Zorgen over de uitvoerbaarheid EU-richtlijnen
De Tweede Kamer wil één centraal en overzichtelijk meldloket waar alle soorten meldingen gedaan kunnen worden die volgen uit de Cyberbeveiligingswet (Nederlandse uitvoering van de Europese NIS2-richtlijn) en de Wet weerbaarheid kritieke entiteiten. Minister David van Weel (Justitie en Veiligheid) moet in het vierde kwartaal van dit jaar de Kamer inzicht geven in de inrichting van dat loket, aldus een breed gedragen motie van Barbara Kathmann (GroenLinks-PvdA). De bewindsman heeft wel oren naar één enkel loket, mits de reikwijdte niet te groot is.
Dit bleek maandag 23 maart tijdens het Kamerdebat over beide wetten. De Cyberbeveiligingswet gaat over digitale weerbaarheid van essentiële en belangrijke diensten, terwijl de Wet weerbaarheid kritieke entiteiten (Wwke) gaat over fysieke continuïteit van vitale infrastructuur. Ze komen uit twee verschillende EU‑richtlijnen (NIS2 en CER) en vullen elkaar aan, maar richten zich op andere soorten risico’s.
Over noodzaak en nut van beide wetten is in de Kamer grote eenstemmigheid. De meeste vragen hadden betrekking op de uitvoerbaarheid ervan. De uitwerking is bepaald niet eenvoudig, zei Kathmann. Ze constateerde nog veel open eindjes. Het Kamerlid zei te willen voorkomen dat de naleving van de wetten een groot fiasco wordt. Tussen de 7.550 en 8.100 bedrijven en overheden zullen onder de Cyberbeveiligingswet vallen, en vijfhonderd entiteiten onder de Wet weerbaarheid kritieke entiteiten. Voor veel organisaties is echter nog niet duidelijk wat ze moeten doen. Vaak is niet helder wanneer ze aan de wet voldoen.
Minister Van Weel kreeg liefst 230 vragen op zich afgevuurd, merendeels over de zorg-, meld- en registratieplichten die de wet introduceert alsmede het toezicht. Ter beantwoording schoven zijn ambtenaren hem grote stapels mappen toe. Voor inwerkingtreding van beide wetten moeten nog heel wat punten nader worden uitgewerkt. Maar daar komt binnenkort nog een overzicht van.
Regeldruk terugdringen
De Kamer probeert te voorkomen dat beide wetten de administratieve lastendruk enorm verhogen. Zo kreeg David van den Berg (JA21) brede steun voor een motie die voorkomt dat entiteiten die onder deze twee wetten vallen dubbel werk moeten doen. Hij vindt dat er in zulke gevallen één gecoördineerd dossier, één auditkalender, één zoveel mogelijk herbruikbare bewijs-set en één coördinerend aanspreekpunt het uitgangspunt moeten zijn. Dubbele informatieverzoeken mogen alleen plaatsvinden indien dit aantoonbaar noodzakelijk is. Een tweede motie van David van den Berg sluit meervoudige beboeting uit voor dezelfde feiten als een bedrijf met meerdere toezichthouders te maken krijgt.
Bedrijven en instellingen moeten zelf beoordelen of hun organisatie, proces of voorziening ‘vitaal’ is. Dat wil zeggen dat ze zo cruciaal zijn dat uitval grote maatschappelijke ontwrichting kan veroorzaken. Het kabinet gaat vooralsnog uit van een nationale vitaalbeoordeling door deze entiteiten zelf. Kathmann verzoekt de regering om organisaties die vermoedelijk aan beide wetten moeten voldoen, proactief op te roepen om zo’n vitaalbeoordeling uit te voeren en hen op de deadlines te wijzen.
Digitale weerbaarheid
Jantine Zwinkels (CDA) roept de regering op in kaart te brengen hoe de uitwisseling van dreigingsinformatie en geleerde lessen binnen ketens kan worden versterkt. Ze wil daarmee bereiken dat ook kleinere bedrijven daarvan beter kunnen profiteren. Deze groep kan baat hebben bij betere toegang tot dreigingsinformatie en geleerde lessen. Digitale weerbaarheid hangt niet alleen af van de beveiliging van afzonderlijke organisaties, maar ook van de samenwerking en kennisdeling binnen ketens.
Sarah El Boujdaini (D66) diende een motie in ter versterking van de informatiepositie van burgemeesters en voorzitters van de veiligheidsregio’s als cyberincidenten in hun gemeente directe gevolgen hebben voor de openbare orde.
Verder wil de Kamer de Cyberbeveiligingswet binnen twee jaar na inwerkingtreding evalueren. Het kabinet is van plan om dit pas na vier of vijf jaar te doen, maar dat vindt de Kamer te lang duren.
Odido
Barbara Kathmann (GrL-PvdA) vraagt het kabinet om een wettelijke nazorgplicht te onderzoeken voor incidenten waarin op grote schaal persoonsgegevens worden gelekt. Aanleiding zijn de recente lekken bij Odido en het Bevolkingsonderzoek Baarmoederhalskanker. Er bestaat nog geen wettelijk kader voor hoe individuele slachtoffers geholpen en geïnformeerd moeten worden in de nasleep van een grootschalig datalek.
Kathmann wil zo’n nazorgplicht laten aansluiten op de Cyberbeveiligingswet die een ‘zorgplicht’ en een ‘meldplicht’ introduceert om cyberveiligheidsrisico’s te voorkomen en beheersen. Ze constateert dat bij beide lekken slachtoffers in onzekerheid verkeren over de mogelijke gevolgen. Nog steeds is niet helemaal duidelijk wat er bij Odido is misgegaan. Wel staat vast dat de beveiliging tekort schoot. En bij beide lekken is het probleem vergroot doordat persoonlijke gegevens werden bewaard die allang weggegooid hadden kunnen worden.
