Bijlage 3. Cyberbeveiligingsbesluit

Derde lid Artikel 7, derde lid, Cbb bepaalt dat essentiële entiteiten en belangrijke entiteiten in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vaststelt voor risicoanalyse, risicobeoordeling en risicobehandeling. Ook dient de entiteit deze processen en procedures aantoonbaar toe te passen. Bij de risicoanalyse wordt een all hazard-benadering gebruikt waarbij de te beschermen belangen met betrekking tot de beveiliging van de netwerk- en informatiesystemen in kaart worden gebracht. Een te beschermen belang is datgene wat belangrijk is voor de netwerk- en informatiesystemen van de entiteit om goed te kunnen functioneren en om de continuïteit van haar dienstverlening te borgen. Denk hierbij aan personen, informatie, informatiesystemen, materieel, goederen, imago en objecten, waarbij in geval van compromittering of uitval van voorgenoemde, of de mogelijkheid van compromittering of uitval ervan, nadelige gevolgen kunnen hebben op het functioneren van de netwerk- en informatiesystemen van de entiteit en daarmee haar dienstverlening. In de risicoanalyse kunnen de risico’s tegen elkaar afgewogen worden. Zo kan verdere digitalisering van de entiteit bekende risico’s doen afnemen ten koste van nieuwe risico’s.

Dit kan worden afgewogen in de bredere context van de entiteit zoals: organisatiedoelen, operationele activiteiten, technische- of financiële beperkingen of relaties met leveranciers of dienstverleners. Risico’s met betrekking tot de beveiliging van de netwerk- en informatiesystemen kunnen daarnaast niet los gezien worden van alle andere risico’s waar de entiteit aan bloot gesteld wordt. Daarom behoort het beheersen van de risico’s met betrekking tot de beveiliging van de netwerk- en informatiesystemen een onderdeel van het bredere risicobeheerproces van de entiteit te zijn. De risicoanalyse die op basis van de Cbw moeten worden gedaan kan een onderdeel zijn van een grotere of gecombineerde risicoanalyse. Dit betekent concreet dat er een integrale risicoanalyse plaats kan vinden voor bijvoorbeeld de Wwke en de Cbw, mits alle relevante elementen van de betreffende regelgeving worden meegenomen in de risicoanalyse. Vierde lid Artikel 7, vierde lid, Cbb schrijft voor dat essentiële entiteiten en belangrijke entiteiten op basis van de uitgevoerde risicoanalyse een overzicht moeten vaststellen van de risico’s met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Het doel van dit overzicht is om een goede afweging te kunnen maken voor de beheersing van de risico’s.

Vijfde lid Artikel 7, vijfde lid, Cbb vereist dat essentiële entiteiten en belangrijke entiteiten op basis van het overzicht van de risico’s, bedoeld in het derde lid, eisen met betrekking tot de beveiliging van hun netwerk- en informatiesystemen formuleren. Deze beveiligingseisen moet de entiteit, waar mogelijk, gebruiken bij het uitvoering geven aan de in de artikelen 10, tweede lid, en 11, eerste lid, Cbb voorgeschreven maatregelen. Artikel 8 (incidentenbehandeling) In artikel 21, derde lid, onderdeel b, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval incidentenbehandeling moeten omvatten. In artikel 8 Cbb wordt deze verplichting verder uitgewerkt. Eerste lid In artikel 8, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten vastgesteld beleid moeten hebben over incidentenbehandeling. Dat beleid moet schriftelijk zijn vastgelegd en aantoonbaar worden toegepast.

Tweede lid Artikel 8, tweede lid, Cbb bepaalt dat essentiële entiteiten en belangrijke entiteiten, in het kader van de toepassing van het beleid, bedoeld in het eerste lid, de rollen, verantwoordelijkheden, bevoegdheden vaststellen voor het tijdig detecteren van, analyseren en beoordelen van, reageren op, beperken van de gevolgen van, wegnemen van de oorzaak van, herstellen van, documenteren van, rapporteren van en leren van incidenten. Het doel van deze bepaling is dat het gehele proces en uitvoering van processen en procedures van incidentbehandeling, zoals beschreven in artikel 8, vierde lid, Cbb helder is belegd binnen de organisatie, zodat daar in de praktijk goede uitvoering aan gegeven kan worden. Derde lid Artikel 8, derde lid, Cbb schrijft voor dat essentiële entiteiten en belangrijke entiteiten, in het kader van de toepassing van het beleid, processen en procedures moeten vaststellen om relevante gebeurtenissen in hun netwerk- en informatiesystemen te monitoren en te registreren. Ook dient de entiteit deze processen en procedures aantoonbaar toe te passen. Die processen en procedures zijn bedoeld om incidenten te detecteren, analyseren en classificeren. Met relevante gebeurtenissen wordt in elk geval gedoeld op alle gebeurtenissen die de beveiliging van de netwerk- en informatiesystemen van de entiteit in gevaar brengen of kunnen brengen.

Hierbij wordt opgemerkt dat de monitoring extern kan worden uitbesteed. Het is ook mogelijk dat de monitoring plaatsvindt door een andere vestiging van de entiteit die zich in het buitenland bevindt. Vierde en vijfde lid Artikel 8, vierde lid, Cbb schrijft voor dat essentiële entiteiten en belangrijke entiteiten in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast moeten stellen voor het tijdig detecteren van, analyseren en beoordelen van, reageren op, beperken van de gevolgen van, wegnemen van de oorzaak van, herstellen van, documenteren van, rapporteren van en leren van een incident. Deze processen en procedures hebben het doel om snel te kunnen handelen wanneer een incident zich voordoet, zodat de impact zoveel mogelijk beperkt kan worden. Artikel 8, vijfde lid, Cbb schrijft voor dat de hiervoor bedoelde processen en procedures aantoonbaar moeten worden toegepast. Zesde lid Artikel 8, zesde lid, Cbb ziet op het loggen van relevante gebeurtenissen in de netwerk- en informatiesystemen die relevant zijn voor de beveiliging van de netwerk- en informatiesystemen, voor zover logging mogelijk is. Hierbij wordt opgemerkt dat de logging extern kan worden uitbesteed.

Logging is belangrijk, omdat het onder meer monitoring en detectie mogelijk maakt, waarmee essentiële entiteiten en belangrijke entiteiten opvolging kunnen geven aan de bevindingen die hieruit voortkomen. De entiteit kan onder meer op basis van geïdentificeerde risico’s, bedoeld in artikel 7 Cbb, bepalen welke gegevens worden gelogd, hoelang deze moeten worden bijgehouden en welke loggegevens moeten worden beschermd tegen ongeautoriseerde toegang of wijzigingen. De periode voor het bijhouden van logbestanden dient in verhouding te staan tot de aard van de risico’s waaraan de entiteit is blootgesteld, alsmede tot de tijd die doorgaans verstrijkt tussen het plaatsvinden van een incident en de ontdekking ervan. Artikel 9 (bedrijfscontinuïteit en crisisbeheer) In artikel 21, derde lid, onderdeel c, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval bedrijfscontinuïteit en crisisbeheer moet omvatten. In artikel 9 Cbb wordt deze verplichting verder uitgewerkt. Eerste lid Artikel 9, eerste lid, Cbb bepaalt dat essentiële entiteiten en belangrijke entiteiten bedrijfscontinuïteitsbeleid moeten hebben vastgesteld. Dat beleid moet schriftelijk zijn vastgelegd en aantoonbaar worden toegepast.

