Datum publicatie	Organisatie	Jaargang en nummer	Rubriek
20-01-2023 09:00	Ministerie van Economische Zaken en Klimaat	Staatscourant 2023, 1561	advies Raad van State

Advies Raad van State inzake het voorstel van wet, houdende regels ter bevordering van de digitale weerbaarheid van bedrijven (Wet bevordering digitale weerbaarheid bedrijven)

Nader Rapport

’s-Gravenhage, 9 december 2022

WJZ / 22461281

Aan de Koning

Nader rapport inzake het voorstel van wet, houdende regels ter bevordering van de digitale weerbaarheid van bedrijven (Wet bevordering digitale weerbaarheid bedrijven)

Blijkens de mededeling van de Directeur van Uw kabinet van 26 april 2022, nr. 2022000973, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State haar advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 20 juli 2022, nr. W18.22.0068/IV, bied ik U hierbij aan.

Het voorstel heeft de Afdeling advisering van de Raad van State (hierna: de Afdeling) aanleiding gegeven tot opmerkingen bij het wetsvoorstel. Waar het voorstel de afbakening van (beleids)verantwoordelijkheid betreft, acht de Afdeling de introductie van een zelfstandige wet niet noodzakelijk. De toedeling van taken aan de minister van EZK vereist immers geen wettelijke regeling. Een wettelijke verankering is wel noodzakelijk waar het een bevoegdheid tot de verwerking en verstrekking van persoonsgegevens betreft. Mede uit het oogpunt van harmonisatie van wetgeving, ligt het echter in de rede een dergelijke grondslag op te nemen in de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Ongeacht of de regering vasthoudt aan de introductie van een nieuwe wettelijke regeling, wijst de Afdeling op enkele onduidelijkheden in het wetsvoorstel die een nadere toelichting behoeven. Ook wijst de Afdeling op het risico van uiteenlopende analyses, onderzoeken en adviezen. Tot slot merkt de Afdeling op dat het wetsvoorstel geen grondslag biedt voor de uitwisseling van persoonsgegevens met Caribisch Nederland.

In verband met deze opmerkingen adviseert de Afdeling het voorstel te heroverwegen. Graag ga ik op deze opmerkingen in het navolgende in. De tekst van het advies treft u hieronder aan, met tussengevoegd de reactie daarop.

Bij Kabinetsmissive van 26 april 2022, no.2022000973, heeft Uwe Majesteit, op voordracht van de Minister van Economische Zaken en Klimaat, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende regels ter bevordering van de digitale weerbaarheid van bedrijven (Wet bevordering digitale weerbaarheid bedrijven), met memorie van toelichting

Het wetsvoorstel beoogt een wettelijke grondslag te bieden voor taken en bevoegdheden van de minister van Economische Zaken en Klimaat (EZK) op het gebied van de digitale weerbaarheid van het niet-vitale bedrijfsleven in Nederland.

De Afdeling advisering van de Raad van State onderschrijft het belang van de bevordering van digitale weerbaarheid van Nederlandse bedrijven. Zij maakt evenwel enkele opmerkingen bij het wetsvoorstel. Waar het voorstel de afbakening van (beleids)verantwoordelijkheid betreft, acht de Afdeling de introductie van een zelfstandige wet niet noodzakelijk. De toedeling van taken aan de minister van EZK vereist immers geen wettelijke regeling. Een wettelijke verankering is wel noodzakelijk waar het een bevoegdheid tot de verwerking en verstrekking van persoonsgegevens betreft. Mede uit het oogpunt van harmonisatie van wetgeving, ligt het echter in de rede een dergelijke grondslag op te nemen in de Wet beveiliging netwerk- en informatiesystemen (Wbni).

In verband met deze opmerkingen dient het voorstel te worden heroverwogen.

1. Noodzaak van een zelfstandige wet

Binnen het kabinet is de minister van Justitie en Veiligheid (JenV) verantwoordelijk voor de coördinatie van cybersecurity en de bestrijding van cybercrime. Het Nationaal Cyber Security Centrum (NCSC) voert in dit verband de taken uit die de minister van JenV heeft op grond van de Wbni. De minister van EZK is verantwoordelijk voor het bedrijfsleven en de bevordering van de digitalisering van ondernemers. In dat kader richt hij zich op de vergroting van de digitale weerbaarheid van het niet-vitale bedrijfsleven.1 Deze taken worden uitgevoerd door het Digital Trust Center (DTC), dat deel uitmaakt van het ministerie van EZK.

Het wetsvoorstel beoogt een wettelijke grondslag te bieden voor deze bestaande en enkele nieuwe taken van de minister van EZK op dit terrein. Zo krijgt hij ook de taak om Nederlandse bedrijven te informeren en te adviseren over specifieke kwetsbaarheden, dreigingen en incidenten die betrekking kunnen hebben op hun netwerk- en informatiesystemen.2

De Afdeling onderschrijft het belang van de bevordering van digitale weerbaarheid van Nederlandse bedrijven. Waar het voorstel de afbakening van beleidsverantwoordelijkheid betreft, is een nieuwe wettelijke regeling evenwel niet noodzakelijk. Het bedrijfsleven en de bevordering van de digitale weerbaarheid van bedrijven worden immers al tot de portefeuille van de minister van EZK gerekend. De loutere toedeling van taken op dit gebied vereist op zichzelf geen wettelijke regeling en is, anders dan in het geval van de Wbni, ook niet nodig ter implementatie van een Europese richtlijn.

Een wettelijke grondslag is wel noodzakelijk waar het een bevoegdheid tot de verwerking en verstrekking van persoonsgegevens betreft. Het wetsvoorstel geeft de minister van EZK met zoveel woorden een wettelijke grondslag om de voor zijn taakuitoefening noodzakelijke (persoons)gegevens op te vragen en te delen.3 Het is de Afdeling echter niet duidelijk waarom deze bevoegdheid wordt neergelegd in een zelfstandige wet en niet in de Wbni. De Wbni kent de minister van EZK al enkele bevoegdheden toe. Die hebben betrekking op aanbieders van essentiële diensten binnen de sectoren energie en digitale infrastructuur.4 Daarnaast voorziet een recent wetsvoorstel tot wijziging van de Wbni in een grondslag voor de verstrekking van (persoons)gegevens door het NCSC, ook aan niet-vitale aanbieders.5 De Wbni regelt dus niet alleen bevoegdheden voor de minister van JenV, maar ook voor de minister van EZK. Bovendien regelt het – indien het recente wetsvoorstel tot wet wordt verheven – bevoegdheden ten aanzien van het niet-vitale bedrijfsleven. Tegen die achtergrond en uit het oogpunt van harmonisatie van wetgeving, ligt het in de rede om de nieuwe bevoegdheden van de minister van EZK ten aanzien van de verwerking en verstrekking van persoonsgegevens op te nemen in de Wbni.

Met het wetsvoorstel worden de taken en bevoegdheden van de Minister van Economische Zaken en Klimaat (EZK) vastgelegd die de minister heeft op het gebied van de verbetering van de digitale weerbaarheid van niet-vitale bedrijven in Nederland. Deze taken zijn breed en strekken zich uit van het geven van voorlichting, het stimuleren van samenwerking, maar ook het ontvangen, analyseren, onderzoeken van en adviseren over dreigingsinformatie. Voor de uitvoering van deze taken kunnen persoonsgegevens worden verwerkt. Met dit wetsvoorstel wordt voorzien in de wettelijke grondslag hiervoor.

Het is de Afdeling niet duidelijk waarom deze taken en bevoegdheden worden neergelegd in een zelfstandige wet en niet in de Wet beveiliging netwerk- en informatiesystemen (Wbni) die reeds bevoegdheden bevat die worden toegewezen aan de minister van EZK. Voor wat betreft de Afdeling is de Wbni de aangewezen wet voor het regelen van de voorgenoemde bevoegdheden.

Het kabinet ziet, in aanvulling op de reeds in de memorie van toelichting genoemde motivering, drie redenen om deze bevoegdheden vast te leggen in een zelfstandige wet. Deze drie redenen zijn: de aard van de wetgeving, de rol van de minister van EZK in de wetgeving en de doelgroep van dit wetsvoorstel welke onderling verbonden zijn.

Ten eerste is de aard van de Wbni anders dan het voorliggende wetsvoorstel. In de Wbni worden grotendeels de bepalingen vanuit Europese wetgeving, de NIB-richtlijn6, vastgelegd. De Wbni bevat daarmee de omzetting van Europeesrechtelijke verplichtingen voor haar doelgroep en regelt de naleving daarvan7. Op grond van het onderhavige voorstel dat geen Europeesrechtelijke oorsprong kent, geldt er geen zorg- of meldplicht voor de doelgroep daarvan, te weten de niet-vitale bedrijven. Tevens is er in dit wetsvoorstel geen sprake van toezicht en handhaving.

Ten tweede verschilt de rol van de minister van EZK in de Wbni van de rol die de minister van EZK heeft in onderhavig voorstel. De uit de Wbni voortvloeiende taken en bevoegdheden voor de minister van EZK betreffen het toezicht op de naleving van de zorg- en meldplicht door vitale aanbieders in bijvoorbeeld de sector energie, die als aanbieders van een essentiële dienst zijn aangewezen, en voor digitale dienstverleners. Het onderhavige wetsvoorstel kent de minister van EZK geen toezichthoudende bevoegdheden toe, maar ziet daarentegen op het informeren en adviseren van de niet-vitale bedrijven, (ongeveer 2 miljoen), die niet vallen onder het toepassingsbereik van de Wbni.

Ten derde is de doelgroep van onderhavig voorstel anders dan de doelgroep van de Wbni. De Wbni is in hoofdzaak gericht op de digitale veiligheid van organisaties die deel uitmaken van de Rijksoverheid, vitale private aanbieders en digitale dienstverleners. Hierin wordt bijvoorbeeld geregeld dat de minister van JenV (en in de praktijk het NCSC) verantwoordelijk is voor het informeren en adviseren van vitale aanbieders en Rijksoverheidsorganisaties bij digitale dreigingen en incidenten. Het onderhavige wetsvoorstel richt zich daarentegen op de doelgroep van het niet-vitale bedrijfsleven. Hierdoor zijn ook de taken van de minister van JenV en de minister van EZK anders. Het NCSC (ministerie van JenV) heeft krachtens de Wbni als primaire taak het informeren en het adviseren van vitale aanbieders en organisaties die deel uitmaken van de Rijksoverheid over digitale dreigingen en incidenten. Naast het informeren en het adviseren verleent het NCSC de aanbieders in zijn doelgroep ook overige bijstand bij het treffen van maatregelen om incidenten te voorkomen en te verhelpen. Overige bijstand kan bijvoorbeeld inhouden dat aan de aanbieder uit de doelgroep ter plekke ondersteuning wordt geboden bij het duiden van het probleem en de maatregelen om dat probleem aan te pakken.

Het DTC (minister van EZK) richt zich bij het informeren en het adviseren over digitale dreigingen en incidenten op de doelgroep van het niet-vitale bedrijfsleven. Hierbij gaat het om algemene informatie en handelingsperspectieven maar ook om specifieke dreigingsinformatie gericht op individuele bedrijven. In tegenstelling tot het NCSC verleent het DTC bij incidenten geen overige bijstand, ofwel incident response, aan de aanbieders in zijn doelgroep.

Het kabinet is van mening dat deze belangen het beste worden gediend door deze onder te brengen in deze twee te onderscheiden wetten.

De memorie van toelichting is in paragraaf (2.3) aangevuld op dit punt.

De Afdeling merkt overigens op dat de toelichting geen aandacht besteedt aan de vraag hoe het voornoemde recente wetsvoorstel tot wijziging van de Wbni zich verhoudt tot het onderhavige. De toelichting dient op dit punt te worden aangevuld, nu de voorstellen nauw met elkaar samenhangen en ook technisch op elkaar moeten worden afgestemd.8

In de memorie van toelichting bij het onderhavige wetsvoorstel is toegelicht dat er een verband is tussen dit wetsvoorstel en het voorstel tot wijziging van de Wbni9 (zie toelichting bij artikel 5). Daar is ingegaan op de samenhang tussen beide wetsvoorstellen. Het verband tussen deze twee wetsvoorstellen is gelegen in het in ruimere zin mogelijk maken van het uitwisselen van informatie over digitale dreigingen en incidenten tussen beide organisaties ten behoeve van het uitoefenen van hun onderscheidenlijke taken. Dit betreft informatie-uitwisseling die twee kanten op werkt, dat wil zeggen van NCSC naar DTC en van DTC naar NCSC.

Waar de Afdeling mogelijk refereert aan de uitbereiding van de bevoegdheid van de minister van JenV om niet-vitale aanbieders rechtstreeks van informatie te voorzien wordt het volgende opgemerkt. Rechtstreekse informatieverstrekking vanuit het NCSC aan andere aanbieders dan vitale aanbieders en Rijksoverheidsorganisaties zal door het wetsvoorstel tot wijziging van de Wbni alleen andere aanbieders kunnen betreffen die geen schakelorganisaties hebben en indien een dreiging of incident aanzienlijke gevolgen heeft of kan hebben voor de continuïteit van hun dienstverlening. In onderhavig wetsvoorstel wordt de positie van het DTC als schakelorganisatie voor haar doelgroep wettelijk vastgelegd. Dit leidt ertoe dat het NCSC niet ook aan individuele aanbieders in de doelgroep van het DTC informatie kan verstrekken. 10

De memorie van toelichting is in paragraaf (2.2) aangevuld op dit punt.

De Afdeling adviseert de keuze voor een zelfstandige wet in het licht van het voorgaande te heroverwegen.

Op grond van het voorgaande wordt dit voorstel tot wet gehandhaafd en zal de samenhang tussen het wetsvoorstel en de Wbni zorgvuldig worden bewaakt.

Ongeacht of de regering vasthoudt aan de introductie van een nieuwe wettelijke regeling, wijst de Afdeling op het volgende.

2. Nieuwe taken minister van Economische Zaken en Klimaat

a. Samenwerking en duidelijkheid voor de praktijk

Met het wetsvoorstel krijgt de minister van EZK onder andere de taak om samen te werken met bestuursorganen en rechtspersonen ten behoeve van de digitale weerbaarheid. Hierbij gaat het volgens de toelichting onder meer om samenwerking met andere vakdepartementen en decentrale overheden, maar ook met onderwijsinstellingen en onderzoeksinstituten.11 Hieruit blijkt dat verschillende departementen aanspreekpunt kunnen zijn op het terrein van cybersecurity voor dezelfde organisaties. Een belangrijk uitgangspunt daarbij is wel dat het voor alle sectoren duidelijk is voor wat zij bij welk departement zij terecht kunnen.12

De Afdeling adviseert de nieuwe samenwerkingstaak in de toelichting te verduidelijken en inzichtelijk te maken in welke gevallen organisaties zich kunnen wenden tot de minister van EZK.

