Met de komst van de Cyberbeveiligingswet (Cbw) implementeert Nederland de Europese NIS2-richtlijn. De wet introduceert verstrekkende verplichtingen op het gebied van risicobeheersing, incidentmelding, governance en toezicht. Bestuurders krijgen een expliciete verantwoordelijkheid voor cyberbeveiliging en toezichthouders krijgen ruime bevoegdheden om op naleving toe te zien.
Voor veel organisaties blijkt echter niet zozeer de inhoud van de verplichtingen de grootste uitdaging, maar de vraag of de Cyberbeveiligingswet überhaupt op hen van toepassing is.
Die vraag is minder eenvoudig dan zij op het eerste gezicht lijkt. De toepasselijkheid wordt namelijk bepaald aan de hand van een combinatie van factoren, waaronder de sector waarin een organisatie actief is, de omvang van de onderneming en in sommige gevallen de vraag of sprake is van een specifiek type dienstverlener dat rechtstreeks onder de wet valt.
Bovendien leidt de aansluiting bij de Europese mkb-definitie ertoe dat niet alleen naar de cijfers van een afzonderlijke vennootschap moet worden gekeken, maar vaak ook naar de cijfers van verbonden ondernemingen binnen een groep.
De NIS2-richtlijn gaat uit van het uitgangspunt dat middelgrote en grote ondernemingen die actief zijn in aangewezen sectoren onder het toepassingsbereik van de richtlijn vallen.[1]
De Cyberbeveiligingswet werkt dit uitgangspunt uit door onderscheid te maken tussen zogenoemde essentiële entiteiten en belangrijke entiteiten.[2]
Voor de meeste organisaties geldt als hoofdregel dat moet worden beoordeeld:
De aangewezen sectoren zijn opgenomen in bijlage 1 en bijlage 2 van de Cyberbeveiligingswet.
Onder bijlage 1 vallen onder meer:
Deze sectoren worden als bijzonder kritisch beschouwd voor de continuïteit van de economie en maatschappij.
Onder bijlage 2 vallen onder andere:
Voor organisaties die actief zijn in een van deze sectoren zal vervolgens moeten worden beoordeeld of zij voldoen aan de omvangscriteria.
Voor de beoordeling van de omvang sluit zowel de Cyberbeveiligingswet als NIS2 aan bij Aanbeveling 2003/361/EG betreffende micro-, kleine, middelgrote en grote ondernemingen. Er is bewust gekozen voor de aansluiting bij de bestaande Europese systematiek.[3]
Een onderneming kwalificeert als middelgrote onderneming indien zij:
Voor de toepasselijkheid van de Cyberbeveiligingswet is vooral relevant of ten minste de drempel voor een middelgrote onderneming wordt bereikt.
In veel praktijkgevallen betekent dit dat een onderneming zal kwalificeren wanneer zij:
Een veelvoorkomende misvatting is dat alleen wordt gekeken naar de cijfers van de vennootschap die de betreffende diensten levert. Als echter die vennootschap onderdeel uitmaakt van een groep van ondernemingen dan dient ook rekening te worden gehouden met verbonden ondernemingen en partnerondernemingen.[4]
Verbonden ondernemingen
Van verbonden ondernemingen is sprake wanneer een onderneming beslissende zeggenschap heeft over een andere onderneming.
Dit kan bijvoorbeeld blijken uit:
In dat geval worden werknemers, omzet en balanstotaal van de betrokken ondernemingen volledig meegeteld.
Partnerondernemingen
Bij partnerondernemingen ontbreekt beslissende zeggenschap, maar bestaat wel een relevante deelneming. In dat geval worden werknemers, omzet en balanstotaal slechts pro rata meegenomen.
Een deelneming van 40% leidt er bijvoorbeeld toe dat ook slechts 40% van de relevante cijfers meetelt voor de omvangsberekening.
IT-leveranciers binnen groepstructuren
Juist binnen groepstructuren kan dit belangrijke gevolgen hebben. Een individuele werkmaatschappij met twintig werknemers lijkt op zichzelf misschien buiten de reikwijdte van de Cyberbeveiligingswet te vallen. Wanneer diezelfde onderneming echter onderdeel uitmaakt van een grotere structuur waarvan de geconsolideerde cijfers de relevante drempelwaarden overschrijden, kan de betreffende werkmaatschappij echter alsnog onder de wet vallen.
Wat we vaak zien is een werkmaatschappij die binnen het concern uitsluitend IT-diensten levert aan andere groepsmaatschappijen. De vraag die daarbij van belang is, is of de betreffende werkmaatschappij valt binnen een van de sectoren die onder de Cbw valt en vervolgens of de omvangcriteria worden gehaald. Wat het eerste betreft zal er al snel sprake zijn van ‘ICT beheerdiensten’ en die behoren tot Bijlage 1 (de zeer kritieke sectoren).
