De Cyberbeveiligingswet van kracht

Op 15 augustus was het dan zo ver: de Cyberbeveiligingswet (“Cbw”) trad in werking. Na een lange aanloop implementeerde Nederland daarmee de Europese NIS2-Richtlijn (“NIS2”), die een hoog gemeenschappelijk cyberbeveiligingsniveau in de gehele Europese interne markt beoogt te realiseren.  De wet zal zeker impact hebben op het Nederlandse bedrijfsleven. Geschat wordt dat er circa 8.100 Nederlandse organisaties onder vallen, plus overheidsinstanties.  Dat is een grotere groep dan onder de onder de oude Wet beveiliging netwerk- en informatiesystemen (“Wbni”), die de Europese NIS1-richtlijn implementeerde en die nu ingetrokken is. Aan deze groep stelt de Cbw ook strengere eisen.  Verder introduceert het strengere toezichts- en handhavingsbevoegdheden, waaronder een zwaarder boeteregime bij overtredingen. Cyberveiligheid wordt hiermee steeds minder vrijblijvend en behandeld als een strategisch ondernemingsrisico, en behalve een private verantwoordelijkheid ook een publieke verantwoordelijkheid.

Sinds het indienen van het wetsvoorstel bij de Tweede Kamer is de inhoud van de Cyberbeveiligingswet nauwelijks veranderd.  De kern ervan is dat organisaties allereerst moeten beoordelen of zij onder de reikwijdte van de wet vallen, kwalificerend als een essentiële entiteit of een belangrijke entiteit. Dat kan van rechtswege zijn (artikel 8 en 12 Cbw), veelal wanneer entiteiten activiteiten verrichten binnen een van de sectoren opgesomd in de twee bijlagen bij de Cyberbeveiligingswet, én de relevante omvangdrempel halen. Binnen het bereik van de wet vallen kan ook op basis van bepaalde criteria (artikel 9, 10, 11 en 13 Cbw), in welk geval entiteiten als zodanig aangewezen worden door de diverse ministeries die zijn aangewezen als bevoegde autoriteit voor de sectoren onder hun beleidsverantwoordelijkheid vallen. Dat gebeurt bijvoorbeeld wanneer de entiteit in Nederland de enige aanbieder is van een dienst die essentieel is voor de instandhouding van kritieke maatschappelijke of economische activiteiten, of wanneer verstoring van de door de entiteit verleende dienst aanzienlijke gevolgen kan hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid. De beoordeling moet op het niveau van individuele entiteiten gebeuren, wat een uitdaging kan zijn wanneer organisaties uit vele entiteiten van diverse grootte bestaan, verspreid over verschillende landen. Behulpzaam daarbij zijn onder meer de Handreiking Complexe Bedrijfsmodellen van het Nationaal Cyber Security Centrum (“NCSC”)  en de gebruikersgids van de Europese Commissie bij de definitie van kleine en middelgrote ondernemingen. 

Vallen entiteiten onder de reikwijdte van de Cbw, dan gelden er verschillende verplichtingen. Allereerst moeten entiteiten zich registreren, waar entiteiten zich met name op gericht hebben in de aanloop naar de inwerkingtreding.  Registreren kan bij het centrale registratieportaal van het NCSC, bereikbaar via mijn.ncsc.nl. Organisaties die nog niet geregistreerd zijn worden aanbevolen dat zo snel mogelijk te doen, omdat deze registratieplicht sinds 15 augustus bestaat en er geen officiële grace period is voor late aanmelding.

