Vragen over cyberbeveiliging

De Cyberbeveiligingswet is een Nederlandse wet die ervoor moet zorgen dat belangrijke organisaties hun digitale systemen goed beveiligen. Zo blijven essentiële diensten zoals de zorg, ook bij een cyberaanval of datalek beschikbaar en veilig. Organisaties moeten daarom passende beveiligingsmaatregelen nemen en ernstige cyberincidenten melden. 

De Cbw is de Nederlandse uitwerking van Europese regelgeving. De wet voert in Nederland de voor alle Europese lidstaten verplichte Europese NIS2-richtlijn (Network and Information Security Directive 2) uit. Het doel hiervan is om een hoog gemeenschappelijk niveau van cyberbeveiliging binnen de hele Europese Unie te bereiken.
 

De Cyberbeveiligingswet is er om Nederland beter weerbaar te maken tegen cyberaanvallen en andere digitale verstoringen. De wet verplicht organisaties waar verstoringen een grote impact kunnen hebben op de samenleving om hun digitale systemen goed te beveiligen en zich voor te bereiden op verstoringen. Zo blijven essentiële diensten veilig en beschikbaar. 

De regelgeving bestaat uit 3 onderdelen:

1. De cyberbeveiligingswet voor alle aangewezen sectoren
2. Het Cyberbeveiligingsbesluit voor alle aangewezen sectoren
3. De Cyberbeveiligingsregeling zorg (publicatie volgt) alleen voor de sector Gezondheidszorg

De verplichtingen uit de zorgplicht van de Cyberbeveiligingswet komen inhoudelijk in grote mate overeen met NEN 7510, de al bestaande wettelijk verplichte norm voor informatiebeveiliging. Meer informatie vindt u in bijlage E van de versie NEN 7510-2:2024+A1:2026 nl. 

In aanvulling op de NEN 7510 kent de Cbw een registratieplicht voor organisaties, een meldplicht voor incidenten en een uitdrukkelijke bestuurlijke verantwoordelijkheid. 

De ISO 27001 is een internationale beveiligingsnorm die vergelijkbaar is met de NEN 7510. NEN 7510 kent aanvullende beheersmaatregelen voor de gezondheidzorg. Allebei kunnen gebruikt worden om invulling te geven aan de zorgplicht van de Cyberbeveiligingswet. 

Zorgaanbieders moeten al voldoen aan de NEN 7510 op grond van andere wetgeving (de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg) en zullen eerder voor deze norm kiezen. Andere entiteiten die vallen onder de sector gezondheidszorg kiezen mogelijk eerder voor de ISO 27001, maar kunnen ook de NEN 7510 gebruiken. 

De Cyberbeveiligingswet ziet toe op de digitale weerbaarheid van organisaties - zoals ook farmaceuten of fabrikanten van medische hulpmiddelen - en niet die van producten.

De productveiligheid van medische hulpmiddelen valt onder de Verordening medische hulpmiddelen (MDR) en de Verordening medische hulpmiddelen voor in-vitrodiagnostiek (IVDR). Voor de kwaliteit, veiligheid en werkzaamheid van geneesmiddelen gelden de Geneesmiddelenwet en de Europese geneesmiddelenregelgeving.

De Cyberbeveiligingswet geldt voor zorgaanbieders, EU-referentielaboratoria, onderzoeks- en ontwikkelingsorganisaties voor geneesmiddelen, farmaceuten en fabrikanten van medische hulpmiddelen. Zij moeten voldoen aan de Cyberbeveiligingswet als zij 50 fte (of meer) in dienst hebben of een jaaromzet en een balanstotaal van 10 miljoen euro (of meer). Kijk voor meer informatie op Data voor gezondheid. 

Jeugdhulpaanbieders vallen niet onder de Cyberbeveiligingswet. Zij moeten op basis van de Jeugdwet wel aan de beveiligingsnorm ISO 27001 (of een vergelijkbare norm zoals NEN 7510) voldoen. Meer informatie: Vragen over ISO 27001.

Uw organisatie moet aan de Cyberbeveiligingswet voldoen omdat de continuïteit en veiligheid van de zorg afhankelijk zijn van goed beveiligde digitale systemen. De wet verplicht organisaties om passende beveiligingsmaatregelen te nemen, risico's te beheersen en ernstige cyberincidenten te melden. Zo wordt de kans kleiner dat een cyberaanval of storing de zorgverlening verstoort.

