Veelgestelde vragen

De NIS2 is een afkorting van de Network and Information Security 2-richtlijn.

De NIS2 is de opvolger van de eerste NIS1-richtlijn. In Nederland ook wel bekend als de NIB richtlijn (netwerk- en informatiebeveiliging). Deze was in Nederland in 2016 geïmplementeerd in de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Vind hier de Nederlandse vertaling van de NIS2-richtlijn.

De samenleving en economie worden steeds afhankelijker van digitale processen en netwerk- en informatiesystemen. Tegelijkertijd neemt de cyberdreiging toe. De NIS2-richtlijn heeft tot doel om de cyberbeveiliging in de EU verder te versterken. NIS2 wil dit bereiken door de verschillen tussen lidstaten op het gebied van de cyberbeveiligingseisen weg te nemen. Deze richtlijn is daarom gericht op een geharmoniseerde versterking van de cyberbeveiliging van de Europese lidstaten.

Weerbaarheid is het vermogen om een incident zoveel mogelijk te voorkomen, de impact te beperken of te beheersen, efficiënt en effectief te reageren op een incident en zo snel mogelijk te herstellen van een incident. Weerbaarheid gaat om alle soorten risico’s, onafhankelijk van de oorzaak (Denk bijvoorbeeld aan ongevallen, overstromingen, noodsituaties op het gebied van de volksgezondheid zoals een pandemie, terroristische misdrijven, criminele infiltratie of sabotage).

De NIS2-richtlijn is op 16 januari 2023 in werking getreden. In Nederland is de richtlijn geïmplementeerd in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden.

Organisaties die onder de Cyberbeveiligingswet vallen, moeten vanaf 15 augustus 2026 voldoen aan de verplichtingen uit de wet.

De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet is op 15 augustus 2026 in werking getreden en heeft als doel de digitale weerbaarheid van organisaties te versterken.

Met de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 is de Wet beveiliging netwerk- en informatiesystemen (Wbni) ingetrokken.

Nee, in de Cyberbeveiligingswet is geregeld dat de Wet open overheid niet van toepassing is op vertrouwelijke gegevens die onder andere de bevoegde autoriteit en het centrale contactpunt verwerken in het kader van de uitoefening van hun taken op grond van de Cyberbeveiligingswet.

Organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, krijgen te maken met verschillende verplichtingen. De belangrijkste zijn:

• Registratieplicht – Essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen, moeten zich registreren in het entiteitenregister. Registreren kan via MijnNCSC. Organisaties moeten hun geregistreerde gegevens actueel houden.

• Zorgplicht – Essentiële en belangrijke entiteiten moeten risico’s voor de beveiliging van hun netwerk- en informatiesystemen in kaart brengen en passende en evenredige technische, operationele en organisatorische maatregelen nemen om deze risico’s te beheersen. De maatregelen zijn nader uitgewerkt in het Cyberbeveiligingsbesluit en, waar van toepassing, ministeriële regelingen.

• Meldplicht – Essentiële en belangrijke entiteiten moeten significante incidenten melden bij het aangewezen Computer Security Incident Response Team (CSIRT) en de bevoegde toezichthouder. Melden kan via het centrale meldportaal op MijnNCSC. Met één melding kunnen organisaties voldoen aan hun meldplicht richting beide partijen.

• Bestuurlijke verantwoordelijkheid – Het bestuur moet de maatregelen voor het beheersen van cyberbeveiligingsrisico’s goedkeuren en toezien op de uitvoering daarvan. Uitvoerende bestuurders moeten daarnaast over voldoende kennis en vaardigheden beschikken om cyberbeveiligingsrisico’s en de gevolgen daarvan te kunnen begrijpen en beoordelen. Hiervoor geldt een trainingsplicht.

Welke verplichtingen precies gelden, hangt onder meer af van het type entiteit en de sector waarin een organisatie actief is.

In de markt worden verschillende keurmerken en certificaten aangeboden die organisaties kunnen helpen bij het werken aan hun cyberbeveiliging. Dergelijke initiatieven zijn een vorm van zelfregulering en kunnen onder de juiste voorwaarden bijdragen aan het versterken van de digitale weerbaarheid.