De minister van EZK heeft op grond van voorgesteld artikel 2, tweede lid, twee soorten taken op het gebied van samenwerking ter versterking van de digitale weerbaarheid van de Nederlandse samenleving of ter voorkoming van nadelige maatschappelijke gevolgen in en buiten Nederland. De eerste taak ziet op het stimuleren van onderlinge samenwerking tussen bedrijven (onderling) en organisaties. De tweede taak ziet op het samenwerken met andere bestuursorganen en organisaties om te werken aan bredere oplossingen voor digitale weerbaarheid. Denk hierbij aan kennisdeling, onderzoek en sector- of branche-specifieke beelden. Anders dan de Afdeling lijkt te veronderstellen leidt deze samenwerkingstaak niet tot onduidelijkheid bij bedrijven over bij welk departement zij terecht kunnen. De samenwerking met andere vakdepartementen en decentrale overheden, maar ook met onderwijsinstellingen en onderzoeksinstituten heeft namelijk geen effect op bestaande verhoudingen tussen deze organisaties en de bedrijven en sectoren. Er verandert dus ook niets in bestaande aanspreekpunten voor bedrijven en sectoren.

b. Risico van uiteenlopende analyses, onderzoeken en adviezen

De Afdeling merkt daarnaast op dat de taken van het DTC en het NCSC lijken te (kunnen) overlappen. Op grond van het wetsvoorstel respectievelijk de Wbni, kan zowel het DTC als het NCSC een analyse uitvoeren en (technisch) onderzoek doen naar de door hen verzamelde informatie. Het DTC kan voorts op basis van het wetsvoorstel niet-vitale bedrijven informeren over digitale dreigingen en incidenten.13 Het NCSC kan niet alleen vitale bedrijven en onderdelen van de rijksoverheid informeren over digitale dreigingen en incidenten, maar op grond van een recent wetsvoorstel ook niet-vitale bedrijven.14

In dat licht wijst de Afdeling op het risico dat een bedrijf zowel door het NCSC als het DTC wordt geïnformeerd over een digitale dreiging of een incident, en dat daaraan verschillende analyses of onderzoeken ten grondslag liggen.15 In het geval van digitale dreigingen en incidenten is het van cruciaal belang dat er geen onduidelijkheid is over de (analyse van bepaalde) dreigings- en incidenteninformatie.16

De Afdeling haalt in dit punt aan dat niet-vitale bedrijven zowel door het DTC als het NCSC kunnen worden geïnformeerd en dat daaraan mogelijk verschillende analyses en onderzoeken ten grondslag kunnen liggen. Het DTC en NCSC hebben echter duidelijk te onderscheiden doelgroepen van organisaties waaraan informatie en advies over concrete digitale dreigingen en incidenten worden verstrekt en ten behoeve waarvan analyses en onderzoek naar aanleiding van (aanwijzingen voor) dergelijke dreigingen en incidenten worden gedaan. In de door de Afdeling aangehaalde wijziging van de Wbni wordt het onder bepaalde voorwaarden mogelijk voor het NCSC om in ruimere zin dreigings- en incidentinformatie te delen met andere aanbieders (niet zijnde Rijk en vitaal). Een van die voorwaarden is dat er voor die aanbieders géén schakelorganisatie beschikbaar is die deze aanbieder als doelgroep heeft. Daarnaast zorgt het wetsvoorstel ervoor dat dreigings- en incidentinformatie in ruimere zin kan worden gedeeld met het DTC en andere schakelorganisaties. Het NCSC zal informatie over niet-vitale bedrijven dus direct met het DTC kunnen delen, welke op haar beurt haar doelgroep zal kunnen informeren en adviseren. Hiermee is dubbel informeren van een niet-vitaal bedrijf niet aan de orde.

Het NCSC en DTC werken waar mogelijk samen. Voor wat betreft analyse en onderzoek zijn beide organisaties verantwoordelijk voor de eigen doelgroepen. Vanwege deze verschillende doelgroepen kan het zijn dat voor het DTC en NCSC andere bronnen, die algemene of specifieke (dreigings)informatie bevatten welke van publieke of private partijen afkomstig zijn, relevant zijn. Zo zijn niet alle kwetsbaarheden, dreigingen en incidenten relevant voor doelgroepen van het DTC. Dit geldt ook voor de door het NCSC bijgestane vitale aanbieders of overheidsorganisaties. Denk hierbij aan systemen die alleen bij de overheid worden gebruikt, of aan de andere kant van het spectrum, producten die door zzp’ers worden gebruikt maar eigenlijk gekocht zijn als consument. Dit laat onverlet dat als één van deze organisaties in de uitoefening van haar taken over informatie beschikt, die ook relevant is voor de doelgroep van de ander, deze informatie onderling uitgewisseld zal gaan worden.

Aan de memorie van toelichting is een nieuwe paragraaf (2.4) toegevoegd over de verhouding tussen het DTC en het NCSC.

In aanvulling daarop merkt de Afdeling op dat zowel het NCSC als het DTC de taak is toegekend een advies, zoals een handelingsperspectief, aan specifieke bedrijven aan te reiken. Het is daardoor mogelijk dat adviezen van de overheid gerelateerd aan eenzelfde dreiging of incident uiteenlopen en dat partijen binnen eenzelfde keten, verschillende handelsperspectieven aangereikt krijgen. Ter illustratie wijst de Afdeling op de aanpak van de problemen rond kwetsbaarheden in Citrix-software. Het NCSC kwam begin 2020 aanvankelijk met een genuanceerd advies aan afnemers om te overwegen de Citrix-servers uit te zetten, afhankelijk van de impact die dat zou hebben op de afnemer in kwestie. Al de volgende dag adviseerde het NCSC dringend om alle Citrix-servers uit te zetten, omdat – zoals later bleek – de AIVD de veiligheidsrisico’s anders inschatte dan het NCSC. Organisaties die de problemen met Citrix zelf al hadden opgelost, zagen zich genoodzaakt om dat advies op te volgen.17

De toelichting bij het wetsvoorstel stelt dat het DTC en het NCSC samenwerken om het risico van onder meer dubbele informatieverstrekking te vermijden.18 Er wordt evenwel geen ‘rangorde’ aangebracht tussen de adviezen van het DTC en het NCSC. De Afdeling is van oordeel dat concrete uitgangspunten, die ertoe moeten leiden dat uiteenlopende analyses, onderzoeken en adviezen van de overheid in relatie tot eenzelfde dreiging of incident worden voorkomen, niet alleen in samenwerkingsafspraken met het NCSC, maar ook in de toelichting bij dit wetsvoorstel dienen te worden uitgewerkt.

De Afdeling adviseert in de toelichting nader inzichtelijk te maken hoe uiteenlopende analyses, onderzoeken en adviezen van de overheid in relatie tot eenzelfde dreiging of incident kunnen worden voorkomen.

Zoals ook eerder toegelicht, hebben het DTC en NCSC beiden duidelijk te onderscheiden doelgroepen. Het NCSC richt zich op vitale aanbieders en organisaties die deel uitmaken van de Rijksoverheid. De doelgroep van het DTC is het niet-vitale bedrijfsleven. Beide organisaties zullen de analyses, onderzoeken en adviezen die zij uitvoeren en geven afstemmen op de taak die zij hebben voor hun doelgroep. Hierbij wordt met name in de formulering van het advies rekening gehouden met de aard en de relevantie van het advies voor de respectievelijke doelgroepen. Daarnaast zullen het DTC en NCSC met elkaar samenwerken en informatie uitwisselen om te voorkomen dat sterk uiteenlopende analyses, onderzoeken en adviezen worden gegeven.

Het door de Afdeling geschetste risico zal in de komende jaren verder worden verkleind door de voorgenomen vorming van één nieuwe organisatie waarin verschillende cybersecurity expertise van de overheid samen zal komen19.

In de memorie van toelichting is de nieuwe paragraaf (2.4) aangevuld op dit punt.

c. Verwachtingen sector

Met het wetsvoorstel kan het DTC het Nederlandse bedrijfsleven voorzien in analyses, onderzoek en individuele adviezen in geval van digitale dreigingen en incidenten. De regering hanteert daarbij tevens het uitgangspunt dat het van belang is dat bedrijven in Nederland hun verantwoordelijkheid op het gebied van cybersecurity kennen en nemen. Dit betekent dat zij zelf moeten investeren in hun digitale weerbaarheid.20

De Afdeling onderschrijft de rol van de overheid voor effectieve informatie-uitwisseling voor de digitale weerbaarheid van bedrijven maar wijst ook op het risico dat de verwachting wordt gewekt dat daarmee goeddeels in dreigings- en incidenteninformatie is voorzien, waardoor bedrijven hun eigen verantwoordelijkheid onderschatten of veronachtzamen. De Afdeling acht het van belang dat met dit wetsvoorstel ook helder wordt gecommuniceerd hoe deze nieuwe taken van de minister van EZK zich verhouden tot de eigen verantwoordelijkheden van het niet-vitale bedrijfsleven om alert te zijn op mogelijke kwetsbaarheden, dreigingen en incidenten.

Zo is het volgens de Onderzoeksraad voor Veiligheid voor kleinere bedrijven moeilijk om hun verantwoordelijkheid voor veilige software die zij gebruiken waar te maken. Software bevat immers een steeds groter aantal onbekende kwetsbaarheden, er gelden (nog) geen wettelijke eisen voor software, fabrikanten sluiten de aansprakelijkheid voor kwetsbaarheden vaak uit of beperken die, en het testen en installeren van updates en patches vergt veel tijd en deskundigheid.21 Tegelijkertijd kan de overheid deze verantwoordelijkheid niet volledig overnemen.

In het licht van het voorgaande, adviseert de Afdeling in de toelichting in te gaan op de verhouding tussen de verantwoordelijkheden van de minister van EZK en die van het niet-vitale bedrijfsleven.

De verantwoordelijkheid van de overheid voor de digitale weerbaarheid van niet-vitale bedrijven is begrensd door de eigen verantwoordelijkheid van niet-vitale bedrijven. Op basis van dit wetsvoorstel kan het DTC niet-vitale bedrijven informeren en adviseren over bijvoorbeeld ernstige kwetsbaarheden bij individuele bedrijven. Hierbij dient in acht te worden genomen dat de informatie en adviezen van het DTC een (niet volledige) aanvulling zijn op de digitale weerbaarheid van een bedrijf. Zo heeft een specifieke individuele notificatie door het DTC betrekking op die concrete dreiging of kwetsbaarheid. Maar er kunnen meer kwetsbaarheden, dreigingen en incidenten zijn in de netwerk- en informatiesystemen van dat bedrijf waar het DTC géén weet van heeft. Een bedrijf is en blijft zelf verantwoordelijk voor het actief beheren en versterken van haar digitale veiligheid. De overheid speelt hierin een rol maar neemt uitdrukkelijk niet de verantwoordelijkheid van bedrijven over.

De memorie van toelichting is in paragraaf (2.2) hier nader op aangevuld.

3. Potentiële marktactiviteiten van de minister van EZK

Op grond van het wetsvoorstel krijgt de minister van EZK de taak om gegevens met betrekking tot digitale kwetsbaarheden, dreigingen en incidenten te onderzoeken en te analyseren, en om uitkomsten daarvan te verstrekken aan niet-vitale bedrijven.22 De Afdeling merkt op dat in de toelichting bij het wetsvoorstel slechts beperkt inzichtelijk wordt gemaakt welke (soort) informatie de minister voornemens is te delen met het bedrijfsleven, en in hoeverre die informatie bewerkt zal worden. Ook is onduidelijk welke soort adviezen bedrijven kunnen verwachten en wat onder analyse en onderzoek van de minister kan worden verstaan.

Volgens de toelichting wordt voldaan aan de Wet markt en overheid omdat de taken van de minister zich beperken tot informatievoorziening. Bedrijven dienen zelf incidenten op te lossen en preventieve maatregelen nemen.23 De Afdeling vindt deze toelichting te summier en merkt op dat het voor de naleving van de Wet markt en overheid en Europese (mededingings- en staatssteun)regelgeving ook duidelijk moet zijn welk soort informatie wordt gedeeld, in welke mate die informatie wordt bewerkt en welk soort adviezen en analyses worden opgesteld en uitgevoerd.24 Bewerking van informatie en op individuele bedrijven gerichte, specifieke adviezen en analyses kan ertoe leiden dat er in het kader van dit wetsvoorstel sprake is van economische activiteiten. In dat geval zal helder moeten zijn dat de minister van EZK zich ook houdt aan de gedragsregels uit de Wet markt en overheid, die een gelijk speelveld tussen overheden en ondernemingen moeten creëren. De toelichting maakt dit onvoldoende inzichtelijk.

Daarnaast adviseert de Afdeling in de toelichting nader in te gaan op de vraag in hoeverre de taken van de minister kunnen worden aangemerkt als economische activiteiten in de zin van de Wet markt en overheid.

Het DTC zal, conform artikel 2 van dit voorstel, gegevens over kwetsbaarheden, dreigingen en incidenten die betrekking hebben op netwerk- en informatiesystemen delen met bedrijven. Deze informatie, die bij het DTC bekend is, wordt omgezet in twee stromen. Het DTC zal algemene dreigingsinformatie delen door middel van nieuwsberichten bij beveiligingslekken of kwetsbaarheden in netwerk- en informatiesystemen welke een grote bedreiging vormen voor ondernemend Nederland. Criteria hiervoor zijn: de kans dat de kwetsbaarheid wordt misbruikt en de ernst van de schade die kan optreden bij misbruik. Het DTC maakt voor haar doelgroep nog een aantal aanvullende afwegingen voordat ze in een algemene waarschuwing de gevonden kwetsbaarheid of dreiging van uitleg voorziet en publiceert. De belangrijkste zijn: Betreft het netwerk- en informatiesystemen die door veel bedrijven gebruikt worden? Is er actie door bedrijven nodig? Is er handelingsperspectief? Indien deze afweging leidt tot een nieuwsbericht dan wordt in dit bericht aangegeven welk product of versie het betreft, welk misbruik er mogelijk is, wat het effect daarvan kan zijn en in algemene bewoordingen wat een bedrijf kan doen om de dreiging te verhelpen.

