Nederland ICT waarschuwt voor stapeling van meldverplichtingen

Het voorontwerp, dat zich beperkt tot enkele voor de samenleving vitale sectoren, heeft tot doel het verlenen van hulp en niet het houden van toezicht. Extra administratieve lasten staan daarmee op gespannen voet. Nederland ICT wijst erop dat een telecombedrijf in geval van een incident dat systemen raakt met mogelijke effecten voor persoonsgegevens en continuïteit van diensten, te maken krijgt met meldplichten bij vier verschillende instanties:

• een meldplicht voor verlies persoonsgegevens, nu nog bij ACM maar volgens het wetsvoorstel meldplicht datalekken straks bij het CBP;
• een meldplicht voor (mogelijke) verstoring van continuïteit bij Agentschap Telecom;
• een plicht (voor leden van het NCO-T) om een grote verstoring bij het ministerie van Economische Zaken te melden;
• een meldplicht op basis van het voorontwerp meldplicht security breaches bij het NCSC.

De kans bestaat dat iedere toezichthouder vanuit zijn eigen rol extra informatie op zal vragen bij bedrijven. In het voorontwerp is een afbakening gemaakt zodat alleen incidenten met zware gevolgen gemeld moeten worden. Nederland ICT voorziet dat bedrijven geen risico zullen willen lopen onder het motto “better safe than sorry”.

Wachten op Europa

De Europese Commissie heeft inmiddels een voorstel gedaan voor een Richtlijn voor netwerk- en informatiebeveiliging, waar een soortgelijke meldplicht in is opgenomen. Om tot een level playing field in heel Europa te komen, vraagt Nederland ICT om te wachten op deze richtlijn. De brief van Nederland ICT in het kader van de consultatie van het ministerie van Veiligheid en Justitie, kunt u hier lezen.