In augustus trad de Cyberbeveiligingswet (Cbw) in werking, samen met de Wet weerbaarheid kritieke entiteiten. Een mijlpaal met eindelijk een afdwingbare zorgplicht, een meldplicht en toezicht voor duizenden organisaties in achttien sectoren. Ik werk zeer regelmatig met de BIO2 en heb de afgelopen weken de Cbw, het Cyberbeveiligingsbesluit en de bijbehorende regelingen doorgeploegd. Precies in die periode kwam ik ook een Kamerstuk op het spoor uit het vergaderjaar 1987-1988, nummer 20644, over informatievoorziening bij de overheid.
Dit stuk (dat ik m.b.v. AI doornam) maakte me mistroostig over de sindsdien bereikte vooruitgang en daarmee ook cynisch over de in de toekomst te bereiken resultaten. Ik hoop maar dat dit andersom ook waar is: “Resultaten uit het verleden zijn geen garantie voor de toekomst”
Waarom mistroostig?
Voorspelbare problemen werden voorspeld
Waarom? Omdat menig probleem dat de Cbw probeert op te lossen al in 1988 op papier stond. De notitie waarschuwt dat decentralisatie van bevoegdheden en apparatuur beveiliging steeds moeilijker maakt, omdat gegevens "steeds verder buiten de relatief makkelijk af te schermen rekencentra" terechtkomen. Ze kondigt een onderzoek aan naar de noodzaak van "een ondersteunend bureau voor de beveiliging van overheidsinformatievoorziening" en verplicht een onafhankelijke contra-expertise bij risicovolle ICT-projecten.
De notie rept ook over het idee van basisregistraties, bijna letterlijk de definitie die we nu gebruiken voor BRP en BAG. Vier kernideeën van de Cbw (en het bredere overheidsbeleid anno 2026) stonden min of meer al klaar in een Kamerstuk van bijna veertig jaar oud. Dat is wat mij betreft niet zozeer vooruitziend, maar vooral een teken dat we maar al te traag zijn met het omzetten van inzichten in realisatie. Ook die redenen zijn uit hetzelfde stuk te halen.
"De wet dwingt nu weliswaar een zorgplicht af bij individuele organisaties, maar de coördinatie tussen overheidslagen onderling, tussen Rijk, provincies, gemeenten en waterschappen, blijft grotendeels op vrijwillige basis georganiseerd."
Het probleem is niet kennis
Maar de versplintering van (doorzettings)macht
De notitie van 1988 is gebouwd op een belangrijk uitgangspunt: bestuurlijke autonomie. Ofwel: "De verantwoordelijkheid voor beleidsinhoudelijke vraagstukken en voor de daarmee verbonden informatievoorziening behoren, naar de mening van het kabinet, in één hand te liggen." Ieder ministerie, iedere provincie en iedere gemeente is primair zelf verantwoordelijk. Zeker, dat geldt ook voor waterschappen. Een coördinerend minister mag adviseren, aansporen of hooguit een geschil voorleggen aan de ministerraad. Maar niet dwingen.
Diezelfde spanning zie ik terug in de Cbw. Het NCSC coördineert, registreert, adviseert. Toezicht en handhaving liggen echter grotendeels bij sectorale toezichthouders, waaronder de RDI. Ze zijn verspreid over ministeries die, net als in 1988, vooral hun eigen autonomie bewaken (zie mijn blog over de regelingen). De wet dwingt nu weliswaar een zorgplicht af bij individuele organisaties, maar de coördinatie tussen overheidslagen onderling, tussen Rijk, provincies, gemeenten en waterschappen, blijft grotendeels op vrijwillige basis georganiseerd.
Het kostenhoofdstuk uit de notitie van 1988 is daar een bewijs van: doorberekening van investeringen tussen bestuurslagen was toen al "een moeizaam verlopend proces", en wie ooit heeft geprobeerd financiering rond te krijgen voor, zeg, een gedeeld SOC tussen gemeenten en het Rijk, weet dat dit anno 2026 niet is opgelost. Het is alleen groter geworden, omdat er inmiddels veel meer gezamenlijke voorzieningen zijn om onenigheid over te hebben.
"De wet dwingt nu weliswaar een zorgplicht af bij individuele organisaties, maar de coördinatie tussen overheidslagen onderling, tussen Rijk, provincies, gemeenten en waterschappen, blijft grotendeels op vrijwillige basis georganiseerd."
