Bijlage 3. Cyberbeveiligingsbesluit

Een mogelijke verklaring zou daarom kunnen zijn dat zij zullen proberen om de kosten van externe inhuur te verlagen, bijvoorbeeld door de voorbereiding op deze training zoveel mogelijk intern op te pakken. Grote bedrijven daarentegen hebben in sommige gevallen al ervaring met trainingen en/of cursussen van externe partijen. De verwachting van de respondenten namens grote bedrijven is veelal dat zij deze partijen simpelweg opnieuw zullen inschakelen en de bijkomende kosten accepteren. De structurele kosten voor het voldoen aan de verplichtingen in het kader van de governance zijn naar verwachting beperkt. Artikel 44 Cbw en artikel 28 Cbb (registratie in het nationaal register en informatieverstrekking ten behoeve van die registratie) Sommige geïnterviewde bedrijven geven aan al geregistreerd te zijn naar aanleiding van het huidige wettelijke kader (de Wbni). Zij zijn echter niet geregistreerd bij het Nationaal Cyber Security Centrum (hierna: NCSC), maar bij de Rijksinspectie Digitale Infrastructuur (hierna: RDI), en zullen zich dus nog moeten registreren bij het NCSC. Meerdere bedrijven geven daarnaast aan op dit moment niet in te kunnen schatten wat de exacte implicaties van de registratieverplichting voor hun organisatie zullen zijn.

Wat hierbij een rol speelt is dat sommige bedrijven uit vele tientallen, soms honderden juridische eenheden bestaan die actief zijn in meerdere lidstaten van de Europese Unie, ieder met een eigen registratieplicht die volgt uit de NIS2-richtlijn. De meeste bedrijven geven aan enkel eenmalige kosten te verwachten ten gevolge van de registratieplicht, of de structurele kosten als verwaarloosbaar te beschouwen. Gemiddeld verwachten bedrijven dat één medewerker een dagdeel (circa 4 uur) kwijt zal zijn aan het registeren van het bedrijf bij het NCSC. De medewerker die deze werkzaamheden uit zal voeren is naar verwachting in de meeste gevallen een hoogopgeleide IT’er met een corresponderend uurtarief van € 54,-. Toch voorzien enkele bedrijven ook significante structurele regeldrukgevolgen, bijvoorbeeld omdat de informatie in het register, waaronder informatie over de domeinnamen van de entiteit, continu bijgewerkt zal moeten worden. Deze opvatting wordt echter uitsluitend gedeeld door grote bedrijven. Daarom wordt in het kader van de berekening van de regeldrukkosten aangenomen dat, naast de incidentele kosten van het registreren van de onderneming bij het NCSC, alle 1.742 grote bedrijven die naar verwachting onder het toepassingsbereik van de Cbw vallen jaarlijks tijd kwijt zullen zijn om de geregistreerde informatie actueel te houden.

Gemiddeld verwachten grote bedrijven dat enkele medewerkers hier gezamenlijk 10 uur per jaar aan zullen besteden, tegen een gemiddeld uurloon van € 52,-. Tabel 1: eenmalige regeldrukgevolgen Cbw en Cbb5 Artikelen Tijdbeste- ding in uren Uurtarief (€) Out-of- pocket- kosten (€) Totale kosten per bedrijf (P) Aantal (Q) Kosten (P×Q) Artikel 21 Cbw en de artikelen 6 tot en met 17 en 19 Cbb (zorgplicht) 2.020 € 53,- € 29.476,- € 136.536,- 7.550 € 1.030.847.000,- Artikel 24 Cbw en de artikelen 22 en 23 Cbb (governance) € 2.151 € 5.599,- € 7.750,- 7.550 € 58.513.000,- 4 Hoewel middelgrote ondernemingen verwachten minder tijd per bestuurder kwijt te zijn aan de training dan grote ondernemingen (ca. 5 uur om ca. 9 uur), geven zij aan gemiddeld meer bestuurders de training te zullen laten volgen dan grote ondernemingen (5,6 personen om 4,4 personen). 5 De resultaten zijn gewogen gemiddelden voor middelgrote- en grote ondernemingen.

Artikel 44 Cbw en artikel 28 | 4 | € 54,- | - | € 216,- | 7.550 | € 1.631.000,- Cbb (registratie in het nationaal register en informatieverstrekking ten behoeve van die registratie) Totaal | € 1.090.991.000,- Gemiddeld per bedrijf | € 145.000,- Tabel 2: structurele regeldrukgevolgen Cbw en Cbb6 Artikelen | Tijdbeste- | Uurtarief | Out-of- | Totale | Aantal | Kosten (P×Q) ding in | (€) | pocket- | kosten per | (Q) uren | kosten | bedrijf (P) (€) Artikel 21 Cbw en de | 1.758 | € 63,- | € 30.646,- | € 141.400,- | 7.550 | € 1.067.570.000,- artikelen 6 tot en met 17 en 19 Cbb (zorgplicht) Artikel 24 Cbw en de | € 108,- | € 280,- | € 388,- | 7.550 | € 2.926.000,- artikelen 22 en 23 Cbb (governance) Artikel 44 Cbw en artikel 28 | 10 | € 52,- | - | € 520,- | 7.550 | € 906.000,- Cbb (registratie in het nationaal register en informatieverstrekking ten behoeve van die registratie) Totaal | € 1.071.402.000,- Gemiddeld per bedrijf | € 142.000,- 3.4 Panel mkb Inleiding Bij de voorbereiding van het onderhavige besluit is tevens een panel van mkb-ondernemers gevraagd mee te denken over deze regelgeving. Deze ondernemers hebben op basis van hun praktijkervaring aangegeven of de plannen werkbaar zijn, waar eventuele knelpunten zitten en hoe regeldruk voor het mkb zo veel mogelijk beperkt of voorkomen kan worden.

Tijdens een bijeenkomst is gesproken over de deelthema’s waar de meeste regeldruk wordt voorzien, te weten: de zorgplicht, governanceverplichting en registratieplicht. Ondersteuning Met betrekking tot de zorgplicht gaven de panelleden aan dat het vereiste van het nemen van specifieke maatregelen voor de beveiliging van netwerk- en informatiesystemen niet onredelijk is, waarbij het mkb-panel zich wel af vroeg hoe haalbaar en betaalbaar dit voor het mkb is. Daarbij pleitten de deelnemers voor zo veel mogelijk duidelijkheid over het toepassingsbereik en over de betekenis van specifieke begrippen. Voor mkb’ers is het bijvoorbeeld lastig in te schatten wat de risico’s in hun netwerk- en informatiesystemen zijn. Daarom zouden mkb’ers graag zien dat de overheid hen ondersteuning biedt door bijvoorbeeld handreikingen, tools en sjablonen aan te bieden, zodat zij een beter idee krijgen wat er van hen wordt verwacht. In reactie hierop wordt erop gewezen dat organisaties bij het NCSC en het Digital Trust Center (hierna: DTC) terecht kunnen voor kennis, informatie en advies op thema’s rondom cyberweerbaarheid. Daarnaast bieden het NCSC en het DTC verschillende handreikingen en tools die organisaties kunnen gebruiken. Het DTC heeft op grond van de Wet bevordering digitale weerbaarheid bedrijven de wettelijke taak om (onder andere) het mkb hierin specifiek te voorzien.

Met de komst van de Cbw worden deze vormen van ondersteuning verder uitgebreid. Toezicht De NIS2-richtlijn en de Cbw hanteren het principe van een risicogebaseerde benadering, waardoor organisaties discretionaire ruimte hebben voor de specifieke invulling van de eisen die de Cbw en het Cbb stellen. De panelleden pleitten ervoor dit principe van risicobeheersing ook te hanteren bij het toezicht en de handhaving van de Cbw en het Cbb. Het toezicht onder de Cbw is risicogestuurd sectoraal en wordt gedaan door een onafhankelijke toezichthouder. Op welke wijze essentiële entiteiten en belangrijke entiteiten invulling moeten geven aan de maatregelen in het kader van de zorgplicht is afhankelijk van de risicoanalyse, waaruit voortvloeit welke invulling passend en evenredig is voor de betreffende entiteit. De toezichthouder zal per entiteit beoordelen of de specifieke invulling van de maatregelen voldoen aan de zorgplicht, bedoeld in artikel 21 Cbw. Toezichthoudende instanties werken op grond van artikel 55 Cbw zoveel mogelijk samen bij het (onderling gecoördineerd) toezicht houden op 6 De resultaten zijn gewogen gemiddelden voor middelgrote- en grote ondernemingen. essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen, dit is ook gericht op het beperken van de regeldruk bij entiteiten.