Vervolgens kan het DTC als het informatie heeft dat een kwetsbaarheid, dreiging of incident te herleiden is tot één of meerdere bedrijven, deze bedrijven hierover informeren. Het advies dat het DTC uitbrengt is in grote mate gebaseerd op de (publieke) informatie van cybersecurity onderzoekers, leveranciers van netwerk- en informatiesystemen en andere (publieke) informatie gerelateerd aan de kwetsbaarheid, dreiging of incident. Het advies houdt nadrukkelijk geen verplichtingen in voor bedrijven. Ook zal het advies van het DTC in algemene bewoordingen worden opgesteld waarbij het aan bedrijven zelf is om te beoordelen (al dan niet met behulp van ICT-dienstverleners) welke concrete maatregelen noodzakelijk zijn en kunnen worden doorgevoerd. Daarbij verleent het DTC geen ondersteuning bij het doorvoeren van deze adviezen. Concreet betekent dit dat een advies als volgt kan luiden:

Bedrijf ABC, u maakt gebruik van software van leverancier 123 op systeem met IP-adres: xxx.xxx.xxx.xxx. In deze software is een kwetsbaarheid bekend geworden die kan leiden tot toegang tot data en informatie door een derde. U kunt de volgende maatregelen nemen:

1) update de software van leverancier 123;
2) onderzoek de toegang tot dit systeem;
3) mocht u hulp nodig hebben bij de beoordeling van deze informatie en adviezen, neem contact op met je ICT leverancier.

De informatie over kwetsbaarheden, dreigingen en incidenten, waar het DTC over beschikt, zal vaak in de vorm van ruwe data zijn. Wanneer het DTC de ruwe data naar een bedrijf heeft kunnen herleiden, zal het DTC deze data verrijken met de contactgegevens van het getroffen bedrijf. Daarna zal notificatie plaatsvinden aan het individuele bedrijf. Er vindt geen verdere bewerking van de informatie plaats.

Het informeren van bedrijven (algemeen en individueel) over bij het DTC bekende kwetsbaarheden, dreigingen en incidenten in netwerk- en informatiesystemen vindt plaats in het algemeen belang. Het belang dat hier wordt gediend is enerzijds de digitale weerbaarheid van individuele ondernemingen in Nederland, anderzijds het voorkomen van nadelige maatschappelijke gevolgen voor burgers, klanten en bedrijven onderling. Een digitale verstoring bij een supermarkt heeft direct gevolgen voor het bedrijf, haar klanten, de omgeving, leveranciers en andere partners, zoals banken en accountants.

Het DTC informeert en geeft algemeen handelingsperspectief en daarmee is er ook een grens aan wat de overheid doet. Bedrijven ontvangen informatie, het is aan hen om hierop te handelen. Het gegeven handelingsperspectief, bijvoorbeeld het updaten van een systeem, is niet op het individuele bedrijf afgestemd en wordt niet door het DTC uitgevoerd. Bedrijven zijn en blijven zelf verantwoordelijk voor het nemen van de nodige maatregelen. Bedrijven zullen juist dan, wanneer zij zelf onvoldoende mogelijkheid hebben om de juiste maatregelen te nemen, een beroep doen op marktpartijen om hen te ondersteunen. Bedrijven worden ongeacht hun branche of sector, regio of bedrijfsomvang op dezelfde wijze behandeld.

Vanwege het bovengenoemde, behoort het delen van, bij het DTC bekende algemene of specifieke informatie over kwetsbaarheden, dreigingen en incidenten aan de Nederlandse bedrijven tot de uitoefening van bevoegdheden van openbaar gezag. Het bevorderen van de digitale weerbaarheid van bedrijven en daarmee ook openbare (digitale) veiligheid behoort immers tot de taken van de overheid. Daar waar marktactiviteiten beginnen, houdt de advisering van het DTC op. De in dit wetsvoorstel voorgestelde taken van de minister van EZK zijn derhalve geen economische activiteiten en zijn de staatssteunregels daar niet op van toepassing. Uit het arrest van het Hof van Justitie van de Europese Unie (Derde kamer) van 12 juli 2012, ECLI:EU:C:2012:449, volgt dat het publiek toegankelijk maken van informatie die verzameld is ten behoeve van een wettelijke taak geen economische activiteit vormt.

De memorie van toelichting is op de punten van staatssteun en de verhouding Wet markt en overheid respectievelijk in paragraaf (4.2) aangepast.

4. Informatiedeling met Caribisch Nederland

Volgens de toelichting gelden de taken en bevoegdheden van de minister van EZK voor Nederland inclusief Caribisch Nederland, zijnde Bonaire, Saba en Sint-Eustatius.25 De Afdeling ondersteunt de wens van de Nederlandse regering om zich ook in te zetten voor de digitale weerbaarheid van bedrijven gevestigd in Caribisch Nederland. De Afdeling merkt daarbij op dat informatie over digitale dreigingen en incidenten veelal persoonsgegevens omvat, zoals in de vorm van IP-adressen.

De Algemene verordening gegevensbescherming (AVG) is alleen van toepassing op het Europese deel van het Koninkrijk. Dit betekent dat op de gegevensverstrekking die in het kader van het wetsvoorstel aan de orde is, het regime uit de AVG ten aanzien van doorgifte van gegevens met derde landen van toepassing is.26 Zonder een adequaatheidsbesluit van de Europese Commissie kan niet zonder meer worden uitgegaan van een ‘passend beschermingsniveau’.27 Daarmee ontbreekt een grondslag voor doorgifte van gegevens aan Caribisch Nederland op grond van artikel 45 AVG.

De Afdeling adviseert in de toelichting in te gaan op de naleving van de AVG en te voorzien in een grondslag voor doorgifte van gegevens aan Caribisch Nederland.

Naar aanleiding van het advies van de Afdeling is het wetsvoorstel aangevuld met een nieuw artikel waaruit blijkt dat de wet ook in Caribisch Nederland van toepassing is (artikel 7). Hiermee wordt een expliciete grondslag gecreëerd voor uitwisseling van gegevens met Caribisch Nederland. Ook daar is de nood hoog en is er sprake van behoefte aan het bevorderen van de digitale weerbaarheid. Daarnaast wordt het advies opgevolgd door in paragraaf 4.3 van de memorie van toelichting in te gaan op de naleving van de AVG ten aanzien van doorgifte van gegevens aan Caribisch Nederland.

Omdat Caribisch Nederland geen deel uitmaakt van de Europese Unie is sprake van doorgifte naar een zogeheten derde land in de zin van de AVG. Voor doorgifte geldt in aanvulling op de gebruikelijke eisen voor de verwerking van persoonsgegevens dat tevens aan de voorwaarden van Hoofdstuk V van de AVG dient te worden voldaan. Voor het voldoen aan een adequaat beschermingsniveau zijn verschillende mogelijkheden. Artikel 46 van de AVG staat doorgifte van persoonsgegevens naar een derde land toe wanneer er sprake is van passende waarborgen en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. In Caribisch Nederland geldt een wettelijke regeling inzake de bescherming van persoonsgegevens – de Wet bescherming persoonsgegevens BES (Wbp BES). Deze wet biedt waarborgen voor de bescherming van deze gegevens en de rechten van betrokkenen. In verhouding tot de AVG biedt de Wbp BES een vergelijkbaar beschermingsniveau van persoonsgegevens. Zo moet aan vergelijkbare vereisten van rechtmatigheid worden voldaan, en worden de rechten en rechtsbescherming van betrokkene gewaarborgd. Net als bij de AVG heeft de betrokkene o.m. het recht op inzage in zijn of haar persoonsgegevens. Voor zover het voor een goede uitvoering van de voorgestelde taken en bevoegdheden noodzakelijk zal zijn om persoonsgegevens in Caribisch Nederland te verwerken biedt de Wbp BES aldus een passend beschermingsniveau. Zoals uitgelegd in de memorie van toelichting bij het wetsvoorstel zal het hierbij om ‘gewone’ persoonsgegevens gaan waarbij niet meer gegevens worden verwerkt dan strikt noodzakelijk, en deze niet voor andere doeleinden worden gebruikt dan waarvoor zij oorspronkelijk zijn verzameld.

De Afdeling advisering van de Raad van State heeft een aantal bezwaren bij het voorstel en adviseert het voorstel niet bij de Tweede Kamer der Staten-Generaal in te dienen, tenzij het is aangepast.

Van de gelegenheid is gebruik gemaakt om de memorie van toelichting voor wat betreft het structurele budget voor de taken van de Minister van EZK, te actualiseren (paragraaf 7). Dit structurele budget is verhoogd op basis van het huidige Regeerakkoord.

De waarnemend vice-president van de Raad van State,

Ik moge U verzoeken het hierbij gevoegde voorstel van wet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.

De Minister van Economische Zaken en Klimaat, M.A.M. Adriaansens.

Advies Raad van State

No. W18.22.0068/IV

’s-Gravenhage, 20 juli 2022

Aan de Koning

In verband met deze opmerkingen dient het voorstel te worden heroverwogen.

1. Noodzaak van een zelfstandige wet

De Afdeling adviseert de keuze voor een zelfstandige wet in het licht van het voorgaande te heroverwegen. Ongeacht of de regering vasthoudt aan de introductie van een nieuwe wettelijke regeling, wijst de Afdeling op het volgende.

2. Nieuwe taken minister van Economische Zaken en Klimaat

a. Samenwerking en duidelijkheid voor de praktijk

Met het wetsvoorstel krijgt de minister van EZK onder andere de taak om samen te werken met bestuursorganen en rechtspersonen ten behoeve van de digitale weerbaarheid. Hierbij gaat het volgens de toelichting onder meer om samenwerking met andere vakdepartementen en decentrale overheden, maar ook met onderwijsinstellingen en onderzoeksinstituten.7 Hieruit blijkt dat verschillende departementen aanspreekpunt kunnen zijn op het terrein van cybersecurity voor dezelfde organisaties. Een belangrijk uitgangspunt daarbij is wel dat het voor alle sectoren duidelijk is voor wat zij bij welk departement zij terecht kunnen.8

De Afdeling adviseert de nieuwe samenwerkingstaak in de toelichting te verduidelijken en inzichtelijk te maken in welke gevallen organisaties zich kunnen wenden tot de minister van EZK.

b. Risico van uiteenlopende analyses, onderzoeken en adviezen

De Afdeling merkt daarnaast op dat de taken van het DTC en het NCSC lijken te (kunnen) overlappen. Op grond van het wetsvoorstel respectievelijk de Wbni, kan zowel het DTC als het NCSC een analyse uitvoeren en (technisch) onderzoek doen naar de door hen verzamelde informatie. Het DTC kan voorts op basis van het wetsvoorstel niet-vitale bedrijven informeren over digitale dreigingen en incidenten.9 Het NCSC kan niet alleen vitale bedrijven en onderdelen van de rijksoverheid informeren over digitale dreigingen en incidenten, maar op grond van een recent wetsvoorstel ook niet-vitale bedrijven.10

In dat licht wijst de Afdeling op het risico dat een bedrijf zowel door het NCSC als het DTC wordt geïnformeerd over een digitale dreiging of een incident, en dat daaraan verschillende analyses of onderzoeken ten grondslag liggen.11 In het geval van digitale dreigingen en incidenten is het van cruciaal belang dat er geen onduidelijkheid is over de (analyse van bepaalde) dreigings- en incidenteninformatie.12

De toelichting bij het wetsvoorstel stelt dat het DTC en het NCSC samenwerken om het risico van onder meer dubbele informatieverstrekking te vermijden.14 Er wordt evenwel geen ‘rangorde’ aangebracht tussen de adviezen van het DTC en het NCSC. De Afdeling is van oordeel dat concrete uitgangspunten, die ertoe moeten leiden dat uiteenlopende analyses, onderzoeken en adviezen van de overheid in relatie tot eenzelfde dreiging of incident worden voorkomen, niet alleen in samenwerkingsafspraken met het NCSC, maar ook in de toelichting bij dit wetsvoorstel dienen te worden uitgewerkt.

c. Verwachtingen sector

Zo is het volgens de Onderzoeksraad voor Veiligheid voor kleinere bedrijven moeilijk om hun verantwoordelijkheid voor veilige software die zij gebruiken waar te maken. Software bevat immers een steeds groter aantal onbekende kwetsbaarheden, er gelden (nog) geen wettelijke eisen voor software, fabrikanten sluiten de aansprakelijkheid voor kwetsbaarheden vaak uit of beperken die, en het testen en installeren van updates en patches vergt veel tijd en deskundigheid.16 Tegelijkertijd kan de overheid deze verantwoordelijkheid niet volledig overnemen.

In het licht van het voorgaande, adviseert de Afdeling in de toelichting in te gaan op de verhouding tussen de verantwoordelijkheden van de minister van EZK en die van het niet-vitale bedrijfsleven.

3. Potentiële marktactiviteiten van de minister van EZK

Op grond van het wetsvoorstel krijgt de minister van EZK de taak om gegevens met betrekking tot digitale kwetsbaarheden, dreigingen en incidenten te onderzoeken en te analyseren, en om uitkomsten daarvan te verstrekken aan niet-vitale bedrijven.17 De Afdeling merkt op dat in de toelichting bij het wetsvoorstel slechts beperkt inzichtelijk wordt gemaakt welke (soort) informatie de minister voornemens is te delen met het bedrijfsleven, en in hoeverre die informatie bewerkt zal worden. Ook is onduidelijk welke soort adviezen bedrijven kunnen verwachten en wat onder analyse en onderzoek van de minister kan worden verstaan.

Volgens de toelichting wordt voldaan aan de Wet markt en overheid omdat de taken van de minister zich beperken tot informatievoorziening. Bedrijven dienen zelf incidenten op te lossen en preventieve maatregelen nemen.18 De Afdeling vindt deze toelichting te summier en merkt op dat het voor de naleving van de Wet markt en overheid en Europese (mededingings- en staatssteun)regelgeving ook duidelijk moet zijn welk soort informatie wordt gedeeld, in welke mate die informatie wordt bewerkt en welk soort adviezen en analyses worden opgesteld en uitgevoerd.19 Bewerking van informatie en op individuele bedrijven gerichte, specifieke adviezen en analyses kan ertoe leiden dat er in het kader van dit wetsvoorstel sprake is van economische activiteiten. In dat geval zal helder moeten zijn dat de minister van EZK zich ook houdt aan de gedragsregels uit de Wet markt en overheid, die een gelijk speelveld tussen overheden en ondernemingen moeten creëren. De toelichting maakt dit onvoldoende inzichtelijk.

De Afdeling adviseert in de toelichting bij het wetsvoorstel op te nemen welk soort informatie, analyse en advies zal worden gedeeld en in hoeverre de minister van EZK voornemens is de informatie die wordt verzameld te bewerken voordat deze wordt gedeeld met niet-vitale bedrijven. Daarnaast adviseert de Afdeling in de toelichting nader in te gaan op de vraag in hoeverre de taken van de minister kunnen worden aangemerkt als economische activiteiten in de zin van de Wet markt en overheid.

