Consultatievoorstel Cybersecuritywet gepubliceerd: de aankomende meldplicht cybersecurity

Terug naar articles

30 juni, 2017

Ransomware | Considerati

Deze maand is de Cybersecuritywet in consultatie gebracht. Deze wet implementeert de EU Richtlijn inzake netwerk- en informatiebeveiliging (NIB-Richtlijn). Kortgezegd verplicht de Cybersecuritywet dat Rijksoverheidsorganisaties, vitale sectoren en digitale dienstverleners (DSPs) adequate beveiligingsmaatregelen nemen om hun netwerken en systemen te beschermen. Daarnaast introduceert de wet een meldplicht voor cyber security incidenten alsook toezicht en handhaving van deze verplichtingen. U kunt tot 16 juli op dit voorstel reageren.

Het wetsvoorstel

Het kabinet wil met de Cybersecuritywet voorkomen dat belangrijke diensten die afhankelijk zijn van netwerk- en informatiesystemen uitvallen, of tenminste de gevolgen daarvan beperken. Daarmee wil het kabinet de digitale weerbaarheid van de Nederlandse samenleving versterken.

Het kabinet beoogt met de implementatie een zo letterlijk mogelijke implementatie van de NIB-richtlijn, zonder extra regels. Wel wordt in de Cybersecuritywet ook de Wet gegevensverwerking en meldplicht cybersecurity – vanwege de vele overlap – geïntegreerd. Deze is eerder al door de Tweede Kamer aangenomen.

Geldt de Cybersecuritywet voor u?

De Cybersecuritywet geldt voor

  • Digitale dienstverleners (DSPs): aanbieders van online marktplaatsen, online zoekmachines en cloudcomputingdiensten;
  • Onderdelen van de Rijksoverheid die digitale diensten exploiteren, beheren of beschikbaar stellen;
  • Aanbieders van essentiële diensten in de sectoren energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater en digitale infrastructuur en andere diensten waarvan de continuïteit van vitaal belang is voor de Nederlandse samenleving. Het kabinet zal deze aanbieders aanwijzen. 

Beveiligingsverplichting en Meldplicht cybersecurity

De Cybersecuritywet introduceert een beveiligingsplicht en de meldplicht cybersecurity.

  • Beveiligingsplicht: aanbieders van essentiële diensten en DSPs moeten passende en evenredige technische en organisatorische maatregelen nemen om hun ICT adequaat te beveiligen tegen inbreuken van buitenaf en gevolgen van dergelijke incidenten minimaliseren.
  • Meldplicht: bedrijven en organisaties die onder deze wet vallen, moeten onverwijld incidenten melden die substantiële of significante gevolgen hebben voor de dienstverlening. De Cybersecuritywet verplicht om zowel bij de toezichthouder als bij het Nationaal Cyber Security Centrum – of een ander aangewezen Computer Security Incident Response Team (CSIRT) – melding te maken. Het CSIRT heeft tot doel om organisaties te helpen en – indien nodig – andere organisaties te waarschuwen of adviseren. De toezichthouder kan aan de hand van de melding een onderzoek starten en een boete opleggen als blijkt dat er onvoldoende beveiligingsmaatregelen waren genomen of incidenten niet tijdig zijn gemeld.

Zowel aanbieders van essentiële diensten als DSPs zijn verplicht melding te maken.  Ook vallen een aantal andere aangewezen vitale aanbieders, zoals primaire waterkeringen en nucleaire aanbieders onder de meldplicht. Verder moeten vitale aanbieders melding maken als ze zelf door een incident zijn getroffen dat veroorzaakt is door uitval van een digitale dienst (bijvoorbeeld een cloud dienst). Dit betekent dat deze aanbieders in kaart moeten brengen van welke DSPs zij gebruik maken en zullen over deze meldplicht onderling (contractuele) afspraken moeten worden gemaakt.

Tot slot maakt deze wet het mogelijk dat organisaties die formeel geen meldplicht hebben, wel de mogelijkheid krijgen om vrijwillig melding van incidenten te doen.

Wat nu?

De verplichtingen uit de Cybersecuritywet zullen aanvullende maatregelen vanuit organisaties vergen.

Wij helpen u graag inzichtelijk te krijgen wat de impact van de Cybersecuritywet is op uw organisatie. Neem hiervoor contact op met Manou Beumer.

Ook kunnen wij u helpen bij de deelname aan de consultatie die tot 16 juli loopt. Hiervoor kunt u contact opnemen met Bart Pegge.

, , ,

Eva_DSC7694_web
Eva Heeger

Juridisch Adviseur

Gerelateerde blogs

Justitie toegang tot medische gegevens: paradox of realiteit? | Considerati

Considerati bij het VPR-jaarcongres 2016

Afgelopen vrijdag 16 september waren adviseurs van Considerati aanwezig bij het VPR Jaarcongres...

Lees meer

EU US Privacy Shield

EU-US Privacy Shield: eerste stap in veilige en geldige gegevensoverdracht naar de Verenigde Staten

Begin deze maand hebben de EU en de VS een politiek akkoord bereikt over een nieuw regime voor...

Lees meer

Op de hoogte blijven?

Schrijf je dan in voor onze nieuwsbrief. Zie ons privacy statement.