34 883 Regels ter implementatie van richtlijn (EU) 2016/1148 (Wet beveiliging netwerk- en informatiesystemen)

E NADERE MEMORIE VAN ANTWOORD

Ontvangen 4 oktober 2018

1. Inleiding

Graag beantwoord ik de nadere vragen van de leden van de VVD-fractie over het wetsvoorstel Wet beveiliging netwerk- en informatiesystemen (Wbni), vragen waarbij de leden van de fracties van D66, SP, PvdA en 50PLUS zich aansluiten.

2. Aanwijzen van essentiële diensten

De genoemde leden vragen waarom zorgaanbieders vooralsnog niet worden aangewezen als aanbieders van een essentiële dienst (AED’s), terwijl de gezondheidszorg in bijlage II bij de NIB-richtlijn wordt genoemd als sector met potentiële AED’s. En waarom wil de regering AED’s aanwijzen bij algemene maatregel van bestuur (amvb)?

Inderdaad wordt de gezondheidszorg in bijlage II bij de NIB-richtlijn genoemd als sector met potentiële AED’s. Het is echter aan de lidstaten om te bepalen of en zo ja, welke zorgaanbieders in hun land voldoen aan de criteria voor de aanwijzing van AED’s in de artikelen 5, tweede lid, en 6 van de NIB-richtlijn. Die criteria laten de lidstaten veel beoordelingsruimte. Aan de hand van die criteria beoordeelt de Nederlandse regering de vitaliteit van processen en van aanbieders daarbinnen. Een proces is in het kader van die beoordeling vitaal als uitval of verstoring daarvan tot maatschappelijke ontwrichting leidt. Binnen een vitaal proces is een aanbieder vitaal als hij belangrijk is voor de continuïteit van dat proces. De regering is tot de conclusie gekomen dat er geen situaties zijn waarin uitval van ICT-systemen of -structuren in de zorg tot maatschappelijke ontwrichting zal leiden. In Nederland is er namelijk geen centrale technische infrastructuur voor de gehele zorg die bij uitval zulke gevolgen heeft voor landsbrede zorg. De zorg en de zorginfrastructuur in Nederland zijn niet centraal georganiseerd, maar decentraal en de instellingen zijn zelf verantwoordelijk voor de veiligheid van informatievoorziening en gegevensuitwisseling. Bij uitval van een deel van de zorg kan deze zorg in veel gevallen worden overgenomen door andere zorgaanbieders. Zie voor een uitgebreidere toelichting de brief van 2 juli 2018 van de Minister voor Medische Zorg aan de Tweede Kamer.¹

Hoewel de regering vooralsnog dus niet het voornemen heeft om zorgaanbieders aan te wijzen als AED, zal zij de lijst van AED’s periodiek actualiseren, zoals de NIB-richtlijn ook voorschrijft (artikel 5, vijfde lid). Als bij zo’n herbeoordeling de conclusie wordt getrokken dat een zorgaanbieder als vitale aanbieder moet worden aangemerkt, dan is het uiteraard van belang dat die aanbieder snel als zodanig kan worden aangewezen. Aanwijzing bij amvb ligt dan in de rede, ook voor aanbieders in andere sectoren dan de gezondheidszorg. Het instrument van de amvb is overigens ook passend in andere gevallen, bijvoorbeeld als een aangewezen aanbieder juist niet meer als vitale aanbieder kan worden aangemerkt, of als de naam van een aangewezen aanbieder wijzigt.

3. Rechtsbescherming

De regering schrijft in de memorie van antwoord dat zij ervan uitgaat dat tegen de beslissing tot openbaarmaking van gegevens van een aanbieder bestuursrechtelijke rechtsbescherming openstaat. Waarom weet zij dat niet zeker, zo vragen de genoemde leden. Aan welke andere vormen van rechtsbescherming dan bestuursrechtelijke denkt de regering als zij twijfelt of de aanbieder bestuursrechtelijke rechtsbescherming geniet?

De Algemene wet bestuursrecht stelt bestuursrechtelijke rechtsbescherming open tegen een «besluit». Dat is een schriftelijke beslissing van een bestuursorgaan, inhoudende een publiekrechtelijke rechtshandeling. Een beslissing van een bestuursorgaan om uit eigen beweging overheidsinformatie openbaar te maken, is in beginsel een feitelijke handeling en geen rechtshandeling. Tegen een feitelijke handeling staat geen bestuursrechtelijke rechtsbescherming open, maar rechtsbescherming bij de burgerlijke rechter, over de band van een actie uit onrechtmatige daad. In het geval van het openbaar maken van informatie op basis van artikel 23 Wbni mag echter worden aangenomen dat tegen die beslissing bestuursrechtelijke rechtsbescherming openstaat voor de betrokken aanbieder. Een beslissing om op grond van artikel 23 Wbni het publiek, na raadpleging van de betrokken aanbieder, over een incident te informeren is namelijk vergelijkbaar met een beslissing om uit eigen beweging op grond van artikel 8 van de Wet openbaarheid van bestuur, na een afweging van de betrokken belangen, informatie over een derde openbaar te maken, waartegen blijkens de rechtspraak voor de betrokken derde bestuursrechtelijke rechtsbescherming openstaat.² De verwachting is dan ook gerechtvaardigd dat die rechtspraak ook zal blijken te gelden voor de toepassing van artikel 23 Wbni.

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus

---

1 Kamerstukken II 2017/18, 27 529, nr. 158.

2 ABRvS 2 februari 2011, ECLI:NL:RVS:2011:BP2849.