Een keurmerk of certificaat heeft echter geen zelfstandige juridische status voor het voldoen aan de verplichtingen uit de Cyberbeveiligingswet. Het bezit van een keurmerk of certificaat betekent dus niet automatisch dat een organisatie aan de wettelijke verplichtingen voldoet. Het is aan de bevoegde toezichthouder om te beoordelen of een organisatie de Cyberbeveiligingswet naleeft.

Vanuit de Rijksoverheid zijn verschillende hulpmiddelen en kennisproducten beschikbaar die organisaties kunnen helpen bij het voldoen aan de verplichtingen uit de Cyberbeveiligingswet. Denk bijvoorbeeld aan de NIS2-Zelfevaluatie, de NIS2-Quickscan en het NIS2 Control Framework. Deze hulpmiddelen hebben geen zelfstandige juridische status. Ze zijn bedoeld om organisaties te ondersteunen bij het in kaart brengen van risico’s en het nemen en beoordelen van maatregelen.

Marktinitiatieven betreffen een vorm van zelfregulering, waarbij een keurmerk als instrument wordt ingezet. Zelfregulering kan onder de juiste randvoorwaarden bijdragen aan het behalen van een maatschappelijk doel. Keurmerken hebben echter geen zelfstandige status in relatie tot het voldoen aan de wettelijke vereisten. Het is aan de toezichthouder om te bezien of een partij aan de wet voldoet. Er wordt dus vanuit de Rijksoverheid geen uitspraak gedaan over dit soort initiatieven.

Vanuit de Rijksoverheid (NCSC, RDI) worden voorafgaand aan de inwerkingtreding van de Cyberbeveiligingswet wel verschillende tools en kennisproducten opgesteld die partijen kunnen helpen bij het voldoen aan de vereisten uit de zorgplicht van de Cyberbeveiligingswet. Deze tools hebben geen juridische status en zijn bedoeld als hulpmiddel. Het is aan de toezichthouders om te bezien of een partij aan de wet voldoet.

Of een organisatie onder de Cyberbeveiligingswet (Cbw) valt, hangt onder meer af van de sector waarin de organisatie actief is, het soort entiteit en de omvang van de organisatie. Veel organisaties vallen van rechtswege onder de wet.

Organisaties die onder de Cbw vallen, kunnen worden aangemerkt als essentiële entiteit of belangrijke entiteit. Voor bepaalde soorten organisaties gelden uitzonderingen op de omvangscriteria. Ook kunnen organisaties in specifieke gevallen worden aangewezen als essentiële of belangrijke entiteit.

Organisaties zijn zelf verantwoordelijk om na te gaan of zij onder de Cyberbeveiligingswet vallen.

Bekijk de pagina Welke organisaties vallen onder de Cyberbeveiligingswet voor de criteria, uitzonderingen, stroomschema’s en de zelfevaluatietool.

De Cyberbeveiligingswet (Cbw) is van toepassing op centrale en decentrale overheidsinstanties. Hieronder vallen onder meer ministeries, zelfstandige bestuursorganen (zbo’s), provincies, gemeenten en waterschappen. Voor overheidsinstanties gelden de omvangscriteria niet.

Een overheidsinstantie moet wel voldoen aan de definitie van overheidsinstantie uit de Cyberbeveiligingswet.

Overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving zijn uitgesloten van het toepassingsgebied van de Cbw. Dit geldt onder meer voor het ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het openbaar ministerie, de politie en de veiligheidsregio’s.

Bekijk de pagina Welke organisaties vallen onder de Cyberbeveiligingswet? voor meer informatie over de reikwijdte van de Cbw voor overheidsinstanties.

Veel organisaties vallen van rechtswege onder de Cyberbeveiligingswet. Of dit voor jouw organisatie geldt, hangt onder meer af van de sector waarin de organisatie actief is, het soort entiteit en de omvang van de organisatie. Voor bepaalde soorten organisaties gelden uitzonderingen op de omvangscriteria.

