Bijlage 3. Cyberbeveiligingsbesluit

Internationale handels- en investeringsafspraken Bij een beschikking op basis van artikel 18, eerste lid, Cbb, die betrekking heeft op reeds in gebruik zijnde producten of diensten in de daarbij aangewezen onderdelen van de netwerk- en informatiesystemen van de betrokken entiteit, is tevens van belang dat de internationale afspraken tussen het Koninkrijk der Nederlanden en derde landen over investeringsbescherming in acht worden genomen. Onder deze afspraken wordt een buitenlandse investeerder in Nederland (en worden Nederlandse investeerders in het betreffende derde land) beschermd tegen onder meer onredelijk en/of discriminatoir handelen van de overheid. Daarnaast bieden deze afspraken voorwaarden op basis waarvan onteigend mag worden, namelijk indien de maatregel die tot (de facto) onteigening leidt non-discriminatoir is, in het publiek belang is en waartegenover een gepaste schadevergoeding wordt geboden. Indien een overheid jegens die investeerder niet 16 Zie onder meer ABRvS 15 juli 2015, ECLI:NL:RVS:2015:2195 en ABRvS 30 mei 2012, ECLI:NL:RVS:2012:BW6926. Zie ook hoofdstuk 4.1 in het algemeen deel van de memorie van toelichting bij de wijziging van de Awb en enkele andere wetten in verband met het nieuwe omgevingsrecht en nadeelcompensatierecht (Kamerstukken II 2018/19, 35256, nr. 3).

17 ABRvS 16 april 2003, ECLI:NL:RVS:2003:AF7355 en ABRvS 9 juli 2003, ECLI:NL:RVS:2003:AH9396. redelijk heeft gehandeld of de voorwaarden voor onteigening heeft geschonden, kan de investeerder daartegen compensatie eisen. Dit is alleen van belang waar het gaat om een reeds bestaande investering. Uit hetgeen hiervoor ten aanzien van de eigendomsregulering en nadeelcompensatie is besproken (vraagstukken waarvoor de toetsing dezelfde beginselen volgt), kan worden geconcludeerd dat beschikkingen op grond van artikel 18, eerste lid, Cbb in beginsel geen schending opleveren van de internationale investeringsbeschermingsafspraken op dit terrein. De vakminister zal bij het opleggen van beschikkingen op grond van artikel 18, eerste lid, Cbb steeds per geval toetsen aan de genoemde specifieke vereisten. Verder is van belang dat een dergelijke beschikking geen afbreuk doet aan de handelsafspraken over diensten en goederen aangegaan onder de Wereldhandelsorganisatie (World Trade Organization) en bilaterale en regionale handelsakkoorden van de Europese Unie met derde landen. Deze akkoorden voorzien onder bepaalde voorwaarden in een uitzondering op de regels van markttoegang en non-discriminatoire behandeling. Zo kan een dergelijke beschikking gezien het doel van de maatregel gerechtvaardigd worden met een beroep op de algemene uitzondering voor de bescherming van de nationale veiligheid.

Bij het nemen van de beschikking op grond van artikel 18, eerste lid, Cbb zal de vakminister moeten toetsen of dergelijke beperkende maatregelen noodzakelijk zijn om deze doelstelling te verwezenlijken, en er dus geen alternatieve maatregel bestaat die de handel minder beperkt en waarvan redelijkerwijs geacht wordt dat een staat die maatregel neemt. Uit artikel 18, eerste lid, Cbb blijkt dat de beschikking uitsluitend wordt opgelegd indien het opleggen van de verplichting om in onderdelen van de netwerk- en informatiesystemen producten of diensten van specifieke leveranciers te weren noodzakelijk is om risico’s die de nationale veiligheid raken te beheersen. Hieruit volgt tevens dat een dergelijke maatregel alleen wordt opgelegd indien andere maatregelen, meer in het bijzonder de maatregelen die de betrokken entiteit in het kader van de wettelijke zorgplicht al heeft genomen, onvoldoende zijn om de risico’s voor de nationale veiligheid te beheersen. Wat betreft een beroep op de uitzonderingen ter bescherming van de nationale veiligheid geldt nog specifiek dat een staat maatregelen kan nemen die het nodig acht ter bescherming van het wezenlijke belang van haar veiligheid en die (voor zover hier relevant) enkel worden toegepast in tijd van oorlog of van gevaarlijke internationale spanningen.

Daarnaast kan een staat maatregelen nemen tot handhaving van de internationale vrede en veiligheid ingevolge haar verplichtingen krachtens het Handvest van de Verenigde Naties. Gezien het doel van en de vereiste onderbouwing van de verplichting, bedoeld in artikel 18, eerste lid, Cbb, namelijk de bescherming van de nationale veiligheid, is een beschikking op grond van artikel 18, eerste lid, Cbb – afhankelijk van de specifieke situatie – in beginsel te rechtvaardigen onder de geldende uitzonderingsgronden van de handelsafspraken. De vakminister zal bij het opleggen van een beschikking op grond van artikel 18, eerste lid, Cbb steeds per geval toetsen aan de genoemde specifieke vereisten. Artikel 19 (evaluatie) In artikel 19 Cbb is geregeld dat essentiële entiteiten en belangrijke entiteiten de maatregelen die zij hebben genomen in het kader van de zorgplicht periodiek moeten evalueren op de doeltreffendheid en de effecten daarvan in de praktijk, en de resultaten van deze evaluatie schriftelijk moeten vastleggen. Deze evaluaties hebben tot doel om op basis daarvan te beoordelen of de maatregelen aangepast moeten worden. Het is aan entiteiten zelf om in te schatten welke periode tussen de evaluaties passend is.

