Preview document (🔗 origineel)

---

Implementatieplan voor de EPCIP-richtlijn

“Richtlijn inzake de inventarisatie van Europese kritieke
infrastructuur, de aanmerking van infrastructuur als Europese kritieke
infrastructuur en de beoordeling van de noodzaak de bescherming  van
dergelijke infrastructuur te verbeteren.”

16 december 2008 

Managementsamenvatting

Op 12 januari 2009 zullen de Europese richtlijn tot bescherming van de
vitale infrastructuur en de daarbij horende (vrijblijvende) richtsnoeren
in werking treden. De richtlijn kan in zijn geheel op beleidsmatige
wijze geïmplementeerd worden. Aandachtspunt voor iedere betrokken
vakministerie is nog wel of bereikt wordt dat de verplichtingen tot een
OSP (beveiligingsplan) en een SLO (veiligheidsverbindingsfunctionaris)
per mogelijke ECI (Europese vitale infrastructuur) worden ingevuld. Dit
kan mogelijk leiden tot aanpassing van sectorale wetgeving door het
verantwoordelijke vakministerie. Dit zal echter pas gaan spelen in het
geval dat daadwerkelijk één of meer ECI’s voor Nederland zijn
aangemerkt. Bovendien verschilt dit per vitale infrastructuur. 

Het Nederlandse CIP contactpunt zal een cruciale rol spelen in het
proces van inventariseren en aanmerken van ECI. Het CIP contactpunt zal
één loket vormen voor alle zaken over het EPCIP en bestaan uit de
betrokken ministeries. Het sterke van een interdepartementaal
samenwerkingsverband als het CIP contactpunt is dat het een
sectoroverstijgende invalshoek en uitstraling zal hebben. Dit past ook
in het gedachtegoed van de richtlijn. Het CIP contactpunt zal met
voorrang worden ingesteld, zodat de daadwerkelijke implementatie van de
richtlijn via het CIP-contactpunt kan lopen. Hierdoor wordt de benodigde
samenwerking tussen de ministeries, maar ook met het bedrijfsleven
versterkt. 

Kortom, de volgende stappen zullen moeten worden doorlopen:

Identificeren: 

	Vakministerie en sector kijken, ondersteund door het CIP contactpunt
naar welke infrastructuur er in Nederland is die mogelijk een ECI zou
kunnen worden. Ook kijken vakministerie en sector naar welke
infrastructuur er in het buitenland ligt waar we als Nederland in die
mate van afhankelijk zijn dat het een ECI zou moeten worden. Dit doen we
door de criteria uit de richtsnoeren te gebruiken, aangevuld met de
methodiek van de Nationale Risicobeoordeling (NRB).

Informeren: 

	Via het interdepartementale samenwerkingsverband CIP contactpunt worden
per formele brief 	de impactlanden (lidstaten die afhankelijk zijn van
een infrastructuur gevestigd in Nederland) geïnformeerd en uitgenodigd
tot overleg met het Nederlandse vakministerie en de sector. Deze brief
wordt ondertekend door de coördinerende minister van BZK en de
betreffende vakminister.

Aanmerken: 

	Gezamenlijk (impactlanden en Nederland) wordt dan overeengekomen of het
een ECI betreft 	of niet. De Europese Commissie kan, indien gevraagd,
een bemiddelende rol hierbij spelen. Het besluit of een infrastructuur
in Nederland Europees vitaal is, wordt in de Ministerraad geaccordeerd.

Daarnaast: 

Elk jaar zendt het CIP contactpunt een afschrift van de relevante delen
uit de NRB naar de Europese Commissie.

Elke vier jaar neemt elk vakministerie bij de integrale analyse BVI ook
de impact op en van het buitenland mee. 

Het CIP contactpunt is een samenwerkingsverband van de ministeries (en
nadrukkelijk niet BZK) en zorgt voor procesmanagement, ondersteuning,
archivering en coördinatie. Beheersmatig valt het CIP contactpunt onder
het ministerie van BZK, de directie Nationale Veiligheid. 

Schematisch kan dit als volgt worden weergegeven:

 Inhoudsopgave

  TOC \o "1-3" \h \z \u  

  HYPERLINK \l "_Toc214958768"  Managementsamenvatting	  PAGEREF
_Toc214958768 \h  2  

  HYPERLINK \l "_Toc214958769"  Inhoudsopgave	  PAGEREF _Toc214958769 \h
 5  

  HYPERLINK \l "_Toc214958770"  Korte uiteenzetting richtlijn EPCIP	 
PAGEREF _Toc214958770 \h  6  

  HYPERLINK \l "_Toc214958771"  1. Inleiding	  PAGEREF _Toc214958771 \h 
8  

  HYPERLINK \l "_Toc214958772"  2. Inhoud van de richtlijn	  PAGEREF
_Toc214958772 \h  10  

  HYPERLINK \l "_Toc214958773"  2a. Richtsnoeren	  PAGEREF _Toc214958773
\h  11  

  HYPERLINK \l "_Toc214958774"  2b. Verantwoordelijkheden	  PAGEREF
_Toc214958774 \h  11  

  HYPERLINK \l "_Toc214958775"  3. Implementatievoorstellen	  PAGEREF
_Toc214958775 \h  13  

  HYPERLINK \l "_Toc214958776"  3a. Inventariseren van ECI	  PAGEREF
_Toc214958776 \h  14  

  HYPERLINK \l "_Toc214958777"  3b. Aanmerken van ECI	  PAGEREF
_Toc214958777 \h  15  

  HYPERLINK \l "_Toc214958778"  3c. Verplichtingen voor aangemerkte ECI	
 PAGEREF _Toc214958778 \h  17  

  HYPERLINK \l "_Toc214958779"  3d. Onderzoek noodzaak betere
beveiliging	  PAGEREF _Toc214958779 \h  18  

  HYPERLINK \l "_Toc214958780"  3e. Rapportageplicht EC	  PAGEREF
_Toc214958780 \h  19  

  HYPERLINK \l "_Toc214958781"  3f. Gevoelige informatie	  PAGEREF
_Toc214958781 \h  19  

  HYPERLINK \l "_Toc214958782"  3g. CIP Contactpunt	  PAGEREF
_Toc214958782 \h  20  

  HYPERLINK \l "_Toc214958783"  4. Conclusies Implementatie	  PAGEREF
_Toc214958783 \h  23  

  HYPERLINK \l "_Toc214958784"  5. Terms of Reference in de relatie
tussen lidstaten	  PAGEREF _Toc214958784 \h  25  

  HYPERLINK \l "_Toc214958785"  Bijlage A Verplichtingenschema met
implementatievoorstel	  PAGEREF _Toc214958785 \h  26  

  HYPERLINK \l "_Toc214958786"  Bijlage B Definitie- en afkortingenlijst
  PAGEREF _Toc214958786 \h  35  

  HYPERLINK \l "_Toc214958787"  Bijlage C (Lid) staten waar de richtlijn
van toepassing is	  PAGEREF _Toc214958787 \h  35  

 

Korte uiteenzetting richtlijn EPCIP

De integrale tekst van de richtlijn en de bijbehorende richtsnoeren (de
niet-vertrouwelijke gedeelte)  is te vinden op   HYPERLINK
"http://www.nationale-veiligheid.nl"  www.nationale-veiligheid.nl  onder
het dossier vitale infrastructuur. 

European Critical Infrastructures Program (EPCIP)

Om als maatschappij te kunnen functioneren zijn we in Nederland
afhankelijk van heel veel dingen: zoals van elektriciteit, goed
drinkwater en natuurlijk van onze dijken. Al deze vitale producten en
diensten zijn vaak met elkaar verweven en verknoopt. Deze verknoping
beperkt zich echter niet tot de landsgrenzen, waardoor we in Nederland
ook afhankelijk zijn van de continuïteit van vitale sectoren in Europa.
Daarom heeft de Europese Commissie een strategie ontwikkeld voor de
bescherming van vitale infrastructuur in de Europese Unie. Deze
strategie staat in het European Critical Infrastructures Program (EPCIP)
en bestaat o.a. uit mededelingen, een informatienetwerk (CIWIN) en een
richtlijn. Dit is een korte samenvatting van de richtlijn EPCIP. 

	De Richtlijn EPCIP

Na een lang onderhandelingsproces is op 5 juni 2008 de richtlijn tot
bescherming van Europese vitale infrastructuur aangenomen door de
JBZ-raad in Europa. In deze raad zijn de Europese ministers
verantwoordelijk voor veiligheid vertegenwoordigd. De doelstellingen van
de richtlijn zijn:

De instelling van een procedure voor de inventarisatie van Europese
Vitale infrastructuren (ECI) en voor de aanmerking van infrastructuur
als Europese vitale infrastructuur.

De uitwerking van een gemeenschappelijke aanpak om te beoordelen of het
nodig is de bescherming van dergelijke infrastructuren te verbeteren.

De richtlijn richt zich vooralsnog op twee deelsectoren: energie en
transport. Binnen twee jaar na inwerkingtreding van de richtlijn moet de
richtlijn geïmplementeerd zijn. Binnen drie jaar zal de richtlijn
geëvalueerd worden. 

	Het identificeren van mogelijke ECI’s

In de Europese Unie bestaat veel vitale infrastructuur die bij uitval of
vernietiging gevolgen kan hebben op twee of meer lidstaten naast de
lidstaat waar uitval plaatsvindt. Deze infrastructuren met een
grensoverschrijdende dimensie zouden aangemerkt kunnen worden als
European Critical Infrastructure (ECI). Voor het inventariseren van deze
ECI’s is in de richtlijn een procedure ontwikkeld. Ook zijn er
richtsnoeren met sectorale en sectoroverstijgende criteria. Lidstaten
mogen zelf bepalen of ze deze richtsnoeren volgen; de richtsnoeren zijn
niet verplicht. 

Het inventariseren van mogelijke ECI’s is een verantwoordelijkheid van
de lidstaat zelf. Op grond van de richtlijn is het echter ook mogelijk
dat een andere lidstaat aangeeft dat er in het vestigingsland (een
lidstaat waar de infrastructuur is gevestigd) een mogelijke ECI ligt. 

	Het aanmerken van ECI’s

Een lidstaat waar de infrastructuur gevestigd is (vestigingsland) kan in
samenwerking met de van deze infrastructuur afhankelijke lidstaten, een
geïnventariseerde mogelijke ECI aanmerken als ECI. Mochten de lidstaten
er onderling niet uitkomen of het hier een ECI betreft, dan kan de
Europese Commissie een bemiddelende rol spelen. 

Wanneer een vitale infrastructuur als ECI is aangemerkt dan moet deze op
grond van de richtlijn beschikken over een beveiligingsplan en een
veiligheidsverbindingsfunctionaris. 

	

	Vertrouwelijkheid van gevoelige informatie

Gegevens over de aanmerking van ECI moeten op grond van de richtlijn
vertrouwelijk behandeld worden. Personen die deze gegevens onder ogen
krijgen, moeten ook een toepasselijk beveiligingsniveau hebben.

