Cyberbeveiligingsregeling IenW

law://nl/regeling/2026/bwbr0052878@2026-11-14

Contents

Paragraaf 1 · Begripsbepalingen

Artikel 1(Begripsbepalingen)#

In deze regeling wordt verstaan onder:

–besluit: het Cyberbeveiligingsbesluit;

–BIO2: Baseline Informatiebeveiliging Overheid 2, versie 1.3 (Stcrt. 2026, 7416);

–essentiële dienst: essentiële dienst als bedoeld in artikel 1 van de Wet weerbaarheid kritieke entiteiten;

–ITS-dataverstrekkers: aanbieders van mobiliteitsdata aan ITS-dienstverleners op basis van data ontvangen van (andere) ITS-dienstverleners;

–ITS-dienstverleners: exploitanten van intelligente vervoerssystemen als bedoeld in artikel 4, onderdeel 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad van 7 juli 2010 betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen (PbEU 2010, L 207);

–kritieke entiteit: kritieke entiteit als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten;

–minister: Minister van Infrastructuur en Waterstaat;

–NEN: norm die door de Stichting Koninklijk Nederlands Normalisatie Instituut is uitgegeven;

–NEN-EN: NEN die door het Europees Comité voor Normalisatie is vastgesteld;

–NEN-EN-ISO/IEC: NEN-EN die door de International Organization for Standardization en de International Electrotechnical Commission is vastgesteld;

–Richtlijn (EU) 2016/943: Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PbEU L 157/1);

–Verordening (EU) 2024/1679: Verordening (EU) 2024/1679 van het Europees Parlement en de Raad van 13 juni 2024 betreffende richtsnoeren van de Unie voor de ontwikkeling van het trans-Europees vervoersnetwerk, tot wijziging van Verordening (EU) 2021/1153 en Verordening (EU) nr. 913/2010 en tot intrekking van Verordening (EU) nr. 1315/2013 (PbEU L 2024/1679).

Paragraaf 2 · Reikwijdte

Artikel 2(Reikwijdte)#

1Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren:

2Deze regeling is verder van toepassing op door de minister aangewezen kritieke entiteiten.

3Deze regeling is verder van toepassing op essentiële en belangrijke entiteiten in de sector onderzoek, voor zover de soort entiteit, genoemd in bijlage 2 bij de wet, betrekking heeft op de sectoren vervoer, drinkwater, afvalwater, afvalstoffenbeheer, onderzoek, nucleair, keren en beheren, chemie en meteorologie.

Paragraaf 3 · Csirt

Artikel 3(Aanwijzing CSIRT)#

In afwijking van artikel 2, eerste lid, van het besluit wordt als CSIRT voor de waterschappen aangewezen: de dienst CERT-WM die is ondergebracht bij het openbaar lichaam Het Waterschapshuis als bedoeld in de gemeenschappelijke regeling Het Waterschapshuis.

Artikel 4(Verplichtingen CSIRT)#

1Het CERT-WM als bedoeld in artikel 3 rapporteert jaarlijks uiterlijk op 31 december aan de minister over de wijze waarop het invulling heeft gegeven aan zijn taken, bedoeld in artikel 16 van de wet en aan de eisen, bedoeld in artikel 3, eerste lid, van het besluit.

2Het CERT-WM voldoet aan het Security Incident Management Maturity Model (SIM3) op minimaal het niveau intermediate voor zover het de taken betreft die het op grond van de wet en de daarop berustende bepalingen vervult.

3Het niveau, bedoeld in het tweede lid, wordt vastgesteld door middel van een audit door een onafhankelijke en gekwalificeerde deskundige.

4Het CERT-WM beschikt over een rapport van een audit, bedoeld in het derde lid, waaruit blijkt dat wordt voldaan aan het in het tweede lid bedoelde niveau, dat in ieder geval niet ouder is dan drie jaar. Het CERT-WM legt het rapport van de audit over aan de minister.

