alarmnummer: alarmnummer als bedoeld in artikel 7.7, tweede lid, van de Telecommunicatiewet;
besluit: Cyberbeveiligingsbesluit;
Minister: Minister van Economische Zaken en Klimaat;
postzending: postzending als bedoeld in artikel 2, zesde lid, van Richtlijn 97/67/EG van het Europees Parlement en de Raad van 15 december 1997 betreffende gemeenschappelijke regels voor de ontwikkeling van de interne markt voor postdiensten in de Gemeenschap en de verbetering van de kwaliteit van de dienst (PbEG 1998, L 15);
richtlijn (EU) 2016/943: Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PbEU 2016, L 157);
ruimtevoorwerp: ruimtevoorwerp als bedoeld in artikel 1 van de Wet ruimtevaartactiviteiten;
zone: logische of fysieke groep van systemen, apparaten of processen met vergelijkbare beveiligingsvereisten.
De hoofdstukken 2 en 3 zijn van toepassing op essentiële entiteiten en belangrijke entiteiten die behoren tot een of meer van de volgende sectoren of subsectoren:
Artikel 3Beleid over beveiliging van netwerk- en informatiesystemen#
Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:
a.welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;
b.de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;
c.wanneer de monitoring en de meting moeten worden uitgevoerd;
d.wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;
e.wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;
f.wie is belast met het analyseren en evalueren van deze resultaten.
1De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens:
a.hersteltijden;
b.herstelpunten;
c.waarborgen voor de volledigheid en nauwkeurigheid van back-ups;
d.waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;
e.waarborgen voor herstel van software en gegevens uit back-ups;
f.bewaartermijnen.
2Het bedrijfscontinuïteitsplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit, en omvat in ieder geval:
a.doel en reikwijdte;
b.taken en verantwoordelijkheden;
c.belangrijkste contacten en interne en externe communicatiekanalen;
d.voorwaarden voor activering en de-activering van het bedrijfscontinuïteitsplan;
e.vereiste middelen, met inbegrip van back-ups en redundanties;
f.voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.
Artikel 5Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen#
1De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben tevens betrekking op de processen en procedures inzake:
a.beveiligingstesten;
b.beveiligingspatchbeheer.
2De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat beveiligingspatches:
a.waar passend, afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;
b.waar passend, worden getest voordat zij in productiesystemen worden toegepast;
c.worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment worden toegepast en dit documenteert.
3Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet:
a.implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;
b.voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit op haar netwerk- en informatiesystemen en legt zij de resultaten van deze scans vast;
c.evalueert de essentiële entiteit of belangrijke entiteit structureel haar blootstelling aan relevante kwetsbaarheden en dreigingen waar zij kennis van heeft ten aanzien van haar netwerk- en informatiesystemen, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;
d.verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment wordt verholpen en dit documenteert.
4Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit:
a.haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;
b.waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
Artikel 6Beveiligingsaspecten ten aanzien van toegangsbeleid#
1Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts.
2Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat:
a.sterke identificatie-, authenticatie- en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;
b.voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;
c.voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.
1Voor de toepassing van artikel 25, tweede lid, van de wet is een incident in ieder geval een significant incident als:
a.het de dood van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken; of
b.het aanzienlijke schade aan de gezondheid van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken.
2Een incident is tevens een significant incident als het voldoet aan een of meer criteria, bedoeld in de artikelen 8 tot en met 13.
3In afwijking van het tweede lid is een incident niet significant als het incident het gevolg is van gepland onderhoud dat door of namens de essentiële entiteit of belangrijke entiteit wordt uitgevoerd, voor zover de onderbreking, opschorting of beëindiging van een door de essentiële entiteit of belangrijke entiteit verleende dienst een voorzien gevolg is van dat onderhoud.