Tweede lid In artikel 9, tweede lid, Cbb is opgenomen dat essentiële entiteiten en belangrijke entiteiten in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures moeten vaststellen voor het borgen van hun bedrijfscontinuïteit, waaronder in ieder geval processen en procedures voor het herstellen van hun netwerk- en informatiesystemen en voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens. Dit moeten zij doen om een passend niveau van vertrouwelijkheid, beschikbaarheid en integriteit van hun netwerk- en informatiesystemen te borgen. Hierbij is het in het bijzonder van belang dat de entiteit processen en procedures vaststelt voor incidenten als gevolg waarvan back-ups, al dan niet door acties van kwaadwillende, onbruikbaar worden. Ook de betrouwbaarheid van back-ups dient gewaarborgd te worden, om zo ongeautoriseerde wijziging van gegevens te voorkomen. Een voorbeeld hiervan is een ransomware-aanval. De hiervoor bedoelde processen en procedures moeten aantoonbaar worden toegepast en periodiek worden getest. Derde lid Artikel 9, derde lid, Cbb schrijft voor dat essentiële entiteiten en belangrijke entiteiten een vastgesteld bedrijfscontinuïteitsplan met betrekking tot haar netwerk- en informatiesystemen moeten hebben.

Dit plan moet schriftelijk zijn vastgesteld, aantoonbaar worden toegepast en periodiek worden getest. Op deze wijze kunnen zij controleren of het plan nog steeds werkt en actueel is. De entiteit bepaalt zelf de vorm van het testen. Te denken valt bijvoorbeeld aan een tabletop exercise. De periode hangt af van de uitkomsten van de risicoanalyse. Het bedrijfscontinuïteitsplan kan ook paragrafen bevatten die voortvloeien uit eisen die andere wet- en regelgeving naast de Cbw stellen aan bedrijfscontinuïteit. Indien een incident zich voordoet die de bedrijfscontinuïteit in gevaar kan brengen moet het bedrijfscontinuïteitsplan door de entiteit worden toegepast. Dit plan richt zich op het minimaliseren van de impact van een incident op de dienstverlening en het zo spoedig mogelijk herstellen en hervatten van de dienstverlening. Bij het opstellen van het plan houdt de entiteit rekening met de geïdentificeerde risico’s, bedoeld in artikel 7 Cbb. Het is aan de entiteit zelf om een afweging te maken welke processen en procedures moeten worden beschreven in het bedrijfscontinuïteitsplan. Dit hangt af van meerdere factoren. Het is bijvoorbeeld denkbaar dat bij kleinere entiteiten een bellijst volstaat met IT-leveranciers en een overzicht van de met hen gemaakte afspraken over het herstellen van de netwerk- en informatiesystemen in geval van een incident.

Bij grotere entiteiten of entiteiten met een complexe IT is een uitgebreider plan vereist, waarin een verdeling van rollen, verantwoordelijkheden en bevoegdheden van betrokkenen binnen en buiten de entiteit is opgenomen. Hierbij dient aansluiting gezocht te worden bij de specifieke inrichting van de netwerk- en informatiesystemen van de betreffende entiteit en de daaruit voorvloeiende risico’s op het gebied van bedrijfscontinuïteit. Vierde lid In artikel 9, vierde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten een herstelplan moeten hebben. Herstelplannen staan ook wel bekend als een “Disaster Recovery Plan” en maken in de regel onderdeel uit van een bedrijfscontinuïteitsplan. In het herstelplan is vastgelegd in welke gevallen dit plan moet worden toegepast. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident en test dit plan periodiek. Het doel van het herstelplan is dat de entiteit voorbereid is om specifieke netwerk- en informatiesystemen te kunnen herstellen na een incident en daarvoor alle benodigdheden in kaart heeft gebracht, evenals de stappen die doorlopen dienen te worden. In de praktijk kan de entiteit meerdere herstelplannen hebben en kunnen deze ook de vorm van een uitwijk- en herstelplan hebben, waarbij van een uitwijklocatie gebruik wordt gemaakt om de impact van een incident te beperken.

Vijfde lid In artikel 9, vijfde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten een plan voor crisisbeheer moeten hebben. Een crisis is een buitengewone situatie die de voortzetting van de dienstverlening of werkzaamheden van een entiteit bedreigt dat niet kan worden opgelost binnen de bestaande structuren van een entiteit. Hierbij kan gedacht worden aan een plan dat voldoet aan de ISO 22361. Daarin moeten in elk geval de rollen, verantwoordelijkheden en bevoegdheden ten tijde van een crisis voor het personeel en andere in de entiteit werkzame personen worden beschreven. Dit maakt de tijdige en adequate inzet in crisissituaties mogelijk. Het plan moet ook de communicatiemiddelen ten tijde van een crisis beschrijven. Wanneer passend moet het plan ook de beschikbare noodvoorzieningen beschrijven, waaronder het gebruik van beveiligde noodcommunicatiesystemen. Dit is bijvoorbeeld het geval wanneer een entiteit voor een goede crisisbeheersing ook bij uitval van algemene telecommunicatienetwerken moet kunnen communiceren met medewerkers op verschillende locaties. Noodvoorzieningen zijn voorzieningen die permanent aanwezig of beschikbaar zijn, maar slechts in noodsituaties gebruikt zal worden. Bij noodvoorzieningen kan gedacht worden aan uitwijklocaties, noodstroomvoorzieningen en dergelijke.

Van belang is dat de entiteit het plan voor crisisbeheer periodiek test en beoefent, zodat ten tijde van een crisis alle betrokkenen bekend zijn met hun rollen, verantwoordelijkheden en bevoegdheden. Hierbij wordt opgemerkt dat het kan gaan om één gecombineerd plan met paragrafen over bedrijfscontinuïteit en noodvoorzieningen, maar dat het ook kan gaan om losstaande plannen. Het is van belang dat wanneer sprake is van verschillende plannen deze integraal op elkaar zijn afgestemd om tegenstrijdige procedures bij incidenten te voorkomen en als samenhangend worden toepast binnen het bedrijfscontinuïteitsmanagementsysteem. Het bedrijfscontinuïteitsplan beschrijft hoe de entiteit haar dienstverlening zo snel mogelijk kan hervatten bij verstoringen en de impact kan beperken. Het herstelplan bevat concrete maatregelen voor het herstel van systemen en gegevens. Het crisisplan regelt de inzet en coördinatie in geval van een crisis, waaronder de verantwoordelijkheden, communicatie en inzet van noodvoorzieningen. Artikel 10 (beveiliging van de toeleveringsketen) In artikel 21, derde lid, onderdeel d, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval de beveiliging van de toeleveringsketen moeten omvatten. In artikel 10 Cbb wordt deze verplichting verder uitgewerkt.

Hierbij wordt opgemerkt dat de genoemde verplichtingen in artikel 10 Cbb uitsluitend zien op aspecten van de toeleveringsketen die relevant zijn voor de beveiliging van de netwerk- en informatiesystemen die de entiteit gebruikt voor haar werkzaamheden of die zij voor het verlenen van haar diensten gebruikt. De relatie met een leverancier van potloden zal bijvoorbeeld buiten de reikwijdte van de verplichtingen vallen, omdat het leveren van potloden geen verband houdt met de beveiliging van de eerdergenoemde netwerk- en informatiesystemen die de entiteit gebruikt voor haar werkzaamheden of het verlenen van haar diensten. De relatie met bijvoorbeeld een softwareleverancier of leverancier van hardware-onderdelen die relevant zijn voor het goed functioneren van de netwerk- en informatiesystemen, valt wel binnen de reikwijdte. In artikel 10, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten vastgesteld beleid moeten hebben over de beveiliging van de toeleveringsketen. De entiteit moet in dat beleid haar omgang bepalen met afhankelijkheden van de producten en diensten van haar leveranciers en dienstverleners die invloed kunnen hebben op de beveiliging van haar netwerk- en informatiesystemen. Het beleid moet schriftelijk worden vastgelegd en aantoonbaar worden toegepast.

