Cyberbeveiligingsregeling sector overheid

law://nl/regeling/2026/bwbr0052963@2026-11-14

Cyberbeveiligingsregeling sector overheid

In force

This text since 15 Aug 2026law://nl/regeling/2026/bwbr0052963@2026-11-14

Contents

Hoofdstuk 1 · Algemene bepalingen

Artikel 1(begripsbepaling)#

In deze regeling wordt verstaan onder:

–besluit: Cyberbeveiligingsbesluit;

–cruciaal netwerk- en informatiesysteem: netwerk- en informatiesysteem als bedoeld in de artikel 4 van deze regeling;

–NEN: norm die door de Stichting Koninklijk Nederlands Normalisatie Instituut is uitgegeven;

–NEN-EN: NEN die door het Europees Comité voor Normalisatie is vastgesteld;

–NEN-EN-ISO/IEC: NEN-EN die door de International Organization for Standardization en de International Electrotechnical Commission is vastgesteld;

–VIR-BI: Besluit voorschrift informatiebeveiliging rijksdienst bijzondere informatie 2025.

Artikel 2(reikwijdte)#

Deze regeling is van toepassing op essentiële entiteiten in de sector overheid, bedoeld in bijlage 1 bij de wet, met uitzondering van de waterschappen.

Hoofdstuk 2 · Zorgplicht

Paragraaf 1 · (managementsystematiek)

Artikel 3(Iso 27001)#

De essentiële entiteit past de NEN-EN-ISO/IEC 27001:2023 toe op het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsystematiek voor de beveiliging van netwerk- en informatiesystemen, als bedoeld in artikel 6, vierde lid, van het besluit, en op het vaststellen van het toepassingsgebied van deze managementsystematiek.

Artikel 4(identificeren cruciale netwerk- en informatiesystemen)#

1De essentiële entiteit houdt als onderdeel van haar managementsystematiek voor de beveiliging van de netwerk- en informatiesystemen, bedoeld in artikel 6, vierde lid, van het besluit, een overzicht bij van haar cruciale netwerk- en informatiesystemen.

2Een netwerk- en informatiesysteem van een essentiële entiteit in de subsector centrale overheden is cruciaal indien het systeem een te beschermen belang op niveau 1, 2 of 3 van de tabel in bijlage 1 bij deze regeling heeft.

3Een netwerk- en informatiesysteem van een essentiële entiteit in de subsector decentrale overheden is cruciaal indien het systeem impactniveau ‘hoog’ of ‘zeer hoog’ van de tabel in bijlage 2 bij deze regeling heeft.

Paragraaf 2 · (beveiligingsmaatregelen)

Artikel 5(ISO 27002 en BIO2)#

1De essentiële entiteit gebruikt ten minste de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 voor het formuleren van passende en evenredige maatregelen voor de beveiliging van netwerk- en informatiesystemen als bedoeld in artikel 21, eerste lid, van de wet, met uitzondering van de beheersmaatregelen 5.32 en 5.34.De passende en evenredige maatregelen omvatten ten minste de voor haar relevante overheidsmaatregelen van de Baseline Informatiebeveiliging Overheid 2, versie 1.3 (Stct. 2026, 7416), met uitzondering van de overheidsmaatregelen 5.32.01 tot en met 5.34.01.

2In afwijking van het eerste lid kunnen bij het formuleren van passende en evenredige maatregelen de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 en de overheidsmaatregelen van de Baseline Informatiebeveiliging Overheid 2, versie 1.3 (Stct. 2026, 7416), voor zover dat noodzakelijk is, worden vervangen door of gecombineerd met beheersmaatregelen uit andere normenkaders die een beveiligingsniveau bieden dat ten minste gelijkwaardig is aan het niveau van de voornoemde beheers- en overheidsmaatregelen.

