Aanpak vitaal
Het veranderende dreigingslandschap vraagt om een integrale, adaptieve en richtinggevende aanpak om risico’s binnen de vitale infrastructuur het hoofd te blijven bieden. Samen met publieke en private partijen wordt daarom gewerkt aan de Aanpak vitaal. Binnen deze Aanpak staat het zicht op risico’s, het nemen van maatregelen en het bieden van ondersteuning centraal.
Bij het inschatten van risico’s voor de vitale processen is er aandacht voor zowel de fysieke, economische als digitale risico’s. Denk bijvoorbeeld aan risico’s van klimaatverandering, ongewenste buitenlandse investeringen, digitale aanvallen of cascade-effecten wanneer een vitaal proces elders wordt verstoord. Daarnaast is er aandacht voor de belangen binnen de Europese Unie en de NAVO. De vitale infrastructuur stopt vaak niet bij de grens, maar kent een sterke internationale verwevenheid en de verschillende nationale en internationale processen zijn in grote mate van elkaar afhankelijk.
Binnen de Aanpak vitaal worden deze risico’s in samenhang beoordeeld en worden maatregelen genomen om deze risico’s te mitigeren. Maatregelen zijn bijvoorbeeld het opstellen van beleid, wet- en regelgeving of het uitvoeren van actieprogramma’s samen met vitale aanbieders. Ook vitale aanbieders nemen maatregelen om de continuïteit van hun dienst te waarborgen. De overheid ondersteunt vitale aanbieders bij het voldoen aan (wettelijke) verplichtingen. Bijvoorbeeld door te zorgen voor betere informatie-uitwisseling of goede aansluiting van vitale aanbieders op de publieke crisisstructuren- en partners.
Wettelijke verplichtingen
Vitale aanbieders hebben een belangrijke taak in het beschermen van vitale processen. Daarom is het van belang dat deze organisaties inzicht hebben in risico’s en hier voldoende maatregelen tegen nemen. Binnen het digitale domein zien rechten en plichten zien momenteel toe op de bescherming van belangrijke netwerk- en informatiesystemen door middel van de Wet Beveiliging Netwerk en Informatiesystemen (Wbni). Daarnaast is voor sommige vitale aanbieders sectorale wetgeving van toepassing, bijvoorbeeld de Drinkwaterwet of de Wet veiligheidstoets investeringen, fusies en overnames (Vifo).
Er wordt momenteel gewerkt aan een (verdere) verankering van rechten en plichten binnen het digitale èn fysieke domein door de implementatie van de CER-richtlijn en de herziene NIS2-richtlijn. Eind 2024 moeten deze richtlijnen zijn geïmplementeerd in nationale wetgeving en krijgen veel vitale aanbieders te maken met een zorgplicht, meldplicht en toezicht in zowel het fysieke als digitale domein. De overheid ondersteunt vitale aanbieders zoveel mogelijk bij het voldoen aan verplichtingen, bijvoorbeeld door het bevorderen van informatie-uitwisseling.
De cyclus vitaal
Het is van belang om goed zicht te houden op risico’s binnen de vitale processen. Daarom bestaat de cyclus vitaal: een methodiek om constant aandacht te hebben voor de belangen, dreigingen en weerbaarheid binnen de vitale infrastructuur. Het verantwoordelijke ministerie (vakdepartement) voert deze cyclus uit voor ieder vitaal proces in samenwerking met de betrokken vitale aanbieders. Dit gebeurt minimaal vierjaarlijks of eerder bij een actualiteit of dreiging. Denk bijvoorbeeld aan Covid-19 of de gevolgen van de Russische inval in Oekraïne. De cyclus vitaal bestaat uit stappen om te identificeren wat vitale processen en vitale aanbieders zijn (vitaalbeoordeling), wat de meest relevante risico’s zijn en wat de staat van de weerbaarheid is (weerbaarheidsanalyse) en of er aanvullende maatregelen nodig zijn (actieprogramma).