Wanneer het weer tijd is voor een entiteit om te evalueren kan afhankelijk zijn van bijvoorbeeld technologische ontwikkelingen, veranderingen in de sector of binnen de entiteit, of veranderingen in risico’s en dreigingen waarmee de entiteit geconfronteerd wordt en die invloed hebben op de beveiliging van de netwerk- en informatiesystemen van de entiteit. In het kader van de door artikel 19 Cbb voorgeschreven evaluaties wordt opgemerkt dat deze evaluaties ook onderdeel kunnen zijn van andere periodieke evaluaties, zoals evaluaties van de leveringsplannen. Artikel 20 (nadere regels) In artikel 20 Cbb is een grondslag opgenomen om bij ministeriële regelingen van de vakministers, na overleg met de Minister van Justitie en Veiligheid, nadere regels te stellen over de maatregelen die essentiële entiteiten en belangrijke entiteiten moeten nemen in het kader van de zorgplicht. Hierbij kan onderscheid worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten. Het maken van onderscheid kan in sommige gevallen nodig zijn, bijvoorbeeld vanwege de (afwijkende) aard van een bepaalde sector ten opzichte van andere sectoren. De grondslag in artikel 20 Cbb is niet enkel beperkt tot de maatregelen die worden genoemd in artikel 21, derde lid, Cbw en die zijn uitgewerkt in het Cbb.

De grondslag biedt de mogelijkheid om regels te stellen over de maatregelen, bedoeld in artikel 21, eerste lid, Cbw. Artikel 21 (doel van de training) Artikel 24, tweede lid, Cbw bepaalt dat ieder lid van het bestuur van essentiële entiteiten en belangrijke entiteiten moet beschikken over kennis en vaardigheden om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren, risicobeheersmaatregelen op het gebied van cyberbeveiliging te kunnen beoordelen en de gevolgen van de risico’s en risicobeheersmaatregelen voor de diensten die door de entiteit worden verleend, te kunnen beoordelen. Artikel 24, vijfde lid, Cbw bepaalt dat al die bestuursleden over een certificaat moeten beschikken waaruit de deelname blijkt aan een training die de onderwerpen, bedoeld in artikel 24, tweede lid, Cbw, behandelt. In artikel 21 Cbb wordt het doel van de training bepaald. De training moet bestuursleden in staat stellen om het proces voor het identificeren van risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen begrijpen en de maatregelen inclusief gevolgen te beoordelen, om zo tot een goede afweging en afgewogen besluitvorming rondom de beveiliging van netwerk- en informatiesystemen te komen.

Artikel 22 (eisen aan de training) In artikel 22 Cbb wordt geregeld waar de training (te volgen door ieder lid van het bestuur van essentiële entiteiten en belangrijke entiteiten), bedoeld in artikel 24, vijfde lid, Cbw, inhoudelijk aan moet voldoen. Hierbij wordt aangesloten bij de kennis- en vaardighedenvereisten uit artikel 24, tweede lid, Cbw. Hierbij wordt opgemerkt dat het uitdrukkelijk geen opleiding betreft waarin van de bestuurder wordt verwacht technische kennis te bezitten en de werking van netwerk- en informatiesystemen te kunnen uitleggen. Wel wordt van de bestuurder op strategisch niveau kennis verwacht op de genoemde onderwerpen, zodat de bestuurder in staat is de maatregelen te beoordelen en de risico’s te (laten) beheersen. Hiervoor is een bepaalde basiskennis vereist. Artikel 22, eerste lid, Cbb ziet op de kennis en vaardigheden om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren en de gevolgen van deze risico’s te kunnen beoordelen. Voor een goede identificatie van risico’s is kennis over de verschillende soorten risico’s nodig die spelen bij netwerk- en informatiesystemen, zoals de dreiging van malware, insiders threat en DDoS-aanvallen die een risico vormen voor de integriteit en beschikbaarheid.

Daarnaast is inzicht in hoe het risicomanagementproces in elkaar zit en de risicomanagementmethodiek relevant om te weten op welke wijze risico’s systematisch geïdentificeerd, beoordeeld en behandeld kunnen worden. Artikel 22, tweede lid, Cbb ziet op de kennis en vaardigheden om risicobeheersmaatregelen op het gebied van cyberbeveiliging en de gevolgen van die maatregelen te kunnen beoordelen. In deze bepaling is geregeld dat de training in elk geval moet zien op de onderwerpen die in artikel 21, derde lid, onderdelen a tot en met j, Cbw worden genoemd. Dit artikel ziet op de maatregelen die in elk geval moeten worden genomen in het kader van de zorgplicht. Globale kennis van dergelijke maatregelen is van belang voor een goede beoordeling van de maatregelen. Artikel 23 (eisen aan het certificaat) In artikel 23 Cbb worden eisen gesteld aan de inhoud van het certificaat van de training, bedoeld in artikel 24, vijfde lid, Cbw. In artikel 23, eerste lid, Cbb is bepaald welke informatie het certificaat ten minste moet bevatten. Die eisen, waaronder de eis dat uit het certificaat moet blijken welke onderwerpen zijn behandeld, zijn nodig om na te kunnen gaan of de training voldoet aan de eisen die aan de training worden gesteld in de Cbw en het Cbb.

