Wanneer is de Cyberbeveiligingswet van toepassing? Over sectoren, drempelwaarden, groepsstructuren en de aanwijzing van rechtswege

Voor veel organisaties blijkt echter niet zozeer de inhoud van de verplichtingen de grootste uitdaging, maar de vraag of de Cyberbeveiligingswet überhaupt op hen van toepassing is.

Die vraag is minder eenvoudig dan zij op het eerste gezicht lijkt. De toepasselijkheid wordt namelijk bepaald aan de hand van een combinatie van factoren, waaronder de sector waarin een organisatie actief is, de omvang van de onderneming en in sommige gevallen de vraag of sprake is van een specifiek type dienstverlener dat rechtstreeks onder de wet valt.

Bovendien leidt de aansluiting bij de Europese mkb-definitie ertoe dat niet alleen naar de cijfers van een afzonderlijke vennootschap moet worden gekeken, maar vaak ook naar de cijfers van verbonden ondernemingen binnen een groep.

Het uitgangspunt van NIS2: sector én omvang

De NIS2-richtlijn gaat uit van het uitgangspunt dat middelgrote en grote ondernemingen die actief zijn in aangewezen sectoren onder het toepassingsbereik van de richtlijn vallen.[1]

De Cyberbeveiligingswet werkt dit uitgangspunt uit door onderscheid te maken tussen zogenoemde essentiële entiteiten en belangrijke entiteiten.[2]

Voor de meeste organisaties geldt als hoofdregel dat moet worden beoordeeld:

of de organisatie actief is binnen een aangewezen sector; en

of de toepasselijke omvangsdrempels worden bereikt.

De aangewezen sectoren zijn opgenomen in bijlage 1 en bijlage 2 van de Cyberbeveiligingswet.

Bijlage 1: zeer kritieke sectoren

Onder bijlage 1 vallen onder meer:

energie;

vervoer;

bankwezen;

financiëlemarktinfrastructuren;

gezondheidszorg;

drinkwater;

digitale infrastructuur;

aanbieders van ICT-beheerdiensten;

cloudcomputingdiensten;

datacenters;

managed service providers;

managed security service providers.

Deze sectoren worden als bijzonder kritisch beschouwd voor de continuïteit van de economie en maatschappij.

Bijlage 2: overige kritieke sectoren

Onder bijlage 2 vallen onder andere:

post- en koeriersdiensten;

afvalbeheer;

productie van bepaalde kritieke goederen;

digitale aanbieders van online marktplaatsen;

online zoekmachines;

sociale netwerkdiensten.

Voor organisaties die actief zijn in een van deze sectoren zal vervolgens moeten worden beoordeeld of zij voldoen aan de omvangscriteria.

Welke drempelwaarden gelden?

Voor de beoordeling van de omvang sluit zowel de Cyberbeveiligingswet als NIS2 aan bij Aanbeveling 2003/361/EG betreffende micro-, kleine, middelgrote en grote ondernemingen. Er is bewust gekozen voor de aansluiting bij de bestaande Europese systematiek.[3]

Een onderneming kwalificeert als middelgrote onderneming indien zij:

minder dan 250 werknemers heeft; en

een jaaromzet van maximaal € 50 miljoen of een balanstotaal van maximaal € 43 miljoen heeft.

Voor de toepasselijkheid van de Cyberbeveiligingswet is vooral relevant of ten minste de drempel voor een middelgrote onderneming wordt bereikt.

In veel praktijkgevallen betekent dit dat een onderneming zal kwalificeren wanneer zij:

ten minste 50 werknemers heeft; en

meer dan € 10 miljoen omzet of balanstotaal genereert.

Waarom de groepsstructuur vaak doorslaggevend is

Een veelvoorkomende misvatting is dat alleen wordt gekeken naar de cijfers van de vennootschap die de betreffende diensten levert. Als echter die vennootschap onderdeel uitmaakt van een groep van ondernemingen dan dient ook rekening te worden gehouden met verbonden ondernemingen en partnerondernemingen.[4]

Verbonden ondernemingen

Van verbonden ondernemingen is sprake wanneer een onderneming beslissende zeggenschap heeft over een andere onderneming.

Dit kan bijvoorbeeld blijken uit:

een meerderheidsbelang;

meerderheid van stemrechten;

het recht om bestuurders te benoemen;

contractuele dominante invloed;

aandeelhoudersafspraken die feitelijke controle verschaffen.