Organisaties zijn zelf verantwoordelijk om na te gaan of zij onder de Cyberbeveiligingswet vallen.

Met de NIS2-Zelfevaluatietool kun je een eerste beoordeling doen of jouw organisatie van rechtswege onder de Cyberbeveiligingswet valt en of de organisatie kwalificeert als essentiële of belangrijke entiteit.

Bekijk voor de volledige uitleg, uitzonderingen en stroomschema’s de pagina Welke organisaties vallen onder de Cyberbeveiligingswet.

De Cyberbeveiligingswet is van toepassing op de hele organisatie, niet alleen op het organisatieonderdeel dat de dienst levert die onder de wet valt. Dat betekent dat de gehele organisatie moet voldoen aan de verplichtingen uit de wet, waaronder het treffen van passende en evenredige maatregelen om de cyberbeveiliging en weerbaarheid te waarborgen.  

Ook de meldplicht kan van toepassing zijn op incidenten die zich voordoen bij andere onderdelen van de organisatie. Een melding is echter alleen verplicht als een incident significante gevolgen heeft of kan hebben voor de dienstverlening of de maatschappij. Incidenten zonder significante gevolgen hoeven daarom in beginsel niet te worden gemeld.

Voor organisaties die in meerdere EU-lidstaten actief zijn, hangt dit onder meer af van het soort entiteit, waar de organisatie is gevestigd en – voor bepaalde digitale dienstverleners – waar de hoofdvestiging of vertegenwoordiger zich bevindt.

Bekijk de Handreiking complexe bedrijfsmodellen voor meer informatie over het bepalen welke nationale wetgeving van toepassing is.

Wanneer in de handreiking wordt gesproken over digitale dienstverleners wordt daarmee gedoeld op de volgende entiteiten: DNS-dienstverleners; registers voor topleveldomeinnamen; aanbieders van cloudcomputingdiensten; aanbieders van datacentrumdiensten; aanbieders van netwerken voor de levering van inhoud; aanbieders van beheerde diensten; aanbieders van beheerde beveiligingsdiensten; aanbieders van onlinemarktplaatsen; aanbieders van onlinezoekmachines; en aanbieders van platforms voor socialenetwerkdiensten. Hieronder vallen in deze handreiking dus niet de aanbieders van openbare elektronische communicatienetwerken, aanbieders van openbare elektronische communicatiediensten, aanbieders van internetknooppunten, verleners van vertrouwensdiensten en verleners van domeinnaamregistratiediensten.

Digitale dienstverleners kunnen een essentiële entiteit of een belangrijke entiteit zijn. Dit is afhankelijk van het soort entiteit en de omvang van de entiteit.

Voor registers voor topleveldomeinnamen en DNS-dienstverleners geldt dat zij ongeacht hun omvang een essentiële entiteit zijn.

Voor andere digitale dienstverleners, namelijk aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten, geldt dat zij een essentiële entiteit zijn als zij een grote onderneming zijn, dan wel een belangrijke entiteit als zij een middelgrote onderneming zijn.

In afwijking hiervan geldt voor aanbieders van onlinemarktplaatsen, onlinezoekmachines of platforms voor socialenetwerkdiensten dat zij een belangrijke entiteit zijn als zij een grote of middelgrote onderneming zijn.

Digitale dienstverleners vallen onder de Cyberbeveiligingswet en dus onder de jurisdictie van Nederland, indien zij haar hoofdvestiging óf vertegenwoordiger in Nederland hebben én hun diensten verlenen of activiteiten verrichten in Nederland of een andere lidstaat van de Europese Unie. Let wel, het is dus hiervoor niet nodig dat de entiteit zelf ook in Nederland gevestigd is. Het kan dan dus zo zijn dat de digitale dienstverlener zelf bijvoorbeeld in Duitsland gevestigd is, maar onder de Cyberbeveiligingswet valt omdat de hoofdvestiging zich in Nederland bevindt.

