FAQ Cyberbeveiligingswet (NIS2)

De NIS2 is een afkorting van de Network and Information Security 2-richtlijn.

De NIS2 is de opvolger van de eerste NIS1-richtlijn. In Nederland ook wel bekend als de NIB richtlijn (netwerk- en informatiebeveiliging). Deze is in Nederland in 2016 geïmplementeerd  in de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Vind hier de Nederlandse vertaling van de NIS2-richtlijn.

De samenleving en economie worden steeds afhankelijker van digitale processen en netwerk- en informatiesystemen. Tegelijkertijd neemt de cyberdreiging toe. De NIS2-richtlijn heeft tot doel om de cyberbeveiliging in de EU verder te versterken. NIS2 wil dit bereiken door de verschillen tussen lidstaten op het gebied van de cyberbeveiligingseisen weg te nemen. Deze richtlijn is daarom gericht op een geharmoniseerde versterking van de cyberbeveiliging van de Europese lidstaten.

Weerbaarheid is het vermogen om een incident zoveel mogelijk te voorkomen, de impact te beperken of te beheersen, efficiënt en effectief te reageren op een incident en zo snel mogelijk te herstellen van een incident. 

De richtlijn is op 16 januari 2023 in werking getreden voor de lidstaten. Sindsdien loopt er een implementatietermijn, die Nederland en de andere lidstaten 21 maanden de tijd geeft, om de richtlijn om te zetten naar nationale wetgeving. Dat betekent dat de nationale NIS2-implementatiewet, de Cyberbeveiligingswet, eigenlijk op 17 oktober 2024 in werking had moeten treden. Het implementeren van de NIS2-richtlijn kost echter meer tijd dan verwacht, waardoor de deadline niet is gehaald. Al het nodige wordt gedaan om het implementatieproces zo vlot mogelijk te laten verlopen. De Cyberbeveiligingswet zal naar verwachting Q2 2026 in werking treden.

In Nederland zal de NIS2-richtlijn geïmplementeerd worden door de Cyberbeveiligingswet (Cbw).

De Wbni wordt ingetrokken zodra de Cbw in werking treedt.

Aan de hand van in welke sector een organisatie actief is en wat de grootte van een organisatie is wordt bepaald of deze organisatie onder de NIS2-richtlijn valt, en daarmee ook onder de Cbw. Lees hier meer over welke organisaties onder de Cbw vallen. 

Voor overheidsorganisaties geldt een aantal specifieke bepalingen:

• De Cbw is van toepassing op Rijksoverheidsorganisaties, ongeacht hun omvang.
• Zbo’s worden tot Rijksoverheidsorganisaties gerekend. Voor zbo’s geldt alleen dat zij pas onder de reikwijdte van de Cbw vallen als zij aan de criteria van een overheidsinstantie uit de Cbw voldoen.
• Het kabinet heeft ervoor gekozen dde Cbw ook van toepassing te laten zijn op lokale overheden, zoals gemeenten, provincies en waterschappen.
• De Cbw is niet van toepassing op overheidsorganisaties die activiteiten uitvoeren op het gebied van de nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving. Dit geldt onder andere voor de veiligheidsregio’s, het Ministerie van Defensie, het openbaar ministerie en de politie.
• De Cbw is niet van toepassing op de rechterlijke macht, de Eerste en Tweede Kamer en De Nederlandsche Bank.

Voor in Nederland gevestigde entiteiten die onder het toepassingsbereik van de Cbw vallen gelden de verplichtingen vanaf het moment dat de Cbw in werking treedt. De Cbw zal naar verwachting Q2 2026 in werking treden.