	Verbetering van de beschermingsmaatregelen op Europees niveau

In de richtlijn staat dat elke lidstaat binnen één jaar na aanmerking
van een ECI op zijn grondgebied, een dreigingsanalyse zal doen voor de
deelsectoren. Ook moet elke lidstaat de Europese Commissie iedere twee
jaar een verslag sturen met de soorten kwetsbaarheden, dreigingen en
risico’s voor deze deelsectoren. Op deze manier kan de Europese
Commissie samen met de lidstaten nagaan of er verdere
beschermingsmaatregelen op Europees niveau overwogen moeten worden. 

	CIP contactpunt

Elke lidstaat zal een contactpunt oprichten die de aangelegenheden in
verband met de bescherming van Europese vitale infrastructuur met de
andere lidstaten en de Europese Commissie coördineert. 

	Implementatie van de richtlijn

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties
coördineert de implementatie van de richtlijn. De ministeries van
Volkshuisvesting, Ruimtelijke Ordening en Milieu, Verkeer en Waterstaat
en Economische Zaken zijn hier nauw bij betrokken. Daarnaast vindt er
interdepartementale afstemming plaats en wordt het bedrijfsleven mede
via het Strategisch Overleg Vitale Infrastructuur (SOVI) bij de
implementatie betrokken. Actuele informatie met betrekking tot de
implementatie is te vinden op   HYPERLINK
"http://www.nationale-veiligheid.nl"  www.nationale-veiligheid.nl  onder
het dossier Bescherming Vitale Infrastructuur .

	

1. Inleiding

Op verzoek van de Europese Raad van juni 2004 heeft de Europese
Commissie een strategie ontwikkeld voor de bescherming van vitale
infrastructuur in de Europese Unie. In dit kader zijn o.a. een
mededeling over een Europees Programma Bescherming Vitale Infrastructuur
(EPCIP), een beveiligd informatienetwerk (CIWIN) en een richtlijn door
de Europese Commissie naar buiten gebracht. De richtlijn is een
belangrijk onderdeel van het EPCIP en behandelt het identificeren en
benoemen op Europees niveau van vitale infrastructuur en het vaststellen
van de noodzaak om de bescherming hiervan te verbeteren. Op dit moment
betreft de richtlijn alleen de sectoren Energie en Transport. De inzet
van de Europese Commissie is erop gericht dit uit te breiden met andere
sectoren, zoals de ICT-sector.

Na een lang onderhandelingsproces is op 5 juni 2008 de richtlijn
goedgekeurd door de JBZ-raad. De richtlijn en de bij de richtlijn
horende richtsnoeren zijn op 8 december 2008 als hamerstuk door de RAZEB
goedgekeurd. Twintig dagen na publicatie zal het geheel in werking
treden, dat is op 12 januari 2009. De richtlijn geeft een verplichting
voor de lidstaten. De lidstaten moeten ervoor zorgen dat deze
verplichting in de sectoren evenredig, eenduidig en gelijksoortig worden
vertaald. Dit is een uitdaging, gezien de verschillen in de sectoren.
Het ministerie van BZK heeft namens Nederland de ambitie hierop te
coördineren. 

Het proces tot nu toe

Het ministerie van BZK heeft het onderhandelingsproces van het EPCIP
gecoördineerd namens Nederland. Er is een interdepartementale kopgroep
EPCIP opgericht die vanuit de ministeries van V&W, VROM en EZ aan het
onderhandelingsproces hebben deelgenomen. Daarnaast zijn alle
ministeries regelmatig geïnformeerd over het traject en is het
Strategisch Overleg Vitale Infrastructuur (SOVI) hierover geïnformeerd.


Ook is er een interdepartementale juridische adviesgroep geformeerd.
Deze juridische adviesgroep heeft een juridische quickscan gedaan in de
zomer van 2007, vooruitlopend op de inwerkingtreding van de richtlijn.
De juridische quickscan heeft zich op een tweetal vragen gericht:

Wat doen we in Nederland al aan de materie die het EPCIP wil regelen en
dat in wet- en regelgeving is weergegeven?

Hoe kunnen we wat we in Nederland nog niet doen, het beste
implementeren?

De juridische quickscan is gebaseerd op een versie van de richtlijn van
mei 2007. De quickscan heeft bijgedragen aan het Nederlandse standpunt
tijdens de onderhandelingen. De richtlijn is medio 2008 op onderdelen
radicaal gewijzigd. Zo verplicht de huidige richtlijn lidstaten niet tot
het gebruik van wet- en regelgeving bij de implementatie. Het is
belangrijk om bij de implementatie de juridische quickscan in de gaten
te houden, onder meer omdat het een overzicht bevat van relevante
sectorale regelgeving waarin het EPCIP gedachtegoed al is vastgelegd. 

Tijdsdruk

Hoewel de richtlijn pas in 2011 geïmplementeerd hoeft te zijn, moeten
het proces van identificatie en aanmerking (hierover later meer) al zijn
afgerond op dat moment. Dit betekent concreet dat vanaf het moment van
inwerkingtreding al gewerkt wordt met de richtlijn. Er zit dus een grote
tijdsdruk achter deze richtlijn. 

Tijdschema

 

Januari 2009 treedt de richtlijn in werking. Dit betekent dat
tegelijkertijd het proces van inventariseren van mogelijke Europees
vitale objecten (ECI) start waarna het proces van het aanmerken van de
Europees vitale objecten (ECI) plaatsvindt. Twee jaar na
inwerkingtreding, te weten januari 2011 moeten de objecten zijn
aangemerkt. Dit betekent dat de onderhandelingen hierover met de ons
omringende landen afgerond moet zijn. Een jaar na aanmerking, januari
2012 moeten deze ECI’s een beveiligingsplan (OSP) en een
veiligheidsverbindingsfunctionaris (SLO) hebben. Naast deze twee formele
processen moeten in januari 2011 ook de overige bepalingen uit de
richtlijn, zoals het hebben van een contactpunt en de
rapportageverplichtingen naar de Europese Commissie zijn
geïmplementeerd. 

In dit document heeft de interdepartementale kopgroep EPCIP, bestaand
uit de ministeries V&W, EZ, VROM en BZK, de te nemen stappen voor de
implementatie van de EPCIP-richtlijn gezet. Dit implementatieplan zal
worden gedeeld met alle partners voor de Europese bescherming van vitale
infrastructuur, waaronder de relevante sectoren transport en energie. 

2. Inhoud van de richtlijn

De doelstellingen van de richtlijn zijn:

De instelling van een procedure voor de identificatie van Europees
vitale infrastructuren en voor de aanmerking van infrastructuur als
Europees vitale infrastructuur.

De uitwerking van een gemeenschappelijke aanpak om te beoordelen of het
nodig is de bescherming van dergelijke infrastructuren te verbeteren.

In de Europese Unie bestaat infrastructuur aangemerkt als zijnde vitaal
die bij uitval of vernietiging impact zou kunnen hebben op twee of meer
lidstaten. Deze infrastructuren met een grensoverschrijdende dimensie
zouden aangemerkt kunnen worden als European Critical Infrastructure
(ECI). Voor het inventariseren van deze ECI’s is in de richtlijn een
procedure ontwikkeld (artikel 3) en staan in de richtsnoeren sectorale
en sectoroverstijgende criteria. Door infrastructuren langs deze
criteria te leggen, kan de lidstaat beoordelen of een infrastructuur een
mogelijke ECI is. 

 

Op basis van de procedure in artikel 4 kan deze infrastructuur, door de
lidstaat waar de infrastructuur zich bevindt (vestigingsland) in
samenwerking met de bij uitval van de infrastructuur schade
ondervindende andere lidstaten (impactlanden), aangemerkt worden als
ECI. Er kunnen bij het aanmerken twee scenario’s spelen: 

het vestigingsland inventariseert een mogelijke ECI en consulteert aan
de daarvan mogelijk afhankelijke lidstaten over de geschatte schade bij
uitval of verstoring. Daarop start een onderhandeling tussen de
lidstaten waar geconcludeerd moet worden of het wel of geen ECI is. 

een van een bepaalde vitale infrastructuur afhankelijke lidstaat
inventariseert in het vestigingsland een mogelijke ECI. Daarop start een
onderhandeling tussen de lidstaten waar geconcludeerd moet worden of het
wel of geen ECI is. 

De Europese Commissie kan een bemiddelende rol spelen in het overleg
tussen het vestigingsland en de daarvan afhankelijke lidstaten, indien
dit nodig is. 

Het zijn van een ECI brengt een aantal verplichtingen met zich mee. Zo
moet de ECI een beveiligingsplan (OSP) hebben en moet er een
veiligheidsverbindingsfunctionaris (SLO) zijn. 

In de richtlijn (artikel 7) staat verder nog dat elke lidstaat binnen
één jaar na aanmerking van een ECI op zijn grondgebied, een
dreigingsanalyse zal doen voor de deelsectoren energie en transport, als
er zich een als ECI aangemerkte infrastructuur in bevindt. Ook moet elke
lidstaat, als er een als ECI aangemerkte infrastructuur is, de Europese
Commissie elke twee jaar een verslag sturen met de soorten
kwetsbaarheden, dreigingen en risico’s voor deze deelsectoren. Op deze
manier kan de Europese Commissie samen met de lidstaten nagaan of er
verdere beschermingsmaatregelen op EU-niveau overwogen moeten worden. 

Verder kent de richtlijn een bepaling om de informatie met betrekking
tot de bescherming van Europese vitale infrastructuur vertrouwelijk te
behandelen (artikel 9). Dit geldt voor zowel mondelinge als
schriftelijke informatie. Ook de personen die deze informatie behandelen
horen een passend veiligheidsniveau te hebben.

Tenslotte stelt de richtlijn dat elke lidstaat een CIP contactpunt
(artikel 10) moet hebben. Dit contactpunt coördineert aangelegenheden
in verband met de bescherming van Europese vitale infrastructuur met de
andere lidstaten en de Europese Commissie.

Binnen drie jaar na de inwerkingtreding van de richtlijn zal volgens
artikel 11 de richtlijn geëvalueerd worden. Binnen twee jaar na de
inwerkingtreding (artikel 12) moet de richtlijn geïmplementeerd zijn. 

In bijlage A is het verplichtingenschema te vinden, waarin alle
verplichtingen voor de lidstaten uit de richtlijn zijn neergezet.

2a. Richtsnoeren 

Bij de richtlijn zit een aantal richtsnoeren. Op dit moment lopen de
onderhandelingen hierover nog. Deze richtsnoeren richten zich op een
aantal onderwerpen:

Sectorale criteria voor de deelsectoren energie en transport;

Sectoroverstijgende criteria voor deze deelsectoren;

Analysemethodes;

Tijdslijn voor de in de richtlijn genoemde processen en implementatie;

Verdieping van de procedures uit de richtlijn met o.a. een stroomschema;

Handreiking voor een beveiligingsplan (OSP);

Handreiking voor de vereisten aan een veiligheidsverbindingsfunctionaris
(SLO);

De invulling van bemiddeling door de Europese Commissie en

Bestaande EU-regelgeving voor een OSP en een SLO.

