Ontvangen 25 april 2018
Het voorstel van wet wordt als volgt gewijzigd:
A
In artikel 4, tweede lid, onderdeel b, wordt «de bij algemene maatregel van bestuur aangewezen instantie» vervangen door «de bij koninklijk besluit aangewezen instantie».
B
Artikel 25, eerste lid, komt te luiden:
1. Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet zijn belast de bij besluit van de bevoegde autoriteit aangewezen personen.
C
In artikel 26, eerste lid, onderdeel b, wordt «de aanwijzing» vervangen door «het besluit».
D
In artikel 35 wordt na «voor de verschillende artikelen of onderdelen daarvan» ingevoegd «, voor verschillende taken of voor verschillende categorieën van aanbieders of diensten».
Deze nota van wijziging regelt een lichtere en daardoor snellere procedure voor de aanwijzing van het CSIRT voor digitaledienstverleners (DSP’s), verbetert de mogelijkheid om een deel van de Cybersecuritywet (Csw) eerder in werking te laten treden en bevat twee juridisch-technische correcties.
Onderdeel A
Volgens het wetsvoorstel zoals oorspronkelijk ingediend, zou het CSIRT voor DSP’s worden aangewezen bij algemene maatregel van bestuur (amvb) (artikel 4, tweede lid, onder b, Csw). Voor een dergelijke aanwijzing is een amvb bij nader inzien niet nodig. Het gaat immers niet om een algemeen verbindend voorschrift. Met het oog daarop vervangt onderdeel A de aanwijzing bij amvb in een aanwijzing bij koninklijk besluit.
Onderdeel B
Per abuis ontbreekt in het eerste lid van artikel 25 het besluit waar het tweede lid naar verwijst («Van een besluit als bedoeld in het eerste lid wordt mededeling gedaan door plaatsing in de Staatscourant»). Onderdeel B corrigeert dat. Daarmee wordt de formulering van het eerste lid tevens in overeenstemming gebracht met aanwijzing 5.36 van de Aanwijzingen voor de regelgeving (model b).
Onderdeel C
Dit onderdeel corrigeert dat in artikel 26, eerste lid, onderdeel b, wordt verwezen naar «de aanwijzing», terwijl beoogd wordt te verwijzen naar het in de aanhef van dat lid genoemde besluit.
Onderdeel D
De implementatietermijn van de NIB-richtlijn eindigt op 9 mei 2018. Voor aanbieders van een essentiële dienst (AED) eindigt de implementatietermijn materieel een half jaar later, op 9 november 2018. Als het parlement de Csw voor het zomerreces aanvaardt, dan kan de Csw in de zomer met een beperkte vertraging in werking treden voor het centrale contactpunt, voor DSP’s en voor de vrijwillige melding van incidenten (artikel 16 Csw) en op 9 november 2018 op tijd voor AED’s en andere meldplichtige vitale aanbieders. Om dat ook juridisch-technisch mogelijk te maken, wijzigt onderdeel D artikel 35. De Wet gegevensverwerking en meldplicht cybersecurity en het Besluit meldplicht cybersecurity, die geen regels stellen over DSP’s, blijven gelden totdat de Csw op 9 november 2018 ook voor het overige in werking treedt.
De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus