Title: wetten.nl - Regeling - Beleidsregels informatieplicht voor aanbieders over internetveiligheid (artikel 11.3 tweede lid van de Telecommunicatiewet) - BWBR0033401

Source: https://wetten.overheid.nl/BWBR0033401/

Content:
{"title": "wetten.nl - Regeling - Beleidsregels informatieplicht voor aanbieders over internetveiligheid (artikel 11.3 tweede lid van de Telecommunicatiewet) - BWBR0033401", "content": "Beleidsregels informatieplicht voor aanbieders over internetveiligheid (artikel 11.3\n                                    tweede lid van de Telecommunicatiewet)\n\nDe Telecommunicatiewet geeft de Autoriteit Consument en Markt de bevoegdheid om op te treden tegen het niet-naleven\n                                          van de informatieplicht over veiligheid en beveiliging van aangeboden diensten en\n                                          netwerken.\n\nDe Autoriteit Consument en Markt geeft in dit document invulling aan zijn handhavingsbeleid\n                                          voor overtredingen van de informatieplicht en formuleert zijn specifieke bevoegdheid\n                                          in dezen. Hierdoor wordt structuur gegeven aan de uitvoering van de handhaving van\n                                          de informatieplicht en wordt willekeur voorkomen. Tevens geeft de Autoriteit Consument\n                                          en Markt invulling aan zijn beleidsvrijheid ten aanzien van de keuze voor een bepaald\n                                          handhavingsmiddel.\n\nIn elke individuele situatie wordt rekening gehouden met de specifieke omstandigheden\n                                          van het betreffende geval. Een besluit om over te gaan tot handhaving en de keuze\n                                          voor het handhavingsmiddel is immers altijd maatwerk.\n\nDit handhavingsbeleid wordt extern bekend gemaakt door plaatsing ervan in de Nederlandse\n                                          Staatscourant en op de website van OPTA.1\n\nInternetveiligheid is een onderwerp dat een brede maatschappelijke belangstelling\n                                          kent. Iedereen die zich regelmatig op internet begeeft, wordt geconfronteerd met aanzienlijke\n                                          aantallen ongewenste e-mailberichten.2 Vele Nederlanders zullen via het nieuws gehoord hebben over e-mails waarin argeloze\n                                          PC-gebruikers wordt gevraagd hun inloggegevens voor elektronisch bankieren terug te\n                                          sturen,3 of over personen die ongemerkt PC\u2019s van anderen gebruiken voor criminele activiteiten.4 Ouders zijn vaak bezorgd over hoe zij hun kinderen kunnen beschermen tegen pesten\n                                          via internet, of tegen kwaadwillende personen die zich voordoen als iemand anders,\n                                          of tegen het risico dat hun kinderen terechtkomen op een webpagina die niet voor kinderen\n                                          is bestemd. Kortom, er is brede maatschappelijke aandacht voor de risico\u2019s die zijn\n                                          verbonden aan het gebruik van internet en het is voor de leek \u2013 en vaak ook voor de\n                                          meer ervaren internetgebruiker \u2013 niet altijd duidelijk wat deze risico\u2019s zijn en hoe\n                                          deze tegengegaan kunnen worden.\n\nDe wetgever heeft in de Telecommunicatiewet (hierna: de Tw) meerdere bepalingen opgenomen die ertoe moeten leiden dat de veiligheid\n                                          van internetgebruik toeneemt. Artikel 11.3 Tw is gericht op aanbieders van openbare elektronische diensten en netwerken en bestaat\n                                          uit twee delen: het eerste lid betreft een verplichting aan netwerk- en dienstaanbieders\n                                          (hierna: aanbieders) om hun diensten en netwerken te beveiligen (hierna: beveiligingsplicht)\n                                          en het tweede lid betreft de verplichting aan aanbieders om hun abonnees voor te lichten\n                                          over veiligheidsrisico\u2019s (hierna: informatieplicht). Tezamen worden deze verplichtingen\n                                          vaak aangeduid als de zorgplicht. De Autoriteit Consument en Markt heeft de taak toezicht\n                                          te houden op de naleving van deze bepaling.