordening (EU) 2018 /17258 betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens
door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van
die gegevens van toepassing op het bestuur van de Europese U nie en de Europese
Gemeenschap voor Atoomenergie (Euratom). Ook moet worden vermeld dat de EU -
wetgevers voor sommige instellingen en organen van de Unie specifieke relevante regels voor
de bescherming van persoonsgegevens hebben vastgesteld.
Wat transparantie betreft, bouwt dit voorstel voort op de beginselen die zijn neergelegd in
Verordening (EG) nr. 1049 /20019 inzake de toegang van het publiek tot documenten van het
Europees Parlement, de Raad en de Commissie, met betrekking tot andere rele vante regels.
2. RECHTSGRONDSLAG,  SUBSIDIARITEIT  EN EVENREDIGHEID
• Rechtsgrondslag
Gezien het doel en de inhoud van dit voorstel vormen artikel  298 van het Verdrag betreffende
de werking van de Europese Unie (VWEU) en artikel  106 bis van het Verdrag tot o prichting
van de Europese Gemeenschap voor Atoomenergie de meest geschikte rechtsgrondslag.
 Artikel  298 VWEU, ingevoerd bij het Verdrag van Lissabon, stelt de wetgevers in staat
bepalingen vast te stellen voor de totstandbrenging van een efficiënt en onaf hankelijk
ambtenarenapparaat dat de instellingen, organen en instanties bij de uitvoering van hun taken
ondersteunt.
Een efficiënt en onafhankelijk ambtenarenapparaat moet kunnen vertrouwen op de veiligheid
van zijn informatie. Om hun taken te vervullen, m oeten de instellingen en organen van de
Unie kunnen beschikken over een beveiligde omgeving voor de informatie die zij dagelijks
verwerken en opslaan. Bovendien zou een gemeenschappelijk basisniveau van verplichte

8 Verordening (EU) 2018 /1725  van het Europees Parlement en de Raad van 23 oktober 2018  betreffende
de bescherming van natuurlijke personen in verband  met de verwerking van persoonsgegevens door de
instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot
intrekking van Verordening (EG) nr. 45/2001  en Besluit nr. 1247 /2002 /EG (PB L  295 van 21.11.2018 ,
blz. 39).
9 Verordening (EG) nr.  1049 /2001  van het Europees Parlement en de Raad van 30 mei 2001  inzake de
toegang van het publiek tot documenten van het Europees Parleme nt, de Raad en de Commissie
(PB L 145 van 31.5.2001 , blz.  43).
NL 4  NL normen voor iedereen een hoge mate van vei ligheid garanderen, het risico op zwakke
schakels bij de ondersteuning van de interoperabiliteit tussen instellingen en organen
verminderen en synergie tot stand brengen, waardoor de overheid beter weerbaar is tegen de
veranderende dreigingen.
 Dit voorstel , waarvan het algemene doel is een hoog gemeenschappelijk niveau van
beveiliging tot stand te brengen voor EUCI en niet -gerubriceerde informatie die door de
instellingen en organen van de Unie worden verwerkt en opgeslagen, zal het Europese bestuur
bovendi en in staat stellen zich beter te verweren tegen externe inmenging en
spionageactiviteiten.
Op grond van artikel  298 VWEU kan de Unie gemeenschappelijke regels vaststellen voor het
gehele Europese bestuur en aldus waarborgen dat zowel EUCI als niet -gerubr iceerde
informatie door alle instellingen en organen van de Unie op dezelfde wijze wordt behandeld.
Zo worden bij deze verordening regels vastgesteld die van toepassing zijn op het bestuur en
kunnen indirect alleen verplichtingen worden opgelegd aan person en die taken verrichten
namens dit bestuur of op contractuele basis; dus niet aan de commissarissen, de
vertegenwoordigers van de lidstaten die in het kader van de Raad handelen, de leden van het
Europees Parlement, de rechters van de rechterlijke instanti es van de Unie of de leden van de
Europese Rekenkamer.
Overeenkomstig artikel  298 VWEU moeten het Europees Parlement en de Raad de
desbetreffende bepalingen volgens de gewone wetgevingsprocedure bij verordeningen
vaststellen.
Dit voorstel vereist een aanv ullende rechtsgrondslag aangezien het ook betrekking heeft op de
informatie die verband houdt met bepaalde activiteiten van de Europese Gemeenschap voor
Atoomenergie. Dergelijke informatie is geen gerubriceerde Euratom -informatie, maar wordt
door de instel lingen en organen van de Unie behandeld in het kader van de algemene regeling
voor EUCI.
Deze aanvullende rechtsgrondslag is artikel  106 bis van het Verdrag tot oprichting van de
Europese Gemeenschap voor Atoomenergie, waardoor artikel  298 VWEU ook van toe passing
is op bovengenoemde Euratom -activiteiten.
 • Subsidiariteit (voor niet -exclusieve bevoegdheden)
Overeenkomstig het in artikel 5, lid 3, van het Verdrag betreffende de Europese Unie (VEU)
neergelegde subsidiariteitsbeginsel mag slechts op het niveau van de Unie worden opgetreden
wanneer de doelstellingen van het overwogen optreden niet voldoende door de lidstaten alleen
kunnen worden verwezenlijkt, maar vanwege de omvang of de gevolgen van het overwogen
optreden beter door de EU kunnen worden bereikt.
Aangezien alleen de Unie voorschriften kan vaststellen en inzake EUCI en gevoelige niet -
gerubriceerde informatie die door de instellingen en organen van de Unie wordt verwerkt en
opgeslagen, is het subsidiariteitsbeginsel niet van toepassing.
• Evenredig heid
De vaststelling van een gemeenschappelijk basisniveau van informatiebeveiliging dat voor
alle instellingen en organen van de Unie geldt, is noodzakelijk om bij te dragen tot een
onafhankelijk en efficiënt bestuur.
Overeenkomstig het in artikel  5, lid 4, VEU neergelegde evenredigheidsbeginsel zijn de
bepalingen van de verordening niet te prescriptief en laten zij ruimte voor verschillende
niveaus van specifiek optreden, in overeenstemming met het maturiteitsniveau op
beveiligingsgebied van elke instelli ng en elk orgaan van de Unie.
