De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten zijn sinds 15 augustus van kracht. De nieuwe wetten moeten de digitale en fysieke weerbaarheid van organisaties versterken en de continuïteit van essentiële diensten beter beschermen. Voor duizenden organisaties veranderen daarmee de wettelijke verplichtingen.
NIS2 in Nederlandse wet
De Cyberbeveiligingswet (Cbw) zet de Europese NIS2-richtlijn om in Nederlandse wetgeving. De wet geldt voor organisaties in verschillende sectoren die belangrijk zijn voor de Nederlandse samenleving en economie. Het gaat onder meer om energie, vervoer, gezondheidszorg, digitale infrastructuur, overheidsdiensten en bepaalde onderdelen van de productie- en voedingssector.
De overheid verwacht dat ongeveer 8.000 organisaties onder de Cyberbeveiligingswet vallen. Een deel daarvan wordt formeel aangewezen, maar voor de meeste organisaties geldt dat zij van rechtswege onder de wet vallen. Zij moeten dus zelf nagaan of de wet op hen van toepassing is. Daarvoor heeft de overheid een zelfevaluatietool beschikbaar gesteld.
Voor organisaties die onder de wet vallen, zijn onder meer een zorgplicht en een meldplicht van toepassing. De zorgplicht houdt in dat organisaties passende maatregelen moeten nemen om hun netwerk- en informatiesystemen te beveiligen en risico's te beheersen. Ernstige cyberincidenten moeten worden gemeld bij de daarvoor aangewezen instanties.
Ook fysieke risico's
Naast de Cyberbeveiligingswet treedt de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Deze wet is de Nederlandse uitvoering van de Europese CER-richtlijn. De focus ligt daarbij niet alleen op digitale aanvallen, maar op de bredere weerbaarheid van organisaties die essentiële diensten leveren.
Kritieke entiteiten moeten zich voorbereiden op verschillende soorten risico's. Denk aan natuurrampen, ongevallen, sabotage, terroristische dreigingen en andere verstoringen die de continuïteit van essentiële diensten kunnen aantasten.
De twee wetten zijn nauw met elkaar verbonden. Organisaties die als kritieke entiteit worden aangewezen, vallen ook onder de Cyberbeveiligingswet. Andersom geldt dat niet automatisch: een organisatie die onder de Cyberbeveiligingswet valt, is niet per definitie een kritieke entiteit.
Verantwoordelijkheid bij organisaties
Een belangrijk gevolg van de nieuwe wetgeving is dat organisaties niet simpelweg kunnen afwachten totdat de overheid contact opneemt. Voor de meeste organisaties die onder de Cyberbeveiligingswet vallen, ontstaat de verplichting rechtstreeks uit de wet. Zij zijn zelf verantwoordelijk voor het vaststellen of zij onder de wet vallen en voor het nemen van de noodzakelijke maatregelen.
Daarmee verandert ook de aanpak van cybersecurity. Beveiliging is niet langer alleen een technische aangelegenheid voor de ict-afdeling. De verantwoordelijkheid voor de cyberweerbaarheid ligt nadrukkelijk ook bij de organisatie en haar bestuur.
De overheid noemt de nieuwe wetten daarom een belangrijke stap om Nederland weerbaarder te maken tegen de toenemende digitale dreiging. Minister van Justitie en Veiligheid David van Weel wijst daarbij niet alleen op cyberaanvallen, maar ook op risico's zoals sabotage, natuurrampen en andere verstoringen.
Wat betekent dit voor HCC-leden?
Voor de meeste particuliere HCC-leden verandert er door deze wetten niets rechtstreeks. De Cyberbeveiligingswet is gericht op organisaties die binnen de aangewezen sectoren en categorieën vallen. Een particulier die thuis een computer, NAS, slimme apparaten of een eigen netwerk beheert, krijgt daardoor niet ineens wettelijke verplichtingen vanuit de Cbw.
Voor HCC-leden die een bedrijf hebben of als zelfstandige actief zijn, kan de situatie anders zijn. Het is belangrijk om na te gaan of de organisatie onder een van de sectoren en categorieën van de Cyberbeveiligingswet valt. Zeker voor kleinere organisaties is het verstandig niet automatisch aan te nemen dat de wet alleen voor grote bedrijven geldt.
Standpunt van HCC
HCC vindt het belangrijk dat organisaties hun digitale veiligheid serieus nemen. Cyberaanvallen kunnen niet alleen bedrijven en overheden treffen, maar uiteindelijk ook gevolgen hebben voor burgers die afhankelijk zijn van essentiële diensten. Een wettelijke basis voor betere beveiliging en het melden van ernstige incidenten kan daarom bijdragen aan een weerbaarder Nederland.
Tegelijkertijd is het belangrijk dat de nieuwe verplichtingen voor organisaties duidelijk en uitvoerbaar zijn. Vooral kleinere organisaties beschikken niet altijd over dezelfde cybersecuritykennis en middelen als grote bedrijven. Goede voorlichting, praktische ondersteuning en duidelijke eisen zijn daarom noodzakelijk om te voorkomen dat wetgeving vooral een administratieve last wordt. De nieuwe regels moeten uiteindelijk vooral leiden tot betere beveiliging in de praktijk.
De bij dit artikel gebruikte afbeelding is digitaal gegenereerd met behulp van kunstmatige intelligentie en vertegenwoordigen geen daadwerkelijk gefotografeerde situatie.