\n\nGezien het grote maatschappelijk belang en de omvang van de risico\u2019s van internetgebruik,\n                                          geeft de Autoriteit Consument en Markt hoge prioriteit aan deze taak. Daarin staat\n                                          de Autoriteit Consument en Markt niet alleen. Ook in Europees verband is er veel aandacht\n                                          voor internetveiligheid. De Europese Commissie heeft diverse voorstellen gedaan om\n                                          de internetveiligheid te vergroten. Ook ENISA,5 het agentschap van de Europese Unie voor netwerk- en informatiebeveiliging, heeft\n                                          onlangs een rapport6 uitgebracht waarin aanbevelingen staan hoe lidstaten in de toekomst informatiebeveiliging\n                                          zouden moeten nastreven. E\u00e9n van de aanbevelingen uit dit rapport is bijvoorbeeld\n                                          de invoering van een wettelijke plicht om beveiligingsincidenten te melden aan een\n                                          toezichthouder, onder welke plicht dus ook aanbieders van elektronische communicatiediensten\n                                          en -netwerken zouden komen te vallen.\n\nDe Autoriteit Consument en Markt is er zich terdege van bewust dat internetveiligheid\n                                          afhankelijk is van veel meer partijen dan alleen de aanbieders van elektronische communicatiediensten\n                                          en -netwerken: ook leveranciers van soft- en hardware, hosting aanbieders en eindgebruikers\n                                          zijn verantwoordelijk voor veiligheid op het internet. Het artikel in de Tw heeft echter alleen betrekking op aanbieders van elektronische communicatiediensten\n                                          en -netwerken en de bevoegdheid van het college gaat dus niet verder dan het toezicht\n                                          op alleen deze partijen.\n\nHet college heeft aan het begin van 20087 aangegeven drie speerpunten te zien op het gebied van de zorgplicht. Ten eerste de\n                                          informatieplicht van aanbieders, met andere woorden, de voorlichting door ISP\u2019s van\n                                          hun abonnees over veiligheidsrisico\u2019s. Ten tweede het ontwikkelen van een keurmerk\n                                          door ISP\u2019s voor hun eigen branche. Met dit keurmerk voor ISP\u2019s zouden abonnees een\n                                          weloverwogen keuze kunnen maken en zo hun eigen verantwoordelijkheid kunnen nemen\n                                          bij internetveiligheid door die ISP te kiezen die een pakket biedt dat bij hun veiligheidsbehoefte\n                                          en kennis aansluit. Ten derde de aanpak van het probleem van zombiecomputers, dat\n                                          wil zeggen, PC\u2019s waarvan de besturing in handen is gevallen van personen die met deze\n                                          PC\u2019s criminele activiteiten ontplooien. Het eerste speerpunt, de informatieplicht,\n                                          staat centraal in deze beleidsregels.\n\nOp 22 september 2008 heeft het college zijn voorgenomen beleidsregels gepubliceerd.\n                                          Er is daarop gereageerd door T-Mobile, Scarlet Telecom, en \u2013 door middel van een gezamenlijke\n                                          reactie \u2013 door NLKabel, KPN, UPC, XS4ALL, Ziggo, bbned, BT, COLT, Online, Priority,\n                                          Tele2 en Verizon Business.\n\nHet college constateert dat alle respondenten, met uitzondering van T-Mobile, zich\n                                          in hoofdlijnen in de voorgenomen beleidsregels kunnen vinden. Een ruime meerderheid\n                                          van de aanbieders onderschrijft het belang van het verstrekken van adequate informatie\n                                          aan abonnees over de risico\u2019s van internetgebruik. De voorgestelde manier van handhaving\n                                          door het college wordt in hoofdlijnen gesteund.\n\nHet college heeft dankbaar gebruik gemaakt van de ontvangen reacties bij het vaststellen\n                                          van de onderhavige beleidsregels. In een aparte bijlage8 bij deze beleidsregels gaat het college in detail in op de ingebrachte op- en aanmerkingen,\n                                          zodat de respondenten en andere ge\u00efnteresseerden kunnen nalezen hoe het college hiermee\n                                          is omgegaan.\n\nAllereerst beschrijft de Autoriteit Consument en Markt in hoofdstuk 2 waarom hij beleidsregels noodzakelijk acht voor zijn toezicht op de informatieplicht.\n                                          Vervolgens wordt in hoofdstuk 3 het juridisch kader beschreven. De beleidsregels beginnen in hoofdstuk 4 en 5, waar de Autoriteit Consument en Markt ingaat op wat er aan informatie dient te worden\n                                          gegeven. In de woorden van artikel 11.3 Tw: welke bijzondere risico\u2019s minimaal zouden moeten worden genoemd en welke middelen\n                                          in aanmerking komen om deze risico\u2019s tegen te gaan. Vervolgens beschrijft de Autoriteit\n                                          Consument en Markt in hoofdstuk 6 en 7 voor wie de informatieplicht geldt en wie ge\u00efnformeerd dient te worden. Daarna geeft\n                                          de Autoriteit Consument en Markt aan hoe en wanneer naar zijn mening een aanbieder\n                                          de informatie dient te verstrekken (hoofdstuk 8) en tot slot beschrijft de Autoriteit Consument en Markt welke handhavingsmethoden\n                                          hij zal gaan gebruiken (hoofdstuk 9).