NL 5  NL Bovendien heeft de oplossing beperkte gevolgen voor de grondrechten van personen. Het
voorstel gaat derhalve niet verder dan wat nodig is voor de aanpak van het probleem dat er
geen gemeenschappelijke reeks voorschriften inzak e informatiebeveiliging bestaat voor alle
instellingen en organen van de Unie.
• Keuze van het instrument
Een verordening op basis van artikel  298 VWEU wordt als het passende rechtsinstrument
beschouwd.
De reden daarvoor is de overheersende rol van element en die een uniforme toepassing
vereisen, die de instellingen en organen van de Unie geen uitvoeringsmarge laat en die een
horizontaal minimumkader creëert.
 3. EVALUATIE,  RAADPLEGING  VAN  BELANGHEBBENDEN  EN
EFFECTBEOORDELING
• Evaluatie van bestaande wetgevi ng en controle van de resultaatgerichtheid
ervan
Niet van toepassing
• Raadpleging van belanghebbenden
De Commissie heeft de belangrijkste belanghebbenden op brede basis geraadpleegd over
diverse aspecten van de voorschriften inzake informatiebeveiliging v an de instellingen en
organen van de Unie. De raadplegingsactiviteiten waren er met name op gericht relevante
input te verzamelen voor het opstellen van een wetgevingsinitiatief inzake de voorschriften
voor informatiebeveiliging die voor alle instellingen en organen van de Unie gelden. De
raadplegingen waren bedoeld om input te verzamelen over:
• problemen in verband met het bestaande kader voor informatiebeveiliging binnen de
instellingen en organen van de Unie die volgens belanghebbenden in het kader van
het initiatief moeten worden aangepakt;
• de relevantie, doeltreffendheid, efficiëntie en toegevoegde waarde van het initiatief;
• de verwachte effecten van het initiatief en mogelijke andere consequenties voor de
belanghebbenden.
Bij de voorbereiding van dit wetgevingsvoorstel heeft de Commissie de volgende categorieën
belanghebbenden geraadpleegd:
1. instellingen, organen en instanties van de Unie;
2. nationale veiligheidsautoriteiten in de lidstaten;
3. onderzoeksdeskundigen van het JRC.
Gezien de bijzo ndere kenmerken van dit initiatief, dat uitsluitend van toepassing is op de
instellingen en organen van de Unie en weinig gevolgen heeft voor de Europese burgers en
bedrijven, hebben de diensten van de Commissie ervoor gekozen prioriteit te geven aan het
verzamelen van de standpunten van de relevante groepen belanghebbenden. Er is daarom
geen openbare raadpleging  specifiek voor dit wetgevingsinitiatief gehouden.
 Tijdens het raadplegingsproces hebben de diensten van de Commissie de volgende methoden
en vorme n van raadpleging gebruikt:
1. de mogelijkheid voor alle belanghebbenden om via het platform “Geef uw mening”
van de Commissie feedback te geven over de aanvangseffectbeoordeling;
NL 6  NL 2. een gerichte vragenlijst voor deskundigen op het gebied van informatiebev eiliging
binnen de instellingen en organen van de Unie, via een online EU -enquête;
3. een gerichte vragenlijst voor de nationale veiligheidsautoriteiten van de lidstaten, via
een online EU -enquête;
4. een verzoek om een op maat gesneden risicobeoordeling v an de essentiële
informatiebeveiligingsinstrumenten;
5. een groot aantal bijeenkomsten en uitwisselingen met instellingen, organen en
instanties, en nationale veiligheidsautoriteiten van de lidstaten.
De belangrijkste inzichten waartoe de raadplegingsactiv iteiten hebben geleid, zijn volgens de
Commissie:
• de versnippering van de relevante rechtskaders tussen onze instellingen en organen
leidt tot veel dubbel werk voor het opstellen en handhaven van interne regels en tot
niet-interoperabele praktijken bij d e verwerking van informatie. Voor de lidstaten
leiden de verschillende regels tot een groter risico op misverstanden, verkeerde
interpretatie en niet -naleving;
• door een basisniveau van informatiebeveiliging voor alle instellingen en organen van
de Unie v ast te stellen, wordt een ecosysteem gecreëerd met gestandaardiseerde
beveiligingsvoorschriften en beste praktijken, maar er moet rekening worden
gehouden met de diversiteit en het verschillende bedrijfsklimaat van alle instellingen
en organen van de Unie en lokale oplossingen moeten mogelijk zijn;
• alle instellingen en organen van de Unie blijven volledig verantwoordelijk voor hun
organisatie van de informatiebeveiliging, en dit initiatief moet derhalve de autonomie
en de verschillende niveaus van beveili gingsmaturiteit van elk van die instellingen en
organen respecteren.
• Bijeenbrengen en benutten van deskundigheid
De Commissie heeft haar eigen middelen gebruikt voor de raadpleging van belanghebbenden.
 Het directoraat Beveiliging van DG HR heeft werkzaam heden verricht met betrekking tot de
enquêtes, videoconferenties en andere workshops. Deze taak omvatte zowel de selectie van
deelnemers als de organisatie van evenementen en de verwerking van de ontvangen input.
Het Gemeenschappelijk Centrum voor Onderzoe k (JRC) heeft een risicobeoordeling
uitgevoerd van de belangrijkste informatiebeveiligingsvoorzieningen, die als basis voor de
effectbeoordeling is gebruikt.
• Effectbeoordeling
Dit initiatief is uitsluitend gericht tot de instellingen en organen van de Un ie en heeft beperkte
gevolgen voor de lidstaten en individuele personen. Het was daarom niet nodig om een
volledige effectbeoordeling uit te voeren, aangezien er geen duidelijk identificeerbare of
significante gevolgen zijn voor burgers en bedrijven. Op de  Europa -website is een uitgebreide
routekaart gepubliceerd en feedback van de relevante belanghebbenden is verzameld.
• Resultaatgerichtheid en vereenvoudiging
Niet van toepassing.
