Art. 40 Richtlijn (EU) 2018/1972, Veiligheid van netwerken en diensten
1. De lidstaten zorgen ervoor dat aanbieders van openbare elektronischecommunicatienetwerken of van voor het publiek beschikbare elektronischecommunicatiediensten passende en evenredige technische en organisatorische maatregelen nemen om de risico's voor de veiligheid van hun netwerken of diensten goed te beheersen. Die maatregelen zorgen, gezien de stand van de techniek, voor een veiligheidsniveau dat is afgestemd op de risico's die zich voordoen. Er worden met name maatregelen, waaronder in voorkomend geval versleuteling, genomen om de impact van beveiligingsincidenten op gebruikers en op andere netwerken en diensten zo laag mogelijk te houden.
Het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa) faciliteert, in overeenstemming met Verordening (EU) nr. 526/2013 van het Europees Parlement en de Raad (45), de coördinatie tussen de lidstaten om te voorkomen dat de nationale voorschriften uiteenlopen, hetgeen zou kunnen leiden tot veiligheidsrisico's en obstakels voor de interne markt.
2. De lidstaten zorgen ervoor dat aanbieders van openbare elektronischecommunicatienetwerken of van voor het publiek beschikbare elektronischecommunicatiediensten de bevoegde instantie zonder onnodige vertraging in kennis stellen van beveiligingsincidenten die een belangrijke impact hadden op het functioneren van netwerken of diensten.
Om te bepalen of een beveiligingsincident een belangrijke impact heeft, wordt, voor zover beschikbaar, met name met de volgende parameters rekening gehouden:
a) het aantal gebruikers dat gevolgen ondervindt van het beveiligingsincident;
b) de duur van het beveiligingsincident;
c) de geografische spreiding van het door het beveiligingsincident getroffen gebied;
d) de mate waarin het functioneren van het netwerk of de dienst wordt aangetast;
e) de omvang van de impact op de economische en maatschappelijke activiteiten.
In voorkomend geval brengt de betrokken bevoegde instantie de bevoegde instanties in andere lidstaten en Enisa op de hoogte. De betrokken bevoegde instantie kan het publiek hiervan op de hoogte brengen of eisen dat de aanbieders dit doen, indien zij de bekendmaking van het beveiligingsincident in het algemeen belang acht.
Eenmaal per jaar dient de betrokken bevoegde instantie bij de Commissie en bij Enisa een samenvattend verslag in over de kennisgevingen die zij heeft ontvangen en de maatregelen die overeenkomstig dit lid zijn genomen.
3. De lidstaten zien erop toe dat de aanbieders van openbare communicatienetwerken of voor het publiek beschikbare elektronischecommunicatiediensten, in geval van een specifieke en significante dreiging van een beveiligingsincident voor die netwerken of diensten, hun gebruikers die gevolgen van die dreiging kunnen ondervinden, informeren over mogelijke beschermingsmaatregelen of oplossingen die de gebruikers kunnen toepassen. Waar passend stellen de aanbieders de gebruikers ook van de dreiging zelf in kennis.
4. Dit artikel doet geen afbreuk aan Verordening (EU) 2016/679 en Richtlijn 2002/58/EG.
5. De Commissie kan, zo veel mogelijk rekening houdend met het advies van Enisa, uitvoeringshandelingen vaststellen tot nadere bepaling van de in lid 1 bedoelde technische en organisatorische maatregelen, alsmede van de omstandigheden, de formats en de procedures die op grond van lid 2 gelden voor kennisgevingsvereisten. Zij worden zoveel mogelijk gebaseerd op Europese en internationale normen, en beletten niet dat de lidstaten aanvullende eisen vaststellen om te voldoen aan de in de lid 1 genoemde doelstellingen.
Die uitvoeringshandelingen worden volgens de in artikel 118, lid 4, bedoelde onderzoeksprocedure vastgesteld.