Komede weekend gaat de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in. De Cbw is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De Wwke vloeit voort uit de CER-richtlijn en richt zich op fysieke weerbaarheid tegen zogeheten all hazard-dreigingen, van sabotage en extreem weer tot terroristische aanslagen.
Bestuurders krijgen wettelijke verantwoordelijkheid en trainingsplicht
De meest ingrijpende verandering voor directies zit in de bestuurlijke verantwoordelijkheid. Het bestuur moet de maatregelen die voortvloeien uit de zorgplicht goedkeuren en toezien op de uitvoering ervan. Die verantwoordelijkheid verdwijnt niet door taken te beleggen bij een CISO of externe partij. Uitvoerende bestuurders van essentiële en belangrijke entiteiten moeten daarnaast een training volgen over cyberbeveiligingsrisico’s en de beheersing daarvan, en ontvangen daarvoor een certificaat. Volgens de NCTV geldt hiervoor een overgangstermijn: bestuurders moeten uiterlijk twee jaar na inwerkingtreding over de vereiste kennis beschikken en die aantoonbaar actueel houden. Toezichthoudende en niet-uitvoerende bestuurders vallen niet onder deze trainingsplicht.
Registratieplicht, zorgplicht en een gefaseerde meldplicht
Organisaties die aan de wettelijke criteria voldoen, vallen automatisch onder de Cbw en moeten zich registreren in het nationale entiteitenregister dat het NCSC beheert. Daarnaast geldt een zorgplicht: passende en evenredige technische en organisatorische maatregelen om risico’s te beheersen en de gevolgen van incidenten te beperken.
De meldplicht verloopt in drie stappen, gerekend vanaf het moment dat een organisatie kennis krijgt van een significant incident. Binnen 24 uur volgt een vroegtijdige waarschuwing, binnen 72 uur een volledige melding met een eerste beoordeling van ernst en gevolgen, en binnen een maand een eindverslag. Melden gebeurt via het centrale meldpunt op MijnNCSC, waarmee zowel het sectorale CSIRT als de toezichthouder in één keer wordt bereikt. De drempelwaarden per sector staan in ministeriële regelingen.
Fysieke weerbaarheid en sectoraal toezicht
Onder de Wwke wijst de betrokken minister organisaties aan als kritieke entiteit. Zij moeten een eigen risicobeoordeling uitvoeren, fysieke en organisatorische maatregelen treffen en incidenten die hun essentiële dienstverlening aanzienlijk verstoren binnen 24 uur melden. Het toezicht is sectoraal belegd. Voor de sectoren van Infrastructuur en Waterstaat is de ILT toezichthouder, met de ANVS voor nucleair en de NVWA voor verpakt drinkwater.
Twijfelt u of uw organisatie onder de Cbw valt en wat de zorgplicht concreet betekent voor uw netwerk- en beveiligingsarchitectuur? De specialisten van SolidBE denken graag met u mee over een aantoonbare invulling van deze verplichtingen.
