Vitale sectoren moeten extra veiligheidsmaatregelen treffen om risico’s van (cyber)dreigingen te beperken. Het doel is ontwrichtende verstoringen in deze sectoren te voorkomen of snel te verhelpen. Meerdere sectoren krijgen te maken met een zorg- en meldplicht. Het is onduidelijk of de sectorale uitwerking van deze verplichtingen werkbaar zijn ondernemers. Ook zijn de regeldrukeffecten niet goed in beeld gebracht, waardoor het onduidelijk is wat de impact is van de zorg- en meldplicht. Verder is het raadzaam om na een jaar een uitvoeringstoets uit te voeren, om zo knelpunten te adresseren. Dat schrijft ATR in een advies aan de minister van Economische Zaken (EZ).
Context
Nederland dient onder andere de Europese richtlijn Network and Information Security Directive (NIS2-richtlijn) te implementeren. Deze richtlijn introduceert maatregelen om de digitale veiligheid van belangrijke systemen te vergroten. Essentiële en belangrijke entiteiten dienen maatregelen te nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen. Verplichtingen omvatten onder meer een zorgplicht en een meldplicht.
Onduidelijk hoeveel bedrijven onder de reikwijdte vallen
De zorg- en meldplicht is van toepassing voor organisaties in de digitale infrastructuur, operators van grondfaciliteiten in de ruimtevaartsector, aanbieders van post- en koeriersdiensten die één of meer kernstappen in de postketen uitvoeren, bepaalde onderzoeksorganisaties die commercieel gericht toegepast onderzoek verrichten, en industriële vervaardigers. Het is onduidelijk om hoeveel bedrijven dit daadwerkelijk zal gaan, waarbij de aard en omvang van deze bedrijven uiteenlopend is.
Werkbaarheid en regeldruk
Het college adviseert om per sector toe te lichten hoe zij de regeling moeten uitvoeren en navenant ook de regeldruk uit te splitsen. ATR adviseert na een jaar een invoeringstoets te doen zodat tijdig kan worden bepaald of de invulling van de zorgplicht en criteria voor significante incidenten en de meldplicht passend en werkbaar zijn voor de sector of bijsturing behoeft.