Bedrijven die cyberincidenten melden aan de overheid, moeten kunnen rekenen op vertrouwelijkheid en op hulp bij het oplossen van deze incidenten. Dat vragen werkgeversorganisaties VNO-NCW en MKB-Nederland aan minister Grapperhaus van Veiligheid en Justitie en de Tweede Kamer.
Grapperhaus heeft afgelopen week de nieuwe Cybersecuritywet naar de Tweede Kamer gestuurd. In de Cybersecuritywet (Csw) wordt de Europese NIB-richtlijn (Netwerk- en Informatiebeveiligingsrichtlijn) omgezet naar Nederlands recht. Het wetsvoorstel is een uitbreiding van de al bestaande meldplicht voor cyberincidenten voor bedrijven uit de vitale infrastructuur.
Vertrouwelijk moet vertrouwelijk blijven
VNO-NCW en MKB-Nederland vinden het belangrijk dat de wet bijdraagt aan een veiliger digitaal Nederland. Voorwaarden daarbij zijn volgens hen dat de gedeelde vertrouwelijke informatie ook vertrouwelijk blijft en dat de overheid bedrijven helpt bij de aanpak van incidenten. Ook moeten de administratieve lasten van de meldingsplicht beperkt blijven.
Aanbieders van essentiële diensten, zoals drinkwaterbedrijven, banken en beheerders van gas- en elektriciteitsleidingen, worden in de Cybersecuritywet verplicht om te voldoen aan beveiligingseisen. Ook grote operators en belangrijke internetknooppunten vallen onder deze meldplicht. De Cybersecuritywet zal straks ook gaan gelden voor aanbieders van onlinemarktplaatsen, cloudcomputerdiensten en onlinezoekmachines. Het is nog niet bekend welke instantie voor die aanbieders het CSIRT wordt.
Cyberincidenten melden aan toezichthouder
Nieuw in de Csw is verder dat ernstige cyberincidenten voortaan ook gemeld moeten worden bij de relevante toezichthouder (voor banken bijvoorbeeld DNB). Volgens de huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) zijn aanbieders van bepaalde diensten alleen verplicht dit soort incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC) - dat voor Nederland fungeert als Cyber Security Incident Response Team (CSIRT).
De huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) wordt opgenomen in de nieuwe Cybersecuritywet. Hoewel de Wgmc al verplicht tot het melden van ernstige cyberincidenten, voldoet Nederland daarmee maar voor een deel aan de NIB-richtlijn. Toegevoegd in de nieuwe wet zijn de meldplicht bij de toezichthouder, de beveiligingseisen en de sancties die de toezichthouder kan opleggen.