Ook de verplichte melding van significante beveiligingsincidenten verloopt centraal via het NCSC.  Daarmee worden ook sectorale bevoegde autoriteiten geïnformeerd. Wat significant is wordt op sectoraal niveau bepaald. Voor entiteiten in de digitale sectoren staan de drempels genoemd in een Europese uitvoeringsverordening (de “Uitvoeringsverordening”).  Dit kan bijvoorbeeld het geval zijn wanneer dienstverlening een bepaalde periode (20 of 30 minuten) onbeschikbaar is, of de integriteit, de vertrouwelijkheid of de authenticiteit van gegevens is aangetast als gevolg van een vermoedelijk kwaadwillige handeling.  Voor de overige sectoren worden de drempels vastgesteld in ministeriele regelingen (de “Ministeriele Regelingen”).  Daarvan is er, samen met de Cyberbeveiligingswet en het onderliggende Cyberbeveiligingsbesluit (“Cbb”) , een aantal gepubliceerd en in werking getreden. Zie onder meer de Regeling cyberbeveiliging EZK , de Cyberbeveiligingsregeling IenW , de Regeling cyberbeveiliging LVVN , en de Regeling cyberbeveiliging en weerbaarheid kritieke entiteiten energiesector . Ook voor de overige sectoren worden ministeriele regelingen verwacht.

Het hart van de Cyberbeveiligingswet en onderliggende regelgeving bestaat uit de zorgplicht, te weten om passende en evenredige technische, operationele en organisatorische te maatregelen om (i) de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor hun werkzaamheden of dienstverlening gebruiken, te beheersen; (ii) incidenten te voorkomen; en (iii) de gevolgen van incidenten voor afnemers van hun diensten en voor andere diensten te beperken.  Artikel 21 leden 1-3 Cbw omschrijft op hoofdlijnen wat deze maatregelen in ieder geval moeten omvatten, hetgeen in meer detail is uitgewerkt in artikelen 5-19 Cbb, en de Ministeriele Regelingen. Voor de digitale sectoren is de Uitvoeringsverordening bepalend.

Bedrijfsjuristen krijgen de komende tijd te maken met meerdere onderdelen van deze zorgplicht. Een daarvan is de beveiliging van de toeleveringsketen van de entiteit. Artikel 10 lid 2 Cbb vereist namelijk dat de entiteit toetst of haar rechtstreekse leveranciers (daar onder begrepen: dienstverleners) voldoen aan bepaalde beveiligingseisen, en dit ook periodiek controleert. De entiteit kan dit bijvoorbeeld beoordelen door certificering van de toeleveranciers of clausules in leveringsovereenkomsten. De entiteit zal op basis van haar cyberbeveiligingseisen periodiek moeten beoordelen of haar rechtstreekse leverancier nog steeds voldoet aan de beveiligingseisen. Wanneer dit niet het geval is moet de entiteit beoordelen of er aanvullende maatregelen getroffen kunnen worden om de risico’s te mitigeren. Gedacht kan worden aan het heronderhandelen van contracten, het afsluiten van een aanvullend contract of het overstappen naar een andere leverancier.

Aan het sluiten van contracten gaan enige stappen vooraf. De beveiligingseisen die de entiteit doorlegt aan haar leverancier vinden hun oorsprong in het onder artikel 7 Cbb verplichte beleid over risicomanagement voor de beveiliging van de netwerk- en informatiesystemen van de entiteit, dat  aantoonbaar toegepast moet worden. Het beleid moet ten minste een risicomanagementmethodiek en criteria voor risicoacceptatie omvatten, en op basis van dat beleid worden er processen en procedures vastgesteld en aantoonbaar toegepast voor risicoanalyse, risicobeoordeling en risicobehandeling. Op basis van de risicoanalyse komt de entiteit tot een risico-overzicht, op basis waarvan beveiligingseisen worden opgesteld en maatregelen worden genomen om de systemen op structurele en aantoonbare wijze te borgen.

