ENISA

ENISA, voluit het European Union Agency for Cybersecurity, is het EU-agentschap dat verantwoordelijk is voor het bereiken van een hoog gemeenschappelijk niveau van cyberbeveiliging in heel Europa. Het agentschap werd in 2004 opgericht en is gevestigd in het Griekse Heraklion, met een tweede kantoor in Athene. Sinds de inwerkingtreding van de EU Cybersecurity Act in 2019 heeft ENISA een permanent mandaat gekregen en speelt het een centrale rol in het Europese cybersecurity-beleid. Het agentschap adviseert de Europese Commissie en de lidstaten over cybersecuritybeleid, ontwikkelt certificeringsschema's voor ICT-producten en -diensten, en helpt Europa zich voor te bereiden op toekomstige cyberdreigingen. Met een jaarlijks budget van circa 25 miljoen euro levert ENISA een onmisbare bijdrage aan de digitale weerbaarheid van het continent.

ENISA fungeert als het kenniscentrum voor cybersecurity binnen de EU. Het agentschap verzamelt en analyseert gegevens over beveiligingsincidenten in Europa, publiceert jaarlijks het ENISA Threat Landscape-rapport en ondersteunt lidstaten bij het opzetten van nationale CERT/CSIRT-teams. Door kennisdeling, capaciteitsopbouw en bewustwordingscampagnes werkt ENISA samen met overheden, bedrijfsleven en academische instellingen om de digitale weerbaarheid van de Europese Unie te versterken. Het agentschap speelt ook een belangrijke rol bij de implementatie van de NIS2-richtlijn en de ontwikkeling van Europese cybersecurity-certificeringsschema's. Met meer dan 100 medewerkers levert ENISA een scala aan diensten die variSren van beleidsadvies tot technische ondersteuning bij grootschalige cyberincidenten in de EU.

Wat doet ENISA?

ENISA vervult meerdere kerntaken binnen het Europese cybersecurity-ecosysteem. Het agentschap ondersteunt de ontwikkeling en implementatie van EU-beleid op het gebied van netwerk- en informatiebeveiliging, met name rond de NIS2-richtlijn. Het adviseert de Europese Commissie en lidstaten over technische en organisatorische beveiligingsmaatregelen en faciliteert de samenwerking tussen nationale cybersecurity-autoriteiten.

Een van de belangrijkste taken van ENISA is het ontwikkelen van Europese cybersecurity-certificeringsschema's. Deze schema's bieden een gestandaardiseerd kader voor het certificeren van ICT-producten, -diensten en -processen binnen de digitale interne markt. Door deze certificering kunnen organisaties aantonen dat hun producten voldoen aan vastgestelde beveiligingsnormen, wat het vertrouwen in digitale diensten vergroot.

Daarnaast publiceert ENISA regelmatig dreigingsanalyses, best practices en richtlijnen. Het jaarlijkse ENISA Threat Landscape-rapport is een referentiedocument voor security professionals in heel Europa. Het agentschap organiseert ook de jaarlijkse pan-Europese cybersecurity-oefening Cyber Europe, waarbij nationale CERT-teams en kritieke infrastructuurorganisaties hun incidentrespons-capaciteiten testen. ENISA ondersteunt lidstaten bij het opzetten van vulnerability disclosure-beleid en coSrdineert Europese initiatieven op het gebied van security awareness. Het agentschap beheert ook de European Cyber Security Month (ECSM), een jaarlijkse bewustwordingscampagne die in oktober plaatsvindt en waarmee miljoenen Europese burgers en bedrijven worden bereikt.

Wanneer heb je ENISA nodig?

Je komt als organisatie in aanraking met ENISA wanneer je te maken hebt met Europese cybersecurity-regelgeving. Als je organisatie valt onder de NIS2-richtlijn, zijn de richtlijnen en standaarden die ENISA ontwikkelt direct relevant voor je compliance-inspanningen. De technische guidance die ENISA publiceert, helpt je bij het implementeren van de vereiste beveiligingsmaatregelen.

Voor fabrikanten en leveranciers van ICT-producten is ENISA relevant vanwege de cybersecurity-certificeringsschema's. Als je producten verkoopt op de Europese markt, kan certificering volgens een ENISA-schema een concurrentievoordeel bieden en in sommige gevallen verplicht worden. Het Common Criteria-schema en het EU Cloud Services-schema zijn voorbeelden van certificeringskaders waar ENISA aan werkt.