NL 7  NL • Grondrechten
De EU heeft zich ertoe verbonden hoge normen voor de bescher ming van de grondrechten te
waarborgen. Dit initiatief waarborgt volledige naleving van de grondrechten die zijn
vastgelegd in het Handvest van de grondrechten van de Europese Unie10, namelijk:
• Recht op behoorlijk bestuur11
Door de beveiliging van de informatie die zij verwerken bij de behandeling van zaken van
Europese burgers te verbeteren, dragen de instellingen en organen van de Unie bij tot de
verwezenlijking van het beginsel van behoorlijk bestuur.
• De bescherming van persoonsgegevens12
Alle ver werking van persoonsgegevens in het kader van dit voorstel vindt plaats in een
betrouwbare omgeving met volledige inachtneming van Verordening (EU) 2018 /1725  van het
Europees Parlement en de Raad.
• Recht van inzage in documenten13
De toegang van het publiek tot EUCI en gevoelige niet -gerubriceerde documenten blijft
volledig geregeld bij Verordening (EG) nr.  1049 /2001  van het Europees Parlement en de
Raad.
 • Het recht op intellectuele eigendom14
Bij de verwerking en opslag van niet -gerubriceerde informa tie en EUCI beschermen de
instellingen en organen van de Unie de intellectuele eigendom overeenkomstig Richtlijn
2001 /29/EG van het Europees Parlement en de Raad15.
• De vrijheid van meningsuiting en van informatie16
Hoewel het iedereen vrijstaat om zonder i nmenging van het openbaar gezag informatie en
ideeën te ontvangen en te delen, belet dit de Unie niet de voorwaarden vast te stellen voor de
toegang tot en de verwerking en de opslag van bepaalde soorten informatie, op basis van hun
vertrouwelijkheidsnivea u.
De uitoefening van deze vrijheden kan worden onderworpen aan voorwaarden en beperkingen
die bij de wet worden bepaald en die in een democratische samenleving noodzakelijk zijn om
te voorkomen dat in vertrouwen en in het belang van de veiligheid van de E U ontvangen
informatie openbaar wordt gemaakt.
4. GEVOLGEN  VOOR  DE BEGROTING
Dit voorstel vereist de aanstelling van één AD -ambtenaar en één AST -assistent voor het
permanente secretariaat van de coördinatiegroep, dat wordt verzorgd door de Commissie en
wordt ondergebracht bij het directoraat Beveiliging van het directoraat -generaal Personele
Middelen en Veiligheid.
10 Handvest van de gron drechten van de Europese Unie (PB C 326 van 26.10.2012 , blz. 391).
11 Artikel 41 van het Handvest van de grondrechten van de Europese Unie.
12 Artikel 8 van het Handvest van de grondrechten van de Europese Unie.
13 Artikel 42 van het Handvest van de grondrec hten van de Europese Unie.
14 Artikel 17 van het Handvest van de grondrechten van de Europese Unie.
 15 Richtlijn 2001 /29/EG van het Europees Parlement en de Raad van 22 mei 2001  betreffende de
harmonisatie van bepaalde aspecten van het auteursrecht en de nab urige rechten in de
informatiemaatschappij (PB L  167 van 22.6.2001 , blz.  10).
16 Artikel 11 van het Handvest van de grondrechten van de Europese Unie.
NL 8  NL Voor de instellingen en organen worden kostenbesparingen verwacht in verband met gedeelde
en gezamenlijke taken en doordat potentiële economisch e schade als gevolg van
veiligheidsincidenten wordt voorkomen door verbetering van de informatiebeveiliging.
Anderzijds kunnen de financiële inspanningen die nodig zijn voor de uitvoering van de
nieuwe wetgeving worden gedekt in het kader van de bestaande programma’s ter verbetering
van de informatiebeveiliging in elke instelling en elk orgaan van de Unie.
5. ANDERE  ELEMENTEN
• Uitvoeringsplanning en regelingen betreffende controle, evaluatie en rapportage
Het voorstel voorziet in een verplichting voor de C ommissie om iedere drie jaar aan het
Europees Parlement en de Raad verslag uit te brengen over de uitvoering van deze
verordening, met inbegrip van de werking van de bij deze verordening ingestelde governance.
Bovendien evalueert de Commissie om de vijf ja ar deze verordening om de feitelijke
prestaties ervan te beoordelen en op basis daarvan na te gaan of de wetgeving moet worden
gewijzigd.
• Artikelsgewijze toelichting
Dit voorstel is opgebouwd rond de vereisten voor het verwerken en opslaan van niet -
gerub riceerde informatie en EUCI; dit zijn de belangrijkste onderwerpen van het initiatief en
betere bescherming ervan is het onderliggende doel.
Onderwerp en toepassingsgebied (artikel 1 en artikel 2)
Bij deze verordening wordt een minimumreeks regels inzake i nformatiebeveiliging
vastgesteld, die van toepassing zijn op alle instellingen en organen van de Unie.
 Het voorstel is van toepassing op alle informatie die door de instellingen en organen van de
Unie wordt verwerkt en opgeslagen, met inbegrip van informa tie in verband met de
activiteiten van de Europese Gemeenschap voor Atoomenergie, met uitzondering van
gerubriceerde Euratom -informatie. Zowel niet -gerubriceerde informatie als EUCI valt onder
deze verordening.
Definities en algemene beginselen (artikelen 3 tot en met 5)
De definities in artikel  3 zijn gebaseerd op de huidige regels inzake informatiebeveiliging die
door de afzonderlijke instellingen en organen van de Unie zijn vastgesteld.
Naast de algemene beginselen van de wetgeving van de Unie: transpara ntie, evenredigheid,
efficiëntie en verantwoordingsplicht, worden bij deze verordening de belangrijkste bindende
richtsnoeren vastgesteld, zoals een afzonderlijk risicobeheerproces op het gebied van
informatiebeveiliging dat door elke instelling en elk org aan van de Unie wordt uitgevoerd en
een beoordeling van hun informatie, zodat die naar behoren kan worden gecategoriseerd.
Governance en organisatie van de beveiliging (artikelen 6 tot en met 8)
Alle instellingen en organen van de Unie moeten samenwerken in een interinstitutionele
coördinatiegroep voor informatiebeveiliging, die bij consensus handelt, in het
gemeenschappelijk belang van de instellingen en organen van de Unie.
