De hack op het Openbaar Ministerie, in juni 2025, toont opnieuw aan hoe kwetsbaar maatschappelijk belangrijke organisaties zijn voor cyberaanvallen. Een dergelijk incident benadrukt daarmee nogmaals de noodzaak voor deze organisaties om hun informatievoorziening goed te organiseren en te beveiligen.
Die noodzaak wordt beantwoord met de herziene Network and Information Security Directive (EU 2022/2555; “NIS2-richtlijn”). De NIS2-richtlijn verplicht lidstaten tot het vaststellen van nationale wetgeving die een hoog niveau van cyberbeveiliging waarborgt voor entiteiten in essentiële en belangrijke sectoren. In Nederland wordt de NIS2-richtlijn geïmplementeerd in de Cyberbeveiligingswet. Het voorstel voor deze nieuwe wet is op 2 juni 2025 ingediend bij de Tweede Kamer.
De Cyberbeveiligingswet heeft tot doel de verplichtingen voor entiteiten in sectoren met maatschappelijk of economisch gewicht te versterken. Daarnaast verankert de wet bestuurlijke verantwoordelijkheid en regelt het toezicht, handhaving en de samenwerking met zogeheten Computer Security Incident Response Teams (“CSIRT’s”). Dit zijn gespecialiseerde teams die verantwoordelijk zijn voor het detecteren, analyseren, beperken en oplossen van beveiligingsincidenten. De Cyberbeveiligingswet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen.
De verwachting is dat de Cyberbeveiligingswet begin 2026 in werking treedt. De Rijksoverheid adviseert om niet af te wachten totdat de nieuwe wet in werking treedt. De risico’s die organisaties en systemen lopen, zijn er immers nu ook al. Alvast in actie komen en voorbereiden op de Cyberbeveiligingswet? We zetten de belangrijkste verplichtingen hieronder uiteen.
De Cyberbeveiligingswet is van toepassing op essentiële en belangrijke entiteiten. Dit zijn entiteiten die actief zijn in sectoren met een bijzonder hoog maatschappelijk of economisch belang. Essentiële en/of belangrijke entiteiten zijn bijvoorbeeld:
De Cyberbeveiligingswet kent drie hoofdverplichtingen, die hun grondslag vinden in de NIS2-richtlijn:
Essentiële en/of belangrijke entiteiten moeten passende maatregelen treffen om cyberrisico’s te beperken. De Cyberbeveiligingswet somt minimale maatregelen op en biedt ruimte voor sectorspecifieke invulling via algemene maatregelen van bestuur of ministeriële regelingen (artikel 21 lid 1-5).
Significante incidenten moeten worden gemeld bij een CSIRT en de bevoegde autoriteit (verschilt per sector en type entiteit). De melding vindt gefaseerd plaats: eerst wordt een waarschuwing ingediend, mogelijk volgt daarna een tussentijdse update, en uiteindelijk wordt een eindverslag gemaakt.
Bestuurders van essentiële en/of belangrijke entiteiten krijgen expliciete taken: zij moeten cybersecuritybeleid vaststellen, de uitvoering daarvan controleren en zich laten bijscholen op het gebied van cyberbeveiliging en risicobeheer.
De eerste hoofdverplichting, de zorgplicht, omvat tien minimale maatregelen die organisaties moeten treffen om hun netwerk- en informatiesystemen te beschermen. De maatregelen vormen de kern van de zorgplicht en zijn essentieel om de digitale weerbaarheid van organisaties op een structurele manier te borgen. Kort samengevat moeten de entiteiten:
Ter voorbereiding op de tien maatregelen is het voor organisaties raadzaam nu alvast:
Hoewel de Cyberbeveiligingswet nog niet in werking is getreden, is het voor essentiële en belangrijke entiteiten wel al mogelijk zich te registreren bij een CSIRT. Voor digitale dienstverleners is er het CSIRT-DSP, voor zorginstellingen Z-CERT, en voor overige sectoren het Nationaal Cyber Security Centrum (NCSC).
De Cyberbeveiligingswet brengt de nodige nieuwe verplichtingen met zich mee. De advocaten van Bureau Brandeis zullen u op de hoogte blijven houden over de ontwikkelingen.
