De Eerste Kamer heeft op 7 juli ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Hiermee zet Nederland een belangrijke stap in het versterken van de digitale en fysieke weerbaarheid van organisaties tegen toenemende dreigingen.
NIS2- en CER-richtlijn
Sinds januari 2023 werkte de Rijksoverheid aan de nationale implementatie door de richtlijnen om te zetten naar Nederlandse wetgeving. De NIS2-richtlijn wordt geïmplementeerd in de Cyberbeveiligingswet (Cbw) en de CER-richtlijn in de Wet weerbaarheid kritieke entiteiten (Wwke).
De Cyberbeveiligingswet
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). De Cyberbeveiligingswet geldt voor organisaties die essentiële of belangrijke diensten verlenen. De wet ziet toe op organisaties uit 18 sectoren, waaronder de sectoren energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. De wet geldt voor ruim 8.000 organisaties in Nederland.
De Wet weerbaarheid kritieke entiteiten
De Wet weerbaarheid kritieke entiteiten (Wwke) mplementeert de Europese CER-richtlijn in Nederland. Het doel van die richtlijn is om de kritieke infrastructuur en economische activiteiten in Europa zo goed mogelijk te beschermen tegen allerlei soorten dreigingen, zoals de gevolgen van terroristische misdrijven, sabotage en natuurrampen.
De Wwke is van toepassing op ongeveer 500 organisaties, in elk geval de volgende sectoren: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid, ruimtevaart, nucleair, chemie, keren en beheren, meteorologie, productie, verwerking en distributie van levensmiddelen.
Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de cyberbeveiligingswet vallen. Via de NIS2 zelfevualatie kunt u onderzoeken of de wet van toepassing is op uw organisatie. Voor de Wwke geldt dat organisaties worden aangewezen.
Nieuwe verplichtingen
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen onder meer te maken met:
- Toezicht en handhaving: Toezichthouders controleren of organisaties voldoen aan de verplichtingen uit de Cyberbeveiligingswet.
- Registratieplicht: Organisaties moeten zich registreren in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC).
- Zorgplicht: Organisaties moeten maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen te beheersen. Ook moeten zij deze maatregelen nemen om incidenten te voorkomen of de gevolgen daarvan te beperken.
- Meldplicht: Organisaties moeten significante incidenten binnen de wettelijke termijnen melden aan hun CSIRT en bevoegde autoriteit via het meldportaal.
- Bestuurlijke verantwoordelijkheid: Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten beschikken over voldoende kennis om risico’s en beveiligingsmaatregelen te kunnen beoordelen en volgen daarvoor een passende training.
Wacht niet af en start met de voorbereiding
Valt jouw organisatie onder de cyberbeveiligingswet? Dan is registratie bij het Nationaal Cyber Security Centrum vanaf 15 augustus verplicht. De Rijksoverheid roept organisaties op om nu al te starten: de risico’s waarvoor de wet is bedoeld, bestaan nu ook al. Zorg dat je op tijd klaar bent en bereid de registratie nu al voor.
Meer weten over wat de CBW en de Wwke betekenen voor uw organisatie?
Neem contact met ons op.