4. Informatiedeling met Caribisch Nederland

Volgens de toelichting gelden de taken en bevoegdheden van de minister van EZK voor Nederland inclusief Caribisch Nederland, zijnde Bonaire, Saba en Sint-Eustatius.20 De Afdeling ondersteunt de wens van de Nederlandse regering om zich ook in te zetten voor de digitale weerbaarheid van bedrijven gevestigd in Caribisch Nederland. De Afdeling merkt daarbij op dat informatie over digitale dreigingen en incidenten veelal persoonsgegevens omvat, zoals in de vorm van IP-adressen.

De Algemene verordening gegevensbescherming (AVG) is alleen van toepassing op het Europese deel van het Koninkrijk. Dit betekent dat op de gegevensverstrekking die in het kader van het wetsvoorstel aan de orde is, het regime uit de AVG ten aanzien van doorgifte van gegevens met derde landen van toepassing is.21 Zonder een adequaatheidsbesluit van de Europese Commissie kan niet zonder meer worden uitgegaan van een ‘passend beschermingsniveau’.22 Daarmee ontbreekt een grondslag voor doorgifte van gegevens aan Caribisch Nederland op grond van artikel 45 AVG.

De Afdeling adviseert in de toelichting in te gaan op de naleving van de AVG en te voorzien in een grondslag voor doorgifte van gegevens aan Caribisch Nederland.

De Afdeling advisering van de Raad van State heeft een aantal bezwaren bij het voorstel en adviseert het voorstel niet bij de Tweede Kamer der Staten-Generaal in te dienen, tenzij het is aangepast.

De waarnemend vice-president van de Raad van State, S.F.M. Wortmann.

Tekst zoals toegezonden aan de Raad van State: Regels ter bevordering van de digitale weerbaarheid van bedrijven (Wet bevordering digitale weerbaarheid bedrijven)

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Allen, die deze zullen zien of horen lezen, saluut! doen te weten:

Alzo Wij in overweging genomen hebben, dat het wenselijk is de weerbaarheid van niet-vitale bedrijven te versterken tegen digitale dreigingen;

Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:

Artikel 1 Begripsbepalingen

In deze wet en de daarop berustende bepalingen wordt verstaan onder:

aanbieder:: aanbieder als bedoeld in artikel 1 van de Wet beveiliging netwerk- en informatiesystemen;
bedrijf:: in Nederland gevestigde natuurlijke persoon of privaatrechtelijke rechtspersoon die bedrijfsmatige activiteiten uitvoert, niet zijnde vitale aanbieders of digitaledienstverleners als bedoeld in artikel 1 van de Wet beveiliging netwerk- en informatiesystemen;
CSIRT voor digitale diensten:: CSIRT voor digitale diensten als bedoeld in artikel 1 van de Wet beveiliging netwerk- en informatiesystemen;
incident:: incident als bedoeld in artikel 4, onder 7, van de NIB-richtlijn;
netwerk- en informatiesysteem:: netwerk- en informatiesysteem als bedoeld in artikel 4, onder 1, van de NIB-richtlijn;
NIB-richtlijn:: richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PbEU 2016, L 194);
Onze Minister:: Onze Minister van Economische Zaken en Klimaat.

Artikel 2 Taken van Onze Minister

1. Onze Minister heeft, ter versterking van de digitale weerbaarheid van bedrijven, de volgende taken:
- a. het analyseren en het onderzoeken van gegevens over kwetsbaarheden, dreigingen en incidenten die betrekking kunnen hebben op netwerk- en informatiesystemen van bedrijven;
- b. het informeren en adviseren van bedrijven over kwetsbaarheden, dreigingen en incidenten die betrekking kunnen hebben op hun netwerk- en informatiesystemen;
- c. indien relevant het verstrekken van ingevolge onder a verkregen gegevens aan bedrijven.
2. Voorts heeft Onze Minister, ter verdere versterking van de digitale weerbaarheid van de Nederlandse samenleving of ter voorkoming van nadelige maatschappelijke gevolgen in en buiten Nederland, de volgende taken:
- a. het stimuleren van de ontwikkeling van samenwerkingsverbanden tussen bedrijven op het gebied van digitale weerbaarheid;
- b. samenwerken met bestuursorganen en rechtspersonen op het gebied van digitale weerbaarheid;
- c. het verstrekken van ingevolge het eerste lid, onder a, verkregen gegevens over dreigingen en incidenten aan de Minister van Justitie en Veiligheid, ten behoeve van de uitvoering van diens taken, bedoeld in artikel 3, eerste lid, van de Wet beveiliging netwerk- en informatiesystemen;
- d. het verstrekken van ingevolge het eerste lid, onder a, verkregen gegevens over dreigingen en incidenten aan het CSIRT voor digitale diensten, ten behoeve van de uitvoering van diens taken, bedoeld in artikel 4, vierde lid, van de Wet beveiliging netwerk- en informatiesystemen.

Artikel 3 Verstrekking gegevens aan Onze Minister

1. Onze Minister kan een rechtspersoon of een orgaan daarvan verzoeken om gegevens te verstrekken die noodzakelijk zijn voor de vervulling van de in artikel 2, eerste lid, genoemde taken.
2. De rechtspersoon of het orgaan kan op grond van het eerste lid gevraagde persoonsgegevens ook aan Onze Minister verstrekken als die verstrekking onverenigbaar is met de doeleinden waarvoor de persoonsgegevens zijn verzameld.

Artikel 4 Verstrekking van vertrouwelijke gegevens door Onze Minister

1. Ter uitvoering van de in artikel 2, eerste en tweede lid, onder c en d, genoemde taak verstrekt Onze Minister geen vertrouwelijke gegevens met betrekking tot een bedrijf die hij ingevolge deze wet verkrijgt, als:
- a. de geheimhouding van die gegevens onvoldoende is geborgd, of
- b. onvoldoende is gewaarborgd dat zij uitsluitend worden gebruikt voor het doel waarvoor zij worden verstrekt.
2. Ter uitvoering van de in artikel 2, tweede lid, onder c, genoemde taken kan Onze Minister vertrouwelijke gegevens met betrekking tot een vitale aanbieder als bedoeld in artikel 1 van de Wet beveiliging netwerk- en informatiesystemen of een andere aanbieder die onderdeel is van de rijksoverheid die hij ingevolge deze wet verkrijgt, zonder diens instemming verstrekken aan de Minister van Justitie en Veiligheid, ten behoeve van de uitvoering van diens taken als bedoeld in artikel 3, eerste lid, van de Wet beveiliging netwerk- en informatiesystemen.
3. Ter uitvoering van de in artikel 2, tweede lid, onder d, genoemde taken kan Onze Minister vertrouwelijke gegevens met betrekking tot een digitaledienstverlener als bedoeld in artikel 1 van de Wet beveiliging netwerk- en informatiesystemen die hij ingevolge deze wet verkrijgt, zonder diens instemming verstrekken aan het CSIRT voor digitale diensten, ten behoeve van de uitvoering van diens taken als bedoeld in artikel 4, vierde lid, van de Wet beveiliging netwerk- en informatiesystemen.
4. De Wet open overheid is niet van toepassing op gegevens als bedoeld in het eerste tot en met derde lid, die herleid kunnen worden tot een bedrijf of een in het tweede of derde lid bedoelde aanbieder onderscheidenlijk digitaledienstverlener, behalve voor zover die gegevens milieu-informatie inhouden als bedoeld in artikel 19.1a van de Wet milieubeheer. De eerste volzin geldt ook als de gegevens bij een ander overheidsorgaan berusten na verstrekking op grond van dit artikel.

Artikel 5 (wijziging Wet beveiliging netwerk- en informatiesystemen)

De Wet beveiliging netwerk- en informatiesystemen wordt als volgt gewijzigd:

Aan artikel 3, tweede lid, wordt onder vervanging van de punt aan het slot van onderdeel d door een puntkomma een onderdeel toegevoegd, luidende:

e. Onze Minister van Economische Zaken en Klimaat, ten behoeve van de uitvoering van diens taken als bedoeld in artikel 2, eerste lid, van de Wet bevordering digitale weerbaarheid bedrijven.

Aan de artikelen 20, tweede lid, en 21, tweede lid, wordt onder vervanging van de punt aan het slot van onderdeel c door een puntkomma telkens een onderdeel toegevoegd, luidende:

d. Onze Minister van Economische Zaken en Klimaat, ten behoeve van de uitvoering van diens taken als bedoeld in artikel 2, eerste lid, van de Wet bevordering digitale weerbaarheid bedrijven.

Artikel 6 (wijziging Wet open overheid)

In de alfabetische rangschikking van de bijlage bij artikel 8.8 van de Wet open overheid wordt ingevoegd: Wet bevordering digitale weerbaarheid bedrijven: artikel 4, vierde lid.

Artikel 7 (inwerkingtreding)

De artikelen van deze wet treden in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld.

Artikel 8 (citeertitel)

Deze wet wordt aangehaald als: Wet bevordering digitale weerbaarheid bedrijven.

Lasten en bevelen dat deze in het Staatsblad zal worden geplaatst en dat alle ministeries, autoriteiten, colleges en ambtenaren die zulks aangaat, aan de nauwkeurige uitvoering de hand zullen houden.

De Minister van Economische Zaken en Klimaat,

MEMORIE VAN TOELICHTING

A. Algemeen

1. Inleiding

Dit wetsvoorstel regelt de taken en bevoegdheden van de Minister van Economische Zaken en Klimaat (hierna: Minister van EZK) op het gebied van de verbetering van de digitale weerbaarheid van het niet-vitale bedrijfsleven in Nederland. Binnen het ministerie van Economische Zaken en Klimaat (hierna: het ministerie van EZK) is om dit doel te bewerkstelligen, in overeenstemming met de motie Hijink/Tellegen1, in 2017 het Digital Trust Center (hierna: DTC) opgericht. Aanleiding voor deze motie was de kamerbrede behoefte aan een centrum dat ‘bedrijven en maatschappelijke organisaties kan informeren en adviseren over én concrete hulp en ondersteuning kan bieden bij het verbeteren van hun cybersecurity en bij het afslaan van aanvallen door hackers’. Deze behoefte heeft zijn oorsprong onder meer in het besef dat de kansen van digitalisering alleen optimaal kunnen worden benut wanneer de digitale veiligheid op orde is. Zo niet dan kan zelfs het voortbestaan van een bedrijf in gevaar komen en de Nederlandse concurrentiepositie verzwakken. Het DTC heeft dan ook als missie bedrijven weerbaarder te maken tegen cyberdreigingen. Hiertoe zijn twee hoofdtaken geformuleerd. Ten eerste informatie en advies geven. Ten tweede samenwerking tussen bedrijven op het gebied van digitale weerbaarheid bevorderen. Het DTC is onderdeel van de Directie Digitale Economie (DDE), vallend binnen het Directoraat Generaal Bedrijfsleven en Innovatie (DGB&I) binnen het ministerie van EZK.

Vanuit het DTC wordt nu voornamelijk algemene informatie over digitale dreigingen en incidenten aan het niet-vitale bedrijfsleven gegeven. Er is echter ook behoefte om het bedrijfsleven over specifieke digitale dreigingen en kwetsbaarheden te informeren. Verwacht mag worden dat bedrijven bij een voor hen concrete bedreiging eerder naar hun digitale weerbaarheid zullen kijken waar dit nu nog uit blijft bij een meer generieke waarschuwing. Ook zal bij informatie over een specifieke dreiging door het DTC een zo praktisch mogelijk handelingsperspectief worden aangereikt zodat het bedrijf ook weet welke vervolgstap(pen) het kan nemen. Deze uitbreiding van de informatievoorziening vraagt een verdere inbedding van de taken en bevoegdheden van het DTC. Met dit wetsvoorstel worden de taken van het DTC alsook de daaraan gekoppelde bevoegdheid van een formele wettelijke grondslag voorzien. Naast de eerdergenoemde taken op het gebied van het verstrekken van algemene informatie en stimuleren van samenwerking die al op basis van de motie Hijink/Tellegen worden uitgevoerd, omvat dit ook de taak voor het delen van specifieke dreigingsinformatie. In het laatste geval kan het voorkomen dat het DTC bij het ontvangen, verwerken en delen van (dreigings)informatie, persoonsgegevens verwerkt. Door te voorzien in een formele wettelijke grondslag voor de taken en de daaraan gekoppelde bevoegdheden ontstaat tevens een expliciete wettelijke grondslag voor het DTC om in het kader van de taakuitvoering persoonsgegevens te verwerken.

Met dit wetsvoorstel ontstaat er, naast de reeds bestaande bevoegdheden op grond van de Wet beveiliging netwerk en informatiesystemen (Wbni), een nieuwe wettelijke taak voor de Minister van EZK.

2. Hoofdlijnen van het voorstel

2.1 Aanleiding

Uit jaarlijks onderzoek van het Centraal Bureau voor de Statistiek (CBS) 2 blijkt dat digitalisering ver is doorgedrongen in het Nederlandse bedrijfsleven. Echter, de digitale weerbaarheid van diezelfde bedrijven is nog geen vanzelfsprekendheid. De cijfers tonen aan dat digitalisering en de daaraan gekoppelde weerbaarheid niet alleen afhankelijk zijn van de omvang van een bedrijf. Zo zijn er voorbeelden in het grootbedrijf, bij het mkb en zzp’ers, waaruit blijkt dat zij de digitale weerbaarheid op orde hebben. Echter, uit onderzoek van het CBS blijkt dat bedrijven, ondanks hun omvang toch slachtoffer blijven van digitale verstoringen en aanvallen3. Met de verder doordringende digitalisering wordt de potentiële schade aan het bedrijfsleven, bij het achterblijven van digitale veiligheid en beveiliging, steeds groter. Digitalisering creëert ook nieuwe onderlinge afhankelijkheden bij bedrijven, niet alleen tussen digitale systemen, maar ook in de (digitale) (leveranciers)keten. Het belang van digitale veiligheid en beveiliging groeit omdat de (on)veiligheid van het ene bedrijf, via deze verbindingen invloed kan hebben op de (on)veiligheid eerder of verderop in de keten zo blijkt ook uit de waarschuwing in het Cyber Security Beeld Nederland 2021 (CSBN 2021)4. Via het CIO-platform hebben bedrijven met een brief aan de Minister van Justitie en Veiligheid (hierna: de Minister van JenV)5 gevraagd om te zorgen voor informatiedeling vanuit de overheid met bedrijven als de overheid beschikt over relevante informatie over dreigingen, kwetsbaarheden en incidenten. Op dit moment informeert de overheid door middel van de bestaande structuren, op basis van de Wbni, zowel de rijksoverheid als specifieke doelgroepen binnen het Nederlandse bedrijfsleven, zijnde de vitale bedrijven en digitale dienstverleners. Overige bedrijven kunnen op basis van dit wetsvoorstel informatie van de overheid ontvangen, in enkele gevallen zal dit in aanvulling zijn op de informatie die zij al via een schakelorganisatie ontvangen als bedoeld in artikel 3, tweede lid, Wbni. Door de (acute) dreigingsinformatie waar de overheid beschikt te verstrekken aan het niet-vitale bedrijfsleven stelt de overheid deze bedrijven in staat om op basis van deze objectieve informatie zelf te beoordelen of en in welke mate zij maatregelen moeten treffen ter mitigatie van een kwetsbaarheid, ter afwering van een dreiging of ter oplossing van een daadwerkelijke inbreuk.

