De Cyberbeveiligingswet (Cbw): Wat zijn je wettelijke verplichtingen en hoe voldoe je eraan?
De Cyberbeveiligingswet (Cbw) vormt de Nederlandse omzetting van de Europese NIS2-richtlijn. De wet is ontworpen om de digitale weerbaarheid van de Europese Unie ingrijpend te verhogen. Waar eerdere wetgeving vooral gericht was op traditionele vitale sectoren, brengt de Cbw een veel grotere groep organisaties onder de wetgeving.
Valt jouw organisatie onder de scope? Dan krijg te maken met strenge zorgplicht- en meldplichten. Bestuurders zijn bovendien persoonlijk aansprakelijk te stellen bij verzuim. Dit artikel zet de kernverplichtingen en de te nemen stappen op een rij.
De Cyberbeveiligingswet?
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten, doorgaans ingedeeld op basis van sector en grootte (middelgrote en grote ondernemingen met meer dan 50 werknemers of een omzet/balanstotaal van meer dan €10 miljoen).
- Sectoren van kritiek belang: Denk aan energie, transport, bankwezen, gezondheidszorg, digitale infrastructuur en overheidsinstanties (essentieel).
- Andere kritieke sectoren: Waaronder afvalstoffenbeheer, productie, postdiensten, voedingsmiddelen en digitale aanbieders (belangrijk).
Uit de Cbw
Organisaties die onder de wet vallen, moeten voldoen aan een aantal fundamentele wettelijke pijlers:
1. Zorgplicht (Risicobeheersmaatregelen)
Organisaties zijn wettelijk verplicht om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de beveiliging van netwerk- en informatiesystemen te waarborgen. Deze maatregelen moeten risico’s minimaliseren en de impact van incidenten beperken. Hieronder vallen minimaal:
- Beleid voor risico-analyse en informatiebeveiliging.
- Incidentbehandeling (incident response).
- Bedrijfscontinuïteit, zoals back-upbeheer en rampenherstel.
- Beveiliging in de supply chain en bij de aanschaf en ontwikkeling van systemen.
- Het gebruik van encryptie en multifactorauthenticatie (MFA).
2. Meldplicht (Incidenten rapporteren)
De CBW kent een strakke en gelaagde meldprocedure voor significante cyberincidenten.
- Vroegtijdige waarschuwing: Binnen 24 uur nadat een significant incident is ontdekt, moet een eerste melding worden gedaan bij de beurzen/instanties (zoals het CSIRT/NCSC).
- Incidentmelding: Binnen 72 uur volgt een gedetailleerde melding met een eerste beoordeling van de ernst en de impact.
- Eindrapportage: Uiterlijk een maand na de incidentmelding moet een volledige eindrapportage worden ingediend.
3. Bestuurlijke Aansprakelijkheid en Toezicht
Een ingrijpende wijziging ten opzichte van oudere wetgeving is de verantwoordelijkheid van het management.
- Het bestuur is verplicht om de maatregelen ter risicobeheersing goed te keuren en toe te zien op de naleving hiervan.
- Bestuursleden kunnen persoonlijk worden aangesproken of geconfronteerd worden met ingrijpende bestuurlijke boetes bij het structureel negeren van de zorgplicht.
- Bestuurders zijn verplicht om verplichte cybersecurity trainingen te volgen om voldoende kennis te behouden over cyberrisico’s.
Concreet doen om te voldoen?
Om aan de wetgeving te voldoen en risico’s effectief af te dekken, is een gestructureerde aanpak noodzakelijk:
1. Scope- en wetanalyse
Bepaal of jouw organisatie formeel onder de definitie van een essentiële of belangrijke entiteit valt.
2. Nulmeting en risico-assessments
Voer een grondige gap-analyse uit om te toetsen hoe de huidige beveiliging zich verhoudt tot kaders zoals ISO 27001, CIS18 of de specifieke Cbw-vereisten.
3. Governance en bewustwording
Zorg dat het management aantoonbaar betrokken is en plan trainingen in voor directie en medewerkers.
4. Incident Response Plan opzetten
Zorg dat procedures klaarstaan om binnen de wettelijke termijnen van 24 en 72 uur adequaat te kunnen handelen en rapporteren.