\n\nConsumenten moeten zichzelf kunnen beschermen tegen de risico\u2019s van het gebruik van\n                                          internet. Maar internet en internetdiensten kunnen complex van aard zijn. Niet iedere\n                                          consument beschikt over voldoende deskundigheid of informatie om zich goed te kunnen\n                                          wapenen tegen deze risico\u2019s. Daarom is het noodzakelijk dat zij goed ge\u00efnformeerd\n                                          worden. De Autoriteit Consument en Markt is daarom van mening dat het van groot belang\n                                          is dat ISP\u2019s hun abonnees goed voorlichten over de veiligheidsrisico\u2019s die verbonden\n                                          zijn aan internetgebruik. Niet voor niets heeft de wetgever met de informatieplicht\n                                          uit artikel 11.3 tweede lid, Tw de verantwoordelijkheid bij de internetdienstaanbieder gelegd om de abonnee te informeren.9\n\nSommige aanbieders zullen ervoor kiezen om ruime invulling te geven aan de informatieplicht,\n                                          omdat zij internetveiligheid als een van de manieren zien om zich te onderscheiden\n                                          tegenover de concurrentie. Maar de Autoriteit Consument en Markt constateert dat er\n                                          ook aanbieders kunnen zijn voor wie de informatieplicht minder prioriteit heeft. Immers,\n                                          aanbieders vinden het niet altijd prettig om ook minder aantrekkelijke informatie\n                                          over hun diensten te verschaffen, zoals een lijst van risico\u2019s die de abonnee loopt\n                                          en de kosten en moeite die er bij komen om zich te beschermen tegen deze risico\u2019s.\n                                          Daarbij komt dat de veiligheid rondom internet afhankelijk is van \u00e1lle partijen. De\n                                          investeringen of opofferingen die \u00e9\u00e9n aanbieder doet zullen niet volstaan om de veiligheid\n                                          van zijn eigen abonnees te waarborgen, omdat de risico\u2019s afkomstig kunnen zijn vanuit\n                                          het gehele internet, inclusief bijvoorbeeld concurrerende aanbieders en leveranciers\n                                          van soft- en hardware. Met andere woorden, de oorzaak van de risico\u2019s ligt vaak buiten\n                                          de reikwijdte van de aanbieder zelf. Een aanbieder zou daarom minder gemotiveerd kunnen\n                                          zijn om aan de informatieplicht te voldoen. Alleen als iedereen zich inspant voor\n                                          internetveiligheid zullen de risico\u2019s voor abonnees sterk afnemen. Een actieve rol\n                                          van de toezichthouder is dan ook wenselijk om ervoor te zorgen dat alle aanbieders\n                                          daadwerkelijk de informatieplicht nakomen.\n\nDe Autoriteit Consument en Markt is daarom van oordeel dat het noodzakelijk is dat\n                                          hij de informatieplicht uit artikel 11.3, tweede lid, Tw actief handhaaft. Om aanbieders duidelijkheid te geven hoe de Autoriteit Consument\n                                          en Markt deze handhaving vorm gaat geven en welke criteria hij gebruikt om te beoordelen\n                                          of een aanbieder aan de verplichting voldoet, maakt de Autoriteit Consument en Markt\n                                          gebruik van onderhavige beleidsregels.\n\nIn de Privacy Richtlijn10 (hierna: de Richtlijn) wordt gesteld dat geavanceerde digitale technologie\u00ebn specifieke\n                                          eisen stellen aan de bescherming van de persoonsgegevens en de persoonlijke levenssfeer\n                                          van de gebruiker. In de overwegingen bij deze Richtlijn wordt uitgelegd dat aanbieders\n                                          van diensten de nodige maatregelen moeten treffen om de beveiliging van hun diensten\n                                          te garanderen en dat zij de abonnees moeten informeren over eventuele bijzondere risico\u2019s\n                                          inzake het doorbreken van de beveiliging van de dienst of het netwerk. Artikel 4 van\n                                          de Richtlijn legt deze verplichting vast. De wetgever heeft dit artikel ge\u00efmplementeerd\n                                          in artikel 11.3 van de Tw.