Het bestuursstuk moet het risico benoemen. De verplichting mag het niet suggereren.

Een bestuursstuk over cyberbeveiliging moet twee dingen uit elkaar houden: wat de wet verplicht, en wat u zelf verstandig vindt. Dat onderscheid vervaagt makkelijk, want een maatregel klinkt overtuigender als er een wet achter lijkt te staan.

Het vervaagt ook duur. Een bestuur dat een maatregel goedkeurt op een verplichting die niet bestaat, heeft een besluit genomen dat bij de eerste jurist die meeleest omvalt — en het neemt de maatregelen die er wél toe doen in zijn val mee.

Wat de Cyberbeveiligingswet feitelijk voorschrijft

De wet schrijft geen enkele concrete maatregel voor. Artikel 21 vraagt om passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen. Welke maatregelen dat zijn, bepaalt u.

Dat is geen slordigheid van de wetgever maar de opzet. Een wet die per sector voorschrijft welk product u koopt, veroudert binnen twee jaar. Een wet die vraagt dat u uw eigen risico’s kent en er evenredig naar handelt, veroudert niet.

Het gevolg voor uw stuk: de verplichting is dat u een afweging maakt en die kunt tonen. De uitkomst van die afweging is van u.

Drie formuleringen, waarvan er twee onjuist zijn

Neem een willekeurige maatregel — het beperken van vindbare persoonsgegevens van bestuurders, bijvoorbeeld, omdat wij daar toevallig ons werk hebben. Drie manieren om dat in een bestuursstuk te zetten.

De derde formulering is niet zwakker dan de eerste. Zij is sterker, omdat zij overeind blijft. En zij is precies wat artikel 24 van het bestuur vraagt: een oordeel, onderbouwd genoeg om goed te keuren.

Wat een toezichthouder later terugleest

Het bestuursstuk is geen intern document. Het is het spoor waarlangs later wordt vastgesteld of het bestuur zijn taak heeft opgevat, en het wordt gelezen door iemand die de wet beter kent dan de opsteller.

Wat daar goed leest, is een stuk dat het risico beschrijft, de afweging laat zien, de gekozen maatregel benoemt en zegt wat er níét is gekozen en waarom. Wat daar slecht leest, is een stuk dat een verplichting citeert die niet bestaat. Het eerste toont een bestuur dat zijn risico’s kent. Het tweede toont een bestuur dat een leverancier heeft geloofd.

Waarom wij dit schrijven terwijl het ons slecht uitkomt

Wij verkopen verwijderverzoeken bij databrokers. Het zou ons helpen als u dacht dat de Cyberbeveiligingswet daartoe verplicht. Meerdere partijen in deze markt schrijven het ook, en het werkt — tot het moment waarop het niet meer werkt.

De reden dat wij het niet doen is niet nobelheid. Het is dat dit product wordt gekocht na een toets door een functionaris voor de gegevensbescherming, en dat die toets precies hier plaatsvindt. Eén zin die een verplichting suggereert waar er geen is, en het gesprek is voorbij — terecht.

Het risicoargument dat wél overeind blijft, staat elders uitgeschreven, met de grens erbij.

De eerlijke lezing van de koppeling met deze wet→

Waar dit vandaan komt