Nieuwe wet kan miljoenboete opleggen bij ernstig cyberincident

Bedrijven die een incident niet melden of daartoe niet genoeg informatie verschaffen aan de minister of de toezichthouder riskeren miljoenenboetes.

Van bedrijven die – zoals de overheid dat noemt – essentiële diensten aanbieden wordt verwacht dat ze adequate maatregelen nemen tegen inbreuken van buitenaf op hun netwerk- en informatiebeveiliging. En mocht er toch een cyberincident voordoen, dan moet de infrastructuur zo zijn ingericht dat ze de “digitale brand snel kunnen blussen en de schade zoveel mogelijk kunnen beperken.” Het gaat bijvoorbeeld om organisaties als drinkwaterbedrijven, banken en beheerders van gas- en elektriciteitsleidingen.

In de praktijk betekent het dat een DDoS-aanval zoals zich eind januari bij een banken en overheidsinstellingen voordeed, gemeld moet worden aan De Nederlandse Bank, de toezichthouder voor de sector en bij het Ministerie van Justitie en Veiligheid. Bij het bepalen of een incident gevolgen heeft voor de continuïteit van de dienst wordt gekeken naar de duur, de omvang van het geografische gebied en het aantal gebruikers dat door de verstoring is getroffen.

Wet Gegevensverwerking en Meldplicht Cybersecurity

Deze wet vervangt de Wet Gegevensverwerking en Meldplicht Cybersecurity die in 2016 door toenmalig staatssecretaris Klaas Dijkhoff werd ingediend. Deze wet verplichtte organisaties in vitale sectoren cyberincidenten te melden bij het Nationaal Cyber Security Centrum (NCSC). Deze wet, die in oktober 2017 in werking treedde, heeft geen meldplicht. Door een meldplicht aan de nieuwe wet toe te voegen gaat Nederland voldoen aan de Europese richtlijn waaraan Nederland en andere EU-landen vanaf 9 mei aan 2018 aan moeten voldoen.