34 388 Regels over het verwerken van gegevens ter bevordering van de veiligheid en de integriteit van elektronische informatiesystemen die van vitaal belang zijn voor de Nederlandse samenleving en regels over het melden van ernstige inbreuken (Wet gegevensverwerking en meldplicht cybersecurity)

G VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 24 november 2017

De leden van de toenmalige vaste commissie voor Veiligheid en Justitie hebben kennisgenomen van het Besluit van 20 september 2017 tot vaststelling van het tijdstip van inwerkingtreding van enkele bepalingen van de Wet gegevensverwerking en meldplicht cybersecurity¹. In het inwerkingtredingsbesluit is vermeld dat met uitzondering van de artikelen 5 tot en met 8, de Wet gegevensverwerking en meldplicht cybersecurity in werking treedt met ingang van 1 oktober 2017. Naar aanleiding van deze gedeeltelijke inwerkingtreding hebben deze leden een aantal vragen gesteld aan de toenmalige Minister van Veiligheid en Justitie bij brief van 23 oktober 2017.

De Minister van Justitie en Veiligheid heeft op 23 november 2017 deze vragen beantwoord.

De huidige vaste commissie voor Justitie en Veiligheid² brengt bijgaand verslag uit van het gevoerde schriftelijk overleg.

De griffier van de vaste commissie voor Justitie en Veiligheid, Van Dooren

BRIEF VAN DE VOORZITTER VAN DE VOORZITTER VAN VEILIGHEID EN JUSTITIE

Aan de Minister van Veiligheid en Justitie

Den Haag, 23 oktober 2017

De leden van de vaste commissie voor Veiligheid en Justitie hebben kennisgenomen van het Besluit van 20 september 2017 tot vaststelling van het tijdstip van inwerkingtreding van enkele bepalingen van de Wet gegevensverwerking en meldplicht cybersecurity³. In het inwerkingtredingsbesluit is vermeld dat met uitzondering van de artikelen 5 tot en met 8, de Wet gegevensverwerking en meldplicht cybersecurity (hierna: Wgmc) in werking treedt met ingang van 1 oktober 2017. Naar aanleiding van deze gedeeltelijke inwerkingtreding willen voornoemde leden een aantal vragen aan u voorleggen.

De leden van de vaste commissie voor Veiligheid en Justitie zijn Van oordeel dat de artikelen 5 tot en met 8 van de Wgmc, die de zogenaamde meldplicht regelen, een belangrijk onderdeel vormen van deze wet. Zonder de inwerkingtreding van deze artikelen is de nu geldende Wgmc tot een min of meer lege huls verworden, op het onderdeel van de gegevensverwerking na. De voornoemde leden vragen u, gelet op het vorenstaande, of het niet in de rede had gelegen de Kamer te informeren over deze gedeeltelijke inwerkingtreding.

De leden van de vaste commissie voor Veiligheid en Justitie zijn zich er overigens van bewust dat in de Wgmc staat dat de artikelen van deze wet in werking treden op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld⁴.Zij zijn desalniettemin van mening dat in dit geval het verstrekken van informatie over (het voornemen tot) de gedeeltelijke inwerkingtreding tijdens de behandeling van het wetsvoorstel in de Kamer wenselijk zou zijn geweest in het kader van het creëren van verwachtingen met betrekking tot de verschillende momenten van inwerkingtreding van de onderdelen van de Wgmc, met het oog op het stellen van eventuele vragen over deze gedeeltelijke inwerkingtreding.

De leden van de vaste commissie voor Veiligheid en Justitie vragen u hierbij alsnog informatie te verschaffen over de gedeeltelijke inwerkingtreding. Wat is voor u reden geweest om de wet slechts gedeeltelijk in werking te laten treden? En wat zijn de consequenties van de gedeeltelijke inwerkingtreding? Kunt u tevens een indicatie geven wanneer u verwacht dat de overige artikelen van de Wgmc in werking treden? Zij verzoeken u tevens vriendelijk voortaan de Kamer vooraf te informeren over voornemens tot gedeeltelijke inwerkingtreding, waarbij een substantieel gedeelte van een wetsvoorstel pas op een later moment in werking zal treden.

De leden van de vaste commissie voor Veiligheid en Justitie zien uw reactie – bij voorkeur voor 17 november 2017 – met belangstelling tegemoet.

