Inleiding
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (hierna: Cbw) van kracht. Dit is de Nederlandse implementatie van de Europese NIS2-richtlijn. Het doel van deze wet is ‘het in stand houden van kritieke maatschappelijke of economisch belangrijke functies of activiteiten, gericht op het verhogen van de cyberbeveiliging’. Nieuwe regels moeten zorgen voor verhoogde cyberbeveiliging, zoals risicobeheersing, het voorkomen van cyberincidenten, het beperken van de gevolgen van incidenten en het verkrijgen en verstrekken van informatie over incidenten. In Nederland krijgen ruim 8000 entiteiten in onder andere de energie-, transport- en gezondheidszorgsector met deze nieuwe verplichtingen te maken.

De Cbw verduidelijkt dat cyberbeveiliging niet langer alleen een IT-aangelegenheid is. Entiteiten moeten een cyberbeveiligingsbeleid voeren dat schriftelijk gedocumenteerd is, dat zij aantoonbaar toepassen en waarover zij verantwoording kunnen afleggen. Dit cyberbeveiligingsbeleid moet zien op beveiliging, risicomanagement, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veilige verwerving, ontwikkeling en onderhoud van systemen, cryptografie, toegangsbeheer en beheer van assets. Daarnaast moeten entiteiten medewerkers bewust maken van cyberrisico’s, ze praktijken op het gebied van cyberhygiëne laten toepassen en personeel aanwijzen dat is belast met de beveiliging van netwerk- en informatiesystemen.

Als entiteiten aan bovenstaande verplichtingen niet voldoen, kunnen bevoegde autoriteiten een last onder dwangsom of een bestuurlijke boete opleggen. De Cbw bevat daarnaast mogelijkheden om individuele bestuurders aan te spreken, bijvoorbeeld door de rechter te verzoeken een bestuurder te schorsen of hem een persoonlijke boete op te leggen.

In deze blog bespreken wij wat de Cbw inhoudt, voor wie de wet geldt, wat de verplichtingen zijn voor entiteiten, wat de consequenties zijn bij niet-naleving ervan en wat Wijn & Stael voor entiteiten kan betekenen.

Registratieplicht
Entiteiten die onder de Cbw vallen, moeten zich registreren bij het Nationaal Cyber Security Centrum (hierna: NCSC). De Cbw verdeelt entiteiten onder in twee categorieën: essentiële entiteiten en belangrijke entiteiten. Binnen de eerste categorie vallen middelgrote ondernemingen met meer dan 50 werknemers en meer dan 10 miljoen euro omzet in sectoren als, onder meer, energie, gezondheidszorg en digitale infrastructuur, maar ook publiekrechtelijke rechtspersonen zoals ministeries, provincies en gemeenten. Tot de tweede categorie van belangrijke entiteiten behoren kleine en micro-ondernemingen met minder dan 50 werknemers en minder dan 10 miljoen euro omzet in dezelfde sectoren, of middelgrote entiteiten in sectoren als de levensmiddelenindustrie, digitale aanbieders of onderzoeksorganisaties.

Deze omvangseis geldt niet voor entiteiten die domeinnaamregistratiediensten aanbieden, aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten en registers voor topleveldomeinnamen en overheidsorganisaties. Voor deze entiteiten geldt de Cbw altijd, ongeacht hun omvang.

Half augustus werd duidelijk dat nog lang niet alle ruim 8000 entiteiten die onder de wet vallen, zich hebben geregistreerd bij het NCSC.

Zorgplicht
Voor entiteiten op wie de Cbw van toepassing is, vormt artikel 21 een belangrijke verplichting. Dit artikel creëert een zorgplicht voor deze entiteiten om ‘passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen. Ook neemt zij maatregelen om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van haar diensten en voor andere diensten te beperken.’