Richtsnoeren zijn niet verplicht voor de lidstaten en dienen als
optioneel hulpmiddel. 

2b. Verantwoordelijkheden

In overweging 4 van de richtlijn staat aangegeven dat de uiteindelijke
verantwoordelijkheid voor de bescherming van vitale infrastructuur
altijd bij de lidstaten zelf ligt. Dit geldt dus ook voor het
inventariseren van mogelijke ECI’s en het aanmerken daarvan. Het
aanmerken van ECI gebeurt in onderling overleg tussen het vestigingsland
en de daarvan afhankelijke lidstaten (impactlanden). Het kan dus niet zo
zijn dat een infrastructuur in Nederland als ECI wordt aangemerkt zonder
instemming van Nederland. De Europese Commissie kan alleen een
bemiddelende rol spelen indien dit aan ze gevraagd wordt. 

De minister van BZK draagt de algemene verantwoordelijkheid voor het
uitvoeren van de verplichtingen die voortvloeien uit de richtlijn. Dit
is conform de verantwoordelijkheden van het huidige programma
Bescherming Vitale Infrastructuur. Ook is de minister van BZK, met de
vakministeries, verantwoordelijk voor de coördinatie en de
vertegenwoordiging van het Nederlandse standpunt in Brussel ten aanzien
toekomstige ontwikkelingen van EPCIP. De richtlijn is van toepassing op
de vitale sectoren transport en energie. Voor de verplichtingen die
specifiek zijn voor een sector, ligt de verantwoordelijkheid voor de
beleidsontwikkeling en -uitvoering bij het betreffende vakministerie. 

De implementatie van de EPCIP-richtlijn is zo ingericht dat het past
binnen de Nederlandse aanpak voor de bescherming van vitale
infrastructuur. Dit betekent dat als een object van een vitale
infrastructuur in Nederland door ons als mogelijke ECI is aangemerkt en
voor dit object is al het nationale vitale traject (te weten de
integrale analyse die elke vier jaar wordt gedaan) doorlopen, dan gaan
we er vanuit dat daarmee ook is voldaan aan de verplichtingen uit deze
richtlijn als het gaat om de beveiliging. Voorwaarde daarbij is dat het
nationale integrale analysetraject kwalitatief goed (dus volgens de
gestelde voorwaarden) is gedaan door het vakministerie en dat de
geïdentificeerde aandachtspunten daarbij zijn opgepakt. 

3. Implementatie

In het licht van de inwerkingtreding in januari 2009 dient de richtlijn
uiterlijk januari 2011 geïmplementeerd te zijn. Dit betekent concreet
dat het proces van inventariseren door Nederland moet zijn afgerond en
ook het proces van onderhandeling met de daarvan afhankelijke lidstaten
over mogelijke ECI’s. Het is nadrukkelijk niet de bedoeling dat pas in
2011 gestart wordt met het identificatie- en aanmerkingproces. Dit moet
in 2011 al zijn afgerond. 

Er zijn bij de implementatie drie processen van belang:

De implementatie van de richtlijn in eigen wetgeving en structuren.

Het proces van identificatie en aanmerking van ECI’s en de
verplichtingen van een OSP en een SLO.

Overige bepalingen zoals het inrichten van een contactpunt en het
opstellen van dreigingsanalyses. 

In dit hoofdstuk worden een aantal voorstellen voor implementatie
gedaan. Dit hoofdstuk is in de tegenwoordige tijd geschreven en op
Nederland toegespitst. Onder elk deelproces uit de richtlijn staat de
mogelijkheid of staan de opties van implementatie. Dit wil echter niet
zeggen dat deze voorstellen ook de te nemen weg zijn. Deze voorstellen
liggen er vanuit praktische overwegingen, maar zijn daardoor niet
limitatief. Pas na een intensieve consultatieronde zal een definitief
implementatieplan worden opgesteld. Wanneer het persoonlijke
voornaamwoord “we” gebruikt wordt, staat dat voor Nederland als
lidstaat. 

Tijdens de onderhandelingen over de richtlijn is door de Europese
Commissie geconcludeerd dat de richtlijn niet per definitie hoeft te
leiden tot wijziging van wet- en regelgeving in de lidstaten. Daar was
onvoldoende draagvlak voor. Expliciet staat dan ook vermeld dat de
richtlijn op verschillende manieren mag worden geïmplementeerd in de
lidstaten, van overeenkomsten tot wetgeving, elke lidstaat mag dit zelf
bepalen. Gezien de grote hoeveelheid aan sectoraal beleid, wet- en
regelgeving die al in Nederland bestaat voor dit onderwerp, is het niet
wenselijk om de richtlijn in wet- en regelgeving te vervatten. Bovendien
werken we in Nederland aan de bescherming van vitale infrastructuur
onder het adagium dat zoveel mogelijk bereikt moet worden door middel
van publiek-private samenwerking en zo min mogelijk met het verplichtend
opleggen door middel van wetgeving. Dit is ook gezien de inhoud van de
bepalingen uit de richtlijn niet nodig. We kiezen er dan ook voor om de
richtlijn te implementeren door middel van beleid. 

Randvoorwaarden voor de implementatie zijn:

We blijven binnen de definitie en de kaders van de nationale uitwerking
van de bescherming vitale infrastructuur.

We laten sectoraal, wat sectoraal ligt.

We sluiten zoveel mogelijk aan bij bestaande structuren, overleggen,
beleid, wet- en regelgeving.

We implementeren zo algemeen mogelijk, zodat nieuwe sectoren eenvoudig
kunnen aansluiten.

Alleen de deelsectoren energie en transport zijn nu onderdeel van de
richtlijn. De bescherming van Europese vitale infrastructuur zal zich in
de toekomst echter op meerdere sectoren gaan richten. Zo loopt er voor
de deelsector ICT al een overlegtraject van de Europese Commissie met de
lidstaten. Nieuwe sectoren kunnen echter altijd pas na de evaluatie van
de richtlijn (drie jaar na de inwerkingtreding van de richtlijn)
aangesloten worden. Het desbetreffende vakministerie zal nauw bij de
discussie betrokken worden. Het onderhavige implementatievoorstel bevat
afspraken over procedures. Deze procedures zijn algemeen verwoord en
zodoende van toepassing op de huidige sectoren (transport en energie),
maar in de toekomst ook op andere sectoren die mogelijk worden
aangesloten op de EPCIP-richtlijn. Nieuwe deelsectoren kunnen op deze
manier eenvoudig aansluiten. 

3a. Inventariseren van ECI

Tekst richtlijn

Artikel 3 

Identificatie van ECI’s

1.	Elke lidstaat stelt, volgens de procedure van bijlage III, een
inventaris op van mogelijke ECI’s  die zowel aan de
sectoroverstijgende als aan de sectorspecifieke criteria beantwoordt en
voldoet aan de definities van artikel 2, punten a) en b).

De Commissie kan de lidstaten op hun verzoek bijstaan bij het
inventariseren van mogelijke ECI’s. De Commissie kan de aandacht van
de desbetreffende lidstaten vestigen op het bestaan van mogelijke
kritieke infrastructuur die kunnen worden geacht te voldoen aan de eisen
voor aanmerking als een ECI.

De lidstaten en de Commissie zetten de inventarisatie van mogelijke
ECI’s permanent voort.

2.	De in lid 1 sectoroverstijgende criteria omvatten:

Het criterium van de slachtoffers (gemeten naar het mogelijke aantal
doden en gewonden);

Het criterium van de economische gevolgen (gemeten naar de omvang van
het economisch verlies en/of de kwaliteitsvermindering van producten of
diensten, met inbegrip van de mogelijke gevolgen voor het milieu);

Het criterium van de gevolgen voor het publiek (gemeten naar de impact
op het vertrouwen van de burgers, het fysieke lijden en de verstoring
van het dagelijkse leven, met inbegrip van het uitvallen van essentiële
diensten).

De voor de sectoroverstijgende criteria geldende drempels worden
gebaseerd op de ernst van de gevolgen van de ontwrichting of
vernietiging van bepaalde infrastructuur. De precieze voor de
sectoroverstijgende criteria geldende drempels worden per geval bepaald
door de bij een welbepaalde kritieke infrastructuur betrokken lidstaten.
Elke lidstaat stelt de Commissie jaarlijks in kennis van het aantal
infrastructuurvoorzieningen per sector waarvoor overleg over de voor de
sectoroverstijgende criteria geldende drempels heeft plaatsgevonden.

Bij de sectorspecifieke criteria wordt rekening gehouden met de
kenmerken van de afzonderlijke sectoren met Europese kritieke
infrastructuur.

De Commissie stelt, samen met de lidstaten, richtsnoeren op voor het
toepassen van de sectoroverstijgende en de sectorspecifieke criteria en
van de approximatieve drempels die bij het inventariseren van ECI 
moeten worden gehanteerd. De criteria worden gerubriceerd. De toepassing
van die richtsnoeren is facultatief voor de lidstaten.

3.	Voor de toepassing van deze richtlijn worden de sectoren energie en
vervoer gekozen. De betreffende deelsectoren worden opgesomd in
bijlage I.

Indien dit nodig wordt geacht kunnen, in samenhang met de evaluatie van
deze richtlijn als bedoeld in artikel 11, nog andere sectoren worden
aangewezen voor de toepassing van deze richtlijn. Daarbij moet voorrang
worden verleend aan de ICT-sector.

Implementatievoorstel

Het proces van inventariseren van ECI doorloopt vier stappen:

Het toepassen van de sectorale criteria uit de richtsnoeren om te
bepalen of er nationaal infrastructuren zijn die volgens deze sectorale
criteria als vitaal aan te merken zijn.

Betreft het hier een vitale infrastructuur conform de definitie uit
artikel 2A?

Betreft het hier een Europese vitale infrastructuur conform de definitie
uit artikel 2B?

Het toepassen van de sectoroverstijgende criteria uit de richtsnoeren.

Bij het aanmerken van ECI zal zo dicht mogelijk bij de Nederlandse
definitie van vitale infrastructuur worden aangesloten. Zo kiezen we
ervoor om geen spoor- of wegsysteem als ECI aan te merken, omdat we dat
nationaal ook niet doen.

Hoewel de richtsnoeren met daarin de criteria niet verplicht zijn,
kiezen we ervoor om de criteria uit de richtsnoeren als uitgangspunt te
nemen. Op basis van de criteria kijken we of er sprake is van mogelijke
ECI’s. Daarnaast wordt de methodiek van de NRB gebruikt om deze
criteria voor de Nederlandse situatie verder aan te vullen en
scenario’s te ontwikkelen. Het is aan het vakministerie om in overleg
met de sector gemotiveerd af te wijken van de criteria uit de
richtsnoeren. Bij het vakministerie ligt dan ook de bewijslast. 

