juridisch analyse

door Hugo van Aardenne & Jouko Barensen

Een nieuwe EU-richtlijn tegen cyberaanvallen brengt ingrijpende en complexe veranderingen voor bedrijven én toezichthouders. De beveiligingseisen worden aanzienlijk strenger, maar zijn niettemin nog weinig concreet. De tijd begint te dringen, waarschuwen Hugo van Aardenne en Jouko Barensen.

Het was op 7 februari 2023 tien jaar geleden dat de Europese Commissie het voorstel deed voor de eerste Netwerk- en Informatiebeveiligingsrichtlijn (NIS1). Nu, tien jaar later, loopt de implementatietermijn van de NIS2-richtlijn. Op 17 oktober 2024 moet de NIS2-richtlijn zijn omgezet in de Nederlandse wet.

Voor die tijd moet er nog veel gebeuren. Want de NIS2-richtlijn beoogt veel te veranderen in de strijd tegen cyberaanvallen op vitale onderdelen van de Europese samenleving. In Nederland zal die verandering moeten plaatsvinden via de Wet beveiliging netwerk- en informatiesystemen (Wbni). Dat is de wet waarin de NIS1 is geïmplementeerd.

In deze bijdrage zal worden ingegaan op wat deze juridische ontwikkelingen betekenen. Eerst zal op hoofdlijnen worden stilgestaan bij het huidige wettelijke systeem van netwerk- en informatiebeveiliging op grond van de NIS1 en de Wbni. Daarna zal worden stilgestaan bij de NIS2 in een breder perspectief. Als laatste wordt beschreven wat dit betekent voor de Nederlandse implementatie van de NIS2 in de Wbni.

Huidige situatie (NIS1)

De NIS1 schrijft cybersecurityregels voor aan aanbieders van essentiële diensten en digitale­dienst­verleners. De categorie aanbieders van essentiële diensten is in de NIS verdeeld over de volgende zeven sectoren:

• energie;
• vervoer;
• bankwezen;
• infrastructuur voor de financiële markt;
• gezondheidszorg;noot 1
• levering en distributie van drinkwater;
• digitale infrastructuur.

Op grond van de NIS1 was er ook de ruimte voor lidstaten om zelf te bepalen – aan de hand van de criteria uit de richtlijn – welke aanbieders van essentiële diensten werden aangewezen.noot 2

Er gaat terecht veel aandacht naar de hiervoor genoemde sectoren. Maar de NIS1 heeft ook betrekking op de digitale­dienst­verleners. De NIS1 schrijft voor dat het hierbij gaat om de volgende diensten: (1) onlinemarktplaats, (2) onlinezoekmachine en (3) de cloud­computer­diensten.

Implementatie in de Wbni

Aanvankelijk zou de NIS1 geïmplementeerd worden in de Cybersecuritywet.noot 3 Maar voordat de implementatietermijn verstreek, was de Nederlandse wetgever al bezig met een eigen initiatief op grond van de Wet gegevensverwerking en meldplicht cybersecurity (Wgmc).noot 4

Uiteindelijk is de Wgmc opgenomen in de Cybersecuritywet én werd de Wgmc ingetrokken bij de inwerkingtreding.noot 5^,noot 6^, noot 7

Er is dus best veel gebeurd de afgelopen tien jaar. De Wbni herbergt zowel een Europees kader als een nationaal kader voor cybersecurityregels.

Er zit in de huidige Wbni een categorie die niet uit de NIS1 komt. Het is bij de implementatie van de NIS2 dus heel goed om voor ogen te houden dat de Wbni een heel complexe ontstaansgeschiedenis kent en dat niet alles dat in de Wbni staat, is te herleiden tot de NIS1 of straks de NIS2.noot 8

Het huidige systeem van cybersecurityregels ziet er schematisch dan zo uit:

Meldplichten en beveiligingseisen

In de praktijk gaat vaak toch de meeste aandacht uit naar vragen rondom de meld­plichten, beveiligingseisen en handhaving. Zo moeten aanbieders van essentiële diensten en andere vitale aanbieders incidenten melden met aanzienlijke gevolgen voor de continuïteit van de door hen verleende dienst.noot 9 Maar zij hebben ook een meldplicht als er een inbreuk is op de beveiliging van netwerk- en informatiesystemen die aanzienlijke gevolgen kan hebben voor de continuïteit van de door hen verleende dienst.noot 10 En ook de digitale­dienst­verleners hebben een meldplicht.noot 11 Alleen de wijze waarop wordt bepaald of een incident aanzienlijke gevolgen heeft, wordt iets anders benaderd.noot 12

