Cyberbeveiligingswet (CBW): de Nederlandse invulling van NIS2

De Cyberbeveiligingswet is de Nederlandse wet waarin de Europese NIS2-richtlijn is omgezet. Voor uw organisatie is dit de wet die telt, want een Europese richtlijn werkt niet rechtstreeks. Wat u moet doen staat hier, niet in de richtlijn zelf.

De wet regelt twee dingen: een zorgplicht en een meldplicht. Daarnaast legt hij verantwoordelijkheid bij de leiding van de organisatie en richt hij het toezicht in.

Hieronder leest u wat de wet regelt, wie erop toeziet, en waarin de Nederlandse invulling kan afwijken van de richtlijn.

Wat de wet regelt

De zorgplicht vraagt passende en evenredige maatregelen om uw netwerk- en informatiesystemen te beschermen en de gevolgen van incidenten te beperken. Passend bij uw risico’s, evenredig aan uw omvang.

De meldplicht verplicht u significante incidenten te melden, gefaseerd: eerst een vroege waarschuwing, daarna een uitgebreidere melding en tot slot een eindrapportage. De uitwerking staat in de NIS2 meldplicht.

Daarnaast regelt de wet registratie: organisaties die eronder vallen moeten zich melden bij de daarvoor aangewezen instantie, zodat de toezichthouder weet wie er onder valt.

Waarom er een aparte Nederlandse wet is

Een Europese richtlijn stelt het doel en laat de lidstaten vrij in hoe ze dat bereiken. Elke lidstaat maakt daarom eigen wetgeving, met eigen toezichthouders, eigen meldpunten en soms eigen accenten.

Dat betekent ook dat u niet blind kunt varen op wat er in Duitsland of België geldt. Werkt u in meerdere landen, dan heeft u met meerdere nationale uitwerkingen te maken, ook al komen ze uit dezelfde richtlijn.

Wat NIS2 zelf verbeterde ten opzichte van de eerste richtlijn staat in van NIS-richtlijn naar NIS2.

Toezicht en handhaving

Het toezicht is verdeeld over sectorale toezichthouders. Welke toezichthouder voor u geldt hangt dus af van uw sector, en dat is een van de eerste dingen om uit te zoeken.

Het toezicht verschilt bovendien per categorie. Bij essentiële entiteiten is het toezicht proactief: er kan uit eigen beweging worden gecontroleerd. Bij belangrijke entiteiten is het reactief, dus naar aanleiding van een aanwijzing dat er iets niet in orde is. De zorgplicht zelf is voor beide gelijk.

Wat dat onderscheid precies betekent staat in voor wie geldt NIS2.

De rol van bestuurders

De wet legt expliciet verantwoordelijkheid bij de leiding. Bestuurders keuren de maatregelen goed, zien toe op de uitvoering en moeten aantoonbaar kennis hebben van de risico’s.

Dat laatste is niet vrijblijvend bedoeld. Er wordt verwacht dat bestuurders scholing volgen en dat vastligt dat zij zijn bijgepraat. In de praktijk betekent het dat het onderwerp een vast agendapunt wordt, met besluiten die worden vastgelegd.

Zie bestuurdersaansprakelijkheid onder NIS2 en de CBW.

Naast de WWKE en DORA

De Cyberbeveiligingswet gaat over digitale weerbaarheid. Daarnaast bestaat de Wet weerbaarheid kritieke entiteiten, die over fysieke weerbaarheid gaat en soms dezelfde organisaties raakt. Zie wat de WWKE is.

Voor de financiële sector geldt DORA, die op onderdelen strenger is en dan voorgaat. Zie NIS2 vs DORA. Valt u onder meerdere regimes, dan is het zaak eerst uit te zoeken welke voorgaat, voordat u een programma optuigt.

Wat de wet niet doet

Net zo belangrijk als wat er in de wet staat, is wat er niet in staat. Drie misverstanden komen steeds terug.

De wet schrijft geen techniek voor. Er staat nergens welke firewall u koopt of welke leverancier u kiest. De eis is dat uw maatregelen passend en evenredig zijn, en dat u kunt uitleggen waarom.

