Sinds 15 augustus gelden de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Deze wetten versterken de digitale en fysieke weerbaarheid van organisaties in Nederland en dragen bij aan de continuïteit van essentiële diensten. Voor duizenden organisaties betekent dit dat zij moeten voldoen aan nieuwe wettelijke verplichtingen. 

Minister van Justitie en Veiligheid David van Weel: “Digitale aanvallen, sabotage en andere verstoringen kunnen grote gevolgen hebben voor onze samenleving. Met de inwerkingtreding van deze wetten zetten we een belangrijke stap om organisaties én Nederland weerbaarder te maken. Ik roep organisaties die onder deze wetten vallen op om hun verantwoordelijkheid te nemen, zich te registeren waar dat verplicht is en de benodigde maatregelen te treffen om hun digitale en fysieke weerbaarheid te versterken. Alleen zo maken we Nederland weerbaarder.”

Cyberbeveiligingswet

De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen binnen 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.
Organisaties zijn zelf verantwoordelijk om vast te stellen of zij onder de Cyberbeveiligingswet vallen.

De organisaties die onder de Cyberbeveiligingswet vallen, krijgen onder meer te maken met:

• Registratieplicht: Organisaties moeten zich registreren in het nationaal entiteitenregister, dat wordt beheerd door het Nationaal Cyber Security Centrum (NCSC). Na registratie kunnen organisaties gebruikmaken van de dienstverlening van het NCSC of het voor hun sector aangewezen CSIRT. Zij ontvangen dan van dat CSIRT onder meer informatie over cyberdreigingen en bijstand bij cyberincidenten.
• Zorgplicht: Organisaties moeten passende en evenredige maatregelen nemen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. Ook moeten zij deze maatregelen nemen om incidenten te voorkomen of de gevolgen daarvan te beperken.
• Meldplicht: Organisaties moeten significante incidenten binnen de wettelijke termijnen melden aan hun CSIRT en hun bevoegde autoriteit. Zij kunnen dit doen via het meldportaal van het NCSC. In de ministeriële regelingen van de betrokken vakministers zijn drempelwaarden opgenomen om te bepalen wanneer een incident significant is. Deze drempelwaarden kunnen per sector verschillen. Raadpleeg daarom de ministeriële regeling die voor de eigen sector van toepassing is.
• Bestuurlijke verantwoordelijkheid: Het bestuur van een organisatie is verantwoordelijk voor het goedkeuren van de maatregelen die in het kader van de zorgplicht worden genomen en ziet toe op de uitvoering daarvan. Bestuurders moeten beschikken over voldoende kennis om risico’s en beveiligingsmaatregelen te kunnen beoordelen en moeten daarvoor een passende training volgen.
• Toezicht en handhaving: Toezichthouders controleren of organisaties voldoen aan de verplichtingen uit de Cyberbeveiligingswet. Meer weten over toezicht? Aanmelden voor het webinar op 3 september kan via: Aanmelding webinar 6 ‘Toezicht op de Cyberbeveiligingswet’.

Wet weerbaarheid kritieke entiteiten

De Wet weerbaarheid kritieke entiteiten implementeert de Europese CER-richtlijn in Nederland. De wet heeft als doel de weerbaarheid van kritieke entiteiten te verhogen tegen uiteenlopende dreigingen, zoals sabotage, terroristische misdrijven, extreem weer en andere verstoringen.
De wet geldt voor ongeveer 500 organisaties in de sectoren energie, vervoer, drinkwater, gezondheidszorg, overheid, digitale infrastructuur, bankwezen, chemie, infrastructuur voor de financiële markt, afvalwater, ruimtevaart, nucleair, keren en beheren, meteorologie, productie, verwerking en distributie van levensmiddelen. Organisaties die onder de Wet weerbaarheid kritieke entiteiten vallen, worden door het verantwoordelijke ministerie aangewezen als kritieke entiteit.

De organisaties die onder de Wet weerbaarheid kritieke entiteiten vallen, krijgen onder andere te maken met:

• Risicobeoordeling: Binnen 9 maanden na de aanwijzing moeten organisaties een eigen risicobeoordeling uitvoeren. Hiermee brengt een organisatie in kaart welke risico’s de continuïteit van hun essentiële diensten kunnen verstoren en welke gevolgen deze risico’s kunnen hebben.
• Zorgplicht: Binnen 10 maanden na de aanwijzing moeten organisaties passende technische, organisatorische en fysieke maatregelen hebben getroffen om de weerbaarheid van hun essentiële diensten te vergroten.
• Meldplicht: Organisaties zijn verplicht binnen 24 uur incidenten te melden die een aanzienlijke verstoring veroorzaken of kunnen veroorzaken van hun essentiële diensten. Het doel van de melding is om de bevoegde autoriteit, bestaande uit het verantwoordelijke ministerie en de toezichthouder, in staat te stellen om te reageren op incidenten en waar nodig en mogelijk ondersteuning aan de organisatie te bieden.
• Toezicht en handhaving: De bevoegde autoriteit houdt toezicht op de naleving van de Wwke. Deze kan informatie opvragen of onderzoeken uitvoeren om te beoordelen of aan de wettelijke verplichtingen wordt voldaan.