Het inventariseren van mogelijke ECI is een continu proces, waarbij
zoveel mogelijk aangesloten wordt bij bestaande processen. Om dit proces
te borgen kiezen we er dan ook voor om bij de al bestaande
vierjaarlijkse integrale analyse van de bescherming van vitale
infrastructuur twee extra analysevragen mee te nemen:

Welke infrastructuur heeft bij uitval of verstoring mogelijke impact in
het buitenland?

Van welke vitale infrastructuur in het buitenland zijn we in Nederland
afhankelijk?

Het gedachtegoed van de EPCIP-richtlijn en de criteria uit de
richtsnoeren (mochten we ervoor kiezen deze te volgen) dienen hiervoor
als achtergrond. De vierjaarlijkse integrale analyse wordt gedaan door
de vakministeries. Hiernaast moet het echter mogelijk zijn om elk jaar
aanvullende informatie bij de sectoren te vragen, indien dit door het
Nederlandse CIP contactpunt, na overleg met het vakministerie, nodig
wordt geacht. Dit zal alleen het geval zijn bij grootschalige
bedrijfswijzigingen, onduidelijkheden in de aangeleverde informatie en
vragen vanuit de Europese Commissie. De vierjaarlijkse rapportage dient
tegelijkertijd om de Tweede Kamer te informeren over ECI. In 2009 vindt
de volgende integrale analyse plaats, waardoor het mogelijk is om het
eerste identificatieproces van mogelijke ECI daarmee gelijk te laten
lopen. 

3b. Aanmerken van ECI

Tekst richtlijn

Artikel 4 

Aanmerking als ECI’s

1.	Elke lidstaat stelt de overige lidstaten waarvoor een mogelijke ECI
aanzienlijke gevolgen kan hebben, in kennis van het bestaan ervan en van
de redenen waarom die infrastructuur als een mogelijke ECI is
aangemerkt.

2.	Elke lidstaat op het grondgebied waarvan een mogelijke ECI gelegen
is, treedt in bilateraal en/of multilateraal overleg met andere
lidstaten waarvoor de mogelijke ECI aanzienlijke gevolgen kan hebben. De
Commissie kan aan dat overleg deelnemen, maar heeft geen toegang tot
informatie waarmee een bepaalde infrastructuur onmiskenbaar
geïdentificeerd kan worden.

Een lidstaat die redenen heeft om aan te nemen dat de mogelijke ECI
aanzienlijke gevolgen voor hem kan hebben, maar die niet als zodanig is
aangeduid door de lidstaat op het grondgebied waarvan de mogelijke ECI
is gelegen, kan bij de Commissie zijn wens kenbaar maken om bij het
bilaterale en/of multilaterale overleg over deze kwestie te worden
betrokken. De Commissie brengt de lidstaat op het grondgebied waarvan de
mogelijke ECI is gelegen, onverwijld van die wens op de hoogte en tracht
een akkoord tussen de partijen te vergemakkelijken.

3.	De lidstaat op het grondgebied waarvan een mogelijke ECI is gelegen,
merkt die, na een akkoord tussen die lidstaat en de lidstaten waarvoor
die infrastructuur aanzienlijke gevolgen kan hebben, aan als ECI.

Het is noodzakelijk dat de lidstaat op het grondgebied waarvan de
infrastructuur gelegen is die moet worden aangemerkt als ECI, zijn
instemming verleent.

4.	De lidstaat op het grondgebied waarvan een als ECI aangemerkte
infrastructuur gelegen is, stelt de Commissie elk jaar in kennis van het
aantal als ECI’s aangemerkte infrastructuurvoorzieningen per sector en
het aantal lidstaten dat afhankelijk is van elke als ECI aangemerkte
infrastructuur. Alleen de lidstaten waarvoor een ECI aanzienlijke
gevolgen kan hebben, worden van het bestaan ervan in kennis gesteld.

5.	De lidstaten op het grondgebied waarvan een ECI is gelegen, stellen
de eigenaar/exploitant van de infrastructuur in kennis van het feit dat
deze infrastructuur als een ECI is aangemerkt. De informatie over het
aanmerken van infrastructuur als een ECI wordt op een passend niveau
gerubriceerd.

6.	Het identificeren en aanmerken van ECI’s uit hoofde van de
artikel 3 en onderhavig artikel krijgt zijn beslag uiterlijk op 12
januari 2011, en wordt regelmatig geëvalueerd.

Implementatievoorstel

Voorop gesteld staat dat we zoveel mogelijk via informele bilaterale
verkenningen met de ons omringende landen zullen inventariseren en
spreken over mogelijke aanmerking. Het proces van identificeren en het
proces van onderhandelen met andere lidstaten of het echt een ECI is,
zal in de praktijk moeilijk te scheiden zijn. Toch verplicht de
richtlijn ons dit als twee afzonderlijke processen te zien en zo te
benaderen. Dit betekent in praktische zin dat er een scheidslijn moet
zijn waarop we van het identificatieproces naar het aanmerkingsproces
gaan. We kiezen er dan ook voor om in Nederland na inventarisatie van
een mogelijke ECI de daarvan afhankelijke lidstaten (via de CIP
contactpunten) per formele brief, getekend door de minister van BZK als
regievoerder mede namens de betrokken vakminister, te informeren. In
deze brief staat:

Typering van het object en de sector;

De melding dat contact kan worden gezocht via het CIP contactpunt met
het verantwoordelijke ministerie voor de sector waar de mogelijke ECI
onder valt in Nederland. 

Wanneer we in Nederland een mogelijke ECI hebben geïnventariseerd in
het buitenland, zal het desbetreffende vakministerie dit formeel per
brief via het Nederlandse CIP contactpunt delen met het CIP contactpunt
in het betreffende land. Deze brief zal worden ondertekend door de
coördinerende minister van BZK en de betreffende vakminister. De
formele briefprocedure staat overigens los van alle informele contacten
die het vakministerie met het betreffende land heeft. De brief markeert
het moment van overgang tussen twee processen: het identificatieproces
en het aanmerkingsproces. 

Mocht een andere lidstaat van mening zijn dat er zich in Nederland een
ECI bevindt, dan moeten zij dit ook formeel per brief (naar het
Nederlandse CIP contactpunt en gericht aan de minister van BZK)
gemotiveerd aangeven. Het CIP contactpunt brengt deze lidstaat
vervolgens in contact met het verantwoordelijke vakministerie van de
mogelijke ECI. 

We kiezen voor een formele brief om te kunnen garanderen dat we in
Nederland de benodigde interne processen kunnen opstarten, zoals het
vrijmaken van budget of personeel indien nodig. Daarnaast is dit ook
nodig voor de archivering en als bewijslast richting de Europese
Commissie over de implementatie van de richtlijn. De formele procedure
staat los van alle informele contacten die vakministeries kunnen hebben.
Formele correspondentie met de andere lidstaten loopt dus via het
Nederlandse CIP contactpunt en naar de andere CIP contactpunten. Dit is
bedoeld om de informatiekanalen te stroomlijnen richting en vanuit de
andere Lidstaten. De minister van BZK is coördinerend voor de formele
correspondentie namens de Nederlandse staat in dit kader. 

Onderhandelingen met andere lidstaten over de aanmerking van ECI’s
gebeurt echter door de vakministeries zelf in samenwerking met het
vitale bedrijf en het Nederlandse CIP contactpunt. Het staat de
vakministeries vrij om informele verkennende gesprekken over mogelijke
ECI te voeren met buitenlandse vakministeries om zo een eventuele
formele procedure te versoepelen dan wel een onnodige formele procedure
te voorkomen. 

De beheerders van (mogelijke) Europees vitale infrastructuur worden
vanaf de beginfase betrokken, dus al vanaf het identificatieproces. Het
Nederlandse CIP contactpunt is het centrale punt waar bekend is welke
ECI er in Nederland zijn. Binnen het CIP contactpunt (hier zijn alle
betrokken ministeries in vertegenwoordigd) zal afgestemd worden in
hoeverre deze informatie vertrouwelijk gedeeld zal worden met de
relevante burgemeesters. Het delen van deze informatie gebeurt dan
conform de afspraken gemaakt binnen het programma Bescherming vitale
infrastructuur over verspreiden van informatie over vitale objecten ten
behoeve van de openbare orde en veiligheid.

Informatie over het aanmerken van infrastructuur als ECI moet, conform
de richtlijn, op een passend niveau gerubriceerd worden. We kiezen
ervoor om dit in Nederland onder “Departementaal Vertrouwelijk” te
rubriceren, gelijk aan de rubricering van de vitale objecten in
Nederland. Deze rubricering dient te allen tijde te worden aangeven op
documenten over de aanmerking van ECI. Dit zal in een
vertrouwelijkheidprotocol worden vastgelegd die door alle aangemerkte
ECI’s en verantwoordelijke overheidspartijen ondertekend wordt.
Overigens blijft de mogelijkheid openstaan om per informatiezending de
rubricering aan te passen naar een hogere gradatie. 

Ten slotte zal het besluit of een vitale infrastructuur in Nederland als
Europees vitaal wordt aangemerkt, bekrachtigd worden door de
Ministerraad. Het zijn van een ECI brengt immers verplichtingen mee voor
zowel het bedrijf als het vakministerie (zie hieronder) en de onderlinge
verantwoordelijkheidsverdeling tussen ministers dient daarbij helder te
zijn. 

3c. Verplichtingen voor aangemerkte ECI

Tekst richtlijn

Artikel 5

Beveiligingsplannen van de exploitant

1.	In het beveiligingsplan van de exploitant (OSP) wordt een overzicht
gegeven van de kritieke-infrastructuurvoorzieningen van de ECI en van de
beveiligingsoplossingen die bestaan of worden geïmplementeerd met het
oog op de bescherming ervan. De minimale inhoud van een ECI-OSP wordt
beschreven in bijlage II.

2.	Elke lidstaat gaat na of alle als ECI aangemerkte infrastructuur op
zijn grondgebied beschikt over een OSP of over gelijkwaardige
maatregelen die de in bijlage II vermelde punten bestrijken. Indien een
lidstaat constateert dat er een dergelijk beveiligingsplan van de
exploitant of een gelijkwaardig plan bestaat dat regelmatig wordt
bijgewerkt, hoeven er geen verdere implementeringsmaatregelen te worden
getroffen.

3.	Indien een lidstaat constateert dat er geen dergelijk OSP  of
gelijkwaardig plan is opgesteld, zorgt hij ervoor, met alle maatregelen
die hij passend acht, dat een OSP of een gelijkwaardig plan wordt
opgesteld dat de in bijlage II vermelde punten bestrijkt.

Elke lidstaat zorgt ervoor dat uiterlijk een jaar nadat de
infrastructuur als ECI is aangemerkt, een beveiligingsplan van de
exploitant of een gelijkwaardig plan is opgesteld en regelmatig wordt
getoetst. Die termijn kan in uitzonderlijke omstandigheden met
toestemming van de autoriteit van de lidstaat en met kennisgeving aan de
Commissie worden verlengd.

4.	Dit artikel laat reeds bestaande regelingen voor toezicht en
supervisie inzake ECI onverlet; de in die regelingen aangewezen
toezichthouder is de in dit artikel bedoelde autoriteit van de lidstaat.

