Val ik onder de Cbw?
Rekent in je browser · je antwoorden blijven op dit apparaat

Toelichting

Waar de toets op rust

Dezelfde tekst als de README.md in de repository; de toets hierboven is er de klikbare vorm van.

Voor de sector overheid kent de Cyberbeveiligingswet geen omvangscriterium: aantal medewerkers, omzet en balanstotaal doen niet ter zake. Ministeries, provincies, gemeenten en waterschappen vallen automatisch onder de wet. Gemeenschappelijke regelingen en zbo’s niet. Die vallen eronder voor zover zij voldoen aan de vier criteria voor overheidsinstanties, en dat verschilt per geval. Elke regeling moet die toets zelf doen en de uitkomst kunnen verantwoorden.

Een regeling die aan de criteria voldoet, valt zelfstandig onder de wet. De deelnemende gemeenten zijn niet verantwoordelijk voor de naleving door de regeling.

Begin niet hier

Registreren gaat via het portaal van het NCSC met eHerkenning op niveau EH2+, op de dienst MijnNCSC. Het aanvragen of uitbreiden van zo’n middel kost dagen tot weken, afhankelijk van de leverancier en de interne route. Dat is in de praktijk het kritieke pad, niet de juridische analyse. Zet die aanvraag in gang voordat je aan deze toets begint. Blijkt de regeling niet in scope, dan heb je een ongebruikt middel. Blijkt zij wel in scope en heb je niets, dan sta je stil.

Wat de toets doet

De vier criteria zijn cumulatief: pas als alle vier met ja worden beantwoord, is sprake van een overheidsinstantie in de zin van de wet.

  1. Algemeen belang, geen commercieel karakter. Opgericht voor publieke taken, zonder winstoogmerk.
  2. Rechtspersoonlijkheid, of bevoegd namens een ander op te treden. De vorm van de regeling is bepalend, maar het ontbreken van eigen rechtspersoonlijkheid sluit niets uit.
  3. Financiering, toezicht of benoeming door de overheid. Drie alternatieve routes; een ja volstaat.
  4. Bevoegdheid tot besluiten die rechten van burgers of bedrijven raken. Het beslissende criterium, en het criterium waar de meeste toetsen stranden of juist kantelen.

De toets geeft geen uitslag maar een dossier: per criterium je antwoord, het bewijsstuk dat je erbij noemt, en de punten die open blijven. Dat is met opzet. Wat een organisatie bij toezicht nodig heeft, is niet het antwoord maar de onderbouwing waarmee ze het antwoord verdedigt. De registratie sluit af met een verklaring naar waarheid.

Drie plekken waar het misgaat

Mandaat is geen ontsnapping. Een entiteit heeft de bevoegdheid om besluiten te nemen niet alleen wanneer die is geattribueerd of gedelegeerd, maar ook wanneer die is gemandateerd. Wat blijft staan: leg per taak vast namens wie wordt besloten en onder welk briefhoofd het naar buiten gaat. Bij een gemengd beeld, sommige taken gedelegeerd en andere in mandaat, ligt “wel in scope” voor de hand.

De zinsnede over grensoverschrijdend verkeer is strenger dan hij oogt. Die komt uit artikel 6, onderdeel 35 van de NIS2-richtlijn en moet ruim worden uitgelegd, maar de uitzonderingsclausule bevat de eigenlijke toets. Daaraan is alleen voldaan wanneer beide voorwaarden gelden: de entiteit brengt EU-recht ten uitvoer dat aan een van de vier vrijheden raakt, én het is niet uitgesloten dat haar besluiten gevolgen hebben voor personen of rechtspersonen buiten Nederland. In de praktijk wordt de eerste voorwaarde hard getoetst: welke EU-verordening of -richtlijn ligt aan de taak ten grondslag?

Let op de lezing die daarmee vervalt: dat het bestaan van Awb-besluiten mét bezwaar en beroep aan dit criterium laat voldoen. Dat hoort bij het eerste deel van het criterium en is een noodzakelijke, geen voldoende voorwaarde. Er zijn regelingen die Awb-besluiten nemen mét bezwaar en beroep en tóch buiten scope vielen, omdat er geen EU-grondslag onder de taken lag.

De conclusie reikt niet verder dan de takenlijst. Beantwoord criterium 4 per taak, niet voor de organisatie als geheel, en laat intern bevestigen dat de lijst uitputtend is. Bron: de tekst van de regeling, het mandaatregister en de begrotingsprogramma’s.

Wat je erbij nodig hebt

De regeling zelf inclusief wijzigingen · alle mandaat-, volmacht- en delegatiebesluiten · begroting en jaarrekening · reglementen van bestuur · dienstverleningsovereenkomsten met deelnemers · een actueel overzicht van uitvoeringstaken met hun wettelijke grondslag · eventuele correspondentie met het ministerie over de wet.

Daarna

Wel in scope: registreren bij het NCSC, de zorgplicht inrichten via een gap-analyse tegen BIO2, de meldplicht operationeel maken met de termijnen van 24 en 72 uur, risicobeheer en ketenbeheersing actualiseren, en de wet bestuurlijk verankeren. Bestuurders hebben onder de wet een eigen rol, inclusief een kennis- en opleidingsplicht. Stel ook vast of de organisatie als essentiële of als belangrijke entiteit wordt aangemerkt, want dat bepaalt het toezichtregime.

Niet in scope: leg de analyse en de onderbouwing vast, zodat de uitkomst reproduceerbaar is. Herbeoordeel bij verandering, want nieuwe taken of een omzetting van mandaat naar delegatie kunnen de uitkomst kantelen; zet een jaarlijkse hertoets in de planning. Maak ketenafspraken met de deelnemers: die vallen zelf wél onder de wet en zullen vanuit hun eigen zorgplicht eisen stellen aan de regeling als ketenpartner of leverancier.

Een antwoord van een beleidsloket is bruikbaar als onderbouwing, maar het is geen beschikking en geen vrijwaring. Bewaar de wisseling integraal en noteer welke vraag er precies beantwoord is, en op welke aannames het antwoord rust.

Bronnen

Deze toets structureert en documenteert de analyse. Hij vervangt geen juridisch advies. De organisatie is zelf verantwoordelijk voor het oordeel of zij onder de Cyberbeveiligingswet valt.

Geen account, geen server, geen telemetrie. Deze uitkomst komt uit je eigen antwoorden en is geen juridisch oordeel. Offline gebruiken? Sla deze pagina op met Ctrl+S; alles zit erin.