De digitale weerbaarheid van bedrijven heeft zowel een economisch effect als een breder maatschappelijk effect doordat bedrijven in verbinding staan met burgers en overheidsorganisaties. Het vergroten van de digitale weerbaarheid van bedrijven levert een belangrijke bijdrage aan de Nederlandse economie. Weerbare bedrijven, dat wil zeggen bedrijven die bewuste, op risico’s gebaseerde, keuzes maken over te nemen maatregelen op het gebied van digitale beveiliging, zullen over het algemeen minder snel slachtoffer zijn van digitale verstoringen. Deze maatregelen zijn pluriform. Zo kunnen bedrijven maatregelen nemen op het gebied van voorlichting door bijvoorbeeld trainingen voor personeel, specifieke IT-beveiligingsmaatregelen, maar ook maatregelen ten behoeve van de bedrijfscontinuïteit of de inhuur van gespecialiseerde diensten. Afgewogen maatregelen zullen enerzijds een bescherming bieden tegen onbewuste verstoringen anderzijds tegen moedwillige aanvallen. Door afgewogen maatregelen te nemen zullen bedrijven en ondernemers bij een digitaal incident sneller terug kunnen keren naar hun reguliere bedrijfsvoering wat direct bijdraagt aan het verdienvermogen van het bedrijf.

Dit beeld wordt ondersteund door het rapport van de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) ‘Voorbereiden op digitale ontwrichting’6 en is tevens benoemd door de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) in het CSBN 2020 en CSBN 20217 8. In beide rapporten wordt de verregaande digitalisering en de daaraan gerelateerde risico’s voor de Nederlandse samenleving benoemd. Door het informeren en adviseren van bedrijven in zijn algemeenheid en specifiek over kwetsbaarheden en dreigingen wordt gewerkt aan een weerbaar bedrijfsleven. Ook de Cyber Security Raad (CSR) adviseert de overheid om, indien zij beschikt over acute dreigingsinformatie die relevant is voor organisaties in Nederland, deze informatie actief te delen met potentiële en daadwerkelijke slachtoffers9. Dit wordt ook nog eens bevestigd door het onderzoeksrapport ‘Informatie-uitwisseling landelijk dekkend stelsel cybersecurity’ uitgevoerd door Dialogic in opdracht van het WODC10. Volgens dit WODC-rapport heeft de Minister van EZK een centrale rol in de informatievoorziening over de digitale weerbaarheid van ondernemend Nederland. Het WODC-advies is overgenomen in het coalitieakkoord ‘Omzien naar elkaar, vooruitkijken naar de toekomst’11 en zegt over het DTC het volgende: ‘We beschermen onze bedrijven, vitale infrastructuur en economisch kapitaal beter door centraal gecoördineerde structurele samenwerking tussen o.a. het NCSC, het DTC, overheden, bedrijven en wetenschappen. Zij kunnen sneller en makkelijker informatie delen over digitale kwetsbaarheden en hacks’. Hierin wordt expliciet het bestaan van het DTC en de intensieve samenwerking met het Nationaal Cyber Security Center (NCSC) en andere partijen aangehaald.

2.2 Wettelijke grondslag voor taken en gegevensverwerking Minister van EZK

De Minister van EZK is beleidsverantwoordelijke voor de bevordering van de digitalisering van ondernemers en heeft al stappen ondernomen om de digitale weerbaarheid van het niet-vitale bedrijfsleven te vergroten. Ten behoeve van de versteviging van deze rol voorziet dit wetsvoorstel in een vastlegging van de taken van de Minister van EZK op het terrein van digitale weerbaarheid van het niet-vitale bedrijfsleven, zoals het verwerken en verspreiden van informatie over kwetsbaarheden, dreigingen en incidenten en het samenwerken met andere bestuursorganen en organisaties (artikel 2). In het kader van deze taakuitoefening mogen persoonsgegevens worden verwerkt.

Voorts voorziet dit wetsvoorstel in een wettelijke grondslag om bijvoorbeeld bij andere (publiekrechtelijke) organisaties de voor bovengenoemde taakuitoefening noodzakelijke gegevens te vragen en in de mogelijkheid van die derden om in reactie daarop zo nodig ook persoonsgegevens te verstrekken aan de Minister van EZK (artikel 3). Ook voorziet dit wetsvoorstel in de voorwaarden waaronder vertrouwelijke gegevens die bij de Minister van EZK, verstrekt mogen worden aan derden (artikel 4). Ten slotte regelt dit wetsvoorstel een rechtstreekse informatie-uitwisseling tussen het DTC en onder meer andere overheidsorganisaties die zich met digitale beveiliging bezighouden (artikel 2, 4 en 5).

Het belangrijkste doel is de versterking van de digitale weerbaarheid van bedrijven (zie de aanhef van artikel 2, eerste lid). Ten behoeve van dat doel heeft de Minister van EZK verschillende taken. Het gaat hierbij allereerst om het analyseren en het onderzoeken van gegevens over kwetsbaarheden, dreigingen en incidenten met betrekking tot netwerk- en informatiesystemen van bedrijven, het informeren en adviseren van bedrijven over voor hun bedrijven relevante kwetsbaarheden, dreigingen en incidenten, én om het verstrekken van informatie over kwetsbaarheden, dreigingen en incidenten gerelateerd aan individuele bedrijven. Deze taken zijn vastgelegd in artikel 2, eerste lid. Op deze manier wordt het mogelijk om specifieke informatie en advies te verwerken en te delen binnen en buiten de overheid. Deze informatie wordt kosteloos aangeboden.

De taken van de Minister van EZK bestaan enerzijds uit het verstrekken van informatie en advies, direct of via samenwerkingsverbanden, en anderzijds uit het verstrekken van actuele dreigingsinformatie en vertrouwelijke informatie aan bedrijven en intermediaire organisaties. In deze zijn intermediaire organisaties vertegenwoordigers van een bepaalde groep aan bedrijven. Denk hierbij aan sector en brancheorganisaties, regionale samenwerkingsverbanden, maar ook sector overstijgende belangenbehartigers van ondernemend Nederland.

Daarnaast heeft de Minister van EZK als taak om de ontwikkeling van samenwerkingsverbanden tussen bedrijven op het gebied van digitale weerbaarheid te stimuleren, samen te werken met bestuursorganen en rechtspersonen, én om indien relevant de in het kader van analyses en onderzoeken verkregen gegevens aan de Minister van JenV, ten behoeve van de taken van de laatstgenoemde minister, bedoeld in artikel 3, eerste lid, van de Wbni, en aan het CSIRT voor digitale diensten te verstrekken (artikel 2, tweede lid).

De Wbni bevat de taken en bevoegdheden van de Minister van JenV op het terrein van cybersecurity, die in de praktijk worden uitgevoerd door het NCSC. Artikel 3, eerste lid, van die wet regelt als primaire taak van de Minister van JenV de verlening van bijstand bij digitale dreigingen en incidenten aan vitale aanbieders en andere aanbieders die onderdeel zijn van de rijksoverheid. Ook is de Minister van JenV belast met de taak van CSIRT voor een categorie vitale aanbieders (aanbieders van essentiële diensten). Daarnaast regelt artikel 3, tweede lid, van de Wbni dat dreigings- en incidentinformatie met betrekking tot netwerk- en informatiesystemen van andere aanbieders, die in het kader van de primaire taakuitoefening is verkregen, door de Minister van JenV kan worden verstrekt aan de in dat lid bedoelde schakelorganisaties (zoals CSIRT’s, computercrisisteams, en organisaties die ‘objectief kenbaar tot taak’ hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten (OKTT’s). Daarnaast voorziet de Wbni ook in de regeling van een CSIRT voor digitale diensten. Deze laatste taak is reeds toegekend aan de Minister van EZK.

Met de vorming van de in dit wetsvoorstel opgenomen grondslag ontstaat er de taak en de bevoegdheid voor de Minister van EZK om de voormelde (vertrouwelijke) informatie en adviezen, kwetsbaarheden en dreigingen te verwerken en te delen. Daarmee wordt, naast het bestaande regime van de Wbni, voorzien in taken en bevoegdheden voor de Minister van EZK, die aldus een plaats krijgt naast de Minister van JenV, het CSIRT voor digitale diensten en krachtens de Wbni als zodanig aangewezen computercrisisteams en OKTT’s, waarmee het stelsel van (overheids)organisaties met een rol in de digitale weerbaarheid van Nederland verder wordt bevorderd.

In de artikelen 3, tweede lid, en 20, tweede lid, van de Wbni zijn organisaties genoemd waarmee het NCSC de in deze artikelleden genoemde gegevens mag delen. In artikel 21, tweede lid, van de Wbni zijn organisaties genoemd waarmee het CSIRT voor digitale diensten de in dit artikellid genoemde gegevens mag delen. Met de in artikel 5 voorgestelde wijziging van de Wbni wordt de Minister van EZK hieraan toegevoegd, waardoor een rechtstreekse informatie-uitwisseling door genoemde overheidsorganisaties aan het DTC mogelijk wordt gemaakt. In samenhang hiermee wordt in de voorgestelde artikelen 2, tweede lid, en 4 geregeld dat ook informatie-uitwisseling mogelijk is tussen het DTC enerzijds en het NCSC en het CSIRT voor digitale diensten anderzijds.

Met deze wettelijke bepalingen worden de onderscheidenlijke rollen en verantwoordelijkheden van de Minister van EZK en de Minister van JenV uitdrukkelijk in beide wetten benoemd. Daarnaast wordt hiermee voorzien in een wettelijke grondslag om elkaar ten behoeve van de onderscheidenlijke taken te voorzien van voor de uitoefening van die taken relevante informatie over digitale dreigingen, kwetsbaarheden en incidenten. Voor zover daar onduidelijk over zou bestaan, beide ministers bedienen hiermee gescheiden doelgroepen. Het NCSC staat voor haar doelgroep de Rijksoverheid en vitale organisaties, het CSIRT voor digitale diensten voor digitale dienstverleners en het DTC voor de overige bedrijven die niet onder de voorgaande categorieën vallen.

Naast de samenwerking binnen de overheid en met formele partners zoals benoemd in de Wbni, zal de Minister van EZK ook samenwerkingen aangaan met andere organisaties binnen en buiten de rijksoverheid. Denk hierbij aan andere vakdepartementen, decentrale overheden, maatschappelijke organisaties, onderzoeksinstituten, onderwijsinstellingen, cybersecurity bedrijven of onafhankelijke cybersecurity onderzoekers.

Het onderwerp digitalisering van ondernemers is ook belegd bij de Minister van EZK. In het verlengde hiervan en in combinatie met de huidige taak van de Minister van EZK om ondernemerschap te versterken, innovatievermogen te vergroten en randvoorwaarden voor economische groei te borgen is ervoor gekozen om de bredere taak en bevoegdheden van de Minister van EZK vast te leggen in een zelfstandige wet.

2.3 Motivering instrumentkeuze

Het verwerken en verspreiden van informatie (waaronder persoonsgegevens) door de overheid ten behoeve van de verbetering van de digitale weerbaarheid van niet-vitale bedrijven kan, conform het legaliteitsbeginsel, alleen als er een wettelijke taak aan ten grondslag ligt. Er is gekozen om de bevoegdheid van de Minister van EZK in deze vast te leggen in een formele wet. Hiermee wordt het bestaande stelsel van taken en bevoegdheden van de rijksoverheid uitgebreid. Dit nieuwe wetsvoorstel staat naast de Wbni. Waar de Wbni, zoals eerder gezegd, zich richt op de rijksoverheid, vitale bedrijven en digitale dienstverleners zoals bedoeld volgens de Europese NIB-richtlijn, en schakelorganisaties, richt dit wetsvoorstel zich op het niet-vitale bedrijfsleven. In de Wbni zijn de taken van de Minister van JenV vastgelegd ten aanzien van organisatie die deel uitmaken van de rijksoverheid en vitale aanbieders en zijn de vakministers primair verantwoordelijk gemaakt voor het toezicht op de naleving van verplichtingen in de Wbni ten aanzien van onder hen vallende specifieke sectoren. Voor de Minister van EZK zijn deze taken naast het genoemde toezicht op de naleving van de Wbni, ook het voorzien in de CSIRT-functie voor digitale dienstverleners. In het verlengde van de brede economische taak van de Minister van EZK valt ook het informeren van het Nederlandse niet-vitale bedrijfsleven over digitale dreigingen en incidenten. Met het onderhavige wetsvoorstel wordt deze informatietaak thans ondergebracht bij de Minister van EZK. Dit laat onverlet dat de vakministers (in navolging van de Wbni) verantwoordelijk blijven voor het stellen van eisen aan en het toezicht op de naleving daarvan door niet-vitale aanbieders in onder hen vallende branches en sectoren.

Een tweede praktische reden om een specifieke wet op te stellen is dat de Wbni primair de bevoegdheden van de Minister van Justitie en Veiligheid bevat. Vanuit het wetgevingsstelsel is dit wetsvoorstel daarmee minder geschikt om daarin de bevoegdheden van de Minister van EZK te verwerken. Door de bevoegdheden te scheiden is er duidelijkheid over de taken van beide ministers en kunnen beide zich richten op het verbeteren van de digitale veiligheid van de onder hun verantwoordelijkheid vallende doelgroep(en). In de praktijk zal hierbij uiteraard nauw worden samengewerkt door beide ministeries en uitvoerende organisatieonderdelen te weten het NCSC en het DTC.

2.4 Toepassing in Caribisch Nederland

De taken en bevoegdheden van de Minister van EZK zoals omschreven in het onderhavige wetsvoorstel gelden voor Nederland inclusief Caribisch Nederland (zijnde Bonaire, Saba en Sint-Eustatius). Ook bij het bedrijfsleven in deze drie bijzondere gemeentes is er een behoefte aan informatiedeling over digitale dreigingen.