5.	Indien maatregelen, inclusief communautaire maatregelen, worden
nageleefd die in een bepaalde sector een plan voorschrijven of gewag
maken van de noodzaak te beschikken over een plan dat gelijksoortig of
gelijkwaardig is aan een OSP, en supervisie door de relevante autoriteit
ten aanzien van een dergelijk plan voorschrijven, dan worden alle aan de
lidstaten gestelde eisen die in dit artikel worden genoemd of krachtens
dit artikel worden vastgesteld, geacht te zijn nageleefd. De in
artikel 3, lid 2, bedoelde toepassingsrichtsnoeren omvatten een
indicatieve lijst van die maatregelen.

Artikel 6

Veiligheidsverbindingsfunctionarissen

De veiligheidsverbindingsfunctionaris is het contactpunt voor
veiligheidsaangelegenheden tussen de eigenaar/exploitant van de ECI en
de relevante autoriteit van de lidstaat.

Elke lidstaat gaat na of alle als ECI aangemerkte infrastructuur op zijn
grondgebied over een veiligheidsverbindingsfunctionaris of een
gelijkwaardige functionaris beschikt. Indien een lidstaat constateert
dat er een veiligheidsverbindingsfunctionaris of een gelijkwaardige
functionaris bestaat, hoeven geen verdere implementeringsmaatregelen te
worden getroffen.

Indien een lidstaat constateert dat er voor een als ECI aangemerkte
infrastructuur geen veiligheidsverbindingsfunctionaris of gelijkwaardige
functionaris bestaat, zorgt hij ervoor, met alle maatregelen die hij
passend acht, dat een dergelijke veiligheidsverbindingsfunctionaris of
een gelijkwaardige functionaris wordt aangewezen.

Elke lidstaat implementeert een passend communicatiemechanisme tussen de
relevante autoriteit van de lidstaat en de
veiligheidsverbindingsfunctionaris of een gelijkwaardige functionaris
voor de uitwisseling van informatie over vastgestelde risico's en
dreigingen in verband met de betrokken ECI. Dit communicatiemechanisme
laat de nationale voorschriften aangaande de toegang tot gevoelige en
gerubriceerde informatie onverlet.

Indien maatregelen, inclusief communautaire maatregelen, worden
nageleefd die in een bepaalde sector een
veiligheidsverbindingsfunctionaris of een gelijkwaardige functionaris
voorschrijven, of gewag maken van de noodzaak te beschikken over een
dergelijke functionaris, dan worden alle aan de lidstaten gestelde eisen
die in dit artikel worden genoemd of uit hoofde van dit artikel worden
vastgesteld, geacht te zijn nageleefd. De in artikel 3, lid 2,
bedoelde toepassingsrichtsnoeren omvatten een indicatieve lijst van die
maatregelen.

Implementatievoorstel

De verplichtingen van een OSP en een SLO zijn sectorale verplichtingen.
De ministeries van V&W, EZ, JUS en VROM (of de door hen aangewezen
inspecties) zullen bij aanmerking van een ECI nagaan of reeds aan deze
verplichtingen wordt voldaan. Daarbij wordt aangesloten bij bestaande
wet- en regelgeving, overeenkomsten e.d. Deze bestaande regelingen
moeten wel voldoen aan de kaders voor een OSP en een SLO die gesteld
zijn in de richtlijn. Dit is om te kunnen garanderen dat de diepgang en
zwaarte van deze verplichtingen in alle sectoren (de huidige, maar ook
eventueel later bijgevoegde) gelijkwaardig en gelijksoortig worden
geïmplementeerd. De vakministeries zijn ook verantwoordelijk voor de
regelmatige toetsing of deze verplichtingen nog aan de richtlijn
voldoen. Het Nederlandse CIP contactpunt kan hierbij faciliteren. 

Het Nederlandse CIP contactpunt zal, in samenwerking met de
vakministeries, verder zorg dragen voor een jaarlijks evaluatiegesprek
met het netwerk van veiligheidsverbindingsfunctionarissen, conform de
verplichting uit de richtlijn. 

3d. Onderzoek noodzaak betere beveiliging

Tekst richtlijn

Artikel 7

Verslagen

1.	Elke lidstaat verricht binnen één jaar nadat op zijn grondgebied
kritieke infrastructuur binnen deelsectoren als ECI is aangemerkt, een
dreigingsanalyse met betrekking tot deze deelsectoren van de Europese
kritieke infrastructuur.

2.	Elke lidstaat zendt de Commissie om de 24 maanden algemene
informatie toe op basis van een beknopt verslag over de soorten
risico’s, dreigingen en kwetsbaarheden die zich hebben voorgedaan voor
iedere sector van ECI waarin uit hoofde van artikel 4 een ECI is
geïnventariseerd die op zijn grondgebied gelegen is.

De Commissie kan in samenwerking met de lidstaten een gemeenschappelijk
model voor deze verslagen uitwerken

Elk verslag wordt gerubriceerd op het niveau dat door de lidstaat die
het heeft opgesteld, nodig geacht wordt.

3.	De Commissie en de lidstaten gaan aan de hand van de in lid 2
bedoelde verslagen per sector na of er voor de ECI’s verdere
beschermingsmaatregelen op Gemeenschapsniveau overwogen moeten worden.
Dit gebeurt in samenhang met de evaluatie van deze richtlijn als bedoeld
in artikel 11.

4.	De Commissie kan in samenwerking met de lidstaten gemeenschappelijke
methodologische richtsnoeren uitwerken voor risicoanalyses met
betrekking tot ECI’s. De toepassing van die richtsnoeren is
facultatief voor de lidstaten.

Implementatievoorstel

De Nationale Risicobeoordeling (NRB) van de directie Nationale
Veiligheid van het ministerie van BZK en de vierjaarlijkse Nederlandse
rapportage zijn de instrumentaria die worden benut om dit artikel te
implementeren. Met behulp van de NRB worden jaarlijks dreigingsanalyses
uitgevoerd die ook elk jaar via het CIP contactpunt aan de Europese
Commissie zullen worden doorgegeven. Het CIP contactpunt draagt er zorg
voor dat kritisch naar de te verzenden informatie wordt gekeken. 

Het CIP contactpunt coördineert de onderhandeling en afwikkeling van
mogelijke verbeteringsopties die op gemeenschapsniveau worden
aangedragen. De inhoudelijke inbreng komt van de vakministeries.

3e. Rapportageplicht EC

In meerdere artikelen staat een plicht tot rapporteren naar de Europese
Commissie:

Artikel 3 lid 2: Elke lidstaat informeert de Europese Commissie
jaarlijks over het aantal ECI per sector waarvoor besprekingen zijn
gehouden over de drempels.

Artikel 4 lid 4: De lidstaat waar een ECI is gevestigd, zal de EC
jaarlijks informeren over het aantal aangewezen ECI per sector en de
daarvan afhankelijke lidstaten.

Artikel 7 lid 2: De lidstaat rapporteert elke twee jaar in algemene
termen over types kwetsbaarheden, dreigingen en risico’s per ECI.

Vanuit Nederland informeren we de Europese Commissie op aantallen
ECI’s per sector, niet over welke ECI er zijn. De vierjaarlijkse
rapportage is de basis, maar het Nederlandse CIP contactpunt gaat elk
jaar na of er wijzigingen zijn. Hier ligt ook een verantwoordelijkheid
voor de ECI zelf om grootschalige wijzigingen tijdig door te geven aan
het CIP contactpunt. Wel zal er elk jaar een brief naar de Europese
Commissie gaan met daarin de voor deze richtlijn relevante dreigingen en
informatie uit de Nationale Risicobeoordeling. Hiermee voldoet Nederland
aan de verplichting van artikel 7 lid 2. In deze brief staan dan ook de
generieke kwetsbaarheden, zoals dat Nederland kwetsbaar blijft voor
water boven de zoveel meter. Alle formele communicatie over de Europese
bescherming van vitale infrastructuur loopt in principe via het
Nederlandse CIP contactpunt.

3f. Gevoelige informatie

Tekst richtlijn

Artikel 9

Gevoelige informatie in verband met de bescherming van ECI

1.	Personen die namens een lidstaat of de Commissie omgaan met
gerubriceerde informatie uit hoofde van deze richtlijn, moeten een
passend veiligheidsniveau hebben.

De lidstaten, de Commissie en de betrokken toezichthoudende instanties
zien erop toe dat aan de lidstaten of aan de Commissie verstrekte
gevoelige informatie over de bescherming van ECI niet voor enig ander
doel dan de bescherming van kritieke infrastructuur wordt gebruikt.

2.	Dit artikel is ook van toepassing op niet-schriftelijke informatie
die uitgewisseld wordt tijdens vergaderingen over gevoelige onderwerpen.

Implementatievoorstel

Veiligheidsverbindingsfunctionarissen moeten als vertrouwensfuncties
(niveau B) worden aangemerkt bij de Beveiligingsambtenaar. Het is aan te
bevelen dat ze een screening krijgen, omdat ze het publieke belang
dienen, ondanks hun commerciële achtergrond. Het CIP contactpunt kan
hierbij bemiddelen. 

Voorgesteld wordt om ook de experts bij de mogelijke ECI’s een
B-screening aan te bieden, omdat ze vanaf het proces van identificatie
al betrokken worden en meedraaien in overleggen met de overige
lidstaten. Dit om voor onszelf, maar ook voor de Europese Commissie en
de andere lidstaten aan te geven dat vertrouwelijkheid in Nederland
serieus wordt genomen. Een B-screening is conform de vertrouwenseisen
zoals die op dit moment zijn gesteld in het Nederlandse beleid voor de
bescherming van vitale infrastructuur.

Zie paragraaf 3b voor de vertrouwelijkheid van de aanmerking van een
ECI. 

3g. CIP Contactpunt

Tekst richtlijn

Artikel 10

Contactpunten voor de bescherming van ECI 

1.	Elke lidstaat wijst een contactpunt voor de bescherming van ECI aan
(ECIP-contactpunten).

2.	ECIP-contactpunten coördineren aangelegenheden in verband met de
bescherming van ECI binnen de lidstaat, met andere lidstaten en met de
Commissie. De aanwijzing van een ECIP-contactpunt voor de bescherming
van Europese kritieke infrastructuur sluit niet uit dat andere
autoriteiten in een lidstaat bij aangelegenheden in verband met de
bescherming van ECI worden betrokken.

Implementatievoorstel

Het CIP contactpunt wordt in Nederland de spil in het web van de
implementatie en de uitvoering van de richtlijn en richtsnoeren. Ze
faciliteren en coördineren de identificatie, aanmerking,
dreigingsanalyses en rapportages richting de Europese Commissie.
Daarnaast zijn ze belangrijk voor de processturing en tijdsmanagement.
Het is dan ook aan te bevelen ze al vanaf de inwerkingtreding van de
richtlijn in te stellen.