\n\nArtikel 4 van de Richtlijn luidt:\n\nBeveiliging\n\n1. De aanbieder van een openbare elektronische-communicatiedienst treft passende technische\n                                                en organisatorische maatregelen om de veiligheid van zijn diensten te garanderen,\n                                                indien nodig in overleg met de aanbieder van het openbare communicatienetwerk wat\n                                                de veiligheid van het netwerk betreft. Die maatregelen waarborgen een beveiligingsniveau\n                                                dat in verhouding staat tot het betrokken risico, rekening houdend met de stand van\n                                                de techniek en de kosten van uitvoering ervan.\n\n2. Indien een bijzonder risico bestaat van inbreuken op de beveiliging van het netwerk,\n                                                stelt de aanbieder van een openbare elektronische-communicatiedienst de abonnees in\n                                                kennis van dat risico en, indien het risico tot andere maatregelen noopt dan die waartoe\n                                                de dienstenaanbieder verplicht is, van de eventuele middelen om dat risico tegen te\n                                                gaan, met inbegrip van een indicatie van de verwachte kosten.\n\nArtikel 11.3, Tw luidt:\n\n1. De in artikel 11.2 bedoelde aanbieders11 treffen in het belang van de bescherming van persoonsgegevens en de bescherming van\n                                                de persoonlijke levenssfeer van abonnees en gebruikers passende technische en organisatorische\n                                                maatregelen ten behoeve van de veiligheid en beveiliging van de door hen aangeboden\n                                                netwerken en diensten. De maatregelen garanderen, rekening houdend met de stand van\n                                                de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau\n                                                dat in verhouding staat tot het desbetreffende risico.\n\n2. De in artikel 11.2 bedoelde aanbieders dragen er zorg voor dat de abonnees worden ge\u00efnformeerd over:\n\na. bijzondere risico's voor de doorbreking van de veiligheid of de beveiliging van het\n                                                      aangeboden netwerk of de aangeboden dienst;\n\nb. de eventuele middelen waarmee de onder a bedoelde risico's kunnen worden tegengegaan,\n                                                      voor zover het andere maatregelen betreft dan die welke de aanbieder op grond van\n                                                      het eerste lid gehouden is te treffen, alsmede een indicatie van de verwachte kosten.\n\nOp grond van artikel 15.1, Tw is de Autoriteit Consument en Markt aangewezen als toezichthouder op de naleving\n                                          van het bepaalde bij of krachtens artikel 11.3, Tw.\n\nIn dit hoofdstuk wordt ingegaan op het begrip \u2018bijzondere risico\u2019s\u2019 uit de informatieplicht\n                                          van artikel 11.3, Tw.\n\nIn de Richtlijn wordt in overweging 20 gesteld:12\n\n\u2018Het is bijzonder belangrijk voor abonnees en gebruikers van openbare elektronische\n                                          communicatiediensten om door hun dienstaanbieder volledig op de hoogte te worden gebracht\n                                          van bestaande veiligheidsrisico\u2019s die van dien aard zijn dat de dienstaanbieder deze\n                                          zelf niet kan verhelpen.\u2019\n\nHet betreft hier veiligheidsrisico\u2019s die een inbreuk kunnen maken op de persoonsgegevens\n                                          en de persoonlijke levenssfeer van abonnees en gebruikers. De desbetreffende aanbieders\n                                          zijn niet gehouden de abonnees te informeren over elk beveiligingsrisico. Het gaat\n                                          om bijzondere risico\u2019s en dan met name die risico\u2019s die een bijzonder verband hebben\n                                          met de aard van het betrokken netwerk of de betrokken dienst.13 Zo heeft het risico van ongewenst medegebruik van een draadloze internetverbinding\n                                          door andere eindgebruikers dan de abonnee een bijzondere band met de dienst internettoegang\n                                          en houdt dit risico geen verband met een e-maildienst. Een aanbieder van wie de dienstverlening\n                                          beperkt is tot het verzorgen van een e-maildienst behoeft dus geen informatie te verschaffen\n                                          over de beveiliging van draadloze routers.