2.5 Monitoring en evaluatie

Het effect van het beleid wordt jaarlijks gemeten door het CBS als onderdeel van de meting ‘ICT-gebruik bedrijven’12. Ook wordt er door het CBS-onderzoek gedaan naar de stand van cybersecurity in Nederland via de Cybersecuritymonitor.13

3. Verhouding tot andere nationale wetgeving

Dit wetsvoorstel regelt de informatiedeling door de rijksoverheid met het Nederlandse bedrijfsleven dat niet valt onder de werking van de Wbni. Daarmee richt het zich op bedrijven die vallen in de categorie niet-vitaal en geen digitale dienstverleners zijn. Deze groep bedrijven strekt zich uit van éénmansbedrijven (zzp) tot het grootbedrijf. Het wetsvoorstel heeft een directe relatie met de Wbni. Deze relatie zit in het feit dat het enerzijds de Minister van EZK de taak geeft de digitale weerbaarheid van niet-vitale bedrijven te verhogen door het informeren en adviseren over digitale dreigingen en incidenten en ten behoeve daarvan informatie te verwerken én daarnaast informatie die relevant is voor aanbieders in de doelgroepen van twee overheidsorganisaties genoemd in de Wbni, namelijk de Minister van JenV (uitgevoerd door het NCSC) en de Minister van EZK (als CSIRT voor digitale diensten), met die organisaties te delen. Anderzijds zorgt dit wetsvoorstel ervoor dat voornoemde organisaties, het NCSC en het CSIRT voor digitale diensten, informatie over digitale dreigingen en incidenten, die relevant is voor aanbieders in de doelgroep van het DTC, met inbegrip van vertrouwelijke informatie (persoonsgegevens, etc.), mogen delen met de Minister van EZK. In dit wetsvoorstel is derhalve ook een wijziging van de Wbni opgenomen (artikel 5).

De benodigde maatregelen die bedrijven kunnen treffen ter bescherming van de gegevens, zoals bijvoorbeeld die geformuleerd in artikel 32 van de AVG, schrijven voor dat de verwerker en verwerkingsverantwoordelijke passende technische en organisatorische maatregelen dienen te treffen ter bescherming van persoonsgegevens. Als gevolg van dit wetsvoorstel zal de Minister van EZK het bedrijfsleven beter kunnen voorzien van praktische handvatten waarmee deels invulling kan worden gegeven door bedrijven aan de hiervoor genoemde technische en/of organisatorische maatregelen. Bedrijven zijn uiteraard zelf primair verantwoordelijk als het gaat om het treffen van maatregelen aangaande de beveiliging van hun systemen.

4. Gevolgen (m.u.v. financiële gevolgen)

Dit wetsvoorstel regelt de taak van de Minister van EZK om vertrouwelijke informatie, kwetsbaarheden en dreigingen (inclusief persoonsgegevens) te verwerken ten behoeve van het niet-vitale bedrijfsleven in Nederland. In dit hoofdstuk worden de verschillende gevolgen van het wetsvoorstel behandeld per onderwerp.

4.1 Regeldruk

Er is geen regeldruk voorzien voor het Nederlandse bedrijfsleven. Er ontstaat geen verplichting voor bedrijven in Nederland om gebruik te maken van de informatie van het ministerie van EZK.

In het voorstel heeft de Minister van EZK de mogelijkheid om bedrijven te vragen om informatie te delen. Het delen van informatie op basis van een dergelijk verzoek is volledig vrijwillig. Mocht een bedrijf hier toch aan mee willen werken dan wordt de regeldruk die hiermee in potentie ontstaat verwaarloosbaar geacht, aangezien er op een dergelijk verzoek geen vormvereiste geldt en omdat dit om een incidentele en vrijwillige activiteit gaat.

Het Adviescollege Toetsing Regeldruk (ATR) heeft geen aanleiding gezien om een formeel advies uit te brengen en heeft het voorstel ambtelijk afgedaan.

4.2 Markt en overheid

Met dit wetsvoorstel is er geen impact op de verhouding markt en overheid. In het kader van het namens de minister van EZK met het oog op het bevorderen van de digitale weerbaarheid van bedrijven uitoefenen van de taken, zoals die zijn opgenomen in dit wetsvoorstel, beperkt het DTC zich tot het informeren van bedrijven over digitale kwetsbaarheden en dreigingen voor zover zij beschikt over die informatie. Een belangrijke scheidslijn in deze wet is dat de taken en bevoegdheden niet verder gaan dan wat nodig is om deze publieke taak uit te voeren, namelijk het informeren van bedrijven. Het ministerie van EZK zal, zoals al eerder gememoreerd, niet optreden als een ‘digitale brandweer’. Het oplossen van incidenten en het nemen van preventieve maatregelen is aan bedrijven zelf. Het ministerie van EZK ziet hierin ook een belangrijke rol weggelegd voor marktpartijen die dit voor bedrijven kunnen faciliteren. Sterker nog, met het bewust worden van bedrijven over de kwetsbaarheden waarmee zij te maken hebben, is het de verwachting van het ministerie van EZK dat de markt voor ICT-dienstverlening ter bevordering van de digitale weerbaarheid zal groeien.

4.3 Privacy

De persoonlijke levenssfeer in algemene zin wordt beschermd door artikel 10, eerste lid, van de Grondwet, artikel 8 van de Europese verklaring voor de rechten van de mens (EVRM), artikel 17 van het Internationaal verdrag inzake burgerlijke en politieke rechten (IVBPR) en artikel 7 van het Handvest van de gronden van de EU (Handvest). Bescherming van persoonsgegevens wordt daarnaast in het bijzonder beschermd door artikel 16, eerste lid, van het Verdrag betreffende de werking van de Europese Unie (VWEU), artikel 8 van het Handvest en artikel 10, tweede en derde lid, van de Grondwet. Ook in de Algemene verordening gegevensbescherming (AVG) staat de bescherming van persoonsgegevens centraal. De AVG werkt als verordening rechtstreeks in de Nederlandse rechtsorde.

Voor een goede uitvoering van de taken en bevoegdheden van de Minister van EZK, die met dit wetsvoorstel worden vastgelegd ter bevordering van de digitale weerbaarheid van bedrijven, zal het in voorkomende gevallen noodzakelijk zijn om persoonsgegevens te verwerken. Daarvan kan sprake zijn bij het doen van analyses om met name specifieke dreigingen te kunnen achterhalen en bij het verstrekken van informatie daarover aan bedrijven. De bedrijfsgegevens die het hierbij betreft kunnen in sommige gevallen herleidbaar zijn tot een individu. Dat kan bijvoorbeeld het geval zijn bij een eenmansbedrijf of contactpersoon van een bedrijf. Hierbij gaat het om ‘gewone’ persoonsgegevens waarbij niet meer gegevens worden verwerkt dan strikt noodzakelijk, en deze niet voor andere doeleinden worden gebruikt dan waarvoor zij oorspronkelijk zijn verzameld.

Op 25 oktober 2021 heeft de Autoriteit Persoonsgegevens (AP), per brief met kenmerk z2021 -1394514, aangegeven geen opmerkingen te hebben over dit wetsvoorstel.

5. Uitvoering

Ter uitvoering van de in dit wetsvoorstel genoemde algemene taken van informatiedeling en stimulering van samenwerking, is er voor een specifieke taak waarvoor het nodig is om middelen en processen waarmee informatie gedistribueerd kan worden in te richten. Hiertoe is een zogenaamde informatiedienst ingericht. Deze informatiedienst zal ingericht worden om informatie van binnen en buiten de overheid te ontvangen, beoordelen, verwerken en verspreiden voor zover relevant voor de doelgroep van dit wetsvoorstel. De informatiedienst zal hierbij zoveel mogelijk gebruik gaan maken van digitale systemen en processen. Voor de uitvoering van alle taken zullen de binnen de Rijksoverheid geldende richtlijnen en kaders zoals de Baseline Informatiebeveiliging Overheid (BIO) worden gehanteerd.

6. Toezicht en handhaving

Er is geen direct toezicht en handhaving op basis van dit wetsvoorstel voorzien. Ondernemen is risico’s afwegen en risico’s nemen, bedrijven zijn dan ook, behoudens wettelijke kaders, autonoom om beslissingen te nemen over hun bedrijfsvoering.

7. Financiële gevolgen

Voor de in dit wetsvoorstel beschreven taken en bevoegdheden van de Minister van EZK is structureel € 1 mln aanvullende financiering nodig voor het DTC. Kosten uiten zich voornamelijk in het werven van nieuw personeel. De aanvullende financiering wordt geleverd vanuit de EZK-begroting. Op de EZK-begroting is reeds € 2,5 mln structureel beschikbaar voor het DTC. Met een totaal structureel beschikbare bedrag € 3,5 mln voor het DTC is er in de basis financiële dekking voor zowel de personeelsuitgaven als de materiële uitgaven voor wat betreft het verstrekken van algemene en specifieke dreigingsinformatie aan de doelgroep en het stimuleren van de ontwikkeling van de samenwerkingsverbanden.

8. (Internet) consultatie

Het wetsvoorstel is van 28 juni tot en met 23 augustus 2021 geconsulteerd15. Gedurende de periode van acht weken hebben een negental organisaties gereageerd en deze zijn publiekelijk beschikbaar via de website: www.internetconsultatie.nl/wbdwb.

In dit hoofdstuk wordt in zijn algemeenheid ingegaan op de reacties en zullen specifieke onderdelen en suggesties alsmede de eventuele opvolging worden behandeld.

8.1 Algemeen beeld

Veel organisaties onderschrijven het belang van digitale weerbaarheid van ondernemend Nederland ten behoeve van het verdienvermogen van het Nederlandse bedrijfsleven. Tevens wordt door enkele organisaties het belang benadrukt van de rol die de overheid heeft op het domein van veiligheid. De reacties van respondenten zijn ingedeeld naar de volgende thema’s: afbakening doelgroep, relatie met het voorstel van de Europese Commissie voor de herziening van de Richtlijn inzake de beveiliging van netwerk- en informatiesystemen16 (hierna: NIB 2- richtlijn), samenhang van overheidsinitiatieven en reacties over de AVG en vertrouwelijkheid. Naast deze thema’s zijn er ook specifieke punten die door slechts één organisatie zijn genoemd. Dit zijn: de relatie van het wetsvoorstel met de Wet markt en overheid, het delen van Indicators of Compromise (IOC’s) en mogelijke gevolgen voor digitale zorgplicht. Deze punten komen aan de orde in de laatste paragraaf.

8.2 Afbakening doelgroep van het wetsvoorstel

Een aantal respondenten vraagt in hoeverre de taken van de Minister van EZK samenhangen met de vorming van het landelijk dekkend stelsel (LDS) en hoe die zich verhouden tot de taken van het NCSC.

Het ministerie van EZK maakt met het DTC onderdeel uit van het LDS en draagt actief bij aan de vorming van het LDS, ten aanzien waarvan de coördinerende verantwoordelijkheid bij de Minister van JenV ligt. Het DTC draagt bij door de stimulering van samenwerkingsverbanden en door het verstrekken van subsidie aan initiatieven ten behoeve van de digitale weerbaarheid van bedrijven. Het actuele overzicht van samenwerkingsverbanden is terug te vinden op de samenwerkingspagina van het DTC17.

Enkele respondenten vragen aandacht voor de onwenselijkheid van het dubbel verstrekken van dezelfde informatie door de overheid waarbij expliciet is gerefereerd aan de rolverdeling tussen het NCSC en het DTC. De verdeling van de taken is wat betreft het ministerie van EZK helder: het NCSC heeft het primair als taak om vitale aanbieders en (andere) aanbieders die deel uitmaken van de rijksoverheid te informeren en adviseren over hen aangaande digitale dreigingen en incidenten. Het DTC bedient het niet-vitale bedrijfsleven, voor zover zij ook niet onder de verantwoordelijkheid van het CSIRT voor digitale diensten vallen. Het NCSC en DTC hebben dus duidelijk onderscheidenlijke doelgroepen, maar werken daarnaast desalniettemin samen om het risico van onder meer dubbele informatieverstrekking te vermijden. De Memorie van Toelichting is hier in paragraaf 2.2 op aangescherpt.

Sommige respondenten stellen vragen over de omvang van de doelgroep ten opzichte van de beschikbare capaciteit op het ministerie van EZK om deze taken en bevoegdheden uit te voeren. In de financiële paragraaf van deze memorie worden de minimale eisen voor wat betreft de financiering en bezetting benoemd. Het DTC zal in de uitvoering van de taken en bevoegdheden zoveel als mogelijk efficiëntie en effectiviteit nastreven en gebruik maken van digitale processen. Het ministerie van EZK zet in op een geleidelijk groeimodel waarin periodiek zal worden geëvalueerd of de inzet van mensen en budgetten gelijklopen met de vraag en de taken van het ministerie.

8.3 Verhouding met NIB 2- richtlijn

Respondenten vragen aandacht voor het verband tussen de toekomstige Europese regelgeving (NIB-2-richtlijn) en eventuele consequenties voor het onderhavige wetsvoorstel. Het Europese voorstel staat een verdere behandeling van dit wetsvoorstel en de eerstgenoemde taak, om het niet-vitale bedrijven vanuit de overheid te voorzien van informatie en advies over relevante digitale dreigingen en incidenten, niet in de weg. Zonder vooruit te lopen op de inhoud of de implementatie van de NIB 2 – richtlijn, is het de verwachting dat de inhoud van de richtlijn aanleiding kan geven tot aanpassingen van de nationale wetgeving in het kader van het implementatietraject. Voor nu geldt dat de onderhandelingen over de richtlijn nog gaande zijn en dat dus nog niet vaststaat in hoeverre de nationale wetgeving aanpassing behoeft.

8.4 Samenhang van overheidsinitiatieven

Op meerdere plekken wordt er binnen de overheid gewerkt aan digitale weerbaarheid. Enkele respondenten vragen ook om een één-loket benadering door de overheid. Dit wetsvoorstel is een logische aanvulling op het huidige stelsel, waarin het NCSC primair verantwoordelijk is het informeren en adviseren van organisaties die deel uitmaken van de rijksoverheid en vitale aanbieders en het CSIRT voor digitale diensten bijstand verleend aan digitale dienstverleners. Binnen dit stelsel werken het NCSC en DTC nauw samen om ervoor te zorgen dat zij in het kader van hun onderscheidenlijke taken hun doelgroepen zo goed mogelijk van informatie en advies voorzien. Zoals al eerder aan gerefereerd, is ook in het coalitieakkoord hier aandacht voor gevraagd en wordt de samenwerking in de komende tijd verder vormgegeven.

Daarnaast zal het ministerie van EZK actief de samenwerking met andere organisaties binnen en buiten de overheid zoeken ter bevordering van de digitale weerbaarheid van bedrijven. Voor wat betreft de systeemverantwoordelijkheid van andere (vak)ministers is er geen twijfel over bevoegdheid. Vakministers zijn volgens eigen beleid en wetgeving verantwoordelijk voor bijvoorbeeld het stellen van veiligheidseisen aan bedrijven binnen onder hen vallende sectoren. Als het DTC relevante informatie heeft voor of over de niet-vitale sectoren van andere vakdepartementen, zal dit actief worden gedeeld. Op deze en andere manieren wordt binnen de overheid samengewerkt om het Nederlandse niet-vitale bedrijfsleven digitaal weerbaarder te maken. Op dit moment werkt het DTC daartoe al samen met onder andere het NCSC en het CSIRT voor digitale diensten.

