Wet van 17 oktober 2018, houdende regels ter implementatie van richtlijn (EU) 2016/1148 (Wet beveiliging netwerk- en informatiesystemen)

1

Onze Minister heeft, ter voorkoming of beperking van het uitvallen van de beschikbaarheid of het verlies van integriteit van netwerk- en informatiesystemen van vitale aanbieders, en van andere aanbieders die onderdeel zijn van de rijksoverheid, ter verdere versterking van de digitale weerbaarheid van de Nederlandse samenleving en ter uitvoering van de NIB-richtlijn, de volgende taken:

• a.

  de taken van het centrale contactpunt;

• b.

  voor aanbieders van een essentiële dienst: de in bijlage I, onder 2, van de NIB-richtlijn genoemde taken van het CSIRT;

• c.

  het bijstaan van de in de aanhef bedoelde aanbieders bij het treffen van maatregelen om de continuïteit van hun diensten te waarborgen of te herstellen;

• d.

  het informeren en adviseren van deze aanbieders en anderen in en buiten Nederland over dreigingen en incidenten met betrekking tot de in de aanhef bedoelde netwerk- en informatiesystemen;

• e.

  het verrichten van analyses en technisch onderzoek ten behoeve van de onder b, c en d genoemde taken, naar aanleiding van de onder d bedoelde dreigingen en incidenten of aanwijzingen daarvoor, niet zijnde onderzoek naar personen of organisaties die voor die dreigingen of incidenten verantwoordelijk zijn of die daar anderszins aan bijdragen of hebben bijgedragen.

2

Voorts heeft Onze Minister, ter voorkoming van nadelige maatschappelijke gevolgen in en buiten Nederland, tot taak: het verstrekken van ingevolge het eerste lid, onder e, verkregen gegevens over dreigingen en incidenten met betrekking tot andere netwerk- en informatiesystemen dan bedoeld in de aanhef van het eerste lid aan:

• a.

  organisaties die objectief kenbaar tot taak hebben om andere organisaties of het publiek daarover te informeren;

• b.

  CSIRT’s;

• c.

  andere computercrisisteams, aangewezen bij regeling van Onze Minister of behorend tot een bij die regeling aangewezen categorie;

• d.

  aanbieders van internettoegangs- en internetcommunicatiediensten ten behoeve van het informeren van gebruikers van die diensten.

3

Voorts heeft Onze Minister tot taak: de behandeling van vrijwillige meldingen als bedoeld in artikel 16.

1

De bevoegde autoriteit, bedoeld in artikel 8, eerste lid, van de NIB-richtlijn, is voor de sectoren, genoemd in bijlage II van die richtlijn:

2

Voor de digitale diensten, genoemd in bijlage III van de NIB-richtlijn, is:

• a.

  de bevoegde autoriteit, bedoeld in artikel 8, eerste lid, van de NIB-richtlijn: Onze Minister van Economische Zaken en Klimaat;

• b.

  dit onderdeel is nog niet in werking getreden.

3

De bevoegde autoriteit heeft voor wat betreft de aanbieders van een essentiële dienst in de betrokken sector of sectoren, onderscheidenlijk voor de digitaledienstverleners, tot taak zorg te dragen voor de bestuursrechtelijke handhaving van het bepaalde bij of krachtens deze wet.

1

Onze Minister verwerkt gegevens, waaronder persoonsgegevens, ten behoeve van de in artikel 3 genoemde doeleinden en taken. Hij is verwerkingsverantwoordelijke.

2

De bevoegde autoriteit verwerkt gegevens, waaronder persoonsgegevens, ten behoeve van de in artikel 4, derde lid, genoemde taak. Zij is verwerkingsverantwoordelijke.

1

Onze Minister kan een rechtspersoon of een orgaan daarvan verzoeken om gegevens te verstrekken die noodzakelijk zijn voor de vervulling van de in artikel 3, eerste lid, onder b tot en met e, genoemde taken.

2

De rechtspersoon of het orgaan kan op grond van het eerste lid gevraagde persoonsgegevens ook aan Onze Minister verstrekken als die verstrekking onverenigbaar is met de doeleinden waarvoor de persoonsgegevens zijn verzameld.

1

Dit lid is nog niet in werking getreden.

2

Als blijkt uit een melding door een aanbieder van een essentiële dienst van een incident als bedoeld in artikel 10, eerste lid, onder a, of derde lid, of artikel 16, eerste lid, dat het incident aanzienlijke gevolgen heeft voor de continuïteit van een essentiële dienst in een andere lidstaat van de Europese Unie, stelt Onze Minister het centrale contactpunt van die lidstaat daarvan op de hoogte.

3

Op verzoek van de bevoegde autoriteit of uit eigen beweging stuurt Onze Minister de in het tweede lid bedoelde melding door naar het centrale contactpunt van de andere getroffen lidstaat.

4

Dit lid is nog niet in werking getreden.

5

Als blijkt uit gegevens die Onze Minister heeft ontvangen van een centraal contactpunt in een andere lidstaat dat een daar gemeld incident aanzienlijke gevolgen heeft voor de continuïteit van:

• a.

  een essentiële dienst in Nederland: stelt Onze Minister de bevoegde autoriteit daarvan op de hoogte;

• b.

  een digitale dienst in Nederland: stelt Onze Minister het CSIRT voor digitale diensten en de bevoegde autoriteit daarvan op de hoogte.