Positionering

Het contactpunt wordt gepositioneerd als hét Nederlandse aanspreek
–en coördinatiepunt voor EPCIP aangelegenheden. Het contactpunt zal
zich kenmerken door aanspreekbaarheid, betrouwbaarheid, coördinatie en
expertise. 

Samenstelling contactpunt

Bij de uitvoering van EPCIP zijn verschillende partijen betrokken die
vanwege hun verantwoordelijkheid, expertise of belangenbehartiging een
rol kunnen hebben in het contactpunt. Voor een goed functionerend
contactpunt is het daarom wenselijk om juiste partijen in een
samenwerkingsverband bijeen te brengen.

Concreet zou dit kunnen betekenen dat het contactpunt voorlopig bestaat
uit vertegenwoordigers van:

Min BZK als regievoerder en aanspreekpunt voor de Europese Commissie;

Min EZ als verantwoordelijke voor de energiesector;

Min VenW als verantwoordelijke voor de transportsector;

Min VROM als gedeeld verantwoordelijke voor de energiesector (nucleair
en buisleidingen);

Min JUS als gedeeld verantwoordelijke voor de luchtvaart;

Advies- en kenniscentra zoals het NAVI kunnen vanwege de kennis van
veiligheid en de contacten met de sectoren betrokken worden door het CIP
contactpunt. Het ministerie van Buitenlandse Zaken zal regelmatig op de
hoogte worden gehouden van de werkzaamheden van het CIP contactpunt als
het gaat om het leggen van contact met andere Lidstaten. Daarbij kan het
ministerie van Buitenlandse Zaken een bemiddelende rol spelen, indien
dit gewenst is. 

Het CIP contactpunt is dus nadrukkelijk niet het ministerie van BZK,
hoewel ze beheersmatig wel gepositioneerd zijn onder de directie
Nationale Veiligheid. In het samenwerkingsverband wordt gewerkt met zgn.
accountmanagers van de vakministeries onder regie van BZK. 

De voordelen van een dergelijk samenwerkingsverband zijn.

gemeenschappelijke informatiepositie t.a.v. EPCIP

korte lijnen in het spectrum van taken

draagvlak voor de werkwijze

vertrouwen om onderling vrijuit te kunnen spreken vertrouwelijke
onderwerpen zoals dreigingen of de identiteit van Europese vitale
infrastructuren.

Als een nieuwe sector in EPCIP verband als vitale sector wordt benoemd,
zal het verantwoordelijke ministerie lid worden van het contactpunt en
ook een accountmanager aanleveren. De functie van lid van het
contactpunt moet worden aangemerkt als vertrouwensfunctie. Daarom zal
een B-screening voor leden van het contactpunt vereist zijn.

Fysiek is het CIP contactpunt ondergebracht bij de directie Nationale
Veiligheid waar een beleidsmedewerker (1FTe) verantwoordelijk is voor de
aansturing. Deze beleidsmedewerker zal ook de verdere
beleidsonderhandelingen omtrent het EPCIP als programma voortzetten.
Daarnaast levert het ministerie van BZK een beleidsondersteuner (1FTe)
voor het CIP contactpunt om de accountmanagers van de vakministeries
waar nodig te ondersteunen en zorg te dragen voor archivering. Verwacht
wordt dat de accountmanagers 0,2 FTe per week besteden aan het CIP
contactpunt. Deze tijdsbesteding bestaat dan uit het faciliteren en
coördineren van het identificatie- en aanmerkingsproces in het eigen
vakministerie en de CIP contactpuntwerkzaamheden zoals hieronder
beschreven. Het is niet noodzakelijk dat deze accountmanagers fysiek
aanwezig zijn bij het ministerie van BZK. Er zal ook een digitale
samenwerkingsruimte gecreëerd worden (dat voldoet aan alle
veiligheidseisen, zoals bijvoorbeeld het CIWIN). Een programma van eisen
dient nog verder uitgewerkt te worden voor de start van het CIP
contactpunt. 

Werkzaamheden van het contactpunt.

De aard van de werkzaamheden van het contactpunt zijn te splitsen in
twee stromen.

Stroom 1 operationele coördinatie. 

Deze werkstroom betreft het coördineren van alle aangelegenheden die
betrekking hebben op het uitvoeren van de verplichtingen die
voortvloeien uit de Richtlijn. Met inachtneming van de
verantwoordelijkheden van de vakministeries en de private sector, is het
contactpunt betrokken bij de volgende activiteiten:

Inventariseren van potentiële ECI 

Conform de Richtlijn moet de lidstaat de potentiële ECI in eigen land
inventariseren die bij uitval een grote impact heeft op andere lidstaten
of de ECI in andere lidstaten die bij uitval grote impact voor Nederland
heeft. Het contactpunt heeft hier een trekkende rol in, onder
verantwoordelijkheid van de vakministers.

Aanmerken van ECI

Het contactpunt is verantwoordelijk voor het proces om in samenwerking
met de daarvan afhankelijke lidstaten vast te stellen of een potentiële
ECI daadwerkelijk als ECI moet worden aangemerkt. De definitieve
aanmerking als ECI is de verantwoordelijkheid van de lidstaat waar de
ECI gevestigd is, met instemming van de impactlanden. 

OSP

Het contactpunt kan het verantwoordelijke ministerie faciliteren bij het
nagaan of een ECI een beveiligingsplan heeft dat voldoet aan de eisen
van de richtlijn.

SLO

Het contactpunt kan het verantwoordelijke ministerie faciliteren bij het
nagaan of een ECI over een SLO beschikt dat voldoet aan de eisen van de
richtlijn.

Stroom 2 beleidsmatige activiteiten. 

Het EPCIP programma zal zich de komende jaren blijven ontwikkelen. In
het algemeen kan gezegd worden dat activiteiten als beleidsmatig kunnen
worden aangemerkt, als er een Nederlands standpunt moet worden opgesteld
dat in Brussel moet worden uitgedragen.

Te verwachten zijn:

Benoemen van nieuwe Europese vitale sectoren. Hiervoor moeten sectorale
criteria worden opgesteld en zal de Richtlijn EPCIP geamendeerd moeten
worden.

Het financiële jaarplan van de Commissie voor EPCIP. De Commissie
betrekt de Contactpunten van de lidstaten in dit proces. 

Evaluatie van de Richtlijn (3 jaar na inwerkingtreding)

Beleid rond de ontwikkeling van het CIWIN

Contactpuntbijeenkomsten

Bespreken van EPCIP in de Raadswerkgroep PROCIV

Voorbereidingen voor COREPER en de JBZ-Raad

Onderhandelingen over mogelijke verbetervoorstellen conform artikel 7

Werkwijze

Met de betrokken partijen zal een werkwijze moeten worden afgesproken
hoe het contactpunt in de praktijk zal functioneren. Bijvoorbeeld over
de vraag of de leden onderling in een veilige omgeving moeten kunnen
communiceren. Het CIWIN zou hier voor gebruikt kunnen worden.

4. Conclusies Implementatie

De richtlijn kan in zijn geheel op beleidsmatige wijze geïmplementeerd
worden. Aandachtspunt voor iedere betrokken vakministerie is nog wel of
bereikt wordt of de verplichtingen tot een OSP en een SLO per mogelijke
ECI worden ingevuld. Dit kan mogelijk leiden tot aanpassing van
sectorale wetgeving door het verantwoordelijke vakministerie. Dit zal
echter pas gaan spelen in het geval dat daadwerkelijk één of meer
ECI’s voor Nederland zijn aangemerkt. Bovendien verschilt dit per
vitale infrastructuur. 

Het Nederlandse CIP contactpunt zal een cruciale rol spelen in het
proces van inventariseren en aanmerken van ECI. Het sterke van een
interdepartementaal samenwerkingsverband als het CIP contactpunt is dat
het een sectoroverstijgende invalshoek en uitstraling zal hebben. Dit
past ook in het gedachtegoed van de richtlijn. Het CIP contactpunt wordt
dan ook met voorrang ingesteld, zodat de daadwerkelijke implementatie
van de richtlijn via het CIP-contactpunt kan lopen. Hierdoor wordt de
benodigde samenwerking tussen de ministeries, maar ook met het
bedrijfsleven versterkt. 

Kortom, de volgende stappen zullen moeten worden doorlopen:

Identificeren: 

	Vakministerie en sector kijken, ondersteund door CIP contactpunt naar
welke infrastructuur er in Nederland is die mogelijk een ECI zou kunnen
worden. Ook kijken vakministerie en sector naar welke infrastructuur er
in het buitenland ligt waar we als Nederland in die mate van afhankelijk
zijn dat het een ECI zou moeten worden. Dit doen we door de criteria uit
de richtsnoeren te gebruiken, aangevuld met de methodiek van de
Nationale Risicobeoordeling (NRB).

Informeren: 

	Via het interdepartementale samenwerkingsverband CIP contactpunt worden
per formele brief 	de impactlanden (lidstaten die afhankelijk zijn van
een infrastructuur gevestigd in Nederland) geïnformeerd en uitgenodigd
tot overleg met het Nederlandse vakministerie en de sector. Deze brief
wordt ondertekend door de coördinerende minister van BZK en de
betreffende vakminister.

Aanmerken: 

	Gezamenlijk (impactlanden en Nederland) wordt dan overeengekomen of het
een ECI betreft 	of niet. De Europese Commissie kan, indien gevraagd,
een bemiddelende rol hierbij spelen. Het besluit of een infrastructuur
in Nederland Europees vitaal is, wordt in de Ministerraad geaccordeerd.

Daarnaast: 

Elk jaar zendt het CIP contactpunt een afschrift van de relevante delen
van de NRB naar de Europese Commissie.

Elke vier jaar neemt elk vakministerie bij de integrale analyse BVI ook
de impact op en van het buitenland mee. 

Het CIP contactpunt is een samenwerkingsverband van de ministeries en
zorgt voor procesmanagement, ondersteuning, archivering en coördinatie.
Beheersmatig is het een onderdeel van het ministerie van BZK, de
directie Nationale veiligheid. Inhoudelijk bestaat het uit de
accountmanagers van de relevante vakministeries. 

Wat betekent de richtlijn voor de vitale sectoren?

In eerste instantie zullen mogelijke infrastructuren (waarvan de
vakministeries denken dat het een ECI kan zijn) benaderd worden door het
vakministerie om gezamenlijk de betreffende infrastructuur langs de
criteria te leggen uit de richtsnoeren. Voldoet de betreffende
infrastructuur hieraan dan zal er een formele brief via het CIP
contactpunt naar de impactlanden gaan om ze uit te nodigen voor nader
overleg. Dit overleg wordt gevoerd door het vakministerie in
samenwerking met de beheerder/eigenaar van de betreffende infrastructuur
zijnde een mogelijke ECI. 

Wanneer in overleg met de impactlanden wordt overeengekomen dat het een
ECI betreft, wordt deze aangemerkt. Het vakministerie zal vervolgens
nagaan of er een OSP en een SLO bij de vitale infrastructuur aanwezig
zijn die ook voldoen aan de kaders gesteld in de richtlijn. Als dit zo
is, dan hoeft de beheerder/eigenaar van deze infrastructuur verder niets
meer te doen. Mocht dit niet zo zijn, dan zal in overleg met het
vakministerie nagegaan worden hoe aan deze verplichtingen kan worden
voldaan. Dit hoeft overigens niet via wet- en regelgeving, de richtlijn
geeft ook de mogelijkheid van een overeenkomst of een convenant e.d. 