De coördinatiegroep bestaat uit de beveiligingsautoriteiten van alle instellingen en organen en
stelt richtsnoeren op voor de uitvoering van deze verordening. De groep onderhoudt
regelmatig contact met de nationale veiligheidsautoriteiten van de lidstaten, die samenwerken
in een comité voor informatiebeveiliging.
NL 9  NL Om de procedures en andere praktische aspecten in verband met informatiebeveiliging te
stroomlijnen, worden vijf subgroepen opgericht met deskundigen die verschillende
instellingen en organen vertegenwoordigen.
 Elke instelling en elk orgaan van de Unie moet een veiligheidsautoriteit aanwijzen die belast
wordt met het bepalen en uitvoeren van het interne beleid inzake informatiebeveiliging. De
beveiligingsautoriteit stelt specifieke functies vast, zoals de Information Assurance Authority
(instantie voor informatieborging), de Information Assurance Operational Authority
(operationele instantie voor informatieborging), de Security Accreditation Authority (instantie
voor beveiligingshomologatie), de TEMPEST Authority (Temp est-instantie), de Crypto
Approval Authority (instantie voor de goedkeuring van cryptografische producten) en de
Crypto Distribution Authority (instantie voor de distributie van cryptografische producten),
die om redenen van efficiëntie of beschikbare midd elen aan een andere instelling of ander
orgaan kunnen worden gedelegeerd.
Informatieborging en communicatie - en informatiesystemen (artikelen 9 tot en met 11)
Bij de verordening wordt een subgroep informatieborging opgericht, die tot taak heeft de
samenhang te verbeteren van de informatiebeveiligingsvoorschriften en het basisniveau op het
gebied van cyberbeveiliging, zoals gedefinieerd in de verordening betreffende maatregelen
voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen,  organen en
instanties van de Unie.
De instellingen en organen van de Unie zijn verplicht de in die artikelen genoemde beginselen
na te leven en afzonderlijke interne regels voor specifieke beveiligingsmaatregelen vast te
stellen, aangepast aan hun eigen v eiligheidsomgeving.
Niet-gerubriceerde informatie (artikelen 12 tot en met 17 en bijlage I)
De verordening onderscheidt drie categorieën niet -gerubriceerde informatie: informatie voor
openbaar gebruik, normale informatie en gevoelige niet -gerubriceerde inf ormatie. Alle
categorieën worden gedefinieerd en er worden markeringen en verwerkingsvoorwaarden
vastgesteld voor de bescherming van dergelijke informatie.
Ter coördinatie van het werk in verband met de gelijkwaardigheid tussen bepaalde
categorieën die do or sommige instellingen en organen van de Unie zijn vastgesteld en de
gemeenschappelijke categorieën waarin de verordening voorziet, wordt in het voorstel een
subgroep voor niet -gerubriceerde informatie ingesteld.
 EUCI (artikelen 18 tot en met 58 en bijlag en II tot en met VI)
Dit is het omvangrijkste hoofdstuk van het voorstel. Het bestaat uit de volgende zeven delen:
algemene bepalingen, personeelsbeveiliging, fysieke beveiliging, beheer van EUCI,
bescherming van communicatie - en informatiesystemen, indust riële beveiliging, delen van
EUCI en uitwisseling van gerubriceerde informatie.
In het deel over algemene bepalingen worden vier niveaus van EUCI onderscheiden: TRÈS
SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU
CONFIDENTIAL, RESTREINT UE/EU RESTRICTED. Het voorziet in de verplichting voor
de instellingen en organen van de Unie om de nodige beveiligingsmaatregelen te nemen
overeenkomstig de resultaten van het risicobeheer op het gebied van informatiebeveiliging.
In de overige delen wordt  ingegaan op de normen voor de bescherming van EUCI die verband
houden met het specifieke gebied dat in die delen wordt behandeld. Nadere details voor deze
bescherming van EUCI worden gespecificeerd in de bijlagen II tot en met V. Bijlage VI bevat
een equi valentietabel van EUCI en de rubriceringsgraden van de lidstaten en de Europese
Gemeenschap voor Atoomenergie.
NL 10  NL Om de relevante processen op dit gebied te stroomlijnen en dubbel werk te voorkomen,
worden bij de verordening subgroepen ingesteld inzake inform atieborging, niet -gerubriceerde
informatie, fysieke beveiliging, homologatie van communicatie - en informatiesystemen die
EUCI verwerken en opslaan, en uitwisseling van EUCI en gerubriceerde informatie.
 Slotbepalingen (artikelen 59 en 62)
Dit deel behandelt  de overgang van de huidige regels en procedures naar het nieuwe
rechtskader dat bij deze verordening wordt ingesteld. De slotbepalingen hebben betrekking op
de interne voorschriften inzake informatiebeveiliging die momenteel van toepassing zijn in de
instellingen en organen van de Unie, de erkenning van evaluatiebezoeken die plaatsvinden
voordat de verordening van toepassing wordt, de behandeling van eerder gesloten
administratieve regelingen en de voortzetting van specifieke beveiligingskaders die van
toepassing zijn op subsidieovereenkomsten.
Deze verordening wordt van toepassing twee jaar na de datum van inwerkingtreding.
NL 11  NL 2022/0084 (COD)
Voorstel voor een
VERORDENING VAN HET EUROPEES PARLEMENT EN  DE RAAD
betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie
HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,
Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel  298,
Gezien het Verdrag tot oprichting van de Europese Gemeenschap voor Atoomenergie, en met
name artikel 106 bis,
Gezien het voorstel van de Europese Commissie,
Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,
Handelend volg ens de gewone wetgevingsprocedure,
Overwegende hetgeen volgt:
(1) De instellingen en organen van de Unie hebben momenteel ofwel elk hun eigen
voorschriften op het gebied van informatiebeveiliging, gebaseerd op hun reglement
van orde of oprichtingshandeling , ofwel helemaal geen voorschriften op dat gebied. In
dat verband getroost elke instelling en elk orgaan van de Unie zich aanzienlijke
inspanningen om verschillende benaderingen te volgen, die leiden tot een situatie
waarin de uitwisseling van informatie n iet altijd betrouwbaar zal zijn. Het ontbreken
van een gemeenschappelijke aanpak is een hindernis voor het inzetten van
gemeenschappelijke instrumenten op basis van een overeengekomen reeks regels,
afhankelijk van de beveiligingsnoodzaak van de te bescherm en informatie.