Dit is alleen het geval wanneer het gaat om essentiële entiteiten of belangrijke entiteiten die digitale dienstverlener zijn, wanneer hun hoofdvestiging zich in Nederland bevindt óf de vertegenwoordiger in Nederland is gevestigd.

Daarnaast geldt voor aanbieders van openbare elektronische communicatienetwerken en -diensten die essentiële entiteit of belangrijke entiteit zijn dat onder de Cyberbeveiligingswet vallen wanneer zij hun diensten in Nederland aanbieden. 

Onder hoofdvestiging wordt in relatie tot bovenbedoelde digitale dienstverleners op grond van de Cyberbeveiligingswet gedoeld op de vestiging waar de beslissingen met betrekking tot de maatregelen voor het beheersen van cyberbeveiligingsrisico’s hoofdzakelijk worden genomen. Worden deze beslissingen hoofdzakelijk in Nederland genomen, dan wordt een digitale dienstverlener dus geacht haar hoofdvestiging in Nederland te hebben. Indien deze beslissingen niet hoofdzakelijk in Nederland of een andere lidstaat van de EU worden genomen óf niet kan worden bepaald in welke lidstaat van de EU deze beslissingen hoofdzakelijk worden genomen, wordt de hoofdvestiging geacht zich in die Europese lidstaat te bevinden waar de cyberbeveiligingsactiviteiten worden uitgevoerd. Worden deze activiteiten in Nederland uitgevoerd, dan wordt een entiteit dus geacht haar hoofdvestiging in Nederland te hebben. Indien de cyberbeveiligingsactiviteiten niet in Nederland of een andere lidstaat van de EU worden uitgevoerd óf niet bepaald kan worden in welke lidstaat deze activiteiten worden uitgevoerd, wordt de hoofdvestiging geacht zich te bevinden in die lidstaat van de EU waar de betrokken entiteit het grootste aantal werknemers in de EU heeft. 

Dit is alleen relevant wanneer het gaat om bovenbedoelde digitale dienstverleners. Als een digitale dienstverlener niet in de Europese Unie is gevestigd, maar wel in Nederland of een andere lidstaat van de Europese Unie diensten verleent of activiteiten verricht, dan moet deze entiteit een vertegenwoordiger aanwijzen in de Europese Unie. Wanneer de vertegenwoordiger dan in Nederland wordt gevestigd, valt de digitale dienstverlener onder de Cyberbeveiligingswet.

Met niet in de Europese Unie gevestigd wordt bedoeld dat de betreffende entiteit in geen enkele lidstaat is gevestigd.

Nee, als een digitale dienstverlener een hoofdvestiging in een Europese lidstaat heeft, dan hoeft zij geen vertegenwoordiger meer aan te wijzen.

Dit kan zowel in het Nederlands als in het Engels.

Organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, moeten aan verschillende verplichtingen voldoen. Zo moeten zij zich registreren, risico’s voor hun netwerk- en informatiesystemen in kaart brengen en passende en evenredige maatregelen nemen om deze risico’s te beheersen. Ook moeten significante incidenten worden gemeld. Daarnaast gelden er verantwoordelijkheden voor het bestuur.

Op de pagina Aan de slag met de Cyberbeveiligingswet: waar begin je? staan praktische stappen, hulpmiddelen en meer informatie over de verplichtingen uit de Cbw.

Voor sectorspecifieke vragen over de toepassing van de Cyberbeveiligingswet kunnen organisaties terecht bij het ministerie dat verantwoordelijk is voor hun sector.

• Ministerie van Binnenlandse Zaken
• Ministerie van Economische Zaken
• Ministerie van Financiën
• Ministerie van Infrastructuur en Waterstaat
• Ministerie van Landbouw, Visserij, Voedsel en Natuur
• Ministerie van Volksgezondheid, Welzijn en Sport

Bekijk de Cyberbeveiligingswet doorverwijsboom voor een overzicht van de verantwoordelijke ministeries, CSIRT’s en toezichthouders per sector.