Risico’s beheersen

Verder wordt voor aanbieders van een essentiële dienst en voor digitale­dienst­verleners voorgeschreven dat passende en evenredige technische en organisatorische maatregelen worden genomen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen.noot 13^,noot 14

Incidenten voorkomen en de gevolgen van incidenten beperken

Naast de verplichting om risico’s te beheersen, worden voor aanbieders van essentiële diensten en digitale­dienst­verleners ook verplichtingen voorgeschreven om incidenten te voorkomen en de gevolgen van incidenten te beperken.noot 15

De verplichtingen om de risico’s te beheersen, incidenten te voorkomen en de gevolgen van incidenten te beperken, worden verder uitgewerkt in het Besluit beveiliging netwerk- en informatiesystemen (Bbni).noot 16 Er is zelfs een regeling die de beveiligingseisen nog verder uitwerkt. Deze regeling is van toepassing op de sectoren drinkwater en vervoer.noot 17

Handhaving Wbni

Het onderdeel handhaving uit de Wbni is alleen van toepassing op de aanbieders van essentiële diensten en digitale­dienst­verleners.noot 18 Op grond van de Wbni kan een bevoegde autoriteit een verplichte beveiligingsaudit, bindende aanwijzing, last onder bestuurs­dwang of bestuurlijke boete opleggen van maximaal 5 miljoen euro.noot 19

Op dit moment zijn er de volgende toezichthouders en bevoegde autoriteiten. (Zie tabel op volgende pagina)

NIS2

Op 27 december 2022 werd de NIS2 gepubliceerd. Op 18 oktober 2024 moet deze richtlijn zijn omgezet én in werking zijn getreden.noot 20 Met deze richtlijn worden ingrijpende wijzigingen aangebracht op het gebied van cybersecurityregels voor vitale onderdelen van de Europese samenleving. Hierna wordt een aantal onderwerpen nader besproken: toepassingsgebied, beveiligingseisen, training, compliance, handhaving en normalisatie.

Toepassingsgebied

Onder de NIS2 wordt er gesproken over zeer kritiekenoot 21 en andere kritieke sectoren.noot 22 Daarmee is het verschil tussen aanbieders van essentiële diensten en digitale­dienst­verleners verdwenen.

Tot de elf zeer kritieke sectoren behoren:

Energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business- to-business), overheid en ruimtevaart.

Tot de zeven andere kritieke sectoren behoren:

Post- en koeriersdiensten, afvalstoffenbeheer, vervaardiging, productie en distributie van chemische stoffen, productie, verwerking en distributie van levensmiddelen, vervaardiging, digitale aanbieders, onderzoek.

De wijze waarop het toepassingsgebied verder is vormgegeven is – op zijn zachtst gezegd – complex.noot 23 Wat hier niet bij lijkt te helpen, is dat in de definitieve versie van de richtlijn wordt gesproken van zeer kritieke sectoren en andere kritieke sectoren, terwijl in artikel 3 NIS wordt gesproken over essentiële en belangrijke entiteiten.noot 24

Beveiligingseisen

In de basis geldt onder de NIS2 nog steeds de verplichting om passende en organisa­torische maatregelen te nemen om de dienstverlening te beschermen. Op grond van deze verplichting wordt nog steeds verwacht dat er een risicoschatting wordt gemaakt bij het treffen van beveiligingsmaatregelen. Hierbij worden in de NIS2 ook specifieke minimum­vereisten voorgeschreven.noot 25 Er is in de NIS2 ook voorzien in specifiekere invulling aan de beveiligingseisen. Zo kunnen lidstaten straks eisen dat entiteiten gebruikmaken van gecertificeerde producten, diensten en processen om aan te tonen dat zij voldoen aan de beveiligingseisen.noot 26

Meldplicht

Ook de meldplicht is aangepakt en aanzienlijk aangescherpt. Significante incidenten moeten worden gemeld. Hierbij moet worden gedacht aan:noot 27

• een incident dat een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken;
• een incident dat andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Hieruit blijkt dat ook moet worden gemeld als een incident significant is en er gevolgen kunnen zijn. In die gevallen kent de NIS verschillende stappen en termijnen. Allereerst moet er binnen 24 uur een eerste melding worden gedaan. Vervolgens moet er binnen 72 uur (dus uiterlijk 48 uur na de eerste melding) een update worden verstrekt. Uiteindelijk één maand na de tweede melding moet een eindverslag worden ingediend.noot 28