 (2) Hoewel er vooruitgang is geboekt bij de totstandkoming van consistentere regels voor
de bescherming van gerubriceerde informatie van de Europese Unie (EUCI) en niet -
gerubriceerde informatie, blijft de interoperabiliteit van de relevante systemen beperkt,
waardoor een naadloze overdracht van informatie tussen de verschillende instellingen
en organen van de Unie wordt verhinderd. Daarom moet verder worden gewerkt aan
een interinstitutionele aanpak van het delen van EUCI en gevoelige niet -gerubriceerde
informatie, waarvoor gemeenschappelijke categorieën informatie en
gemeenschappelijke beginselen voor de behandeling van informatie moeten worden
gehanteerd. Er moet ook worden nagedacht over een basisscenario ter
vereenvoudiging van de procedur es voor het delen van EUCI en gevoelige niet -
gerubriceerde informatie tussen de instellingen en organen van de Unie en met de
lidstaten.
(3) Er moeten daarom relevante regels worden vastgesteld die een gemeenschappelijk
niveau van informatiebeveiliging in alle instellingen en organen van de Unie
waarborgen. Die regels moeten een alomvattend en samenhangend algemeen kader
vormen voor de bescherming van EUCI en niet -gerubriceerde informatie, en ervoor
zorgen dat de basisbeginselen en minimumnormen gelijkwaard ig zijn.
(4) De recente pandemie heeft ertoe geleid dat de werkmethoden aanzienlijk zijn
veranderd, in die zin dat het gebruik van instrumenten voor communicatie op afstand
NL 12  NL de regel is geworden. Daarom werden veel procedures die nog voor ten minste een
deel uitgingen van uitwisseling op papier, snel aangepast om elektronische verwerking
en uitwisseling van informatie mogelijk te maken. Deze ontwikkelingen vereisen
veranderingen ten aanzien van de verwerking en bescherming van informatie. Deze
verordening h oudt rekening met de nieuwe werkmethoden.
 (5) Door een gemeenschappelijk minimumniveau van bescherming van EUCI en niet -
gerubriceerde informatie te creëren, draagt deze verordening ertoe bij dat de
instellingen en organen van de Unie bij de uitvoering van  hun taken worden
ondersteund door een efficiënt en onafhankelijk bestuur. Tegelijkertijd blijft het zo dat
elke instelling en elk orgaan van de Unie autonoom kan bepalen hoe de in deze
verordening vastgestelde regels moeten worden uitgevoerd, overeenkomst ig de eigen
beveiligingsbehoeften. Deze verordening belet de instellingen en organen van de Unie
in geen geval om hun taak, zoals die hun door de EU -wetgeving is toevertrouwd, te
vervullen, en laat hun institutionele autonomie onverlet.
(6) Deze verordenin g doet geen afbreuk aan Verordening (Euratom) nr. 3/195817,
Verordening nr. 31/EEG, nr. 11/EGA, tot vaststelling van het statuut van de
ambtenaren en de regeling welke van toepassing is op de andere personeelsleden van
de Europese Economische Gemeenschap en  de Europese Gemeenschap voor
Atoomenergie18, Verordening (EG) nr. 1049 /2001  van het Europees Parlement en de
Raad19, Verordening (EU) 2018 /1725  van het Europees Parlement en de Raad20,
Verordening (EEG, Euratom) nr. 354/83 van de Raad21, Verordening (EU, Eura tom)
2018 /1046  van het Europees Parlement en de Raad22, Verordening (EU) 2021 /697 van
het Europees Parlement en de Raad23, en Verordening (EU) […] van het Europees
Parlement en de Raad24 betreffende maatregelen voor een hoog gezamenlijk niveau
van cyberbeveiliging in de instellingen, organen en instanties van de Unie (nog vast te
stellen).
17 Verordening (Euratom) nr.  3/1958  ter toepassing van artikel  24 van het Verdrag tot oprichting van de
Europese Gemeenschap voor Atoomenergie (PB  17 van 6.10.1958 , blz.  406).
18 PB L  45 van 14.6.1962 , blz. 1385.
 19 Verordening (EG) nr.  1049 /2001  van het Europees Parlement en de Raad van 30 mei 2001  inzake de
toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie
(PB L 145 van 31.5.2001 , blz.  43).
20 Verordening (EU) 2018 /1725  van het Europees Parlement en de Raad van 23 oktober 2018  betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de
instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot
intrekking van Verordening (EG) nr. 45/2001  en Besluit nr.  1247 /2002 /EG (PB L  295 van 21.11.2018,
blz. 39).
21 Verordening (EEG, Euratom) nr. 354/83 van de Raad van 1 februari 1983  inzake het voor het publiek
toegankelijk maken van de historische archieven van de Europese Economische Gemeenschap en de
Europese Gemeenschap voor Atoomenergie (PB L  43 van 15.2.1983 , blz.  1).
22 Verordening (EU, Euratom) 2018 /1046  van het Europees Parlement en de Raad van 18 juli 2018  tot
vaststelling van de financiële regels van toepassing op de algemene begroting van de Unie, tot wijziging
van Verordeningen (EU) nr.  1296 /2013 , (EU) nr.  1301 /2013 , (EU) nr.  1303 /2013 , (EU) nr.  1304 /2013 ,
(EU) nr.  1309 /2013 , (EU) nr.  1316 /2013 , (EU) nr.  223/2014 , (EU) nr.  283/2014  en Besluit
nr. 541/2014 /EU en tot intrekking van Verordening (EU, Euratom) nr.  966/2012  (PB L 193 van
30.7.2018 , blz. 1).
23 Verordening (EU) 2021 /697 van het Europees Parlement en de Raad van 29 april 2021  tot oprichting
van het Europees Defensiefonds en tot intrekking van Verordening (EU) 2018 /1092  (PB L  170 van
12.5.2021 , blz.  149).
 24 Verordening (EU) […] van het Europees Parlement en de Raad betreffende maatregelen voor een hoog
gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie (nog vast
te stellen).
