Aanbieders van essentiële diensten, zoals drinkwaterbedrijven, banken en beheerders van gas- en elektriciteitsleidingen, worden in de loop van 2018 verplicht te voldoen aan beveiligingseisen. Zij moeten adequate maatregelen nemen tegen inbreuken van buitenaf op hun netwerk- en informatiebeveiliging. Dit staat in de Cybersecuritywet, die vandaag is aangeboden aan de Kamer.
Als zich toch een cyberincident voordoet, moeten de vitale bedrijven hun techniek en organisatie op orde hebben om de digitale ‘brand’ snel te kunnen blussen en de schade zoveel mogelijk te beperken.
Dit blijkt uit het voorstel voor de Cybersecuritywet (Csw) van minister Grapperhaus van Justitie en Veiligheid, dat vandaag bij de Tweede Kamer is ingediend. Doel is Nederland digitaal veiliger te maken. De Csw vloeit voort uit de Netwerk- en Informatiebeveiligingsrichtlijn (NIB-richtlijn) van de Europese Unie. Deze spoort de lidstaten aan hun digitale weerbaarheid te vergroten en beter met elkaar samen te werken.
Toezichthouder
Ernstige cyberincidenten moeten voortaan ook worden gemeld bij de toezichthouder. Volgens de huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) zijn aanbieders van bepaalde diensten enkel verplicht dit soort incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC) – dat voor Nederland fungeert als een Cyber Security Incident Response Team (CSIRT). Een CSIRT waarschuwt voor risico’s en biedt hulp en bijstand bij cyberincidenten.
Clouddiensten
De toezichthouder (voor banken is dat bijvoorbeeld De Nederlandsche Bank) ziet toe op naleving van de beveiligingseisen en de meldplicht en legt zo nodig sancties op, zoals een bestuurlijke boete. De Csw geldt straks ook voor aanbieders van onlinemarktplaatsen, cloudcomputerdiensten en onlinezoekmachines. Het is nog niet bekend welke instantie voor die aanbieders het CSIRT wordt. De bepalingen in de huidige Wgmc worden opgenomen in de nieuwe cybersecuritywet. De Wgmc wordt ingetrokken.
