Cyberbeveiligingswet: ‘Wees er snel klaar voor bent!’
Cyberbeveiligingswet: ‘Zorg dat je er snel klaar voor bent!’
De Cyberbeveiligingswet (Cbw) is de Nederlandse vertaling van de Europese NIS2-richtlijn. Deze wet stelt strengere eisen aan de digitale veiligheid van organisaties in vitale sectoren. Doel van de wet is het verbeteren van de bescherming van netwerk- en informatiesystemen tegen cyberdreigingen. Organisaties die onder deze wet vallen, moeten kunnen aantonen dat zij risico’s in kaart brengen en passende maatregelen nemen om hun systemen te beveiligen.
De wet is van toepassing op organisaties in sectoren die van vitaal belang zijn voor de samenleving. Denk aan energie, transport, financiële diensten, gezondheidszorg, drinkwatervoorziening, digitale infrastructuur en overheidsdiensten. Binnen deze wet worden organisaties aangeduid als “essentiële” of “belangrijke entiteiten”, afhankelijk van hun omvang en de sector waarin zij opereren. Kleine bedrijven vallen in principe buiten de reikwijdte, tenzij ze specifiek worden aangewezen vanwege hun cruciale rol.
Verplichtingen
Er zijn drie hoofdverplichtingen waar organisaties onder deze wet aan moeten voldoen. Allereerst is er de zorgplicht. Organisaties dienen risicoanalyses uit te voeren en op basis daarvan technische en organisatorische maatregelen te treffen die de continuïteit van hun diensten waarborgen en de vertrouwelijkheid, integriteit en beschikbaarheid van informatie beschermen. Daarnaast geldt er een meldplicht. Ernstige incidenten moeten binnen 24 uur worden gemeld bij zowel de toezichthouder als het nationale of sectorale Computer Security Incident Response Team (CSIRT). Tot slot komt er een registratieplicht. Organisaties die onder de wet vallen, moeten zich registreren in een nationaal register dat wordt beheerd door het Nationaal Cyber Security Centrum (NCSC).
Naleving wet
De verantwoordelijkheden rond deze wet zijn verdeeld over meerdere instanties. De Rijksoverheid is verantwoordelijk voor de wettelijke kaders. Het NCSC fungeert als nationaal coördinatiepunt voor cyberincidenten. Voor sectoren zoals de zorg zijn er aparte CSIRT’s, zoals Z-CERT. Toezicht op de naleving van de wet wordt uitgevoerd door inspectiediensten als de Inspectie Gezondheidszorg en Jeugd (IGJ) of de Rijksinspectie Digitale Infrastructuur (RDI), afhankelijk van de sector waarin een organisatie actief is.
De wet zou oorspronkelijk in oktober 2024 van kracht worden, maar de inwerkingtreding is uitgesteld. De verwachting is dat de wet in het tweede kwartaal van 2026 van toepassing wordt. Hoewel dit nog even duurt, is het verstandig om tijdig te beginnen met de voorbereidingen. Organisaties kunnen nu al starten met het inventariseren van hun informatiesystemen, het uitvoeren van risicoanalyses en het opstellen van beleid voor incidentenbeheer. Daarnaast is het belangrijk om medewerkers bewust te maken van hun rol in digitale veiligheid en om waar mogelijk aansluiting te zoeken bij een sectoraal CSIRT.