De essentiële en belangrijke entiteiten hebben een wettelijke verplichting om gegevens aan te leveren voor een zogenoemd entiteitenregister. Met dit register vergroot de Europese Unie zicht op de digitale weerbaarheid van belangrijke en essentiële diensten en organisaties.

Tegelijkertijd moeten bevoegde autoriteiten, toezichthouders en CSIRT’s over deze gegevens kunnen beschikken voor het uitoefenen van hun wettelijke taken. Om ervoor te zorgen dat entiteiten deze informatie laagdrempelig kunnen aanleveren en beheren is ervoor gekozen om een registratiemechanisme in te richten bij de Minister van Justitie en Veiligheid. Via een technische oplossing wordt gewaarborgd dat bevoegde autoriteiten, toezichthouders en CSIRT’s uitsluitend toegang krijgen tot de gegevens uit het register voor zover zij deze nodig hebben voor het uitvoeren van hun wettelijke taken onder deze richtlijn. Op die manier wordt de groep die toegang heeft tot deze gegevens zo beperkt mogelijk gehouden. Voor meer informatie over registratie kan je terecht op de website van het NCSC.

Vanaf 15 augustus 2026 geldt de registratieplicht uit de Cyberbeveiligingswet. Essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen, moeten zich registreren in het entiteitenregister.

Registreren kan via MijnNCSC. Organisaties zijn zelf verantwoordelijk voor een tijdige registratie en voor het actueel houden van hun geregistreerde gegevens.

Meer informatie over de registratieplicht en welke gegevens nodig zijn voor de registratie staat op de pagina Registreren voor de Cyberbeveiligingswet.

Om te kunnen registreren moet je inloggen bij het portaal met behulp van e-Herkenning. Via eHerkenning kan de authenticatie voor organisaties worden vastgesteld. eHerkenning is persoonsgebonden en niet overdraagbaar aan anderen. Dit maakt het een zeer veilige toepassing voor inloggen. Wil je inloggen op MijnNCSC met eHerkenning? Vraag dan een machtiging bij de eHerkenning beheerder in jouw organisatie. Alleen deze persoon kan zorgen voor eHerkenning voor MijnNCSC op jouw naam.

Ja. Essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen, zijn verplicht zich te registreren in het entiteitenregister. Registreren kan via MijnNCSC.

Met de registratie kan het NCSC organisaties onder meer informeren voer digitale dreigingen, kwetsbaarheden en incidenten en – waar van toepassing – ondersteuning bieden bij incidenten.

Meer informatie over registratie en het registratieportal is te vinden  op de website van het NCSC.

Dat hangt af van het type organisatie. Voor de meeste organisaties geldt dat zij onder de wetgeving vallen van iedere EU-lidstaat waar zij zijn gevestigd en diensten verlenen of activiteiten verrichten. Dit kan betekenden dat een organisatie zich in meerdere lidstaten moeten registeren.

Voor bepaalde digitale dienstverleners gelden andere regels. Voor hen is het beginsel de lidstaat waar de hoofdvestiging zich bevindt bepalend. Voor organisaties die niet in de Europese Unie zijn gevestigd, kan de plaats van hun aangewezen vertegenwoordiger bepalend zijn.

Bekijk de handreiking complexe bedrijfsmodellen voor meer informatie over welke nationale wetgeving van toepassing is op de organisaties die in meerdere EU-lidstaten actief zijn.

Organisaties die zich registreren kunnen aanspraak maken op ondersteuning door de CSIRT. Zonder die registratie kan die ondersteuning feitelijk niet worden gegeven.

Tevens wordt toezicht gehouden op de naleving van de registratieplicht van de Cyberbeveiligingswet. Als een toezichthouder vaststelt dat een organisatie zich onterecht niet heeft geregistreerd als essentiële entiteit bijvoorbeeld, kan een bindende aanwijzing of een last onder dwangsom worden gegeven zodat de organisatie zich alsnog registreert. Andersom is het ook mogelijk dat organisaties zich ten onrechte registreren. De Cyberbeveiligingswet geeft de bevoegde autoriteit de bevoegdheid om een onterechte registratie te beëindigen.

