Bijlage II van Richtlijn (EU) 2022/2555 heeft een sector die „digitale aanbieders” heet, met drie regels: aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten. Het zijn de enige platformbedrijven die de richtlijn noemt, en ze staan in de bijlage van de „andere kritieke sectoren”, niet in de bijlage van „hoge kriticiteit”, wat iets beslist wat de jurist van een platform als eerste wil weten: hoe groot het ook wordt, het is een belangrijke entiteit en geen essentiële, tenzij een lidstaat het daartoe maakt. Dit artikel neemt de drie definities, de status, de lidstaat, het register en de drempels die specifiek voor deze drie gelden, en waar de grens met een SaaS-bedrijf en met de Cyber Resilience Act loopt.

Drie definities, geleend uit drie handelingen

NIS2 definieert twee van de drie door verwijzing. Artikel 6(28) verwijst voor „onlinemarktplaats” naar artikel 2, punt n), van Richtlijn 2005/29/EG, dat luidt: „een dienst die gebruikmaakt van software, waaronder een website, een deel van een website of een door of namens een handelaar beheerde applicatie, en die consumenten in staat stelt op afstand overeenkomsten te sluiten met andere handelaren of consumenten”. Artikel 6(29) verwijst voor „onlinezoekmachine” naar artikel 2, punt 5), van Verordening (EU) 2019/1150: „een digitale dienst die het gebruikers mogelijk maakt zoekvragen in te voeren om zoekacties uit te voeren op in beginsel alle websites of alle websites in een bepaalde taal, op basis van een zoekvraag over eender welk onderwerp in de vorm van een trefwoord, een gesproken opdracht, een frase of andere input, en die resultaten in eender welk formaat oplevert met informatie over de opgevraagde inhoud”. Artikel 6(33) definieert de derde zelf: een platform voor socialenetwerkdiensten is „een platform dat eindgebruikers in staat stelt zich met elkaar te verbinden, te delen, te ontdekken en met elkaar te communiceren via meerdere apparaten, met name via chats, posts, video's en aanbevelingen”.

Elke definitie heeft een rand die een bedrijf uitsluit dat zichzelf zo zou noemen. De marktplaatsdefinitie is voor consumenten geschreven: een platform waarop handelaren alleen met andere handelaren overeenkomsten sluiten, is geen „onlinemarktplaats” onder artikel 2(n), hoe groot ook, en eerder een aanbieder van cloudcomputingdiensten voor de software die het draait. De zoekmachinedefinitie vraagt om zoekacties op „in beginsel alle websites”: een zoekveld over één site, één catalogus of de documenten van één bedrijf is een functie, geen zoekmachine. De definitie van sociale netwerken vraagt dat eindgebruikers zich via meerdere apparaten met elkaar verbinden en communiceren, waar een reactieveld onder artikelen niet aan voldoet en een communityplatform wel. De drie regels staan woordelijk in het toepassingsgebiedhulpmiddel, met de rest van de bijlagen I en II.

Belangrijk, hoe groot ook

Artikel 2(1) brengt een entiteit van een opgesomd soort binnen het toepassingsgebied vanaf middelgrote omvang: 50 werknemers of meer, of meer dan 10 miljoen EUR aan zowel omzet als balanstotaal, geteld voor de onderneming met haar partnerondernemingen en verbonden ondernemingen. Daaronder staat een platform als entiteit buiten, tenzij zijn lidstaat het aanmerkt onder artikel 2(2)(b) tot en met (e). Daarboven is het platform een belangrijke entiteit onder artikel 3(2), en het blijft belangrijk hoe groot het ook is, omdat artikel 3(1)(a), de regel die grote entiteiten essentieel maakt, alleen „entiteiten van een in bijlage I bedoeld type” bereikt. De twee manieren waarop een platform uit bijlage II essentieel wordt, zijn een besluit van de lidstaat onder artikel 3(1)(e), dat eerst een aanmerking onder artikel 2(2)(b) tot en met (e) vergt, en het aangemerkt zijn als kritieke entiteit onder Richtlijn (EU) 2022/2557 (artikel 3(1)(f)).

Belangrijk betekent toezicht onder artikel 33, achteraf, op bewijs of aanwijzingen van niet-naleving, en het boeteplafond van artikel 34(5) van ten minste 7 000 000 EUR of 1,4 % van de wereldwijde omzet, indien dat hoger is. De maatregelen van artikel 21 en de klokken van artikel 23 zijn dezelfde als voor een essentiële entiteit. De zeven manieren om essentieel te zijn, en wat de status verandert, zijn een eigen artikel.

Eén lidstaat, het register en de verordening

De drie digitale aanbieders staan in de lijst van artikel 26(1)(b), zodat de bevoegdheid naar de lidstaat van de hoofdvestiging in de Unie gaat, „de lidstaat waar de beslissingen in verband met de maatregelen voor het beheer van cyberbeveiligingsrisico's overwegend worden genomen” (artikel 26(2)), en een buiten de Unie gevestigd platform dat zijn dienst daar aanbiedt, wijst een vertegenwoordiger aan in een lidstaat waar het dat doet (artikel 26(3)). De handeling van de lidstaat, zoals aan de Commissie meegedeeld, staat in het omzettingsregister.