Hierbij dient te worden opgemerkt dat dit certificaat uitsluitend verplicht is in het kader van de verplichte training van artikel 24, vijfde lid, Cbw. Een certificaat met de in het Cbb opgenomen vereisten is niet verplicht voor het aantoonbaar actueel houden van de kennis en vaardigheden als bedoeld in artikel 24, vierde lid, Cbw. Leden van bestuur kunnen dat ook op andere wijze aantonen. Artikel 23, tweede lid, Cbb bevat het vereiste dat het certificaat is opgesteld in de Nederlandse of Engelse taal. Dit vereiste is noodzakelijk voor efficiënt en effectief toezicht op de verplichting voor bestuursleden om de training te volgen. Dit vereiste geldt alleen voor het certificaat en niet voor de taal van de training. De training mag in iedere taal worden gegeven. Artikel 24 (significante incidenten) Essentiële entiteiten en belangrijke entiteiten moeten op grond van artikel 25, eerste lid, Cbw ieder significant incident melden. In artikel 25, tweede lid, Cbw is bepaald dat een incident een significant incident is als het een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken, of andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Artikel 25, derde lid, Cbw regelt dat bij of krachtens amvb de criteria kunnen worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, Cbw. Daarbij kan onderscheid worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten. De hiervoor bedoelde criteria worden ook wel drempelwaarden genoemd en geven concrete invulling aan de hiervoor bedoelde parameters. In artikel 24, eerste lid, Cbb is geregeld dat de vakministers de hiervoor bedoelde criteria (drempelwaarden) bij regeling kunnen vaststellen. De in ministeriële regelingen opgenomen criteria (drempelwaarden) zijn openbaar, aangezien ministeriële regelingen moeten worden gepubliceerd. Artikel 24, eerste lid, Cbb voorziet in de mogelijkheid om de criteria (drempelwaarden) – in plaats van het vaststellen hiervan bij ministeriële regeling – vast te stellen bij besluit. De vakminister kan hiertoe overgaan als de openbaarmaking van de criteria (drempelwaarden) ten aanzien van specifieke entiteiten onaanvaardbare risico’s met zich mee kan brengen voor de desbetreffende entiteit en gelet daarop mogelijk ook voor de nationale veiligheid.

Er is gekozen voor subdelegatie, omdat het vanwege de verschillen tussen sectoren en subsectoren en in sommige gevallen zelfs tussen soorten entiteiten binnen die (sub)sectoren of entiteiten onderling het niet mogelijk is om de bedoelde criteria (drempelwaarden) vast te stellen die sectorbreed en dus op alle entiteiten uit alle sectoren van toepassing kunnen zijn. Door subdelegatie kunnen de vakministers bij ministeriële regelingen voor de sectoren waar zij beleidsverantwoordelijk voor zijn, criteria (drempelwaarden) vaststellen, aan de hand van de kennis die zij hebben over de sectoren en met consultatie van de betrokkenen binnen die sectoren. Door het overleg met de betrokken sector kan zoveel mogelijk maatwerk worden geleverd per sector, subsector, soort entiteit of entiteit. Indien relevant kan zodoende ook rekening worden gehouden met andere sectorale meldplichten en de daarvoor geldende criteria (drempelwaarden). Artikel 24, tweede lid, Cbb ziet specifiek op het geval dat in een uitvoeringshandeling op grond van artikel 23, elfde lid, NIS2-richtlijn al nader is gespecificeerd in welke gevallen incidenten bij specifieke entiteiten als significant wordt beschouwd. Artikel 24, tweede lid, Cbb regelt dat de vakminister naast de hiervoor bedoelde specificaties in uitvoeringshandelingen, aanvullende criteria (drempelwaarden) kan vaststellen.

Dat kan bij besluit ten aanzien van specifieke entiteiten, of bij regeling. Artikel 24, derde lid, Cbb bepaalt dat de doeltreffendheid van de criteria (drempelwaarden) en de effecten daarvan ten minste elke vier jaar moeten worden geëvalueerd door de betrokken vakminister. Hierbij wordt ook de effectiviteit van de meldingen in ogenschouw genomen en zal worden bezien of voldoende relevante meldingen worden gedaan en of irrelevante meldingen beperkt blijven. Met het evalueren kan worden bewerkstelligd dat de criteria (drempelwaarden) actueel blijven en aansluiten op de gevaren en dreigingen die voor een sector relevant zijn. Denk daarbij bijvoorbeeld aan zeer snelle technologische ontwikkelingen. Indien nodig past de vakminister, na overleg met de Minister van Justitie en Veiligheid, de criteria (drempelwaarden) aan. Artikel 25 (gegevens waar een vroegtijdige waarschuwing uit moet bestaan) Artikel 35 Cbw biedt de grondslag om bij of krachtens amvb regels te stellen over onder meer de gegevens waar de vroegtijdige waarschuwing, bedoeld in artikel 26, eerste lid, Cbw, uit moet bestaan.