Essentiële en belangrijke entiteiten hebben op grond van de Cyberbeveiligingswet een zorgplicht. Dit houdt in dat zij passende en evenredige technische, operationele en organisatorische maatregelen moeten nemen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen, incidenten te voorkomen en de gevolgen van incidenten te beperken.

De Cyberbeveiligingswet noemt verschillende maatregelen die in het kader van de zorgplicht in elk geval moeten worden genomen. Het gaat onder meer om beleid voor risicoanalyse en beveiliging van informatiesystemen, incidentenbehandeling, bedrijfscontinuïteit en beveiliging van de toeleveringsketen. De maatregelen zijn nader uitgewerkt in het Cyberbeveiligingsbesluit en, voor bepaalde sectoren, in ministeriële regelingen.

Bekijk voor meer informatie de pagina Zorgplicht.

Essentiële en belangrijke entiteiten moeten significante incidenten melden bij het aangewezen CSIRT en de bevoegde toezichthouder. Het meldproces bestaat uit verschillende wettelijk vastgelegde stappen:

• Vroegtijdige waarschuwing: zo snel mogelijk en uiterlijk binnen 24 uur nadat de organisatie kennis heeft gekregen van het significante incident.
• Incidentmelding: uiterlijk binnen 72 uur na kennisname van het significante incident. Deze melding bevat onder meer een eerste beoordeling van de ernst en gevolgen van het incident.
• Tussentijds verslag: op verzoek van het CSIRT of de bevoegde toezichthouder verstrekt de organisatie relevante updates over het incident.
• Eindverslag: uiterlijk één maand na de incidentmelding. Hierin wordt onder meer ingegaan op de ernst en gevolgen van het incident, de oorzaak en de genomen of lopende maatregelen.

Melden kan via het centrale meldportaal op MijnNCSC. Via dit portaal kan een organisatie met één melding voldoen aan de meldplicht richting het aangewezen CSIRT en de bevoegde toezichthouder.

Een organisatie die actief is in meerdere sectoren kan te maken hebben met meerdere bevoegde toezichthouders. Een significant incident moet worden gemeld bij het aangewezen CSIRT en de bevoegde toezichthouder of toezichthouders.

Om het melden zo eenvoudig mogelijk te maken, kunnen organisaties significante incidenten melden via het centrale meldportaal op MijnNCSC. De melding wordt vervolgens beschikbaar gesteld aan het aangewezen CSIRT en de bevoegde toezichthouder(s).

Voor een overzicht van de verantwoordelijke ministeries, CSIRT’s en toezichthouders per sector kun je de Cyberbeveiligingswet doorverwijsboom bekijken.

De Cyberbeveiligingswet bepaalt wanneer sprake is van een significant incident en legt de verschillende stappen van het meldproces vast. In het Cyberbeveiligingsbesluit is geregeld dat de criteria om te bepalen of een incident significant is, bij ministeriële regeling worden vastgesteld.

Voor deze sectorspecifieke uitwerking is gekozen omdat de aard en impact van incidenten per sector kunnen verschillen. In ministeriële regelingen zijn daarom criteria en drempelwaarden opgenomen die bepalen wanneer een incident voor een bepaalde sector als significant wordt beschouwd en moet worden gemeld. Zo bevat bijvoorbeeld de regeling voor IenW expliciete drempelwaarden voor significante incidenten.

Bekijk de pagina Wet- en regelgeving voor de ministeriële regelingen en de criteria die voor de verschillende sectoren gelden.

Het bestuur van een essentiële of belangrijke entiteit moet de maatregelen goedkeuren die de organisatie neemt om aan de zorgplicht uit de Cyberbeveiligingswet te voldoen en toezien op de uitvoering daarvan. Om deze verantwoordelijkheid goed te kunnen invullen, moeten bestuurders voldoende kennis en vaardigheden hebben om cyberbeveiligingsrisico’s en de gevolgen daarvan voor de organisatie te kunnen begrijpen en beoordelen.

