De Rijksinspectie Digitale Infrastructuur (RDI) krijgt bij het toezicht op de Europese Cyber Resilience Act (CRA) de bevoegdheid om onder een fictieve identiteit producten te kopen en controles uit te voeren. Kamerlid Daniël van den Berg (JA21) wil die macht strakker begrenzen. Met twee amendementen wil hij vastleggen dat toezichthouders geen overtredingen mogen uitlokken en dat verzamelde persoonsgegevens niet onbeperkt worden bewaard.
De Tweede Kamer besprak op 7 september de Uitvoeringswet verordening cyberweerbaarheid, die het Nederlandse toezicht op de CRA regelt. Door onder een fictieve identiteit op te treden, kan een toezichthouder een digitaal product aanschaffen als 'gewone klant'. Zo wordt voorkomen dat een leverancier speciaal voor de inspectie een aangepaste of veiligere versie aanbiedt.
Het eerste amendement stelt een duidelijke grens aan deze heimelijke werkwijze: een inspecteur mag een bedrijf niet verleiden tot overtredingen die de ondernemer anders niet zou hebben begaan. Volgens Van den Berg versterkt dit de rechtsbescherming van marktdeelnemers, die op het moment van de controle immers niet weten dat ze met de overheid te maken hebben.
Het tweede amendement regelt de privacy waarborgen. Van den Berg wil een specifieke bewaartermijn opnemen voor de persoonsgegevens die tijdens deze controles worden vastgelegd, om te voorkomen dat data zonder duidelijke tijdsgrens bewaard blijven.
De Europese CRA stelt strenge cybersecurity-eisen aan producten met digitale elementen, gedurende hun hele levenscyclus. Dat vraagt om toezicht op software, beveiligingsprocessen en marktgedrag onder normale omstandigheden. Omdat deze inspectiemethoden minder zichtbaar zijn, zijn duidelijke wettelijke kaders essentieel voor de verantwoording achteraf.
De amendementen zijn ingediend en worden binnenkort door de Tweede Kamer behandeld. Daarmee staat bij de behandeling van de Uitvoeringswet niet alleen de digitale veiligheid van IT-producten centraal, maar ook de exacte reikwijdte van de overheidsbevoegdheden.
