A3 - VNG - Ledenbrief Gevolgen Cyberbeveiligingswet voor gemeenten D456315

Wannee, Helen Van: Verzonden: Aan: Onderwerp:

VNG <info@vng.nl> woensdag 26 maart 2025 14:23 Gemeente Brummen Lbr. 25/017 - Gevolgen Cyberbeveiligingswet voor gemeenten

Lees online | Gegevens wijzigen

Lbr. 25/017 - Gevolgen Cyberbeveiligingswet voor gemeenten 26 maart 2025

Geachte leden van college en gemeenteraad, Met deze brief informeren we u over de stand van zaken rondom de invoering van de Cyberbeveiligingswet (Cbw) en hoe u zich hier als bestuurder met uw gemeente op kunt voorbereiden. De wet hangt samen met de Wet Weerbaarheid Kritieke Entiteiten, hierover wordt u later geïnformeerd. Digitale weerbaarheid De nieuwe wetten hebben belangrijke implicaties voor gemeenten als het gaat om informatiebeveiliging. Door de naleving van deze wetten kunnen essentiële processen in de maatschappij beter beschermd worden tegen digitale dreigingen, waaronder hacks en aanvallen met ransomware. Dit geldt ook voor uw gemeente, waar processen zoals financiële administratie, burgerzaken, en de aansturing van bruggen en verkeersregelsystemen beter beschermd zullen zijn. Zonder goede informatiebeveiliging loopt uw gemeente risico op verstoringen van vitale diensten, financiële verliezen, schade aan de openbare veiligheid en verlies van vertrouwen van inwoners. Het versterken van digitale weerbaarheid helpt deze risico's te minimaliseren en zorgt voor een veilige omgeving voor uw inwoners. Volledige brief en bijlage

Contact

Afmelden

vng.nl

Gegevens wijzigen

Dit bericht is verzonden door de VNG. Lees onze proclaimer.

1

Gevolgen Cyberbeveiligingswet voor gemeenten Brief

Gerelateerde onderwerpen Dienstverlening en bedrijfsvoering van gemeenten, Informatiesamenleving, Digitale veiligheid en privacy

dinsdag 25 maart 2025

Ledenbrief nummer Lbr. 25/017 Geachte leden van college en gemeenteraad, Met deze brief informeren we u over de stand van zaken rondom de invoering van de Cyberbeveiligingswet (Cbw) en hoe u zich hier als bestuurder met uw gemeente op kunt voorbereiden. De wet hangt samen met de Wet Weerbaarheid Kritieke Entiteiten, hierover wordt u later geïnformeerd.

Digitale weerbaarheid De nieuwe wetten hebben belangrijke implicaties voor gemeenten als het gaat om informatiebeveiliging. Door de naleving van deze wetten kunnen essentiële processen in de maatschappij beter beschermd worden tegen digitale dreigingen, waaronder hacks en aanvallen met ransomware. Dit geldt ook voor uw gemeente, waar processen zoals financiële administratie, burgerzaken, en de aansturing van bruggen en verkeersregelsystemen beter beschermd zullen zijn. Zonder goede informatiebeveiliging loopt uw gemeente risico op verstoringen van vitale diensten, financiële verliezen, schade aan de openbare veiligheid en verlies van vertrouwen van inwoners. Het versterken van digitale weerbaarheid helpt deze risico's te minimaliseren en zorgt voor een veilige omgeving voor uw inwoners.

