Boetes en toezicht onder de Cyberbeveiligingswet

Wie houdt toezicht?

Nederland heeft gekozen voor een sectorale indeling. Per sector is een minister de bevoegde autoriteit (art. 15 Cbw), en per sector zijn toezichthouders aangewezen (art. 68 Cbw). Een greep uit de verdeling:

Sector	Bevoegde autoriteit	Toezichthouder
Digitale infrastructuur, beheer van ICT-diensten, digitale aanbieders, vervaardiging	Economische Zaken	Rijksinspectie Digitale Infrastructuur (RDI)
Energie	Klimaat en Groene Groei	RDI
Vervoer, water, afval, chemie	Infrastructuur en Waterstaat	Inspectie Leefomgeving en Transport (ILT)
Bankwezen	Financiën	De Nederlandsche Bank (DNB)
Infrastructuur voor de financiële markt	Financiën	Autoriteit Financiële Markten (AFM)
Levensmiddelen	Landbouw, Visserij, Voedselzekerheid en Natuur	NVWA
Openbaar bestuur (zonder waterschappen)	Binnenlandse Zaken en Koninkrijksrelaties	RDI

Voor gezondheidszorg en medische hulpmiddelen is VWS de bevoegde autoriteit. Welke combinatie van ministerie, inspectie en CSIRT voor u geldt, vindt u met de doorverwijsboom van de NCTV. Het NCSC legt de verdeling uit op de pagina Toezicht op de Cyberbeveiligingswet.

Proactief en reactief toezicht

Het verschil tussen essentiële en belangrijke entiteiten ziet u vooral in de manier van toezicht. Volgens de NCTV is het toezicht op essentiële entiteiten proactief: de toezichthouder kan zonder concrete aanleiding controleren. Bij belangrijke entiteiten is het reactief. De handhavingsbepalingen voor belangrijke entiteiten gelden alleen als de bevoegde autoriteit bewijs, een aanwijzing of informatie heeft over een mogelijke overtreding (art. 81 Cbw). Zo’n aanwijzing kan bijvoorbeeld een incident zijn, een klacht of een signaal van een andere instantie.

Reactief betekent niet dat u als belangrijke entiteit minder hoeft te doen. De zorgplicht en meldplicht zijn gelijk; alleen de aanleiding voor controle verschilt.

De instrumenten van de toezichthouder

De Cbw geeft de bevoegde autoriteit een breed pakket, dat oploopt van licht naar zwaar:

Beveiligingsscan en audit: de autoriteit kan een scan of een audit laten uitvoeren (art. 71 en 72 Cbw; voor belangrijke entiteiten art. 82 en 83).
Openbaarmaking: een overtreding kan openbaar worden gemaakt (art. 73 en 84 Cbw).
Aanwijzing: een bindende opdracht om iets te doen of na te laten (art. 74 en 85 Cbw).
Last onder bestuursdwang: de autoriteit kan zelf ingrijpen op kosten van de entiteit (art. 75 en 86 Cbw).
Controlefunctionaris: bij een essentiële entiteit kan voor een bepaalde periode een onafhankelijke deskundige worden aangesteld die de naleving volgt (art. 70 Cbw).
Schorsing: bij een essentiële entiteit die een einddatum niet haalt, kan de autoriteit vragen een certificering of vergunning te schorsen (art. 77 Cbw) of de rechter vragen bestuursleden te schorsen (art. 78 Cbw).

Hoe hoog zijn de boetes?

Wie	Overtreding	Maximum
Essentiële entiteit	Zorgplicht, weren van leveranciers, meldplicht en informeren van afnemers (art. 21, 21a, 25 tot en met 30)	€ 10 miljoen of 2% van de wereldwijde jaaromzet van het voorgaande boekjaar, als dat hoger is (art. 80 lid 3 Cbw)
Essentiële entiteit	Andere overtredingen, zoals registratie	€ 1 miljoen
Belangrijke entiteit	Zelfde kernverplichtingen	€ 7 miljoen of 1,4% van de wereldwijde jaaromzet, als dat hoger is (art. 87 lid 3 Cbw)
Belangrijke entiteit	Andere overtredingen	€ 1 miljoen
Domeinnaamregistratiedienst	Overtredingen van de wet	€ 1 miljoen (art. 91 Cbw)
Bestuurslid	Kennis, training en certificaat (art. 24 lid 2 tot en met 6)	€ 25.000 (art. 93 Cbw)

De omzet die telt, is die van de onderneming waartoe de entiteit behoort. Voor een dochter van een internationaal concern kan het percentage dus veel hoger uitvallen dan het vaste bedrag. Een boetebesluit werkt pas als het onherroepelijk is (art. 80 lid 4 Cbw).

Let op: de wet koppelt een boete altijd aan een waarschuwing of aan een ander handhavingsinstrument, zoals een aanwijzing. Die kan tegelijk met de boete komen of eraan voorafgaan (art. 80 lid 1 en art. 87 lid 1 Cbw). Reageer op een waarschuwing of aanwijzing daarom met een concreet plan en houd vast wat u daarna doet.

Voorbereid op een controle

Een toezichthouder vraagt naar bewijs, niet naar bedoelingen. Houd deze stukken op orde en vindbaar:

de beoordeling of en hoe u onder de wet valt, met de registratie in MijnNCSC;
het goedkeuringsbesluit van het bestuur en de certificaten van de bestuursleden;
de risicoanalyse, het beveiligingsbeleid en de uitwerking per artikel van het Cbb;
het incidentenlogboek met de meldingen en eindverslagen;
verslagen van audits, scans en hersteltests, met de opvolging van bevindingen.

De NIS2-scan laat zien waar de grootste gaten zitten en welke daarvan direct juridische gevolgen kunnen hebben. Verder lezen over de onderliggende plichten kan op de pagina’s over de zorgplicht en het bestuur.

Veelgestelde vragen

Wie is mijn toezichthouder?

Dat hangt af van uw sector. Voor digitale infrastructuur, energie en vervaardiging is dat meestal de RDI, voor vervoer en water de ILT, voor banken DNB. De doorverwijsboom van de NCTV geeft per sector het antwoord.

Kan een belangrijke entiteit zomaar gecontroleerd worden?

Het toezicht op belangrijke entiteiten is reactief. Handhaving volgt als de autoriteit bewijs, een aanwijzing of informatie heeft over een mogelijke overtreding (art. 81 Cbw).

Telt voor de boete de omzet van de dochter of van het concern?

Het percentage wordt berekend over de wereldwijde jaaromzet van de onderneming waartoe de entiteit behoort, in het voorgaande boekjaar (art. 80 lid 3 en art. 87 lid 3 Cbw).

Wat doet een controlefunctionaris?

Dat is een onafhankelijke deskundige die de bevoegde autoriteit voor een bepaalde periode bij een essentiële entiteit kan aanwijzen. Hij volgt of de entiteit de zorgplicht en de meldplicht naleeft (art. 70 Cbw).