3De essentiële entiteit zorgt ervoor dat de opzet, het bestaan en de werking van de passende en evenredige maatregelen aantoonbaar zijn. Indien de entiteit bij het formuleren van passende en evenredige maatregelen gebruik heeft gemaakt van beheersmaatregelen uit andere normenkaders als omschreven in het tweede lid, zorgt zij er ook voor dat de noodzakelijkheid van het gebruik van die andere passende en evenredige maatregelen en de gelijkwaardigheid van het beveiligingsniveau daarvan aantoonbaar zijn.

Hoofdstuk 3 · Meldplicht

Artikel 6(drempelwaarden meldplicht)#

1Een incident in de subsector centrale overheden is een significant incident als het leidt of kan leiden tot:

a.uitval van de dienstverlening van de essentiële entiteit van ten minste vier uur;

b.financiële schade voor de staat of de samenleving van meer dan € 500.000.000;

c.de ernstige verwonding of de dood van ten minste één natuurlijke persoon;

d.misbruik van bedrijfsinformatie met financiële schade van meer dan € 5.000.000; of

e.de kennisname door onbevoegden van vertrouwelijke informatie op ten minste het niveau Staatsgeheim CONFIDENTIEEL, bedoeld in artikel 4, tweede lid, onder c, van het VIR-BI, het niveau NATO CONFIDENTIAL bedoeld in de bijlagen B, paragraaf 5.5 en E, paragraaf 6, van de NATO Security Policy (Security Within the North Atlantic Treaty Organization, CM(2002)49-REV1) of het niveau EU CONFIDENTIAL, bedoeld in artikel 2 van het Besluit 2013/488/EU van de Raad van 23 september 2013 betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie.

2Een incident in de subsector decentrale overheden is een significant incident als het leidt of kan leiden tot:

a.uitval van de dienstverlening van de essentiële entiteit voor ten minste vier uur;

b.financiële gevolgen die niet kunnen worden opgevangen in de begroting; of

c.de ernstige verwonding of de dood van ten minste één natuurlijke persoon.

3In afwijking van het eerste lid, onderdeel a, en het tweede lid, onderdeel a, is een geplande dienstonderbreking of een ander gepland gevolg van onderhoudswerkzaamheden die door of namens de essentiële entiteit worden uitgevoerd, geen significant incident.

Hoofdstuk 4 · Slotbepalingen

Artikel 7(inwerkingtreding)#

Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet) (Kamerstukken 36 764) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.

Artikel 8(citeertitel)#

Deze regeling wordt aangehaald als: Cyberbeveiligingsregeling sector overheid.

Bijlage 1 · Te beschermen belangen centrale overheden

Bijlage · bij artikel 4, tweede lid

1 Volgens Bijlage 2 in Stcrt. 2019, 26526.2 Stcrt. 2025, 30222.3 Als bedoeld in de bijlagen B, paragraaf 5.5 en bijlage E, paragraaf 6, van de NATO Security Policy (Security Within the North Atlantic Treaty Organization, CM(2002)49-REV1).4 Als bedoeld in artikel 2 van het Besluit 2013/488/EU van de Raad van 23 september 2013 betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie.

Bijlage 2 · Impactniveaus decentrale overheden

Bijlage · bij artikel 4, derde lid

1 Recovery Point Objective: De herstelpuntdoelstelling, die weergeeft wat het maximaal toegestane dataverlies is voor de organisatie. Deze hoeveelheid is gemeten in tijd, namelijk de periode tussen de laatste succesvolle data back-up en de verstorende gebeurtenis.2 Recovery Time Objective: De hersteltijddoelstelling, die weergeeft wat de maximaal toegestane tijd is dat een systeem of proces offline kan zijn na een incident zonder dat dit gevolgen heeft voor de bedrijfsvoering.3 Algemene Beveiligingseisen voor Defensieopdrachten.4 Algemene Beveiligingseisen Rijksoverheidsopdrachten.

Dutch legislation is not protected by copyright (Auteurswet art. 11). Source: wetten.overheid.nl, Basiswettenbestand.