8.5 AVG en vertrouwelijkheid van informatie

Binnen dit thema vallen diverse onderwerpen die nader worden toegelicht. Het gaat hier om reacties over de AVG, over de informatiebeveiliging van informatie(deling) bij en door het DTC en reacties die gaan over de Wet openbaarheid van bestuur (Wob) / Wet open overheid (Woo).

Respondenten hebben zorgen over de mogelijke invloed van de AVG op de informatiedeling via het DTC. De zorg is dat voorafgaand aan de deling van informatie het noodzakelijk is om een verwerkersovereenkomst te sluiten. Deze zorg is ongegrond. Met dit wetsvoorstel ontstaat voor de Minister van EZK een wettelijke grondslag voor de verwerking en meer in het bijzonder ook verstrekking van informatie, waaronder persoonsgegevens. Daarom is het niet noodzakelijk om met de ontvanger van de informatie een verwerkersovereenkomst te sluiten. Daarnaast worden er waarborgen getroffen over de zekerheid en zorgvuldigheid waarmee persoonsgegevens door de Minister van EZK worden verwerkt. Het wetsvoorstel is voorgelegd aan de AP. Het advies van de AP is terug te vinden in paragraaf 4.3.

Ook zijn er reacties over het risico van informatiedeling door de Minister van EZK. De zorgen zien op enerzijds de feitelijke verwerking van informatie door het DTC en anderzijds het ontvangen daarvan door individuele bedrijven. Bij de uitvoering van de taken uit dit wetsvoorstel volgt het DTC de in het algemeen voor de overheid geldende voorschriften voor informatiebeveiliging. Daarnaast zal het DTC waar nodig aanvullende maatregelen nemen ter bescherming van informatie en gegevens en processen inrichten om vertrouwelijkheid te waarborgen. Voor wat betreft het delen van informatie met individuele bedrijven betracht het DTC uiteraard grote zorg en zal bij twijfel extra onderzoek worden gedaan en zal in geval van twijfel de meest gepaste communicatiemethode worden gehanteerd.

Tevens vragen enkele respondenten naar de definitie van vertrouwelijke gegevens. Voor het geval hier onduidelijkheid over bestaat gaat het dan om gegevens die of naar hun aard of inhoud vertrouwelijk zijn. Dit wetsvoorstel sluit in dit verband aan bij de terminologie zoals gebruikt in de Wbni.18

Respondenten hebben zorgen geuit over de openbaarmaking van informatie door de overheid op basis van de Wob en haar opvolger, de Woo, die op 1 mei 2022 in werking treedt. De vertrouwelijkheid van tot bedrijven herleidbare informatie (zoals IP-adressen, domeinnamen, AS-nummers, bedrijfsnamen en contactgegevens) dient voor een goede uitvoering van de taken genoemd in dit wetsvoorstel te worden beschermd. Respondenten zijn van mening dat een Woo uitzondering noodzakelijk is. De Woo bevat in artikel 5.1 verschillende gronden op basis waarvan dit soort informatie van openbaarmaking kan worden uitgezonderd. Echter, om te waarborgen dat dezelfde gegevens, ongeacht of deze door het NCSC, het CSIRT voor digitale diensten of het DTC worden verwerkt, op dezelfde wijze worden behandeld, wordt in dit wetsvoorstel aansluiting gezocht op het reeds bestaande stelsel van de Wbni. In de Wbni worden vertrouwelijke tot een aanbieder herleidbare gegevens, vanwege een bijzondere openbaarmakingsregeling, uitgezonderd van de toepasselijkheid van de Wob. Op grond van de in dit wetsvoorstel voorgestelde uitzondering worden dezelfde gegevens ook uitgezonderd van de werking van de Woo, indien deze aanwezig zijn bij het DTC. Door de toevoeging in dit wetsvoorstel van de bepaling in artikel 4, vierde lid, inhoudende dat vertrouwelijke tot bedrijven of andere aanbieders herleidbare informatie buiten de toepasselijkheid van de Woo vallen, is er sprake van een uitzondering op de Woo voor soorten gegevens die vergelijkbaar zijn met die waarvoor in de Wbni een dergelijke uitzondering reeds geldt. Doordat in die zin is aangesloten op bovenbedoelde regeling in de Wbni blijft het doel en de werking van de Woo onverminderd in stand. Door de toevoeging van de uitzonderingsgrond voor dit wetsvoorstel aan de Woo vindt er geen inhoudelijke uitbereiding plaats van het soort gegevens dat wordt uitgezonderd. In aanvulling hierop: de Woo is onverkort van toepassing op andere bij het DTC berustende informatie die wordt verwerkt in het kader van de uitoefening van de in dit wetsvoorstel bedoelde taken van de minister van EZK. Het belang van een eenduidige, transparante en open overheid wordt door de minister van EZK nadrukkelijk onderschreven.

8.6 Diverse punten

Een van de respondenten vraagt naar de relatie tussen de regelgeving inzake markt en overheid en dit wetsvoorstel. Zoals eerder in paragraaf 4.2 is toegelicht, heeft dit wetsvoorstel geen gevolgen voor de verhouding markt en overheid. De taken en bevoegdheden van de Minister van EZK in dit wetsvoorstel zijn beperkt tot het informeren van bedrijven over kwetsbaarheden en dreigingen voor zover zij beschikt over die informatie. Het oplossen van incidenten en het nemen van preventieve maatregelen is aan bedrijven zelf.

Sommige respondenten hebben gevraagd om IOC’s19 te delen omdat deze mede de digitale weerbaarheid van bedrijven vergroot. In voorkomende gevallen zullen, als IOC’s bekend zijn en met inachtneming van de wettelijke kaders deelbaar zijn door het DTC, deze ook worden gedeeld bij het informeren van bedrijven over specifieke dreigingen. Daarnaast kan het DTC dergelijke informatie ook in generieke zin delen als deze informatie dit toelaat en bijdraagt aan de digitale weerbaarheid van bedrijven.

Eén respondent meent dat het wetsvoorstel gevolgen zou kunnen hebben met betrekking tot de digitale zorgplicht van bedrijven en eventuele strafrechtelijke consequenties. De vraag is of het delen van informatie door het DTC en het niet opvolgen door een individueel bedrijf kan leiden tot een strafbaar feit. De respondent zoekt hierin steun bij het concept van digitale zorgplicht. Dit wetsvoorstel legt geen directe of indirecte normen aan het Nederlandse bedrijfsleven op. Door het informeren van individuele bedrijven ontstaat er geen plicht tot het opvolgen van deze informatie. Zoals eerder aangegeven is het aan bedrijven zelf om te beoordelen of en op welke wijze zij opvolging geven aan deze informatie. In dit wetsvoorstel is daarnaast geen toezicht of sanctionering voorzien. Het is nadrukkelijk niet de bedoeling van dit wetsvoorstel om invulling te geven aan de strafrechtelijke bepalingen uit artikel 350b Sr.

B. Artikelsgewijze toelichting

Artikel 1 (Begripsbepalingen)

Het begrip ‘bedrijf’ slaat zowel op natuurlijke personen als op privaatrechtelijke rechtspersonen die in Nederland gevestigd zijn, bedrijfsmatige activiteiten uitvoeren en die niet onder de werkingssfeer van de Wet beveiliging netwerk- en informatiesystemen (Wbni) vallen. Vitale aanbieders en digitale dienstverleners behoren derhalve niet tot de doelgroep van dit wetsvoorstel.

De begrippen aanbieder, incident en netwerk- en informatiesysteem hebben dezelfde betekenis als in de NIB-richtlijn en in de Wbni. Dit om eenheid in terminologie te waarborgen.

Incident: elke gebeurtenis met een daadwerkelijk schadelijk effect op de beveiliging van netwerk- en informatiesystemen.

Netwerk- en informatiesysteem:

a) een elektronisch communicatienetwerk in de zin van artikel 2, onder a), van Richtlijn 2002/21/EG;
b) een apparaat of groep van geïnterconnecteerde of bij elkaar behorende apparaten, waarvan een of meer, overeenkomstig een programma, digitale gegevens automatisch verwerkt of verwerken, of
c) digitale gegevens die via in de punten a) en b) bedoelde elementen worden opgeslagen, verwerkt, opgehaald of verzonden met het oog op de werking, het gebruik, de beveiliging en het onderhoud ervan.

Het begrip CSIRT voor digitale diensten heeft dezelfde betekenis als in de Wbni. Dit om eenheid in terminologie te waarborgen.

Artikel 2 (Taken van Onze Minister)

Het artikel bevat een opsomming van de taken van de Minister van EZK op het terrein van digitale weerbaarheid van bedrijven, ten behoeve waarvan verwerking van gegevens, waaronder persoonsgegevens, aangewezen is, en omschrijft de doeleinden van die taken. Zie voor een nadere toelichting hierop paragraaf 2.2 van het algemeen deel van deze memorie.

Artikel 3 (Verstrekking gegevens aan Onze Minister)

Het eerste lid voorziet in een wettelijke bevoegdheid voor de Minister van EZK om rechtspersonen (overheden of private partijen) of organen daarvan om gegevens te vragen die noodzakelijk zijn voor de uitoefening van de in artikel 2, eerste lid, genoemde taken. Het gaat hierbij niet om een bevoegdheid tot het vorderen van gegevens; de rechtspersoon of het orgaan daarvan waaraan het verzoek is gericht is niet verplicht tot medewerking.

Ingevolge het doelbindingsbeginsel van artikel 5, eerste lid, onder b, AVG moeten persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen zij vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt. De AVG biedt echter de mogelijkheid om onder voorwaarden door middel van nationale bepalingen de verdere verwerking van persoonsgegevens mogelijk te maken, ook als dat geschiedt voor een doel dat niet verenigbaar is met het doel waarvoor de persoonsgegevens zijn verkregen. Het tweede lid van artikel 3 geeft toepassing aan die bevoegdheid. Dat is een noodzakelijke en evenredige maatregel ter waarborging van meerdere in artikel 23, eerste lid, AVG, genoemde belangen, waaronder onder meer de openbare veiligheid.

Artikel 4 (Verstrekking van vertrouwelijke gegevens door Onze Minister)

Artikel 4, eerste lid, regelen de verstrekking door de Minister van EZK, ter uitvoering van de in artikel 2, eerste en tweede lid, onder c en d, bedoelde taken, aan derden, waaronder de Minister van JenV en het CSIRT voor digitale diensten, van vertrouwelijke gegevens met betrekking tot digitale dienstverlenersbedrijven, zoals gegevens over de identiteit van een bij een incident betrokken bedrijf of specifieke gegevens over de beveiliging van een elektronisch informatiesysteem van een bedrijf. Artikel 4, eerste lid, staat uiteraard niet in de weg aan verstrekking door het DTC aan derden van gegevens die niet vertrouwelijk zijn.

Het eerste lid bepaalt dat bij de Minister van EZK berustende vertrouwelijke gegevens met betrekking tot bedrijven slechts ter uitvoering van de in artikel 2, eerste lid en tweede lid, onder c en d, genoemde taken aan derden worden verstrekt, indien aldaar de geheimhouding van de gegevens voldoende is gewaarborgd en voldoende is gewaarborgd dat de gegevens uitsluitend worden gebruikt voor het doel waarvoor zij worden verstrekt. Het eerste lid ziet op vertrouwelijke gegevens met betrekking tot bedrijven, dus niet op andere vertrouwelijke gegevens, zoals persoonsgegevens die niet tevens vertrouwelijke informatie betreffende een bedrijf betreffen. Voor de verwerking van persoonsgegevens door de Minister van EZK geldt de AVG.

Ter uitvoering van de in artikel 2, tweede lid, onder c, bedoelde taak regelt artikel 4, tweede lid, de mogelijkheid van verstrekking door de Minister van EZK aan de Minister van JenV, ten behoeve van de uitoefening van de taken als bedoeld in artikel 3, eerste lid, van de Wbni, van vertrouwelijke gegevens met betrekking tot vitale aanbieders en andere aanbieders die onderdeel zijn van de rijksoverheid.

Ter uitvoering van de in artikel 2, tweede lid, onder d, bedoelde taak regelt artikel 4, derde lid, de mogelijkheid van verstrekking door de Minister van EZK aan het CSIRT voor digitale diensten, ten behoeve van de uitoefening van de taken als bedoeld in artikel 4, vierde lid, Wbni, van vertrouwelijke gegevens met betrekking tot digitale dienstverleners.

Deze laatste twee bevoegdheden maken het voor het DTC mogelijk om vertrouwelijke gegevens over andere partijen dan die in de eigen doelgroep (bedrijven) met de relevante overheidsorganisaties te delen.

Bij het begrip vertrouwelijke gegevens kan worden gedacht aan informatie over netwerk- en informatiesystemen die een bedrijf of een andere aanbieder gebruikt bij zijn dienstverlening. Ook vertrouwelijke gegevens die herleid kunnen worden tot een bedrijf of een andere aanbieder of digitale dienstverlener vallen hieronder.

Het is voor de toepassing van artikel 4 niet relevant of de Minister van EZK de gegevens heeft verkregen van de partij zelf of anderszins, zoals door analyse van de Minister van EZK of ontvangst van een andere organisatie.

Zoals uiteengezet in het algemeen deel van deze memorie bevat artikel 4 in het vierde lid, in samenhang met de drie voorafgaande leden, een bijzondere openbaarheidsregeling voor vertrouwelijke tot bedrijven of de in het tweede en derde lid bedoelde aanbieders herleidbare gegevens die afwijkt van de Woo. Deze afwijking geldt niet alleen zolang die gegevens bij het DTC berusten, maar ook nadat zij, na verstrekking door het DTC op grond van artikel 4, bij een ander overheidsorgaan berusten. Een en ander geldt echter niet voor milieu-informatie. Ter uitvoering van het Verdrag van Aarhus20 en EU-richtlijn 2003/4/EG21 bevat de Woo voor het verstrekken van milieu-informatie diverse afwijkende bepalingen.

Artikel 5 (wijziging Wet beveiliging netwerk- en informatiesystemen)

In de artikelen 3, tweede lid, en 20, tweede lid, van de Wbni worden partijen genoemd waarmee het NCSC in voorkomende gevallen gegevens in een beperkte kring van derden mag delen. Hierbij kan het ook gaan om persoonsgegevens en (andere) vertrouwelijke gegevens die herleid kunnen worden tot een aanbieder.

In artikel 21, tweede lid, van de Wbni worden partijen genoemd waarmee het CSIRT voor digitale diensten in voorkomende gevallen vertrouwelijke gegevens die herleid kunnen worden tot een digitale dienstverlener, zonder diens instemming, in een beperkte kring van derden mag delen.