Ook voor nationale CERT/CSIRT-teams en overheden is ENISA een essentieel aanspreekpunt. Het agentschap faciliteert informatie-uitwisseling tussen lidstaten bij grootschalige cyberincidenten en biedt technische ondersteuning bij het opbouwen van nationale cybersecurity-capaciteiten. Het Nederlandse NCSC werkt nauw samen met ENISA bij grensoverschrijdende dreigingen en de implementatie van Europees beleid. Ook sectorale CSIRT's in Nederland maken gebruik van ENISA-richtlijnen en nemen deel aan door ENISA gecoSrdineerde oefeningen.

Wat kost ENISA?

ENISA wordt gefinancierd uit het EU-budget en brengt geen directe kosten in rekening bij organisaties die gebruik maken van de publieke richtlijnen en rapporten. Het jaarlijkse budget van ENISA bedraagt circa 25 miljoen euro, gefinancierd door de EU-lidstaten. Alle publicaties, threat landscapes, best practices en technische richtlijnen zijn gratis beschikbaar via de ENISA-website.

Indirect kunnen er wel kosten ontstaan wanneer je organisatie moet voldoen aan ENISA-certificeringsschema's. De kosten voor certificering hangen af van het type product of dienst, het gewenste assurance-niveau en de certificerende instantie. Voor een basisniveau-certificering liggen de kosten doorgaans tussen de 5.000 en 25.000 euro, terwijl certificering op het hoogste assurance-niveau aanzienlijk meer kan kosten vanwege de diepgaande evaluatie die daarvoor nodig is.

Voor organisaties die ondersteuning zoeken bij het implementeren van ENISA-richtlijnen, kun je terecht bij gespecialiseerde GRC-consultants. De kosten hiervoor varieren afhankelijk van de omvang van je organisatie en de complexiteit van je ICT-omgeving. Het inschakelen van een consultant voor een NIS2-compliance assessment kost gemiddeld tussen de 10.000 en 50.000 euro, afhankelijk van de scope en het volwassenheidsniveau van je bestaande beveiligingsorganisatie.

Veelgestelde vragen over ENISA

Wat is het verschil tussen ENISA en het NCSC?

ENISA opereert op Europees niveau en richt zich op beleidsontwikkeling, certificering en kennisdeling tussen EU-lidstaten. Het NCSC is het nationale cybersecurity-centrum van Nederland en richt zich op operationele ondersteuning van Nederlandse organisaties bij cyberincidenten. Het NCSC werkt samen met ENISA bij grensoverschrijdende dreigingen.

Is ENISA-certificering verplicht?

Op dit moment is ENISA-certificering voor de meeste producten en diensten vrijwillig. De EU werkt echter aan regelgeving die certificering voor bepaalde categorieen ICT-producten verplicht kan stellen, met name voor kritieke infrastructuur en overheidstoepassingen. De Cyber Resilience Act zal hier naar verwachting verandering in brengen door certificering voor bepaalde productcategorieen verplicht te stellen. Volg de ontwikkelingen rond deze wetgeving nauwgezet als je ICT-producten verkoopt op de Europese markt.

Hoe gebruik je ENISA-publicaties in je beveiligingsbeleid?

ENISA publiceert praktische richtlijnen die je direct kunt toepassen in je beveiligingsbeleid. Begin met het ENISA Threat Landscape-rapport om actuele dreigingen te identificeren. Gebruik vervolgens de technische guidelines voor specifieke onderwerpen zoals cloud security, IoT-beveiliging of supply chain security als basis voor je eigen maatregelen.

Welke rol speelt ENISA bij NIS2-implementatie?

ENISA ondersteunt de Europese Commissie en lidstaten bij de implementatie van de NIS2-richtlijn. Het agentschap ontwikkelt technische richtlijnen voor de beveiligingsmaatregelen die organisaties moeten nemen, faciliteert de samenwerking tussen nationale toezichthouders en helpt bij het harmoniseren van incidentmeldingsstandaarden in heel Europa. De guidance die ENISA publiceert rond NIS2 wordt door nationale toezichthouders, waaronder de Nederlandse RDI, gebruikt als referentiekader voor de beoordeling van beveiligingsmaatregelen bij organisaties. Neem deze richtlijnen mee in je compliance-strategie.

Wat is het ENISA Threat Landscape-rapport?

Het ENISA Threat Landscape is een jaarlijks rapport dat de belangrijkste cyberdreigingen voor Europa in kaart brengt. Het rapport analyseert trends in malware, ransomware, phishing, supply chain-aanvallen en andere dreigingen. Security professionals gebruiken het als referentiekader voor het prioriteren van beveiligingsinvesteringen en het bijstellen van hun risicobeoordeling. Het rapport is gratis beschikbaar en wordt vertaald in meerdere Europese talen, waardoor het breed toegankelijk is voor organisaties van elke omvang.

Zoek een cybersecurity-specialist die je helpt met Europese regelgeving. Vergelijk Governance, Risk & Compliance aanbieders op IBgidsNL.