In artikel 10, tweede lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten toetsen of hun rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in artikel 10, eerste lid, Cbb voldoen aan hun beveiligingseisen, bedoeld in artikel 7, vijfde lid, Cbb. De entiteit kan dit bijvoorbeeld beoordelen door certificering van de toeleveranciers of clausules in leveringsovereenkomsten. De entiteit zal op basis van haar cyberbeveiligingseisen periodiek moeten beoordelen of haar rechtstreekse leverancier of haar rechtstreekse dienstverlener nog steeds voldoet aan de beveiligingseisen. Wanneer dit niet het geval is moet de entiteit beoordelen of er aanvullende maatregelen getroffen kunnen worden om de risico’s te mitigeren. Gedacht kan worden aan het heronderhandelen van contracten, het afsluiten van een aanvullend contract of het overstappen naar een andere leverancier of dienstverlener. Artikel 11 (beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen) In artikel 21, derde lid, onderdeel e, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval de beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen moeten omvatten. In artikel 11 Cbb wordt deze verplichting verder uitgewerkt.

In artikel 11, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten op basis van de beveiligingseisen, bedoeld in artikel 7, vijfde lid, Cbb vastgesteld beleid moeten hebben voor het mitigeren en beheersen van risico’s die voortvloeien uit het verwerven van software, hardware of diensten die betrekking hebben op hun netwerk- en informatiesystemen. Deze eisen gelden ook wanneer de entiteit de netwerk- en informatiesystemen zelf ontwikkelt. Het beleid moet schriftelijk worden vastgelegd en aantoonbaar worden toegepast. In artikel 11, tweede lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten, indien van toepassing, processen en procedures moeten vaststellen voor de veilige ontwikkeling van hun netwerk- en informatiesystemen. Deze bepaling is van toepassing indien de betreffende entiteit zelf netwerk- en informatiesystemen ontwikkelt of deze laat ontwikkelen. Deze processen en procedures moeten aantoonbaar worden toegepast. Deze processen en procedures hebben betrekking op alle ontwikkelingsfasen van de netwerk- en informatiesystemen. Die fasen betreffen in ieder geval specificatie, ontwerp, implementatie, en doorontwikkeling en testen.

Het uitgangspunt is dat de entiteit de security by design- of security by default-principes hanteert bij de ontwikkeling en implementatie van software, hardware en diensten, zodat al tijdens deze fases rekening wordt gehouden met beveiligingsmaatregelen. Hierbij wordt tevens opgemerkt dat deze activiteiten extern kunnen worden uitbesteed. Hierbij gaat het om activiteiten die direct impact hebben op de netwerk- en informatiesystemen. In artikel 11, derde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten processen en procedures moeten vaststellen voor het onderhoud en beheer van hun netwerk- en informatiesystemen. Het onderhoud en beheer kan worden uitbesteed. De hiervoor bedoelde processen en procedures moeten ten minste betrekking hebben op het configuratiebeheer. Configuratiebeheer is het beheer van de inrichting van software en hardware en hun onderlinge verbindingen. Daaronder valt in elk geval een veilige configuratie van software, hardware en diensten. De hiervoor bedoelde processen en procedures moeten ook ten minste betrekking hebben op het wijzigingsbeheer van de netwerk- en informatiesystemen, zodat de entiteit op gecontroleerde wijze wijzigingen in haar netwerk- en informatiesystemen doorvoert. Ook ten aanzien van deze processen en procedures geldt dat deze aantoonbaar moeten worden toegepast.

Artikel 12 (basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging) In artikel 21, derde lid, onderdeel g, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging moeten omvatten. In artikel 12 Cbb wordt deze verplichting verder uitgewerkt. Hierbij gaat het om al het personeel dus ook die worden ingehuurd. In artikel 12, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten ervoor moeten zorgen dat hun personeel en andere binnen de entiteit werkzame personen, voor zover relevant voor hun functie, bewust zijn van risico’s met betrekking tot de netwerk- en informatiesystemen van de entiteit, op de hoogte zijn van het belang van cyberbeveiliging en praktijken op het gebied van cyberhygiëne toepassen. Cyberhygiëne omvat een gemeenschappelijke basisreeks van praktijken, met inbegrip van software- en hardware-updates, het wijzigen van wachtwoorden, het beheer van nieuwe installaties, de beperking van toegangsaccounts op beheersniveau en het maken van back-ups van gegevens. Hierdoor is een proactief kader mogelijk met betrekking tot paraatheid, algemene veiligheid en beveiliging in geval van incidenten of cyberdreigingen.

Om de cyberhygiëne bij haar personeel en andere binnen de entiteit werkzame personen te borgen kan de entiteit bijvoorbeeld denken aan het verzorgen van bewustwordings- en trainingsactiviteiten, voor zover relevant voor de functie. In artikel 12, tweede lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten het personeel en andere binnen de entiteit werkzame personen waarvan de rollen, verantwoordelijkheden en bevoegdheden vaardigheden en deskundigheid vereisen op het gebied van de beveiliging van netwerk- en informatiesystemen, moeten aanwijzen. Zij dienen regelmatig opleiding te krijgen over de beveiliging van netwerk- en informatiesystemen, passend bij hun functie. Deze opleidingen kunnen bijvoorbeeld betrekking hebben op de werking en beveiliging van netwerk- en informatiesystemen, bekende dreigingen of werkwijzen van kwaadwillende en incidentbehandeling. Met die opleidingen wordt voor het betreffende personeel de benodigde kennis en kunde over de beveiliging van netwerk- en informatiesystemen ook steeds actueel gehouden. Afhankelijk van de functie zal er een zwaardere of minder zwaardere opleiding gevolgd moeten worden. Hierbij wordt opgemerkt dat met de term opleiding ook een training of cursus wordt bedoeld.

Artikel 13 (beleid over het gebruik van cryptografie) In artikel 21, derde lid, onderdeel h, Cbw is bepaald dat essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht beleid en procedures moeten hebben over het gebruik van cryptografie. In artikel 13 Cbb wordt deze verplichting verder uitgewerkt. In artikel 13, eerste lid, Cbb wordt bepaald dat essentiële entiteiten en belangrijke entiteiten vastgesteld beleid hebben over het gebruik van cryptografie. Dat beleid moet schriftelijk worden vastgelegd en aantoonbaar worden toegepast. Cryptografie is het geheel van methoden voor het versleutelen en beveiligen van gegevens. Het doel van cryptografie en bijbehorend beleid is om te voorkomen dat ongeautoriseerde gebruikers toegang hebben tot de data van de entiteit of dat de integriteit van de data wordt aangetast. Door middel van cryptografie kan de data voor ongeautoriseerde gebruikers onleesbaar gemaakt worden en kunnen ongeautoriseerde wijzigingen worden vastgesteld. De cryptografie kan door bijvoorbeeld zwaktes in algoritmes, implementatiefouten of de komst van quantumcomputers toch doorbroken worden. Daarom moeten cryptografische middelen met minimale inspanning gewijzigd kunnen worden (cryptografische behendigheid). De vereiste mate van cryptografische behendigheid is afhankelijk van de geïdentificeerde risico’s, bedoeld in artikel 7 Cbb.

