wijziging Besluit beveiliging netwerk- en informatiesystemen

Reactie

Vraag1

Alhoewel het besluit meer duidelijkheid geeft over de opdracht aan AED’s blijft een omissie dat niet wordt aangegeven in welke volgorde onderdelen van een vitale sector aangewezen moeten worden.

Wij blijven moeite houden met de reikwijdte van de Wbni (en het Bbni) naar AED’s toe. Een AED wordt geacht niet alleen rekening te houden met de organisatie-specifieke en sectorspecifieke risico’s, maar ook met het maatschappelijk belang van zijn essentiële dienst.
Voor wat betreft een crisisorganisatie, die juist in het geweer komt als de rest van de sector -om wat voor reden dan ook- faalt, lijkt de huidige gekozen benadering Wbni en Bbni juist in de verkeerde volgorde aangevlogen. Primair zouden de reguliere bedrijven in een vitale sector als AED moeten zijn/worden aangewezen, immers wanneer zij falen door bijvoorbeeld cyber-aanvallen moet de crisisorganisatie haar taak gaan doen en de voorraden beschikbaar maken. De crisisorganisatie is daarbij de secundaire partij, die voor het daadwerkelijk uitleveren van olie of olieproducten afhankelijk is van het operationeel zijn van de opslagfaciliteiten. Deze opslagfaciliteiten zijn daarmee het “essentiële” deel van de dienst voor de maatschappij. Een dergelijke break-down van de sectoren wordt in Wbni noch Bbni gegeven.