In het bijzonder in gevallen waarbij meerdere toezichthoudende instanties onder de Cbw toezicht houden op eenzelfde entiteit is het vanuit het belang van doeltreffend en doelmatig toezicht en het beperken van toezichtslasten gewezen om deze informatie uit te wisselen. Focus op administratie Verder geeft het mkb-panel aan dat voorkomen dient te worden dat de focus van de verplichtingen op de administratie komt te liggen. Dit gaat ten koste van de inspanning en de middelen die ondernemers kunnen aanwenden voor het daadwerkelijk nemen van maatregelen. Mkb’ers zouden graag zien dat hen minder gedetailleerd wordt opgelegd hóe zij bepaalde doelen moeten behalen, en dat in plaats daarvan een algemene inspanningsverplichting geldt. Het is van belang dat de eisen die de Cbw en het Cbb stellen duidelijk, evenredig en proportioneel zijn. De eisen voor bedrijfscontinuïteit en crisisbeheer zijn nu nog (te) breed geformuleerd, aldus het mkb-panel. Gepleit wordt voor het werken met doelvoorschriften, waarbij precieze invulling aan de ondernemers wordt gelaten. Zij roepen op om maatwerk te faciliteren. Daarnaast wordt de suggestie gedaan om de ISO 27001-standaard als kapstok te hanteren, omdat veel mkb’ers al bekend zijn met dit normenkader. De reactie op het voorgaande is als volgt.

Zowel voor de Cbw als voor de uitwerking van de zorgplicht in het Cbb zijn bestaande normenkaders gehanteerd als uitgangspunt, zoals de ISO 27001 en NEN7510. In de memorie van toelichting op de Cbw en nota van toelichting op het Cbb wordt, waar van toepassing, naar bestaande normenkaders verwezen. Ook staat het doel van specifieke eisen in deze nota van toelichting verder uitgewerkt. De Cbw en het Cbb gaan uit van een risicogebaseerde aanpak en schrijven niet voor hoe invulling gegeven met worden aan de maatregelen. Effecten op de markt Tevens signaleren mkb’ers het risico dat bepaalde partijen onevenredig kunnen profiteren van deze nieuwe wetgeving, omdat zij als enigen bepaalde diensten aanbieden die ondernemers nodig hebben om de verplichtingen van de Cbw te kunnen voldoen. De reactie hierop is als volgt. De Cbw en onderliggende regelgeving beoogt geen invloed uit te oefenen op (al bestaande) marktwerkingen. Waar mogelijk bieden overheidsorganisaties zoals het NCSC en het DTC ondersteuning, zoals eerder omschreven. Een organisatie blijft echter zelf verantwoordelijk voor de beveiliging van haar netwerk- en informatiesystemen en voor het besluit of gebruik wordt gemaakt van externe partijen in het implementeren van de Cbw en het Cbb.

Ingroeiperiode Met betrekking tot de inwerkingtreding van de Cbw en onderliggende regelgeving wordt de suggestie gedaan een ingroeiperiode te hanteren, zodat mkb-ondernemers zich adequaat kunnen voorbereiden. Dit heeft ook te maken met onzekerheid over de datum van inwerkingtreding en onduidelijkheid over de vraag welke mkb-ondernemers nu precies onder de reikwijdte van de Cbw zullen vallen. De reactie op het voorgaande is als volgt. Over de inwerkingtreding van de Cbw en onderliggende regelgeving zal tijdig worden gecommuniceerd. Hierbij wordt opgemerkt dat organisaties al meermaals via verschillende kanalen zijn opgeroepen om de inwerkingtreding van de Cbw en onderliggende regelgeving niet af te wachten, maar om alvast aan de slag te gaan ter voorbereiding op de komst van die wet- en regelgeving. Daarbij kan gebruik worden gemaakt van de eerder omschreven ondersteuning die al wordt geboden. Voor de reikwijdte van de Cbw kunnen organisaties terecht op verschillende websites van de rijksoverheid, waar onder andere een zelfevaluatietool beschikbaar is. Deze tool kan helpen bij het bepalen of een organisatie onder de Cbw valt. Iedere organisatie is hier zelf verantwoordelijk voor. Toeleveranciers De panelleden signaleren dat de kleinere toeleveranciers van hun ondernemingen moeilijk aan de eisen met betrekking tot de beveiliging van de toeleveringsketen zullen kunnen voldoen.

Grotere bedrijven hebben wellicht de mogelijkheid om hun toeleveranciers te helpen, maar voor het mkb is dat niet altijd haalbaar. Ook hier wordt gepleit voor een risicogebaseerde benadering, zodat mkb’ers zelf kunnen inschatten welke van hun toeleveranciers een mogelijk risico voor de beveiliging van hun netwerk- en informatiesystemen vormen. Daarnaast voorzien panelleden een risico in de slagkracht die zij hebben tegenover grote(re) bedrijven in hun toeleveringsketen. De reactie op het voorgaande is als volgt. De artikelen uit de Cbw en het Cbb die zien op de toeleveringsketen zijn alleen van toepassing op de leveranciers die van invloed zijn op de netwerk- en informatiesystemen van een organisatie. Uit de risicoanalyse van de organisatie vloeit voort welke maatregelen voor de toeleveringsketen genomen moeten worden. Governance De gestelde eisen op het gebied van governance van de Cbw en het Cbb zijn behoorlijk uitgebreid, zo merken de deelnemers van het mkb-panel op. De eis dat een trainer een onafhankelijke partij, dat wil zeggen een externe partij, moet zijn wordt voor het mkb als belastend ervaren. De deelnemers aan het mkb-panel begrijpen dat het bestuur een zeker begrip van cyberbeveiliging moet hebben, maar geven aan dat ervoor gewaakt moet worden dat het middel het doel voorbijschiet.

De training is bedoeld dat bestuurders adequate beslissingen kunnen nemen met betrekking tot de beveiliging van de netwerk- en informatiesystemen van hun organisatie, niet dat zij tot in detail kunnen uitleggen hoe een bijvoorbeeld DdoS-aanval werkt. Ook in dit geval pleiten zij voor proportionele en evenredige eisen. Ten aanzien van het voorgaande is de reactie als volgt. De eis van een onafhankelijke trainer is na de internetconsultatie geschrapt. De verplichting van een training voor het bestuur is een (dwingend) vereiste uit de NIS2-richtlijn en kan om die reden niet gewijzigd worden. Registratie De panelleden gaven tot slot aan behoefte te hebben aan meer en betere voorlichting over de registratieplicht. Zo waren niet alle deelnemers op de hoogte van het feit dat entiteiten die onder de reikwijdte van de Cbw vallen, zich dienen te registreren bij het NCSC die namens de Minister van Justitie en Veiligheid het nationale register zal beheren. Met betrekking tot de registratieplicht ziet het mkb-panel voorts graag harmonisatie en afstemming tussen lidstaten. Het is niet werkbaar wanneer sommige mkb’ers zich mogelijk 27 keer moeten registreren. De reactie op het voorgaande is als volgt. Er wordt actief ingezet op communicatiemiddelen die onder andere de boodschap om te registreren met zich meedragen.