Het Cyberbeveiligingsbesluit (hierna: Cbb) werkt de zorgplicht van artikel 21 Cbw verder uit. Entiteiten moeten onder andere schriftelijk cyberbeveiligingsbeleid opstellen, dat aantoonbaar toepassen en organisatorische maatregelen nemen met betrekking tot de verantwoordelijkheid voor dit cyberbeveiligingsbeleid. Dit beleid bevat risicomanagementmethodiek en criteria voor risicoacceptatie, waarmee toekomstige cyberincidenten naar objectieve maatstaven beoordeeld kunnen worden. Daarnaast moeten entiteiten verantwoordelijke teams aanwijzen voor incidentenbehandeling. Entiteiten moeten incidenten detecteren en analyseren, reageren op deze incidenten en vervolgens documenteren en rapporteren. Ten aanzien van bedrijfscontinuïteit moeten organisaties maatregelen nemen om die continuïteit te waarborgen, zoals het maken van back-ups en het schrijven van een herstelplan. Entiteiten moeten verder aan risicobeheer doen met betrekking tot de toeleveringsketen en tot het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen. Ook cryptografie moet onderdeel worden van het cyberbeveiligingsbeleid. Tenslotte moeten entiteiten ervoor zorgen dat het personeel op de hoogte is van cyberrisico’s, dat in kaart gebracht wordt welke personen verantwoordelijk zijn voor cyberbeveiliging en welke personen toegang krijgen tot haar netwerk- en informatiesystemen.

Implementatie van de zorgplicht vereist maatwerk. Per entiteit en per ICT-leverancier zal beoordeeld moeten worden welke maatregelen genomen moeten worden en wat dit betekent voor de overeenkomsten met de ICT-leverancier.

Governance
Meer dan voorheen komt de aandacht voor cyberbeveiliging in de bestuurskamer te liggen. Waar cyberincidenten beginnen als een ICT-aangelegenheid, wordt risicobeheer en de governance van cyberbeveiliging expliciet bij het bestuur van deze entiteiten neergelegd. Zo moet het volledige bestuur aantoonbaar over kennis en vaardigheden beschikken om:

• risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren;
• risicobeheersmaatregelen op het gebied van cyberbeveiliging te kunnen beoordelen; en
• de gevolgen van de risico’s en risicobeheersmaatregelen voor de diensten die door de entiteit worden verleend te kunnen beoordelen.

Bestuurders zijn gehouden hun kennis en vaardigheden over cyberrisico’s op peil te houden, bijvoorbeeld door trainingen te volgen die hen een certificaat van deelname geven. De Cbw stelt dat leden van het bestuur van entiteiten die onder de wet vallen binnen twee jaar na de inwerkingtreding moeten voldoen aan deze governance verplichtingen. Maar in de tussenliggende periode geldt de bovenstaande zorgplicht al wel. Wij kunnen ons daarom voorstellen dat bestuurders in dit eerdere stadium vooral leunen op adviseurs, totdat zij aan deze governance verplichtingen kunnen voldoen en zelf over de vereiste kennis en vaardigheden beschikken.

Meldplicht
De Cbw bevat meldplichten van ‘significante cyberincidenten’. Een cyberincident is significant als het ‘een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken’ en ‘andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken’. 

Het aanwijzen van een computer security incident response team (hierna: CSIRT) moet zorgen voor efficiënt monitoren, analyseren en reageren op cyberincidenten en voor communicatie en samenwerking tussen bestuur, bevoegde autoriteiten en CSIRT’s van andere entiteiten. In het geval van een significant incident geeft de entiteit binnen 24 uur een eerste melding aan haar CSIRT en de bevoegde autoriteit. De entiteit moet deze melding binnen 72 uur na het incident aanvullen of updaten met de initiële beoordeling van het incident en nog weer later een voortgangs- en eindverslag doen van het incident. Naast het eigen CSIRT en de autoriteiten, moeten entiteiten ook ‘onverwijld de ontvangers van haar diensten’ in kennis stellen en voorstellen doen waarmee deze ketenpartners kunnen reageren op de cyberdreiging.

In de praktijk zal een informatieasymmetrie tussen de ICT-leverancier en de afnemer bestaan. De ICT-leverancier zal over het algemeen beschikken over alle relevante informatie en als eerste door (zouden moeten) hebben dat een cyberincident plaatsvindt. Het is daarom goed om ook afspraken te maken met de ICT-leverancier over het melden van cyberincidenten en de daarbij door de ICT-leverancier aan te leveren informatie en de te verlenen medewerking, zodat de entiteit tijdig aan zijn meldingsverplichtingen onder de Cbw kan voldoen.