Op grond van artikel 35 Cbw is in artikel 25 Cbb bepaald dat de vroegtijdige waarschuwing ook moet bestaan uit het vermoedelijke tijdstip van aanvang van het significante incident, een beschrijving van de aard en gevolgen van het incident, (zo mogelijk) een prognose van de hersteltijd en (zo mogelijk) de door essentiële entiteiten en belangrijke entiteiten genomen of voorgenomen maatregelen om de gevolgen van het significante incident te beperken of herhaling hiervan te voorkomen. Met deze informatie kan door het CSIRT en de bevoegde autoriteit beter worden ingeschat of zij willen reageren en hoe respons mogelijk is. Daarnaast kan door deze informatie beter worden ingeschat wat mogelijke cascade-effecten zijn op bijvoorbeeld andere entiteiten. Artikel 26 (wijze waarop een melding geschiedt) Artikel 26 Cbb verplicht essentiële entiteiten en belangrijke entiteiten om meldingen van significante incidenten te doen bij een hiervoor door de Minister van Justitie en Veiligheid ingericht meldpunt. Artikel 27 (nadere regels over meldingen) Artikel 27 Cbb biedt de betrokken vakminister, na overleg met de Minister van Justitie en Veiligheid, de grondslag om bij ministeriële regeling regels te stellen ter uitwerking van de artikelen 26 tot en met 30, 33 en 34 Cbw.

Deze grondslag biedt de mogelijkheid om met regels te komen die zijn toegespitst op een specifieke sector, subsector of soort entiteit. Artikel 28 (informatieverstrekking ten behoeve van nationaal register) In artikel 44, eerste lid, Cbw is geregeld dat essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen bepaalde informatie moeten verstrekken aan de Minister van Justitie en Veiligheid voor de registratie in het nationaal register, bedoeld in artikel 43 Cbw. Op grond van artikel 44, eerste lid, onderdeel f, Cbw kan aanvullende informatie worden verlangd voor de registratie in het nationaal register. In artikel 28 Cbb is gebruik gemaakt van deze mogelijkheid. Artikel 28, eerste lid, Cbb is van toepassing op essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Zij moeten op grond van artikel 28, eerste lid, onderdeel a, Cbb voor hun registratie in het nationaal register aangeven of zij dit doen als essentiële entiteit, belangrijke entiteit of entiteit die domeinnaamregistratiediensten verleent. Aan de hand van die opgegeven informatie kan de bevoegde autoriteit bepalen onder welk toezichts- en handhavingsregime de entiteit valt. Daarnaast wordt deze informatie door het CSIRT gebruikt voor de triage in geval van incidenten.

Op grond van artikel 28, eerste lid, onderdeel b, Cbb moeten zij ook het nummer verstrekken waarmee zij in het handelsregister, bedoeld in artikel 2 Handelsregisterwet 2007, staan ingeschreven. Dit nummer staat ook bekend als het Kamer van Koophandel-nummer. Op deze wijze wordt met de registratie aangesloten bij het Nederlandse beleid en stelsel van basisregistraties, inclusief bijhorende unieke identificatie van entiteiten. Het stelt bovendien de bevoegde autoriteiten en CSIRT’s in staat om op uitvoerbare wijze relaties tussen verschillende entiteiten in kaart te brengen, zoals moeder-dochter-relaties. In artikel 28, tweede lid, Cbb is geregeld dat overheidsinstanties de identificatiecode moeten verstrekken waarmee zij geregistreerd staan in het Register voor Overheidsorganisaties. Niet alle overheidsinstanties beschikken over een Kamer van Koophandel-nummer, terwijl zij over het algemeen wel geregistreerd staan in het Register voor Overheidsorganisaties. Het Register voor Overheidsorganisaties is daarom een betere basis voor het identificeren van overheidsinstanties. Mocht de onvoorziene situatie zich voordoen dat een overheidsinstantie niet ingeschreven staat in het Register van Overheidsorganisaties, dan geeft deze bepaling de mogelijkheid om ook het Kamer van Koophandel-nummer te overleggen.

Daarnaast kan de betreffende overheidsinstantie zich ook registeren in het Register van Overheidsorganisaties. Artikel 28, derde lid, Cbb is van toepassing op essentiële entiteiten en belangrijke entiteiten. In artikel 28, derde lid, onderdeel a, Cbb is bepaald dat zij voor hun registratie in het nationaal register moeten aangeven van welk soort zij zijn. Aan de hand van die opgegeven informatie hebben de bevoegde autoriteit en de CSIRT een beter inzicht in de bedrijfsactiviteiten van de betreffende entiteit, wat door de bevoegde autoriteit gebruikt kan worden voor meer gericht toezicht en door het CSIRT voor beter gerichte ondersteuning aan de betreffende entiteit. Dit sluit ook aan bij de systematiek die geldt voor de soorten entiteiten die zich dienen te registreren in het Enisa-register op basis van artikel 47 Cbw, waarbij eveneens de soort geregistreerd dient te worden. Ook sluit het aan bij de huidige praktijk onder de Wbni, waarbij van entiteiten duidelijk is van welk soort zij zijn. In artikel 28, derde lid, onderdeel b, Cbb is bepaald dat zij ook hun domeinnamen moeten aanleveren. Het gaat daarbij om de publieke domeinnamen die eigendom zijn van de entiteit. Deze informatie is noodzakelijk voor CSIRT’s om hun wettelijke taken richting deze entiteiten, bevoegde autoriteiten en andere relevante partijen effectief uit te kunnen voeren.

