NLconnect-panel over CSA2 op ANGA COM 26: veiligheid versterken zonder investeringen te remmen
Tijdens ANGA COM in Keulen organiseerde NLconnect de sessie ‘EU Cybersecurity Act: Balancing between business opportunities and risk mitigation’. De sessie maakte deel uit van de Technology Track van de beurs en trok zo’n veertig toehoorders. Onder leiding van Feyo Sickinghe (NLconnect en Bird & Bird) gingen Anthony Basham (Netceed), Kira Terstappen-Richter (FRITZ!) en Roel van Kessel (Eurofiber) in gesprek over de voorgestelde herziening van de Cybersecurity Act en hoe het Europese cybersecuritybeleid moet bijdragen aan veilige en weerbare digitale infrastructuur en de verdere ontwikkeling van Europese breedbandnetwerken.
De Cybersecurity Act 2 (CSA2) moet het Europese cybersecuritycertificeringskader versterken en uitbreiden, met voorstellen voor certificering van ICT-producten, diensten en processen en een Europees kader voor risico’s in de ICT-toeleveringsketen. Daarbij wordt ook gekeken naar zogenoemde high-risk suppliers en mogelijke maatregelen voor het uitfaseren van high-risk apparatuur in elektronische communicatienetwerken. In het voorstel wordt onder meer gesproken over een maximale periode van 36 maanden voor het uitfaseren van componenten van high-risk suppliers.
De discussie op ANGA COM liet zien dat er brede steun is voor het doel om de cybersecurity en weerbaarheid van Europese digitale infrastructuur te versterken. De centrale vraag was hoe Europa dat moet doen zonder innovatie en investeringen in de uitrol van breedbandnetwerken onnodig te vertragen.
Praktische uitvoerbaarheid centraal
Anthony Basham bracht namens Netceed het perspectief in van een pan-Europese infrastructuur- en ecosysteempartner die werkt met verschillende leveranciers. Hij wees op het belang van geharmoniseerde en technologieneutrale kaders in Europa, open standaarden, multivendor-omgevingen en interoperabiliteit. Weerbaarheid ontstaat volgens die benadering niet door isolatie, maar door vertrouwde en diverse ecosystemen.
Digitale soevereiniteit begint vóór het apparaat
Kira Terstappen-Richter plaatste cybersecurity in het bredere debat over digitale soevereiniteit. Haar kernboodschap was scherp: “You can’t download digital sovereignty”: digitale soevereiniteit gaat niet alleen over software of losse producten, maar over controle over het bredere digitale ecosysteem. Volgens FRITZ! begint veiligheid al vóór het apparaat zelf: bij de fabrikant, de toeleveringsketen en het juridische kader waaronder een leverancier opereert. Europa moet daarom niet alleen reageren op kwetsbaarheden, maar ook structureel kijken naar afhankelijkheden, transparantie in toeleveringsketens en verifieerbare veiligheid.
Vaste netwerken en investeringszekerheid
Roel van Kessel sprak namens netwerkeigenaar Eurofiber en onderstreepte het belang van sterkere veiligheid en weerbaarheid in Europa, Hij waarschuwde dat de impact van de CSA2 op vaste netwerken nog onvoldoende is uitgewerkt. Voor mobiele netwerken is in detail gekeken welke onderdelen mogelijk risico’s opleveren, maar voor vaste netwerken ontbreekt zo’n analyse nog grotendeels. Terwijl ook daar grote investeringen nodig blijven om de Europese connectiviteitsdoelen te halen. Daarbij wees hij ook op de samenhang met de Digital Networks Act en de Digital Decade-doelen: cybersecurity en digitale soevereiniteit moeten samengaan met verdere netwerkuitrol en investeringsbereidheid.
Eurofiber pleitte daarom voor een meer gerichte aanpak. Passieve netwerkelementen zouden expliciet buiten eventuele vervangingsverplichtingen moeten blijven. Ook is één uniforme termijn van 36 maanden voor vervanging volgens Van Kessel te grofmazig. Als operators eerst moeten afwachten of een leverancier definitief als risicovol wordt aangemerkt, blijft er in de praktijk minder tijd over. Bovendien zal een groot deel van de Europese markt zich dan tegelijk tot dezelfde beperkte groep alternatieve leveranciers wenden. Dat kan leiden tot leveringsproblemen, hogere kosten en vertraging. Volgens Eurofiber zijn daarom risicogebaseerde termijnen nodig, afhankelijk van het type netwerkonderdeel en het daadwerkelijke risiconiveau.
Operationele realiteit vraagt om risicogebaseerd beleid
In de discussie kwam naar voren dat operators in de praktijk reeds bewuste keuzes maken in hun leveranciersstrategie. Operators met een multivendorstrategie kiezen waar mogelijk voor leveranciers met een lager risicoprofiel. Tegelijk moet er ruimte blijven voor praktische keuzes. Tijdens COVID waren toeleveringsketens ernstig verstoord en moesten operators soms gebruiken wat beschikbaar was om klanten aangesloten te houden en continuïteit te garanderen.
Ook bij compensatie is realiteitszin nodig. Operators hebben hun netwerken aangelegd op basis van de kennis, regelgeving en geopolitieke situatie van dat moment. Leverancierskeuzes die enkele jaren geleden logisch en verantwoord waren, kunnen in een nieuwe geopolitieke context anders worden beoordeeld. Als bedrijven vervolgens verplicht worden om functionerende apparatuur te vervangen zonder enige vorm van compensatie, heeft dat grote gevolgen voor investeringszekerheid en daarmee ook voor investeringen in een veilige en weerbare Europese digitale economie.
Chilling effect
Tegen die achtergrond werd gewaarschuwd voor de negatieve effecten van brede, generieke leveranciersbeperkingen. Die kunnen concurrentie en innovatie beperken, kosten verhogen, waardeketens verstoren en de afhankelijkheid van een kleinere groep leveranciers vergroten. Daarbij wezen de panelleden op het mogelijke “chilling effect” van CSA2. De onzekerheid over toekomstige aanwijzingen van high-risk suppliers beïnvloedt volgens verschillende aanwezigen nu al investerings- en inkoopbeslissingen in de sector. Daardoor kunnen operators en leveranciers uit voorzorg bepaalde technologieën of leveranciers gaan vermijden, nog voordat formele maatregelen zijn genomen. Een gerichte, risicogebaseerde aanpak biedt volgens de panelleden meer perspectief: maatregelen moeten worden gebaseerd op aantoonbare kwetsbaarheden, concrete risico’s en de specifieke context van netwerken en toepassingen.
Strategische autonomie vraagt ook om publieke inkoop
Een ander punt was de rol van publieke aanbesteding. Als de EU Europese oplossingen wil versterken, kan publieke inkoop volgens de panelleden een positieve rol spelen. Maar dan moet ook worden geaccepteerd dat Europese alternatieven mogelijk duurder zijn dan bestaande oplossingen van grote niet-Europese leveranciers. “Put your money where your mouth is” was in de discussie de kern van dat punt: wie strategische autonomie wil stimuleren, moet niet alleen eisen stellen, maar ook bereid zijn daarvoor te betalen.
Aanscherping nodig
Kortom, de CSA2 kan bijdragen aan meer veiligheid, weerbaarheid en digitale soevereiniteit in Europa. Maar dan moet het voorstel nog wel worden aangescherpt met goede impactanalyses voor vaste netwerken, duidelijke definities, betrokkenheid van de sector, risicogebaseerde termijnen, aandacht voor compensatie en voldoende ruimte voor investeringen en verdere netwerkuitrol.