Er komt geen overgangsperiode voor de Cyberbeveiligingswet. Organisaties in de zorg moeten al langere tijd voldoen aan de norm NEN 7510 voor informatiebeveiliging. De zorgplicht zouden zij dan ook in grote mate al op orde moeten hebben. Daarnaast is de komst van de Cbw al lang bekend en is er ruime voorbereidingstijd geweest. 

De Cyberbeveiligingswet verplicht organisaties die onder deze wet vallen om zich te registreren. Dit wordt de registratieplicht genoemd. U registreert uw organisatie bij het Nationaal Cyber Security Centrum (NCSC): Registreren voor de Cyberbeveiligingswet.

U doet een melding van een significant incident in 3 stappen: 

• Binnen 24 uur: vroegtijdige waarschuwing via het NCSC-portaal. 
• Binnen 72 uur: vervolgmelding met een update over het verloop van het incident.
• Binnen 1 maand: eindverslag

Meer informatie over de behandeling van meldingen door de IGJ vindt u op de pagina Melden van significante incidenten. 

De zorgplicht uit de Cyberbeveiligingswet verplicht organisaties om passende technische, organisatorische en operationele maatregelen te nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen. Zo voorkomen zij cyberincidenten of beperken zij de gevolgen daarvan. 

De zorgplicht in de Cyberbeveiligingswet is ingevuld met een risicogebaseerde aanpak. Dat betekent dat organisaties maatregelen moeten nemen die passen bij hun risico's, omvang en de aard van hun dienstverlening. De wet schrijft niet exact voor welke beheersmaatregelen je moet invoeren.

De zorgplicht bestaat op hoofdlijnen uit de volgende onderdelen:

• Risico's in kaart brengen en beheren. 
• Passende technische, operationele en organisatorische beveiligingsmaatregelen nemen. 
• Cyberincidenten voorkomen, detecteren, erop reageren en ervan herstellen. 
• De beveiliging van de toeleveringsketen meenemen.
• Beleid en procedures vastleggen en onderhouden. 
• Evalueren en verbeteren van de beveiligingsmaatregelen. 

In de Cyberbeveiligingswet is bepaald dat bestuurders verantwoordelijk zijn voor de informatiebeveiliging en de digitale weerbaarheid van hun organisatie. Zij moeten zorgen voor goed beleid en toezicht hierop (governance) en voldoende weten van cyberbeveiliging om de risico’s, beheersmaatregelen en de gevolgen te kunnen identificeren en beoordelen. Bestuurders moeten hiervoor een training volgen en een certificaat hebben. 

In de Cyberbeveiligingswet staat dat organisaties verantwoordelijk zijn voor hun toeleveringsketen, waarmee ook ICT-leveranciers bedoeld worden. Uw organisatie moet bij het selecteren van leveranciers - en ook tijdens de periode waarin zij diensten afneemt - zorgen dat er goede afspraken zijn. Leveranciers moeten kunnen aantonen dat zij hun organisatie op orde hebben. Bespreek en controleer dat regelmatig. 

Werkt u al volgens de NEN 7510? Dan voldoet u ook al voor een groot deel aan de eisen van de zorgplicht van de Cyberbeveiligingswet. Deze wet gaat echter nog een stap verder. Zoals met de nadruk op de bestuurlijke verantwoordelijkheid voor cyberrisico’s (governance), registratie in het landelijk register en het melden van significante incidenten. 

De IGJ kan toetsen op alle verplichtingen uit de wet. Bij incidentgestuurd toezicht doen we onderzoek naar aanleiding van een incident. We kijken dan of de organisatie voldoet aan de zorg-, meld- en informatieplicht. De IGJ kan ook proactief toetsen bij essentiële entiteiten. En bij belangrijke entiteiten kan dat als er aanwijzingen zijn dat er mogelijk niet voldaan wordt aan de verplichtingen uit de wet. 

Als blijkt dat uw organisatie onder de Cbw valt, dan kan de IGJ controleren of u zich geregistreerd heeft bij het Nationaal Cyber Security Centrum (NCSC). Daarbij kan de IGJ ook kijken of dit goed gedaan is, bijvoorbeeld voor de juiste sector en essentieel of juist belangrijk. 

Meer informatie over registreren: Toezicht op cyberveiligheid.

