Acht ministers, één wet. Wie u aanspreekt hangt af van uw sector.

De Cyberbeveiligingswet kent geen centrale toezichthouder. Artikel 15 wijst per sector een minister aan als bevoegde autoriteit, en artikel 68 legt het feitelijke toezicht bij ambtenaren die door die autoriteit worden aangewezen.

Wie u aanspreekt, hangt dus af van de sector waarin u valt — en dat is een andere vraag dan wie er bij u langskomt.

De verdeling uit artikel 15

Voor de sector onderzoek geldt een aparte regel: daar is de bevoegde autoriteit de minister die dat ook is voor de sector waarin de entiteit actief is.

Bevoegde autoriteit en toezichthouder zijn niet hetzelfde

Dit onderscheid wordt in samenvattingen vrijwel altijd weggelaten, en het verklaart waarom lijstjes van toezichthoudende diensten niet met de wettekst overeenkomen.

De bevoegde autoriteit is de minister. Die draagt de bevoegdheden: aanwijzen, handhaven, beboeten.

De toezichthouders zijn de ambtenaren die de bevoegde autoriteit bij besluit aanwijst. In de praktijk zijn dat de bestaande sectorale diensten, want daar zit de kennis en daar liggen de bestaande toezichtsrelaties. Maar dat is een uitvoeringskeuze van de minister en geen aanwijzing in de wet.

Praktisch gevolg: zoekt u in de wet naar de naam van de dienst die bij u langskomt, dan vindt u die niet. Zoekt u naar wie er uiteindelijk over gaat, dan staat dat er wel.

Waarom dit ertoe doet vóór er iets gebeurt

Twee redenen, en de tweede is de praktische.

De meldplicht loopt naar uw CSIRT en uw toezichthouder. Wie dat is, wilt u niet uitzoeken op het moment dat de klok van vierentwintig uur loopt.

En bij een organisatie die in meerdere sectoren actief is, kan er meer dan één bevoegde autoriteit in beeld zijn. Een producent die ook een eigen datacentrum exploiteert, raakt twee regels in de tabel. Dat is geen theoretisch geval — het is precies het soort organisatie dat onder deze wet valt.

Wat er per 15 augustus veranderde, en waar de registratie loopt→

Waar dit ophoudt

Deze tabel zegt wie bevoegd is. Zij zegt niet of u onder de wet valt — dat hangt af van de bijlagen, uw omvang en de mogelijkheid dat u wordt aangewezen.

En zoals overal in dit cluster: geen van deze autoriteiten houdt toezicht op wat databrokers met de persoonsgegevens van uw bestuurders doen. Dat is de Autoriteit Persoonsgegevens, en die komt in deze wet niet voor als bevoegde autoriteit.

Hoe de indeling in categorieën werkelijk loopt→

Waar dit vandaan komt