Volledige brief Gevolgen Cyberbeveiligingswet voor gemeenten (94 kB)

Bijlage(n) Consultatiereactie VNG op het Cyberbeveiligingsbesluit en het Besluit weerbaarheid kritieke entiteiten (118 kB)

Aan de leden

Datum 26 maart 2025 Ons kenmerk U202500124 Lbr. 25/017 Telefoon 070-3738393 Bijlage(n)

Onderwerp: Gevolgen Cyberbeveiligingswet voor gemeenten

Geachte leden van college en gemeenteraad, Met deze brief informeren we u over de stand van zaken rondom de invoering van de Cyberbeveiligingswet (Cbw) en hoe u zich hier als bestuurder met uw gemeente op kunt voorbereiden. De wet hangt samen met de Wet Weerbaarheid Kritieke Entiteiten, hierover wordt u later geïnformeerd. Digitale weerbaarheid De nieuwe wetten hebben belangrijke implicaties voor gemeenten als het gaat om informatiebeveiliging. Door de naleving van deze wetten kunnen essentiële processen in de maatschappij beter beschermd worden tegen digitale dreigingen, waaronder hacks en aanvallen met ransomware. Dit geldt ook voor uw gemeente, waar processen zoals financiële administratie, burgerzaken, en de aansturing van bruggen en verkeersregelsystemen beter beschermd zullen zijn. Zonder goede informatiebeveiliging loopt uw gemeente risico op verstoringen van vitale diensten, financiële verliezen, schade aan de openbare veiligheid en verlies van vertrouwen van inwoners. Het versterken van digitale weerbaarheid helpt deze risico's te minimaliseren en zorgt voor een veilige omgeving voor uw inwoners. NIS2- en CER-richtlijnen De Europese Unie heeft twee richtlijnen aangenomen om de fysieke, digitale en economische weerbaarheid te versterken: de Network and Information Security Directive (NIS2-richtlijn) en de Critical Entities Resilliance Directive (CER-richtlijn).

Sinds januari 2023 werkt de rijksoverheid aan de doorvertaling hiervan naar nationale wetgeving, de Cyberbeveiligingswet (Cbw) en de Wet Weerbaarheid Kritieke Entiteiten. Deze wetten worden naar verwachting in het vierde kwartaal van 2025 ingevoerd.

Vereniging van Nederlandse Gemeenten Nassaulaan 12 Den Haag | Postbus 30435 | 2500 GK Den Haag 070 - 373 83 93 | info@vng.nl

vng.nl

Veranderingen rondom zorgplicht, meldplicht en toezicht In vergelijking met de huidige wetgeving zal voor gemeenten, en voor u, de gemeentelijke bestuurder, een aantal zaken veranderen als het gaat om de zorgplicht, meldplicht en toezicht op informatiebeveiliging. Zorgplicht Zodra de wet ingaat, worden gemeenten expliciet verantwoordelijk voor de beheersing van cyberrisico's. Dat betekent dat een analyse van cyberrisico's onderdeel moet zijn van het bredere, reguliere risicobeheer, net als financiële, juridische en politieke risico's. De bestuurders hebben hierin een belangrijke rol. Voor gemeenten houdt dit in dat het college van burgemeester en wethouders verplicht is om informatiebeveiligingsmaatregelen goed te keuren en een training te volgen. Deze training stelt u in staat om risico's te identificeren, risicobeheersmaatregelen te evalueren en de impact van zowel de risico's als de beheersmaatregelen te beoordelen. De Cbw brengt voor overheidsbestuurders (in tegenstelling tot private bestuurders) geen nieuwe aansprakelijkheden met zich mee. Meldplicht De Informatiebeveiligingsdienst (IBD) blijft het Computer Emergency Response Team, of Computer Security Incident Response Team (CERT/CSIRT) voor alle Nederlandse gemeenten. Gemeenten betalen de IBD uit het GGU-fonds. Het recht op ondersteuning wordt wettelijk verankerd in de Cbw.

De IBD en haar partners binnen het Cyberweerbaarheidsnetwerk ondersteunen gemeenten bij het voorkomen en herstellen van digitale incidenten. Nieuw is dat er ook een meldplicht komt voor ernstige incidenten. Toezicht Binnen de gemeente is het van belang dat primair de gemeenteraad toezicht houdt op de naleving van de wet. De raad doet dit door het oppakken van zijn kaderstellende en controlerende rol en het borgen van voldoende budget. Naar aanleiding van de ENSIA-rapportage en rondom voorjaars- en najaarsnota’s kunnen de wethouders en ambtelijk verantwoordelijken, zoals de CISO, gesprekken voeren over de stand van zaken en benodigde acties. De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op de naleving van de Cbw door de gehele overheid. Op de informatiebeveiliging van enkele gemeentelijke processen, zoals zorg of infrastructuur, kunnen ook andere toezichthouders een rol spelen, zoals de Inspectie Gezondheidszorg en Jeugd en de Inspectie Leefomgeving en Transport nu al doen op hun domeinen. Deze toezichthouders werken nauw met elkaar samen. Sancties bij gebreken De RDI heeft als toezichthouder ook de mogelijkheid om sancties op te leggen. Het gaat dan niet alleen om sancties voor de gemeentelijke organisatie, maar ook om persoonlijke sancties voor bestuurders (burgemeester en wethouder) die in gebreke blijven.

Bij inbreuken op de zorgplicht en meldplicht kan de toezichthouder de gemeente een bestuurlijke boete opleggen van maximaal € 10 miljoen. Voor overtredingen van andere verplichtingen in de Cyberbeveiligingswet, zoals de registratieplicht, kan de boete oplopen tot € 1 miljoen. Burgemeesters en wethouders kunnen individueel een boete van maximaal € 25.000 krijgen als zij de verplichte training niet volgen.

Vereniging van Nederlandse Gemeenten

2/4

Concrete voorbereiding Gemeenten kunnen zich op verschillende manieren voorbereiden op de aankomende Cyberbeveiligingswet. Baseline Informatiebeveiliging Overheid (BIO) Blijf werken volgens de BIO-standaarden. De eisen van NIS2 worden hierin opgenomen, dus het is belangrijk om de cyclus van plannen, uitvoeren, controleren en bijstellen te blijven volgen. ISMS-systeem Werk gestructureerd volgens een Informatie Security Management Systeem (ISMS) om de status van de informatiebeveiliging te monitoren en te verbeteren. Dit plan-do-check-act systeem helpt bij het naleven van de verschillende normenkaders en maakt continue verbetering mogelijk. Zo wordt de organisatie en de bestuurder in het bijzonder in staat gesteld om de juiste afwegingen te maken. Bewustwording en training Zoals hierboven toegelicht (onder zorgplicht), stelt de Cbw een training over informatiebeveiliging voor bestuurders (burgemeester en wethouders) verplicht. Een dergelijke training helpt u als bestuurder om de juiste vragen te stellen aan de organisatie om de voorgestelde beveiligingsmaatregelen af te kunnen wegen in relatie tot het risico voor de continuïteit van de gemeentelijke dienstverlening. Wij raden aan om nog geen trainingen te volgen van commerciële partijen, omdat de eisen nog niet zijn vastgesteld. De besluitvorming over de eisen aan de opleiding is op dit moment nog lopende.

De insteek van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties is dat de trainingsverplichting voor de overheid zo uniform en efficiënt mogelijk wordt ingericht. Het ministerie hoopt tegen de zomer meer duidelijkheid te kunnen verschaffen. Bovendien is er voldoende tijd. Na de inwerkingtreding hebben bestuurders twee jaar de tijd om aan de opleidingsverplichting te voldoen. Samenwerking met de VNG en IBD Maak gebruik van de ondersteuning die de VNG biedt bij de implementatie van de wetgeving. De IBD ondersteunt bij incidenten op het gebied van informatiebeveiliging. U kunt de IBD benaderen bij alle soorten informatiebeveiligingsincidenten waar de beschikbaarheid, integriteit en vertrouwelijkheid van gegevens en systemen in het geding is. ENSIA-rapportage De jaarlijkse ENSIA-rapportage in mei/juni is hét verantwoordingsinstrument over de staat van informatiebeveiliging. Onder de nieuwe Cyberbeveiligingswet wordt de ENSIA-rapportage nog belangrijker, omdat de gemeente daarmee aan de raad, de stelselhouders en de toezichthouders binnen de rijksoverheid kan aantonen dat zij ‘in control’ is en dus of ze voldoet aan de zorgplicht. Stimuleer het goede gesprek over de staat van de informatiebeveiliging in het college en de raad.

Uitnodiging webinar voor bestuurders Om u naar aanleiding van deze brief verder te informeren en vragen te beantwoorden nodigen wij u uit voor een webinar op donderdag 15 mei om 10:00. Dit webinar is speciaal bedoeld voor bestuurders. Aanmelden kan via deze link: https://vng.webinargeek.com/optimale-voorbereidingcyberbeveiligingswet. Meer informatie

Vereniging van Nederlandse Gemeenten

3/4

Heeft u vragen? Neemt u dan contact op met het Klantcontactcentrum van de VNG via telefoonnummer 070-373 83 93 of e-mail via info@vng.nl. Tot slot De VNG blijft zich inzetten om gemeenten optimaal te ondersteunen. De haalbaarheid, betaalbaarheid en uitvoerbaarheid van de nieuwe wetten staan in onze lobby richting het rijk voorop. Om te kunnen voldoen aan de Cbw is een eerste randvoorwaarde dat, in overeenstemming met artikel 2 van de Financiële-verhoudingswet, de rijksoverheid zorgt voor adequate financiële dekking van de extra uitvoeringskosten die gemeenten moeten maken voor de naleving van de nieuwe regelgeving voor het beveiligen van netwerk- en informatiesystemen. Er is nauw contact met onder meer de betrokken ministeries over de uitwerking en implicaties van de wetten voor lokale overheden.

Met vriendelijke groet, Vereniging van Nederlandse Gemeenten

Mr L.K. Geluk Algemeen directeur

Vereniging van Nederlandse Gemeenten

4/4

Ministerie van Justitie en Veiligheid Minister van Justitie en Veiligheid Dhr. D.M. van Weel Postbus 20301 2500 EH 'S-GRAVENHAGE

Datum

27 maart 2025 Kenmerk

TPW/U202500150 Telefoon

06 18575782 CC: Ministerie van Binnenlandse Zaken en Koninkrijksrelaties De staatssecretaris voor Digitalisering en Koninkrijkrelaties Dhr. F.Z. Szabó Postbus 20011 2500 EA DEN HAAG

Bijlage(n)

-

Onderwerp: Consultatiereactie VNG op het Cyberbeveiligingsbesluit en het Besluit weerbaarheid kritieke entiteiten

Geachte heer Van Weel, In februari is de internetconsultatie gestart voor de Algemene Maatregelen van Bestuur (AMvB) behorende bij de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). De VNG heeft met belangstelling kennisgenomen van de consultatiewetteksten en deze met onze leden gedeeld. Namens 342 Nederlandse gemeenten delen wij onze reactie met u. Wij waarderen het dat de teksten van de twee AMvB’s beschikbaar zijn gesteld. Om gemeenten en andere medeoverheden goed voor te bereiden op de invoering van de Cbw en Wwke en de impact op hun organisatie helder te krijgen, vragen wij echter om verduidelijking op enkele specifieke punten. Wij zijn bekend met de consultatiereacties van het IPO en de UvW en ondersteunen deze volledig. Onze aandachtspunten betreffen de zorgplicht, training, governance en de meldplicht: •

•

Zorgplicht o Risicogebaseerde informatiebeveiliging vereist risicogebaseerd toezicht. o Toezicht moet specifiek, meetbaar, acceptabel, realistisch en tijdgebonden zijn. o Gemeenten kampen met personeels- en financiële uitdagingen; het Rijk biedt ondersteuning. o De Uitvoerbaarheidstoets Decentrale Overheden moet de implementatiekosten van de Cbw inzichtelijk maken. Training en governance o Het Cyberbeveiligingsbesluit (Cbb) bepaalt wanneer een trainer gekwalificeerd is. o Gemeenten kunnen zelf de training organiseren.