\n\nDe Autoriteit Consument en Markt acht het noodzakelijk dat de volgende risico\u2019s minimaal\n                                          geadresseerd worden door de aanbieder van de betreffende dienst.\n\nRisico\n\nTechnische term\n\nBijzondere band met de dienst\n\n1. Het binnenkrijgen of (ongemerkt) versturen van grote hoeveelheden ongevraagde berichten).\n\nspam\n\ninternettoegang, elektronische berichten\n\n2. Het gekaapt worden van de eigen computer door een niet-geautoriseerde gebruiker\n\nbotnet, zombie\n\ninternettoegang\n\n3. Het binnenkrijgen of (ongemerkt) versturen van berichten die tot doel hebben persoonlijke\n                                                         gegevens van abonnees te achterhalen, bijvoorbeeld bankgegevens, PINcode of inlognaam.\n\nphishing\n\nelektronische berichten\n\n4. Het binnenkrijgen of (ongemerkt) versturen van software die bedoeld is om te spionneren\n                                                         op (internet)gedrag van abonnees.\n\nspyware\n\ninternettoegang, elektronische berichten\n\n5. Het binnenkrijgen of (ongemerkt) versturen van software die bedoeld is om de computerapparatuur\n                                                         van abonnees zodanig te verstoren dat gegevens verloren gaan of voor de buitenwereld\n                                                         openbaar worden.\n\ntrojans en overige malware\n\ninternettoegang, elektronische berichten\n\n6. Het ongewenst medegebruik van de draadloze internetverbinding door andere eindgebruikers,\n                                                         waardoor mogelijk strafbare of anderszins ongewenste activiteiten over deze verbinding\n                                                         aan de betreffende abonnee zouden kunnen worden toegeschreven, of waardoor andere\n                                                         eindgebruikers mogelijk toegang krijgen tot de computer van de abonnee.\n\nbeveiliging draadloze router\n\ninternettoegang\n\n7. Het gebruik door anderen van de eigen identiteit, door bijvoorbeeld bekend worden\n                                                         van wachtwoord, e-mailadres, naam- adres- woonplaats- of geboortedatum gegevens.\n\nidentiteitskaping\n\ninternettoegang, elektronische berichten\n\n8. Het bereikbaar zijn van of (ongevraagd) geconfronteerd worden met ongewenste websites,\n                                                         zoals websites die niet geschikt zijn voor kinderen.\n\nongewenste websites\n\ninternettoegang\n\nBovenstaande tabel bevat slechts voorbeelden. De markt voor internetdiensten is dynamisch\n                                          en daarom kan een tabel als deze nooit volledig zijn. De Autoriteit Consument en Markt\n                                          verwacht van aanbieders dat zij nieuwe risico\u2019s in hun informatievoorziening opnemen.\n\nIn het vorige hoofdstuk is ingegaan op de bijzondere risico\u2019s waarover abonnees ge\u00efnformeerd dienen te worden\n                                          door de aanbieders. Volgens de informatieplicht dient een aanbieder tevens de abonnees\n                                          te informeren over de eventuele middelen waarmee de bijzondere risico\u2019s kunnen worden\n                                          tegengegaan. De Autoriteit Consument en Markt is van mening dat het niet wenselijk\n                                          is om in beleidsregels vast te leggen welke informatie over middelen de Autoriteit\n                                          Consument en Markt als afdoende oordeelt voor een aanbieder om aan de informatieplicht\n                                          te voldoen. De aanbieder is het best in staat om de juiste middelen te benoemen en\n                                          op de hoogte te zijn van de verwachte kosten om deze middelen in te zetten. Daarom\n                                          laat de Autoriteit Consument en Markt deze keuze aan de aanbieder.\n\nIn het algemeen kan de Autoriteit Consument en Markt wel melden dat het naar zijn\n                                          mening gaat om voorlichting over middelen zoals een firewall, een e-mailfilter, een\n                                          virusscanner, het gebruik van legale software, het activeren van automatische updates\n                                          van software en gepaste voorzichtigheid bij het openen van aangeboden bestanden. Bij\n                                          zijn toezicht zal de Autoriteit Consument en Markt nagaan of de informatie daadwerkelijk\n                                          beschrijft hoe deze middelen de betreffende bijzondere risico\u2019s kunnen verkleinen.\n\nDe Autoriteit Consument en Markt zal bij zijn toezicht van geval tot geval beoordelen\n                                          of de verstrekte informatie tegemoet komt aan de eisen gesteld in het wetsartikel.\n\nDe Autoriteit Consument en Markt wil de markt duidelijk maken op welke aanbieders\n                                          hij zijn focus zal leggen bij het toezicht op de naleving van de informatieplicht.