De Europese regels over cyberbeveiliging zijn uitgewerkt voor het hoger onderwijs. De werkbaarheid voor onderwijsinstellingen is voldoende duidelijk. De bekostigde instellingen worden als belangrijke entiteit aangemerkt. De regeling laat zien wanneer sprake is van een incident dat moet worden gemeld. Ook zijn de regeldrukeffecten per instelling en voor de sector in beeld gebracht. De oproep om ook kleinere incidenten te melden kan ervaren regeldruk opleveren. Daarom zou die oproep moeten vervallen. Dat schrijft ATR in een advies aan de minister van Onderwijs, Cultuur en Wetenschap (OCW).
Inhoud regeling
De regeling wijst hbo- en wo-instellingen aan als belangrijke entiteiten. Hierdoor is er achteraf toezicht op de maatregelen die zij nemen voor cyberbeveiliging. De regeling werkt uit wanneer sprake is van een significant incident dat gemeld moet worden. De melding doen zij bij een centraal loket.
Oproep vrijwillige melding
In de toelichting staat de oproep om een vrijwillige melding te doen van incidenten die onder de drempelwaarden blijven. Dat zorgt ervoor dat instellingen moeten afwegen of ze vrijwillig een melding willen doen. De oproep zorgt daarmee voor onduidelijkheid. Zelfs als geen melding wordt gedaan, kan hierdoor extra ervaren regeldruk ontstaan. Het advies is dan ook om van deze oproep af te zien.
Regeldruk
De maatregelen voor cyberbeveiliging zorgen voor regeldruk. Het gaat om kosten die te maken hebben met de meldplicht. Ook wordt er een beschikbaarheidsdienst geregeld, zodat de systemen gemonitord worden en een (dreigende) inbreuk wordt opgemerkt. Daarnaast levert de registratie als belangrijke entiteit regeldruk op. De gevolgen voor de regeldruk zijn duidelijk in kaart gebracht.
De formele titel luidt Cyberbeveiligingsregeling hoger onderwijs.