Artikel 13, tweede lid, Cbb schrijft voor dat essentiële entiteiten en belangrijke entiteiten in het kader van de toepassing van het beleid, bedoeld in artikel 13, eerste lid, Cbb processen en procedures vaststellen over het gebruik van cryptografie. De entiteit past deze processen en procedures aantoonbaar toe. In artikel 13, derde lid, Cbb is bepaald dat in het hiervoor bedoelde beleid en processen en procedures in ieder geval is uitgewerkt in welke gevallen cryptografie wordt ingezet en welke type encryptie in voorkomende gevallen worden gebruikt. Daarbij kan onderscheid per toepassingsgebied worden gemaakt, bijvoorbeeld voor opgeslagen gegevens en gegevens die worden verzonden, evenals per categorie van gegevens. Ook moet in het beleid inzichtelijk worden gemaakt wie verantwoordelijk is voor de implementatie van cryptografie en wie binnen de entiteit verantwoordelijk is voor het sleutelbeheer. Door deze rollen, verantwoordelijkheden en bevoegdheden inzichtelijk te maken bewerkstelligt de entiteit dat iedereen in de organisatie op de hoogte is van zijn of haar specifieke rollen, verantwoordelijkheden en bevoegdheden met betrekking tot encryptie. Hierdoor wordt de kans op misverstanden, misbruik en nalatigheid verminderd.

Artikel 14 (beveiligingsaspecten ten aanzien van personeel) In artikel 21, derde lid, onderdeel i, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets moeten omvatten. In artikel 14 Cbb wordt deze verplichting verder uitgewerkt, specifiek over de beveiligingsaspecten ten aanzien van het personeel. Het gaat daarbij om personeel dat daadwerkelijk in verband met haar functie de beveiliging van de netwerk- en informatiesystemen kan beïnvloeden. In artikel 14, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten het personeel en andere binnen de entiteit werkzame personen aanwijzen dat wordt belast met rollen, verantwoordelijkheden en bevoegdheden met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Dit artikel houdt verband met artikel 6, tweede lid, Cbb, waarin is bepaald dat de entiteit de rollen, verantwoordelijkheden en bevoegdheden in relatie tot de beveiliging van haar netwerk- en informatiesystemen heeft vastgelegd.

Doordat de entiteit in artikel 14, eerste lid, Cbb bepaalt en vastlegt wie binnen de entiteit in relatie tot de beveiliging van de netwerk- en informatiesystemen verantwoordelijk is, is er altijd een eigenaar van het systeem en wordt voorkomen dat de netwerk- en informatiesystemen onvoldoende beveiligd worden. De hiervoor bedoelde aanwijzing moet op grond van artikel 14, tweede lid, Cbb periodiek worden geëvalueerd en indien nodig bijgewerkt. Het doel van de evaluatie is om na te gaan of de aanwijzing nog passend is en in lijn is met de rollen, verantwoordelijkheden en bevoegdheden in de praktijk. In artikel 14, derde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten indien dit blijkt uit de risicoanalyse, bedoeld in artikel 7 Cbb, betrouwbaarheidseisen moeten opstellen waaraan hun personeel en andere binnen of namens de entiteit werkzame personen moeten voldoen, voor zover deze passend en noodzakelijk zijn voor hun taakuitoefening met betrekking tot de beveiliging van de netwerk- en informatiesystemen van de entiteit. Voor bepaalde functionarissen kan dit betekenen dat er een screening plaatsvindt. Hierbij valt onder meer te denken aan functionarissen met hoge rechten in kritieke omgevingen van de netwerk- en informatiesystemen van de entiteit.

Artikel 15 (beveiligingsaspecten ten aanzien van toegangsbeleid) In artikel 21, derde lid, onderdeel i, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets moeten omvatten. In artikel 15 Cbb wordt deze verplichting verder uitgewerkt, specifiek over de beveiligingsaspecten ten aanzien van toegangsbeleid. In artikel 15, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten vastgesteld beleid moeten hebben over de logische en fysieke toegang (access management) tot hun netwerk- en informatiesystemen. Dat beleid moet schriftelijk worden vastgelegd en aantoonbaar worden toegepast. Logische toegang houdt het beheersen van de toegang tot de netwerk- en informatiesystemen in en vereist de authenticatie van de identiteit van een individu via een mechanisme, zoals een toegangspas, token of cijfercode. Met fysieke toegang wordt bedoeld: de directe fysieke toegang tot de netwerk- en informatiesystemen. Het doel van het genoemde beleid is om ongeautoriseerde logische en fysieke toegang tot de netwerk- en informatiesystemen van de entiteit te voorkomen. Het uitgangspunt is dat de entiteit daarbij de need-to-know- en least-privilege-principes hanteert.

Dit betekent dat alleen toegang wordt verkregen tot informatie en ruimtes die passen bij de functie, ongeacht beveiligingsmachtiging of andere goedkeuringen. Op grond van artikel 15, tweede lid, Cbb moet het beleid in elk geval omvatten: het uitgeven, monitoren, gebruiken, wijzigen en intrekken van identiteiten en autorisaties, en het beheer van identiteiten en autorisaties. Deze aspecten worden voorgeschreven, zodat ongeautoriseerde toegang tot en wijzigingen in de netwerk- en informatiesystemen kunnen worden gedetecteerd en waar mogelijk worden voorkomen. Hierbij wordt opgemerkt dat de toegang ook extern kan worden uitbesteed. Het is ook mogelijk dat de monitoring plaatsvindt door een andere vestiging van de entiteit die zich in het buitenland bevindt. In artikel 15, derde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten identiteiten, authenticatiemiddelen en autorisaties periodiek moeten controleren op de noodzakelijkheid, juistheid en actualiteit. Indien nodig voert de entiteit wijzigingen door in die identiteiten, authenticatiemiddelen en autorisaties. Door deze periodieke toets kan de toekenning van een identiteit of autorisatie tijdig worden aangepast, bijvoorbeeld als deze niet langer noodzakelijk is of (gewijzigde) risico’s voor de beveiliging van de netwerk- en informatiesystemen hiertoe aanleiding geeft.

Artikel 16 (beveiligingsaspecten ten aanzien van beheer van assets) In artikel 21, derde lid, onderdeel i, Cbw is bepaald dat de maatregelen die essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht moeten nemen in elk geval beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets moeten omvatten. In artikel 16 Cbb wordt deze verplichting verder uitgewerkt, specifiek over de beveiligingsaspecten ten aanzien van het beheer van assets die de entiteit in haar netwerk- en informatiesystemen voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt. In artikel 16, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten vastgesteld beleid moeten hebben voor het beheer van hun assets die zij voor hun werkzaamheden of voor het verlenen van hun diensten gebruiken. Dat beleid moet schriftelijk worden vastgelegd en aantoonbaar worden toegepast. Het is van belang dat zij een dergelijk beleid hebben, omdat zij door een goed inzicht in hun assets hun risico’s beter kunnen inschatten en gerichter informatie over kwetsbaarheden kunnen vinden.

In artikel 16, tweede lid, Cbb is bepaald dat het hiervoor bedoelde beleid in elk geval een systeem moet omvatten om assets op verschillende niveaus te kunnen classificeren op basis van, indien van toepassing, de eisen voor vertrouwelijkheid, integriteit en beschikbaarheid. Het beleid moet ook regels omvatten die aangeven wat er wel en niet mag met de assets (aanvaardbaar gebruik) Door assets te classificeren kunnen essentiële entiteiten en belangrijke entiteiten vaststellen welk beveiligingsniveau ten aanzien van hun netwerk- en informatiesystemen passend is. Dit is mede relevant in de context van de bedrijfscontinuïteit, bedoeld in artikel 9 Cbb, het toetsen of rechtstreekse leveranciers en rechtstreekse dienstverleners voldoen aan de beveiligingseisen, bedoeld in artikel 10 Cbb, en de beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, bedoeld in artikel 11 Cbb. Onder assets kan ook cryptografie worden verstaan. Denk hierbij aan cryptografische sleutels. Artikel 16, derde lid, Cbb schrijft voor dat essentiële entiteiten en belangrijke entiteiten in het kader van de toepassing van het beleid, bedoeld in artikel 16, eerste lid, Cbb, processen en procedures vaststellen voor het beheer van hun assets. De entiteit past deze processen en procedures aantoonbaar toe.

In artikel 16, vierde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten een volledige en actuele inventaris van hun assets moeten hebben en deze inventaris moeten bijhouden. Deze inventaris dient voor de beveiliging van de netwerk- en informatiesystemen relevante registraties te bevatten, zoals de assets waar de entiteit over beschikt, inclusief digitale gegevens en software, evenals de locatie hiervan. Het abstractieniveau en de mate van gedetailleerdheid dient passend te zijn om de risico’s voor de beveiliging van de netwerk- en informatiesystemen te kunnen beheersen. Artikel 17 (attenderingen, beveiligingsadviezen en dreigingsinformatie) Artikel 17 Cbb gaat over attenderingen, beveiligingsadviezen en dreigingsinformatie die relevant zijn voor de beveiliging van de netwerk- en informatiesystemen van essentiële entiteiten en belangrijke entiteiten. Wanneer deze entiteiten zulke attenderingen, beveiligingsadviezen en informatie gericht ontvangen, moeten zij beoordelen of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen die genomen moeten worden in het kader van de zorgplicht. Zij moeten de uitkomsten van die beoordeling ook schriftelijk vastleggen.

Het artikel betreft allereerst gerichte attenderingen over voor de beveiliging van de netwerk- en informatiesystemen van de betrokken entiteit relevante kwetsbaarheden of cyberdreigingen. Deze informatie kan onder andere afkomstig zijn van CSIRT’s, toezichthouders of andere betrokken overheidsinstanties, maar kan eveneens afkomstig zijn van het eigen personeel, klanten en ethische hackers. Het zal hierbij in de praktijk veelal gaan om attenderingen gericht aan de ICT- contactpersoon van de entiteit. Een voorbeeld van deze attenderingen zijn high-high-attenderingen van een CSIRT. Het artikel ziet daarnaast op beveiligingsadviezen en dreigingsinformatie die afkomstig zijn van relevante organisaties. Het gaat hierbij om gerichte adviezen en informatie. Dit houdt in dat bijvoorbeeld reclame-uitingen hier niet onder vallen. Tot relevante organisaties behoren onder meer CSIRT’s, bevoegde autoriteiten, rechtstreekse leveranciers en rechtstreekse dienstverleners. Artikel 18 (weren producten en diensten van leveranciers) Inleidende opmerkingen Nederland wordt steeds vaker geconfronteerd met cyberaanvallen op (al dan niet vitale) processen door statelijke en criminele actoren.11 Naar verwachting zal de cyberdreiging de komende jaren aanhouden, omdat het relatief makkelijk is om een digitaal aanvalsprogramma op te zetten.

Dergelijke aanvallen zijn ook steeds moeilijker herleidbaar tot de aanvaller. De inlichtingen- en veiligheidsdiensten identificeren in hun meest recente jaarverslagen een sterke toename van het aantal landen dat offensieve cyberprogramma’s ontwikkelt en inzet bij het nastreven van hun politieke doelstellingen. In het licht van de hiervoor bedoelde ontwikkelingen, aanvallen en dreigingen voorziet artikel 18, eerste lid, Cbb in de bevoegdheid van de betrokken vakminister om, in overeenstemming met de Minister van Justitie en Veiligheid, een essentiële entiteit of belangrijke entiteit de verplichting op te leggen om in onderdelen van haar netwerk- en informatiesystemen producten of diensten van specifieke leveranciers te weren en zo de risico’s, die voortvloeien uit de hiervoor bedoelde offensieve cyberprogramma’s, te beheersen. Artikel 18, eerste lid, Cbb geeft een nadere uitwerking aan de algemene zorgplicht van artikel 21 Cbw. Essentiële entiteiten en belangrijke entiteiten zijn primair zelf verantwoordelijk voor het in het kader van deze zorgplicht treffen van ten minste de maatregelen ter beheersing van de risico’s voor de beveiliging van hun netwerk- en informatiesystemen en ter voorkoming van incidenten, zoals opgesomd in artikel 21 Cbw en nader uitgewerkt in hoofdstuk 4 Cbb, waaronder maatregelen betreffende de beveiliging van de toeleveranciersketen.

Het kan echter voorkomen dat de levering van producten en diensten aan een essentiële entiteit of belangrijke entiteit van een specifieke leverancier risico’s met zich brengt voor de beveiliging van de netwerk- en informatiesystemen die de nationale veiligheid raken. Het kan met het oog daarop noodzakelijk zijn om ter bescherming van de nationale veiligheid vanuit de rijksoverheid de verplichting, bedoeld in artikel 18, eerste lid, Cbb, aan die entiteit op te leggen. Daarbij zal onder meer steeds worden beoordeeld of de ingrijpendheid van de maatregel in redelijke verhouding staat tot het ermee beoogde doel én of er geen minder ingrijpende maatregelen zijn om dat doel te bereiken. Reikwijdte De betrokken vakminister maakt gebruik van de in artikel 18, eerste lid, Cbb opgenomen bevoegdheid indien hij van oordeel is dat dit noodzakelijk is om risico’s voor de beveiliging van de netwerk- en informatiesystemen die de nationale veiligheid raken te beheersen of om incidenten die de nationale veiligheid raken te voorkomen. Wat onder incident als bedoeld in artikel 18, eerste lid, Cbb wordt verstaan volgt uit artikel 1 Cbw.

Hierin is bepaald dat een incident in de zin van de Cbw en onderliggende regelgeving een gebeurtenis is die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar brengt. Bij de inzet van de bevoegdheid zal het moeten gaan om leveranciers die ofwel zelf de intentie hebben om de beveiliging van de netwerk- en informatiesystemen van essentiële entiteiten of belangrijke entiteiten aan te tasten of incidenten bij die entiteiten te veroorzaken, dan wel leveranciers die nauwe banden hebben met of onder controle staan van een partij met een dergelijke intentie. Hierbij is het niet van belang of een partij in laatstbedoelde zin een statelijke actor is of een andere entiteit. Van nauwe banden of controle in bovenbedoelde zin kan in het eerste geval bijvoorbeeld sprake zijn indien de leverancier afkomstig is, of onder controle staat van een partij, uit een land met wetgeving die particuliere partijen verplicht samen te werken met de overheid van dat land, in het bijzonder staatsorganen die zijn belast met een inlichtingen- of militaire taak. Van de intentie in bovenbedoelde zin zal in datzelfde geval sprake kunnen zijn als 11 Kamerstukken II 2022/23, 26643, nr. 1007.

het land, waaruit de leverancier zelf of de partij die controle heeft over die leverancier, een actief offensief programma heeft dat is gericht op Nederland en Nederlandse belangen of een gespannen relatie met Nederland heeft, die acties die Nederlandse belangen aantasten voorstelbaar maken. De betrokken vakminister zal ten aanzien van de betrokken essentiële entiteit of belangrijke entiteit moeten bepalen met betrekking tot welke onderdelen van haar netwerk- en informatiesystemen het noodzakelijk is om daarbinnen producten of diensten van specifieke leveranciers te weren. Het zal gaan om onderdelen waarvoor geldt dat de toegang daartoe, vanwege de gevoeligheid van die onderdelen, in geval van misbruik een risico voor de nationale veiligheid oplevert. Bij risico voor de nationale veiligheid kan gedacht worden aan sabotage, beïnvloeding of spionage door statelijke actoren of andere derde partijen van netwerk- en informatiesystemen van de entiteit.

Ook de inzet van ransomware kan een risico vormen voor de nationale veiligheid als het gaat om de continuïteit van (vitale) processen, het weglekken en/of publiceren van vertrouwelijke of gevoelige informatie en de aantasting van de integriteit van de digitale ruimte.12 De beoordeling of en ten aanzien van welke onderdelen van netwerk- en informatiesystemen het opleggen van de verplichting om producten of diensten van een specifieke leverancier te weren noodzakelijk is zal per geval en dus per individuele entiteit geschieden. In die beoordeling wordt onder meer meegenomen of en in welke mate er bij een entiteit sprake is van kritieke onderdelen waarvoor geldt dat misbruik een risico voor de nationale veiligheid kan vormen en of de maatregelen die de entiteit heeft getroffen of nog kan treffen ter beheersing van een dergelijk risico voldoende zijn. Als er sprake is van het gebruik van producten of diensten van eenzelfde leverancier bij meerdere essentiële entiteiten of belangrijk entiteiten, zal de uitkomst van de beoordeling dus van entiteit tot entiteit kunnen verschillen. De verplichting om producten of diensten van een specifieke leverancier te weren zal dus niet generiek kunnen worden opgelegd. In lijn hiermee zal er vanuit de rijksoverheid bijvoorbeeld ook niet een lijst van te weren (producten of diensten van) leveranciers worden opgesteld.

Wel zijn er verschillende openbare producten beschikbaar die voor entiteiten behulpzaam kunnen zijn bij de afweging van welke leveranciers zij producten of diensten zullen afnemen, zoals de handreiking Cybercheck: ook jij hebt supply chain risico’s!.13 De bevoegdheid uit artikel 18, eerste lid, Cbb kan niet worden toegepast op essentiële entiteiten en belangrijke entiteiten die aanbieders van openbare elektronische communicatienetwerken of aanbieders van openbare elektronische communicatiediensten zijn. Dit is geregeld in artikel 18, derde lid, Cbb. De reden voor deze regeling is dat de Telecommunicatiewet (hierna: Tw) en daaronder liggende regelgeving voor deze aanbieders al in een sectorspecifiek vergelijkbaar regime voorziet. Met artikel 18, derde lid, Cbb wordt voorkomen dat er een dubbele grondslag ontstaat ten aanzien van die aanbieders. Immers, op grond van artikel 11.a1, tweede lid, Tw (zoals gewijzigd in artikel 99, onderdeel B, Cbw) is het al mogelijk om bij of krachtens amvb technische, operationele en organisatorische maatregelen vast te stellen, om de risico’s voor de beveiliging van hun netwerken of diensten te beheersen, teneinde de gevolgen van beveiligingsincidenten op de nationale veiligheid of openbare orde te beperken.

Met het oog op voortzetting van de huidige sectorale wetgeving bevat het nieuwe tweede lid van artikel 11a.1 Tw een wettelijke grondslag die in materieel opzicht een ongewijzigde basis biedt voor het Besluit veiligheid en integriteit telecommunicatie (hierna: Bvit). De delegatiegrondslag voor het Bvit in artikel 11a.1, tweede lid, Tw is net zoals voorheen – met artikel 11a.1, vierde lid, Tw (oud) – gebaseerd op een benadering die alle gevaren omvat. De maatregelen kunnen dus onverminderd bijdragen aan de bescherming van veiligheidsbelangen in brede zin, waaronder risico’s voor de nationale veiligheid. Daarbij kan worden gedacht aan sabotage of spionage van openbare elektronische communicatienetwerken en openbare elektronische communicatiediensten. Het Bvit kent in artikel 2, tweede en derde lid, vergelijkbare bepalingen als artikel 18, eerste en tweede lid, Cbb. Op grond van het Bvit heeft de Minister van Economische Zaken onder meer maatregelen getroffen met betrekking tot de bescherming van de toeleveringsketen van de mobiele telecommunicatienetwerken. Dit zijn reeds langere tijd geldende maatregelen op grond van nationaal beleid dat ongewijzigd wordt voortgezet. Zowel met betrekking tot de grondslag als de maatregelen die op grond van het Bvit zijn genomen doen er zich in materiële zin geen wijzigingen voor. 12 Cybersecuritybeeld Nederland 2024.

13 Te raadplegen op https://www.ncsc.nl/documenten/publicaties/2024/april/18/cybercheck-ook-jij-hebt-supply-chain- risicos. Beoordeling De bovengenoemde verplichting wordt opgelegd door de vakminister, in overeenstemming met de Minister van Justitie en Veiligheid, als die naar zijn oordeel noodzakelijk is om risico’s voor de beveiliging van de netwerk- en informatiesystemen die de nationale veiligheid raken te beheersen of om incidenten die de nationale veiligheid raken te voorkomen. De beoordeling of de hierboven bedoelde verplichting zou moeten worden opgelegd sluit aan bij het in artikel 2 Cbw beschreven doel van de Cbw, te weten het met het oog op het in stand houden van kritieke maatschappelijke of economisch belangrijke functies of activiteiten verhogen van de cyberbeveiliging. Dit past eveneens in de Nederlandse Cybersecuritystrategie (2022-2028) waarin een digitaal veilig Nederland het uitgangspunt is.

Bij de beoordeling van risico’s ten aanzien van onder meer spionage en sabotage door statelijke actoren bij digitale producten en diensten hanteert het kabinet de overwegingen die zijn vermeld in de brief van de Minister van Justitie en Veiligheid aan de Tweede Kamer over C2000.14 De criteria die in artikel 18, eerste lid, Cbb zijn vermeld zijn in lijn met de overwegingen in genoemde Kamerbrief, met dien verstande dat in overweging 3A de term “vitale infrastructurele installaties of werken” is geactualiseerd naar “kritieke infrastructuur”. Het gaat om de volgende overwegingen: 1. Is de partij die de dienst of het product levert afkomstig, of staat hij onder controle van een partij, uit een land met wetgeving die commerciële of particuliere partijen verplicht samen te werken met de overheid van dat land, in het bijzonder met staatsorganen die zijn belast met een inlichtingen- of militaire taak, of is de partij een staatsbedrijf? 2.

Is de partij die de dienst of het product levert afkomstig uit een land met een actief offensief programma gericht op Nederland en Nederlandse belangen of een land waarmee de Nederlandse relatie dusdanig gespannen is dat acties die Nederlandse belangen aantasten voorstelbaar zijn? Indien het antwoord op de in bovenstaande overwegingen geformuleerde vragen positief is, zal er sprake zijn van een partij die nauwe banden heeft met of onder controle staat van een staat of entiteit die de intentie heeft om de beveiliging van de netwerk- of informatiesystemen van een essentiële entiteit of belangrijke entiteit aan te tasten of om incidenten bij die entiteit te veroorzaken, of waarvoor gronden zijn om dergelijke banden of controle te vermoeden. Dan komen de volgende overwegingen aan de orde: 3A. Krijgt de partij die de dienst of het product levert uitgebreide toegang tot gevoelige locaties, gevoelige ICT-systemen of de kritieke infrastructuur, waarbij misbruik een nationaal veiligheidsrisico kan vormen? 3B. Zijn er beheersmaatregelen mogelijk en realiseerbaar die de nationale veiligheidsrisico’s die in het geding zijn voldoende beschermen? De reikwijdte van de op te leggen verplichting is beperkt tot die onderdelen die in de beschikking worden aangewezen. Bij de afweging welke onderdelen in de beschikking worden aangewezen, komen bovenstaande overwegingen als volgt aan bod.

Eerst worden de kritieke onderdelen van de entiteit in kaart gebracht. Dit zijn de onderdelen waarvoor geldt dat de leverancier uitgebreide toegang tot gevoelige locaties, gevoelige ICT-systemen of de kritieke infrastructuur krijgt, waarbij misbruik een nationaal veiligheidsrisico kan vormen (overweging 3A). Vervolgens wordt beoordeeld of het opleggen van de verplichting in relatie tot die onderdelen noodzakelijk is om risico’s die de nationale veiligheid raken te beheersen: dit houdt in dat er geen andere maatregelen mogelijk en realiseerbaar zijn om deze risico’s voldoende te beheersen (overweging 3B). Hiertoe wordt met name de toereikendheid van de maatregelen die de essentiële entiteit of belangrijke entiteit in het kader van de wettelijke zorgplicht reeds heeft genomen of nog geacht wordt te moeten nemen in ogenschouw genomen. De kritieke onderdelen waarvoor geldt dat er geen andere beheersmaatregelen zijn om het risico voldoende te beheersen worden vervolgens aangewezen in de beschikking, waarmee de reikwijdte van de verplichting om uitsluitend gebruik te maken van vertrouwde leveranciers tot die aangewezen onderdelen is beperkt. 14 Kamerstukken II 2018/19, 25124, nr. 96. De volgende procesmatige stappen worden in het kader van de beoordeling in elk geval doorlopen: 1. het bepalen van het risico; 2. het plan van aanpak voor het (technisch) onderzoek; 3.

het vaststellen van de kritieke onderdelen; en 4. het identificeren van de reeds getroffen en aanvullend mogelijke beveiligingsmaatregelen. De betrokken entiteit wordt hierbij zo veel als mogelijk betrokken en in de gelegenheid gesteld een zienswijze hierop te geven. Termijn vervanging of beëindiging in gebruik zijnde producten of diensten Het zal voor een essentiële entiteit of belangrijke entiteit niet altijd mogelijk zijn om per direct gevolg te geven aan de op grond van artikel 18, eerste lid, Cbb opgelegde verplichting, zonder hiermee de continuïteit van de dienstverlening in gevaar te brengen, als de entiteit de in de beschikking genoemde producten of diensten van een specifieke leverancier nog in gebruik heeft. In zo’n geval zal de vakminister op grond van artikel 18, tweede lid, Cbb, in het belang van de continuïteit van de dienstverlening, in de beschikking een termijn opnemen voor de vervanging of beëindiging van die in gebruik zijnde producten of diensten. Rechtsbescherming De aan een essentiële entiteit of belangrijke entiteit op te leggen verplichting, bedoeld in artikel 18, eerste lid, Cbb, is een besluit in de zin van de Algemene wet bestuursrecht (hierna: Awb). Tegen het besluit staan rechtsmiddelen (bezwaar, beroep en hoger beroep) open.

Dit houdt in dat de betrokken entiteit bij de vakminister die de verplichting bij beschikking heeft opgelegd, in bezwaar kan gaan tegen de beschikking. Na de bezwaarprocedure bij de vakminister staat de rechtsgang bij de rechter en hoger beroepsrechter open, uiteraard voor zover de betrokken entiteit procesbelang heeft. Rol van de toezichthouder Als een essentiële entiteit of belangrijke entiteit een beschikking als bedoeld in artikel 18, eerste lid, Cbb opgelegd heeft gekregen, is er een rol voor de toezichthouder. Die ziet er op toe dat de beschikking wordt nageleefd door de betrokken entiteit. Eigendomsregulering Het Cbb biedt met artikel 18, eerste lid, de grondslag om een beschikking op te leggen die kan leiden tot eigendomsregulering van essentiële entiteiten en belangrijke entiteiten. Van eigendomsregulering is sprake wanneer de gebruiksmogelijkheden van de eigendom worden beperkt, zonder dat de beschikking over het eigendom verloren gaat. Bij een beschikking op basis van artikel 18, eerste lid, Cbb is sprake van regulering van eigendom en geen (de facto) onteigening: het leidt immers niet tot verlies van eigendom dan wel dat de beschikking over het eigendom verloren gaat. De producten en diensten waarop de beschikking betrekking heeft behouden waarde, blijven eigendom van de entiteit en kunnen door haar te gelde worden gemaakt.

Artikel 1 van het Eerste Protocol bij het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: EP EVRM) beschermt het recht op eigendom. Een beschikking op grond van artikel 18, eerste lid, Cbb vormt een inmenging in het in artikel 1 EP EVRM vervatte eigendomsrecht van essentiële entiteiten en belangrijke entiteiten. Van belang is dat het begrip “eigendom” in de zin van artikel 1 EP EVRM een autonome betekenis heeft. Dat betekent dat dit begrip een eigen betekenis heeft die losstaat van de betekenis die in de rechtstelsels van de verdragsstaten aan het begrip “eigendom” wordt gegeven. Bij de vraag of sprake is van eigendom in de zin van artikel 1 EP EVRM gaat het er volgens het Europees Hof voor de Rechten van de Mens (hierna: EHRM) uiteindelijk om dat in de omstandigheden van het geval sprake is van een “title to a substantive interest”.

Uit jurisprudentie valt af te leiden dat het in algemene zin dient te gaan om op economische, op geld waardeerbare aanspraken en belangen.15 Toekomstige inkomsten die nog niet betaald zijn en waarop naar nationaal recht ook nog geen 15 EHRM 30 november 2004, ECLI:CE:ECHR:2004:1130JUD004893999 (Öneryıldız/Turkije), rechtsoverweging 124; EHRM 11 januari 2007, ECLI:CE:ECHR:2007:0111JUD007304901 (Anheuser-Busch Inc./Portugal), rechtsoverwegingen 75 tot en met 78; EHRM 23 maart 2010, ECLI:CE:ECHR:2011:1018JUD000907407 (Mullai e.a./Albanië), rechtsoverweging 97. vaststaand recht bestaat, kwalificeren volgens het EHRM bijvoorbeeld niet als eigendom in de zin van artikel 1 EP EVRM. Het EHRM erkent dat een staat ter borging van het algemeen belang (het gebruik van) eigendom mag reguleren en aan beperkingen mag onderwerpen als aan een aantal voorwaarden wordt voldaan. Een inbreuk op het eigendomsrecht is gerechtvaardigd wanneer er sprake is van regulering van eigendom en deze aan de legaliteitstoets, de legitimiteitstoets en de evenredigheidstoets (“fair balance”) voldoet. De legaliteitstoets houdt in dat de inmenging in het eigendomsrecht voorzien moet zijn bij wet of daarop gebaseerde regelgeving. De toepasselijke nationale regeling moet voldoende toegankelijk, precies en voorzienbaar zijn. Artikel 18, eerste lid, Cbb voldoet aan deze vereisten.

De legitimiteitstoets houdt in dat de inmenging enkel mag plaatsvinden in het algemeen belang en dat deze een legitiem doel dient. Het EHRM laat staten een ruime beoordelingsmarge bij het vaststellen van wat als een legitieme doelstelling in het kader van het algemeen belang kan gelden; nationale veiligheid kan daar ook onder geschaard worden. Hierbij is wel van belang dat wordt overwogen of de ingrijpendheid van de maatregel in redelijke verhouding staat tot het ermee beoogde legitieme doel (proportionaliteit) en of er geen andere, minder ingrijpende maatregelen mogelijk zijn om ditzelfde doel te bereiken (subsidiariteit). Bij de beschikking op grond van artikel 18, eerste lid, Cbb zal de vakminister aandacht moeten besteden aan de proportionaliteit en de subsidiariteit van dat besluit. Dat betekent dat de vakminister bij de beschikking zal moeten beoordelen of kan worden volstaan met de maatregelen die de betrokken entiteit in het kader van de zorgplicht reeds heeft genomen of nog kan nemen. Indien dat niet het geval is, moet de vakminister beoordelen tot welke onderdelen van de netwerk- en informatiesystemen het weren van producten en diensten van specifieke leveranciers zou moeten uitstrekken.

De evenredigheidstoets vraagt om een beoordeling of met de beschikking op grond van artikel 18, eerste lid, Cbb sprake is van een rechtvaardig en evenwichtig resultaat, oftewel “fair balance”, tussen het algemeen belang en de belangen van – in dit geval – de entiteit die wordt geraakt door de inmenging in haar eigendomsrecht. Bij de beoordeling of sprake is van een “fair balance” dienen verschillende aspecten in ogenschouw te worden genomen. De toepassing van de in artikel 18, eerste lid, Cbb opgenomen bevoegdheid mag niet leiden tot een individuele en buitensporige last voor de betrokken entiteit. Er moet bovendien een redelijke mate van evenredigheid bestaan tussen de gebruikte middelen en het nagestreefde doel. Een van de aspecten die een belangrijke rol speelt in het kader van de “fair balance” is de voorzienbaarheid van de maatregel (in casu de toepassing van de in artikel 18, eerste lid, Cbb opgenomen bevoegdheid). Hiermee wordt bedoeld of de maatregel in de lijn der verwachting ligt, ook al bestond er nog geen concreet zicht op de omvang waarin, de plaats waar en het moment waarop de ontwikkeling zich zou voordoen.

Essentiële entiteiten en belangrijke entiteiten zijn op grond van artikel 21 Cbw verplicht om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruiken, te beheersen. Ook moeten zij deze maatregelen nemen om incidenten te voorkomen. Daarmee is echter niet altijd op voorhand te zeggen dat die risico’s voldoende kunnen worden beheerst wanneer in specifiek aan te wijzen onderdelen van de netwerk- en informatiesystemen niet uitsluitend producten of diensten van vertrouwde leveranciers worden gebruikt (en welke leveranciers als vertrouwd worden gezien). In sommige gevallen kan er sprake zijn van schade die voortvloeit uit het (vroegtijdig, voor afloop van de afschrijvingstermijn) moeten vervangen van producten, hetgeen op het moment van aanschaf niet voorzienbaar was. In zulke gevallen kan het noodzakelijk zijn nadeelcompensatie te bieden, om de vereiste “fair balance” te bereiken. Nadeelcompensatie Titel 4.5 van de Awb behelst een codificatie van het égalitébeginsel en geeft de belangrijkste materiële en procedurele regels voor de toekenning van nadeelcompensatie.

In artikel 4:126, eerste lid, Awb is bepaald dat indien een bestuursorgaan in de rechtmatige uitoefening van zijn publiekrechtelijke bevoegdheid of taak schade veroorzaakt die uitgaat boven het normale maatschappelijke risico en die een benadeelde in vergelijking met anderen onevenredig zwaar treft, het bestuursorgaan de benadeelde desgevraagd een vergoeding toekent. De op grond van de onderhavige bevoegdheid op te leggen beschikkingen vallen onder de reikwijdte van deze bepaling en meer algemeen titel 4.5 Awb. Schade op grond van het égalitébeginsel komt alleen voor vergoeding in aanmerking voor zover de schade onevenredig is en in rechtstreeks verband staat tot het genomen besluit. Van onevenredige schade is sprake indien de schade op een beperkte groep burgers of bedrijven drukt (speciale last) en de schade boven het normaal maatschappelijke of ondernemersrisico uitstijgt (abnormale last).16 Voor de volledigheid wordt opgemerkt dat bij de beantwoording van de vraag of er een redelijk evenwicht bestaat tussen de eisen van het algemeen belang van de samenleving en de bescherming van de fundamentele rechten van het individu in het licht van artikel 1 EVRM EP, zoals hierboven is toegelicht, betrekt het EHRM de vraag of er een schadevergoeding is toegekend, alsmede de omvang daarvan.

Op grond van de regeling in titel 4.5 Awb wordt de vraag naar de vergoedbaarheid van de schade en de omvang van de schadevergoeding los behandeld van de vraag naar de rechtmatigheid van het schadeveroorzakend overheidshandelen. Dit komt niet in strijd met de bescherming die artikel 1 EVRM EP beoogt te bieden, mits bestuursorganen zich er bij het nemen van een schadeveroorzakend besluit al rekenschap van geven dat het besluit aanleiding kan vormen voor aanspraken op nadeelcompensatie. In verband daarmee dient bij het nemen van het besluit tevens te worden bezien of er voor de afhandeling van een verzoek om nadeelcompensatie een met voldoende waarborgen omklede rechtsgang openstaat.17 Dit is het geval nu een entiteit op grond van artikel 4:126, eerste lid, Awb een aanvraag voor nadeelcompensatie kan indienen. Vrij verkeer van goederen Een op grond van artikel 18, eerste lid, Cbb genomen beschikking is een kwantitatieve invoerbeperking (of maatregel van gelijke werking) in de zin van artikel 34 Verdrag betreffende de werking van de Europese Unie (hierna: VWEU).

Een beperking in het vrije verkeer van goederen is slechts toegestaan indien dit gerechtvaardigd kan worden wegens een dwingende reden van algemeen belang, of in geval van discriminatoire maatregelen: een van de belangen opgesomd in artikel 36 VWEU, waaronder de bescherming van de openbare orde en openbare veiligheid, hetgeen ook de nationale veiligheid omvat. Een maatregel die leidt tot een beperking in het vrije verkeer van goederen moet voorts geschikt zijn om het beoogde doel te bereiken en niet verder gaan dan noodzakelijk is. Zoals hierboven toegelicht vindt een op grond van artikel 18, eerste lid, Cbb opgelegde maatregel (in casu de verplichting tot het weren van bepaalde diensten of producten van bepaalde leveranciers) zijn rechtvaardiging in het beschermen van de nationale veiligheid. Het opleggen van een dergelijke maatregel is enkel aan de orde als de maatregel geschikt is om het nagestreefde belang te beschermen en als – gelet op de geconstateerde risico’s voor de beveiliging van de netwerk- en informatiesystemen die de nationale veiligheid raken – die risico’s niet afdoende te ondervangen zijn met de maatregelen die de betrokken entiteit in het kader van de zorgplicht reeds heeft genomen. De maatregel zal in dat geval niet verder gaan dan nodig voor het beoogde doel en geschikt zijn om het beoogde doel te bereiken.