Welke organisaties vallen onder de Cyberbeveiligingswet?

Zelfevaluatietool

Organisaties kunnen met de zelfevaluatietool een eerste beoordeling doen of ze onder de Cyberbeveiligingswet vallen en hoe ze worden gekwalificeerd (essentieel of belangrijk). Of doorloop onderstaande stappen.

Stap 1: Controleer of jouw organisatie behoort tot een van onderstaande de sectoren.

De Cyberbeveiligingswet is van toepassing op de onderstaande sectoren. Zie bijlage 1 en 2 van de Cyberbeveiligingswet voor een gedetailleerd overzicht van deze sectoren en daaronder vallende soorten entiteiten.

Stap 2: Controleer of jouw organisatie voldoet aan de omvangscriteria.

Nadat is vastgesteld dat jouw organisatie behoort tot een soort entiteit die is opgenomen in bijlage 1 of bijlage 2 van de Cyberbeveiligingswet, moet worden beoordeeld of wordt voldaan aan de omvangscriteria. Daarbij wordt onder meer gekeken naar het aantal medewerkers, de jaaromzet en het balanstotaal.

Voor sommige organisaties gelden deze omvangscriteria niet. Zij vallen onder de Cyberbeveiligingswet, ongeacht hun omvang. Dit geldt voor: aanbieders van openbare elektronische communicatienetwerken, aanbieders van openbare elektronische communicatiediensten, (gekwalificeerde) verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen, DNS-dienstverleners en overheidsorganisaties, en voor verleners van domeinnaamregistratiediensten.

Stap 3: Bepaal aan de hand van het stroomschema of jouw organisatie een essentiële entiteit óf een belangrijke entiteit is

Wanneer duidelijk is dat jouw organisatie onder bijlage 1 of bijlage 2 van de Cyberbeveiligingswet valt én wat de omvang van jouw organisatie is, kan met behulp van de stroomschema’s worden bepaald of er sprake is van een essentiële entiteit óf een belangrijke entiteit. Dit onderscheid is belangrijk, omdat het invloed heeft op de manier waarop toezicht wordt gehouden:

• Essentiële entiteit:
  Essentiële entiteiten staan onder proactief toezicht: de naleving van verplichtingen wordt actief gecontroleerd, ook als er geen aanwijzingen voor een mogelijke overtreding zijn.
• Belangrijke entiteit:
  Belangrijke entiteiten vallen onder reactief toezicht: controles vinden achteraf plaats, naar aanleiding van bijvoorbeeld aanwijzingen of informatie over een mogelijke overtreding. Zoals in het stroomschema op de volgende pagina te zien is, zijn ook hier enkele uitzonderingen van toepassing.

Essentiële entiteiten

Grote organisaties die behoren tot een van de sectoren, genoemd in bijlage 1 van de Cyberbeveiligingswet, kwalificeren als essentiële entiteit. De volgende organisaties kwalificeren, ongeacht hun omvang, als essentiële entiteit onder de Cyberbeveiligingswet: centrale en decentrale overheden (zie hieronder voor een nadere toelichting), gekwalificeerde vertrouwensdienstverleners, aanbieders van registers voor topleveldomeinnamen en verleners van DNS-diensten. Ook aanbieders van openbare elektronische communicatienetwerken of -diensten, die middelgroot zijn, zijn essentiële entiteiten.

Belangrijke entiteiten

Middelgrote organisaties die behoren tot een van de sectoren, genoemd in bijlage 1 van de Cyberbeveiligingswet (en niet op grond van het bovenstaande kwalificeren als essentiële entiteit) kwalificeren als belangrijke entiteit. Ook middelgrote en grote organisaties, die behoren tot een van de genoemde sectoren, genoemd in bijlage 2 van de Cyberbeveiligingswet, kwalificeren als belangrijke entiteit. Ook aanbieders van openbare elektronische communicatienetwerken of -diensten en verleners van vertrouwensdiensten die een kleine of micro-organisatie zijn, kwalificeren als belangrijke entiteit.

Overheidsinstanties

Binnen de overheid vallen verschillende organisaties die onder de Cyberbeveiligingswet als essentiële entiteit. Het gaat onder meer om ministeries (inclusief daaronder behorende dienstonderdelen), zelfstandige bestuursorganen die als overheidsinstantie kwalificeren, provincies, gemeenten, waterschappen en organisaties die zijn gericht op grond van de Wet gemeenschappelijke regelingen.

Voor deze organisaties geldt geen omvangscriteria: ook kleineren organisaties kunnen onder de Cyberbeveiligingswet vallen. Wel moeten zij voldoen aan de definitie van overheidsinstantie zoals opgenomen in artikel 1 van de Cyberbeveiligingswet.

Van de Cyberbeveiligingswet zijn overheidsinstanties uitgezonderd die hun werkzaamheden hoofdzakelijk uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving. Hieronder vallen onder meer het Ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s.

Onderwijs

De Minister van Onderwijs, Cultuur en Wetenschap heeft voor bekostigde hogescholen en universiteiten gebruikgemaakt van de mogelijkheid om hoger-onderwijsinstellingen aan te wijzen als belangrijke entiteit. Met de ministeriële regeling waarin deze aanwijzing is vastgelegd, vallen deze instellingen onder de Cyberbeveiligingswet.

Complexe bedrijfsmodellen

Voor organisaties met een complexe bedrijfsstructuur is het vaststellen of zij onder de Cyberbeveiligingswet vallen vaak ingewikkeld. Denk aan organisaties met meerdere vestigingen binnen Nederland, in andere Europese lidstaten of in andere landen. De handreiking complexe bedrijfsmodellen is speciaal bedoeld voor deze organisaties. De handreiking biedt ondersteuning bij het bepalen of deze organisaties onder de Cyberbeveiligingswet vallen óf dat zij onder de nationale wetgeving van een andere Europese lidstaat vallen.

Lees meer

Zie voor meer informatie het ingediende wetsvoorstel voor de Cyberbeveiligingswet en het concept van de algemene maatregel van bestuur.