Bijlage 3. Cyberbeveiligingsbesluit

Besluit van houdende regels ter uitvoering van de Cyberbeveiligingswet (Cyberbeveiligingsbesluit) Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz. Op de voordracht van Onze Minister van Justitie en Veiligheid van 28 november 2025, directie Wetgeving en Juridische Zaken, nr. 6838375; Gelet op de artikelen 3, 16, eerste en zevende lid, 17, eerste lid, 21, vijfde lid, 24, zesde lid, 25, derde en vierde lid, 35, 44, eerste lid, onderdeel f, 51, tweede lid, onderdeel i, en 65, eerste lid, van de Cyberbeveiligingswet, de artikelen 14, vijfde lid, en 15, vierde lid, van de Wet weerbaarheid kritieke entiteiten, de artikelen 1:3a, vierde lid, 1:24, derde lid, en 1:25, derde lid, onderdeel b, van de Wet op het financieel toezicht, artikel 54a van de Drinkwaterwet en de artikelen 11a.1, tweede en vierde lid, en 11a.3, zesde lid, van de Telecommunicatiewet; De Afdeling advisering van de Raad van State gehoord (advies van [datum], nr. [PM]); Gezien het nader rapport van Onze Minister van Justitie en Veiligheid van [datum], nr. [nummer], uitgebracht in overeenstemming met Onze Ministers van [PM]; Hebben goedgevonden en verstaan: Hoofdstuk 1.

Begripsbepaling Artikel 1 (begripsbepaling) In dit besluit en de daarop berustende bepalingen wordt verstaan onder: – Uitvoeringsverordening (EU) 2024/2690: Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024 tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en nadere specificatie van de gevallen waarin een incident als significant wordt beschouwd met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten (PbEU L 2024/2690); – wet: Cyberbeveiligingswet. Hoofdstuk 2. Aanwijzing CSIRT en coördinator bekendmaking kwetsbaarheden en eisen aan CSIRT’s Artikel 2 (aanwijzing CSIRT en coördinator bekendmaking kwetsbaarheden) 1. Onze Minister wordt voor essentiële entiteiten en belangrijke entiteiten aangewezen als het CSIRT, bedoeld in artikel 16, eerste lid, van de wet. 2.

Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kan in afwijking van het eerste lid voor essentiële entiteiten en belangrijke entiteiten uit specifieke sectoren en subsectoren, voor specifieke soorten entiteiten en voor specifieke entiteiten een ander dan Onze Minister worden aangewezen als het CSIRT, bedoeld in artikel 16, eerste lid, van de wet. 3. Onze Minister is de coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden, bedoeld in artikel 17 van de wet. Artikel 3 (eisen aan CSIRT’s) 1. De CSIRT’s, bedoeld in artikel 2, eerste en tweede lid, voldoen aan de volgende eisen: a. de CSIRT’s garanderen een hoge mate van beschikbaarheid van hun communicatiekanalen door zwakke punten te voorkomen, beschikken over middelen waarlangs te allen tijde contact met hen en met anderen kan worden opgenomen, specificeren hun communicatiekanalen duidelijk en delen deze mee aan de entiteiten, instanties en partijen, bedoeld in artikel 16, tweede lid, onderdeel b, van de wet, en de andere instanties waarmee zij samenwerken; b. de lokalen en werkruimten van de CSIRT’s en de ondersteunende informatiesystemen bevinden zich op beveiligde locaties; c. de CSIRT’s zijn, met het oog op doeltreffende en efficiënte overdrachten, uitgerust met een adequaat systeem voor het beheren en routeren van verzoeken; d.

de CSIRT’s waarborgen de vertrouwelijkheid en betrouwbaarheid van hun activiteiten; e. de CSIRT’s beschikken over voldoende personeel om te allen tijde de beschikbaarheid van hun diensten te garanderen en zorgen ervoor dat hun personeel naar behoren wordt opgeleid; en f. de CSIRT’s zijn uitgerust met redundante systemen en reservewerkruimten om de continuïteit van hun diensten te waarborgen. 2. Bij regeling van Onze Minister, na overleg met Onze Ministers die het aangaan, kunnen nadere regels worden gesteld over de functionele, technische en organisatorische vereisten ten aanzien van de in artikel 2, eerste en tweede lid, bedoelde CSIRT’s. 3. Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen daarnaast nadere regels worden gesteld over de functionele, financiële, technische en organisatorische vereisten ten aanzien van een organisatie die op grond van artikel 2, tweede lid, is aangewezen als CSIRT. Hoofdstuk 3. Toepassingsbereik Artikel 4 (verhouding tot Uitvoeringsverordening (EU) 2024/2690) Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 17 en 19 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e.

aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten. Hoofdstuk 4. Zorgplicht Artikel 5 (uitvoering van artikel 21 van de wet) Ter uitvoering van artikel 21 van de wet neemt de essentiële entiteit of belangrijke entiteit ten minste de maatregelen, bedoeld in de artikelen 6 tot en met 19. Artikel 6 (beleid over beveiliging van netwerk- en informatiesystemen) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, de rollen, verantwoordelijkheden en bevoegdheden in relatie tot de beveiliging van haar netwerk- en informatiesystemen vast. De entiteit zorgt er zoveel mogelijk voor dat conflicterende rollen, verantwoordelijkheden en bevoegdheden gescheiden worden. 3.

De essentiële entiteit of belangrijke entiteit verlangt van haar personeel en andere binnen de entiteit werkzame personen dat zij de beveiliging van haar netwerk- en informatiesystemen toepassen overeenkomstig het beleid, bedoeld in het eerste lid. 4. De essentiële entiteit of belangrijke entiteit hanteert een managementsystematiek voor de beveiliging van haar netwerk- en informatiesystemen om aantoonbaar te kunnen voldoen aan het bepaalde bij of krachtens artikel 21 van de wet. Artikel 7 (beleid over risicomanagement) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over risicomanagement voor de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. Het beleid, bedoeld in het eerste lid, omvat ten minste: a. een risicomanagementmethodiek; en b. criteria voor risicoacceptatie. 3. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor risicoanalyse, risicobeoordeling en risicobehandeling. De entiteit past deze processen en procedures aantoonbaar toe. 4. De essentiële entiteit of belangrijke entiteit maakt op basis van de uitgevoerde risicoanalyse een overzicht van de risico’s met betrekking tot de beveiliging van haar netwerk- en informatiesystemen. 5.

De essentiële entiteit of belangrijke entiteit stelt op basis van het overzicht van de risico’s, bedoeld in het vierde lid, eisen met betrekking tot de beveiliging van haar netwerk- en informatiesystemen. Indien de risicoanalyse hiertoe aanleiding geeft, neemt de entiteit maatregelen om de beveiliging van haar netwerk- en informatiesystemen op structurele en aantoonbare wijze te borgen. Artikel 8 (incidentenbehandeling) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over incidentenbehandeling. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, de rollen, verantwoordelijkheden en bevoegdheden vast voor: a. het tijdig detecteren van incidenten; b. het analyseren en beoordelen van incidenten; c. het reageren op, beperken van de gevolgen van, wegnemen van de oorzaak van en herstellen van incidenten; d. het documenteren van incidenten; e. het rapporteren van incidenten; en f. het leren van incidenten. 3.

De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast om relevante gebeurtenissen in haar netwerk- en informatiesystemen te monitoren teneinde incidenten te detecteren, analyseren en classificeren. De entiteit past deze processen en procedures aantoonbaar toe. 4. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor: a. het tijdig detecteren van incidenten; b. het analyseren en beoordelen van incidenten; c. het reageren op, beperken van de gevolgen van, wegnemen van de oorzaak van en herstellen van incidenten; d. het documenteren van incidenten; e. het rapporteren van incidenten; en f. het leren van incidenten. 5. De essentiële entiteit of belangrijke entiteit past de processen en procedures, bedoeld in het vierde lid, aantoonbaar toe. 6. De essentiële entiteit of belangrijke entiteit logt de voor de beveiliging van haar netwerk- en informatiesystemen relevante gebeurtenissen in haar netwerk- en informatiesystemen. De entiteit houdt gedurende een vooraf bepaalde periode deze logbestanden bij en beschermt deze tegen ongeautoriseerde wijzigingen. Artikel 9 (bedrijfscontinuïteit en crisisbeheer) 1.

De essentiële entiteit of belangrijke entiteit heeft vastgesteld bedrijfscontinuïteitsbeleid met betrekking tot haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor het borgen van haar bedrijfscontinuïteit, waaronder in ieder geval processen en procedures voor het herstellen van haar netwerk- en informatiesystemen en voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens. De entiteit past deze processen en procedures aantoonbaar toe en test deze periodiek. 3. De essentiële entiteit of belangrijke entiteit heeft een vastgesteld bedrijfscontinuïteitsplan met betrekking tot haar netwerk- en informatiesystemen. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident die de bedrijfscontinuïteit in gevaar brengt, en test dit plan periodiek. 4. De essentiële entiteit of belangrijke entiteit heeft een herstelplan. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident en test dit plan periodiek. 5.

De essentiële entiteit of belangrijke entiteit heeft een plan voor crisisbeheer, legt dit plan schriftelijk vast, past dat plan toe in geval van een crisis en test en beoefent dit plan periodiek. Het plan bevat ten minste: a. de taken, verantwoordelijkheden en bevoegdheden ten tijde van crisis voor het personeel en andere binnen de entiteit werkzame personen; b. een beschrijving van de communicatiemiddelen ten tijde van crisis; en c. wanneer passend, een beschrijving van de beschikbare noodvoorzieningen, waaronder het gebruik van beveiligde noodcommunicatiesystemen ten tijde van crisis. Artikel 10 (beveiliging van de toeleveringsketen) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van de toeleveringsketen. De entiteit bepaalt in dat beleid haar omgang met afhankelijkheden van de producten en diensten van haar leveranciers en dienstverleners die invloed kunnen hebben op de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.

Artikel 11 (beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen) 1. De essentiële entiteit of belangrijke entiteit heeft op basis van de beveiligingseisen, bedoeld in artikel 7, vijfde lid, vastgesteld beleid voor het mitigeren en beheersen van risico’s die voortvloeien uit het verwerven van software, hardware of diensten die betrekking hebben op haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. Indien van toepassing stelt de essentiële entiteit of belangrijke entiteit processen en procedures vast voor de veilige ontwikkeling van haar netwerk- en informatiesystemen. De entiteit past deze processen en procedures aantoonbaar toe. Deze processen en procedures hebben betrekking op alle ontwikkelingsfasen van de netwerk- en informatiesystemen van de entiteit. 3. De essentiële entiteit of belangrijke entiteit stelt processen en procedures vast voor het onderhoud en beheer van haar netwerk- en informatiesystemen. De entiteit past deze processen en procedures aantoonbaar toe. Deze processen en procedures hebben ten minste betrekking op het configuratiebeheer en het wijzigingsbeheer van de netwerk- en informatiesystemen van de entiteit. Artikel 12 (basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging) 1.

De essentiële entiteit of belangrijke entiteit zorgt ervoor dat haar personeel en andere binnen de entiteit werkzame personen, voor zover relevant voor hun functie: a. bewust zijn van de risico’s met betrekking tot de netwerk- en informatiesystemen van de entiteit; en b. praktijken op het gebied van cyberhygiëne toepassen. 2. De essentiële entiteit of belangrijke entiteit wijst het personeel en andere binnen de entiteit werkzame personen aan waarvan de rollen, verantwoordelijkheden en bevoegdheden vaardigheden en deskundigheid vereisen op het gebied van de beveiliging van netwerk- en informatiesystemen en zorgt ervoor dat zij regelmatig opleiding krijgen over de beveiliging van netwerk- en informatiesystemen. Artikel 13 (beleid over het gebruik van cryptografie) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over het gebruik van cryptografie. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast over het gebruik van cryptografie. De entiteit past deze processen en procedures aantoonbaar toe. 3. In het beleid en de processen en procedures, bedoeld in het eerste en tweede lid, worden in ieder geval uitgewerkt: a. in welke gevallen cryptografie ingezet wordt; b.

in voorkomende gevallen, welke typen encryptie worden gebruikt en de wijze waarop deze worden toegepast; c. wie binnen de entiteit verantwoordelijk zijn voor de implementatie van cryptografie; en d. wie binnen de entiteit verantwoordelijk zijn voor het sleutelbeheer. Artikel 14 (beveiligingsaspecten ten aanzien van personeel) 1. De essentiële entiteit of belangrijke entiteit wijst het personeel en andere binnen de entiteit werkzame personen aan die worden belast met rollen, verantwoordelijkheden en bevoegdheden met betrekking tot de beveiliging van haar netwerk- en informatiesystemen. 2. De essentiële entiteit of belangrijke entiteit evalueert periodiek de aanwijzing, bedoeld in het eerste lid, en werkt deze aanwijzing indien nodig bij. 3. De essentiële entiteit of belangrijke entiteit stelt betrouwbaarheidseisen op waaraan haar personeel en andere binnen de entiteit werkzame personen moeten voldoen, voor zover deze passend en noodzakelijk zijn voor hun taakuitoefening met betrekking tot de beveiliging van de netwerk- en informatiesystemen van de entiteit. Artikel 15 (beveiligingsaspecten ten aanzien van toegangsbeleid) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de logische en fysieke toegang tot haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2.

Het beleid, bedoeld in het eerste lid, omvat in ieder geval het uitgeven, monitoren, gebruiken, wijzigen en intrekken van identiteiten en autorisaties, en het beheer van identiteiten en autorisaties. 3. De essentiële entiteit of belangrijke entiteit controleert identiteiten, authenticatiemiddelen en autorisaties periodiek op de noodzakelijkheid, juistheid en actualiteit en voert indien nodig wijzigingen door in de identiteiten, authenticatiemiddelen en autorisaties. Artikel 16 (beveiligingsaspecten ten aanzien van beheer van assets) 1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid voor het beheer van haar assets die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. Het beleid, bedoeld in het eerste lid, omvat in ieder geval: a. een systeem om assets op verschillende niveaus te kunnen classificeren, indien van toepassing op basis van de eisen voor vertrouwelijkheid, integriteit en beschikbaarheid; en b. regels voor het aanvaardbaar gebruik van haar assets. 3. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor het beheer van haar assets. De entiteit past deze processen en procedures aantoonbaar toe. 4.

De essentiële entiteit of belangrijke entiteit heeft een volledige en actuele inventaris van haar assets, en houdt deze bij. Artikel 17 (attenderingen, beveiligingsadviezen en dreigingsinformatie) 1. Indien de essentiële entiteit of belangrijke entiteit gericht wordt geattendeerd op voor de beveiliging van haar netwerk- en informatiesystemen relevante kwetsbaarheden of cyberdreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 21 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast. 2. Het eerste lid is van overeenkomstige toepassing op gerichte beveiligingsadviezen en dreigingsinformatie, die relevant zijn voor de beveiliging van de netwerk- en informatiesystemen van de essentiële entiteit of belangrijke entiteit, en zijn ontvangen van relevante organisaties, waaronder CSIRT’s, bevoegde autoriteiten, andere betrokken overheidsinstanties, rechtstreekse leveranciers en rechtstreekse dienstverleners. Artikel 18 (weren producten en diensten van leveranciers) 1.

Indien dat naar het oordeel van Onze Minister die het aangaat noodzakelijk is om risico’s voor de beveiliging van netwerk- en informatiesystemen die de nationale veiligheid raken te beheersen of om incidenten die de nationale veiligheid raken te voorkomen, legt hij in overeenstemming met Onze Minister een essentiële entiteit of een belangrijke entiteit de verplichting op om in de daarbij aangewezen onderdelen van haar netwerk- en informatiesystemen uitsluitend gebruik te maken van producten of diensten van anderen dan de daarbij door Onze Minister die het aangaat genoemde partij die: a. een staat, entiteit of persoon is waarvan bekend is of waarvoor gronden zijn te vermoeden dat deze de intentie heeft om de beveiliging van de netwerk- en informatiesystemen van de essentiële entiteit of belangrijke entiteit aan te tasten of om incidenten bij de essentiële entiteit of belangrijke entiteit te veroorzaken; of b. nauwe banden heeft met of onder invloed staat van een staat, entiteit of persoon als bedoeld in onderdeel a, of een entiteit of persoon is ten aanzien van wie er gronden zijn om dergelijke banden of invloed te vermoeden. 2.

Indien de verplichting, bedoeld in het eerste lid, betrekking heeft op reeds in gebruik zijnde producten en diensten ten behoeve van de daarbij aangewezen onderdelen, stelt Onze Minister die het aangaat in het belang van de continuïteit van de dienstverlening een termijn vast voor het vervangen respectievelijk beëindigen van de betreffende producten en diensten. 3. Het eerste en tweede lid zijn niet van toepassing ten aanzien van essentiële entiteiten en belangrijke entiteiten die aanbieders van openbare elektronische communicatienetwerken of aanbieders van openbare elektronische communicatiediensten zijn. Artikel 19 (evaluatie) De essentiële entiteit of belangrijke entiteit evalueert periodiek de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 21, eerste lid, van de wet en de effecten ervan in de praktijk, en legt het resultaat daarvan schriftelijk vast. De entiteit past naar aanleiding van de uitkomst van die evaluaties de maatregelen waar nodig aan. Artikel 20 (nadere regels) Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen nadere regels worden gesteld over de maatregelen, bedoeld in artikel 21, eerste lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten. Hoofdstuk 5.

Training Artikel 21 (doel van de training) De training, bedoeld in artikel 24, vijfde lid, van de wet, stelt het lid van het bestuur van de essentiële entiteit of belangrijke entiteit in staat om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren en de gevolgen daarvan voor de diensten die door de entiteit worden verleend te kunnen beoordelen. Ook stelt de training het lid van het bestuur van de entiteit in staat om risicobeheersmaatregelen op het gebied van cyberbeveiliging en de gevolgen daarvan voor de diensten die door de entiteit worden verleend te kunnen beoordelen. Artikel 22 (eisen aan de training) 1. Ten behoeve van het verkrijgen van kennis en vaardigheden om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren als bedoeld in artikel 24, tweede lid, onderdeel a, van de wet en de gevolgen van deze risico’s te kunnen beoordelen, bedoeld in artikel 24, tweede lid, onderdeel c, van de wet, behandelt de training, bedoeld in artikel 24, vijfde lid, van de wet, daartoe in ieder geval de volgende onderwerpen: a. de soorten risico’s voor netwerk- en informatiesystemen; b. risicomanagementprocessen; en c. risicobeoordelingsmethodiek. 2.

Ten behoeve van het verkrijgen van kennis en vaardigheden om risicobeheersmaatregelen op het gebied van cyberbeveiliging als bedoeld in artikel 24, tweede lid, onderdeel b, van de wet en de gevolgen van risicobeheersmaatregelen te kunnen beoordelen, bedoeld in artikel 24, tweede lid, onderdeel c, van de wet, behandelt de training, bedoeld in artikel 24, vijfde lid, van de wet, in ieder geval de onderwerpen, genoemd in artikel 21, derde lid, onderdelen a tot en met j, van de wet. Artikel 23 (eisen aan het certificaat) 1. Het certificaat van de training, bedoeld in artikel 24, vijfde lid, van de wet, bevat in ieder geval: a. de naam van het lid van het bestuur van de essentiële entiteit of belangrijke entiteit; b. de datum of data waarop de training is gevolgd; c. de behandelde onderwerpen in de training; en d. de naam van de aanbieder van de training. 2. Het certificaat van de training, bedoeld in artikel 24, vijfde lid, van de wet, is opgesteld in de Nederlandse taal of de Engelse taal. Hoofdstuk 6. Meldingen van significante incidenten, incidenten, bijna-incidenten, significante cyberdreigingen, cyberdreigingen en kwetsbaarheden Artikel 24 (significante incidenten) 1.

Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten. In plaats van de vaststelling van die criteria bij regeling kan Onze Minister die het aangaat, na overleg met Onze Minister, die criteria ten aanzien van specifieke entiteiten vaststellen bij besluit. 2. Ten aanzien van de entiteiten waarvoor in uitvoeringshandelingen op grond van artikel 23, elfde lid, van de NIS2-richtlijn nader is gespecificeerd in welke gevallen een incident bij die entiteiten als significant wordt beschouwd, kunnen bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, naast de hiervoor bedoelde specificaties in uitvoeringshandelingen, aanvullende criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten.

In plaats van de vaststelling van die aanvullende criteria bij regeling kan Onze Minister die het aangaat, na overleg met Onze Minister, die aanvullende criteria ten aanzien van specifieke entiteiten vaststellen bij besluit. 3. Onze Minister die het aangaat evalueert ten minste elke vier jaar de doeltreffendheid van de criteria, bedoeld in het eerste en tweede lid, en de effecten daarvan in de praktijk. Indien nodig past hij de criteria, na overleg met Onze Minister, aan. Artikel 25 (gegevens waar een vroegtijdige waarschuwing uit moet bestaan) De vroegtijdige waarschuwing, bedoeld in artikel 26, eerste lid, van de wet, omvat naast de gegevens, genoemd in artikel 26, tweede lid, van de wet, tevens de volgende gegevens: a. het vermoedelijke tijdstip van de aanvang van het significante incident; b. zo mogelijk, een beschrijving van de aard en op dat moment merkbare gevolgen van het incident; c. zo mogelijk, een prognose van de hersteltijd; en d. zo mogelijk, de door de essentiële entiteit of belangrijke entiteit voorgenomen of genomen maatregelen om de gevolgen van het significante incident te beperken of herhaling hiervan te voorkomen. Artikel 26 (wijze waarop een melding geschiedt) De melding, bedoeld in artikel 25, eerste lid, van de wet, wordt gedaan bij een hiervoor door Onze Minister ingericht meldpunt.

Artikel 27 (nadere regels over meldingen) Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen regels worden gesteld ter uitwerking van de artikelen 26 tot en met 30, 33 en 34 van de wet. Hoofdstuk 7. Informatieverstrekking ten behoeve van nationaal register Artikel 28 (informatieverstrekking ten behoeve van nationaal register) 1. Naast de informatie, genoemd in artikel 44, eerste lid, onderdelen a tot en met e, van de wet, verstrekt een essentiële entiteit, belangrijke entiteit en entiteit die domeinnaamregistratiediensten verleent tevens aan Onze Minister de volgende informatie ten behoeve van de registratie in het nationaal register, bedoeld in artikel 43 van de wet: a. de vermelding of zij de registratie doet als essentiële entiteit, belangrijke entiteit of entiteit die domeinnaamregistratiediensten verleent; en b. het nummer, bedoeld in artikel 9, onderdeel a, van de Handelsregisterwet 2007 of, indien zij niet in het handelsregister, bedoeld in artikel 2 van de Handelsregisterwet 2007, is ingeschreven, een daarmee vergelijkbaar registratienummer van het land waarin zij is gevestigd. 2. In afwijking van het eerste lid, onderdeel b, verstrekt een overheidsinstantie, indien zij geregistreerd staat in het Register van Overheidsorganisaties, de identificatiecode waarmee zij geregistreerd staat in het Register van Overheidsorganisaties. 3.

In aanvulling op de informatie, genoemd in het eerste lid, en indien van toepassing, de informatie, genoemd in het tweede lid, verstrekt een essentiële entiteit of belangrijke entiteit tevens aan Onze Minister de volgende informatie ten behoeve van de registratie in het nationaal register, bedoeld in artikel 43 van de wet: a. indien van toepassing, de soort entiteit, bedoeld in bijlage 1 of 2 van de wet, waartoe zij behoort; en b. haar domeinnamen. Hoofdstuk 8. Aanwijzing autoriteiten Artikel 29 (aanwijzing autoriteiten) Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de autoriteiten, bedoeld in artikel 51, tweede lid, onderdeel i, van de wet, worden aangewezen. Hoofdstuk 9. Persoonsgegevens Artikel 30 (bewaring van persoonsgegevens) 1. De persoonsgegevens, niet zijnde de persoonsgegevens, bedoeld in artikel 64, tweede lid, van de wet, die door het centrale contactpunt, het CSIRT en Onze Minister bij of krachtens de wet worden verwerkt, worden niet langer bewaard dan noodzakelijk is ter uitvoering van hun taken op grond van de wet, doch uiterlijk binnen 60 maanden na de eerste verwerking verwijderd. 2.

In afwijking van het eerste lid worden de persoonsgegevens die zijn opgenomen in het nationale register, bedoeld in artikel 43 van de wet, niet langer bewaard dan noodzakelijk is ter uitvoering van de taken van Onze Minister op grond van artikel 43 van de wet, doch uiterlijk binnen 60 maanden na de laatste bevestiging van de juistheid van de betreffende persoonsgegevens verwijderd. 3. De persoonsgegevens, niet zijnde de persoonsgegevens, bedoeld in artikel 64, eerste lid, van de wet, die door de bevoegde autoriteit bij of krachtens de wet worden verwerkt, worden niet langer bewaard dan noodzakelijk is ter uitvoering van haar taken op grond van de wet, doch uiterlijk binnen 120 maanden na de eerste verwerking verwijderd. Hoofdstuk 10. Slotbepalingen Artikel 31 (wijziging Besluit EU-verordeningen Wft) In bijlage 35 van het Besluit EU-verordeningen Wft wordt een onderdeel toegevoegd, luidende: 5.

Lidstaatoptie artikel 19, eerste lid, zesde paragraaf, en tweede lid, derde paragraaf (meldplicht ICT-incidenten) Banken, handelsplatformen, centrale effectenbewaarinstellingen en centrale tegenpartijen doen de melding, bedoeld in artikel 19, eerste lid, eerste paragraaf, van de verordening, en de vrijwillige melding, bedoeld in artikel 19, tweede lid, eerste paragraaf, van de verordening, tevens bij het bij of krachtens artikel 16, eerste lid, van de Cyberbeveiligingswet aangewezen CSIRT voor de sectoren bankwezen en infrastructuur voor de financiële markt. Artikel 32 (wijziging Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten) Het Besluit continuïteit openbare elektronische communicatienetwerken en -diensten wordt als volgt gewijzigd: A Artikel 1 komt te luiden: Artikel 1 In dit besluit en de daarop berustende bepalingen wordt onder wet verstaan: Telecommunicatiewet. B Artikel 2 komt te luiden: Artikel 2 Bij ministeriële regeling kunnen regels worden gesteld omtrent de maatregelen, bedoeld in artikel 11a.1, eerste en derde lid, van de wet. C De artikelen 2a tot en met 5 vervallen. D Artikel 5b wordt als volgt gewijzigd: a. in het eerste lid, onderdeel a wordt “de artikelen 11a.1, eerste lid, en 11a.3, eerste lid, van de wet” vervangen door “artikel 11a.3, eerste lid, van de wet”; b.

in het eerste lid onderdeel b wordt “de artikelen 11a.1, eerste lid, en artikel 11a.3, eerste lid, van de wet,” vervangen door “artikel 11a.3, eerste lid, van de wet,”; c. in het tweede lid wordt “in de artikelen 2a en 5a, tweede lid” vervangen door “in artikel 5a, tweede lid”. E Paragraaf 3 vervalt. F Onder vernummering van de artikelen 10 en 11 tot de artikelen 7 en 8 wordt in hoofdstuk 4 een artikel ingevoegd luidende: Artikel 6 Dit besluit berust op artikel 11a.3, zesde lid, van de Telecommunicatiewet. G In artikel 8 (nieuw) wordt “Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten” vervangen door “Besluit beveiliging openbare elektronische communicatienetwerken en- diensten en antenne-opstelpunten”. Artikel 33 (wijziging Besluit veiligheid en integriteit telecommunicatie) In het Besluit veiligheid en integriteit telecommunicatie wordt na artikel 2 een artikel ingevoegd, luidende: Artikel 2a Dit besluit berust op artikel 11a.1, tweede lid, van de Telecommunicatiewet. Artikel 34 (wijziging Drinkwaterbesluit) Het Drinkwaterbesluit wordt als volgt gewijzigd: A Artikel 15 wordt als volgt gewijzigd: 1. Het opschrift komt te luiden: Artikel 15. Toezicht door de eigenaar en risicobeoordeling en risicobeheer van het watervoorzieningssysteem 2. Het eerste lid wordt als volgt gewijzigd: a.

in onderdeel a wordt “verstoringen en andere risico’s” vervangen door “het risico op verstoringen en overige risico’s met betrekking tot het watervoorzieningssysteem”; b. in onderdeel b wordt “Legionella:” vervangen door “het risico op Legionella:”. B In het opschrift van artikel 46a wordt na “Risicobeoordeling” ingevoegd: “en risicobeheer”. C Artikel 47 wordt als volgt gewijzigd: 1. Aan het slot van het opschrift wordt toegevoegd “en -beheer”. 2. Het eerste lid komt te luiden: 1. Een verstorings-risicoanalyse omvat het inventariseren en analyseren van de voor het leveringsgebied van een drinkwaterbedrijf bestaande en te verwachten dreigingen voor de openbare drinkwatervoorziening. Van de verstorings-risicoanalyse maken in elk geval deel uit: a. de risicobeoordeling, bedoeld in artikel 14 van de Wet weerbaarheid kritieke entiteiten; b. de benadering die alle gevaren omvat, bedoeld in artikel 21, derde lid, van de Cyberbeveiligingswet; c. nationale dreigingen en scenario’s als bedoeld in het tweede lid. De verstorings-risicoanalyse wordt met het oog op goedkeuring van het leveringsplan, bedoeld in artikel 37, derde lid, van de wet, voorafgaand aan de indiening van het leveringsplan aan de inspecteur ter beoordeling voorgelegd. 3. In het vijfde lid vervalt de zinsnede “overeenkomstig de vereisten, opgenomen in bijlage B, onderdeel 3, behorende bij dit besluit,”. 4.

Er worden twee nieuwe leden toegevoegd, luidende: 6. In de verstoringsparagraaf worden in elk geval opgenomen: a. de maatregelen, bedoeld in artikel 15 van de Wet weerbaarheid kritieke entiteiten; b. de maatregelen, bedoeld in artikel 21 van de Cyberbeveiligingswet; c. maatregelen in verband met de dreigingen en scenario’s, bedoeld in het tweede lid. 7. De vereisten, opgenomen in bijlage B, onderdeel 3, behorende bij dit besluit, zijn van toepassing op de verstoringsparagraaf. D Na artikel 47 wordt een artikel ingevoegd, luidende: Artikel 47a. Geïntegreerde aanpak risicoanalyse en risicobeheer Met het oog op een doelmatige uitvoering kunnen: a. de risicobeoordeling van het watervoorzieningssysteem, bedoeld in artikel 46a, en de verstoringsrisicoanalyse, bedoeld in artikel 47, geïntegreerd worden voorbereid en uitgevoerd; b. de paragraaf risicobeheer watervoorzieningssysteem, bedoeld in artikel 46a, en de verstoringsparagraaf, bedoeld in artikel 47, geïntegreerd worden voorbereid en opgenomen in het leveringsplan, bedoeld in artikel 53, en geïntegreerd worden uitgevoerd. Artikel 35 (intrekking Besluit beveiliging netwerk- en informatiesystemen) Het Besluit beveiliging netwerk- en informatiesystemen wordt ingetrokken.

Artikel 36 (inwerkingtreding) Dit besluit treedt in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld. Artikel 37 (citeertitel) Dit besluit wordt aangehaald als: Cyberbeveiligingsbesluit. Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst. De Minister van Justitie en Veiligheid, NOTA VAN TOELICHTING ALGEMEEN DEEL 1. Inleiding Dit besluit, het Cyberbeveiligingsbesluit (hierna: Cbb), strekt ter uitwerking van de Cyberbeveiligingswet (hierna: Cbw). De Cbw strekt op haar beurt tot de uitvoering van de Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148.1 Die richtlijn wordt ook wel aangeduid als de NIS2-richtlijn. 2. De belangrijkste onderdelen van het Cbb 2.1 Inleiding In dit hoofdstuk wordt ingegaan op de belangrijkste onderdelen van het Cbb. Voor een nadere en uitgebreide toelichting op alle artikelen uit het Cbb wordt verwezen naar de artikelsgewijze toelichting. Aan het eind van dit hoofdstuk wordt ook ingegaan op enkele overige zaken.

2.2 Zorgplicht Voor essentiële entiteiten en belangrijke entiteiten geldt op grond van artikel 21 Cbw de verplichting om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruiken, te beheersen. Deze verplichting wordt de zorgplicht genoemd. De maatregelen die essentiële entiteiten en belangrijke entiteiten moeten nemen in het kader van de zorgplicht, omvatten ingevolge artikel 21, derde lid, Cbw ten minste het volgende: a. beleid over risicoanalyse en beveiliging van informatiesystemen; b. incidentenbehandeling; c. bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer; d. de beveiliging van de toeleveringsketen; e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen; f. beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen; g. basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h. beleid en procedures over het gebruik van cryptografie; i. beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets; en j.

wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit. De maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen, zijn nader uitgewerkt in de artikelen 6 tot en met 19 Cbb. Voor een toelichting op deze artikelen wordt verwezen naar de artikelsgewijze toelichting. Daarbij geldt steeds als uitgangspunt dat de maatregelen in zijn geheel moeten voldoen aan de open geformuleerde zorgplicht uit artikel 21 Cbw en dat de artikelen 6 tot en met 19 Cbb dus steeds in dat licht moeten worden beoordeeld. De artikelen 6 tot en met 19 Cbb zijn van toepassing op alle essentiële entiteiten en belangrijke entiteiten uit alle sectoren waar de Cbw op van toepassing is, uitgezonderd van de entiteiten die op grond van artikel 23 Cbw zijn ontheven van de zorgplicht en, met uitzondering van artikel 18, de entiteiten waarop de Uitvoeringsverordening (EU) 2024/26902 (hierna: de uitvoeringsverordening) 1 PbEU 2022, L 333.

2 Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024 tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en nadere specificatie van de gevallen waarin een incident als significant wordt beschouwd met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van van toepassing is. Voor een toelichting op dit laatste wordt verwezen naar de artikelsgewijze toelichting op artikel 4 Cbb. Het van toepassing zijn van de artikelen 6 tot en met 19 Cbb op een groot aantal entiteiten biedt een gemeenschappelijk basisniveau voor de digitale weerbaarheid van een groot aantal essentiële entiteiten en belangrijke entiteiten. In diverse artikelen in het Cbb, zoals de artikelen 6 en 7, is bepaald dat essentiële entiteiten en belangrijke entiteiten beleid over de in die artikelen genoemde onderwerpen schriftelijk moeten hebben vastgesteld en aantoonbaar moeten toepassen. Het doel van deze voorschriften is dat entiteiten weloverwogen beleid formuleren op de genoemde onderwerpen, dat zij dit formeel vaststellen en dat zij dit beleid daadwerkelijk ten uitvoer brengen en dat hierop ook effectief toezicht mogelijk is.

Het beleid kan in één of meerdere beleidsdocumenten worden uitgewerkt of bijvoorbeeld geïntegreerd worden in een managementsysteem voor informatiebeveiliging waarmee ook aan de aantoonbaarheid kan worden voldaan. Artikel 19 Cbb biedt de mogelijkheid om de zorgplicht nader sectoraal in te vullen middels ministeriële regelingen van de vakministers voor de sectoren waar zij verantwoordelijk voor zijn. Dit biedt de mogelijkheid om ten aanzien van de zorgplicht onderscheid te maken tussen sectoren, subsectoren, soorten entiteiten en entiteiten, bijvoorbeeld vanwege de specifieke aard van een bepaalde sector, subsector, soort entiteit of entiteit. 2.3 Training In artikel 24, eerste lid, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten moeten nemen in het kader van de zorgplicht, de goedkeuring behoeven van het bestuur van de essentiële entiteit en belangrijke entiteit. Artikel 24, tweede lid, Cbw verplicht ieder lid van het bestuur van een essentiële entiteit en belangrijke entiteit om te beschikken over kennis en vaardigheden om onder meer risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren en risicobeheersmaatregelen op het gebied van cyberbeveiliging te kunnen beoordelen.

In artikel 24, vijfde lid, Cbw is bepaald dat die bestuursleden met het oog op het aantonen van de hiervoor bedoelde kennis en vaardigheden moeten beschikken over een certificaat, waaruit de deelname blijkt aan een training die de hiervoor bedoelde onderwerpen behandelt. In de artikelen 21 tot en met 23 Cbb worden regels gesteld over de hiervoor bedoelde training. Deze regels zien onder meer op de eisen aan de training en het certificaat. Voor een toelichting op deze regels wordt verwezen naar de artikelsgewijze toelichting op deze bepalingen. 2.4 Aanwijzing CSIRT en coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden In artikel 16, eerste lid, Cbw is bepaald dat voor alle essentiële entiteiten en belangrijke entiteiten bij of krachtens algemene maatregel van bestuur (hierna: amvb) een Computer security incident response team (hierna: CSIRT) wordt aangewezen. Het CSIRT heeft op grond van artikel 16, derde lid, Cbw, onder meer tot taak om genoemde entiteiten in geval van dreigingen, kwetsbaarheden en incidenten vroegtijdig te waarschuwen en bijstand te verlenen. Het CSIRT zal bij het verlenen van bijstand niet de verantwoordelijkheid overnemen van de entiteit. De entiteit blijft zelfstandig verantwoordelijk voor het oplossen van een incident en haar cyberweerbaarheid.

In artikel 2, eerste en tweede lid, Cbb wordt geregeld welke partij voor essentiële entiteiten en belangrijke entiteiten als CSIRT wordt of kan worden aangewezen. Daarnaast is in artikel 17, eerste lid, Cbw bepaald dat één van de als CSIRT aangewezen partijen bij of krachtens amvb wordt aangewezen als coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden. Deze coördinator heeft op grond van artikel 17, tweede lid, Cbw, onder meer tot taak om als tussenpersoon op te treden tussen degene die een kwetsbaarheid (een zwakheid, vatbaarheid of gebrek van ICT-producten of -diensten die door een cyberdreiging kan worden uitgebuit) bij de coördinator meldt en de fabrikant of aanbieder van het ICT-product of de ICT-dienst waarop de melding betrekking heeft. In artikel 2, derde lid, Cbb wordt deze coördinator aangewezen. Voor een toelichting hierop wordt verwezen naar de artikelsgewijze toelichting op deze bepaling. cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten (PbEU L 2024/2690).

2.5 Overige zaken 2.5.1 Na overleg met of in overeenstemming met de Minister van Justitie en Veiligheid Waar er afstemming nodig is tussen de centraal verantwoordelijke minister, te weten de Minister van Justitie en Veiligheid, en de vakminister heeft dit er toe geleid dat in het Cbb per artikel is bepaald of dit geschiedt “na overleg met” of “in overeenstemming met” de Minister van Justitie en Veiligheid. Het verschil tussen “na overleg met” en “in overeenstemming met” is dat bij “na overleg met” eventueel verschil van inzicht kan worden opgelost via de gangbare afstemmings- en overlegstructuren, maar de vakminister uiteindelijk eigenstandig de eindbeslissing neemt. Bij “in overeenstemming met” dient de Minister van Justitie en Veiligheid bij eventueel uiteenlopende inzichten alsnog mede te beslissen. Deze variant is gekozen bij de bepalingen waarbij de handelingen van de vakminister het integrale stelsel raken, en dus van invloed zijn op de stelselverantwoordelijkheid van de Minister van Justitie en Veiligheid. 2.5.2 Notificatie Ter voldoening aan de zogeheten Notificatierichtlijn3 is beoordeeld of de maatregelen ter uitwerking van de zorgplicht als nationale technische eisen genotificeerd moeten worden bij de Europese Commissie.

Artikel 7, eerste lid, onderdeel a, Notificatierichtlijn bepaalt dat er niet genotificeerd hoeft te worden indien de lidstaten zich voegen naar bindende handelingen van de Europese Unie die de aanneming van technische voorschriften of regels betreffende diensten tot gevolg hebben. In het geval van minimumharmonisatie, waarvan sprake is voor wat betreft de implementatie van de NIS2-richtlijn, geldt dat nationale verdergaande maatregelen wel onder de notificatieplicht vallen. Ter implementatie van de zorgplicht uit de NIS2-richtlijn zou artikel 18 Cbb, over het weren van producten en diensten van leveranciers, mogelijk kunnen worden beschouwd als een dergelijke verdergaande maatregel. Deze maatregel hoeft echter niet te worden genotificeerd op grond van de Notificatierichtlijn, omdat met het onderhavige besluit enkel de bevoegdheid wordt gecreëerd waarmee de vakminister een entiteit de verplichting kan opleggen om de producten en diensten van bepaalde leveranciers in de aangewezen onderdelen van haar netwerk- en informatiesystemen te weren. Mocht de vakminister toepassing geven aan deze bevoegdheid door een entiteit bij beschikking de hiervoor bedoelde verplichting op te leggen, dan hoeft ook dat besluit niet te worden genotificeerd. Individuele besluiten zijn namelijk niet notificabel, zie artikel 1, eerste lid, onderdeel f, Notificatierichtlijn. 3.

Gevolgen 3.1 Inleiding Het Ministerie van Justitie en Veiligheid heeft door een onafhankelijk onderzoeksbureau een regeldrukonderzoek laten uitvoeren. Het onderzoek naar de regeldruk van de Cbw en het Cbb is gecombineerd met het onderzoek naar de regeldruk van de Wet weerbaarheid kritieke entiteiten (hierna: Wwke) en het Besluit weerbaarheid kritieke entiteiten (hierna: Bwke). Aan de hand van interviews met het bedrijfsleven en een panelbijeenkomst met het mkb is een inschatting gemaakt van de regeldruk als gevolg van de Cbw en het Cbb (en de regeldruk als gevolg van de Wwke en het Bwke). Hieronder worden de belangrijkste uitkomsten daarvan ten aanzien van de Cbw en het Cbb beschreven. De uitkomsten van het regeldrukonderzoek, in combinatie met de consultatiereacties op een concept van het Cbb en de panelbijeenkomst met het mkb, hebben geleid tot aanpassingen in het Cbb. Een deel van die aanpassingen komen aan de orde in hoofdstuk 4. 3.2 Werkwijze regeldrukonderzoek Bij het in kaart brengen van de regeldrukeffecten is gebruik gemaakt van de landelijke methodiek die is vastgelegd in de meest recente versie van het Handboek Meting Regeldrukkosten 2023, versie 2.1 d.d. 29 november 2023. De hierin beschreven methodiek wordt ook voorgeschreven door het Adviescollege Toetsing Regeldruk (hierna: ATR).

3 Richtlijn 2015/1535/EU van het Europees Parlement en de Raad van 9 september 2015 betreffende een informatieprocedure op het gebied van technische voorschriften en regels betreffende de diensten van de informatiemaatschappij (codificatie) (PbEU 2015, L 241). Er zijn interviews gehouden met verschillende bedrijven die naar verwachting regeldrukgevolgen zullen ervaren als gevolg van de Cbw en het Cbb. Tijdens de selectie van deelnemende bedrijven is rekening gehouden met de diversiteit aan bedrijven die tot de doelgroep behoren van de Cbw en Wwke. Zo is gepoogd een gevarieerde selectie samen te stellen van bedrijven uit diverse sectoren, van verschillende omvang en vallend binnen uiteenlopende wetgevende kaders. Alleen de verplichtingen uit de Cbw die nader zijn ingevuld in het Cbb en waarvoor om die reden geen regeldrukberekening is gedaan in de memorie van toelichting op de Cbw, vormen onderdeel van dit onderzoek. Meer concreet gaat het om de regels in het Cbb over de zorgplicht, de verplichting op het terrein van governance en de registratieplicht. In het onderzoek is op twee vlakken onderscheid gemaakt, namelijk tussen de eenmalige en de structurele regeldrukeffecten en tussen bedrijfseigen en bedrijfsvreemde kosten. Onder eenmalige effecten vallen alle kosten die tijdelijk van aard zijn.

Structurele kosten omvatten kosten die periodiek terugkeren, die kunnen bestaan uit aanschafkosten (out-of-pocketkosten) voor goederen of diensten, of uit tijdbesteding. Bedrijfseigen kosten die gekwantificeerd kunnen worden, tellen niet mee in de regeldrukberekening. Bedrijfsvreemde kosten zijn alle overige kosten die bedrijven niet uit eigen beweging zouden maken, voortkomend uit verplichtingen uit wet- en regelgeving. Bedrijfsvreemde regeldrukkosten worden meegenomen in de regeldrukberekening. In het regeldrukonderzoek is voor de berekening, naast de uitkomsten van de interviews, gebruik gemaakt van standaardaantallen. Deze aantallen omvatten onder andere het totaal aantal bedrijven of ondernemingen dat naar verwachting onder de reikwijdte van de Cbw zal vallen. Zoals ook is aangegeven in de memorie van toelichting op de Cbw wordt het toepassingsbereik van de Cbw geschat op 7.550 ondernemingen. Verder worden structurele tijdbestedingen geregeld uitgedrukt in fte’s in plaats van individuele uren. Omdat het aantal werkzame uren van een voltijds dienstverband significant kan verschillen tussen werkgevers en tussen cao’s, wordt gerekend met een standaardaantal uren. Gekozen is om het aantal van 1.720 werkzame uren op jaarbasis te hanteren. Dit aantal berust op een schatting van het Ministerie van Sociale Zaken en Werkgelegenheid.

Ook voor de uurtarieven van medewerkers van de bedrijven die activiteiten moeten verrichten om te voldoen aan wettelijke verplichtingen worden standaardaantallen gebruikt. Dit regeldrukonderzoek volgt hiervoor de methode uit het Handboek Meting Regeldrukkosten, versie 2.1 d.d. 29 november 2023. Onderdeel van deze methode is het aanhouden van standaard interne uurtarieven per type functie. Per activiteit die verricht wordt om te voldoen aan een verplichting is bepaald welk type functie de medewerkers die deze activiteit uitvoeren naar alle waarschijnlijkheid zullen hebben. Dit is afgestemd met de respondenten. Op basis hiervan is gerekend met het bijbehorende uurtarief. Sommige bedrijven hebben aangegeven dat zij voor het verrichten van dezelfde werkzaamheden in sommige gevallen een ander type medewerker inzetten. 3.3 Bevindingen regeldrukonderzoek De geïnterviewde bedrijven geven aan dat zij al maatregelen nemen voor de beveiliging van hun netwerk- en informatiesystemen, met als basis de eisen uit de Wet beveiliging netwerk- en informatiesystemen (hierna: Wbni) of sectorspecifieke wetgeving. Veel bedrijven gaan echter verder dan wettelijk is vereist. Hun motieven zijn complex en niet eenduidig te herleiden tot bedrijfseigen of wettelijke redenen.

ISO- en NEN-standaarden vormen het ijkpunt voor alle geïnterviewde bedrijven en worden voortdurend aangepast aan technologische en wettelijke ontwikkelingen. Om gecertificeerd te blijven, moeten bedrijven daarom blijvend investeren. Of deze investeringen voortkomen uit intrinsieke beweegredenen of wetgeving is niet altijd evident. De hier gerapporteerde regeldrukkosten zijn gebaseerd op een kwantitatieve inschatting van de meerkosten die bedrijven verwachten voor het voldoen aan de Cbw en het Cbb. De bevindingen met betrekking tot de zorgplicht, de opleidingsverplichting voor bestuursleden en de verplichting tot het registreren worden hieronder toegelicht. De uiteenzetting van de verwachte regeldrukgevolgen wordt hierna uitgesplitst in eenmalige en structurele regeldrukkosten. Artikel 21 Cbw en de artikelen 6 tot en met 17 en 19 Cbb (zorgplicht) De eenmalige kosten die gemaakt moeten worden om te voldoen aan de zorgplicht zijn primair het gevolg van de voorbereidingen die bedrijven moeten treffen om de voorgeschreven maatregelen ten aanzien van de zorgplicht uit te voeren, en de eenmalige meerkosten bij de implementatie van deze maatregelen. Voor de meeste bedrijven vormt het uitvoeren van een gap assessment en het herzien van de overeenkomsten met ketenpartners het meest kostbare onderdeel van deze voorbereiding.

Bedrijven verwachten hierbij zowel gebruik te zullen maken van hun eigen werknemers, alsook van de diensten van externe partijen. Sommige bedrijven geven aan te verwachten extra personeel in dienst te nemen voor de duur van de transitieperiode. Bedrijven verwachten dat het inregelen en aanpassen aan de nieuwe wet- en regelgeving minstens enkele maanden, maar in sommige gevallen enkele jaren in beslag zal gaan nemen. Gemiddeld verwachten middelgrote ondernemingen 614 uur per onderneming aan eenmalige extra tijdbesteding nodig te hebben voor de voorbereiding en implementatie van de te nemen maatregelen ten aanzien van de zorgplicht. Voor grote ondernemingen ligt dit getal aanzienlijk hoger, namelijk op gemiddeld 6.708 uur per onderneming. De betrokken medewerkers kunnen worden ingedeeld in verschillende functietypen variërend van “administratief medewerker” tot “leidinggevenden en managers”. De meeste handelingen worden echter verricht door “hoogopgeleide medewerkers”, zij worden hierna aangeduid als “theoretisch opgeleide medewerkers”. De gemiddelde uurtarieven van de betrokken medewerkers bij middelgrote (€ 49,-) en grote ondernemingen (€ 54,-) wijken niet significant af van het standaard uurtarief voor theoretisch opgeleide medewerkers volgens het Handboek Meting Regeldrukkosten, versie 2.1 d.d. 29 november 2023.

Naast tijdbesteding zullen bedrijven ook out-of-pocket-investeringen moeten doen. Wederom verwachten middelgrote ondernemingen gemiddeld lagere kosten te moeten maken dan grote ondernemingen: € 25.000,- respectievelijk € 44.400,- per bedrijf. Naast eenmalige kosten voor het voorbereiden en implementeren van maatregelen in het kader van de zorgplicht verwachten bedrijven ook structurele meerkosten te zullen maken. Bedrijven geven aan dat zij op veel thema’s die worden uitgewerkt in het Cbb al staand beleid hebben. De ISO 27001- en NEN7510-standaarden vereisen dit immers al. De structurele meerkosten voor bedrijven volgen dan ook primair uit verplichtingen die meer diepgang of een bredere scope van toepassing vereisen dan de maatregelen die bedrijven op dit moment al nemen. Veel genoemd zijn de voorschriften met betrekking tot de beveiliging van de toeleveringsketen. Bedrijven geven aan dat, hoewel zij vaak al maatregelen nemen op dit gebied, zij verwachten dat dit huidige beleid ontoereikend zal zijn om te voldoen aan de voorschriften op dit punt uit het Cbb. Bedrijven die veel op projectbasis werken met ketenpartners verwachten dat het sluiten van overeenkomsten met deze partijen structureel meer tijd zal kosten. Ook geven veel bedrijven aan meerkosten te verwachten ten aanzien van de voorschriften op het gebied van incidentenbehandeling.

De structurele kosten van een licentie voor een Incident Security Management System (ISMS), en de inhuur van externe monitoringsdiensten ter ondersteuning van het Security Operations Centre (SOC) worden hierbij meermaals genoemd. Andere structurele kostenposten zijn de inhuur van een Chief Information Security Officer (CISO), de kosten in verband met de voorschriften ten aanzien van logging, en het schriftelijk vastleggen en bijhouden van het beleid in algemene zin. Op basis van de inschattingen van de geïnterviewde bedrijven zijn de gemiddelde en de totale structurele regeldrukgevolgen als gevolg van de zorgplicht berekend. Bedrijven verwachten zowel kosten te maken als gevolg van tijdbesteding om aan de zorgplicht te voldoen, alsook als gevolg van out-of-pocket-investeringen die gedaan zullen moeten worden. Gemiddeld verwachten middelgrote bedrijven structureel 1.246 uur per jaar kwijt te zijn aan tijdbesteding om te voldoen aan de zorgplicht. Bij grote ondernemingen ligt dit aantal aanmerkelijk hoger, namelijk op gemiddeld 3.465 uur per jaar per bedrijf. Ook het type medewerker dat deze handelingen zal verrichten verschilt tussen middelgrote en grote ondernemingen. Bij bedrijven in die eerste categorie is de verwachting dat leidinggevenden en/of managers in de meeste gevallen verantwoordelijk zullen zijn voor de structurele werkzaamheden ten gevolge van de zorgplicht.

Het gemiddelde corresponderend uurtarief van deze medewerkers ligt op € 73,-. Bij grote ondernemingen zal dit werk meestal verricht worden door hoogopgeleide medewerkers van de IT- afdeling of administratief personeel. Het gemiddelde corresponderend uurtarief van deze medewerkers ligt op € 51,-. De structurele out-of-pocket-kosten van middelgrote en grote ondernemingen liggen niet ver uit elkaar, deze bedragen gemiddeld € 30.000,- respectievelijk € 32.800,-. Artikel 24 Cbw en de artikelen 22 en 23 Cbb (governance) De kosten die geïnterviewde bedrijven verwachten te maken om te voldoen aan de eisen op het gebied van governance bestaan uit tijdbesteding door leden van het bestuur enerzijds, en out-of- pocket-kosten als gevolg van de vergoeding die betaald moet worden aan de externe trainer anderzijds. De geïnterviewde bedrijven verwachten deze kosten eenmalig te moeten maken voor het voltallige bestuur, en vervolgens periodiek naarmate de samenstelling van het bestuur verandert en de stand van de techniek evolueert. Omdat geen inschatting gegeven kon worden van de gemiddelde turnover van de raad van bestuur, en omdat technische innovaties zich niet laten voorspellen, is de aanname gedaan dat de helft van het aantal bestuursleden gedurende een periode van 10 jaar wordt vervangen.

De regeldrukgevolgen van de governanceverplichtingen zijn afzonderlijk in kaart gebracht voor middelgrote en grote ondernemingen. Hieruit blijkt dat middelgrote bedrijven gemiddeld genomen lagere kosten per bedrijf voorzien dan grote bedrijven, zowel ten gevolge van de tijdbesteding van het bestuur4, alsook ten gevolge van de out-of-pocket-investeringen die gedaan zullen moeten worden. Middelgrote ondernemingen verwachten eenmalig € 1.954,- aan tijdbesteding kwijt te zijn voor de training van het bestuur en € 3.958,- aan out-of-pocket-investeringen te moeten doen. Voor grote ondernemingen zijn deze bedragen € 2.808,- respectievelijk € 11.071,- per bedrijf. Het verschil in de kosten van de tijdbesteding tussen middelgrote en grote bedrijven is te verklaren door de verwachting van grote bedrijven dat hun bestuurders meer tijd kwijt zullen zijn aan de te volgen training dan bestuurders van middelgrote bedrijven, namelijk bijna 9 uur per bestuurder van een grote onderneming tegenover bijna 5 uur per bestuurder van een middelgrote onderneming. De divergentie in de te maken out-of-pocket-kosten is minder eenduidig te verklaren. Wel geven respondenten namens middelgrote bedrijven vaker aan dat zij de verplichting tot het inhuren van een externe trainer bezwaarlijk vinden.