Het kabinet wil een meldplicht voor datalekken en cybersecurity doorvoeren. Overheden en bedrijven in vitale sectoren moeten incidenten melden bij het Nationaal Cyber Security Center (NCSC), zo staat in het wetsvoorstel dat net naar de Tweede Kamer is gezonden.
De meldplicht gaat in elk geval gelden voor (nog nader aan te wijzen) organisaties binnen de volgende sectoren: elektriciteit, gas, kernenergie, drinkwater, telecom, transport (mainports Rotterdam en Schiphol), financiën en overheid (waaronder primaire waterkeringen). Deze sectoren zijn onderdeel van de vitale infrastructuur van Nederland. Uitval kan direct of indirect leiden tot maatschappelijke ontwrichting.
Deze meldplicht bestaat deels al, maar het kabinet wil haar een sterkere juridische basis geven. Het ministerie van V&J streeft naar een apart circuit voor informatieuitwisseling tussen bedrijven en beveiligingsexperts, wegens het gevoelige karakter van de diensten en sectoren die hierin worden betrokken. Daarin moet een veiligheidscultuur worden ontwikkeld, net als in bijvoorbeeld de luchtvaart. Het NCSC moet de instrumenten krijgen, maar ook de operationele kennis, om bij incidenten in te grijpen en maatregelen op te leggen.
Groeiend aantal meldplichten
De nadruk ligt op de bescherming van sectoren en diensten, niet op de integriteit van persoonsgegevens. Deze meldplicht komt dus naast de meldplicht datalekken bij de Autoriteit Persoonsgegevens, die sinds 1 januari geldt. Zowel de Wet bescherming persoonsgegevens (art. 13) als de Telecommunicatiewet (art. 11.3a) regelt een meldplicht. Netwerkbedrijven in telecom en hebben ook al een meldplicht voor incidenten die de continuïteit bedreigen, bij het ministerie van EZ en het Agentschap Telecom. Deze sectorale toezichtstaken blijven bestaan.
V&J meldt dat de administratieve lastendruk toeneemt, maar dat er wordt gestreefd om die toename te beperken. De ICT-branche heeft bij de invoering van de meldplicht datalekken al aangegeven dat er overlap is met de meldplicht continuïteit. Deze meldplicht komt er opnieuw bij.
In Brussel wordt nog onderhandeld over de EU-richtlijn over netwerk- en informatiebeveiliging (NIB-richtlijn). De Nederlandse positie in die onderhandelingen is dat er ruimte moet blijven om de taken uit die richtlijn onder te brengen bij verschillende toezichthouders. Het ziet er naar uit dat de Nederlandse praktijk opnieuw zal worden aangepast zodra de richtlijn er is. VNO-NCW, MKB-Nederland, BCPA en Nederland ICT hebben daarom gepleit voor uitstel, maar het kabinet wil dat niet. Het debacle met Diginotar en certificaten van websites vraagt om maatregelen.