In sommige gevallen beschikt een CSIRT alleen over domeinnamen van een potentieel doelwit of slachtoffer (zoals bij gelekte inloggegevens), en niet over een IP-adres. Om in die gevallen de entiteit te kunnen informeren over een dreiging of kwetsbaarheid, is het van belang dat het CSIRT ook beschikt over de domeinnamen van de entiteit. Over het nationaal register, bedoeld in artikel 43 Cbw, wordt ten slotte nog het volgende toegelicht. De bevoegde autoriteiten en CSIRT’s maken gebruik van de registratie-informatie voor het uitoefenen van hun taken op grond van de Cbw. In het registratieproces worden daarom maatregelen ingebouwd die eraan bijdragen dat de opgegeven informatie juist en volledig is en de entiteiten niet te veel worden belast. Dit gebeurt doordat vanuit het authenticatiemiddel (zoals SSO-rijk of eHerkenning) dat bij registratie wordt gebruikt, automatisch onder meer het Kamer van Koophandel-nummer van een entiteit wordt verkregen. Hierdoor kan het nationaal register worden gekoppeld aan het handelsregister of andere registers, zoals het Register van Overheidsorganisaties, om bekende gegevens van de entiteit op te halen. Dit is informatie die bij registratie door de entiteit moet worden gecontroleerd. Dit betreffen gegevens die de entiteit ook verplicht is om aan te leveren op grond van artikel 44 Cbw, namelijk de naam en het adres van de entiteit.

Daarnaast geldt dat deze werkwijze kan valideren dat een persoon gerechtigd is om namens een entiteit het registratieproces te doorlopen. Dit biedt extra zekerheid voor de juistheid van deze gegevens en hiermee worden dus de administratieve lasten verminderd voor entiteiten die onder het toepassingsbereik van de Cbw vallen. Artikel 29 (aanwijzing autoriteiten) Artikel 51, tweede lid, onderdeel i, Cbw biedt de betrokken vakminister, na overleg met de Minister van Justitie en Veiligheid, de mogelijkheid om bij of krachtens amvb autoriteiten aan te wijzen waar de bevoegde autoriteiten in de zin van de Cbw, de CSIRT’s en het centrale contactpunt mee samenwerken voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van de Cbw en in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uitwisselen. In artikel 29 Cbb is een delegatiegrondslag opgenomen op grond waarvan de vakminister de hiervoor bedoelde autoriteiten bij regeling kan aanwijzen. De reden voor het doordelegeren is dat naar verwachting vooral autoriteiten zullen worden aangewezen die uit hoofde van sectorale regelgeving een rol hebben in het toezicht op entiteiten die ook onder toepassing van de Cbw vallen. Door dit bij regeling te regelen kan door de vakminister vanuit diens verantwoordelijkheid voor sectoren hier een passende invulling aan gegeven worden en waar nodig worden bijgesteld.

De aanwijzing maakt het in het bijzonder voor autoriteiten mogelijk om in het geval van overlappend toezicht nauwer samen te werken, informatie uit te wisselen en op die wijze doelmatig en doeltreffend toezicht te bevorderen en daarmee ook onnodige toezichtslasten voor entiteiten te beperken. Artikel 30 (bewaring van persoonsgegevens) In artikel 30, eerste lid, Cbb is bepaald dat de persoonsgegevens die door het CSIRT, het centrale contactpunt en de Minister van Justitie en Veiligheid bij of krachtens de Cbw worden verwerkt, niet zijnde de persoonsgegevens, bedoeld in artikel 64, tweede lid, Cbw, maximaal 60 maanden, gerekend vanaf de eerste verwerking, worden bewaard. Het CSIRT verwerkt in het kader van de uitoefening van haar taken allerlei soorten gegevens, waaronder persoonsgegevens. Het gedurende een periode bewaren van deze gegevens kan in het belang zijn de uitoefening van die taken. Zo kan het bewaren nodig zijn om te voorzien in de gevallen dat een bepaald IP-adres opnieuw geraakt wordt, als een digitale aanval steeds vanuit dezelfde hoek komt of wanneer een serie IP-adressen gebruikt is in bijvoorbeeld een botnet. Dit kan voor het CSIRT aanleiding zijn om onderzoek te doen naar de relevantie voor andere recent getroffen IP-adressen.

Ook kan uit nader onderzoek van een afgehandeld incident blijken dat relevante informatie, zoals een kwetsbaarheid van bepaalde IP-adressen of bepaalde gebruikte aanvalstechnieken, door kwaadwillende actoren opnieuw worden gebruikt tegen andere partijen. Voor een gedegen onderzoek van afgehandelde incidenten is het noodzakelijk dat deze gegevens niet te snel worden vernietigd. Een maximale bewaartermijn van 60 maanden wordt passend geacht voor de taken van het CSIRT, zoals het monitoren en analyseren van cyberdreigingen waarbij onderzoek over een langere periode noodzakelijk is om goed te kunnen kijken naar trends. Ook voor het centrale contactpunt is het wenselijk dat persoonsgegevens zoals e-mailadressen en contactgegevens langere tijd kunnen worden bewaard, om zo een goede samenwerking mogelijk te maken. Het is daarbij een te grote administratieve last om de contactgegevens en e-mailadressen telkens opnieuw te moeten verzamelen. Daarom is er ook ten aanzien van het centrale contactpunt gekozen voor een maximale bewaartermijn van 60 maanden. Artikel 30, tweede lid, Cbb bevat een uitzondering op het bepaalde in artikel 30, eerste lid, Cbb voor de persoonsgegevens die worden verwerkt in het kader van het nationale register, bedoeld in artikel 43 Cbw.