Handhaving NIS2

Ook op handhavings­gebied zijn er ingrijpende wijzigingen op komst. Het huidige boeteplafond is 5 miljoen euro. Voor belangrijke entiteiten is straks een boeteplafond van toepassing van ten minste 7 miljoen euro of 1,4 procent van de totale wereldwijde omzet in het voorgaande financiële jaar. Voor essentiële entiteiten ligt dit nog hoger. Daar geldt een boeteplafond van minste 10 miljoen euro of 2,0 procent van de totale wereldwijde omzet in het voorgaande financiële jaar.

De richtlijn voorziet in een uitgebreid scala aan mogelijke onderzoeken om essentiële entiteiten aan te onder­werpen.noot 29 Datzelfde geldt voor de bevoegdheden van de autoriteiten.noot 30 Als op de inzet van de handhavings­maatregelen ondoeltreffend wordt gereageerd, dan kan een termijn worden gesteld waarbinnen maatregelen moeten worden genomen of waarbinnen aan de eisen moet zijn voldaan.noot 31

Als er dan nog niet is voldaan, dan krijgen de autoriteiten de bevoegdheid om een certificering of vergunning tijdelijk op te schorten of de bevoegdheid om overeenkomstig het nationale recht te verzoeken tot het tijdelijk opschorten van de certificering of vergunning.noot 32

Daarnaast krijgen de autoriteiten de bevoegdheid om aan bevoegde organen of rechterlijke instanties te verzoeken om leidinggevende verantwoordelijken binnen de essentiële entiteit tijdelijk te verbieden om leidinggevende functies uit te oefenen binnen de entiteit.noot 33

Governance

De NIS2 schrijft ook regels voor op het gebied van governance. Zo moeten de lidstaten ervoor zorgen dat de bestuursorganen van de entiteiten de maatregelen goedkeuren die worden getroffen om te voldoen aan de beveiligingsverplichtingen uit de richtlijn. Daarnaast moeten de bestuursorganen van de entiteiten ook toezien op de uitvoering van de beveiligingsmaatregelen. Zij kunnen aansprakelijk worden gesteld voor inbreuken op de beveiligingsverplichting.

Daarnaast moetennoot 34 leden van de bestuursorganen van de entiteiten een opleiding volgen, zodat zij voldoende kennis en vaardigheden verwerven om de risico’s en de risicobeheerspraktijken te kunnen beoordelen. De bestuursorganen moeten een soortgelijke opleiding aan hun werknemers aanbieden.noot 35

Beschouwing aanstaande implementatie NIS2

Ten aanzien van de implementatie van de NIS2 zijn er vier punten die in het oog springen. Dat zijn de rechtszekerheid op het gebied van beveiligingseisen, de problematiek van de toeleveringsketen, het gedecentraliseerde toezicht en de tijd tot de implementatie.

Om met die laatste te beginnen. Er zijn op dit moment betrekkelijk weinig concrete uitgangspunten voor de eisen aan de beveiliging van entiteiten die onder de NIS2 vallen. Dat maakt het voor de entiteiten heel moeilijk om zich voor te bereiden. Dat is ook van belang omdat afspraken over de beveiliging, of afspraken die daar invloed op hebben, vastliggen in bestaande overeenkomsten.

Dat betekent dat de tijd nu begint te dringen. Oktober 2024 lijkt ver weg, maar dat is het zeker niet.

Daarnaast is er het probleem van de toeleveringsketen. Bedrijven die onder de NIS2 vallen, zullen hun verplichtingen in de praktijk doorleggen naar hun klanten en leveranciers. Dat betekent dat het bereik van de NIS2 nog weleens veel groter zou kunnen zijn dan voorzien.

Daarmee is de vraag hoe het bestaande, sterk gedecentraliseerde toezicht in de praktijk van de NIS2 zal uitwerken. Er zal moeten worden gewaakt voor grote verschillen in de uitleg van dezelfde regels, en voor een hoeveelheid werk waar de toezichthouders niet op zijn toegerust. Met alle gevolgen voor de cyberveiligheid van de Europese samenleving.

Advocaten Hugo van Aardenne en Jouko Barensen zijn verbonden aan Ploum en gespecialiseerd in ondernemingsstrafrecht en cybersecurity.