Vereniging van Nederlandse Gemeenten Nassaulaan 12 Den Haag | Postbus 30435 | 2500 GK Den Haag 070 - 373 83 93 | info@vng.nl

U202500150

PROD

o o •

CIO Rijk ontwikkelt een trainingssyllabus met input van medeoverheden. De Cbw behoudt de bestaande aansprakelijkheidsregels voor overheidsinstanties.

Meldplicht o Criteria voor significante incidenten en verstoringen volgen het primaire doel van de NIS2 en CER-richtlijn zonder overbelasting bij de entiteiten. o Proportionele drempelwaarden voor meldplicht worden in de ministeriële regeling vastgesteld. o De impact bepaalt of een incident meldingswaardig is. o Gemeenten krijgen voldoende tijd voor implementatie, aangezien de criteria nog onbekend zijn.

Zorgplicht In hoofdstuk 4 ‘Zorgplicht’, van het Cbb wordt benadrukt dat de beschreven technische, operationele en organisatorische maatregelen op een risicogebaseerde manier toegepast moeten worden. Gezien het verscherpte toezicht op informatiebeveiliging, verwachten wij daarom ook dat het toezicht risicogebaseerd zal zijn. Gemeenten willen dat het risicogebaseerde toezicht onder de Cyberbeveiligingswet zo wordt ingericht dat het specifiek, meetbaar, acceptabel, realistisch en tijdgebonden is, om zo effectief mogelijk te kunnen werken aan verbeteringen in cyberbeveiliging en helder verantwoording af te leggen. Het Cbb beschrijft in dit hoofdstuk welke maatregelen door beleid ondersteund moeten worden. Hoewel gemeenten en andere medeoverheden graag bereid zijn dit beleid te ontwikkelen en te implementeren, ligt de uitdaging voornamelijk bij het beschikken over voldoende personeel en middelen. Dit geldt ook voor het Besluit weerbaarheid kritieke entiteiten (Bwke). Daarnaast benadrukken we dat de uitdagingen niet puur financieel zijn, maar ook te maken hebben met de krapte op de arbeidsmarkt. Het is voor gemeenten bijzonder lastig om gekwalificeerd personeel te vinden voor het op peil houden van de informatiebeveiliging. In de Nota van Toelichtingen zijn voor bedrijven zowel de eenmalige als de structurele implementatiekosten van de Cyberbeveiligingswet uiteengezet.

Gemeenten verzoeken om deze informatie ook specifiek voor hen gedetailleerd uit te werken en daarbij de Uitvoerbaarheidstoets voor Decentrale Overheden te gebruiken. Verder is het voor gemeenten van belang om te weten welke gemeenschappelijke regelingen onder de Cbw vallen, aangezien de huidige criteria voor overheidsinstanties tot veel discussies en onzekerheden leiden. Training en governance Hoofdstuk 5 ‘Training van het Cbb’ behandelt de onderwerpen die verplicht zijn in de training voor bestuurders. Deze training wordt door een onafhankelijke en gekwalificeerde trainer gegeven. Artikel 24, lid 5 van de Cyberbeveiligingswet vereist dat elk bestuurslid van een essentiële of belangrijke entiteit een certificaat van deelname van een dergelijke training moet hebben. De markt ziet hierin kansen, wat nu al heeft geleid tot een uitgebreid aanbod van zogenaamde NIS2trainingen. Bij sommige trainers is onduidelijk of ze voldoende gekwalificeerd zijn. Gemeenten verzoeken u om in het Cbb expliciet te maken hoe trainers kunnen aantonen dat zij voldoen aan de gestelde eisen in artikel 22.