NL 13  NL  (7) Teneinde het specifieke karakter te behouden van de activiteiten van de Europese
Gemeenschap vo or Atoomenergie die onder Verordening (EG) nr. 3/1958  van de Raad
van de Europese Gemeenschap voor Atoomenergie25 vallen, moet deze verordening
niet van toepassing zijn op gerubriceerde Euratom -gegevens. Deze verordening moet
echter wel van toepassing zijn op alle informatie met betrekking tot andere Euratom -
activiteiten die niet onder Verordening (EG) nr. 3/1958  vallen.
(8) Er moet een formele structuur voor de samenwerking tussen de instellingen en
organen van de Unie op het gebied van informatiebeveiligin g tot stand worden
gebracht; daartoe moet een interinstitutionele coördinatiegroep (hierna “de
coördinatiegroep”) worden opgezet, waarin alle veiligheidsautoriteiten van de
instellingen en organen van de Unie zijn vertegenwoordigd. De coördinatiegroep moet
geen beslissingsbevoegdheid hebben, maar moet de samenhang van het beleid op het
gebied van informatiebeveiliging versterken en bijdragen tot de harmonisatie van de
procedures en instrumenten voor informatiebeveiliging in de instellingen en organen
van de  Unie.
(9) De werkzaamheden van de coördinatiegroep moeten worden ondersteund door
deskundigen op verschillende gebieden van informatiebeveiliging: categorisering en
markering, communicatie - en informatiesystemen, homologatie, fysieke beveiliging,
delen va n EUCI en uitwisseling van gerubriceerde informatie. Om dubbel werk binnen
de instellingen en organen van de Unie te voorkomen, moeten daartoe thematische
subgroepen worden opgericht. Bovendien moet de coördinatiegroep indien nodig
andere subgroepen met sp ecifieke taken kunnen opzetten.
 (10) De coördinatiegroep moet nauw samenwerken met de nationale veiligheidsautoriteiten
van de lidstaten om de informatiebeveiliging in de Unie te verbeteren. Daartoe moet
een comité voor informatiebeveiliging van de lidstat en worden opgericht, dat de
coördinatiegroep van advies voorziet.
(11) De gemeenschappelijke organen die alle instellingen en organen van de Unie
vertegenwoordigen, zijn opgezet op basis van het samenwerkingsbeginsel, maar elke
instelling en elk orgaan moe t volledig verantwoordelijk blijven voor de
informatiebeveiliging binnen de eigen organisatie. Elke instelling en elk orgaan van de
Unie moet beschikken over een veiligheidsautoriteit en, indien nodig, andere instanties
die belast zijn met specifieke taken  op het gebied van informatiebeveiliging.
(12) Het beginsel van risicobeheer op het gebied van informatiebeveiliging moet de kern
vormen van het beleid dat elke instelling en elk orgaan van de Unie op dit gebied moet
ontwikkelen. Hoewel aan de minimumverei sten van deze verordening moet worden
voldaan, moet elke instelling en elk orgaan van de Unie specifieke
beveiligingsmaatregelen vaststellen voor de bescherming van informatie,
overeenkomstig de resultaten van een interne risicobeoordeling. Ook moeten de
technische middelen voor de bescherming van informatie worden aangepast aan de
specifieke situatie van elke instelling en elk orgaan.
(13) Gezien de verscheidenheid aan categorieën niet -gerubriceerde informatie die de
instellingen en organen van de Unie op basis van hun eigen beveiligingsvoorschriften
hebben ontwikkeld, moeten de instellingen en organen van de Unie, om vertraging bij
de uitvoering van deze verordening te voorkomen, hun eigen markeringssysteem

25 EGA Raad: Verordening nr.  3 ter toepassing van artikel  24 van het Verdrag tot oprichting van de
Europese Gemeenschap voor Atoomenergie (PB  17 van 6.10.1958 , blz.  406).
NL 14  NL kunnen handhaven voor interne doeleinden of bij d e uitwisseling van informatie met
andere instellingen en organen en met de lidstaten.
 (14) Met het oog op aanpassing aan de nieuwe thuiswerkpraktijken moeten de netwerken
die worden gebruikt om verbinding te maken met de diensten voor toegang op afstand
van elke instelling en elk orgaan van de Unie worden beschermd met passende
beveiligingsmaatregelen.
(15) Aangezien de instellingen en organen van de Unie vaak gebruikmaken van
contractanten en uitbesteding, is het van belang gemeenschappelijke bepalingen va st te
stellen met betrekking tot het personeel van contractanten dat taken op het gebied van
informatiebeveiliging uitvoert.
(16) De materiële voorschriften betreffende de toegang tot EUCI die deel uitmaken van de
interne voorschriften van de verschillende  instellingen en organen van de Unie zijn
momenteel op elkaar afgestemd, maar er zijn aanzienlijke verschillen wat betreft
benamingen en vereiste procedures. Dit leidt tot lasten voor de nationale
veiligheidsautoriteiten van de lidstaten, die zich aan vers chillende vereisten moeten
aanpassen. Er moeten daarom een gemeenschappelijke woordenlijst en
gemeenschappelijke procedures worden vastgesteld op het gebied van
personeelsbeveiliging, waardoor de samenwerking met de nationale
veiligheidsautoriteiten van de  lidstaten wordt vereenvoudigd en het risico op
compromittering van EUCI wordt beperkt.
(17) Gezien de verschillen tussen de instellingen en organen van de Unie wat beschikbare
middelen betreft en met het oog op de stroomlijning van hun relevante procedure s en
praktijken, kunnen de taken met betrekking tot veiligheidsmachtigingen aan de
Commissie worden toevertrouwd, zodat de voortzetting van de reeds lang bestaande
praktijk op het gebied van veiligheidsmachtigingen gewaarborgd is en wordt
bijgedragen tot d e centralisering van de aan elke veiligheidsautoriteit toegewezen
taken.
 (18) De bescherming van EUCI wordt ook gewaarborgd door de technische en
organisatorische maatregelen die van toepassing zijn op de panden, gebouwen,
ruimten, kantoren en faciliteiten  van de instellingen en organen van de Unie waar
EUCI wordt besproken, verwerkt of opgeslagen. Deze verordening voorziet in de
uitvoering van een beheersproces voor de fysieke informatiebeveiliging dat de
instellingen en organen van de Unie in staat stelt passende beveiligingsmaatregelen
voor hun locaties te selecteren.