\n                                          Artikel 11.3, Tw spreekt over zowel aanbieders van openbare elektronische communicatiediensten als\n                                          over aanbieders van openbare elektronische communicatienetwerken. De Richtlijn daarentegen\n                                          legt uitsluitend een verplichting op aan aanbieders van openbare elektronische communicatiediensten.\n                                          De reden voor dit verschil ligt in de constatering van de wetgever dat een dienstaanbieder\n                                          voor de veiligheid en de beveiliging van zijn dienst mede afhankelijk is van de inspanningen\n                                          van de netwerkaanbieder en dat deze laatste daarmee dus eveneens verantwoordelijk\n                                          is voor de veiligheid en de beveiliging van de aangeboden diensten en netwerken.14 Omdat deze dienstaanbieders, in tegenstelling tot de netwerkaanbieders, een direct\n                                          klantcontact hebben, zal de Autoriteit Consument en Markt zich bij het toezicht op\n                                          de naleving concentreren op de dienstaanbieders.\n\nOverweging 6 van de Richtlijn stelt het volgende:\n\nHet internet vervangt traditionele marktstructuren door te voorzien in een gemeenschappelijke,\n                                          wereldwijde infrastructuur voor de levering van een breed scala van elektronische-communicatiediensten.\n                                          Algemeen beschikbare elektronische-communicatiediensten via het internet bieden de\n                                          gebruikers nieuwe mogelijkheden, maar houden ook nieuwe gevaren in voor de bescherming\n                                          van hun persoonsgegevens en persoonlijke levenssfeer.\n\nOok de Autoriteit Consument en Markt is van mening dat de grootste veiligheids- en\n                                          beveiligingsrisico\u2019s bij abonnees zich voordoen bij diensten die te maken hebben met\n                                          het internet. Door de technische complexiteit van die diensten lopen de persoonsgegevens\n                                          en de persoonlijke levenssfeer van abonnees meer gevaar dan bijvoorbeeld bij klassieke\n                                          vaste of mobiele telefoondiensten. Daarom zal de Autoriteit Consument en Markt zich\n                                          bij het toezicht concentreren op aanbieders van diensten die te maken hebben met internet\n                                          en niet op andere aanbieders van openbare elektronische communicatiediensten en -netwerken,\n                                          zoals klassieke telefoonaanbieders. Hierbij wordt geen onderscheid gemaakt tussen\n                                          vast en mobiel internet.\n\nHet is verder van belang om aandacht te schenken aan het onderscheid tussen aanbieders\n                                          van openbare elektronische communicatiediensten en aanbieders van diensten van de\n                                          informatiemaatschappij.15 In die laatste categorie valt bijvoorbeeld de dienst elektronisch bankieren. Aanbieders\n                                          van openbare elektronische communicatiediensten zijn op grond van artikel 11.3, tweede lid, Tw, uitsluitend verantwoordelijk voor generieke informatievoorziening over veiligheid\n                                          die te maken heeft met het gebruik van internet, maar zijn niet verantwoordelijk voor\n                                          gerichte informatievoorziening bij specifieke risico\u2019s voor specifieke diensten van\n                                          de informatiemaatschappij. Bij het in Tabel 1 genoemde risico van phishing bijvoorbeeld,\n                                          ziet de Autoriteit Consument en Markt er op toe dat aanbieders van internettoegang\n                                          hun abonnees hierover generiek informeren, maar de Autoriteit Consument en Markt is\n                                          van mening dat de verantwoordelijkheid voor het informeren over specifieke phishing\n                                          acties niet bij de aanbieder van internettoegang ligt, maar bij de aanbieder van de\n                                          dienst elektronisch bankieren.