Vereniging van Nederlandse Gemeenten

2/5

Gemeenten willen dat zij zelf deze training kunnen organiseren. De Rijksoverheid kan ondersteuning bieden betreft de inhoud, zodat de kennis en vaardigheden van overheidsbestuurders op dit vlak uniform zijn en toegespitst op de bestuurlijke context. Op deze wijze hebben wij er dan ook vertrouwen in dat het certificaat de juiste waarde vertegenwoordigt. In dit kader steunen we ook het voorstel voor een uniforme trainingsyllabus voor alle bestuurders van overheidsorganisaties, die door het Rijk wordt samengesteld en bekostigd. We hebben begrepen dat de CIO Rijk bezig is met het opstellen van de inhoud voor deze verplichte training. Wij willen graag betrokken worden en onze input leveren om te verzekeren dat de training aansluit bij de specifieke werkomgeving en maatschappelijke context van gemeenten, provincies en waterschappen, en om de kwaliteit te waarborgen. Bovendien willen gemeenten graag meedenken over de praktische invulling van de training en de verschillende vormen die deze kan aannemen, zoals e-learning. Governance Potentiële overheidsbestuurders zouden niet moeten worden afgeschrikt door het risico op bestuurlijke boetes als ze deze training en andere verplichtingen uit de Cbw niet volgen. We willen u er namelijk op wijzen dat artikel 24 lid 12d van de Cbw expliciet het college van burgemeester en wethouders als normadressaat van de wetgeving aanduidt.

Volgens de Memorie van Toelichting (MvT) van de Cbw moet elk bestuurslid over voldoende kennis en vaardigheden beschikken en hiervoor een training volgen, waarbij zij ook verantwoordelijk zijn voor de goedkeuring van de genomen maatregelen (Cbw, artikel 24 lid 1). In de MvT bij de Cbw wordt benadrukt dat volgens de NIS2-richtlijn, zoals vastgelegd in artikel 20, lid 2, deze richtlijn geen afbreuk doet aan het nationale recht met betrekking tot de aansprakelijkheidsregels die gelden voor overheidsinstanties en voor de aansprakelijkheid van ambtenaren en verkozen of benoemde overheidsfunctionarissen. De laatste zin is correct in de context dat de NIS2-richtlijn geen inbreuk maakt op het nationale recht betreffende overheidsinstanties en de aansprakelijkheid van ambtenaren en gekozen of benoemde overheidsfunctionarissen. Echter, het huidige ontwerp van de Cbw lijkt hier wel inbreuk op te maken. Voor een correcte implementatie van de NIS2-richtlijn in de nationale wetgeving, zonder afbreuk te doen aan bestaande nationale aansprakelijkheidsregels, is meer nodig dan slechts een toelichtende opmerking in de memorie van toelichting over de vereisten van de NIS2richtlijn.

Wij stellen de volgende aanpassingen in de Cbw voor: In artikel 24 onder vernummering van het huidige lid 13 naar 14 een nieuw lid 13 invoegen: Ongeacht de toebedeling van de verplichtingen aan het bestuur het twaalfde lid is een bestuurdersaansprakelijkheid van overheidsinstanties als bedoeld in artikel 20, eerste lid, eerste volzin, en artikel 32, zesde lid, van de NIS2-richtlijn, uitgesloten voor de besturen van ministeries, provincies, gemeenten, waterschappen of gemeenschappelijke regelingen. Deze uitsluiting van bestuurdersaansprakelijkheid laat het regresrecht van overheidsinstanties jegens hun besturen conform artikel 170, derde lid, van Boek 6 van het Burgerlijk Wetboek onverlet.