1

Ter uitvoering van de in artikel 3 genoemde taken verstrekt Onze Minister geen vertrouwelijke gegevens met betrekking tot een aanbieder als:

• a.

  de geheimhouding van die gegevens onvoldoende is gewaarborgd, of

• b.

  onvoldoende is gewaarborgd dat zij uitsluitend worden gebruikt voor het doel waarvoor zij worden verstrekt.

2

Ter uitvoering van de in artikel 3 genoemde taken kan Onze Minister vertrouwelijke gegevens die herleid kunnen worden tot een aanbieder, zonder diens instemming uitsluitend verstrekken voor zover dat dienstig is aan het bevorderen van maatregelen ter voorkoming of beperking van een verstoring van het maatschappelijk verkeer. Ingevolge de eerste volzin worden uitsluitend gegevens verstrekt aan:

• a.

  CSIRT’s;

• b.

  andere computercrisisteams, aangewezen bij regeling van Onze Minister of behorend tot een bij die regeling aangewezen categorie;

• c.

  de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017.

3

Als een vitale aanbieder, of een andere aanbieder die onderdeel is van de rijksoverheid, onvoldoende gevolg geeft aan een door Onze Minister gegeven advies, kan Onze Minister in het advies opgenomen gegevens als bedoeld in het tweede lid verstrekken aan de bevoegde autoriteit of Onze betrokken Minister.

4

Voor zover dat noodzakelijk is om ernstige maatschappelijke gevolgen te voorkomen of te beperken:

• a.

  verstrekt Onze Minister onverwijld gegevens als bedoeld in het tweede lid aan de bevoegde autoriteit of Onze betrokken Minister;

• b.

  kan Onze Minister, na raadpleging van de betrokken aanbieder, gegevens als bedoeld in het tweede lid verstrekken aan andere organisaties of over die gegevens mededelingen doen aan het publiek.

5

Het eerste lid geldt niet voor de in het vierde lid, onder b, bedoelde mededelingen aan het publiek.

6

Het tweede lid geldt niet voor zover dat nodig is ter uitvoering van artikel 19, tweede tot en met vijfde lid.

7

De Wet openbaarheid van bestuur is niet van toepassing op gegevens als bedoeld in het tweede lid, behalve voor zover die gegevens milieu-informatie inhouden als bedoeld in artikel 19.1a van de Wet milieubeheer. De eerste volzin geldt ook als de gegevens bij een ander overheidsorgaan berusten na verstrekking op grond van dit artikel.

1

Ter uitvoering van de in artikel 4, derde lid, genoemde taak verstrekt de bevoegde autoriteit geen vertrouwelijke gegevens met betrekking tot een aanbieder van een essentiële dienst of een digitaledienstverlener die zij ingevolge deze wet verkrijgt, als:

• a.

  de geheimhouding van die gegevens onvoldoende is geborgd, of

• b.

  onvoldoende is gewaarborgd dat zij uitsluitend worden gebruikt voor het doel waarvoor zij worden verstrekt.

2

Artikel 20, zevende lid, is van overeenkomstige toepassing op vertrouwelijke gegevens als bedoeld in het eerste lid die herleid kunnen worden tot een aanbieder van een essentiële dienst of een digitaledienstverlener.

1

Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet zijn belast de bij besluit van de bevoegde autoriteit aangewezen personen.

2

Van een besluit als bedoeld in het eerste lid wordt mededeling gedaan door plaatsing in de Staatscourant.

1

De bevoegde autoriteit kan een aanbieder van een essentiële dienst bij besluit de verplichting opleggen dat de aanbieder:

• a.

  een onafhankelijke deskundige laat onderzoeken of de door de aanbieder genomen maatregelen voldoen aan de artikelen 7 en 8 en aan de nadere regels, bedoeld in artikel 9, en

• b.

  de resultaten van dat onderzoek binnen een bij het besluit gestelde redelijke termijn verstrekt aan de bevoegde autoriteit.

2

Het onderzoek wordt uitgevoerd op een door de bevoegde autoriteit voorgeschreven wijze.

3

Tenzij bij algemene maatregel van bestuur anders is bepaald, draagt de aanbieder de kosten van het onderzoek.

4

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over het eerste en tweede lid.

1

De bevoegde autoriteit kan aan de overtreder een bestuurlijke boete opleggen in geval van:

• a.

  overtreding van het bepaalde bij of krachtens deze wet;

• b.

  overtreding van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht.

2

De boete bedraagt ten hoogste:

• a.

  in geval van overtreding van artikel 12 of van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht: 1 miljoen euro;

• b.

  in geval van een andere overtreding: 5 miljoen euro.

3

De werking van het besluit tot oplegging van de boete wordt opgeschort totdat de beroepstermijn is verstreken of, als beroep is ingesteld, op het beroep is beslist.

4

Verzet schorst de tenuitvoerlegging van een dwangbevel dat strekt tot invordering van de boete.

5

Artikel 184 van het Wetboek van Strafrecht is niet van toepassing op de overtreding, bedoeld in het eerste lid, onder b.