De Cbw beschermt u tegen aanvallers. Niet een overname van uw kritieke leverancier.
Waarom een Cbw-conforme risicoanalyse niets helpt bij een overname van een kritieke IT-leverancier, welke drie artikelen van de Cbw die grens concreet maken, en wat u concreet kunt doen voor meer regie en weerbaarheid.
De Cbw verplicht u de beveiliging van uw kritieke leveranciers te beheersen. Een overname van een leverancier vereist vanuit de Cbw echter geen melding zolang de dienst blijft draaien, maar uit de praktijk blijkt dat een overname vaak wel leidt tot andere prijzen, een ander rechtsstelsel met eigen toegangsbevoegdheden, beëindigde support, of een gedwongen migratie. Voor de meeste IT-leveranciers van de publieke sector bestaat geen wettelijk instrument dat dit risico afvangt. De aanvullende maatregelen die u kunt treffen leest u hieronder.
Praktijkvoorbeelden
Kabinet verbiedt overname DigiD-hoster Solvinity
Staatssecretaris Aerdts verbood de overname van Solvinity door het Amerikaanse Kyndryl op grond van de Wet ongewenste zeggenschap telecommunicatie (WOZT), een zelfstandige sectorale regeling in de Telecommunicatiewet. Solvinity beheert infrastructuur achter DigiD, MijnOverheid en de Berichtenbox. De Wet veiligheidstoets investeringen, fusies en overnames (Wet Vifo) heeft een breder bereik dan de WOZT, maar de meeste reguliere IT-leveranciers vallen onder geen van beide. Zodoende kan vaker niet dan wel worden teruggevallen op deze middelen.
Bij Centric, leverancier aan 185 gemeenten, verloor de eigenaar zijn zeggenschap
De Ondernemingskamer droeg de laatste aandelen van eigenaar Sanderink over aan een beheerder; De Nederlandsche Bank verbrak uit voorzorg de relatie met haar datacentrumleverancier. Centric kreeg pas in juli 2024 een nieuwe eigenaar. Geen WOZT, geen Wet Vifo: die vallen buiten beide instrumenten, ook al is de eigenaar Nederlands.
Waar de wet stopt
Zorgplicht regelt de beveiliging van de relatie, niet het eigenaarschap
Artikel 21, derde lid, onderdeel d Cbw verplicht u tot "de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners." Dat verplicht u de actuele cyberbeveiligingspraktijken van een leverancier te beoordelen. Een toekomstige eigenaarswissel valt daarbuiten: de wet biedt geen instrument om die te signaleren, en vraagt dat ook niet van u.
Meldplicht triggert op verstoring, niet op een eigenaarswissel
Artikel 25, tweede lid Cbw definieert een significant incident als een gebeurtenis die "een ernstige operationele verstoring van de diensten of financiële verliezen" veroorzaakt, of andere entiteiten treft. Zolang de dienst doorloopt, is er niets te melden en niemand verplicht uw risicoanalyse te herzien.
Het scherpste instrument van de Cbw zelf blokkeert geen overname
Artikel 21a geeft de vakminister de bevoegdheid u te verplichten geen producten van een specifieke leverancier meer te gebruiken, maar alleen achteraf, bij een al vastgestelde dreiging voor de nationale veiligheid, en niet bij telecomaanbieders: die vallen onder de WOZT, het instrument waarmee Solvinity werd geblokkeerd.
Veelvoorkomende misvattingen
Onze ARBIT- of GIBIT-voorwaarden vangen dit al op.
Het ontbindingsrecht moet u zelf binnen twaalf maanden na constatering benutten. De continuïteitsgarantie in GIBIT 2025 verplicht de leverancier niet om de wijziging uit zichzelf te melden.
Dit is een landelijk vraagstuk, niet iets van onze organisatie.
Het landelijke instrument grijpt in bij een handvol aangewezen partijen, zoals gebeurde bij DigiD. Bij de rest ligt het risico bij de organisatie zelf.
Wij zijn een uitvoeringsorganisatie, de rijksbrede kaders regelen dit voor ons.
Rijksbrede kaders regelen wat u moet aantonen, niet met wie u een contract heeft. De keuze voor uw leverancier, en de exitvoorwaarden daarin, staan in uw eigen contract en zijn uw eigen aansprakelijkheid.
Aan de slag
Aanbevelingen
- Vul uw Cbw-risicoanalyse aan met een eigenaarschapsvraag per kritieke leverancier: wie is de uiteindelijke aandeelhouder, en onder welk rechtsstelsel valt die entiteit?
- Check of uw inkoopvoorwaarden voor IT-producten en -diensten een ontbindingsrecht bij "een ingrijpende wijziging in de zeggenschap" bevatten en wanneer deze te benutten is (bijvoorbeeld binnen 12 maanden in GIBIT 2025). Beleg direct wie dat signaal moet opvangen.
- Leg per kritieke leverancier vast wat vervanging zou kosten, zodat "we kunnen niet weg" een getal wordt.
Vragen aan uw leverancier
- Wie is uw uiteindelijke moederentiteit? Geen antwoord: u weet vandaag niet onder welk rechtsstelsel uw data morgen valt.
- Valt u onder de WOZT, de Wet Vifo, of een vergelijkbare buitenlandse investeringstoets? Weet de leverancier dit zelf niet, dan heeft niemand dit ooit getoetst.
- Bent u bereid ons proactief te informeren zodra onderhandelingen over een wijziging van zeggenschap concreet worden, in plaats van pas na afronding? Geen toezegging: onze ontbindingstermijn loopt dan al voordat wij het weten.
Klaar om dit voor uw organisatie te vertalen naar actie?
Krijg binnen 2 á 3 minuten uw eerste inzichten in de digitale soevereiniteitrisico's van uw organisatie middels onze gratis Quick Scan. Of neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.