(19) Alle instellingen en organen van de Unie die EUCI verwerken en opslaan, moeten op
hun locaties fysiek beschermde zones instellen om te waarborgen dat hetzelfde
beschermingsniveau geldt voor de relevante rubriceringsgraden van de EUCI die
binnen die locaties wordt verwerkt en opgeslagen. Die zones moeten worden
aangewezen als administratieve zones en beveiligde zones en moeten voldoen aan
gemeenschappelijke minimumnormen voor de beschermi ng van EUCI.
(20) Controle door de auteur is een belangrijk beginsel bij het beheer van EUCI, dat
duidelijk moet worden omschreven en uitgewerkt. In dat verband geeft het aanmaken
van EUCI de auteur een verantwoordelijkheid die de gehele levenscyclus van het
desbetreffende EUCI -document moet bestrijken.
(21) De instellingen en organen van de Unie hebben van oudsher autonoom hun
communicatie - en informatiesystemen ontwikkeld, waarbij onvoldoende aandacht is
geschonken aan de interoperabiliteit met alle inst ellingen en organen van de Unie. Het
NL 15  NL is derhalve noodzakelijk minimumvoorschriften vast te stellen voor de beveiliging van
communicatie - en informatiesystemen (CIS) waarin zowel EUCI als niet -
gerubriceerde informatie wordt verwerkt en opgeslagen, teneinde een naadloze
uitwisseling van informatie met belanghebbenden te waarborgen.
 (22) Teneinde te komen tot één homologatienorm voor CIS waarin EUCI wordt verwerkt
en opgeslagen, moeten de instellingen en organen van de Unie samenwerken in een
daartoe opgerichte groep. Aanbevolen wordt dat al die instellingen en organen die
norm toepassen om bij te dragen tot een algemeen niveau van bescherming van EUCI.
Wat de organisatorische autonomie betreft, blijft het besluit echter berusten bij de
bevoegde autori teit van elk van de instellingen en organen.
(23) Alle instellingen en organen van de Unie moeten dezelfde procedures volgen en
dezelfde maatregelen toepassen wanneer zij gerubriceerde contracten of
subsidieovereenkomsten gunnen en uitvoeren. Daarom moeten  zowel de verplichte als
de facultatieve bepalingen van gerubriceerde contracten en subsidieovereenkomsten
duidelijk worden vastgesteld. Bij de maatregelen ter bescherming van EUCI in
verband met gerubriceerde contracten en subsidieovereenkomsten moet echt er
rekening worden gehouden met de voorschriften die op dit gebied reeds afzonderlijk
door de instellingen en organen van de Unie en de lidstaten zijn ontwikkeld.
(24) De nauwe samenwerking tussen de instellingen en organen van de Unie en de vele
synergieë n die tot stand zijn gebracht, houden in dat een grote hoeveelheid informatie
wordt uitgewisseld. Met het oog op de beveiliging van gerubriceerde informatie moet
de betrouwbaarheid van een instelling of orgaan van de Unie worden beoordeeld
voordat die inst elling of dat orgaan een bepaald niveau van EUCI verwerkt en opslaat.
(25) Voorts moet het delen van EUCI tussen de instellingen en organen van de Unie en de
uitwisseling van gerubriceerde informatie met internationale organisaties en derde
landen ook wor den geregeld door passende beveiligingsmaatregelen voor de
bescherming van die informatie. Wanneer overeenkomsten inzake
informatiebeveiliging worden overwogen, moeten de bepalingen van artikel  218 van
het Verdrag van toepassing zijn.
 (26) Overeenkomsten inzake informatiebeveiliging zijn bedoeld om het algemene
rechtskader van de Unie voor de uitwisseling van gerubriceerde informatie met derde
landen en internationale organisaties te waarborgen; het is ook noodzakelijk te
voorzien in de mogelijkheid dat de  instellingen en organen van de Unie, met het oog
op de uitwisseling van EUCI, administratieve regelingen treffen met een specifieke
soortgelijke instelling van een derde land of een internationale organisatie.
(27) Bij deze verordening wordt een gemeensc happelijk kader voor alle instellingen en
organen van de Unie vastgesteld. Om te voorkomen dat aan de instellingen en organen
van de Unie buitensporige administratieve lasten worden opgelegd in het kader van de
aanpassing van hun interne veiligheidsvoorsch riften aan de voorschriften van deze
verordening, moet deze verordening twee jaar na de inwerkintreding ervan van
toepassing worden.
(28) Overeenkomstig de punten 22 en 23 van het Interinstitutioneel Akkoord van
13 april 2016  over beter wetgeven26 moet de C ommissie deze verordening evalueren
om na te gaan wat de daadwerkelijke effecten ervan zijn en of verdere maatregelen
nodig zijn. De Commissie moet uiterlijk drie jaar na de datum waarop deze

26 Interinstitutioneel Akkoord tussen het Europees Parlement, de Raad van de Europese Unie en de
Europese Commissie over beter wetgeven (PB L  123 van 12.5.2016 , blz.  1).
NL 16  NL verordening van toepassing wordt, bij het Europees Parlement en de Raad een verslag
indienen over de uitvoering ervan.
(29) De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42
van Verordening (EU) 2018 /1725  van het Europees Parlement en de Raad27
geraadpleegd en heeft op … advies uitgebracht ,
HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:
Hoofdstuk  1
Algemene bepalingen
Artikel 1
Onderwerp
1. Bij deze verordening worden voorschriften inzake informatiebeveiliging voor alle
instellingen en organen van de Unie vastgesteld.
 Artikel 2
Toepassingsge bied
1. Deze verordening is van toepassing op alle informatie die door de instellingen en
organen van de Unie wordt verwerkt en opgeslagen, met inbegrip van informatie in
verband met activiteiten van de Europese Gemeenschap voor Atoomenergie, met
uitzondering van gerubriceerde Euratom -informatie.
2. Zij is van toepassing op de volgende vertrouwelijkheidsniveaus van informatie:
a) drie niveaus van niet -gerubriceerde informatie: voor openbaar gebruik,
normaal, en gevoelig niet -gerubriceerd;
b) vier n iveaus van gerubriceerde EU -informatie: RESTREINT UE/EU
RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET
UE/EU SECRET, TRÈS SECRET UE/EU TOP SECRET.