Om aan te tonen dat zij over deze kennis en vaardigheden beschikken, moeten bestuurders een training volgen en over een certificaat beschikken. De eisen aan de training en het certificaat zijn vastgelegd in het Cyberbeveiligingsbesluit.

Bekijk voor meer informatie de pagina Bestuurlijke verantwoordelijkheid en trainingsplicht voor bestuurders.

De training moet bestuurders voldoende kennis en vaardigheden geven om cyberbeveiligingsrisico’s en maatregelen op bestuurlijk niveau te kunnen beoordelen. De training behandelt in ieder geval:

• verschillende soorten risico’s voor netwerk- en informatiesystemen;
• risicomanagementprocessen;
• methoden om risico’s te beoordelen;
• de cyberbeveiligingsmaatregelen die organisaties in het kader van de zorgplicht moeten nemen en de mogelijke gevolgen daarvan.

Van bestuurders wordt daarbij geen technische expertise verwacht. Het gaat erom dat zij op strategisch niveau voldoende kennis hebben om risico’s en maatregelen te kunnen beoordelen en hierover afgewogen besluiten te nemen.

Ja. Bestuurders die onder de trainingsplicht vallen, moeten beschikken over een certificaat waaruit blijkt dat zij hebben deelgenomen aan een training die aan de wettelijke eisen voldoet.

Op het certificaat moeten in ieder geval de naam van de bestuurder, de datum of data waarop de training is gevolgd, de behandelde onderwerpen en de naam van de aanbieder van de training staan.

Let op: de trainingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten. Voor niet-uitvoerende bestuurders geldt deze verplichting niet.

Er geldt geen vaste termijn waarbinnen de training moet worden herhaald. Bestuurders moeten hun kennis en vaardigheden wel aantoonbaar actueel houden.

Organisaties en bestuurders kunnen zelf bepalen hoe zij hier invulling aan geven. Dit hoeft niet per se door dezelfde training opnieuw te volgen.

Het certificaat moet in het Nederlands of Engels zijn opgesteld. De training zelf mag in een andere taal worden gegeven.

Bestuurders die onder de trainingsplicht vallen, moeten voldoen aan de eisen uit de Cyberbeveiligingswet. Als een bestuurder niet aan de trainingsplicht voldoet, voldoet de entiteit op dit onderdeel niet aan de wettelijke verplichtingen. De bevoegde toezichthouder kan toezien op de naleving hiervan en zo nodig handhavend optreden.

Bekijk voor meer informatie over toezicht en handhaving de pagina Toezicht op de Cyberbeveiligingswet.

Nee. Essentiële en belangrijke entiteiten blijven zelf verantwoordelijk voor hun cyberbeveiliging en voor het voldoen aan de verplichtingen uit de Cyberbeveiligingswet. Zij kunnen voor reguliere cyberbeveiligingsdiensten en incidentrespons ook gebruikmaken van commerciële partijen.

De CSIRT’s hebben specifieke wettelijke taken. Zij monitoren en analyseren cyberdreigingen, kwetsbaarheden en incidenten en kunnen essentiële en belangrijke entiteiten ondersteunen bij cyberincidenten. Ook verstrekken zij waarschuwingen, adviezen en informatie over cyberdreigingen en kwetsbaarheden.

Essentiële en belangrijke entiteiten kunnen ondersteuning krijgen van het CSIRT dat voor hun sector is aangewezen. Een CSIRT kan onder andere:

• ondersteuning bieden bij cyberdreigingen en incidenten;
• informeren over kwetsbaarheden;
• waarschuwingen en adviezen verstrekken;
• informatie delen over dreigingen;
• op verzoek netwerk- en informatiesystemen scannen.

Voor de meeste organisaties worden deze taken uitgevoerd door het NCSC. Voor sommige sectoren is een ander CSIRT aangewezen.

Bekijk voor meer informatie de pagina Ondersteuning door een CSIRT.

Op de verwerking van persoonsgegevens door CSIRT’s is de Algemene verordening gegevensbescherming (AVG) van toepassing. Dit geldt ook voor persoonsgegevens die in het kader van informatie-uitwisseling tussen CSIRT’s worden verwerkt.