\n\nDe abonnees van een openbare elektronische-communicatiedienst kunnen zowel natuurlijke\n                                       als rechtspersonen zijn.16 Dat betekent dat zowel abonnees uit de zakelijke markt als uit de consumentenmarkt\n                                       ge\u00efnformeerd dienen te worden door de aanbieders. De Autoriteit Consument en Markt\n                                       acht het aannemelijk dat bij grootzakelijke abonnees voldoende kennis over veiligheid\n                                       en beveiliging aanwezig is. Daarom legt de Autoriteit Consument en Markt de focus\n                                       op abonnees uit de consumentenmarkt en het midden- en kleinbedrijf. Dat neemt niet\n                                       weg dat de Autoriteit Consument en Markt, wanneer daar aanleiding toe is, ook handhavend\n                                       zal optreden tegen een aanbieder die niet voldoende voorlichting geeft aan grootzakelijke\n                                       abonnees.\n\nIn dit hoofdstuk licht de Autoriteit Consument en Markt toe welke criteria hij hanteert\n                                          voor het beoordelen van de manier waarop de informatie door de aanbieder wordt verstrekt\n                                          aan zijn abonnees. Zo is de Autoriteit Consument en Markt van mening dat minimaal\n                                          alle in hoofdstuk 4 genoemde bijzondere risico\u2019s bij de informatieverstrekking expliciet aan de abonnee\n                                          uitgelegd dienen te worden. Verder zal de Autoriteit Consument en Markt er op toezien\n                                          dat voor elk van deze risico\u2019s de middelen aan de orde komen, met daarbij een indicatie\n                                          van de verwachte kosten.17\n\nDe Autoriteit Consument en Markt is van mening dat een aanbieder aan de gestelde informatieplicht\n                                          voldoet indien de informatieverstrekking op een duidelijke en ondubbelzinnige manier\n                                          plaatsvindt. Een vereiste is dat de informatie actueel en relevant is.\n\nVerder is de Autoriteit Consument en Markt van mening dat de betreffende informatie\n                                          gemakkelijk en permanent toegankelijk moet zijn. Ook acht de Autoriteit Consument\n                                          en Markt het noodzakelijk dat abonnees ge\u00efnformeerd worden over hoe zij hun aanbieder\n                                          kunnen bereiken voor hulp of informatie over internetveiligheid.\n\nDe Autoriteit Consument en Markt hanteert de volgende criteria voor het moment van\n                                          verstrekken van informatie:\n\n\u2013 op het moment dat (toekomstige) abonnees de website van de aanbieder bezoeken,\n\n\u2013 op het moment dat (toekomstige) abonnees een contract voor een dienst gaan afsluiten\n                                                of verlengen,\n\n\u2013 nadat er een substanti\u00eble wijziging in de bijzondere risico\u2019s optreedt, waarbij de\n                                                individuele abonnee rechtstreeks benaderd dient te worden en de termijn waarbinnen\n                                                deze informatie gestuurd wordt, recht doet aan de grootte van het risico.\n\nSommige informatie kan zowel op papier als digitaal verstrekt worden. Indien de informatie\n                                          te vinden is op de website van de aanbieder, dan hanteert de Autoriteit Consument\n                                          en Markt de volgende criteria bij zijn toezicht:\n\n1. op de website van de aanbieder is er een speciale pagina ingericht die algemene informatie\n                                                geeft over veiligheid en beveiliging van internetdiensten;\n\n2. op deze pagina worden de bijzondere en actuele veiligheidsrisico\u2019s benoemd en uitgelegd,18 plus (een verwijzing naar) de eventuele middelen waarmee deze risico\u2019s kunnen worden\n                                                tegengegaan alsmede een indicatie van de kosten;\n\n3. op deze pagina staat een uitleg (of wordt verwezen naar een uitleg) van de gebruikte\n                                                begrippen;\n\n4. deze pagina is via maximaal 1 doorverwijzing (\u2018\u00e9\u00e9n muisklik\u2019) te bereiken vanaf die\n                                                pagina\u2019s waar de (toekomstige) abonnee als eerste terecht kan komen indien hij de\n                                                dienst van deze aanbieder wil afnemen;19\n\n5. de verwijzingen zijn gemakkelijk te vinden en benoemen duidelijk welke informatie\n                                                met de verwijzing te vinden valt.\n\nAanbieders kunnen naast het invullen van bovenstaande informatievoorziening ook nog\n                                          andere middelen inzetten om hun abonnees te informeren. Zo zouden aanbieders hun informatievoorziening\n                                          kunnen uitbreiden door op hun internetpagina of in hun andere communicatie aan abonnees\n                                          de aandacht te vestigen op websites waarop veiligheidsrisico\u2019s en maatregelen worden\n                                          behandeld, zoals bijvoorbeeld de website van Digibewust20 of de waarschuwingsdienst van GOVCERT.NL21.