Vaak zullen de betreffende werkmaatschappijen die IT-diensten leveren binnen een groep beperkt van omvang zijn. Echter, door de hierboven vermelde aansluiting bij de Europese regels van Aanbeveling 2003/361/EG zullen verbonden ondernemingen moeten worden meegenomen. Daarvoor is niet vereist dat de andere groepsmaatschappijen zelf onder de reikwijdte van de Cbw vallen. Daardoor zal de werkmaatschappij die IT-diensten levert binnen een groep al snel aan de omvangcriteria voldoen.
De hiervoor besproken hoofdregel (sector en omvang) kent verschillende uitzonderingen.
Bepaalde typen organisaties worden namelijk rechtstreeks door de wet aangewezen als essentiële of belangrijke entiteit, waarbij de omvang een minder belangrijke rol speelt of zelfs volledig ontbreekt.[5] Reden daarvoor is dat sommige sectoren vanwege hun maatschappelijke betekenis onder het toepassingsbereik moeten vallen, ongeacht hun omvang.
De Cyberbeveiligingswet kent een aantal categorieën organisaties die onder de wet vallen ongeacht hun omvang.[6]
De belangrijkste categorieën zijn:
Tot slot, voor aanbieders van openbare elektronische communicatienetwerken en -diensten geldt een afwijkend regime. Zij vallen niet onder de normale drempel van “middelgrote of grote onderneming”, maar reeds wanneer zij kwalificeren als een middelgrote onderneming of zelfs een kleine of micro-onderneming.[10] Voor deze aanbieders is dus niet een volledige uitzondering op de omvangseis opgenomen.
Een andere veelgestelde vraag is of uitsluitend de omzet of activiteiten die betrekking hebben op gereguleerde diensten mogen worden meegenomen. Het antwoord luidt in beginsel: nee.
De toepasselijkheid van de Cyberbeveiligingswet vindt in de regel plaats op het niveau van de entiteit en niet per afzonderlijke dienst. Wanneer een organisatie actief is binnen een aangewezen sector en de omvangsdrempels overschrijdt, valt in beginsel de gehele entiteit onder de wet.
Een pro-ratabenadering waarbij enkel de gereguleerde activiteiten worden meegenomen bij de berekening van werknemers, omzet of balanstotaal past niet binnen de systematiek van NIS2.
Wel kan een andere beoordeling mogelijk zijn wanneer de relevante activiteit slechts een bijkomstig karakter heeft. Niet iedere marginale activiteit automatisch moet leiden tot toepasselijkheid van de richtlijn.[11]
Van belang zijn dan onder meer:
Wanneer de toepasselijkheid eenmaal is vastgesteld, rijst een volgende vraag: moet naleving plaatsvinden op groepsniveau of op entiteitsniveau?
Juridisch gezien is het antwoord duidelijk. De normadressaat van NIS2 en de Cyberbeveiligingswet is de individuele entiteit. Dat betekent dat elke afzonderlijke essentiële of belangrijke entiteit zelfstandig verantwoordelijk blijft voor naleving van de wet.
Dat betekent echter niet dat iedere entiteit volledig zelfstandig een compliance-organisatie hoeft op te zetten. Binnen een groep kunnen onder meer centraal worden ingericht:
Bepaalde verplichtingen blijven echter entiteitsspecifiek. Daaronder vallen onder meer:
Met name de bestuurdersverantwoordelijkheid op het gebied van cybersecurity op entiteitsniveau verdient aandacht, omdat zij de relevante maatregelen goedkeuren en passende kennis opdoen omtrent cyberbeveiliging.
De vraag of de Cyberbeveiligingswet van toepassing is, blijkt in de praktijk vaak aanzienlijk ingewikkelder dan wordt verondersteld.
Voor de beoordeling moet niet alleen worden gekeken naar de sector waarin een onderneming actief is, maar ook naar:
[1] Richtlijn (EU) 2022/2555 (NIS2), overweging 27
[2] Artikel 8 en 12 Cbw
[3] Richtlijn (EU) 2022/2555 (NIS2), overweging 28
[4] Art. 3 lid 2 en 3 Aanbeveling 2003/361/EG.
[5] Richtlijn (EU) 2022/2555 (NIS2), overweging 30
[6] Artikel 8 lid 1 sub a) tm c) Cbw
[7] Artikel 8 lid 1 sub i) Cbw
[8] Artikel 8 lid 1 sub g) en h) Cbw
[9] Artikel 9 Cbw
[10] Artikel 8 lid sub e) en f), artikel 12 lid 1 sub c) en d) Cbw
[11] Richtlijn (EU) 2022/2555 (NIS2), overweging 16