Artikel 8Criteria significant incident bij aanbieder van een openbaar elektronisch communicatienetwerk of aanbieder van een openbare elektronische communicatiedienst#
Voor een essentiële entiteit of een belangrijke entiteit die aanbieder is van een openbaar elektronisch communicatienetwerk of van een openbare elektronische communicatiedienst, is een incident in ieder geval een significant incident als:
a.bij een onderbreking van de levering van een openbare elektronische communicatiedienst ten minste 50.000 gebruikers zijn getroffen voor een duur van vier uur of langer;
b.de integriteit, vertrouwelijkheid of authenticiteit van gegevens die in verband met de dienstverlening van het openbare elektronische communicatienetwerk of de openbare elektronische communicatiedienst worden opgeslagen, verzonden of verwerkt, is aangetast, met gevolgen voor ten minste 1% van de gebruikers van het openbare elektronische communicatienetwerk of de openbare elektronische communicatiedienst, met een minimum van 10.000 gebruikers; of
c.het alarmnummer niet beschikbaar is.
Artikel 9Criteria significant incident bij aanbieder van een internetknooppunt#
Voor een essentiële entiteit of een belangrijke entiteit die aanbieder is van een internetknooppunt, is een incident in ieder geval een significant incident als:
a.ten minste 25% van het actuele totale verkeer dat door het internetknooppunt wordt verwerkt, gemeten in datavolume in bits per seconde, gedurende ten minste 30 minuten is uitgevallen; of
b.de integriteit, vertrouwelijkheid of authenticiteit van gegevens die in verband met de dienstverlening van het internetknooppunt worden opgeslagen, verzonden of verwerkt, is aangetast, met gevolgen voor meer dan 5% van de gebruikers.
Artikel 10Criteria significant incident in de sector ruimtevaart#
Voor een essentiële entiteit of een belangrijke entiteit in de sector ruimtevaart is een incident in ieder geval een significant incident als de integriteit, authenticiteit, beschikbaarheid of vertrouwelijkheid van gegevens die noodzakelijk zijn voor telemetrie, tracking of commandovoering van een ruimtevoorwerp is aangetast tijdens een tijdvak waarin volgens de reguliere operationele planning communicatie met dat ruimtevoorwerp mogelijk en voorzien is, waardoor een risico ontstaat voor de besturing of het behoud van dat ruimtevoorwerp.
Artikel 11Criteria significant incident in de sector post- en koerierdiensten#
Voor een essentiële entiteit of een belangrijke entiteit in de sector post- en koerierdiensten is een incident in ieder geval een significant incident als:
a.ten minste 30% van de ontvangers van de post- en koerierdienst hun postzending ten minste twee bezorgdagen later ontvangt dan op grond van wettelijke of contractuele verplichtingen zou moeten; of
b.de integriteit, vertrouwelijkheid of authenticiteit van digitale gegevens die in verband met haar dienstverlening worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor persoonsgegevens en adresgegevens onrechtmatig worden verwerkt of het briefgeheim wordt geschonden.
Artikel 12Criteria significant incident in de sector vervaardiging#
Voor een essentiële entiteit of een belangrijke entiteit in de sector vervaardiging is een incident in ieder geval een significant incident als:
a.veiligheidsfuncties zijn verloren gegaan;
b.de beschikbaarheid of integriteit van essentiële besturings- of monitoringsfuncties is verloren gegaan;
c.de continuïteit van het productieproces in gevaar is gekomen of kan komen;
d.milieuschade als bedoeld in artikel 17.6, eerste lid, van de Wet milieubeheer is opgetreden; of
e.ongeoorloofde toegang tot een industrie-specifiek netwerk- en informatiesysteem heeft plaatsgevonden en zich naar meerdere zones of omgevingen heeft verspreid.
Artikel 13Criteria significant incident in de sector onderzoek#
Voor een essentiële entiteit of een belangrijke entiteit in de sector onderzoek als bedoeld in bijlage 2 bij de wet, ten aanzien waarvan de Minister ingevolge artikel 15, vierde lid, van de wet de bevoegde autoriteit is, is een incident in ieder geval een significant incident als:
a.het incident heeft geleid of kan leiden tot de ongeoorloofde openbaarmaking van bedrijfsgeheimen als bedoeld in artikel 2, eerste lid, van Richtlijn (EU) 2016/943 van de essentiële entiteit of belangrijke entiteit; of
b.de integriteit, vertrouwelijkheid of authenticiteit van onderzoeksgegevens die in verband met het verrichte onderzoek worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor aanzienlijke materiële of immateriële schade ontstaat bij andere entiteiten.
Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet) (Kamerstukken 36 764) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.