De Voorzitter van de vaste commissie voor Veiligheid en Justitie, A.W. Duthler

BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID

Aan de Voorzitter van de Eerste Kamer der Staten-Generaal

Den Haag, 23 november 2017

In uw brief van 23 oktober 2017 legde u mijn ambtsvoorganger enkele vragen voor van de leden van de vaste commissie voor Veiligheid en Justitie over de gedeeltelijke inwerkingtreding van de Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) op 1 oktober 2017. De leden vragen of het niet in de rede had gelegen, de Kamer te informeren over de keuze om de artikelen 5 tot en met 8 Wgmc (meldplicht) nog niet in werking te laten treden.

In reactie op deze vraag wijs ik erop dat in april 2017 in de memorie van antwoord de verwachting is uitgesproken dat de meldplicht drie maanden later in werking zou treden dan de overige bepalingen van de wet, omdat voor de meldplicht nog een algemene maatregel van bestuur (amvb) in voorbereiding was.⁵

De leden van de vaste commissie vragen ook wat de consequenties zijn van de gedeeltelijke inwerkingtreding en wanneer de overige artikelen in werking treden.

Door te kiezen voor eerdere inwerkingtreding van de bepalingen in de Wgmc die niet over de meldplicht gaan, is zo snel als mogelijk duidelijkheid gecreëerd over de taken van het Nationaal Cyber Security Centrum (NCSC) en de bevoegdheid om ten behoeve daarvan persoonsgegevens te verwerken, en over de vertrouwelijkheid van de bij het NCSC berustende gegevens over aanbieders van producten en diensten.

De overige Wgmc-artikelen en daarmee de meldplicht treden naar verwachting in werking op 1 januari 2018,⁶ tegelijk met de hiervoor bedoelde amvb, het Besluit meldplicht cybersecurity (Bmc). De Afdeling advisering van de Raad van State heeft op 12 oktober 2017 advies uitgebracht over het Bmc. Ik zal het nader rapport op korte termijn aanbieden aan de Koning.

De meldplicht van de Wgmc loopt vooruit op de implementatie van de EU-richtlijn over cybersecurity. Deze «NIB-richtlijn» moet deels op 9 mei 2018 en deels op 9 november 2018 geïmplementeerd zijn.⁷ Daartoe is een wetsvoorstel in voorbereiding voor een Cybersecuritywet (Csw), dat binnenkort voor advies zal worden aangeboden aan de Afdeling advisering van de Raad van State. De Wgmc wordt zonder materiële wijzigingen geïncorporeerd in de Csw; de Csw trekt de Wgmc in. De reden om te kiezen voor een nieuwe wet is dat implementatie van de NIB-richtlijn in de Wgmc zou hebben geleid tot een wijziging van alle Wgmc-bepalingen, inclusief de citeertitel.

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus

---

1 Stb. 2017, 347; op 11 juli 2017 heeft de Eerste Kamer het wetsvoorstel als hamerstuk afgedaan.

2 Samenstelling:

Engels (D66), Ruers (SP), Van Bijsterveld (CDA) (vicevoorzitter), Duthler (VVD) (voorzitter), Ten Hoeve (OSF), Koffeman (PvdD), Strik (GL), Knip (VVD), Backer (D66), Barth (PvdA), Beuving (PvdA), Schouwenaar (VVD), Van Strien (PVV), Kok (PVV), Gerkens (SP), Vlietstra (PvdA) Lokin-Sassen (CDA), Bredenoord (D66), Dercksen (PVV), D.J.H. van Dijk (SGP), Van Rij (CDA), Rombouts (CDA), Van de Ven (VVD), Wezel (SP), Bikker (CU), Baay-Timmerman (50PLUS)

3 Stb. 2017, 347; op 11 juli 2017 heeft de Eerste Kamer het wetsvoorstel als hamerstuk afgedaan.

4 Artikel 10 van de Wgmc.

5 Kamerstukken I 2016/17, 34 388, B, p. 2.

6 1 januari is een vast verandermoment als bedoeld in aanwijzing 174 van de Aanwijzingen voor de regelgeving en Kamerstukken II 2009/10, 29 515, nr. 309.

7 Zie de artikelen 5, eerste lid, en 25, eerste lid, van Richtlijn (EU) 2016/1148 van het Europees parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PbEU 2016, L 194).