Als er een melding binnen komt bij de IGJ, dan bekijken we eerst of er inderdaad sprake is van een significant incident. Daarna kijken we of de organisatie effectief werkt aan een oplossing. We starten onze toezichtsactiviteiten in het algemeen pas als de situatie (weer) onder controle is. 

Zie voor meer informatie over de behandeling van meldingen door de IGJ: Melden van significante incidenten. 
 

De IGJ kan alle onderdelen van de zorgplicht controleren.
Bijvoorbeeld:

• Hoe en hoe vaak zijn risico’s vastgesteld en gewogen?
• Hoe worden keuzes gemaakt voor beheersing hiervan?
• Op welke manier wordt de effectiviteit van de maatregelen gecontroleerd?

Belangrijk is bewustzijn over digitale weerbaarheid en dat de manier waarop hierover is nagedacht navolgbaar en logisch is. Daarnaast is een continuïteitsplan belangrijk: is dit aanwezig en wordt dit regelmatig getest en aangepast als dat nodig blijkt? Ook kijkt de IGJ naar de incidentrespons procedure.

Passende maatregelen betekent dat de maatregelen moeten passen bij de door de organisatie vastgestelde risico’s en de mate waarin ze deze risico’s accepteert. Net als in de NEN 7510. Passend betekent ook: volgens de laatste stand van de techniek. Het gaat dus om een samenhang van technische, organisatorische en fysieke maatregelen, gebaseerd op een risicobeleid.

Bij een normafwijking zal de IGJ - als dat mogelijk is - met correctieve maatregelen stimuleren dat deze wordt beëindigd. Mocht het nodig zijn, dan kunnen we ook bestraffende maatregelen inzetten, zoals boetes.

Als blijkt dat een organisatie zich niet houdt aan de Cyberbeveiligingswet en de IGJ bestraffen een passende interventie vindt, dan kan de IGJ besluiten een boete op te leggen. Bij de keuze om al dan niet te straffen, volgt de IGJ een interventiebeleid. 

Redenen om te kiezen voor een bestuurlijke boete kunnen zijn: 

• Bewuste aanvaarding van onaanvaardbare risico’s voor de informatiebeveiliging, en daarmee op ernstige verstoringen in het zorgproces
• Herhaling van een normafwijking in relatie tot het verleden (recidive)
• De aard en mate van verwijtbaarheid van het handelen
• De houding van de overtreder richting de inspectie (bijvoorbeeld zich niet open en transparant opstellen, informatie achterhouden of zaken verkeerd voorstellen).

De Cyberbeveiligingswet geldt voor meerdere sectoren, niet alleen de zorg. Als een organisatie in meerdere sectoren actief is, kan er daardoor sprake zijn van samenloop van toezicht vanuit verschillende toezichthouders. De toezichthouders in Nederland maken daarom afspraken over hoe ze moeten handelen in dit soort gevallen en er is een samenwerkingsprotocol opgesteld. Belangrijk uitgangspunt is tijdige afstemming.

De Wet weerbaarheid kritieke entiteiten (Wwke) vloeit voort uit de Europese CER-richtlijn (Critical Entities Resilience) en is onderdeel van een pakket maatregelen ter bescherming van de maatschappij.

De wet verplicht organisaties in vitale sectoren om zich beter te weren tegen fysieke dreigingen, zoals sabotage, terroristische aanslagen, natuurrampen en crises. Het doel is de continuïteit van essentiële diensten in Nederland te waarborgen. 

De Wwke is specifiek gericht op honderden organisaties die door de overheid formeel als 'kritieke entiteit' zijn aangewezen. Dit zijn bedrijven en instellingen in cruciale sectoren zoals energie, zorg, drinkwater, bankwezen, transport en digitale infrastructuur.
Aangewezen kritieke entiteiten hebben een wettelijke zorg- en meldplicht. Dit betekent dat ze risicobeoordelingen moeten uitvoeren, maatregelen moeten nemen om incidenten te voorkomen en ernstige incidenten direct moeten melden aan de autoriteiten. 

Meer informatie over de wet en de richtlijnen vindt u bij NCTV Vitale Infrastructuur, Rijksoverheid of Data voor Gezondheid. 
 

De Wwke sluit nauw aan op de Cyberbeveiligingswet, die zich richt op digitale weerbaarheid. Organisaties die worden aangewezen op grond van de Wwke, vallen automatisch onder de Cbw.