5Indien het CERT-WM blijkens een rapport van een audit, bedoeld in het derde lid, niet meer voldoet aan het in het tweede lid bedoelde niveau, stelt het een verbeterplan op en voert het op basis daarvan wijzigingen door om aan het niveau te voldoen. Het CERT-WM legt het verbeterplan voor aan de minister.

Paragraaf 4 · Nadere invulling zorgplicht

Paragraaf 4.1 · Zorgplicht overheidsorganisaties

Artikel 5(Reikwijdte paragraaf 4.1)#

De paragrafen 4.1.1 en 4.1.2 zijn van toepassing op overheidsorganisaties.

Paragraaf 4.1.1 · Managementsystematiek

Artikel 6(Iso 27001)#

De essentiële entiteit past de NEN-EN-ISO/IEC 27001:2023 toe op het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsystematiek voor de beveiliging van netwerk- en informatiesystemen, als bedoeld in artikel 6, vierde lid, van het besluit, en op het vaststellen van het toepassingsgebied van deze managementsystematiek.

Artikel 7(Identificeren cruciale netwerk- en informatiesystemen)#

1De essentiële entiteit houdt als onderdeel van haar managementsystematiek voor de beveiliging van de netwerk- en informatiesystemen, bedoeld in artikel 6, vierde lid, van het besluit, een overzicht bij van haar cruciale netwerk- en informatiesystemen.

2Een netwerk- en informatiesysteem van een essentiële entiteit in de sector overheid, subsector waterschappen, is cruciaal indien het systeem impactniveau ‘hoog’ of ‘zeer hoog’ uit de tabel in de bijlage bij deze regeling heeft.

Paragraaf 4.1.2 · Beveiligingsmaatregelen

Artikel 8(ISO 27002 en BIO2)#

1De essentiële entiteit gebruikt ten minste de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 voor het formuleren van passende en evenredige maatregelen voor de beveiliging van netwerk- en informatiesystemen als bedoeld in artikel 21, eerste lid, van de wet, met uitzondering van de beheersmaatregelen 5.32 en 5.34. De passende en evenredige maatregelen omvatten ten minste de voor haar relevante overheidsmaatregelen van de BIO2, met uitzondering van de overheidsmaatregelen 5.32.01 tot en met 5.34.01.

2In afwijking van het eerste lid kunnen bij het formuleren van passende en evenredige maatregelen de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 en de overheidsmaatregelen van de BIO2, voor zover dat noodzakelijk is, worden vervangen door of gecombineerd met beheersmaatregelen uit andere normenkaders die een beveiligingsniveau bieden dat ten minste gelijkwaardig is aan het niveau van de voornoemde beheers- en overheidsmaatregelen.

3De essentiële entiteit zorgt ervoor dat de opzet, het bestaan en de werking van de passende en evenredige maatregelen aantoonbaar zijn. Indien de entiteit bij het formuleren van passende en evenredige maatregelen gebruik heeft gemaakt van beheersmaatregelen uit andere normenkaders dan omschreven in het tweede lid, zorgt zij er ook voor dat de noodzakelijkheid van het gebruik van die andere passende en evenredige maatregelen en de gelijkwaardigheid van het beveiligingsniveau aantoonbaar zijn.

Paragraaf 4.2 · Zorgplicht niet-overheidsorganisaties

Artikel 9(Reikwijdte paragraaf 4.2)#

Paragraaf 4.2 is van toepassing op essentiële en belangrijke entiteiten die geen overheidsorganisatie zijn.

Artikel 10(Beleid over beveiliging van netwerk- en informatiesystemen)#

Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:

a.welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;

b.de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;

c.wanneer de monitoring en de meting moeten worden uitgevoerd;

d.wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;

e.wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;

f.wie is belast met het analyseren en evalueren van deze resultaten.

Artikel 11(Bedrijfscontinuïteit)#

1De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens:

a.hersteltijden;

b.herstelpunten;

c.waarborgen voor de volledigheid en nauwkeurigheid van back-ups;

d.waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;

e.waarborgen voor herstel van software en gegevens uit back-ups;

f.bewaartermijnen.

2Het bedrijfscontinuïteitplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit en omvat, in ieder geval:

a.doel en reikwijdte;

b.taken en verantwoordelijkheden;

c.belangrijkste contacten en interne en externe communicatiekanalen;

d.voorwaarden voor activering en de-activering van het plan;

e.vereiste middelen, met inbegrip van back-ups en redundanties;

f.voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.

Artikel 12(Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen)#

1De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake:

a.beveiligingstesten;

b.beveiligingspatchbeheer.

2De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat:

a.waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;

b.waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;

c.beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.

3Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet:

a.implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;

b.voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast;

c.evalueert de essentiële entiteit of belangrijke entiteit haar blootstelling aan relevante kwetsbaarheden en dreigingen waar ze kennis van heeft, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;

d.verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.

4Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit:

a.haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;

b.waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.

Artikel 13(Beveiligingsaspecten ten aanzien van toegangsbeleid)#

1Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts.

2Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat:

a.sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;

b.voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;

c.voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.

Paragraaf 5 · Criteria voor significante incidenten

Artikel 14(Algemene bepalingen criteria)#

Geplande dienstonderbrekingen en geplande gevolgen van geplande onderhoudswerkzaamheden die door of namens de belangrijke entiteit of essentiële entiteit worden uitgevoerd, worden niet als significante incidenten beschouwd.

Artikel 15(Significante incidenten sector vervoer, subsector vervoer door de lucht)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer door de lucht, significant:

a.voor luchthavenbeheerders als door het incident is opgeschaald naar de hoogste crisisbeheersingsstructuur van de nationale luchthaven of regionale luchthaven van nationale betekenis;

b.voor een logistiek dienstverlener van vliegtuigbrandstoffen als deze voor een periode van een uur of langer geen vliegtuigbrandstoffen kan leveren die noodzakelijk zijn voor het uitvoeren van de vluchtoperatie;

c.voor luchtverkeersleidingsdiensten als de hoogst gehanteerde codering geldt, of de gehanteerde codering voor potentiële incidenten, conform het organisatie-specifieke classificatiesysteem voor crises;

d.voor luchtvaartmaatschappijen en overige entiteiten als de afhandeling niet of niet veilig kan plaatsvinden van 20% van het geplande aantal vluchten in een aaneengesloten periode van twaalf uur of langer, of als de verwachting daartoe bestaat.

Artikel 16(Significante incidenten sector vervoer, subsector vervoer over spoor)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over spoor, significant:

a.voor de infrastructuurbeheerder als het personenvervoer op de hoofdspoorweg voor een periode van vier uur of langer is gestremd;

b.voor de infrastructuurbeheerder als het goederenvervoer op de hoofdspoorweg voor een periode van twaalf uur of langer is gestremd;

c.voor een personenvervoerder als een verstoring in de bedrijfsvoering leidt tot uitval van een of meer treinen voor een periode van vier uur of langer en daarbij ten minste 100.000 reizigers worden getroffen;

d.voor een goederenvervoerder als diens dienstverlening voor een periode van twaalf uur of langer wordt gestaakt door een incident in de bedrijfsvoering.

Artikel 17(Significante incidenten sector vervoer, subsector vervoer over water)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over water, significant als:

a.dienstverlening met betrekking tot toegang tot de haven en nautische dienstverlening voor een periode van twaalf uur of langer niet beschikbaar is;

b.overslag in de haven voor een periode van twaalf uur of langer niet beschikbaar is; of

c.dienstverlening met betrekking tot transport in het maritieme achterland over, op en langs het hoofdvaarwegennet voor een periode van vierentwintig uur of langer niet beschikbaar is.