In dat geval worden werknemers, omzet en balanstotaal van de betrokken ondernemingen volledig meegeteld.

Partnerondernemingen

Bij partnerondernemingen ontbreekt beslissende zeggenschap, maar bestaat wel een relevante deelneming. In dat geval worden werknemers, omzet en balanstotaal slechts pro rata meegenomen.

Een deelneming van 40% leidt er bijvoorbeeld toe dat ook slechts 40% van de relevante cijfers meetelt voor de omvangsberekening.

IT-leveranciers binnen groepstructuren

Juist binnen groepstructuren kan dit belangrijke gevolgen hebben. Een individuele werkmaatschappij met twintig werknemers lijkt op zichzelf misschien buiten de reikwijdte van de Cyberbeveiligingswet te vallen. Wanneer diezelfde onderneming echter onderdeel uitmaakt van een grotere structuur waarvan de geconsolideerde cijfers de relevante drempelwaarden overschrijden, kan de betreffende werkmaatschappij echter alsnog onder de wet vallen.

Wat we vaak zien is een werkmaatschappij die binnen het concern uitsluitend IT-diensten levert aan andere groepsmaatschappijen. De vraag die daarbij van belang is, is of de betreffende werkmaatschappij valt binnen een van de sectoren die onder de Cbw valt en vervolgens of de omvangcriteria worden gehaald. Wat het eerste betreft zal er al snel sprake zijn van ‘ICT beheerdiensten’ en die behoren tot Bijlage 1 (de zeer kritieke sectoren).

Vaak zullen de betreffende werkmaatschappijen die IT-diensten leveren binnen een groep beperkt van omvang zijn. Echter, door de hierboven vermelde aansluiting bij de Europese regels van Aanbeveling 2003/361/EG zullen verbonden ondernemingen moeten worden meegenomen. Daarvoor is niet vereist dat de andere groepsmaatschappijen zelf onder de reikwijdte van de Cbw vallen. Daardoor zal de werkmaatschappij die IT-diensten levert binnen een groep al snel aan de omvangcriteria voldoen.

Organisaties die van rechtswege onder de Cyberbeveiligingswet vallen

De hiervoor besproken hoofdregel (sector en omvang) kent verschillende uitzonderingen.

Bepaalde typen organisaties worden namelijk rechtstreeks door de wet aangewezen als essentiële of belangrijke entiteit, waarbij de omvang een minder belangrijke rol speelt of zelfs volledig ontbreekt.[5] Reden daarvoor is dat sommige sectoren vanwege hun maatschappelijke betekenis onder het toepassingsbereik moeten vallen, ongeacht hun omvang.

De Cyberbeveiligingswet kent een aantal categorieën organisaties die onder de wet vallen ongeacht hun omvang.[6]

De belangrijkste categorieën zijn:

Gekwalificeerde en niet-gekwalificeerde vertrouwensdienstverleners

Bijvoorbeeld aanbieders van elektronische handtekeningen, elektronische zegels, tijdstempeldiensten en PKI-certificaten. Deze vallen ongeacht hun grootte onder de Cyberbeveiligingswet.

DNS-dienstverleners

Organisaties die DNS-resolutie of andere DNS-diensten aanbieden. Deze vallen ongeacht hun omvang onder de wet en kwalificeren als essentiële entiteit.

Registers van topleveldomeinnamen (TLD-registers)

Beheerders van een land- of generiek top-level domein. Ook deze vallen altijd onder de wet en zijn essentiële entiteiten.

Kritieke entiteiten (Wwke/CER)[7]

Organisaties die op grond van de Wet weerbaarheid kritieke entiteiten als kritieke entiteit zijn aangewezen. Deze zijn automatisch essentiële entiteiten onder de Cyberbeveiligingswet, ongeacht hun omvang.

Ministeries, provincies, gemeenten en waterschappen[8]

Daarnaast ook gemeenschappelijke regelingen en bestuursorganen voorzover ze kwalificeren als overheidsorganisatie

Door de overheid specifiek aangewezen entiteiten[9]

De Cyberbeveiliginsgwet biedt verder nog ruimte om bepaalde organisaties, ondanks hun omvang, toch als essentiële of belangrijke entiteit aan te merken wanneer hun maatschappelijke betekenis dat rechtvaardigt, bijvoorbeeld omdat zij de enige aanbieder van een essentiële dienst zijn of een bijzonder kritieke functie vervullen.