Voor de sectoren geldt dat een entiteit onder de jurisdictie van een lidstaat valt als de hoofdvestiging zich in die lidstaat bevindt. De hoofdvestiging is de vestiging van de onderneming in de EU-lidstaat waar de beslissingen met betrekking tot de maatregelen voor het beheer van cyberbeveiligingsrisico’s hoofdzakelijk worden genomen (zie artikel 26 van de NIS2-richtlijn). Mocht niet kunnen worden bepaald welke lidstaat dat is of mochten dergelijke besluiten niet in de Europese Unie worden genomen, wordt de hoofdvestiging geacht zich te bevinden in de lidstaat waar cyberbeveiligingsactiviteiten worden uitgevoerd. Mocht niet kunnen worden bepaald welke lidstaat dat is, wordt de hoofdvestiging geacht zich te bevinden in de lidstaat waar de betrokken entiteit de vestiging met het grootste aantal werknemers in de Europese Unie heeft.

Niet alle informatie-uitwisseling tussen CSIRTs betreft persoonsgegevens. De AVG is alleen van toepassing wanneer persoonsgegevens worden verwerkt, zoals contactgegevens van melders of IP-adressen bij logging. De beveiliging van deze verwerking valt onder de verantwoordelijkheid van het CSIRT, dat moet voldoen aan de beveiligingsvereisten uit de AVG, de NIS2-richtlijn en mogelijk aanvullende nationale wetgeving.

Toetsing van het beveiligingsniveau van systemen gebeurt via interne en externe pentesten. De Autoriteit Persoonsgegevens en de functionaris voor gegevensbescherming kunnen toezicht houden op de naleving van de AVG, terwijl de toezichthoudende instantie voor NIS2 (zoals het Ministerie van Justitie en Veiligheid) bredere cybersecurity-eisen handhaaft. Wanneer CSIRTs persoonsgegevens verwerken, gaat het om contactgegevens van organisaties en de betreffende contactpersoon binnen deze organisatie. Daarnaast worden technische data en assets van de organisatie verzameld voor het vroegtijdig notificeren bij kwetsbaarheden, zoals IP-adressen en domeinnamen.

Voor sectorspecifieke vragen kunt u terecht bij het ministerie dat verantwoordelijk is voor de sector waarin uw organisatie actief is:

• Ministerie van Binnenlandse Zaken: NIS2-richtlijn NIS2-richtlijn - Digitale Overheid
• Ministerie van Economische Zaken: NIS2-startpunt | Digital Trust Center (Min. van EZ)
• Ministerie van Financiën: Verordening voor ICT-bescherming financiële sector | Financiële sector | Rijksoverheid.nl
• Ministerie van Infrastructuur en Waterstaat: De Cyberbeveiligingswet (Cbw/ NIS2 richtlijn) | Alle onderwerpen | Versterken cyberweerbaarheid
• Ministerie van Landbouw, Visserij, Voedsel en Natuur: Meer bedrijven in kritieke sectoren krijgen verplichtingen voor cyberbeveiliging (NIS2) | Ondernemersplein
• Ministerie van Volksgezondheid, Welzijn en Sport: Fysieke en digitale weerbaarheid | Data voor gezondheid

Entiteiten die onder de Cyberbeveiligingswet vallen hebben recht op advies en bijstand van een CSIRT. Deze ondersteuning kan verder bestaan uit informatie-uitwisseling, zoals het verstrekken van vroegtijdige waarschuwingen, meldingen en aankondigingen, en het verspreiden van informatie over cyberdreigingen, kwetsbaarheden en incidenten. Lees hier wat het NCSC doet als Nationaal en Sectoraal CSIRT. 

De belangrijkste verplichtingen onder de Cbw zijn:

