Dezelfde zorgplicht, een andere boete. Essentieel tegenover belangrijk.

De Cyberbeveiligingswet kent twee soorten entiteiten: essentiële en belangrijke. Het verschil zit niet in de zorgplicht — die is voor allebei dezelfde — maar in hoe er toezicht op wordt gehouden en wat een overtreding kost.

Dat onderscheid wordt vaak uitgelegd als “groot en klein”. Zo werkt het niet.

Hoe de indeling werkelijk loopt

Er zijn drie routes waarlangs een organisatie in een categorie belandt, en alle drie staan in de wet zelf.

Van rechtswege. Sommige typen organisaties zijn het gewoon, zonder dat er iets wordt aangewezen. Artikel 8 noemt onder meer gekwalificeerde verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners. Artikel 12 doet hetzelfde voor de belangrijke entiteiten.

Via de bijlagen en de omvang. Voor de meeste organisaties loopt het via bijlage 1 of bijlage 2 van de wet, gecombineerd met de vraag of zij als middelgrote onderneming kwalificeren volgens de Europese aanbeveling over ondernemingsgrootte. Bijlage 1 en 2 verschillen, en dat verschil bepaalt in welke categorie u valt.

Via aanwijzing. Artikel 9 laat toe dat een minister een entiteit alsnog als essentieel aanwijst, op grond van criteria die niets met omvang te maken hebben — bijvoorbeeld dat u in Nederland de enige aanbieder van een dienst bent, of dat verstoring aanzienlijke gevolgen kan hebben voor de openbare veiligheid of de volksgezondheid.

Die derde route is de reden dat “wij zijn te klein” geen conclusie is.

Wat het verschil uitmaakt

De zorgplicht van artikel 21 Cyberbeveiligingswet en de bestuursplichten van artikel 24 gelden voor beide categorieën, woordelijk hetzelfde. Wat verschilt, zijn de gevolgen.

Twee dingen die het bedrag groter maken dan het oogt. Het percentage rekent over de omzet van de onderneming waartoe de entiteit behoort, niet over die van de entiteit alleen. En het is telkens het hoogste van de twee.

Eén ding dat de andere kant op werkt: de werking van het boetebesluit wordt opgeschort tot het onherroepelijk is.

Waarom hier geen sectorlijst staat

De verleiding is groot om achttien sectoren in een tabel te zetten met een vinkje erachter. Wij doen dat niet, en de reden is dat zo’n tabel systematisch de verkeerde kant op faalt.

De indeling hangt af van de bijlagen bij de wet, van uw omvang volgens een Europese definitie, van welke dienst u precies levert, en van de mogelijkheid dat u wordt aangewezen. Een vereenvoudiging daarvan levert vooral organisaties op die concluderen dat zij er niet onder vallen — en dat is de conclusie die het duurst is als hij fout is.

De registratie loopt via het portaal van het Nationaal Cyber Security Centrum, en dat is ook de plek waar u de vraag stelt.

Wat er per 15 augustus veranderde, en waar de registratie loopt→

Waar dit ophoudt

In welke categorie u valt, verandert niets aan wat de wet inhoudelijk van u vraagt. De maatregelen zijn dezelfde, de bestuursplichten zijn dezelfde, en de vraag of dit uw aanvalsoppervlak kleiner maakt is een afweging die u zelf maakt.

En zoals overal: deze wet zegt niets over persoonsgegevens van bestuurders bij handelaren. Wij verkopen dat, dus wij zouden het graag anders lezen, maar het staat er niet.

De eerlijke lezing van de koppeling→

Welke toezichthouder bij uw categorie hoort→

Waar dit vandaan komt