Ten behoeve van de taakuitoefening door de Minister van EZK op grond van dit wetsvoorstel wordt met de voorgestelde wijziging van de Wbni de Minister van EZK toegevoegd aan de kring van derden waarmee het NCSC en het CSIRT voor digitale diensten in voorkomende gevallen persoonsgegevens en vertrouwelijke herleidbare gegevens mogen delen.

In dit voorstel wordt, net als in het voorstel tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet-vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, voorzien in wijzigingen van artikel 3, tweede lid, en artikel 20, tweede lid, van de Wbni. De samenloopbepaling waarmee geregeld wordt dat beide wetten op elkaar zijn afgestemd, is in het laatstgenoemde wetsvoorstel opgenomen.

De Minister van Economische Zaken en Klimaat,

X Noot

Memorie van toelichting, paragraaf 2.2 (‘Wettelijke grondslag voor taken en gegevensverwerking Minister van EZK’).

X Noot

Voorgesteld artikel 2, eerste lid, onderdeel a.

X Noot

Voorgesteld artikel 3, eerste en tweede lid.

X Noot

⁴

Zie artikel 4 en de artikelen 21 en 22 van de Wbni.

X Noot

⁵

Zie de wijziging van artikel 3, tweede lid, van de Wbni, zoals voorgesteld in het Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet-vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, Kamerstukken II 2021/22, 36 084, nr. 2.

X Noot

⁶

Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PbEU 2016, L 194).

X Noot

⁷

Zorg- en meldplicht en daarbij behorend toezicht vindt plaats op vitale aanbieders welke ook aanbieders van essentiële diensten en digitaledienstverleners zijn. Voor andere vitale aanbieders geldt een meldplicht maar geen toezicht.

X Noot

⁸

Zie de samenloopbepaling in artikel II van het Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet-vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, Kamerstukken II 2021/22, 36 084, nr. 2.

X Noot

⁹

Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet-vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders (Kamerstukken II 2021/22, 36 084, nr. 2).

X Noot

¹⁰

Zie ook Nader rapport op Wijziging Wbni, Kamerstukken II 2021/22, 36 084, nr. 4

X Noot

¹¹

Memorie van toelichting, paragraaf 2.2 (‘Wettelijke grondslag voor taken en gegevensverwerking Minister van EZK’).

X Noot

¹²

Zie ook Kamerstukken II 2019/20, 26 643 en 30 821, nr. 673, p. 4.

X Noot

¹³

Voorgesteld artikel 2, eerste lid, onderdeel b. Zie ook de memorie van toelichting, paragraaf 2 (‘Hoofdlijnen van het voorstel’): ‘In enkele gevallen zal dit een aanvulling zijn op de informatie die zij al via een schakelorganisatie ontvangen als bedoeld in artikel 3, tweede lid, Wbni’.

X Noot

¹⁴

Zie het Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet-vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, Kamerstukken II 2021/22, 36 084, nr. 2.

X Noot

¹⁵

Zie ook punt 2 van het advies van de Afdeling over het aanhangige wetsvoorstel tot wijziging van de Wbni, Kamerstukken II 2021/22, 36 084, nr. 4.

X Noot

¹⁶

Zie ook het standpunt van de regering hierover, Kamerstukken II 2019/20, 26 643 en 30 821, nr. 673, p. 4.

X Noot

¹⁷

Onderzoeksraad voor Veiligheid, Kwetsbaar door software. Lessen naar aanleiding van beveiligingslekken door software van Citrix, december 2021, p. 50–55. Zie ook Kamerstukken II, 2019/20, 26 643, nr. 660.

X Noot

¹⁸

Memorie van toelichting, paragraaf 8.2 (‘Afbakening doelgroep van het wetsvoorstel’).

X Noot

¹⁹

Kamerstukken II 2022/23, 26 643 nr. 915.

X Noot

²⁰

Kamerstukken II 2019/20, 26 643 en 30 821, nr. 673, p. 3.

X Noot

²¹

Onderzoeksraad voor Veiligheid, Kwetsbaar door software. Lessen naar aanleiding van beveiligingslekken door software van Citrix, december 2021, p. 73–100.

X Noot

²²

Voorgesteld artikel 2, eerste lid, onderdelen a en b.

X Noot

²³

Memorie van toelichting, paragraaf 8.6 (‘Diverse punten’).

X Noot

²⁴

Zie HvJEU 12 juli 2012, C-138/11, ECLI:EU:C:2012:449 (Compass-Datenbanken) en ‘Analyse activiteiten RDW in het licht van de bepalingen van de Wet Markt en Overheid’, d.d. 3 februari 2014.

X Noot

²⁵

Memorie van toelichting, paragraaf 2.4 (‘Toepassing in Caribisch Nederland’).

X Noot

²⁶

Hoofdstuk V van de AVG.

X Noot

²⁷

Kamerstukken II 2019/20, 32 761, nr. 161, p. 2.

X Noot

Memorie van toelichting, paragraaf 2.2 (‘Wettelijke grondslag voor taken en gegevensverwerking Minister van EZK’).

X Noot

Voorgesteld artikel 2, eerste lid, onderdeel a.

X Noot

Voorgesteld artikel 3, eerste en tweede lid.

X Noot

⁴

Zie artikel 4 en de artikelen 21 en 22 van de Wbni.

X Noot

⁵

Zie de wijziging van artikel 3, tweede lid, van de Wbni, zoals voorgesteld in het Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, Kamerstukken II 2021/22, 36 084, nr. 2.

X Noot

⁶

Zie de samenloopbepaling in artikel II van het Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, Kamerstukken II 2021/22, 36 084, nr. 2.

X Noot

⁷

Memorie van toelichting, paragraaf 2.2 (‘Wettelijke grondslag voor taken en gegevensverwerking Minister van EZK’).

X Noot

⁸

Zie ook Kamerstukken II 2019/20, 26 643 en 30 821, nr. 673, p. 4.

X Noot

⁹

X Noot

¹⁰

Zie het Voorstel van wet tot wijziging van de Wet beveiliging netwerk- en informatiesystemen in verband met de uitbreiding van de bevoegdheid van de Minister van Justitie en Veiligheid om dreigings- en incidentinformatie over de netwerk- en informatiesystemen van niet vitale aanbieders te verstrekken aan deze aanbieders en aan organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek te informeren over dreigingen en incidenten ten behoeve van deze aanbieders, Kamerstukken II 2021/22, 36 084, nr. 2.

X Noot

¹¹

Zie ook punt 2 van het advies van de Afdeling over het aanhangige wetsvoorstel tot wijziging van de Wbni, Kamerstukken II 2021/22, 36 084, nr. 4.

X Noot

¹²

Zie ook het standpunt van de regering hierover, Kamerstukken II 2019/20, 26 643 en 30 821, nr. 673, p. 4.

X Noot

¹³

X Noot

¹⁴

Memorie van toelichting, paragraaf 8.2 (‘Afbakening doelgroep van het wetsvoorstel’).

X Noot

¹⁵

Kamerstukken II 2019/20, 26 643 en 30 821, nr. 673, p. 3.

X Noot

¹⁶

Onderzoeksraad voor Veiligheid, Kwetsbaar door software. Lessen naar aanleiding van beveiligingslekken door software van Citrix, december 2021, p. 73–100.

X Noot

¹⁷

Voorgesteld artikel 2, eerste lid, onderdelen a en b.

X Noot

¹⁸

Memorie van toelichting, paragraaf 8.6 (‘Diverse punten’).

X Noot

¹⁹

Zie HvJEU 12 juli 2012, C-138/11, ECLI:EU:C:2012:449 (Compass-Datenbanken) en ‘Analyse activiteiten RDW in het licht van de bepalingen van de Wet Markt en Overheid’, d.d. 3 februari 2014.

X Noot

²⁰

Memorie van toelichting, paragraaf 2.4 (‘Toepassing in Caribisch Nederland’).

X Noot

²¹

Hoofdstuk V van de AVG.

X Noot

²²

Kamerstukken II 2019/20, 32 761, nr. 161, p. 2.

X Noot

Kamerstukken II 2016/17, 26 643, nr. 474.

X Noot

https://longreads.cbs.nl/ict-kennis-en-economie-2020/ict-gebruik-bij-bedrijven/

X Noot

https://www.cbs.nl/nl-nl/publicatie/2019/37/cybersecuritymonitor-2019

X Noot

⁴

https://www.nctv.nl/documenten/publicaties/2021/06/28/cybersecuritybeeld-nederland-2021

X Noot

⁵

https://www.cio-platform.nl/k/nl/n626/news/view/10130/6631/brief-aan-minister-grapperhaus-versterking-van-de-nederlandse-cyberweerbaarheid.html

X Noot

⁶

WRR-rapport nr. 101, 2019: https://www.wrr.nl/publicaties/rapporten/2019/09/09/voorbereiden-op-digitale-ontwrichting

X Noot

⁷

https://www.ncsc.nl/documenten/publicaties/2020/juni/29/csbn-2020

X Noot

⁸

https://www.nctv.nl/documenten/publicaties/2021/06/28/cybersecuritybeeld-nederland-2021

X Noot

⁹

https://cybersecurityraad.nl/010_Actueel/aanscherping-en-uitbreiding-van-maatregelen-noodzakelijk-voor-een-cyberweerbare-samenleving.aspx

X Noot

¹⁰

https://wodc.nl/wodc-nieuws-2020/cybersecurity-stelsel.aspx

X Noot

¹¹

https://www.kabinetsformatie2021.nl/documenten/publicaties/2021/12/15/coalitieakkoord-omzien-naar-elkaar-vooruitkijken-naar-de-toekomst

X Noot

¹²

https://www.cbs.nl/nl-nl/publicatie/2019/42/ict-kennis-en-economie-2019

X Noot

¹³

https://www.cbs.nl/nl-nl/publicatie/2019/37/cybersecuritymonitor-2019

X Noot

¹⁴

https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/advies_wet_bevordering_digitale_weerbaarheid_bedrijven.pdf

X Noot

¹⁵

https://www.internetconsultatie.nl/wbdwb

X Noot

¹⁶

COM(2020) 823 final

X Noot

¹⁷

https://www.digitaltrustcenter.nl/samenwerkingsverbanden

X Noot

¹⁸

Zie memorie van toelichting bij de Wbni (Kamerstukken II 2017/18, 34 883, nr. 3)

X Noot

¹⁹

Bron: Cybersecurity Woordenboek: ‘Informatie die je kunt gebruiken om te kijken of iemand een aanval heeft uitgevoerd op één van je assets. De informatie bevat vaak kenmerken van een aanvaller, van een aanvalsmethode of van malware. Bijvoorbeeld, als men weet dat een bepaalde aanvaller zijn aanvallen vanuit een specifiek IP-adres uitvoert, dan kan je dat IP-adres gebruiken als indicator of compromise. Als je op je eigen digitale systemen sporen ziet van verbindingen met dat IP-adres, dan weet je dat die aanvaller misschien bij jou een aanval heeft geprobeerd uit te voeren.’ https://www.cyberveilignederland.nl/woordenboek

X Noot

²⁰

Verdrag betreffende toegang tot informatie, inspraak bij besluitvorming en toegang tot de rechter inzake milieuaangelegenheden, Trb. 2001, 73.

X Noot

²¹

Richtlijn 2003/4/EG van het Europees Parlement en de Raad van 28 januari 2003 inzake de toegang van het publiek tot milieu-informatie en tot intrekking van Richtlijn 90/313/EEG van de Raad, PbEU 2003, L 41).

Berichten over uw Buurt

Dienstverlening

Beleid & regelgeving

Contactgegevens overheden

Inhoudsopgave

Extra informatie

Gerelateerd

Publicaties over kamerdossier

Geconsolideerde regelgeving

Geconsolideerde regelgeving

Publicaties referendum

Advies Raad van State inzake het voorstel van wet, houdende regels ter bevordering van de digitale weerbaarheid van bedrijven (Wet bevordering digitale weerbaarheid bedrijven)

Nader Rapport

1. Noodzaak van een zelfstandige wet

2. Nieuwe taken minister van Economische Zaken en Klimaat

a. Samenwerking en duidelijkheid voor de praktijk

b. Risico van uiteenlopende analyses, onderzoeken en adviezen

c. Verwachtingen sector

3. Potentiële marktactiviteiten van de minister van EZK

4. Informatiedeling met Caribisch Nederland

Advies Raad van State

1. Noodzaak van een zelfstandige wet

2. Nieuwe taken minister van Economische Zaken en Klimaat

a. Samenwerking en duidelijkheid voor de praktijk

b. Risico van uiteenlopende analyses, onderzoeken en adviezen

c. Verwachtingen sector

3. Potentiële marktactiviteiten van de minister van EZK

4. Informatiedeling met Caribisch Nederland

Tekst zoals toegezonden aan de Raad van State: Regels ter bevordering van de digitale weerbaarheid van bedrijven (Wet bevordering digitale weerbaarheid bedrijven)

Artikel 1 Begripsbepalingen

Artikel 2 Taken van Onze Minister

Artikel 3 Verstrekking gegevens aan Onze Minister

Artikel 4 Verstrekking van vertrouwelijke gegevens door Onze Minister

Artikel 5 (wijziging Wet beveiliging netwerk- en informatiesystemen)

Artikel 6 (wijziging Wet open overheid)

Artikel 7 (inwerkingtreding)

Artikel 8 (citeertitel)

MEMORIE VAN TOELICHTING

A. Algemeen

1. Inleiding

2. Hoofdlijnen van het voorstel

2.1 Aanleiding

2.2 Wettelijke grondslag voor taken en gegevensverwerking Minister van EZK

2.3 Motivering instrumentkeuze

2.4 Toepassing in Caribisch Nederland

2.5 Monitoring en evaluatie

3. Verhouding tot andere nationale wetgeving

4. Gevolgen (m.u.v. financiële gevolgen)

4.1 Regeldruk

4.2 Markt en overheid

4.3 Privacy

5. Uitvoering

6. Toezicht en handhaving

7. Financiële gevolgen

8. (Internet) consultatie

8.1 Algemeen beeld

8.2 Afbakening doelgroep van het wetsvoorstel

8.3 Verhouding met NIB 2- richtlijn

8.4 Samenhang van overheidsinitiatieven

8.5 AVG en vertrouwelijkheid van informatie

8.6 Diverse punten

B. Artikelsgewijze toelichting

Artikel 1 (Begripsbepalingen)

Artikel 2 (Taken van Onze Minister)

Artikel 3 (Verstrekking gegevens aan Onze Minister)

Artikel 4 (Verstrekking van vertrouwelijke gegevens door Onze Minister)

Artikel 5 (wijziging Wet beveiliging netwerk- en informatiesystemen)

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot

X Noot