Voor deze persoonsgegevens geldt een maximale bewaartermijn van 60 maanden na de laatste bevestiging van de juistheid van de betreffende persoonsgegevens. Het regelen van deze uitzondering is nodig omdat het niet wenselijk is dat deze gegevens, die door entiteiten zijn aangeleverd, zonder meer na vijf jaar moeten worden verwijderd, terwijl deze gegevens nog steeds relevant zijn voor de wettelijke taken van de Minister van Justitie en Veiligheid. De verwachting is dat de bedoelde gegevens binnen die vijf jaar telkens zullen worden gewijzigd of geactualiseerd. Daarom wordt de maximale bewaartermijn van vijf jaar gekoppeld aan de laatste bevestiging van de juistheid van de gegevens. Indien de termijn van vijf jaar dreigt te verlopen kan de Minister van Justitie en Veiligheid de entiteit al dan niet geautomatiseerd vragen om de actualiteit en juistheid van de gegevens te bevestigen. Indien de entiteit deze actualiteit en juistheid bevestigt begint het termijn van vijf jaar opnieuw te lopen. In artikel 30, derde lid, Cbb is geregeld dat de persoonsgegevens die door de bevoegde autoriteit bij of krachtens de Cbw worden verwerkt, niet langer bewaard worden dan noodzakelijk is ter uitvoering van haar taken op grond van de Cbw, doch uiterlijk binnen 120 maanden (10 jaren) na de eerste verwerking verwijderd worden.

De genoemde bewaartermijn van 120 maanden (10 jaren) is daarmee een uiterlijke bewaartermijn die begint te lopen vanaf het moment van de eerste verwerking. Persoonsgegevens moeten eerder (dan pas na 10 jaren) verwijderd worden als deze met het oog op de taakuitoefening van de bevoegde autoriteit niet langer noodzakelijk zijn. Dit sluit aan bij het beginsel van gegevensminimalisatie uit de Algemene verordening gegevensbescherming. In de praktijk zal de bevoegde autoriteit derhalve voor persoonsgegevens een bewaartermijn hanteren die dit beginsel eerbiedigt doch die niet langer kan zijn dan 10 jaren, gerekend vanaf de eerste verwerking. De gestelde uiterlijke bewaartermijn van 120 maanden is noodzakelijk gezien de mogelijkheid van langlopende toezichtstrajecten en bijhorende bestuursrechtelijke procedures, waarvan niet uitgesloten is dat deze een kortere termijn zullen overschrijden. Dit levert het risico op dat persoonsgegevens vanwege de uiterlijke termijn gedurende een traject of procedure al verwijderd moeten worden, wat vanwege de daarmee gemoeide aantasting van bewijsmiddelen en processtukken ernstig afbreuk kan doen aan de doeltreffendheid van het toezicht. Voorbeelden hiervan zijn persoonsgegevens als onderdeel van besluiten, gespreksverslagen of opgevraagde documentatie.

Het gaat daarbij met name om namen, e-mailadressen en telefoonnummers van werknemers van entiteiten en van betrokken ambtenaren die met het toezicht zijn belast. Van een toezichtstraject en bestuursrechtelijke procedure met lange doorlooptijd kan bijvoorbeeld sprake zijn als bij een essentiële entiteit of belangrijke entiteit tekortkomingen in de naleving van de zorgplicht worden geconstateerd. In dat geval is in het kader van toezicht daarover bewijs verzameld. In gevallen kan het zo zijn dat met het structureel oplossen van de tekortkomingen door de entiteit meerdere jaren gemoeid zijn waarover de voortgang en bijhorende gegevens zoals gespreksverslagen en documentatie worden bijgehouden. Als een dergelijk toezichtstraject vervolgens uitmondt in een bestuursrechtelijk sanctietraject kan in uitzonderlijke gevallen, wanneer er bezwaar, beroep en hoger beroep tegen het sanctiebesluit worden ingesteld, vele jaren verstrijken totdat het geschil finaal beslecht is. Een verplichting die in de praktijk ertoe leidt dat gedurende deze procedure de voor de procedure relevante persoonsgegevens dienen te worden verwijderd, zou een ernstige afbreuk doen aan de doeltreffendheid van het toezicht. Daarom is ervoor gekozen om een uiterlijke bewaartermijn voor persoonsgegevens van 120 maanden aan te houden voor zover het gaat om de verwerking van persoonsgegevens door de bevoegde autoriteit.