\n\nOp grond van de genoemde manieren van informatieverstrekking en de genoemde criteria\n                                          die in het vorige hoofdstuk zijn genoemd, zal de Autoriteit Consument en Markt zowel\n                                          ambtshalve toezicht houden (bijvoorbeeld met steekproeven) als toezicht houden op\n                                          basis van klachten.\n\nWat betreft het optreden op basis van klachten, geldt dat hoe meer klachten de Autoriteit\n                                          Consument en Markt over een bepaalde schending van de informatieplicht binnenkrijgt,\n                                          hoe groter de aanleiding voor de Autoriteit Consument en Markt is om ten aanzien van\n                                          die betreffende schending handhavend op te treden. Eindgebruikers kunnen klachten\n                                          indienen over een aanbieder die de informatieverplichting van artikel 11.3, tweede lid, Tw, overtreedt bij het loket van de overheid voor consumenten, de Consuwijzer.22 Tevens zal de Autoriteit Consument en Markt klachten van specialisten en consumentenorganisaties\n                                          in behandeling nemen.\n\nIndien de Autoriteit Consument en Markt een overtreding van de Tw constateert, kan hij handhavend optreden. De Autoriteit Consument en Markt beschikt\n                                          hiertoe over de bestuurlijke handhavingsmiddelen last onder bestuursdwang, last onder\n                                          dwangsom en de bestuurlijke boete. Daarnaast kan de Autoriteit Consument en Markt\n                                          in voorkomende gevallen besluiten niet over te gaan tot het opleggen van een bestuurlijke\n                                          sanctie, maar te volstaan met het geven van een waarschuwing.\n\nAls de Autoriteit Consument en Markt een overtreding van de informatieplicht heeft\n                                          geconstateerd, gaat hij in eerste instantie over tot het geven van een waarschuwing.\n                                          Indien de overtreding vervolgens niet snel wordt be\u00ebindigd, zal de Autoriteit Consument\n                                          en Markt overgaan tot het opleggen van een sanctie. Daarbij ligt een last onder dwangsom\n                                          het meest voor de hand, omdat dit een herstelsanctie is. Dat betekent dat de sanctie\n                                          is gericht op het be\u00ebindigen van een situatie die strijdig is met de wet. Het doel\n                                          van de informatieplicht is om zorg te dragen dat abonnees worden ge\u00efnformeerd over\n                                          bijzondere risico\u2019s en eventuele middelen waarmee deze risico\u2019s kunnen worden tegengegaan.\n                                          Deze plicht wordt geschonden zolang de aanbieder deze informatie niet verstrekt. Door\n                                          een last onder dwangsom op te leggen wordt de aanbieder gedwongen om alsnog aan de\n                                          verplichting te voldoen en wordt het meest recht gedaan aan de doelstelling van artikel 11.3, Tw, de bevordering van veiligheid van abonnees.\n\nHet opleggen van een boete is een strafsanctie, gericht op leedtoevoeging en is hier\n                                          daarom veel minder op zijn plaats, tenzij er sprake is van een bijzonder ernstige\n                                          overtreding of als de last onder dwangsom niet tot het gewenste resultaat leidt. De\n                                          last onder bestuursdwang is volgens de Autoriteit Consument en Markt niet toepasbaar,\n                                          omdat bij het inzetten van deze herstelsanctie de Autoriteit Consument en Markt bij\n                                          een geconstateerde overtreding zelf de informatie moet gaan verzorgen. Dit betekent\n                                          dat de Autoriteit Consument en Markt bijvoorbeeld zelf de website van de aanbieder\n                                          zou gaan aanpassen.\n\nDe Autoriteit Consument en Markt kan in bijzondere omstandigheden van dit beleid afwijken.\n\nDeze beleidsregels bevatten het OPTA-beleid inzake de handhaving van artikel 11.3, tweede lid, van de Telecommunicatiewet. De Autoriteit Consument en Markt houdt zich uitdrukkelijk de mogelijkheid voor daarin\n                                          wijzigingen aan te brengen. Toepassing van deze beleidsregels in de praktijk en voortschrijdend\n                                          inzicht zullen zo nodig tot aanpassing of herziening ervan leiden.\n\nDeze beleidsregels treden in werking met ingang van de dag na publicatie ervan in\n                                          de Nederlandse Staatscourant.\n\ncollege\n\nC.A. Fonteijn,\n\nvoorzitter.\n\n[Red: Gepubliceerd op de website van OPTA.]"}