• Zorgplicht –  Entiteiten zijn verplicht zelf een risicobeoordeling uit te voeren, op basis waarvan zij passende en evenredige technische, operationele en organisatorische maatregelen nemen voor de beveiliging van hun netwerk- en informatiesystemen die worden gebruikt voor de verlening van hun diensten. Ook moeten zij deze maatregelen nemen om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van hun diensten en voor andere diensten te beperken. Lees hier meer over de zorgplichtmaatregelen.
• Bestuur – De leden van het bestuur van entiteiten moeten de maatregelen goedkeuren en toezicht houden op de uitvoering ervan. Om dit goed te kunnen doen, dienen zij  een opleiding te volgen.
• Registratieplicht – Entiteiten zijn verplicht zich te registreren in het entiteitenregister. Via mijn.ncsc.nl kunnen entiteiten deze registratie doorlopen. Doordat alle lidstaten over een register moeten beschikken, levert dit ook een Europees beeld van het aantal entiteiten onder de NIS2 op.
• Meldplicht - Entiteiten moeten significante incidenten zo snel mogelijk maar in ieder geval binnen 24 uur melden bij het Computer Security Incident Response Team (CSIRT) en de toezichthouder. Het gaat om incidenten die de verlening van de diensten van de entiteit aanzienlijk (kunnen) verstoren. Op mijn.ncsc.nl is een centraal meldpunt ingericht waar meldingen direct gedeeld worden met de betreffende sectorale CSIRT en de toezichthouder. Het meldportaal is tevens geschikt voor het doen van vrijwillige meldingen van niet-significante incidenten of van bijna-incidenten.

De invulling van deze verplichtingen worden in lagere regelgeving en beleid uitgewerkt. Deze invulling kan per sector verschillen.

Vooruitlopend op de komst van de Cyberbeveiligingswet kunnen organisaties zich alvast voorbereiden op hun zorgplicht door maatregelen te nemen die de veiligheid en weerbaarheid van hun processen en diensten verbeteren. Op de sites van het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center staat bijvoorbeeld een aantal maatregelen die organisaties kunnen nemen om zich beter te beschermen tegen risico’s en schade door cyberaanvallen.

In de markt verschijnen steeds meer NIS2/Cbw-keurmerken en -certificaten, met als het doel aantoonbaar te maken dat marktpartijen aan bepaalde richtlijnen, eisen en normen (gesteld door de markt) voldoen. Hoe kijkt de Rijksoverheid hier tegen aan? 

Marktinitiatieven betreffen een vorm van zelfregulering, waarbij een keurmerk als instrument wordt ingezet. Zelfregulering kan onder de juiste randvoorwaarden bijdragen aan het behalen van een maatschappelijk doel. Keurmerken hebben echter geen zelfstandige status in relatie tot het voldoen aan de wettelijke vereisten. Het is aan de toezichthouder om te bezien of een partij aan de wet voldoet. Er wordt dus vanuit de Rijksoverheid geen uitspraak gedaan over dit soort initiatieven.

Vanuit de Rijksoverheid (NCSC, DTC, RDI) worden voorafgaand aan de inwerkingtreding van de Cyberbeveiligingswet wel verschillende tools en kennisproducten opgesteld die partijen kunnen helpen bij het voldoen aan de vereisten uit de zorgplicht van de Cyberbeveiligingswet. Deze tools hebben geen juridische status en zijn bedoeld als hulpmiddel. Het is aan de toezichthouders om te bezien of een partij aan de wet voldoet.

Organisaties die onder de Cyberbeveiligingswet vallen zijn onderworpen aan toezicht. Hierbij wordt gekeken naar de naleving van de verplichtingen uit de Cyberbeveiligingswet, zoals de zorg- en meldplicht. Toezichtsmaatregelen richten zich tot de entiteit maar kunnen in een uiterst geval ook de individuele bestuurders raken.

Hoe toezicht precies ingericht gaat worden, wordt momenteel nog aan gewerkt. Ook de precieze uitwerking van de verplichtingen, zoals voortkomend uit de NIS2-richtlijn, ligt nog ter besluitvorming voor.

De essentiële en belangrijke entiteiten hebben een wettelijke verplichting om gegevens aan te leveren voor een zogenoemd entiteitenregister. Met dit register vergroot de Europese Unie zicht op de digitale weerbaarheid van belangrijke en essentiële diensten en organisaties.

