‘Cyberbeveiligingswet werkt averechts voor het onderwijs’

Hogescholen en universiteiten zien niets in het kabinetsplan om ook hen te onderwerpen aan de nieuwe cyberbeveiligingswet. Het leidt volgens hen juist tot minder veiligheid en het is nog duur ook.

De dreiging van digitale aanvallen in Nederland is groot volgens het kabinet en neemt steeds verder toe in deze ‘turbulente geopolitieke tijden’. Nederlandse kennisinstellingen zijn volgens onderwijsminister Bruins een aantrekkelijk doelwit voor kwaadwillenden. Ze hebben hun digitale veiligheid de laatste jaren weliswaar flink verbeterd, maar hij vindt het toch beter dat ze onder de nieuwe cyberbeveiligingswet gaan vallen waaraan het kabinet werkt.

Ze krijgen dan de wettelijke plicht om hun digitale systemen goed te beveiligen en hierop extern toezicht te laten houden. Er zijn volgens Bruins qua cyberveiligheid nog aanzienlijke verschillen tussen instellingen, vandaar dat hij ze in de wet wil opnemen.

Onnodig

Onderwijs en onderzoek moeten goed worden beveiligd, beamen universiteitenvereniging UNL, de Vereniging Hogescholen en de MBO Raad in een brief aan onderwijsminister Bruins, maar volgens hen gebeurt dat al: de bestaande samenwerking in SURF, de ict-coöperatie van onderwijs- en onderzoekinstellingen, is ‘bewezen effectief’. SURF heeft de brief medeondertekend.

“We hebben aangetoond dat het mogelijk is om de cyberweerbaarheid snel en stevig te verbeteren zonder de noodzaak van dwingende, bureaucratische en kostbare wetgeving”, staat in de brief. De nieuwe wet zou het verbeteren van de veiligheid juist onnodig vertragen.

Europese richtlijn

Een ander bezwaar is dat de kosten voor cyberbeveiliging naar schatting van de Europese Commissie met 22 procent zullen stijgen. Uit de Voorjaarsnota bleek dat het kabinet de onderwijsinstellingen hiervoor niet compenseert. Sterker nog, het kabinet schuift 7,6 miljoen van hun budget naar de Onderwijsinspectie en SURF, die door de nieuwe wet ook extra kosten zullen hebben.

Met de cyberbeveiligingswet gaat het kabinet de Europese zogeheten NIS2-richtlijn invoeren, maar volgens de briefschrijvers hoeft dat voor het onderwijs niet: de Europese Commissie laat de lidstaten namelijk de keuze om onderwijsinstellingen wel of niet onder de richtlijn te laten vallen.

Mocht het kabinet daar toch aan willen vasthouden, dan willen de instellingen ten minste vier jaar voorbereidingstijd, voldoende financiële middelen en veiligheidsnormen die passen bij hogescholen en universiteiten.