Dit zorgt voor een uitvoerbare toezichtspraktijk en zorgt tegelijkertijd voor rechtszekerheid dat persoonsgegevens uiterlijk na 120 maanden verwijderd worden. Ten overvloede wordt opgemerkt dat deze termijn de uiterlijke termijn betreft en dat de bevoegde autoriteit op grond van het Cbb en de Algemene verordening gegevensbescherming eraan gehouden is om persoonsgegevens eerder te verwijderen indien deze niet langer noodzakelijk zijn voor een goede uitvoering van haar taken. Artikel 31 (wijziging Besluit EU-verordeningen Wft) Gelijktijdig met de NIS2-richtlijn is de DORA vastgesteld. Deze verordening is van toepassing op de financiële sector. Banken, exploitanten van handelsplatformen en centrale tegenpartijen vallen zowel onder het toepassingsbereik van de DORA, als onder het toepassingsbereik van de NIS2-richtlijn. De bepalingen uit de verordening over het melden van grote ICT-gerelateerde incidenten zijn op hen van toepassing, in plaats van de bepalingen hierover uit de NIS2-richtlijn. Dit volgt uit artikel 1, tweede lid, DORA jo. artikel 4 NIS2-richtlijn. De bepalingen uit de Cbw over de meldplicht zijn dan ook niet op hen van toepassing, waaronder de verplichting om melding te doen bij het CSIRT.

De DORA biedt in artikel 19, eerste lid, zesde alinea, lidstaten de mogelijkheid om financiële entiteiten te verplichten om de melding, bedoeld in artikel 19, vierde lid, van de verordening ook te melden bij het CSIRT. Nederland maakt met artikel 31 Cbb gebruik van deze mogelijkheid. Hierdoor moeten banken, exploitanten van handelsplatformen, centrale tegenpartijen en centrale effectenbewaarinstellingen de melding zowel bij de financiële toezichthouder (de Autoriteit Financiële Markten, hierna: AFM, of De Nederlandsche Bank, hierna: DNB), als bij het CSIRT doen. Voor hen geldt dus een dubbele meldplicht. Het gebruiken van deze lidstaatoptie behelst voor hen geen nieuwe verplichting, maar een bestendiging van de meldplicht die thans voor hen geldt. Voor de hiervoor genoemde financiële entiteiten geldt immers op grond van artikel 10, eerste lid, Wbni al de verplichting om ernstige cyberincidenten te melden bij de Minister van Justitie en Veiligheid, die op grond van artikel 2 Wbni het CSIRT is voor deze aanbieders. De Wbni wordt met de komst van de NIS2-richtlijn ingetrokken. Door het benutten van de in de DORA geboden lidstaatoptie hebben banken, exploitanten van handelsplatformen, centrale tegenpartijen en centrale effectenbewaarinstellingen een dubbele meldplicht.

Het belang van deze dubbele meldplicht is dat het CSIRT een andere rol vervult en een ander doel heeft met het ontvangen van meldingen dan DNB of AFM. Het CSIRT is er om indien nodig bijstand te verlenen, overloopeffecten te identificeren, andere entiteiten te waarschuwen en trends te analyseren. DNB en AFM gebruiken de meldingen om de toezichtspraktijk te verbeteren en de financiële stabiliteit te waarborgen. Artikel 19, tweede lid, DORA biedt lidstaten de mogelijkheid om te regelen dat financiële entiteiten significante cyberdreigingen op vrijwillige basis kunnen melden bij het CSIRT. Er wordt gebruik gemaakt van deze mogelijkheid, omdat het CSIRT naar aanleiding van vrijwillige meldingen kan overgaan op het identificeren van overloopeffecten, het waarschuwen van andere entiteiten en het analyseren van trends. Artikel 32 (wijziging Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten) De implementatie van de NIS2-richtlijn leidt tot wijzigingen van het Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten. De wijzigingen zijn van een technische aard en beogen geen beleidswijziging. De zorgplicht met betrekking tot de beveiliging van openbare elektronische communicatienetwerken en -diensten wordt grotendeels in de Cbw geregeld.

Met betrekking tot de beveiliging van diensten geldt dat alleen de beveiliging van de netwerk- en informatiesystemen die worden gebruikt voor het verlenen van diensten of verrichten van activiteiten onder de Cbw komen te vallen. Om er toch voor te zorgen dat beveiliging van diensten volledig onder de regelgeving blijft vallen, is bij de implementatie van de NIS2-richtlijn in artikel 11.a, eerste lid, Tw de zorgplicht voor de beveiliging van diensten gecontinueerd. In de memorie van toelichting bij artikel 98 Cbw is dit nader toegelicht. De maatregelen in het Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten waarmee een nadere invulling werd gegeven aan de zorgplicht uit artikel 11.a1, eerste lid, Tw zijn geschrapt, omdat deze onder de Cbw verder zijn uitgewerkt. De delegatiegrondslag is behouden gebleven (onderdeel B). De meldplicht van incidenten voor de aanbieders van openbare elektronische communicatienetwerken en -diensten valt thans volledig onder de Cbw. De betreffende bepalingen inzake de meldplicht zijn derhalve uit het Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten geschrapt (onderdelen D en F).