Niet volledig uitgezonderd van de omvangseis

Tot slot, voor aanbieders van openbare elektronische communicatienetwerken en -diensten geldt een afwijkend regime. Zij vallen niet onder de normale drempel van “middelgrote of grote onderneming”, maar reeds wanneer zij kwalificeren als een middelgrote onderneming of zelfs een kleine of micro-onderneming.[10] Voor deze aanbieders is dus niet een volledige uitzondering op de omvangseis opgenomen.

Moet worden gekeken naar specifieke diensten?

Een andere veelgestelde vraag is of uitsluitend de omzet of activiteiten die betrekking hebben op gereguleerde diensten mogen worden meegenomen. Het antwoord luidt in beginsel: nee.

De toepasselijkheid van de Cyberbeveiligingswet vindt in de regel plaats op het niveau van de entiteit en niet per afzonderlijke dienst. Wanneer een organisatie actief is binnen een aangewezen sector en de omvangsdrempels overschrijdt, valt in beginsel de gehele entiteit onder de wet.

Een pro-ratabenadering waarbij enkel de gereguleerde activiteiten worden meegenomen bij de berekening van werknemers, omzet of balanstotaal past niet binnen de systematiek van NIS2.

Wel kan een andere beoordeling mogelijk zijn wanneer de relevante activiteit slechts een bijkomstig karakter heeft. Niet iedere marginale activiteit automatisch moet leiden tot toepasselijkheid van de richtlijn.[11]

Van belang zijn dan onder meer:

de structurele aard van de activiteit;

het economische belang;

de omvang van de activiteit;

de mate waarin de activiteit onderdeel vormt van de reguliere bedrijfsvoering.

Groepsniveau of entiteitsniveau?

Wanneer de toepasselijkheid eenmaal is vastgesteld, rijst een volgende vraag: moet naleving plaatsvinden op groepsniveau of op entiteitsniveau?

Juridisch gezien is het antwoord duidelijk. De normadressaat van NIS2 en de Cyberbeveiligingswet is de individuele entiteit. Dat betekent dat elke afzonderlijke essentiële of belangrijke entiteit zelfstandig verantwoordelijk blijft voor naleving van de wet.

Wat kan centraal worden georganiseerd?

Dat betekent echter niet dat iedere entiteit volledig zelfstandig een compliance-organisatie hoeft op te zetten. Binnen een groep kunnen onder meer centraal worden ingericht:

algemeen cybersecuritybeleid;

leveranciersmanagement;

auditprocessen;

monitoring;

incident response;

awarenessprogramma’s.

Wat moet per entiteit worden geregeld?

Bepaalde verplichtingen blijven echter entiteitsspecifiek. Daaronder vallen onder meer:

risicobeoordelingen;

bestuursgoedkeuring van maatregelen;

incidentmeldingen;

toezicht op naleving;

bestuurlijke verantwoordelijkheid.

Met name de bestuurdersverantwoordelijkheid op het gebied van cybersecurity op entiteitsniveau verdient aandacht, omdat zij de relevante maatregelen goedkeuren en passende kennis opdoen omtrent cyberbeveiliging.

Conclusie

De vraag of de Cyberbeveiligingswet van toepassing is, blijkt in de praktijk vaak aanzienlijk ingewikkelder dan wordt verondersteld.

Voor de beoordeling moet niet alleen worden gekeken naar de sector waarin een onderneming actief is, maar ook naar:

de omvang van de onderneming;

verbonden ondernemingen;

partnerondernemingen;

groepsstructuren;

eventuele aanwijzing van rechtswege.

[1] Richtlijn (EU) 2022/2555 (NIS2), overweging 27

[2] Artikel 8 en 12 Cbw

[3] Richtlijn (EU) 2022/2555 (NIS2), overweging 28

[4] Art. 3 lid 2 en 3 Aanbeveling 2003/361/EG.

[5] Richtlijn (EU) 2022/2555 (NIS2), overweging 30

[6] Artikel 8 lid 1 sub a) tm c) Cbw

[7] Artikel 8 lid 1 sub i) Cbw

[8] Artikel 8 lid 1 sub g) en h) Cbw

[9] Artikel 9 Cbw

[10] Artikel 8 lid sub e) en f), artikel 12 lid 1 sub c) en d) Cbw

[11] Richtlijn (EU) 2022/2555 (NIS2), overweging 16