Cyberbeveiligingswet

Reactie

Vraag1

Er ontbreekt in de MvT, aanvullende kamerstukken en het wetsvoorstel zelf een toelichting over de risico gebaseerde aanpak. Art. 23 lid 1 refereert naar de risico's maar dit is erg algemeen opgesteld. NIS2 geeft veel handvatten over deze risico's en de strekking van de invulling van de risico gebaseerde aanpak. Zoals Nederland dit nu wil omzetten is de risico gebaseerde aanpak onvolledig. Wanneer de risico's onvolledig worden aangepakt dan kan een entiteit ook geen passende en evenredige maatregelen nemen.

Een EU-brede aanpak ontbreekt. Ieder lidstaat vult deze zorgplicht op eigen wijze in waardoor de algemene doelstelling die NIS2 wil behalen, niet bereikt gaat worden. ENISA heeft een risico gebaseerde aanpak die goed bruikbaar is voor entiteiten om EU-breed een lijn te trekken. Dit handvat van ENISA maakt het implementeren van de zorgplicht niet alleen makkelijker, EU-breed wordt een gelijksoortige methodiek gebruikt en dat komt algemene duidelijkheid en rechtszekerheid bij entiteiten ten goede. Ook ondersteunt een gelijksoortige methodiek toezichthouders in hun werk.