Artikel 18(Significante incidenten sector vervoer, subsector vervoer over de weg)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over de weg significant:

a.voor wegbeheerders als:

i.de weg een onderdeel is van het trans-Europees vervoersnetwerk als bedoeld in Verordening EU/2024/1679 en voor een periode van twaalf uur of langer niet beschikbaar is; of

ii.de weg een onderdeel is van het hoofdwegennet of het onderliggend wegennet en voor een periode van vierentwintig uur of langer niet beschikbaar is.

b.voor ITS-dienstverleners als:

i.de dienst van ITS-dataverstrekkers voor een periode van vier uur of langer niet beschikbaar is; of

ii.de dienst van de ITS-dienstverlener voor een periode van acht uur of langer niet beschikbaar is.

c.voor de dienst belast met de taken, bedoeld in de artikelen 42, tweede lid en 126, eerste lid, van de Wegenverkeerswet 1994 als de geleverde essentiële dienst voor een periode van vier uur of langer niet beschikbaar is.

Artikel 19(Significante incidenten sector vervoer, subsector openbaar vervoer)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector openbaar vervoer, significant als zij in de bedrijfsvoering leidt tot uitval van het personenvervoer gedurende een periode van vier uur of langer en daarbij ten minste 100.000 reizigers worden getroffen.

Artikel 20(Significante incidenten sector drinkwater)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector drinkwater significant:

a.voor drinkwaterbedrijven als bedoeld in artikel 1, eerste lid, van de Drinkwaterwet, als aan 10.000 aansluitingen of meer voor een periode van zes uur of langer geen drinkwater geleverd kan worden;

b.voor producenten en leveranciers van verpakt water als gedurende een periode van drie weken of langer geen water geproduceerd onderscheidenlijk geleverd kan worden.

Artikel 21(Significante incidenten sector afvalwater)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector afvalwater significant als:

a.daardoor opgeschaald moet worden naar categorie 3 of hoger in de Gecoördineerde Regionale Incidentenbestrijdingsprocedure (GRIP);

b.daardoor opgeschaald moet worden naar dreigingsniveau 3 of hoger, bedoeld in het op grond van artikel 19.14 van de Omgevingswet door het waterschap opgestelde calamiteitenplan; of

c.voor een periode van zes uur of langer een of meer van de essentiële functies verstoord zijn bij een object dat is opgenomen op het actuele overzicht van de kritieke infrastructuur, bedoeld in artikel 5, tweede lid, van het Besluit weerbaarheid kritieke entiteiten.

Artikel 22(Significante incidenten sector afvalstoffenbeheer)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector afvalstoffenbeheer significant als:

a.de inzameling van huishoudelijke afvalstoffen als bedoeld in artikel 1.1 van de Wet milieubeheer voor een periode van een week of langer niet kan plaatsvinden;

b.de inzameling van andere afvalstoffen dan huishoudelijke afvalstoffen als bedoeld in artikel 1.1 van de Wet milieubeheer voor een periode van 48 uur of langer niet kan plaatsvinden; of

c.de verbranding van afval in afvalverbrandingsinstallaties voor een periode van acht uur of langer verstoord is.

Artikel 23(Significante incidenten sector nucleair)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector nucleair significant als op het terrein dat de essentiële entiteit in gebruik heeft:

a.een stralingsincident, ongeval of radiologische noodsituatie plaatsvindt waarvan op grond van artikel 6.1 van het Besluit basisveiligheidsnormen stralingsbescherming melding moet worden gemaakt bij de Autoriteit Nucleaire Veiligheid en Stralingsbescherming; of

b.een gebeurtenis plaatsvindt die in de weg staat aan onverkorte toepassing van het beveiligingspakket als bedoeld in artikel 22a van het Besluit kerninstallaties, splijtstoffen en ertsen.

Artikel 24(Significante incidenten sector keren en beheren)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector keren en beheren significant als voor een periode van vier uur of langer een of meer van de voor het keren en beheren van waterkwantiteit essentiële functies verstoord zijn bij een object dat opgenomen is op het actuele overzicht van de kritieke infrastructuur, bedoeld in artikel 5, tweede lid, van het Besluit weerbaarheid kritieke entiteiten.