Ze staan ook in de lijst van artikel 27: het platform moest uiterlijk op 17 januari 2025 zijn naam, sector, adressen, contactgegevens, bediende lidstaten en IP-bereiken bij zijn bevoegde autoriteit indienen voor het register van Enisa, en meldt wijzigingen binnen drie maanden.

En ze staan in artikel 1 van Uitvoeringsverordening (EU) 2024/2690, zodat de technische en methodologische vereisten van de maatregelen van artikel 21(2) de bijlage van de verordening zijn, 13 secties, in elke lidstaat dezelfde, sectie voor sectie gekoppeld aan ISO 27001.

De drempels zijn een aandeel van de gebruikers, geen klok

Voor cloud- en managed-serviceaanbieders is het eerste criterium van de verordening tijd: een dienst die meer dan 30 minuten volledig niet beschikbaar is. Voor de drie digitale aanbieders niet. De artikelen 11, 12 en 13 geven marktplaatsen, zoekmachines en sociale netwerken dezelfde vier criteria, en geen ervan heeft een duur: het platform volledig niet beschikbaar voor meer dan 5 % van zijn gebruikers in de Unie, of meer dan 1 miljoen van hen, afhankelijk van welk aantal het kleinste is; meer dan 5 % of meer dan 1 miljoen van zijn gebruikers in de Unie getroffen door beperkte beschikbaarheid; de integriteit, vertrouwelijkheid of authenticiteit van opgeslagen, verzonden of verwerkte gegevens aangetast als gevolg van een vermoedelijk kwaadwillige handeling; of aangetast met gevolgen voor meer dan 5 % of meer dan 1 miljoen van zijn gebruikers in de Unie, afhankelijk van welk aantal het kleinste is. De algemene criteria van artikel 3(1) gelden daarbovenop: het directe financiële verlies boven 500 000 EUR of 5 % van de omzet, het uitlekken van bedrijfsgeheimen, de dood of aanzienlijke schade aan de gezondheid, de succesvolle en vermoedelijk kwaadwillige toegang die ernstige operationele verstoring kan veroorzaken. Gebruikers worden onder artikel 3(3) geteld als klanten met een overeenkomst plus de natuurlijke en rechtspersonen die met zakelijke klanten verbonden zijn en de dienst gebruiken, wat voor een marktplaats kopers en verkopers betekent, en voor een zoekmachine of een sociaal netwerk de mensen die het gebruiken.

Het gevolg voor een incidentprocedure is dat het platform zijn gebruikersaantal in de Unie en het door een storing getroffen aandeel in de eerste uren moet kennen, omdat dat getal de significantietoets is. Een totale storing van vijf minuten van een platform met 30 miljoen gebruikers in de Unie is een significant incident; een storing van twee uur voor 2 % van hen is dat niet, alleen op beschikbaarheid. Dan artikel 23: vroegtijdige waarschuwing binnen 24 uur na kennisname, melding binnen 72 uur, eindverslag binnen één maand. De klokken, met de drempels volledig geciteerd, zijn een eigen artikel.

De grenzen met een SaaS-bedrijf en met de CRA

Een platform is voor de bedrijven die erop verkopen of adverteren ook software als dienst, en een bedrijf kan voor verschillende delen van zijn aanbod tegelijk marktplaats en aanbieder van cloudcomputingdiensten zijn; de regel uit bijlage I brengt dan de mogelijkheid mee om door omvang essentieel te zijn. NIS2 voor een SaaS-bedrijf is een eigen artikel. De Cyber Resilience Act raakt het platform alleen waar het iets geïnstalleerds levert: een mobiele app, een kassaclient voor verkopers, een SDK. Het via een browser gebruikte platform is geen product met digitale elementen, volgens de eigen lezing van de Commissie van Verordening (EU) 2024/2847, en het incidentdossier is één dossier met het NIS2-formulier en, voor de app, het CRA-formulier. Welke wet welk deel raakt, is het artikel daarvoor.

Bronnen

  • Richtlijn (EU) 2022/2555 (NIS2), artikel 2(1) en (2), artikel 3(1) en (2), artikel 6(28), (29) en (33), artikel 21(2), artikel 23(4), artikel 26(1) tot en met (3), artikel 27(1) tot en met (3), artikel 33, artikel 34(5), bijlage II punt 6.
  • Richtlijn 2005/29/EG, artikel 2, punt n), zoals gewijzigd bij Richtlijn (EU) 2019/2161; Verordening (EU) 2019/1150, artikel 2, punt 5).
  • Uitvoeringsverordening (EU) 2024/2690 van de Commissie, artikel 1, artikel 3, artikelen 11 tot en met 13, bijlage.
  • Aanbeveling 2003/361/EG van de Commissie, bijlage, artikelen 2 en 3.

Dit is geen juridisch advies. De handeling van de lidstaat noemt de autoriteit, het portaal en het formulier, en kan een platform aanmerken onder artikel 2(2)(b) tot en met (e) en essentieel maken onder artikel 3(1)(e).