5. Terms of Reference in de relatie tussen lidstaten

Nederland vindt het belangrijk dat het contact met de andere lidstaten
op eenduidige wijze plaatsvindt. De richtlijn bevat diverse processen en
contactmomenten met andere lidstaten. We willen echter niet met elke
lidstaat op een andere wijze communiceren of onderhandelen. Vandaar dat
we in een vroeg stadium onze terms of reference willen neerleggen bij de
andere lidstaten. 

Deze terms of reference bestaan uit:

Alle formele communicatie over EPCIP en ECI loopt via het Nederlandse
CIP contactpunt. Om de aanmerkingprocedure efficiënt te laten verlopen
dan wel te voorkomen dat deze onnodig wordt gestart, wordt er vanuit
gegaan dat verkennende, informele overleggen tussen vakministeries van
de betrokken landen voorbereidend werk doen. 

Als wij in Nederland een mogelijke ECI inventariseren, zullen wij de
daarvan afhankelijke lidstaten op de hoogte stellen d.m.v. een formele
brief aan hun CIP contactpunt van ons CIP contactpunt ondertekend door
de minister van BZK en de betreffende vakminister. 

Als een andere lidstaat van mening is dat er in Nederland een mogelijke
ECI staat waar zij afhankelijk van zijn, dan moeten zij ons ook per
formele brief aan het Nederlandse CIP contactpunt op de hoogte stellen.
Alleen gemotiveerde brieven worden in behandeling genomen. Deze brief
moet gericht zijn aan de minister van BZK. 

De brieven m.b.t. identificatie en aanmerking dienen altijd formeel van
aard. 

De principelijn is dat we de criteria uit de richtsnoeren volgen, maar
dat we altijd gemotiveerd kunnen afwijken. De verantwoordelijkheid voor
het aanmerken van ECI in Nederland ligt bij het Nederlandse Kabinet. 

Het Nederlandse CIP contactpunt kan altijd benaderd worden, mochten er
vragen zijn vanuit andere Lidstaten.

Deze implementatie wenst niet in de weg te staan van al bestaande
(informele of formele) processen tussen lidstaten. Om toch eenduidigheid
te creëren zijn er formele informatiemomenten ingebouwd. 

Bijlage A Verplichtingenschema met implementatievoorstel

Artikel 	Verplichting voor de Lidstaat (LS)	Overig	Implementatievoorstel

1

Onderwerp richtlijn en algemene notie

- vaststellen van een procedure voor de identificatie en aanmerking van
ECI

- gemeenschappelijke benadering van de noodzaak tot verbetering van de
bescherming van vitale infrastructuur

Algemene notie: de verplichtingen t.a.v. OSP en SLO (artikelen 5 en 6)
hoeven niet middels nationale wetgeving geïmplementeerd te worden
indien in feite reeds op andere wijze is voorzien in OSP/SLO (of
gelijkwaardig), bijv. via overeenkomsten of convenanten (zie verklaring
EC).

	2

Definities



	3

Identificeren van ECI	Lid 1:

 - elke LS moet mogelijke ECI identificeren

 - Identificeren van ECI is een continu proces voor LS en CIE

	

- op verzoek van de LS kan de EC hierbij assisteren.

- de EC mag de LS attenderen op mogelijke ECI 

	- zo dicht mogelijk bij Nederlandse definitie blijven

- Continu proces via integrale BVI analyse eind 2009 dmv

2 extra vragen:

1. impact op buitenland

2. impact vanuit buitenland

	Lid 2: 

- De precieze drempels van de cross-cutting criteria zullen casusgewijs
worden bepaald door de LS die betrokken zijn bij een bepaalde vitale
infrastructuur.

- Elke LS informeert de EC jaarlijks over het aantal van infrastructuren
per sector waarvoor besprekingen zijn gehouden over deze drempels

	

- De EC en LS maken guidelines voor de toepassing van cross-cutting en
sectorale criteria en de te verwachten drempels.

- Guidelines zijn optioneel voor LS.

- de criteria zijn geclassificeerd overeenkomstig bestaande EU- en
nationale regelgeving (zie ook overweging 6). 

	Methode:

1. richtsnoeren als uitgangspunt nemen. CIP CP coördineert.

2. NLD mag (op initiatief vakministerie en sector) gemotiveerd afwijken.



	Lid 3:	

- Energie en transport zijn de sectoren die voor de implementatie van de
richtlijn worden gebruikt..

- De subsectoren staan in bijlage 1

 Als het geschikt wordt geacht dan kunnen volgende sectoren worden
gebruikt voor de implementatie van de richtlijn. Prioriteit moet worden
gegeven aan de ICT sector.	- elke sector die later aanhaakt, moet zich
houden aan de procedure uit het implementatieplan.

4

Aanmerken van ECI	Lid 1:

- Elke LS informeert de andere LS die aanmerkelijk zouden kunnen worden
geraakt door een potentiële ECI over de identiteit en de redenen om het
aan te merken als potentiële ECI.	

	- Nederland informeert dmv een formele brief aan de andere LS (CIP CP)
over mogelijke ECI

- informatie betreft:

1. typering object en sector

2. Contact via het CIP CP

	

Lid 2:

- De LS waar een potentiële ECI is gevestigd, start bi- of
multilaterale gesprekken met de LS zoals bedoeld in lid 1

	

- De EC mag deelnemen aan deze gesprekken, maar heeft geen toegang tot
gedetailleerde informatie waarmee de identiteit van een bepaalde ECI
voor de EC bekend zou kunnen worden. 

- Als een LS denkt mogelijk getroffen te kunnen worden door een
potentiële ECI op het gebied van een andere LS die niet als zodanig is
geïdentificeerd door de LS waar de ECI is gelegen, dan kan deze LS de
EC informeren over de wens om betrokken te zijn bij de besprekingen. De
EC moet dan deze wens voor deze LS zonder vertraging uitten aan de LS
waar de potentiële ECI is gelegen en zich inspannen om afspraken te
faciliteren.	

- Deze gesprekken worden gevoerd door het vakministerie i.s.m. het
vitale bedrijf en het CIP CP.

- LS informeren elkaar formeel en gecoördineerd via brieven en CIP CP.
De andere LS moet gemotiveerd aangeven waarom ze denken dat er op
Nederlands grondgebied een ECI is dat impact op hen kan hebben bij
uitval.

	Lid 3:

- De LS waar een aangewezen ECI is gevestigd, stelt vast dat het een ECI
betreft. Dit wordt vastgelegd in een overeenkomst met andere LS die
mogelijk significant getroffen kunnen worden door deze ECI

	

- de aanvaarding door de LS waar de infrastructuur die zal worden
aangewezen als ECI is gelegen is vereist.

	

- CIP CP coördineert

Er zal een formele brief voor de impactlanden opgesteld worden door de
minister van BZK en de betreffende vakminister met daarin het besluit.
Deze wordt geaccordeerd door de Ministerraad.

	Lid 4: 

- De LS waar een ECI is gevestigd, zal de EC jaarlijks informeren over
het aantal aangewezen ECI per sector en de daarvan afhankelijke LS.

	

- alleen de LS die significant kunnen worden geraakt door een ECI zullen
de identiteit van de ECI kennen.

	

- Dit doet het CIP CP

	Lid 5:

- De LS waar een ECI is gevestigd, zal de eigenaar/ beheerder van de
infrastructuur over de aanmerking als ECI informeren

	

- Deze informatie is “classified at an appropriate level”
overeenkomstig bestaande EU- en nationale regelgeving (zie ook
overweging 6).  

.

	- beheerder wordt al vanaf de beginfase betrokken.

- CIP CP weet welke ECI er in Nederland is

- Met het vakministerie wordt overleg in hoeverre de informatie over een
ECI (vertrouwelijk) zal worden gemeld aan de relevante burgemeesters
door BZK conform de afspraken vitale objecten. Dit in het kader van OOV.

Aanmerking van ECI is gerubriceerd als Departementaal Vertrouwelijk. Dit
moet op alle documenten zijn vermeld.

	Lid 6:	

- Het proces van identificatie en aanmerking van ECI zal binnen 2 jaar
na inwerkingtreding van de richtlijn gereed zijn en regelmatig herzien
worden.	

- Dit wordt door het CIP CP gecoördineerd. 

5

Operator Security Plan	Lid 1:

	- In de OSP procedure moeten de “assets” van de ECI worden
geïdentificeerd en welke veiligheidsoplossingen bestaan of worden
geïmplementeerd voor hun bescherming.

- De minimale inhoud voor een OSP-procedure staat in bijlage 2



Lid 2:

- Elke LS beoordeelt of bij de aangemerkte ECI op haar grondgebied een
OSP (of iets gelijkwaardigs) dat voldoet aan de zaken in bijlage 2
bestaat.	

- Elke LS bepaalt zelf of dit voldoet aan bijlage 2 en oordeelt of de
OSP regelmatig wordt herzien.	

- De check voor OSP (of gelijkwaardigs) wordt door de
sectoren/ministeries gedaan en eventuele inspecties (ook voor de
regelmatige herziening). Het CIP CP kan faciliteren.

	Lid 3

- Bestaat er geen OSP (of iets gelijkwaardigs) dan moet de LS garanderen
dat een OSP of equivalent wordt voorbereid dat voldoet aan de zaken in
bijlage 2.

- Binnen 1 jaar na aanmerking van de ECI moet de LS garanderen dat er
voor de ECI ook OSP (of iets gelijkwaardigs) is. Er moet hierbij
voorzien zijn in een regelmatige herziening. 

	

- De periode mag in buitengewone omstandigheden worden verlengd.

	

- Aansluiten bij regelgeving, overeenkomsten e.d. die er al zijn.

- Het vakministerie is hiervoor verantwoordelijk.



	Lid 4:

	

- Bestaande overeenkomsten/afspraken t.a.v. het toezicht op OSP van ECI
door LS worden niet geraakt door dit artikel.



Lid 5:

	

- Indien wordt volstaan aan bestaande sectorale maatregelen,
uitgangspunten of richtlijnen, inclusief EU-maatregelen, die een
soortgelijke OSP voorschrijven (eisen of refereren aan de noodzaak om
een soortgelijk of gelijk plan te hebben) en toezicht op een dergelijk
plan, dan wordt geacht te zijn voldaan aan de verplichtingen uit dit
artikel. 

- in de guidelines voor implementatie staat een niet-limitatieve lijst
met maatregelen die aan de verplichtingen van de LS uit dit artikel
worden geacht te voldoen.



	6

Security Liaisons Officer	Lid 1:

	

- Een SLO is een Point of contact voor security gerelateerde zaken
tussen de eigenaar/ operator en de relevante autoriteit van de lidstaat.





