Hosted PBX aanbieden onder de Cbw: waar ligt uw verantwoordelijkheid?

Valt een hosted PBX onder de Cbw?

De Cbw noemt hosted PBX niet met zoveel woorden. De wet kijkt naar het soort dienst. Aanbieders van openbare elektronische communicatienetwerken en -diensten vallen eronder, ongeacht hun omvang. Voor de betekenis van die begrippen verwijst de Cbw naar artikel 1.1 van de Telecommunicatiewet.

Levert u aan het publiek bellen via het openbare telefoonnet, met nummers en een koppeling naar andere netwerken? Dan bent u in de meeste gevallen aanbieder van een openbare elektronische communicatiedienst. Bent u klein of micro, dan bent u een belangrijke entiteit (artikel 12 Cbw). Bent u middelgroot of groter, dan bent u een essentiële entiteit (artikel 8 Cbw).

Twijfelt u, bijvoorbeeld omdat u alleen de centrale beheert en een ander de nummers en het verkeer levert? Beoordeel dan uw dienst per onderdeel. Een eerste indruk krijgt u met de gratis zelfscan. Lees ook reseller of wholesale als u een dienst van een ander doorverkoopt.

Waar begint uw verantwoordelijkheid?

De zorgplicht gaat over de netwerk- en informatiesystemen die u gebruikt om uw dienst te verlenen (artikel 21, eerste lid, Cbw). Maatregelen moeten ook de gevolgen van incidenten voor uw afnemers beperken. De wet trekt geen lijn bij het toestel of de firewall van de klant. Die lijn legt u daarom zelf vast, in uw beleid en in uw contracten.

Voorbeeld van een verdeling bij hosted PBX

Onderdeel	Meestal bij	Waar u op let
PBX-platform en SBC	Aanbieder	Patches, toegang, back-ups, logging
Scheiding tussen klantomgevingen	Aanbieder	Geen toegang tussen tenants, ook niet via beheer
Klantportaal en beheerrechten	Aanbieder, met rechten bij de klant	Sterke inlog, duidelijke rollen
Provisioning van toestellen	Aanbieder	Veilige overdracht van inloggegevens
Toestellen en lokaal netwerk	Klant, tenzij u ze beheert	Leg vast wie updates doet
Gebruikersaccounts	Klant, met regels van u	Eisen aan wachtwoorden, belblokkades

Dit is een voorbeeld, geen wettelijke indeling. Beheert u ook de toestellen of het klantnetwerk, dan schuift de lijn op. Mogelijk levert u dan ook een beheerde dienst. Daarvoor gelden andere regels; zie NIS2 voor MSP's.

Welke maatregelen wegen het zwaarst?

De wet noemt tien onderwerpen in artikel 21, derde lid, onder a tot en met j. Dat komt overeen met artikel 21, tweede lid, onder a tot en met j, van de NIS2-richtlijn. Voor telecom werken het Cyberbeveiligingsbesluit (Cbb) en de Regeling cyberbeveiliging EZK ze uit. Bij een hosted PBX vragen vooral deze punten aandacht:

• Beheertoegang. Voor beheeraccounts vraagt de regeling sterke authenticatie en zoveel mogelijk persoonsgebonden rechten (artikel 6). Eén gedeeld admin-wachtwoord voor het hele platform past daar niet bij.
• Segmentatie. U deelt uw netwerk op in zones op basis van uw risicoanalyse, en scheidt waar passend uw systemen van die van derden (artikel 5, vierde lid). Denk aan beheer, spraak en klantportaal als aparte zones.
• Patchbeheer. Beveiligingspatches plaatst u binnen een redelijke termijn. Doet u dat niet, dan motiveert u dat en legt u het vast (artikel 5, tweede lid). Let vooral op onderdelen die vanaf internet bereikbaar zijn.
• Back-ups en herstel. U legt per onderdeel hersteltijden, herstelpunten en bewaartermijnen vast (artikel 4). Voor een PBX gaat het ook om belplannen, keuzemenu's, nummerplannen en configuraties.
• Logging. U logt relevante gebeurtenissen, bewaart die een vooraf bepaalde periode en beschermt ze tegen wijziging (artikel 8, zesde lid, Cbb).

Uw leveranciers horen erbij

Een hosted PBX draait zelden helemaal op eigen middelen. Vaak zijn er een carrier, een datacenter, een softwareleverancier en soms een provisioningdienst. In uw beleid bepaalt u hoe u met die afhankelijkheden omgaat. Ook toetst u periodiek of uw rechtstreekse leveranciers aan uw beveiligingseisen voldoen (artikel 10 Cbb). Begin met een lijst: wat gebeurt er met uw dienst als deze partij een dag uitvalt?

Bij een incident

Valt het platform uit, dan raakt dat alle klanten tegelijk. Een incident is in elk geval significant als ten minste 50.000 gebruikers vier uur of langer zijn getroffen, of als het alarmnummer niet beschikbaar is (artikel 8 Regeling cyberbeveiliging EZK). Volgens de toelichting kunnen werknemers van een zakelijke klant als afzonderlijke gebruikers tellen. Blijft u onder de getallen, dan kan het incident toch significant zijn op grond van de algemene regel in artikel 25, tweede lid, Cbw. Lees meer in storing of significant incident en leg uw afweging altijd vast.

Klanten informeert u waar nodig onverwijld (artikel 30 Cbw). Spreek vooraf af wie dat doet als een reseller tussen u en de eindklant zit.

Praktische tips

• Maak één A4 met de grens tussen uw taken en die van de klant, en neem die op in uw contract.
• Controleer of 112 werkt na elke grote wijziging aan routering of nummerplan.
• Test het herstel van één complete klantomgeving uit een back-up, niet alleen van losse bestanden.
• Leg vast wie in de nacht beslist over een melding, en wie kan inloggen op MijnNCSC.

Veelgestelde vragen

Telt een klant met honderd toestellen als één gebruiker?

Niet per se. De toelichting bij de regeling zegt dat werknemers van een zakelijke gebruiker als afzonderlijke gebruikers kunnen worden beschouwd. Weet u het exacte aantal niet, dan maakt u een schatting.

Mag de klant zelf verantwoordelijk zijn voor wachtwoorden?

Dat kunt u afspreken. U blijft wel verantwoordelijk voor de maatregelen op uw platform, zoals eisen aan wachtwoorden en het beperken van misbruik.

Waar begin ik?

Doe de zelfscan en werk daarna de punten uit in het portaal. U kunt het 30 dagen gratis proberen, zonder betaalgegevens.