Tegelijkertijd moeten bevoegde autoriteiten, toezichthouders en CSIRT’s over deze gegevens kunnen beschikken voor het uitoefenen van hun wettelijke taken. Om ervoor te zorgen dat entiteiten deze informatie laagdrempelig kunnen aanleveren en beheren is ervoor gekozen om een registratiemechanisme in te richten bij de Minister van Justitie en Veiligheid. Via een technische oplossing wordt gewaarborgd dat bevoegde autoriteiten, toezichthouders en CSIRT’s uitsluitend toegang krijgen tot de gegevens uit het register voor zover zij deze nodig hebben voor het uitvoeren van hun wettelijke taken onder deze richtlijn. Op die manier wordt de groep die toegang heeft tot deze gegevens zo beperkt mogelijk gehouden. Kijk hier voor meer informatie over de NIS2-registratie.

Organisaties kunnen zich nu al op vrijwillige basis registreren bij het NCSC. Deze registratie is pas na inwerkingtreding van de Cyberbeveiligingsdienst verplicht. Om ervoor te zorgen dat entiteiten de informatie voor de registratie laagdrempelig kunnen aanleveren en beheren, heeft het kabinet ervoor gekozen om een centrale registratiefunctionaliteit in te richten bij het NCSC. In dit registratieportaal is het ook mogelijk incidenten vrijwillig te melden. Kijk hier voor meer informatie over de NIS2-registratie. 

De hele entiteit moet voldoen aan de eisen uit de Cyberbeveiligingswet. Deze wet geldt ook voor de onderdelen van de organisatie die andere producten of diensten leveren. Ook voor die organisatieonderdelen geldt de plicht om (passende en evenredige) maatregelen te treffen om de weerbaarheid te waarborgen. Ook geldt in beginsel een meldplicht voor een incident bij dat andere organisatieonderdeel. Het is evenwel goed denkbaar dat incidenten bij die andere organisatieonderdelen nooit significante gevolgen hebben voor de entiteit of de maatschappij. In dat geval hoeft een incident niet te worden gemeld.

In artikel 18 van het Cbb (Cyberbeveiligingsbesluit) staat dat essentiële entiteiten en belangrijke entiteiten verplicht kunnen worden producten of diensten van bepaalde leveranciers in onderdelen van hun netwerk- en informatiesystemen te weren als dat naar het oordeel van de vakminister noodzakelijk is. Dit ter beheersing van risico’s voor de beveiliging van die systemen die de nationale veiligheid raken of ter voorkoming van incidenten die de nationale veiligheid raken. De vakminister dient hiervoor een beoordelingskader te doorlopen en aan de hand daarvan te bepalen of er al dan niet sprake is van de noodzaak om de verplichting op te leggen. De vakminister beslist hierover in overeenstemming met de Minister van Justitie en Veiligheid.

Risico’s voor de nationale veiligheid die tot opleggen van de verplichting tot het weren van producten of diensten van leveranciers in specifieke onderdelen van de netwerk- en informatiesystemen van een entiteit aanleiding kunnen geven, zijn bijvoorbeeld:

• Sabotage, spionage of beïnvloeding door statelijke actoren of andere derden.
• Ransomware-aanvallen die bijvoorbeeld de continuïteit van (vitale) processen verstoren of vertrouwelijke informatie doen weglekken.

De NIS1-richtlijn wordt ingetrokken met ingang van 17 oktober 2024 en vanaf deze datum is de NIS2-richtlijn van toepassing in de Europese Unie. Verwijzingen naar de NIS1-richtlijn, zoals bijvoorbeeld in de Wbni, kunnen dan ook beschouwd worden als verwijzingen naar de NIS2-richtlijn. Dit staat vermeld in artikel 44 van de NIS2-richtlijn. In Nederland zal de Wbni pas worden ingetrokken op het moment dat de Cyberbeveiligingswet inwerking treedt. Tot die tijd blijft de Wbni van kracht.

De Wbni zal pas worden ingetrokken op het moment dat de Cyberbeveiligingswet inwerking treedt. Tot die tijd blijft de Wbni van kracht, voor zover zij niet in strijd is met de NIS2-richtlijn.