Lid 2:

- Elke LS gaat na of de aangewezen ECI op haar grondgebied een SLO (of
gelijkwaardigs heeft).

	- Zo ja, geen verdere implementatie nodig. De LS bepaalt of er al
sprake is van een SLO (of iets gelijkwaardigs)

	- De check voor SLO (of gelijkwaardigs) wordt door de
sectoren/ministeries gedaan en eventuele inspecties (ook voor de
regelmatige herziening). Het CIP CP kan faciliteren.

	Lid 3:

- Bestaat er geen SLO  (of iets gelijkwaardigs) dan garandeert de LS
door middel van elke maatregel die geschikt wordt geacht, dat een SLO of
 iets gelijkwaardigs wordt aangewezen.

	

	

- Aansluiten bij regelgeving, overeenkomsten e.d. die er al zijn.

- Het vakministerie is hiervoor verantwoordelijk.

	Lid 4:

- De LS implementeert een geschikt communicatiemechanisme tussen de SLO
(of iets gelijkwaardigs) en relevante nationale autoriteiten voor de
uitwisseling van relevante risico- en dreiginginformatie m.b.t. ECI

	- Deze informatie is geclassificeerd. (Dit communicatiemechanisme doet
geen afbreuk aan nationale eisen met betrekking tot toegang tot
gevoelige en geclassificeerde informatie.)

	- Het CIP CP zal dit jaarlijks samen met de SLO’s van de ECI
oppakken, maar alleen als er niet al een ander structureel overleg
bestaat waarbij aangesloten kan worden. 

	Lid 5:

	- Indien wordt voldaan aan bestaande  maatregelen, inclusief
EU-maatregelen, die in een bepaalde sector een soortgelijke OSP
voorschrijven (eisen of refereren aan een noodzaak deze te hebben) en
toezicht op een dergelijk plan, dan wordt geacht te zijn voldaan aan de
verplichtingen van de LS uit dit 

artikel. 

- in de guidelines voor implementatie staat een niet-limitatieve lijst
van zulke maatregelen.



	7

Rapporteren	Lid 1:

- Binnen 1 jaar na aanmerking van de ECI op zijn grondgebied in een
subsector voert de LS relevante dreiginganalyses uit t.a.v. de
subsectors.

	

	- dit gebeurt via de NRB en de vierjaarlijkse rapportage

	Lid 2:

- De LS rapporteert elke 2 jaar in algemene termen over types
kwetsbaarheden, dreigingen en risico per ECI sector.

	

- Een model voor dit rapport kan door de EC ism de LS worden ontwikkeld.

- De LS die het rapport uitbrengt, bepaalt de classificatie van
geheimhouding van het in te zenden rapport.

	

- De Europese Commissie krijgt elk jaar een afschrift van de voor de
richtlijn relevante passages uit de analyse van de Nationale Risico
Beoordeling (NRB)

	Lid 3:

	

- Op basis van de rapporten onderzoeken de EC en LS, op sectorale basis,
of nieuwe beschermingsmaatregelen op EU-niveau zouden kunnen worden
overwogen.



Lid 4:

	

- Gemeenschappelijke guidelines voor de methodieken van risicoanalyses
voor ECI kunnen worden ontwikkeld door de EC ism LS. De guidelines zijn
optioneel voor de LS

	8

Steun EC

- De EC steunt eigenaren/operators van ECI, via de autoriteiten van de
LS, met toegang tot good practices en methodologieën, als ook training
en uitwisseling van informatie met nieuwe technologische ontwikkelingen.

	9

Gevoelige CIP informatie	Lid 1:

- Iedereen die namens de LS toegang heeft tot geclassificeerde CIP
informatie, heeft een voldoende niveau van screening.

- LS, EC en relevante toezichtorganen verzekeren dat ontvangen gevoelige
CIP informatie alleen voor CIP doeleinden wordt gebruikt.

	

	- veiligheidsverbindings-functionarissen moeten als vertrouwensfuncties
(niveau B) worden aangemerkt bij de BVA. Ze moeten een screening
krijgen, omdat ze publiek belang dienen, ondanks hun commerciële
achtergrond. Het CIP CP draagt hier zorg voor. 

	Lid 2:

	

- Deze bepalingen gelden ook voor niet geschreven informatie
uitgewisseld tijdens vergaderingen waar gevoelige onderwerpen worden
behandeld.

	10 

Europees CIP contactpoint	Lid 1:

- Elke LS stelt een Europees CIP contact Point in. 

	

	- Samenwerkingsverband ministeries (V&W, EZ, VROM en BZK) onder regie
van BZK

- met accountmanagers en éénloket

	Lid 2:

	

- Het contact Point coördineert de EPCIP aangelegenheden in en tussen
LS en de EC. Andere autoriteiten kunnen ook in EPCIP aangelegenheden
zijn betrokken. 

	11

Evaluatie

- 3 jaar na inwerkingtreding zal deze richtlijn geëvalueerd worden.	-
dit doet de EC ism CIP CP

12

Implementatie	- Binnen 2 jaar na de inwerkingtreding van de richtlijn,
neemt de LS maatregelen om de bepalingen uit de richtlijn na te komen.
Een overzicht hiervan wordt aan de EC verstrekt. (De LS informeert de EC
hierover en communiceert de tekst van de maatregelen en de correlatie
ervan met de richtlijn) .

- Bij vastlegging van deze maatregelen wordt een referentie naar de
richtlijn gemaakt.



13

Inwerkingtreding	- Deze richtlijn zal 20 dagen na publicatie in het
Publicatieblad van de Europese Gemeenschappen in werking treden. 



14

Adressering

Naar alle LS

	

Bijlage B Definitie- en afkortingenlijst

EPCIP	European Program Critical Infrastructure

ECI	European Critical Infrastructure

BVI	Bescherming vitale infrastructuur

CIP CP	Critical Infrastructure Protection Contactpoint

OSP	Operator Security Plan = beveiligingsplan

SLO	Security Liaisions Officer = veiligheidsverbindingsfunctionaris

LS	Lidstaat

Vestigingsland	Land waar een Europees vitale infrastructuur is
gevestigd.

Impactland of afhankelijk land	Land dat afhankelijk is van een Europees
vitale infrastructuur gevestigd in een ander land. 

EC	Europese Commissie



Bijlage C (Lid) staten waar de richtlijn van toepassing is

EU-lidstaten					EER-Landen				

België					- Noorwegen

Bulgarije				- Liechtenstein

Cyprus					- IJsland

Denemarken

Duitsland

Estland

Frankrijk

Finland

Griekenland

Hongarije

Ierland

Italië

Luxemburg

Letland

Litouwen

Malta

Nederland

Oostenrijk

Polen

Portugal

Roemenië

Slovenië

Slowakije

Spanje

Tsjechische Republiek

Verenigd Koninkrijk

Zweden

 Een richtlijn is een verbindende handeling die een
resultaatsverplichting oplegt, maar de lidstaten voldoende
bewegingsruimte laat wat betreft de middelen om dit resultaat te
bereiken. Zie bijlage 1 voor de richtlijn en bijbehorende documenten.

 Een richtsnoer is niet bindend voor de lidstaten en dient als
verdieping van de richtlijn. 

 Equivalent van JBZ-raad voor buitenlandse zaken. Hamerstukken kunnen
door iedere raad goedgekeurd worden.

 Op verzoek is de juridische quickscan via   HYPERLINK
"mailto:CIP@minbzk.nl"  CIP@minbzk.nl   op te vragen. 

 Dit wordt bevestigd in de juridische quickscan van de juridische
adviesgroep EPCIP

 “We spreken van vitale infrastructuur in Nederland als het gaat om
producten, diensten en de onderliggende processen die, als zij
uitvallen, maatschappelijke ontwrichting kunnen veroorzaken. Dat kan
zijn omdat er sprake is van veel slachtoffers en grote economische
schade, dan wel wanneer het herstel zeer lang gaat duren en er geen
reële alternatieven voorhanden zijn, terwijl we deze producten en
diensten niet kunnen missen.  Omdat de gevolgen van de uitval van (delen
van de) vitale infrastructuur voor grote delen van de Nederlandse
samenleving zo ernstig kunnen zijn, vergt de bescherming daarvan extra
aandacht.” (Tweede Kamer, vergaderjaar 2004-2005, 26643, nr 75)

 Sinds 2005 wordt er elke vier jaar door de sectoren, via de
vakministeries en gecoördineerd door het ministerie van BZK, een
integrale analyse BVI opgesteld. Dit is een nationale afspraak en er
wordt op dit moment gewerkt aan het structureel borgen van deze analyse.


 Het CIP contactpunt is in Nederland, volgens dit implementatievoorstel,
een samenwerkingsverband van ministeries en dus expliciet niet BZK
alleen. Hierover later meer. 

 PAGE   35 

 PAGE   34 

Identificeren mogelijke ECI’s in eigen land en ook in NLD

Jaarlijks aantal besproken ECI

per sector als het gaat om drempels

Identificeren van mogelijke ECI’s (in en buiten NLD)

door vakministerie samen met de sector door infrastructuur langs de
criteria uit de guidelines leggen. 

EC kan op verzoek van een lidstaat bemiddelen bij het overleg tussen de
lidstaten. 

Overleg met NLD

Het vakministerie gaat samen met de sector na of er een OSP en SLO bij
aangemerkte ECI aanwezig zijn. Zo niet dan zorgt het vakministerie dat
deze er komt. 

Aanmerken van ECI’s door als vakministerie met de van een mogelijke
ECI afhankelijke LS in gesprek te gaan en samen te bepalen of het wel of
geen ECI betreft. Dit kan leiden tot eventuele werkafspraken tussen de
sector, het vakministerie en de LS als blijkt dat het een ECI betreft. 

Andere Lidstaat (LS)

Europese Commissie

Nederland

Het interdepartementale samenwerkingsverband CIP contactpunt
ondersteunt, faciliteert, en coördineert het gehele proces. Daarnaast
verzorgt het CIP contactpunt de rapportages naar de EC. 

1/2009

1/2011

1/2012

Overleg

CIP CP NLD

Formele brief uitnodiging tot overleg

Overeenstemming wel of geen ECI

Jaarlijks afschrift NRB

Jaarlijks aantal ECI na aanmerking

Elke vier jaar  herzien m.b.v. integrale analyse BVI ingevuld door
vakministerie

Akkoord MR

Getekend door minBZK + vakmin

Identificeren                  Aanmerken                    OSP         
                 Evalueren

                                                                        
   SLO                           Continue proces

Start januari 2009

Klaar januari 2011

Overheid ism sector

Januari 2012 aanwezig bij Europees vitaal object

Sector ism vakministerie

Januari 2012

EC ism overheid

Stap 1

Stap 2

Stap 3

Stap 4

Zijn de sectorale criteria van toepassing?

Gaat het hier om vitale infrastructuur?

Is er sprake van een grensoverschrijdend effect?

Zijn de sectoroverstijgende criteria van toepassing?

Een infrastructuur waarvan nagegaan wordt of het een ECI is: