Minister Grapperhaus van Justitie en Veiligheid (zie foto) heeft gisteren het voorstel voor de zogenoemde Cybersecuritywet (Cws)bij de Tweede Kamer ingediend. Doel van de wet is om Nederland digitaal veiliger te maken en de digitale weerbaarheid te vergroten. De Csw vloeit voort uit de Netwerk- en Informatiebeveiligingsrichtlijn van de Europese Unie.
Aanbieders van essentiële diensten, zoals drinkwaterbedrijven, banken en beheerders van gas- en elektriciteits-leidingen, worden in de loop van 2018 verplicht te voldoen aan beveiligingseisen. Zij moeten adequate maatregelen nemen tegen inbreuken van buitenaf op hun netwerk- en informatiebeveiliging. Als zich toch een cyberincident voordoet, moeten zij hun techniek en organisatie op orde hebben om de digitale ‘brand’ snel te kunnen blussen en de schade zoveel mogelijk te beperken.
Ernstige cyberincidenten moeten voortaan ook worden gemeld bij de toezichthouder. Volgens de huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) zijn aanbieders van bepaalde diensten enkel verplicht dit soort incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC) – dat voor Nederland fungeert als een Cyber Security Incident Response Team (CSIRT). Een CSIRT waarschuwt voor risico’s en biedt hulp en bijstand bij cyberincidenten.
De toezichthouder (voor banken is dat bijvoorbeeld De Nederlandsche Bank) ziet toe op naleving van de beveiligingseisen en de meldplicht en legt zo nodig sancties op, zoals een bestuurlijke boete. De Csw geldt straks ook voor aanbieders van onlinemarktplaatsen, cloudcomputerdiensten en onlinezoekmachines. Het is nog niet bekend welke instantie voor die aanbieders het CSIRT wordt. De bepalingen in de huidige Wgmc worden opgenomen in de nieuwe cybersecuritywet. De Wgmc wordt ingetrokken.