Er zal in aanloop naar de inwerkingtreding van de Cbw grootschaliger campagne worden gevoerd met communicatiemiddelen die wederom deze boodschap met zich mee zullen dragen. Voor wat betreft het punt over de harmonisatie en afstemming tussen lidstaten wordt erop gewezen dat de NIS2-richtlijn van elk lidstaat van de Europese Unie vereist te voorzien in de registratieplicht. 4. Adviezen, consultatie en uitvoerings- en handhaafbaarheidstoetsen 4.1 Inleiding Een eerdere versie van dit besluit is voor advies voorgelegd aan de Autoriteit persoonsgegevens (hierna: AP) en het ATR, opengesteld voor consultatie op www.internetconsultatie.nl en voor commentaar toegezonden aan belangenorganisaties en entiteiten. Hieronder volgt een globale bespreking van de adviezen en reacties. 4.2 Advies AP De AP geeft in haar advies aan dat onvoldoende duidelijk is welke persoonsgegevens in het kader van de Cbw verwerkt mogen worden. De AP concludeert dat de te verwerken persoonsgegevens waar mogelijk in de wettekst gespecificeerd dienen te worden, of dat verduidelijking en onderbouwing in de toelichting nodig is. De reactie op dit punt is als volgt. De gevraagde specificering is niet mogelijk. Voor een CSIRT is het bijvoorbeeld niet mogelijk om van tevoren te zien welke persoonsgegevens zich bevinden in dreigings- en incidentinformatie. Daardoor is het niet mogelijk dit vooraf te identificeren.

Door dit wel te specificeren kan dit een belemmering vormen voor de wettelijke taakuitvoering van een CSIRT. Voorts wijst de AP in haar advies op artikel 30, tweede lid, Cbb en hetgeen daarover in de nota van toelichting is aangegeven. Volgens de AP wordt in de nota van toelichting aangegeven dat de verwachting is dat het nationaal register steeds aangepast of bijgewerkt wordt zodat deze gegevens in de praktijk oneindig bewaard worden. De maximale bewaartermijn van 60 maanden begint voor veel van deze persoonsgegevens steeds opnieuw te lopen, waardoor de termijn geen effectieve waarborg meer is, aldus de AP. Naar aanleiding van dit advies is in artikel 30, tweede lid, Cbb “na de laatste wijziging van de betreffende persoonsgegevens” vervangen door “na de laatste bevestiging van de juistheid van de betreffende persoonsgegevens”. Hierop is ook de artikelsgewijze toelichting bij de bepaling aangepast. 4.3 Advies ATR Nut en noodzaak Het ATR adviseert om het nut en de noodzaak van het wetsvoorstel Cbw in de memorie van toelichting beter te onderbouwen, door te verduidelijken op welke onderdelen de bestaande wetgeving tekortschiet. In reactie op dit advies wordt verwezen naar hoofdstuk 2.2 van de memorie van toelichting op de Cbw.

Hierin is reeds toegelicht dat de NIS2-richtlijn onder meer verplichtingen bevat waarvan het wenselijk is dat deze door de entiteiten uit de verschillende sectoren van de NIS2-richtlijn uniform worden toegepast. Bovendien bevat de NIS2-richtlijn onderwerpen waarvan de regeling per definitie alleen centraal kan worden geregeld (bijvoorbeeld het beheer van een nationaal register van essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen). Minder belastende alternatieven Het ATR stelt dat zoveel mogelijk gekozen moet worden voor de minst belastende invulling van verplichtingen uit de NIS2-richtlijn (en van de implementatiewetgeving als gevolg daarvan). Daarbij geeft het ATR aan dat toegelicht moet worden welke alternatieven voor nationale koppen zijn bezien en toe te lichten waarom niet is gekozen voor die (minder belastende) alternatieven. De reactie hierop is als volgt. In het Cbb zijn er geen nationale koppen. Wel is in het Cbb de zorgplicht uit de Cbw nader ingevuld. Ten aanzien van het punt over minder belastende alternatieven wordt opgemerkt dat bij de invulling van de zorgplicht uit de Cbw in het Cbb telkens is gekozen voor de invulling die entiteiten duidelijkheid geeft en daarmee dus ook bijdraagt aan de rechtszekerheid voor entiteiten. De gekozen invulling zorgt in zekere zin voor een regeldrukbeperking voor de entiteit.

Daarnaast adviseert het ATR om aan te sluiten bij bestaande kaders. Daarbij refereert het ATR aan een onderdeel van de regeldrukparagraaf waarin mkb’ers bestaande normenkaders hebben aangehaald voor minder belastende regeldruk. De reactie hierop is als volgt. Zowel voor de Cbw als voor de uitwerking van de zorgplicht in het Cbb zijn bestaande normenkaders gehanteerd als uitgangspunt, zoals de ISO 27001 en NEN7510. Hierbij is gecontroleerd of de Cbw en het Cbb deze normenkaders niet doorkruist. In de memorie van toelichting op de Cbw en de nota van toelichting op het Cbb wordt, waar van toepassing, naar bestaande normenkaders verwezen. Eén verplicht normenkader, zoals het ATR adviseert, levert niet noodzakelijkerwijs lastenvermindering op. Entiteiten houden met de Cbw en het Cbb de ruimte om hun bestaande normenkader te blijven hanteren, waarbij ze wel moeten zorgen dat de maatregelen uit het Cbb geborgd zijn. Mkb Het ATR heeft bij het wetsvoorstel Cbw geadviseerd om een mkb-toets uit te laten voeren voor de lagere regelgeving waarmee de verplichtingen uit de Cbw nader worden uitgewerkt. Aansluitend adviseert het ATR om de werkbaarheid van het Cbb te onderzoeken en consequent toe te lichten hoe met de zorgen en kritiek van de relevante entiteiten is omgegaan. Conform het advies van het ATR is een mkb-toets uitgevoerd op het Cbb.

Hiervoor wordt verwezen naar hoofdstuk 3, waarin de belangrijkste uitkomsten worden omschreven, evenals hoe is omgegaan met de door entiteiten aangehaalde aandachtspunten. Het ATR vraagt of aan mkb’ers dezelfde eisen moeten worden gesteld als aan grotere entiteiten. De reactie hierop is als volgt. Voor differentiatie tussen de verplichtingen die gelden voor essentiële entiteiten en die gelden voor belangrijke entiteiten biedt de NIS2-richtlijn geen ruimte, anders dan de reeds opgenomen differentiatie in het toezichtregime. Ten aanzien van het mkb wordt tot slot opgemerkt dat in het kader van de Cbw en het Cbb gericht aanvullende hulpmiddelen worden geboden aan het mkb, om de werkbaarheid voor het mkb te vergroten. Er zullen onder meer handreikingen worden gepubliceerd die als hulpmiddel kunnen worden gebruikt voor het implementeren van de verschillende vereisten die de Cbw en het Cbb bevatten. Ook wordt in deze handreiking handelingsperspectief geboden aan entiteiten die onder meerdere sectoren vallen. Regeldruk Het ATR heeft bij het wetsvoorstel Cbw geadviseerd om meer inzicht te geven in de regeldrukgevolgen van het Cbb. Omdat het Cbb met name regels bevat ter uitwerking van de zorgplicht, de nadruk van deze regeldrukgevolgen voornamelijk op het voldoen aan de zorgplicht.

Conform het advies van het ATR is een regeldrukonderzoek uitgevoerd met betrekking tot het Cbb door een onafhankelijk onderzoeksbureau. Hiervoor wordt verwezen naar hoofdstuk 3, waarin de belangrijkste uitkomsten worden omschreven en hoe hiermee om is en wordt gegaan. De berekening van de regeldrukgevolgen is conform de Rijksbrede methodiek uitgevoerd. Het ATR stelt dat een onderbouwing ontbreekt van de berekening van sommige onderdelen van de regeldrukkosten. Naar aanleiding van deze observatie van het ATR zijn waar nodig de bevindingen in hoofdstuk 3 aangevuld, mede op basis van een uitbreiding van de mkb-toets. Het ATR signaleert dat de gevolgen voor de toeleveringsketen niet in de regelruktoets zijn meegenomen. In reactie daarop is het van belang om hierbij te benadrukken dat het wat de Cbw en het Cbb betreft gaat om leveranciers die relevant zijn voor de beveiliging van de netwerk- en informatiesystemen van essentiële entiteiten en belangrijke entiteiten en waarvoor maatregelen moeten worden genomen vanuit de risicoanalyse van de entiteit zelf. Daardoor is de inschatting dat op dit punt de Cbw en het Cbb geen hogere regeldruk veroorzaken.

4.4 Toepassingsbereik In meerdere (internet)consultatiereacties zijn vragen gesteld over het toepassingsbereik van het Cbb, geregeld in artikel 4 Cbb, met name als het gaat om entiteiten die zowel onder het Cbb als de uitvoeringsverordening vallen. De artikelsgewijze toelichting op artikel 4 Cbb is in verband hiermee verduidelijkt. 4.5 CSIRT In meerdere (internet)consultatiereacties is gevraagd naar de samenhang van de Cbw, het Cbb en het rapport over het herinrichten van het CSIRT-stelsel.7 Dit zal verder worden uitgewerkt in beleid. Hierbij is ook aandacht voor de informatie vanuit het CSIRT-stelsel ten behoeve van het Cyberweerbaarheidsnetwerk zoals toegelicht in de Toekomstvisie van 23 mei 2024. Ook zal nader worden ingegaan op de invulling van taken door CSIRT’s, zoals bij het leveren van bijstand. Een aantal partijen, waaronder het Verbond van Nederlandse Ondernemingen – Nederlands Christelijk Werkgeversverbond (hierna: VNO-NCW) en Cyberveilig Nederland, vragen in de consultatie naar de bijstand die een entiteit van het CSIRT kan verwachten. De toelichting hierop is als volgt. Het CSIRT zal geen taken en verantwoordelijkheden van essentiële entiteiten en belangrijke entiteiten overnemen. De bijstand door een CSIRT laat dus de eigen verantwoordelijkheid voor het naleven van de verplichtingen die voortvloeien uit de Cbw en het Cbb onverlet.

De door het CSIRT geleverde bijstand zal worden uitgewerkt in beleid. 4.6 Zorgplicht In een aantal consultatiereacties, waaronder die van FME, VNO-NCW, Pasquil, Energie Nederland en de Nederlandse Vereniging van Ziekenhuizen, wordt opgemerkt dat duidelijker naar voren moet komen dat in het kader van de Cbw en het Cbb er sprake is van een risk-based aanpak in plaats van een rule-based aanpak. Naar aanleiding van deze reacties is deze nota van toelichting op meerdere plekken aangepast om duidelijk te maken dat de invulling van de te nemen maatregelen afhankelijk is van de uitkomsten van de risicoanalyse. In diverse artikelen in het Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten bepaald beleid moeten hebben vastgesteld. Hiermee kunnen entiteiten aantonen dat zij hebben nagedacht over de mogelijke risico’s. Er wordt niet voorgeschreven wat de exacte omvang en inhoud van dit beleid moet zijn. Omni-U Services B.V. en Netbeheer Nederland hebben in hun consultatiereacties aangegeven dat processen en procedures geen onderdeel zijn van het beleid, maar aparte documenten die uitvoering geven aan het beleid. Hierop is het Cbb en de nota van toelichting op verschillende punten aangepast.

In een aantal consultatiereacties, waaronder die van FERM en de koninklijke Vereniging van de Nederlandse Chemische Industrie (hierna: VNCI), is aangegeven dat het scheiden van conflicterende rollen voor het mkb niet altijd mogelijk is en risicogebaseerd moet zijn. Naar aanleiding van dit commentaar is artikel 6, tweede lid, Cbb aangepast. Meerdere partijen vragen in de consultatie wat er met termen als “periodiek” en “tijdig” wordt bedoeld. De reactie hierop is als volgt. Afhankelijk van de geïdentificeerde risico’s zal een entiteit zelf moeten bepalen en onderbouwen welke periode passend is en wat tijdig is in de context van die entiteit. Meerdere partijen hebben in de consultatie commentaar gegeven op artikel 9 Cbb. Zo hebben Omni-U Services B.V. en MSP ISAC aangegeven dat niet voor ieder incident een bedrijfscontinuïteitsplan nodig is. Daarnaast wordt aangegeven dat een noodvoorzieningenplan een heel ander plan is. Sunbites Cybersecurity geeft aan dat er geen apart plan hoeft te zijn voor de Cbw, maar dat dit geïntegreerd kan worden in bestaande plannen. Daarnaast geeft VNO-NCW aan 7 CSIRT-stelsel - Een beleidskader voor het herinrichten van het stelsel met een nationale en sectorale CSIRT's in Nederland, Petra Oldengarm, 2023. dat ook hier een risicogebaseerde aanpak nodig is. Een aantal andere partijen vragen aandacht voor de OT-omgeving in verband met back-ups.

Verder vraag Brainport om verduidelijking over hoe er gecommuniceerd kan worden met het CSIRT. In reactie hierop wordt toegelicht dat dit zal gaan via het meld- en registratieportaal waar entiteiten zich kunnen registeren en incidenten en de voortgang daarvan kunnen melden. Op basis van deze commentaren is artikel 9 Cbb aangepast, evenals de artikelsgewijze toelichting op dat artikel. In een aantal consultatiereacties, waaronder die van VNO-NCW, Energie Nederland en Cyberveilig Nederland, wordt gevraagd wat bedoeld wordt met de term “waar mogelijk” in artikel 10, eerste lid, Cbb. Naar aanleiding hiervan is artikel 10 Cbb aangepast. Ook is de passage in dit artikel over het beëindigen van overeenkomsten aangepast. In de consultatie geven VNO-NCW en FERM aan dat zij een toelichting wensen over de relatie tussen het Cbb en de zogeheten Verordening cyberweerbaarheid8 (Cyber Resilience Act). Naar aanleiding van deze vraag wordt het volgende toegelicht. De Cyber Resilience Act is toekomstige wet- en regelgeving die de cyberbeveiliging van producten met een digitaal component verbetert. Dit ontslaat entiteiten er niet van zelf vast te stellen of het gebruik van dergelijke producten en diensten de beveiliging van hun netwerk- en informatiesystemen verhoogt of verlaagt.

Diverse partijen, waaronder VNO-NCW en Energie Nederland, geven aan dat de term “opleiding” in artikel 12, tweede lid, Cbb te ver gaat en hier de term “training” moet worden gehanteerd. De reactie hierop is als volgt. De term “opleiding” komt uit de NIS2-richtlijn en is ter implementatie daarvan ook in de Cbw gehanteerd. Door verschillende partijen is in de consultatie aangegeven dat artikel 15 Cbb niet juist is vanwege de term “authenticaties”. Naar aanleiding van deze commentaren is artikel 15 Cbb aangepast. Diverse partijen, waaronder Nederlandse Federatie van Universitair Medische Centra (NFU), VNCI, NVZ en Brainport, hebben vragen gesteld over de uitleg van artikel 17 Cbb en dan met name over op welke attenderingen entiteiten nu wel en niet moet reageren. Hierop is de artikelsgewijze toelichting op artikel 17 Cbb verduidelijkt. 4.7 Training Uit de consultatie volgt dat meerdere partijen, waaronder de G4, kritisch zijn over artikel 22 Cbb, over de eisen die worden gesteld aan de trainer. Er wordt met name aangegeven dat deze bepaling verder gaat dan de NIS2-richtlijn, onder meer ten aanzien van de onafhankelijkheid van de trainer. Dit artikel is mede vanwege deze commentaren heroverwogen en geschrapt. Ook waren er kritische reacties op de eisen aan het certificaat, met name ten aanzien van het vereiste over het aantal uren dat de training is gevolgd.

Hierover is onder meer aangegeven dat het aantal uur niets zegt over de kwaliteit van de training. Naar aanleiding van deze reacties is in artikel 23, eerste lid, Cbb het vereiste over het aantal uren geschrapt. Enkele consultatiereacties gingen ook in op het stellen van een opleidingsvereiste aan de bestuurder van een entiteit. De toelichting hierop is als volgt. Dit is een vereiste uit de NIS2- richtlijn. In dit verband wordt overigens benadrukt dat het uitdrukkelijk geen opleiding betreft waarin van de bestuurder wordt verwacht technische kennis te verkrijgen en netwerk- en informatiesystemen te kunnen uitleggen. Wel wordt van de bestuurder op strategisch niveau kennis verwacht op de genoemde onderwerpen, zodat de bestuurder in staat is de maatregelen die de entiteit moet nemen in het kader van de zorgplicht te beoordelen en de risico’s te (laten) beheersen. Hiervoor is een bepaalde basiskennis vereist. 4.8 Meldplicht In enkele consultatiereacties, waaronder die van NLdigital, Energie Nederland, de N.V. Nederlandse Spoorwegen en Cyberveilig Nederland, wordt aandacht gevraagd voor de meld- en registratieplicht van groepen van entiteiten. De reactie hierop is als volgt.

Op dit moment wordt gewerkt aan een functionaliteit in het meld- en registratieportaal waarmee groepen van entiteiten meerdere 8 Verordening (EU) 2024/2847 van het Europees Parlement en de Raad van 23 oktober 2024 betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale elementen en tot wijziging van Verordeningen (EU) nr. 168/2013 en (EU) 2019/1020 en Richtlijn (EU) 2020/1828 (Verordening cyberweerbaarheid) (PbEU 2024/2847). entiteiten die tot een groep behoren, gebundeld kunnen registreren en meldingen kunnen doen. Entiteiten die zowel een essentiële entiteit als belangrijke entiteit zijn onder verschillende sectoren, moeten zich registreren als essentiële entiteit. In de consultatie is door een aantal partijen, waaronder Brainport, gevraagd wat wordt bedoeld met soort entiteit. De toelichting hierop is als volgt. De Cbw kent een onderscheid tussen sectoren en indien van toepassing subsectoren en soorten entiteiten. Dit onderscheid is te vinden in bijlage 1 en 2 van de Cbw. Door de Vereniging van Nederlandse Gemeenten (VNG) en het Interprovinciaal Overleg (IPO) is gevraagd om twee jaar na de invoering van de Cbw de inhoud van de meldplicht te evalueren. De reactie hierop is als volgt. De termijn van vier jaar voor het evalueren van de drempelwaarden in het kader van de meldplicht betreft een uiterlijke termijn; een eerdere evaluatie is ook mogelijk.

Het is de verwachting dat de vakministers (ruim) voor die uiterlijke termijn zullen overgaan op het evalueren van de drempelwaarden. Het moment waarop zij de drempelwaarden zullen evalueren wordt uitgewerkt in beleid en zal vanwege de in artikel 24, derde lid, Cbb opgenomen termijn in ieder geval binnen vier jaar na de vaststelling van de drempelwaarden zijn. 4.9 Overige opmerkingen Een aantal partijen, waaronder Energie Nederland, Forum Standaardisatie en Netbeheer Nederland, vragen wat er onder domeinnamen wordt verstaan. Onder domeinnamen wordt verstaan: de publiek beschikbare domeinen die de entiteit in eigendom heeft en niet de interne domeinen of de domeinnamen die zij namens derden beheert. De data vanuit Stichting Internet Domeinregistratie Nederland (SIDN) evenals de gegevens uit het Register Internetdomeinen Overheid zijn een goed startpunt, maar niet volledig. De artikelsgewijze toelichting op artikel 28 Cbb is hierop aangepast. De G4 geeft aan dat een bewaartermijn van 60 maanden, zeker voor loggegevens, lang is en de nodige kosten met zich meebrengt. De reactie hierop is als volgt. De in artikel 30, eerste en tweede lid, Cbb opgenomen maximale bewaartermijn van 60 maanden geldt voor de persoonsgegevens die door het CSIRT, de bevoegde autoriteit, het centrale contactpunt en de Minister van Justitie en Veiligheid bij of krachtens de Cbw worden verwerkt.

In enkele consultatiereacties is gewezen op fouten in het conceptbesluit op het gebied van de interpunctie, spelling, grammatica en opmaak en verwijzingsfouten. Deze fouten zijn hersteld. 4.10 Uitvoerings- en handhaafbaarheidstoetsen De betrokken vakdepartementen hebben uitvoerings- en handhaafbaarheidstoetsen laten uitvoeren op een concept van het Cbb en hebben deze als volgt beoordeeld. 4.10.1 Ministerie van Binnenlandse Zaken en Koninkrijkrelaties Op verzoek van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties heeft de RDI een uitvoerings- en handhavingstoets (UHT) uitgevoerd op het concept van het Cbb en de bijbehorende nota van toelichting. De RDI acht het concept van het Cbb uitvoerbaar, handhaafbaar en fraudebestendig, mits verschillende aandachtspunten nader worden verduidelijkt dan wel aangepast in het concept. Deze aandachtspunten betreffen niet specifiek de sector overheid, maar zijn algemeen van aard. In het kader van artikel 2 Financiële-verhoudingswet is in de memorie van toelichting op de Cbw aangegeven dat de gevolgen van de Cbw voornamelijk voort zullen vloeien uit de lagere regelgeving. Voor de overheid gelden reeds sinds 1 december 2008 de ISO 27001- en ISO 27002- standaarden, aangezien zij toen zijn opgenomen in de pas-toe-of-leg-uit-lijst van het Bureau Forum Standaardisatie.

Voorts vormen deze standaarden de basis voor de bij de centrale en decentrale overheden verplichte normatiek van de Baseline Informatiebeveiliging Overheid (BIO). De verplichtingen ten aanzien van de zorgplicht in het Cbb gaan in grote lijnen niet verder dan reeds bestaande verplichtingen van genoemde ISO-standaarden en de BIO. Verder bevat het Cbb enkele eisen ten aanzien van de opleiding van de bestuurder. De inschatting is dat deze opleiding geen merkbaar effect zal hebben op de begroting van de overheidsentiteiten en zal opgaan in reguliere scholings- en opleidingsinspanningen. In de ministeriële regeling onder de Cbw voor de sector overheid zullen de specifieke bepalingen uit de BIO worden opgenomen. De impact van de Cbw op overheidsorganisaties zal met name voortvloeien uit deze ministeriële regeling. 4.10.2 Ministerie van Economische Zaken en Ministerie van Klimaat en Groene Groei De RDI acht het concept-Cbb en de bijbehorende ministeriële regeling uitvoerbaar, handhaafbaar en fraudebestendig, mits op enkele onderdelen aanvullende toelichting wordt gegeven. Het gaat daarbij onder meer om de verhouding tussen de open norm van de zorgplicht in de Cbw en de in het Cbb uitgewerkte maatregelen.

In de toelichting is verduidelijkt dat deze maatregelen het minimumniveau vormen en passend en evenredig toegepast moeten worden, afhankelijk van de risicoanalyse van de betreffende entiteit. Hiermee is geborgd dat de open norm uit de Cbw leidend blijft, met ruimte voor sectorspecifieke toepassing. Daarnaast is in de toelichting per maatregel het doel en beoogde resultaat toegelicht, zodat voor entiteiten en toezichthouders duidelijk is wat een adequate invulling inhoudt. Ook zijn begrippen als “crisis” en “cryptografie” nader toegelicht, net als het gebruik van termen als “waar passend” en “waar mogelijk”, om interpretatieverschillen bij de uitvoering te voorkomen. Verder is op verzoek van de RDI de samenhang tussen de verschillende beleidsdocumenten binnen hoofdstuk 4 van het Cbb verduidelijkt, zoals tussen het incidentenplan en het bedrijfscontinuïteitsplan, zodat deze in de praktijk integraal kunnen worden toegepast. Waar signalen van overlap zijn benoemd, zoals bij artikelen over de toeleveringsketen, is de reikwijdte nader afgebakend in de artikelsgewijze toelichting. Ook wijst de RDI op het belang van integraliteit tussen de Cbw, het Cbb en andere relevante wet- en regelgeving, zowel nationaal als Europees. Dit punt wordt herkend. Daarbij wordt rekening gehouden met de uitvoerbaarheid voor entiteiten en uitvoeringsorganisaties.

Waar volledige afstemming niet mogelijk is – bijvoorbeeld als gevolg van vastgestelde Europese verplichtingen – wordt bij de inrichting van processen gezocht naar zoveel mogelijk coördinatie en centralisatie, met als doel de uitvoeringslasten en regeldruk voor betrokken partijen te beperken. Tot slot zijn naar aanleiding van de uitvoerings- en handhavingstoets van de RDI nog technische aanpassingen in de telecommunicatiewetgeving (het Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten en het Besluit veiligheid en integriteit telecommunicatie) doorgevoerd. 4.10.3 Ministerie van Financiën Gelijktijdig met de NIS2-richtlijn is de zogeheten Digital Operational Resilience Act (hierna: DORA) vastgesteld.9 Deze verordening is van toepassing op de financiële sector. De Nederlandsche Bank (DNB) en Autoriteit Financiële Markten (AFM) zijn verantwoordelijk voor het toezicht uit hoofde van DORA.

De bepalingen van de DORA over risicobeheer op het gebied van informatie- en communicatietechnologie (ICT), het beheer van ICT-gerelateerde incidenten en met name de rapportage van grote ICT-gerelateerde incidenten, alsmede die over digitale operationele weerbaarheidstests, informatie-uitwisselingsregelingen en risico van derden op het gebied van ICT, zijn van toepassing op een groot gedeelte van de financiële sector in plaats van de bepalingen uit de NIS2-richtlijn. In artikel 1, tweede lid, DORA is namelijk expliciet bepaald dat de verordening voor de toepassing van artikel 4 NIS2-richtlijn moet worden beschouwd als een sectorspecifieke rechtshandeling. Dit betekent dat de bepalingen uit de Cbw over de zorgplicht, governance en de meldplicht niet van toepassing zijn op financiële entiteiten die onder de verordening vallen, voor zover zij niet tevens kwalificeren als ander soort entiteit onder de Cbw. Dit geldt vanzelfsprekend ook voor de uitwerking van de hiervoor genoemde verplichtingen in het Cbb. Wel regelt het Cbb de dubbele meldplicht voor banken, handelsplatformen, centrale effectenbewaarinstellingen en centrale tegenpartijen. Deze instellingen melden bij zowel de toezichthouder als het CSIRT. Ook hierop houdt de relevante toezichthouder toezicht.

9 Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333). De verplichting uit artikel 44 Cbw (over het verstrekken van informatie ten behoeve van het nationale register) is wel van toepassing, voor zover deze entiteiten onder het toepassingsbereik van de Cbw vallen. De verplichtingen uit de artikelen 42 (over de aanwijzing van een vertegenwoordiger), 47 (over het verstrekken van informatie ten behoeve van het Enisa-register) en 49 (over een database met domeinnaamregistratiegegevens) Cbw zijn alleen van toepassing voor zover de betrokken financiële entiteit kwalificeert als één van de in die artikelen genoemde entiteiten en onder het toepassingsbereik van de Cbw valt. Onder de Cbw is de Minister van Financiën aangewezen als bevoegde autoriteit voor entiteiten in de sectoren bankwezen en infrastructuur voor de financiële markt. Het Ministerie van Financiën acht het Cbb, waar het de taak als bevoegde autoriteit ten aanzien van financiële instellingen betreft, uitvoerbaar en handhaafbaar.

4.10.4 Ministerie van Infrastructuur en Waterstaat Door de Inspectie voor Leefomgeving en Transport (hierna: ILT) en de Autoriteit Nucleaire Veiligheid en Stralingsbescherming (hierna: ANVS) is het Cbb beoordeeld op handhaafbaarheid, uitvoerbaarheid en fraudebestendigheid. De ILT oordeelt dat het Cbb op hoofdlijnen handhaafbaar, uitvoerbaar en fraudebestendig is. Daarbij wordt wel aandacht gevraagd voor de consequentie van de overlap tussen sectoren. Daarnaast geeft de ILT aan dat de uitvoerbaarheid samenhangt met de krapte op de arbeidsmarkt voor gekwalificeerde inspecteurs. De ANVS merkt op dat nog enkele relevante aspecten onduidelijk zijn, zoals de wijze waarop de (nucleaire) sector zal worden aangewezen. De ANVS geeft aan nog niet te beschikken over bestuurlijke boetes als handhavingsinstrument. Daarnaast vraagt de ANVS aandacht voor het belang dat haar huidige onafhankelijkheid in stand blijft, ook als zij er op grond van de Wwke toezichthoudende taken zou bij krijgen. Het Ministerie van Infrastructuur en Waterstaat houdt bij de verdere uitwerking van de ministeriële regeling nadrukkelijk rekening met deze punten. 4.10.5 Ministerie van Landbouw, Visserij, Voedselzekerheid en Natuur Een concept van het Cbb is voorgelegd aan de Nederlandse Voedsel- en Warenautoriteit (hierna: NVWA).

Volgens de NVWA is het Cbb in potentie handhaafbaar, uitvoerbaar en fraudebestendig mits normen duidelijker zijn beschreven en de NVWA de juiste technische expertise in huis kan halen. Daarnaast moet vooraf duidelijk zijn welke bedrijven in Nederland onder het Cbb zullen vallen en zullen deze bedrijven geïnformeerd moeten worden over het Cbb. Ook zal samenwerking en informatie-uitwisseling tussen verschillende toezichthouders en de opdrachtgevers van de NVWA ingericht moeten zijn. 4.10.6 Ministerie van Volksgezondheid, Welzijn en Sport Een concept van het Cbb is voorgelegd aan de Inspectie Gezondheidszorg en Jeugd (hierna: IGJ). De IGJ stelt dat het Cbb op enkele punten aanscherping behoeft. Zo ziet de IGJ dat enkele artikelen van het Cbb bepalingen bevatten die (tekstueel en inhoudelijk) afwijken van de normen voor informatiebeveiliging in de zorgsector. Dit zal tot verwarring leiden bij zorgaanbieders die op basis van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) al wettelijk verplicht zijn te voldoen aan de NEN7510. Er ontstaan daarnaast nieuwe Nederlandse regels die afwijken van gangbare internationale normen, voor entiteiten die internationaal werken (zoals fabrikanten van medische hulpmiddelen). Volgens de IGJ leidt dit tot extra regeldruk.

Het Ministerie van Volksgezondheid, Welzijn en Sport zal bij de sectorale invulling van de zorgplicht rekening houden met de door de IGJ genoemde aandachtspunten en waar mogelijk tegemoet komen aan de gangbare normen binnen de zorgsector. Daarnaast verzoekt de IGJ om artikel 25 Cbb uit te breiden door entiteiten te vragen om extra informatie aan te leveren, zodat de significantie van incidenten beter beoordeeld kan worden. Naar aanleiding hiervan is artikel 25 Cbb uitgebreid. 5. Overgangsrecht en inwerkingtreding Het Cbb voorziet niet in overgangsrecht. Met betrekking tot de inwerkingtreding van het Cbb is in artikel 36 Cbb bepaald dat het Cbb in werking treedt op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld. Op grond van dit artikel kan worden gekozen voor een gefaseerde inwerkingtreding. Dit is denkbaar in het geval dat bepaalde onderdelen van het Cbb nog niet in werking kunnen treden, terwijl dat bij andere onderdelen van het Cbb wel het geval is. De verwachting is dat bij de inwerkingtreding van (onderdelen van) het Cbb een uitzondering wordt gemaakt op de vaste verandermomenten en de minimuminvoeringstermijn, omdat het Cbb strekt tot de uitvoering van de Cbw en de Cbw ziet op de implementatie van een bindende EU-rechtshandeling.

ARTIKELSGEWIJZE TOELICHTING Artikel 1 (begripsbepaling) Artikel 1 Cbb bevat de definitie van enkele begrippen uit het Cbb. Zo wordt, daar waar in het Cbb “de wet” wordt genoemd, daaronder verstaan: de Cbw. Het Cbb bevat ook andere begrippen, zoals “risico” en “incident”, die ook voorkomen in de Cbw en al in artikel 1 Cbw zijn gedefinieerd. De in artikel 1 Cbw opgenomen definitie van die begrippen geldt ook als de definitie van diezelfde begrippen in het Cbb. In artikel 1 Cbw is namelijk bepaald dat de daarin opgenomen definities gelden voor de begrippen in de Cbw én in de daarop berustende bepalingen. Bij het Cbb is sprake van dat laatste; de bepalingen uit het Cbb berusten immers op de Cbw. Artikel 2 (aanwijzing CSIRT en coördinator bekendmaking kwetsbaarheden) Eerste lid In artikel 2, eerste lid, Cbb wordt de Minister van Justitie en Veiligheid voor essentiële entiteiten en belangrijke entiteiten aangewezen als het CSIRT. In afwijking daarvan kan op grond van artikel 2, tweede lid, Cbb voor essentiële entiteiten en belangrijke entiteiten uit specifieke sectoren en subsectoren, voor specifieke soorten entiteiten en voor specifieke entiteiten een andere instantie als CSIRT worden aangewezen.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, de Minister van Economische Zaken, de Minister van Financiën, de Minister van Infrastructuur en Waterstaat, de Minister van Klimaat en Groene Groei en de Minister van Landbouw, Visserij, Voedselzekerheid en Natuur hebben in samenspraak met de Minister van Justitie en Veiligheid besloten de CSIRT-taak te beleggen bij de Minister van Justitie en Veiligheid voor de sectoren waar zij politiek verantwoordelijk voor zijn. De taken die de Minister van Justitie en Veiligheid als CSIRT op grond van de Cbw moet verrichten zullen in de praktijk worden uitgevoerd door het NCSC. Voor de aanwijzing van de Minister van Justitie en Veiligheid is, in samenspraak met de andere betrokken departementen, reden gezien vanwege diens coördinerende verantwoordelijkheid voor cybersecurity. Tweede lid Op grond van artikel 2, tweede lid, Cbb kan bij regeling van de betrokken vakminister, na overleg met de Minister van Justitie en Veiligheid, voor entiteiten uit specifieke sectoren en subsectoren, voor specifieke soorten entiteiten en voor specifieke entiteiten een andere instantie dan de Minister van Justitie en Veiligheid als CSIRT worden aangewezen.

De reden daarvoor kan bijvoorbeeld zijn dat een dergelijke andere instantie beschikt over specifieke kennis met betrekking tot de beveiliging van netwerk- en informatiesystemen in een bepaalde sector en daarom meer aangewezen is om de rol van CSIRT ten aanzien van bepaalde essentiële entiteiten of belangrijke entiteiten in die sector te vervullen. Inmiddels is besloten dat voor entiteiten in de zorgsector bij ministeriële regeling de Stichting Z- CERT, dat momenteel ook al als computercrisisteam voor deze sector fungeert, zal worden aangewezen. Ook is reeds besloten dat voor gemeenten bij ministeriële regeling de Informatiebeveiligingsdienst, onderdeel van VNG Realisatie B.V., die thans ook al computercrisisteam voor die entiteiten is, als CSIRT zal worden aangewezen. Voor beide instanties geldt dat hiertoe, naast bijvoorbeeld hun specifieke deskundigheid van cybersecurity in die sectoren, ook is besloten op basis van de vaststelling dat zij voldoen aan de eisen die artikel 11, eerste lid, NIS2-richtlijn aan een CSIRT stelt. Bovendien hebben zij een voldoende mate van volwassenheid. Het voornemen is voorts om voor de waterschappen het CERT Watermanagement (CERT-WM) aan te wijzen als het CSIRT, die nu nog een onderdeel is van de gemeenschappelijke regeling van waterschappen (Het Waterschapshuis).

Met het oog op het voorgaande wordt momenteel interdepartementaal beleid ontwikkeld ten behoeve van onder meer de onderlinge samenwerking tussen CSIRT’s en het bevorderen van uniformiteit in hun taakuitoefening. Derde lid In artikel 2, derde lid, Cbb wordt de Minister van Justitie en Veiligheid aangewezen als de coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden, bedoeld in artikel 17 Cbw. Die rol van coördinator zal in de praktijk worden uitgevoerd door het NCSC. Voor deze aanwijzing is gekozen, niet alleen omdat de Minister van Justitie en Veiligheid zoals hierboven toegelicht onder artikel 2, eerste lid, Cbb voor de meeste essentiële entiteiten en belangrijke entiteiten als CSIRT wordt aangewezen, maar ook omdat het NCSC momenteel in de praktijk namens de Minister van Justitie en Veiligheid reeds een met de aanwijzing in dit artikel vergelijkbare rol vervult. Artikel 3 (eisen aan CSIRT’s) Eerste lid Artikel 3, eerste lid, Cbb behelst de codificatie van artikel 11, eerste lid, NIS2-richtlijn en bevat enkele kleine aanpassingen ten opzichte van de laatstgenoemde bepaling. Die aanpassingen zijn uitsluitend wetgevingstechnisch van aard. Tweede lid Artikel 3, tweede lid, Cbb voorziet in de mogelijkheid van de Minister van Justitie en Veiligheid om na overleg met de betrokken ministers nadere eisen te stellen die gelden voor alle CSIRT’s.

Er kan ten behoeve van het hele CSIRT-stelsel behoefte zijn om met nadere eisen te komen, bijvoorbeeld ten aanzien van het volwassenheidsniveau, de vertrouwelijkheid van communicatie met andere partijen, de beveiliging van netwerk- en informatiesystemen die voor het uitvoeren van de taken worden gebruikt en het eventuele gebruik van vertrouwensfuncties. Derde lid Artikel 3, derde lid, Cbb voorziet daarnaast in de mogelijkheid van de betrokken vakminister om na overleg met de Minister van Justitie en Veiligheid nadere eisen te stellen aan het CSIRT dat hij zelf op grond van artikel 2, tweede lid, Cbb heeft aangewezen. De reden om zulke nadere eisen ten aanzien van een specifiek CSIRT te stellen kan bijvoorbeeld zijn dat een CSIRT geen overheidsorganisatie is en daardoor niet onder bestaande regelgeving valt dat zorgt voor een adequaat instrumentarium om sturing te geven aan het CSIRT. Denk hierbij aan de Comptabiliteitswet ten aanzien van begroting en verantwoording. Ook kan worden gedacht aan eisen over de wijze van het informeren van de vakminister bij incidenten of calamiteiten. Er kan ook worden gedacht aan het ten behoeve van het door die minister vaststellen of het aangewezen CSIRT voldoet aan de gestelde eisen.

Artikel 4 (verhouding tot Uitvoeringsverordening (EU) 2024/2690) In artikel 21, vijfde lid, NIS2-richtlijn is bepaald dat de Europese Commissie uiterlijk op 17 oktober 2024 uitvoeringshandelingen vaststelt met betrekking tot de technische en methodologische vereisten van de maatregelen die een aantal specifiek genoemde entiteiten in het kader van de zorgplicht ten minste moeten nemen. Die vereisten gelden onder meer voor DNS-dienstverleners, aanbieders van cloudcomputingdiensten en aanbieders van vertrouwensdiensten. In artikel 23, elfde lid, NIS2-richtlijn is bepaald dat de Europese Commissie uiterlijk op 17 oktober 2024 uitvoeringshandelingen vaststelt waarin nader wordt gespecificeerd in welke gevallen een incident als significant wordt beschouwd als bedoeld in artikel 23, derde lid, NIS2-richtlijn. Deze regels gelden voor dezelfde entiteiten als de hiervoor genoemde uitvoeringshandelingen over de zorgplicht (waaronder DNS-dienstverleners, aanbieders van cloudcomputingdiensten en aanbieders van vertrouwensdiensten). Ter uitvoering van de artikelen 21, vijfde lid, en 23, elfde lid, NIS2-richtlijn heeft de Europese Commissie de Uitvoeringsverordening (EU) 2024/269010 (hierna: de uitvoeringsverordening) vastgesteld.

De uitvoeringsverordening is op grond van artikel 16 van de uitvoeringsverordening rechtstreeks van toepassing; implementatie in nationale wet- en regelgeving hoeft niet plaats te vinden. Met de uitvoeringsverordening wordt voor de entiteiten waarop deze van toepassing is (waaronder DNS-dienstverleners, aanbieders van cloudcomputingdiensten en aanbieders van vertrouwensdiensten) in direct op hen van toepassing zijnde regelgeving uitwerking gegeven aan de maatregelen die zij in het kader van de zorgplicht moeten nemen en wordt nader gespecificeerd in welke gevallen voor hen een incident als significant wordt beschouwd.

Gelet hierop kunnen de bepalingen in dit besluit, waarin dezelfde onderwerpen worden geregeld, niet van toepassing zijn 10 Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024 tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en nadere specificatie van de gevallen waarin een incident als significant wordt beschouwd met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten (PbEU L 2024/2690). op de entiteiten waarop de uitvoeringsverordening van toepassing is. In artikel 4 Cbb is daarom uitdrukkelijk geregeld dat voor de hierin genoemde essentiële entiteiten en belangrijke entiteiten de artikelen 6 tot en met 17 en 19 Cbb buiten toepassing blijven. Deze artikelen blijven alleen buiten toepassing wanneer een entiteit uitsluitend van een soort is die onder de reikwijdte van de uitvoeringsverordening valt, als bedoeld in artikel 1 uitvoeringsverordening.