De regels uit de AVG over onder meer de rechtmatige verwerking en beveiliging van persoonsgegevens zijn daarbij van toepassing.

Wanneer persoonsgegevens worden doorgegeven aan landen buiten de Europese Economische Ruimte, zijn de regels uit de AVG voor doorgifte van persoonsgegevens aan derde landen van toepassing. Deze regels bepalen onder welke voorwaarden persoonsgegevens aan een derde land of internationale organisatie mogen worden doorgegeven.

Organisaties die onder de Cyberbeveiligingswet vallen, staan onder toezicht. De bevoegde toezichthouder ziet toe op de naleving van de verplichtingen uit de Cyberbeveiligingswet, zoals de zorgplicht en meldplicht.

Voor essentiële entiteiten geldt proactief toezicht. Dit betekent dat de toezichthouder ook toezicht kan houden zonder dat er concrete aanwijzingen zijn dat een organisatie de wet niet naleeft.

Voor belangrijke entiteiten geldt reactief toezicht. De toezichthouder treedt bij deze organisaties op wanneer er aanwijzingen zijn dat zij niet aan de verplichtingen uit de Cyberbeveiligingswet voldoen.

De toezichthouder kan verschillende instrumenten inzetten om te beoordelen of een organisatie aan de wettelijke verplichtingen voldoet. Toezichts- en handhavingsmaatregelen richten zich in eerste instantie op de entiteit, maar kunnen in bepaalde gevallen ook individuele bestuurders raken.

Bekijk voor meer informatie de pagina Toezicht op de Cyberbeveiligingswet.

Ja, ook toeleveranciers kunnen gevolgen ondervinden van de Cyberbeveiligingswet. Organisaties die onder de Cyberbeveiligingswet vallen, moeten namelijk ook de risico’s voor de beveiliging van hun toeleveringsketen in kaart brengen en passende maatregelen nemen om deze risico’s te beheersen.

Dit betekent niet dat een toeleverancier automatisch zelf onder de Cyberbeveiligingswet valt. Wel kunnen organisaties die onder de wet vallen eisen stellen aan de cyberbeveiliging van hun rechtstreekse leveranciers en dienstverleners en hierover afspraken maken.

Bekijk voor meer informatie de pagina Ketenbeveiliging en leveranciers.

Een rechtstreekse toeleverancier van een organisatie die onder de Cyberbeveiligingswet valt, is een belangrijke schakel in de keten. Naast het op orde brengen van de basisbeveiliging kan een organisatie die onder de Cyberbeveiligingswet valt van toeleveranciers verlangen dat zij specifieke maatregelen nemen om de cyberbeveiliging te versterken.

Meer informatie over maatregelen die toeleveranciers kunnen nemen, staat op de pagina Ketenbeveiliging en leveranciers.

Essentiële en belangrijke entiteiten kunnen in bepaalde gevallen worden verplicht om in aangewezen onderdelen van hun netwerk- en informatiesystemen geen gebruik te maken van producten of diensten van een specifieke leverancier.

De verantwoordelijke vakminister kan deze verplichting, in overeenstemming met de minister van Justitie en Veiligheid, opleggen als dit noodzakelijk is om risico’s voor de nationale veiligheid te beheersen of incidenten die de nationale veiligheid raken te voorkomen. De bevoegdheid is geregeld in artikel 21a van de Cyberbeveiligingswet.

Het moet gaan om risico’s voor de beveiliging van netwerk- en informatiesystemen die de nationale veiligheid raken. Hierbij kan bijvoorbeeld worden gedacht aan risico’s op sabotage of spionage.

Voordat een verplichting wordt opgelegd, wordt beoordeeld of andere maatregelen mogelijk en toereikend zijn om het risico voldoende te beheersen.

De verplichting kan alleen gelden voor de onderdelen van de netwerk- en informatiesystemen die in de beschikking van de verantwoordelijke vakminister zijn aangewezen. De maatregel wordt beperkt tot de onderdelen waarvoor het weren van producten of diensten van de betreffende leverancier noodzakelijk is.