De wet kent geen certificaat. U kunt niet Cyberbeveiligingswet-gecertificeerd worden. Wat u wel kunt is aantoonbaar maken dat u de zorgplicht invult, bijvoorbeeld met een erkend kader als ISO 27001. Zie ISO 27001 en NIS2.

En de wet geeft geen uitstel voor wat u al had moeten regelen. Basishygiëne zoals back-ups die beproefd zijn, toegangsbeheer dat klopt en een incidentprocedure die werkt, waren ook zonder deze wet verstandig. De wet maakt ze aantoonbaar in plaats van vrijblijvend.

Waarom de nationale invulling uitmaakt

Dat elke lidstaat zijn eigen wet maakt, klinkt als een formaliteit. Voor organisaties die in meerdere landen werken is het dat niet.

De richtlijn stelt een minimum, en lidstaten mogen strenger zijn. Ze bepalen zelf welke instantie toezicht houdt, waar u meldt, hoe de registratie verloopt en hoe de handhaving is ingericht. Dat kan per land verschillen, ook al komt het uit dezelfde richtlijn.

Praktisch betekent dat: heeft u vestigingen of diensten in meerdere lidstaten, ga er dan niet van uit dat wat in Nederland geldt daar ook geldt. Zoek per land uit wie de toezichthouder is en waar u zou moeten melden.

Voor organisaties die alleen in Nederland actief zijn is dat geen zorg. Voor hen is de Cyberbeveiligingswet het enige document dat telt, en de richtlijn hooguit achtergrond.

Registratie: de verplichting die het vaakst blijft liggen

Van de drie verplichtingen is registreren de kleinste en tegelijk degene die het meest wordt vergeten. Alle aandacht gaat naar de maatregelen, terwijl dit een aparte plicht is.

De gedachte erachter is eenvoudig: de toezichthouder moet weten wie er onder de wet valt. Zonder register weet niemand wie er moet worden aangesproken, en kan er ook niet gericht worden geïnformeerd bij een dreiging.

Zet het daarom vroeg op de lijst, zodra uw reikwijdtetoets rond is. Het kost een middag en het voorkomt dat u later moet uitleggen waarom u wel maatregelen nam maar zich niet meldde.

Houd er ook rekening mee dat de gegevens actueel moeten blijven. Verandert uw dienstenpakket, uw omvang of uw contactpersoon, dan hoort dat te worden bijgewerkt.

Praktisch is het handig om de registratie te koppelen aan een moment dat toch al terugkomt, bijvoorbeeld de jaarlijkse herziening van uw risicobeoordeling. Dan loopt u in dezelfde beweging na of de gegevens nog kloppen, en hoeft niemand er apart aan te denken.

Veelgestelde vragen over de Cyberbeveiligingswet

Is de Cyberbeveiligingswet hetzelfde als NIS2?

Niet helemaal. NIS2 is de Europese richtlijn, de Cyberbeveiligingswet is de Nederlandse omzetting daarvan. De inhoud komt grotendeels overeen, maar het toezicht, de meldpunten en enkele accenten zijn nationaal ingevuld.

Moet ik mij ergens registreren?

Organisaties die onder de wet vallen moeten zich melden bij de daarvoor aangewezen instantie. Dat is een aparte verplichting naast de zorgplicht en de meldplicht, en hij wordt regelmatig over het hoofd gezien.

Welke toezichthouder geldt voor mij?

Dat hangt af van uw sector, want het toezicht is sectoraal verdeeld. Zoek dit vroeg uit, want het bepaalt bij wie u meldt en wie u kan bevragen.

Geldt de wet ook voor mijn leveranciers?

Alleen als zij zelf onder de wet vallen. Wel bent u verantwoordelijk voor uw keten, dus u moet beoordelen welke leveranciers een kritieke functie raken en daar afspraken over maken. Dat is onderdeel van uw eigen zorgplicht.

Wat als wij te klein zijn?

Dan valt u waarschijnlijk niet onder de wet, met uitzondering van enkele categorieën waarbij omvang niet meetelt. Let er wel op dat u de eisen alsnog via contracten kunt krijgen als u levert aan een organisatie die er wel onder valt.