Het zijn de laatstgenoemde beveiligingseisen waarvan de entiteit moet controleren dat haar leverancier eraan voldoet. Deze moeten niet verward worden met de beveiligingseisen waaraan een leverancier zelf moet voldoen onder NIS2, zoals geïmplementeerd in een van de lidstaten. Omdat IT-dienstverlening vaak internationaal gecontracteerd en verleend wordt, is het daarbij goed om te beseffen dat er leveranciers zijn die onder de jurisdictie van bepaalde landen vooralsnog niet verplicht zijn om de maatregelen uit NIS2 te nemen, wat impact heeft op het risicoprofiel van deze leveranciers. Hoewel Nederland rijkelijk laat was met de implementatie van NIS2, hebben landen zoals Frankrijk en Spanje, maar ook Ierland, waar zich veel wereldwijde IT-leveranciers een Europese hoofdvestiging bevinden, nog geen implementatiewet aangenomen.

Verder is het verstandig om in de toeleveringsketen afspraken te maken om over het scenario dat de overheid verplicht om onderdelen van netwerk- en informatiesystemen, producten of diensten van specifieke leveranciers te weren. Daartoe hebben ministers de ruimte, indien dat naar het oordeel van de vakminister noodzakelijk is voor het beheersen van beveiligingsrisico’s. De wettelijke grondslag hiervoor in artikel 21a Cbw is een Nederlandse regeling, opgenomen in aanvulling op NIS2. Uniek is het weren van producten en diensten om cybersecurityredenen echter niet. Momenteel is er bij het Europees Hof van Justitie een zaak aanhangig over de weigering van Estse autoriteiten om toestemming te geven aan een Estse telecomaanbieder voor het gebruik van Huawei-apparatuur. Ook bevat het voorstel van de Europese Commissie voor een herziene Cybersecurity Act (“CSA2”) een EU-breed kader voor beveiliging van ICT-toeleveringsketens in sectoren die onder de NIS2-richtlijn vallen.  Daaronder zou de Europese Commissie het gebruik, de installatie of integratie van ICT-componenten (waaronder producten en diensten) kunnen beperken of verbieden bij leveranciers waarvan is vastgesteld dat zij een hoog risico vormen.  

Een ander onderdeel van de zorgplicht waar bedrijfsjuristen mee te maken krijgen, al dan niet via de bestuurders die zij adviseren, zijn de governanceverplichtingen onder de Cyberbeveiligingswet. Cyberbeveiliging is immers niet alleen een taak voor techniek en IT. Onder de Cbw zijn zowel een cybersecurity-expert, zoals de CISO, als een bestuurder betrokken. Als onderdeel van het integrale risicomanagement van een organisatie keurt het bestuur maatregelen goed en houdt het toezicht op de uitvoering. Ook moet het bestuur over bepaalde kennis en vaardigheden beschikken en deze actueel houden, en trainingen volgen en daarbij certificaten behalen. 

Voor bedrijfsjuristen ligt de relevantie van deze verplichtingen in de wijze waarop cyberbeveiliging organisatorisch wordt ingebed. Actieve betrokkenheid van bestuurders vereist dat rollen, verantwoordelijkheden en bevoegdheden rondom cyberbeveiliging expliciet worden vastgelegd, dat rapportagelijnen tussen bestuur, CISO, risicomanagement- en auditfuncties helder zijn ingericht, en dat cyberrisico’s een terugkerend onderwerp worden binnen de reguliere governance- en risicobeheersingsprocessen van de organisatie. Omdat de Cyberbeveiligingswet sterk inzet op aantoonbaarheid, zal voor veel organisaties niet alleen de inhoud van hun cyberbeveiligingsmaatregelen veranderen, maar ook de manier waarop daarover intern wordt gerapporteerd, verantwoording wordt afgelegd en toezicht wordt gehouden. Daarmee komt de bedrijfsjurist op het snijvlak te staan van compliance, ondernemingsrecht, interne governance en informatiebeveiliging. In de praktijk zullen bedrijfsjuristen vaak worden betrokken bij het opstellen en beoordelen van de documentatie die deze governance ondersteunt. Daarbij kan worden gedacht aan bestuursreglementen, mandaten van de CISO, interne beleidsstukken, rapportagestructuren en besluitvormingsprocessen waarmee aantoonbaar wordt gemaakt dat het bestuur zijn wettelijke taken vervult.