Veertig jaar later een nieuwe wet
Die menig knelpunt alsnog niet oplost
Mijn punt is niet dat de Cbw alleen maar oude inzichten vertaalt naar nieuwe wetgeving. De overgang van vrijblijvende aanbeveling ('verplichtende zelfregulering') naar een wettelijk afdwingbare zorgplicht mét sancties, is een uitstekende stap en ik ben blij dat deze wettelijke verankering er eindelijk is (beter dan artikel 32 AVG). Mijn punt is dat we in 1988 al wisten wat er moest gebeuren, en toch veertig jaar nodig hadden om daar een afdwingbare verplichting van te maken. En de oorzaak van die vertraging, namelijk de versnipperde verantwoordelijkheid zonder doorzettingsmacht, zit nog altijd in de manier waarop de Cbw (straks) wordt uitgevoerd.
Neem de 'contra-expertise' uit 1988, de voorloper van de BIT-toets. In de kabinetsnotitie zelf wordt de CCOI gevraagd om "een nadere precisering van de criteria voor het verplicht stellen van contra-expertise", en in haar advies bij dezelfde Kamerstukken merkt de Centrale Commissie Overheidsinformatievoorziening (CCOI) op dat begrippen als "complex" en "risicovol" nog nader gedefinieerd moeten worden. Bijna veertig jaar later kent de opvolger, het Adviescollege ICT-toetsing, weliswaar een harde meldingsdrempel (projecten vanaf vijf miljoen euro moeten worden aangemeld), maar bepaalt het adviescollege vervolgens zelf, in overleg met de aanvrager en de betrokken minister, welke gemelde projecten het daadwerkelijk toetst. De aanscherping waar de CCOI in 1988 om vroeg is er dus wel gekomen, maar de 'discretionaire ruimte' waar het CCOI tevens voor voor waarschuwde, is gebleven.
Of neem de basisregistraties. Het principe van eenmalige registratie en meervoudig gebruik stond in 1988 al op papier, inclusief de eis dat gegevens niet dubbel worden verzameld tenzij daar een concrete reden voor is. Vandaag lopen we nog steeds tegen gemeenten en uitvoeringsorganisaties aan die burgers voor dezelfde gegevens meerdere keren lastigvallen, omdat het stelsel van basisregistraties in de praktijk niet dwingend genoeg is ingericht (al gaat dat wel de goede kant op). Of omdat men (veelal onterecht) meent dat de AVG dit niet toestaat. Dat is bijna altijd onzin!
En de komende veertig jaar?
Ken het krachtenveld
Ik voorspel dat de Cbw over vijf jaar in de evaluatie dezelfde diagnose krijgt als de notitie van 1988 zichzelf stelde: de beginselen en inhoud deugen (nog steeds), de uitvoering hapert door versnipperde verantwoordelijkheid en gebrek aan doorzettingsmacht bij het coördinerend orgaan. En allicht ook het toezichthoudend orgaan...
Het NCSC krijgt een registratie- en adviesrol, geen doorzettingsmacht over ministeries en medeoverheden blijven zelf verantwoordelijk voor naleving binnen hun eigen kolom. Toezichthouders zijn de komende jaren onderbemenst en zullen nauwelijks (indrukwekkend) toezichthoudend optreden, laat staan serieus sanctioneren. Dat is bestuurlijk allicht onvermijdelijk in een land dat de decentrale autonomie koestert, maar het is daarmee ook een herhaling van het eerdere patroon. En de jaren tikken door terwijl de overheid (meer) op achterstand blijft. Een nieuw rapport van een Rekenkamer, verscherpt toezicht van de Autoriteit Persoonsgegevens of een Inspectie dan wel een vernietigend rapport van de Auditdienst Rijk: het zal niet genoeg zijn. De bestuurder en manier van besturen moeten serieus veranderen en die verplichte training is een heel goede stap in die richting!
Wie nu een BIO2- of Cbw-implementatie begeleidt, doet er goed aan deze geschiedenis serieus te nemen. Als waarschuwing. De inhoudelijke normen zijn zelden het probleem. Het probleem is en blijft wie de bevoegdheid krijgt om ze af te dwingen (en hoe) wanneer een ministerie, een gemeente of een provincie besluit dat het eigen belang zwaarder weegt dan het collectieve. Tot dat structureel is opgelost, verwacht ik in 2066 een vergelijkbaar Kamerstuk over de opvolger van de Cbw, met dezelfde knelpunten in nieuwe bewoordingen.
ps. ben zelf de veertig trouwens net gepasseerd.
Share on