Voor een entiteit die nu al onder de Wbni valt, blijven de in die wet geregelde verplichtingen gelden totdat deze wet wordt ingetrokken. Voor een entiteit die niet onder de Wbni valt, maar straks wel onder de Cyberbeveiligingswet, zijn er tot het moment van inwerkingtreding van de Cyberbeveiligingswet nog geen verplichtingen. De verplichtingen uit de Cyberbeveiligingswet evenals het toezicht daarop zullen ingaan op het moment van inwerkingtreding van de Cyberbeveiligingswet. Wel wordt entiteiten aangeraden om zich alvast voor te bereiden op de komst van de Cyberbeveiligingswet. Wij hebben meerdere adviesproducten gepubliceerd die je daarbij kunnen helpen. 

Entiteiten die onder de Wbni vallen behouden hun rechten, zoals de bijstand van het CSIRT, totdat de Cyberbeveiligingswet in werking treedt. De NIS2-richtlijn kent een soortgelijk recht op onder meer bijstand door een CSIRT. Entiteiten die onder de NIS2-richtlijn vallen, kunnen na 17 oktober 2024 een beroep doen op deze bijstand door een CSIRT. De bijstand bestaat in ieder geval uit het ondersteunen van de entiteit op het moment dat er sprake is van een dreiging of incident in een netwerk- en informatiesysteem. Het kan zijn dat entiteiten zowel onder de Wbni als van rechtswege onder de NIS2-richtlijn vallen. Die entiteiten kunnen vanaf 17 oktober 2024 op grond van zowel de Wbni als de NIS2-richtlijn een beroep doen op bijstand door een CSIRT. Het NCSC kan als CSIRT prioriteren op basis van een risicoafweging. Dat betekent dat wij op verzoek en afhankelijk van het risico én de impact voor de digitale weerbaarheid, onze diensten leveren. Lees hier meer over de producten en diensten die wij vanaf 17 oktober leveren aan organisaties die van rechtswege onder de NIS2-richtlijn vallen. 

Entiteiten die van rechtswege onder de NIS2-richtlijn vallen, hebben pas een zorg- en meldplicht op het moment dat de Cyberbeveiligingswet in werking treedt en zij onder de jurisdictie van Nederland vallen. Nederlandse toezichthouders zullen dus ook niet, voorafgaand aan de inwerkingtreding van de Cyberbeveiligingswet, toezien op de naleving van deze verplichtingen.

Voor onderstaande entiteiten kan de hoofdvestiging van een entiteit relevant zijn voor de vraag onder de jurisdictie van welke lidstaat die entiteit valt (zie artikel 26 NIS2-richtlijn):  

• DNS-dienstverleners, verleners van domeinregistratiediensten, cloud computing service providers, data centre service providers, content delivery network providers, aanbieders van vertrouwensdienstverleners.
• Managed service providers, managed security service providers
• Aanbieders van online marktplaatsen, online zoekmachines en sociale media platforms

Deze entiteiten kunnen daarom wel al eerder te maken krijgen met regelgeving van een andere lidstaat.

NIS2-entiteiten zijn vanaf de inwerkingtreding van de Cyberbeveiligingswet verplicht om bepaalde gegevens te delen en actueel te houden, zoals hun contactgegevens en de sector(en) waarin zij actief zijn. Met het oog daarop is een centraal registratiepunt ontwikkeld. Dit registratiepunt wordt beheerd door het Nationaal Cyber Security Centrum op Mijn.NCSC.nl 

Vanaf 17 oktober 2024 is het voor entiteiten die van rechtswege onder de NIS2-richtlijn vallen mogelijk zich, vooruitlopend op de inwerkingtreding van de Cyberbeveiligingswet, vrijwillig te registreren. Benadrukt wordt dat de verplichting tot registratie voor entiteiten pas ontstaat op het moment dat de Cyberbeveiligingswet in werking treedt. Registeren kan op mijn.ncsc.nl. Lees hier meer informatie over het registratieproces. Bekijk de checklist voor een efficiente doorloop van de registratie.