Artikel 25(Significante incidenten sector vervaardiging, productie en distributie van chemische stoffen)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervaardiging, productie en distributie van chemische stoffen significant als:

a.daardoor de bij een overeenkomst vastgestelde levertijden overschreden worden met een periode van drie weken of meer; of

b.daardoor een kritieke entiteit die voor haar dienstverlening afhankelijk is van de verleende dienst, daarvan voor een periode van zes uur of langer geen gebruik kan maken.

Artikel 26(Significante incidenten sector meteorologie)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector meteorologie significant als:

a.een kritieke entiteit voor de verlening van de essentiële dienst waarvoor zij als kritieke entiteit is aangewezen, afhankelijk is van de meteorologische dienst, en deze dienst door het incident niet beschikbaar is voor een periode van zes uur of langer; of

b.het incident meldt bij de daarvoor aangewezen faciliteit bij het Ministerie van Infrastructuur en Waterstaat.

Artikel 27(Significante incidenten sector onderzoek)#

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector onderzoek als bedoeld in artikel 2, derde lid, significant als:

a.het incident het uitlekken van bedrijfsgeheimen als bedoeld in artikel 2, eerste lid, van Richtlijn (EU) 2016/943 van de essentiële entiteit of belangrijke entiteit veroorzaakt of kan veroorzaken;

b.het incident de dood van een natuurlijk persoon heeft veroorzaakt of kan veroorzaken;

c.het incident aanzienlijke schade aan de gezondheid van een natuurlijk persoon heeft veroorzaakt of kan veroorzaken;

d.er een succesvolle, vermoedelijk kwaadwillige en ongeoorloofde toegang tot netwerk- en informatiesystemen heeft plaatsgevonden die ernstige operationele verstoringen kan veroorzaken; of

e.een vermoedelijk kwaadwillige handeling de integriteit, vertrouwelijkheid of authenticiteit van opgeslagen, verzonden of verwerkte onderzoeksgegevens heeft aangetast of kan hebben aangetast, en dit leidt tot aanzienlijke materiële of immateriële schade bij andere essentiële, belangrijke of kritieke entiteiten.

Artikel 28(Significante incidenten sector overheid, subsector waterschappen)#

Een incident in de sector overheid, subsector waterschappen, is significant als het leidt of kan leiden tot:

a.uitval van de dienstverlening van de essentiële entiteit voor ten minste vier uur;

b.financiële gevolgen die niet kunnen worden opgevangen in de begroting; of

c.de ernstige verwonding of de dood van een natuurlijke persoon.

Paragraaf 6 · Slotbepalingen

Artikel 29(Inwerkingtredingsbepaling)#

Deze regeling treedt in werking op het tijdstip waarop de Cyberbeveiligingswet in werking treedt.

Artikel 30(Citeertitel)#

Deze regeling wordt aangehaald als: Cyberbeveiligingsregeling IenW.

Bijlage · bij artikel 7, tweede lid – impactniveaus sector overheid, subsector waterschappen

1 Recovery Point Objective: De herstelpuntdoelstelling, die weergeeft wat het maximaal toegestane dataverlies is voor de organisatie. Deze hoeveelheid is gemeten in tijd, namelijk de periode tussen de laatste succesvolle data back-up en de verstorende gebeurtenis.2 Recovery Time Objective: De hersteltijddoelstelling, die weergeeft wat de maximaal toegestane tijd is dat een systeem of proces offline kan zijn na een incident zonder dat dit gevolgen heeft voor de bedrijfsvoering.3 Algemene Beveiligingseisen voor Defensieopdrachten.4 Algemene Beveiligingseisen Rijksoverheidsopdrachten.

Dutch legislation is not protected by copyright (Auteurswet art. 11). Source: wetten.overheid.nl, Basiswettenbestand.