NIS2 en de AVG

Twee wetten die allebei over beveiliging gaan en toch iets heel anders regelen. De AVG beschermt personen tegen misbruik van hun gegevens. De Cyberbeveiligingswet beschermt de samenleving tegen uitval van kritieke diensten. Dat verschil bepaalt vrijwel alles.

Naast elkaar

Waar ze overlappen

De AVG eist "passende technische en organisatorische maatregelen". De Cyberbeveiligingswet eist "passende maatregelen". Dat is inhoudelijk grotendeels dezelfde lijst: toegangsbeheer, encryptie, back-ups, incidentafhandeling, leveranciersbeoordeling.

Praktisch betekent dat: u bouwt één dossier, niet twee. Uw risicoanalyse dekt beide, mits u de gevolgen voor personen én de gevolgen voor uw dienstverlening meeneemt.

Waar het misgaat: het incident dat allebei raakt

Bij gijzelsoftware waarbij klantgegevens zijn buitgemaakt, heeft u twee meldplichten met verschillende termijnen en verschillende ontvangers. De 24 uur loopt af terwijl de meeste organisaties nog met de 72 uur bezig zijn, omdat ze die kennen.

Zet daarom beide routes naast elkaar in uw incidentresponsplan. Zie ook datalek melden.

Wat de een wel vraagt en de ander niet

• Alleen AVG: rechten van betrokkenen, verwerkingsregister, verwerkersovereenkomsten, functionaris gegevensbescherming
• Alleen NIS2: registratie in het entiteitenregister, meldplicht binnen 24 uur, verplichte bestuurstraining, persoonlijke bestuursverantwoordelijkheid
• Beide: risicoanalyse, beveiligingsmaatregelen, incidentafhandeling, leveranciersbeoordeling

Eén dossier, twee doelen

Bouw uw dossier op vanuit de risicoanalyse en vermeld per maatregel welke verplichting hij bedient. Dat scheelt niet alleen werk, het is ook geloofwaardiger: twee losse stelsels die elkaar tegenspreken is een bevinding die u zichzelf aandoet.

Praktisch: hoe u één dossier bouwt voor beide

Begin bij de risicoanalyse en neem daar twee soorten gevolgen in op: wat betekent dit voor de mensen van wie wij gegevens hebben, en wat betekent dit voor onze dienstverlening. Dezelfde gebeurtenis krijgt dan twee wegingen, en daar volgen dezelfde maatregelen uit.

Vermeld vervolgens per maatregel welke verplichting hij bedient. Een tabel met drie kolommen volstaat: maatregel, AVG, Cyberbeveiligingswet. Bij een controle door de ene toezichthouder laat u dan meteen zien dat u de andere ook op orde heeft, en dat werkt in uw voordeel.

De rollen niet door elkaar halen

De functionaris gegevensbescherming houdt onafhankelijk toezicht en mag daarom niet zijn eigen werk beoordelen. De verantwoordelijke voor informatiebeveiliging voert juist uit. Die twee in één persoon samenvoegen lijkt efficiënt in een kleine organisatie, maar het maakt het toezicht waardeloos en is bij een controle direct een bevinding.

Heeft u geen verplichte functionaris gegevensbescherming, dan speelt dit niet en kunt u de rollen wel combineren. Leg dan wel vast waarom u geen functionaris hoeft aan te stellen.

Drie situaties, drie andere antwoorden

De vraag "wat is het verschil" heeft een ander antwoord al naar gelang uw eigen positie. Er zijn grofweg drie situaties.