3. Deze niveaus zijn gebaseerd op de schade die ongeoorloofde openbaarmaking kan
berokkenen aan legitiem e particuliere en openbare belangen, met inbegrip van die
van de Unie, de instellingen en organen van de Unie en de lidstaten of andere
belanghebbenden, zodat passende beschermingsmaatregelen kunnen worden
getroffen.
Artikel 3
Definities
Voor de toepassing  van deze verordening wordt verstaan onder:
a) “informatie”: gegevens in mondelinge, visuele, elektronische, magnetische of fysieke
vorm, dan wel in de vorm van materiaal, uitrusting of technologie, met inbegrip van
reproducties, vertalingen en materiaal d at zich in de ontwikkelingsfase bevindt;

27 Verordening (EU) 2018 /1725  van het Europees Parlement en de Raad van 23 oktober 2018  betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de
instellingen, organen en instanties  van de Unie en betreffende het vrije verkeer van die gegevens, en tot
intrekking van Verordening (EG) nr. 45/2001  en Besluit nr.  1247 /2002 /EG (PB L  295 van 21.11.2018 ,
blz. 39).
 NL 17  NL b) “informatiebeveiliging”: het waarborgen van de authenticiteit, beschikbaarheid,
vertrouwelijkheid, integriteit en onweerlegbaarheid van informatie;
c) “verwerking” van informatie: alle mogelijke handelingen waaraan informatie tijdens
de gehele levenscyclus kan worden onderworpen; verwerking omvat het aanmaken,
verzamelen en registreren, het toewijzen van een vertrouwelijkheidsniveau, het
verwerken, weergeven, raadplegen, vervoeren en doorgeven, het verlagen v an de
rubricering, het derubriceren, archiveren en vernietigen ervan;
d) “opslag”: het bewaren van informatie op een medium om ervoor te zorgen dat deze
beschikbaar is voor toekomstig gebruik;
e) “instellingen en organen van de Unie”: instellingen, organen  en instanties van de
Unie die zijn opgericht bij of krachtens het Verdrag betreffende de Europese Unie,
het Verdrag betreffende de werking van de Europese Unie of het Verdrag tot
oprichting van de Europese Gemeenschap voor Atoomenergie, of een
wetgevingsh andeling;
f) “gerubriceerde Euratom -informatie”: informatie in de zin van Verordening nr.
 3/1958 van de Raad van de Europese Gemeenschap voor Atoomenergie; g) “veiligheidsautoriteit”: de beveiligingsfunctie van een instelling of orgaan van de Unie, aangewe zen overeenkomstig het reglement van orde of de oprichtingshandeling van die instelling of dat orgaan; h) “proces inzake het beheer van informatiebeveiligingsrisico’s”: het volledige proces van het vaststellen, onder controle houden en tot een minimum bepe rken van onzekere gebeurtenissen die de veiligheid van een organisatie of de door haar gebruikte systemen kunnen treffen; dit proces bestrijkt alle risicogerelateerde activiteiten, met inbegrip van beoordeling, behandeling, aanvaarding en communicatie; i) “kritisch bestanddeel”: alles wat van waarde is voor een instelling of orgaan van de Unie en voor de bedrijfsactiviteiten en de continuïteit daarvan, met inbegrip van informatiebronnen ter ondersteuning van de opdracht ervan; j) “operationele beveiligingsp rocedures”: een reeks gedocumenteerde procedures, als bedoeld in bijlage III, voor de exploitatie van een beveiligde zone, een communicatie - en informatiesysteem of andere veiligheidsgerelateerde kritische bestanddelen of diensten, om de doeltreffendheid e rvan te waarborgen; k) “communicatie - en informatiesysteem” of “CIS”: elk systeem dat de verwerking en opslag van informatie in elektronische vorm mogelijk maakt, met inbegrip van alle daarvoor vereiste kritische bestanddelen; l) “informatieborging”: de ve rzekering dat de communicatie - en informatiesystemen de informatie die zij verwerken en opslaan zullen beschermen en dat zij, wanneer dat nodig is, naar behoren zullen functioneren onder controle van legitieme gebruikers, en dat daarbij passende niveaus va n authenticiteit, beschikbaarheid, vertrouwelijkheid, integriteit en onweerlegbaarheid zijn gewaarborgd; m) “homologatie”: de formele machtiging die door de instantie voor beveiligingshomologatie wordt verleend aan een communicatie - en informatiesysteem om EUCI met een vooraf bepaalde rubriceringsgraad te verwerken, en aan een beveiligde zone om EUCI met een vooraf bepaalde rubriceringsgraad op te slaan; NL 18 NL n) “homologatieprocedure”: de stappen en taken die voorafgaand aan de homologatie vereist zijn; o) “Temp est-beveiligingsmaatregelen”: maatregelen om CIS die informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger verwerken en opslaan, te beschermen tegen compromittering van dergelijke informatie door onopzettelijke elektromagnetische emissies; p) “CERT -EU”: het cyberbeveiligingscentrum voor de instellingen, organen en instanties van de Unie in de zin van Verordening (EU) […] van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de in stellingen, organen en instanties van de Unie; q) “informatiebeveiligingsincident”: elke gebeurtenis die de authenticiteit, beschikbaarheid, vertrouwelijkheid, integriteit of onweerlegbaarheid van opgeslagen, verzonden of verwerkte informatie kan compromit teren; r) “noodzaak van kennisneming”: de noodzaak dat een persoon toegang krijgt tot bepaalde informatie die door een instelling of orgaan van de Unie wordt verwerkt of opgeslagen, teneinde de taken van die instelling of dat specifieke orgaan van de Unie te vervullen; s) “zero trust”: een beveiligingsmodel, een reeks beginselen inzake systeemontwerp en een gecoördineerde strategie voor cyberbeveiliging en systeembeheer, gebaseerd op erkenning van het bestaan van dreigingen binnen en buiten de traditionele netwerkgrenzen; t) “markering”: een label dat wordt aangebracht om ervoor te zorgen dat passende beveiligingsmaatregelen worden toegepast; u) “beveiligingsmarkering”: een markering die het niveau van vertrouwelijkheid van