Samenvatting advies over de Wet bevordering digitale weerbaarheid bedrijven

Digitale weerbaarheid bedrijven

Het doel van dit wetsvoorstel is om een wettelijke grondslag te bieden voor taken en bevoegdheden van de minister van Economische Zaken en Klimaat (EZK) op het gebied van de digitale weerbaarheid van het niet-vitale bedrijfsleven in Nederland. Zo geeft het wetsvoorstel de minister van EZK onder andere de taak om bedrijven te informeren en te adviseren over specifieke kwetsbaarheden, dreigingen en incidenten die betrekking hebben op hun netwerk- en informatiesystemen. Het Digital Trust Center (DTC) is onderdeel van het ministerie van EZK en zal deze taak uitoefenen. Het National Cyber Security Centrum (NCSC) heeft al de taak om namens de minister van Justitie en Veiligheid vitale bedrijven en de rijksoverheid te voorzien van dreigings- en incidentinformatie. Dat wordt geregeld in de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Noodzaak van een nieuwe wet

De Afdeling advisering benadrukt het belang van de bevordering van digitale weerbaarheid van Nederlandse bedrijven. Toch heeft zij opmerkingen bij het wetsvoorstel. Zo vindt de Afdeling advisering de introductie van een nieuwe wet niet noodzakelijk. De taken van de minister van EZK hoeven in dit geval niet in een wet geregeld te worden, want het bedrijfsleven en de bevordering van de digitale weerbaarheid van bedrijven vallen al binnen zijn portefeuille. Een wettelijke regeling is wel noodzakelijk voor zover het een bevoegdheid betreft voor de verwerking en verstrekking van persoonsgegevens. Met het oog op het belang van harmonisatie van wetgeving, ligt het voor de hand om die grondslag op te nemen in de Wbni en niet in een nieuwe wet.

Onduidelijkheden

Daarnaast wijst de Afdeling advisering op een aantal onduidelijkheden in het wetsvoorstel waaraan de toelichting aandacht moet besteden. Dat geldt ook als de regering afziet van de introductie van een nieuwe wet en besluit tot inpassing in de Wbni. Zo vindt de Afdeling advisering het onder andere van belang dat helder wordt gecommuniceerd hoe de nieuwe taken van de minister van EZK zich verhouden tot de eigen verantwoordelijkheid van het bedrijfsleven op het gebied van cybersecurity. De overheid kan die verantwoordelijkheid immers niet volledig overnemen.

Ook wijst de Afdeling advisering op het risico dat het DTC en andere overheidsinstanties uiteenlopende adviezen over een digitale dreiging of incident geven aan een bedrijf. De taken van het DTC lijken namelijk te (kunnen) overlappen met die van het NCSC (zie hierover ook het advies van de Afdeling advisering over een recent voorstel tot wijziging van de Wbni). De Afdeling advisering adviseert in de toelichting duidelijk te maken hoe kan worden voorkomen dat bedrijven uiteenlopende adviezen krijgen.