Victor Bouman, 2 juni 2017

Meldplicht cybersecurity: stand van zaken

Begin vorig jaar berichtten wij op deze plek over de Wet gegevensverwerking en meldplicht cybersecurity, die op dat moment aan de Tweede Kamer voorlag. De wet introduceert een meldplicht voor zogenaamde vitale aanbieders, overheidsorganen en private bedrijven die actief zijn in een sector die onderdeel uitmaakt van de vitale infrastructuur van Nederland. Wanneer zo’n vitale aanbieder te maken krijgt met een inbreuk op de veiligheid of een verlies van integriteit van een ICT-systeem zal dit gemeld moeten worden bij het Nationaal Cyber Security Centrum.

De Tweede Kamer heeft het wetsvoorstel eind oktober 2016 ongewijzigd aangenomen, en inmiddels buigt de Eerste Kamer zich erover. Een van de vragen vanuit de Eerste Kamer was welke organisaties precies als vitale aanbieder in de zin van de wet worden gezien. In antwoord op die vraag heeft de staatssecretaris van Veiligheid en Justitie, Klaas Dijkhoff, een overzicht van typen bedrijven die als vitale aanbieders worden gezien opgesteld. In dit overzicht staan onder meer drinkwaterbedrijven, beheerders van energienetwerken, aanbieders van communicatiediensten (met minimaal een miljoen gebruikers) en banken.

Het overzicht zal, op grond van artikel 5 van de (voorgestelde) wet, worden opgenomen in een algemene maatregel van bestuur. Het concept daarvoor is gepubliceerd in het kader van een internetconsultatie, die op 16 mei jl. is afgesloten. Een van de reacties is afkomstig van KPN: zij stelt onder meer dat ook aanbieders van berichtendiensten zoals WhatsApp als vitale aanbieder zouden moeten worden gezien. Branchevereniging Nederland-ICT vraagt in haar reactie aandacht voor het toenemende aantal meldplichten, en zou graag zien dat deze processen meer gestroomlijnd worden.

De wet zal naar verwachting op korte termijn in stemming worden gebracht in de Eerste Kamer, en kan dan ook binnen enkele maanden al in werking treden. Het overzicht van vitale aanbieders zal naar aanleiding van de consultatie mogelijk nog enigszins worden aangepast – de algemene maatregel van bestuur zal daarom iets langer op zich laten wachten.

Vragen?