De maatregelen die zien op de beveiliging van de antenne-opstelpunten met een hoofdzender voor het verspreiden van programma’s voor het omroepnet voor radio van regionale media-instellingen (zie artikel 3.7, onderdelen b en c, Tw) zijn een continuering van het nationaal beleid. Het gaat hierbij om het treffen van beveiligingsmaatregelen zodat de continuïteit van radio-uitzendingen die onder meer in het bijzonder van belang is bij radiokanalen met de functie van calamiteitenzender zo goed mogelijk wordt geborgd. Dit nationale beleid wordt voortgezet (onderdelen C en D). Na artikel 5b Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten wordt een omhangbepaling ingevoegd, als gevolg van de wijziging van de grondslag in de Tw. Artikel 33 (wijziging Besluit veiligheid en integriteit telecommunicatie) Na artikel 2 Bvit wordt een omhangbepaling ingevoegd, als gevolg van de wijziging van de grondslag in de Tw (artikel 11.a1, tweede lid), ter uitvoering van de NIS2-richtlijn.

Artikel 34 (wijziging Drinkwaterbesluit) De wijzigingen van het Drinkwaterbesluit (hierna: Dwb) beogen een samenhangende uitvoering te faciliteren van enerzijds de verplichtingen die voortvloeien uit de Cbw (en overigens ook van de Wwke) en anderzijds de bestaande verplichtingen inzake risicobeoordeling en risicobeheer in het Dwb, die onder meer voortvloeien uit de zogeheten Drinkwaterrichtlijn.18 Wijziging artikel 15 Dwb De wijzigingen van artikel 15 Dwb zijn van redactionele aard; er is geen inhoudelijke wijziging van verplichtingen. De wijzigingen ondersteunen in samenhang met die van de artikelen 46a en 47 Dwb een samenhangende uitvoering van (reeds geïmplementeerde) verplichtingen op grond van de Drinkwaterrichtlijn en de verplichtingen op grond van de Cbw (en overigens ook van de Wwke). Wijziging artikel 46a Dwb De wijziging betreft een technische correctie. Het opschrift is gewijzigd in verband met de verplichting tot beheer, opgenomen in het vijfde lid van artikel 46a Dwb. Wijziging artikel 47 Dwb De uitvoering van de verplichte risicobeoordeling op grond van de Wwke wordt geïntegreerd in de bestaande systematiek van de verstoringsrisicoanalyse (VRA), bedoeld in artikel 47 Dwb, en de verstoringsparagraaf die op grond van artikel 47 Dwb onderdeel moet zijn van het leveringsplan, bedoeld in artikel 37 Drinkwaterwet. De VRA gaat dan omvatten: a.

de risicobeoordeling, bedoeld in artikel 14 Wwke; b. de benadering, bedoeld in artikel 21, derde lid, Cbw (all hazard); c. nationale dreigingen en scenario’s, zoals reeds opgenomen in het tweede lid van artikel 47 Dwb. Omdat de VRA tevens onderdeel is van de risicobeoordeling van het watervoorzieningssysteem, bedoeld in artikel 46a Dwb, is daarmee ook integratie in het bredere systeem van risicobeoordeling ingevolge de Drinkwaterrichtlijn geborgd. Het nieuwe zesde lid van artikel 47 Dwb regelt welke maatregelen op grond van het voorgaande moeten worden opgenomen in de verstoringsparagraaf van het leveringsplan. Omwille van de leesbaarheid wordt de bestaande bepaling dat de vereisten uit bijlage B, onderdeel 3, van het Dwb van toepassing zijn op de verstoringsparagraaf, in een separaat zevende lid opgenomen. Nieuw artikel 47a Dwb Het nieuwe artikel 47a Dwb maakt het, met het oog op een doelmatige uitvoering, expliciet mogelijk voor het drinkwaterbedrijf om de risicobeoordeling van het watervoorzieningssysteem en de VRA in samenhang voor te bereiden en uit te voeren, zodat een geïntegreerde risicobeoordeling en een geïntegreerd proces van totstandkoming en beoordeling door de ILT mogelijk wordt.

18 Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad van 16 december 2020 betreffende de kwaliteit van voor menselijke consumptie bestemd water (herschikking) (PbEU 2020, L 435). Artikel 35 (intrekking Besluit beveiliging netwerk- en informatiesystemen) Artikel 103 Cbw regelt de intrekking van de Wbni. Het Besluit beveiliging netwerk- en informatiesystemen (hierna: Bbni) vindt zijn grondslag in de Wbni. Met de intrekking van de Wbni is er geen grond meer voor het Bbni en het Bbni moet dan ook worden ingetrokken. Dit wordt geregeld in artikel 35 Cbb. Artikel 36 (inwerkingtreding) Artikel 36 Cbb bepaalt dat het Cbb in werking treedt op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld. Op grond van dit artikel kan worden gekozen voor een gefaseerde inwerkingtreding. Dit is denkbaar in het geval dat bepaalde onderdelen van het Cbb nog niet in werking kunnen treden, terwijl dat bij andere onderdelen van het Cbb wel het geval is. De verwachting is dat bij de inwerkingtreding van (onderdelen van) het Cbb een uitzondering wordt gemaakt op de vaste verandermomenten en de minimuminvoeringstermijn, omdat het Cbb strekt ter uitvoering van de Cbw, en die wet ziet op de implementatie van een bindende EU-rechtshandeling.

Artikel 37 (citeertitel) Artikel 37 Cbb bepaalt dat de citeertitel van dit besluit luidt: Cyberbeveiligingsbesluit. De Minister van Justitie en Veiligheid,