Dan gelden de technische en methodologische vereisten van de maatregelen die zij in het kader van de zorgplicht ten minste moeten nemen en de nadere criteria voor het bepalen of er sprake is van een significant incident uit de uitvoeringsverordening. Op basis van de uitvoeringsverordening kunnen meerdere criteria voor het bepalen van een significant incident gelden als een entiteit van meerdere soorten is die binnen de reikwijdte van de uitvoeringsverordening vallen, bijvoorbeeld als aanbieder van een datacentrumdienst en aanbieder van cloudcomputingdiensten. Echter, indien een entiteit zowel van een soort als bedoeld in artikel 1 uitvoeringsverordening als een ander soort als bedoeld in bijlage 1 en 2 van de Cbw is, dan zijn zowel de zorgplicht- en meldplichtverplichtingen uit de uitvoeringsverordening als die bij of krachtens het Cbb van toepassing. Een voorbeeld hiervan is een entiteit die zowel een aanbieder van cloudcomputingdiensten als een aanbieder van internetknooppunten is. Deze entiteit heeft zowel nadere zorg- en meldplichtverplichtingen op grond van de uitvoeringsverordening, namelijk in haar hoedanigheid als aanbieder van cloudcomputerdiensten, als op grond van het Cbb in haar hoedanigheid van internetknooppunt.

Belangrijk is om op te merken dat een entiteit in verschillende sectoren kan vallen en daardoor voor wat betreft de zorgplicht en de meldplicht zowel onder de uitvoeringsverordening, als onder het Cbb kan vallen in welk geval de entiteit aan beide dient te voldoen. Artikel 5 (uitvoering van artikel 21 van de wet) In artikel 5 Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten in elk geval de maatregelen, bedoeld in de artikelen 6 tot en met 19 Cbb, moeten nemen, waarmee zij uitvoering geven aan de zorgplicht uit artikel 21 Cbw. In de genoemde artikelen wordt gesproken over het vaststellen van beleid, processen, procedures en plannen. Processen en procedures werken het beleid uit, dat geldt ook voor plannen. Dit zijn losse maar nauw met elkaar verbonden elementen. Ten aanzien van het vaststellen van beleid wordt het volgende opgemerkt. Door beleid vast te stellen en beleid schriftelijk vast te leggen, kan de entiteit aantonen dat zij over de invulling van de te nemen maatregelen heeft nagedacht en welke invulling van de maatregelen passend en evenredig is. Dit kan in theorie betekenen dat er gezien de risico’s op beperkte wijze invulling wordt gegeven aan de betreffende maatregel. Desalniettemin betekent dit wel dat er, wanneer dit in het Cbb vereist wordt, er altijd beleid dient te zijn.

De vraag op welke wijze invulling moet worden gegeven aan de maatregelen is afhankelijk van de risicoanalyse, bedoeld in artikel 7 Cbb, waaruit voortvloeit welke invulling van de maatregelen passend en evenredig is voor de betreffende entiteit. De uitkomsten van de risicoanalyse en daarmee de invulling van de genomen maatregelen zullen daarom per entiteit verschillen vanwege de specifieke en unieke kenmerken van iedere entiteit. Artikel 6 (beleid over beveiliging van netwerk- en informatiesystemen) In artikel 21, derde lid, onderdeel a, Cbw is bepaald dat essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht beleid moeten hebben over de beveiliging van de netwerk- en informatiesystemen, die zij voor hun werkzaamheden of voor het verlenen van hun diensten gebruiken. Eerste lid In artikel 6, eerste lid, Cbb is opgenomen dat het hiervoor bedoelde beleid schriftelijk moet zijn vastgelegd en aantoonbaar moet worden toegepast. Het beleid formuleert de doelstellingen van de entiteit voor de beveiliging van de netwerk- en informatiesystemen, evenals de aanpak ervan en de organisatie-inrichting met bijhorende rollen, verantwoordelijkheden en bevoegdheden.

Tweede lid In artikel 6, tweede lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten in het kader van de toepassing van dat beleid de rollen, verantwoordelijkheden en bevoegdheden in relatie tot de beveiliging van hun netwerk- en informatiesystemen vaststellen. Hiermee bewerkstelligt de entiteit dat alle rollen, verantwoordelijkheden en bevoegdheden met betrekking tot de beveiliging van haar netwerk- en informatiesystemen kenbaar zijn. Daarnaast worden conflicterende rollen zoveel als mogelijk gescheiden. Hiermee wordt bedoeld dat hierbij het principe van pas toe of leg uit geldt, waarbij de entiteit dient te kunnen onderbouwen waarom een conflicterende rol in een gegeven geval niet gescheiden kon worden en welke compenserende maatregelen getroffen zijn om bijkomende risico’s te beheersen, zoals logging van handelingen en managementgoedkeuring. Derde lid In artikel 6, derde lid, Cbb is geregeld dat essentiële entiteiten en belangrijke entiteiten van hun personeel en andere binnen de entiteit werkzame personen moeten verlangen dat zij de beveiliging van hun netwerk- en informatiesystemen toepassen overeenkomstig het hiervoor bedoelde beleid. Het is aan de entiteit om bij haar personeel en andere binnen de entiteit werkzame personen af te dwingen dat het beleid in de praktijk ook daadwerkelijk wordt toegepast en om daarop toe te zien.

Vierde lid In artikel 6, vierde lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten voor de beveiliging van hun netwerk- en informatiesystemen een managementsystematiek hanteren. Het is aan de entiteit zelf om te bepalen welke managementsystematiek voor hen passend is. Deze systematiek zorgt ervoor dat informatie over onder andere de beveiliging van netwerk- en informatiesystemen op basis van een Plan-Do-Check-Act-cyclus (PDCA) wordt vastgelegd en inzichtelijk, begrijpelijk en toegankelijk is. Daarmee kunnen afgewogen besluiten worden genomen over de beveiliging van de netwerk- en informatiesystemen en is het aantoonbaar welke maatregelen er zijn genomen of welk beleid is vastgesteld. Voorbeelden hiervan zijn een managementsysteem voor informatiebeveiliging (Information Security Management Systeem, ISMS) zoals de ISO 27000-reeks of het Cyber Security Management System (CSMS) op basis van IEC62443. Artikel 7 (beleid over risicomanagement) In artikel 21, derde lid, onderdeel a, Cbw is bepaald dat essentiële entiteiten en belangrijke entiteiten in het kader van de zorgplicht beleid moeten hebben over risicoanalyse. In artikel 7 Cbb wordt deze verplichting verder uitgewerkt.

Eerste lid In artikel 7, eerste lid, Cbb is bepaald dat essentiële entiteiten en belangrijke entiteiten voor de beveiliging van hun netwerk- en informatiesystemen vastgesteld beleid hebben over risicomanagement. De entiteit moet het hiervoor bedoelde beleid schriftelijk vastleggen en aantoonbaar toepassen. Er is ervoor gekozen om risicomanagement als terminologie te hanteren in plaats van het begrip risicoanalyse, zoals dat in de Cbw staat opgenomen, omdat dit een meer gangbare term is en het gehele proces van risicobeheersing, inclusief risicoanalyse, omvat. Het doel van risicomanagement is om risico’s voor de entiteit in kaart te brengen en deze vervolgens te beheersen. Onder risicomanagement wordt het geheel aan processen en procedures voor de beheersing van risico’s van de entiteit verstaan. De entiteit houdt bij het in kaart brengen van de risico’s rekening met de dreigingen, kwetsbaarheden en afhankelijkheden ten aanzien van de te beschermen belangen van de entiteit. Tweede lid Artikel 7, tweede lid, Cbb vereist onder meer dat het beleid, bedoeld in het eerste lid, een risicomanagementmethodiek omvat. Het doel van een risicomanagementmethodiek is om op gestructureerde wijze risico’s te identificeren en te beheersen. Deze bepaling vereist eveneens criteria voor risicoacceptatie.