Het voorstel voor de nieuwe Cybersecuritywet is donderdag 15 februari naar de Tweede Kamer gestuurd. In de Cybersecuritywet (Csw) van minister Grapperhaus (Justitie en Veiligheid) wordt de Europese NIB-richtlijn (Netwerk- en Informatiebeveiligingsrichtlijn) omgezet naar Nederlands recht. Bedrijven met vitale infrastructuur moeten een cyberincident voortaan ook melden bij hun toezichthouder.
Het doel van de wet is tweeledig: dat EU-lidstaten hun digitale weerbaarheid verbeteren en dat zij beter samenwerken om de EU digitaal weerbaarder te maken. Nu zijn de verschillen tussen de lidstaten nog te groot met als gevolg dat burgers en bedrijven in Europa niet op hetzelfde niveau beschermd zijn tegen cyberincidenten. Ook schort het aan de uitwisseling van informatie over dreigingen en incidenten. De NIB-richtlijn en de Csw moeten dit verbeteren. Naar verwachting zal de wet medio 2018 ingevoerd worden.
Aanbieders van essentiële diensten, zoals drinkwaterbedrijven, banken en beheerders van gas- en elektriciteitsleidingen, worden in de Cybersecuritywet verplicht om te voldoen aan beveiligingseisen. Zo moeten ze ‘adequate maatregelen’ nemen tegen inbreuken van buitenaf op hun netwerk- en informatiebeveiliging. De overheid nam eind vorig jaar ook grotere aanbieders van telecomdiensten en -infrastructuur op in de lijst van bedrijven met vitale infrastructuur.
Als zich toch een cyberincident voordoet, moeten zij hun techniek en organisatie op orde hebben om de digitale ‘brand’ snel te kunnen blussen en de schade zoveel mogelijk te beperken. De Cybersecuritywet zal straks ook gaan gelden voor aanbieders van onlinemarktplaatsen, cloudcomputerdiensten en onlinezoekmachines. Het is nog niet bekend welke instantie voor die aanbieders het CSIRT wordt.
Melding bij relevante toezichthouder
Nieuw in de Csw is verder dat ernstige cyberincidenten voortaan ook gemeld moeten worden bij de relevante toezichthouder (voor banken bijvoorbeeld DNB). Volgens de huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) zijn aanbieders van bepaalde diensten alleen verplicht dit soort incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC) - dat voor Nederland fungeert als Cyber Security Incident Response Team (CSIRT). Een CSIRT waarschuwt voor risico’s en biedt hulp en bijstand bij cyberincidenten. De huidige meldplicht was per 1 januari 2018 ingevoerd. Het NCSC zal dezelfde rol blijven vervullen als dit moment; het waarschuwen voor cyberrisico’s en het bieden van hulp en bijstand bij cyberincidenten in de vitale sectoren en het Rijk.
De huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) wordt opgenomen in de nieuwe Cybersecuritywet. Hoewel de Wgmc al verplicht tot het melden van ernstige cyberincidenten, voldoet Nederland daarmee maar voor een deel aan de NIB-richtlijn. Toegevoegd in de nieuwe wet zijn de meldplicht bij de toezichthouder, de beveiligingseisen en de sancties die de toezichthouder kan opleggen.
Uitbreiding meldplicht
De Rijksoverheid heeft eind 2017 een lijst opgesteld van bedrijven en organisaties met vitale infrastructuur, die ernstige cyberincidenten moeten melden bij het Nationaal Cyber Security Centrum (NCSC). Op de lijst staan behalve leveranciers van drinkwater, elektriciteit en gas ook alle elektronische netwerken met meer dan één miljoen eindgebruikers, bedrijven die direct of indirect zorgen voor internet, telefonie of sms. KPN, VodafoneZiggo, T-Mobile en Tele2 vallen onder de meldplicht. Ook de internetknooppunten met minimaal 8 tbps poortcapaciteit zijn opgenomen, AMS-IX en NL-IX.