Handhaving
Met de handhaving van de Cbw zijn de toezichthouders van de betreffende ministeries belast. Essentiële en belangrijke entiteiten in de energiesector vallen bijvoorbeeld onder het ministerie van Economische Zaken en daarom fungeert de Rijksinspectie Digitale Infrastructuur als toezichthouder. Voor de sector gezondheidszorg is de Inspectie Gezondheidszorg en Jeugd de aangewezen toezichthouder.

Ten aanzien van essentiële entiteiten kan een bevoegde autoriteit een controlefunctionaris aanwijzen, een beveiligingsscan laten maken, auditwerk te laten uitvoeren, overtredingen openbaar maken of bindende aanwijzingen geven om specifieke maatregelen te nemen. Voor belangrijke entiteiten zijn het laten maken van de beveiligingsscan, het opleggen van auditwerk, het openbaar maken van overtredingen en het doen van een bindende aanwijzing de bevoegdheden van de autoriteiten.

De bevoegde autoriteit heeft vergaande handhavingsinstrumenten. Zo kan de autoriteit een last onder bestuursdwang opleggen aan zowel essentiële entiteiten als belangrijke entiteiten. Hetzelfde geldt voor de bestuurlijke boete, die bij essentiële entiteiten maximaal € 10.000.000,- bedraagt voor specifieke overtredingen en € 1.000.000 voor andere overtredingen. Voor belangrijke entiteiten zijn deze maxima € 7.000.000 en € 1.000.000. Bevoegde autoriteiten kunnen essentiële entiteiten een deadline opleggen om bepaalde maatregelen te nemen en zo een overtreding te stoppen. Houdt de entiteit zich daar niet aan, dan kan dit leiden tot schorsing van de certificering of vergunning van de entiteit, of tot schorsing van individuele bestuursleden.

Als laatste handhavingsmiddel hebben autoriteiten de mogelijkheid om een last onder dwangsom of een bestuurlijke boete op te leggen aan individuele leden van het bestuur van een entiteit.

Conclusies
Sinds de Cbw van kracht is, krijgen essentiële en belangrijke entiteiten die boven bepaalde omvangseisen vallen te maken met nieuwe verplichtingen op het gebied van cyberbeveiliging. 

Deze verplichtingen zijn als volgt samen te vatten:

• Registratieplicht en zorgplicht: nadat organisaties zich bij het NCSC geregistreerd hebben, geldt voor hen een zorgplicht om 'passende en evenredige technische, operationele en organisatorische' maatregelen te nemen ten behoeve van cyberbeveiliging. Hoewel de Cbw handvatten geeft in wat voor maatregelen dit zouden kunnen zijn, zullen entiteiten een cyberbeveiligingsbeleid moeten opstellen dat voor de eigen organisatie werkt.
• Verschuiving van verantwoordelijkheid naar het bestuur: het belangrijkste gevolg van de Cbw is dat de verantwoordelijkheid voor cyberbeveiligingsbeleid zich verplaatst van ICT-teams naar het bestuur. Het bestuur moet dit beleid top-down in de organisatie implementeren, de risico's identificeren en de gevolgen daarvan voor de diensten beoordelen.
• Meldplicht en aanwijzing van een CSIRT: daarnaast bevat de Cbw een meldplicht in het geval van een 'significant cyberincident' en verplicht zij entiteiten een CSIRT aan te wijzen dat communiceert met het bestuur, de bevoegde autoriteiten en CSIRT's van andere entiteiten.
• Handhavingsmogelijkheden: bevoegde autoriteiten hebben verschillende handhavingsmogelijkheden, zoals boetes, om entiteiten aan de verplichtingen van de Cbw te houden. Deze handhaving richt zich, naast de entiteiten zelf, ook op individuele bestuurders die governance verplichtingen niet nakomen.

Uiteindelijk zullen bestuurders van entiteiten die onder de Cbw vallen zorg moeten dragen voor het opstellen en in stand houden van cyberbeveiligingsbeleid en risicobeheer. Cyberbeveiliging is niet langer uitsluitend een optionele ICT-aangelegenheid, maar een afdwingbare verplichting voor entiteiten.