• U valt alleen onder de AVG. U verwerkt persoonsgegevens maar zit niet in een aangewezen sector of blijft onder de omvangsgrens. Dan geldt voor u alleen het AVG-regime: verwerkingsregister, grondslagen, meldplicht bij de Autoriteit Persoonsgegevens.
• U valt onder beide. U zit in een aangewezen sector én verwerkt persoonsgegevens, wat voor vrijwel elke organisatie geldt. Dan bouwt u het gecombineerde dossier zoals hierboven beschreven.
• U bent verwerker voor een klant die onder de Cyberbeveiligingswet valt. Uzelf valt er misschien niet onder, maar uw klant wel, en die moet u als leverancier beoordelen. Zie verwerkersovereenkomst voor wat daarin moet staan.

Behandel deze drie niet hetzelfde. Een organisatie in de derde categorie hoeft geen registratie te doen en geen bestuurstraining te volgen; die verplichtingen liggen bij de klant, niet bij de leverancier.

Wat het kost als u ze verwart

De meest voorkomende misser is de meldtermijn. Een organisatie die gewend is aan de 72 uur van de AVG, mist stelselmatig de 24 uur van de Cyberbeveiligingswet, simpelweg omdat het proces daar niet op is ingericht. Een te late vroegtijdige waarschuwing is een zelfstandige overtreding, los van de vraag of het incident zelf ernstig was.

De tweede misser is denken dat een AVG-verwerkersovereenkomst ook de verplichtingen van een leverancier onder de Cyberbeveiligingswet regelt. Dat doet hij niet: een verwerkersovereenkomst gaat over persoonsgegevens, niet over meldtermijnen bij een operationele storing zonder datalek.

De volgorde die werkt

1. Stel vast in welke van de drie situaties hierboven u zit.
2. Breid uw bestaande AVG-risicoanalyse uit met de gevolgen voor de dienstverlening, niet alleen voor personen.
3. Richt één meldproces in met twee routes en twee klokken: 24 uur naar het CSIRT waar van toepassing, 72 uur naar de Autoriteit Persoonsgegevens waar van toepassing.
4. Leg de verdeling van rollen vast, inclusief de vraag of de functionaris gegevensbescherming en de beveiligingsverantwoordelijke wel of niet dezelfde persoon mogen zijn.

De denkfout: één regeling dekt beide

De meest gemaakte denkfout bij deze vraag is aannemen dat een privacybeleid automatisch ook de zorgplicht uit de Cyberbeveiligingswet invult, of andersom. Beide wetten eisen passende maatregelen, maar toetsen die aan een ander doel. Een beveiligingsmaatregel die vanuit de AVG prima verdedigbaar is omdat het risico voor personen klein is, kan vanuit de wet alsnog onvoldoende zijn omdat de gevolgen voor de dienstverlening groot zijn.

Veelgestelde vragen

Voldoe ik met de AVG automatisch aan NIS2?

Nee. De maatregelen overlappen, maar registratie, de meldtermijn van 24 uur en de bestuurstraining komen er nieuw bij.

Moet ik twee keer melden bij één incident?

Als er persoonsgegevens bij betrokken zijn en het incident significant is: ja, bij beide instanties, met verschillende termijnen.

Kan ik één functionaris voor beide aanwijzen?

Beter niet. De functionaris gegevensbescherming houdt toezicht en moet onafhankelijk zijn; de verantwoordelijke voor informatiebeveiliging voert uit.

Welke boete is hoger?

De AVG kent de hogere maximumboete, maar de Cyberbeveiligingswet kent persoonlijke bestuursaansprakelijkheid die de AVG niet heeft.

Wij hebben al een AVG-dossier, is dat een goede basis?

Ja, gebruik het als startpunt. Vul de risicoanalyse aan met de gevolgen voor uw dienstverlening en voeg de meldroute van 24 uur toe.

Onze verwerkersovereenkomst regelt toch de beveiliging al?

Die regelt de beveiliging van persoonsgegevens. Een storing zonder datalek valt daar niet onder, maar kan wel meldingsplichtig zijn onder de Cyberbeveiligingswet.

Moeten wij twee aparte risicoanalyses maken?

Nee, één risicoanalyse met twee invalshoeken volstaat en is ook overzichtelijker bij een controle.