Toezicht door de RDI op de Cyberbeveiligingswet: wat kunt u verwachten?

Wie houdt toezicht op telecom?

De Cbw wijst per sector een bevoegde autoriteit aan (artikel 15 Cbw). Voor de sector digitale infrastructuur, waar telecom onder valt, is dat de minister van Economische Zaken. Het toezicht wordt uitgevoerd door de RDI. Op de RDI-website staan aanbieders van openbare elektronische communicatienetwerken en -diensten bij de sectoren onder toezicht van de RDI. De toezichthouders zijn de ambtenaren die de bevoegde autoriteit daarvoor aanwijst (artikel 68 Cbw).

Essentieel of belangrijk: twee soorten toezicht

De plichten zijn in de basis gelijk, maar het toezicht verschilt:

• Essentiële entiteiten krijgen toezicht vooraf én achteraf. De RDI kan ook zonder aanleiding informatie vragen of langskomen.
• Belangrijke entiteiten krijgen vooral toezicht achteraf. De toezichtsinstrumenten voor belangrijke entiteiten gelden als de RDI bewijs, een aanwijzing of informatie heeft over een mogelijke overtreding (artikel 81 Cbw). Denk aan een incident of een signaal van buiten.

Een klein telecombedrijf is meestal een belangrijke entiteit; een middelgroot of groot bedrijf is essentieel. Zie Val ik onder NIS2? voor de indeling.

Hoe ziet het eerste jaar eruit?

De RDI schrijft dat zij in het eerste jaar de sectoren beter wil leren kennen. U kunt een brief krijgen, een uitnodiging voor een kennismakingsgesprek of een vragenlijst die u moet invullen. Komt er een inspectie, dan krijgt u volgens de RDI per brief informatie over het proces.

Soorten inspecties

Inspectievormen volgens de RDI

Vorm	Wanneer	Waar het om gaat
Reguliere inspectie	Gepland op basis van risico en impact	Hoe u cyberbeveiliging en bedrijfsvoering heeft ingericht, of u zicht heeft op risico's en passende maatregelen nam
Thema-inspectie	Bij een ontwikkeling of actualiteit	Eén onderwerp in een sector
Inspectie na een incident	Na een melding of signaal	Hoe het incident kon gebeuren en of u herhaling voorkomt; de RDI vraagt dan naar een oorzaakanalyse

Hoe vaak u een inspectie krijgt, hangt volgens de RDI af van uw risicoprofiel.

Wat mag de RDI?

De inspecteurs hebben de bevoegdheden uit de Algemene wet bestuursrecht. De RDI noemt onder meer: informatie en documenten opvragen, toegang tot locaties en onderzoek van producten of processen. Als de RDI om informatie vraagt, bent u verplicht mee te werken. Niet meewerken kan zelf een overtreding zijn; de Cbw maakt daar een boete voor mogelijk (artikelen 80 en 87 Cbw, met verwijzing naar artikel 5:20 Awb).

De wet geeft daarnaast instrumenten zoals een beveiligingsscan, een verplichte audit door een onafhankelijke deskundige en een bindende aanwijzing. Bij essentiële entiteiten kan ook een controlefunctionaris worden aangewezen (artikel 70 Cbw). Meer daarover in Boetes en handhaving onder de Cbw.

Waar kijkt de RDI naar?

De RDI gebruikt een eigen toezichtskader. Volgens haar veelgestelde vragen kijkt zij naar de registratieplicht, de zorgplicht en de meldplicht. Een belangrijk onderdeel is de risicoanalyse: de RDI vraagt hoe u die deed en kan bewijs opvragen. Ook schrijft de RDI dat zij toetst of maatregelen in verhouding staan tot de risico's, wat relevant is voor kleine en middelgrote bedrijven.

Zo bent u voorbereid

Zorg dat u deze stukken snel kunt laten zien:

• uw beoordeling of u onder de wet valt, en als welk soort entiteit;
• de bevestiging van uw registratie bij het NCSC;
• uw risicoanalyse en het risico-overzicht; zie risicoanalyse onder de Cbw;
• uw beleid per zorgplichtonderwerp en bewijs dat u het toepast, zoals verslagen van controles en tests;
• uw meldprocedure en het incidentregister;
• het goedkeuringsbesluit van het bestuur en de trainingscertificaten.

Wijs één contactpersoon aan voor de RDI en houd bij wat u heeft gedeeld. Krijgt u een vragenlijst, antwoord dan feitelijk en eerlijk. Het verstrekken van valse of zeer onnauwkeurige informatie noemt de wet als ernstige overtreding (artikel 69 Cbw).

Veelgestelde vragen

Krijg ik als klein bedrijf ook een inspectie?

Als belangrijke entiteit krijgt u vooral toezicht achteraf, bijvoorbeeld na een incident of signaal. U kunt ook een vragenlijst of brief krijgen. Uw plichten zijn hetzelfde als die van essentiële entiteiten.

Moet ik meewerken aan een vragenlijst van de RDI?

Ja. Volgens de RDI bent u verplicht mee te werken als zij om informatie vraagt.

Gebruikt de RDI een vaste norm, zoals ISO 27001?

De RDI gebruikt een eigen toezichtskader en toetst aan de eisen van de wet. Een ISO-certificaat bewijst volgens de RDI niet dat u aan de zorgplicht voldoet.