Vereniging van Nederlandse Gemeenten

3/5

Of: In artikel 24 in lid 12 de eerste volzin vervangen door: "Indien de essentiële entiteit een overheidsinstantie is, wordt voor de toepassing van dit artikel als het bestuur, in de hoedanigheid van vertegenwoordigersvan de essentiële entiteit, aangemerkt:" Meldplicht Hoofdstuk 6 van het Cbb en hoofdstuk 5 van de Bwke behandelen de meldplicht. Hierin staat dat de criteria voor een significant incident en aanzienlijke verstoring worden bepaald in ministeriële regelingen. Gemeenten willen graag een zorgvuldige benadering die recht doet aan het primaire doel van de meldplicht volgens de Network and Informationsecurity (NIS2)- en de Critical Entities Resilience (CER)-richtlijnen: het verbeteren van de digitale weerbaarheid binnen de Europese Unie door vroegtijdig inzicht te krijgen in incidenten en dreigingen en continuïteit van essentiële diensten te waarborgen. De Nederlandse implementatiewetgeving van deze richtlijnen moet helpen om relevante incidenten adequaat te identificeren en te rapporteren zonder overbelasting van zowel de entiteiten onder de Cbw en Wwke als de toezichthoudende instanties met onnodige meldingen. Daarnaast verwachten gemeenten in de ministeriële regelingen proportionele drempelwaarde voor meldingen, zodat alleen die incidenten gemeld worden met een daadwerkelijk risico voor de digitale veiligheid.

Vanwege de aanzienlijke bestuurlijke boetes die kunnen oplopen tot € 10 miljoen voor het niet naleven van de meldplicht, moet worden voorkomen dat de meldplicht ertoe leidt dat entiteiten uit voorzorg onnodige meldingen doen om financiële sancties te vermijden. De impact moet bepalen of een incident meldingswaardig is. Gemeenten verzoeken de wetgever om criteria die zich richten op de gebeurtenis te herformuleren naar de impact ervan. Neem daarnaast meetbare criteria op in de ministeriële regelingen voor significante incidenten, toegespitst op de specifieke context van gemeenten, provincies en waterschappen. We stellen voor om twee jaar na de invoering van de Cbw, Cbb, Wwke en Bwke de inhoud van de meldplicht te evalueren om zowel de administratieve lasten als de voordelen ervan opnieuw te beoordelen. Omdat de drempelwaarden pas in de ministeriële regelingen worden vastgesteld, die momenteel nog niet beschikbaar zijn, kunnen gemeenten hun bestaande meldprocessen niet aanpassen aan de nog te definiëren criteria voor significante incidenten. Gemeenten verzoeken de wetgever hiermee rekening te houden en hen voldoende tijd te geven om, na de bekendmaking van de ministeriële regeling, hun meldprocessen aan te passen aan de vastgestelde criteria. Financiering De VNG is bezorgd over de kosten die gemeenten en andere medeoverheden moeten maken voor de implementatie.

Om te kunnen voldoen aan de Cbw is een eerste randvoorwaarde dat, in overeenstemming met artikel 2 van de Financiële-verhoudingswet, de rijksoverheid zorgt voor adequate financiële dekking van de extra uitvoeringskosten die gemeenten moeten maken voor de naleving. De VNG is hierover nog in gesprek met het rijk.

Vereniging van Nederlandse Gemeenten

4/5

Samenwerking Namens de medeoverheden vertrouwen wij erop dat u onze punten meeneemt in de definitieve versie van de Cbw, Cbb, Bwke en de bijbehorende Memories van Toelichting en Nota van toelichting. Waar verdere toelichting nodig is zullen we deze uiteraard verstrekken. Sinds begin 2023 werkten wij samen met uw ambtenaren om tot een goede implementatie van de NIS2- en CER-richtlijn voor lokale overheden te komen. Wij zetten deze samenwerking graag voort om zo tot een digitaal veilige en weerbare overheid te komen.

Met vriendelijke groet, Vereniging van Nederlandse Gemeenten

mr L.K. Geluk Algemeen directeur

Vereniging van Nederlandse Gemeenten

5/5