Veelgestelde vragen

Organisaties die onder de NIS2 gaan vallen, zijn zelf verantwoordelijk voor het verbeteren van hun weerbaarheid tegen digitale dreigingen. Wel krijgen zij bij incidenten ondersteuning van een Computer Security Incident Response Team (CSIRT). Daarnaast biedt de overheid informatie, richtlijnen en instrumenten die de weerbaarheid beter maken, bijvoorbeeld voor het uitvoeren van een risicobeoordeling.

Ja, alle netwerk- en informatiesystemen binnen een essentiële of belangrijke organisatie vallen onder de richtlijn. 

Het ministerie kan verder uitwerken hoe je invulling geeft aan de eisen uit de wet binnen een sector. We weten nog niet of en hoe we dit gaan doen. Wil je weten hoe dit er ongeveer uit zou kunnen zien? Kijk dan eens bij de Rbni IenW, waarin het ministerie van IenW de eisen uit de NIS1-richtlijn heeft uitgewerkt voor haar sectoren.

Organisaties zijn verplicht om incidenten te melden bij hun CSIRT en de toezichthouder. Voor deze meldingen wordt één meldportaal ingericht. Er komen nog minimale eisen waaraan een incident moet voldoen om gemeld te moeten worden.

Als je organisatie actief is in meerdere NIS2-sectoren, dan val je voor al deze sectoren onder de wetgeving. Dit betekent dat je te maken kunt krijgen met meerdere toezichthouders. De toezichthouders werken samen om bedrijven waar mogelijk te ontlasten. Als je onder meerdere sectoren valt, dan krijg je ondersteuning van één CSIRT. De overheid bepaalt welk CSIRT je ondersteunt. Het proces hiervoor wordt op dit moment verder uitgewerkt. 

Je blijft op de hoogte via versterkencyberweerbaarheid.nl, via de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en via berichten aan de koepelorganisaties en andere samenwerkingsverbanden in de IenW-sectoren.

Als je organisatie actief is in de luchtvaart, wegvervoer, spoorvervoer, scheepvaart, drinkwatervoorziening, chemische industrie, afvalwaterverwerking of afvalstoffenverwerking, kan je je vragen stellen aan het ministerie van Infrastructuur en Waterstaat. Stuur een mail naar cernis@minienw.nl. 

Naar verwachting zullen de wetten in 2025 in werking treden, nadat deze door het parlement zijn behandeld. De organisaties die onder de NIS2-richtlijn vallen moeten vanaf dat moment aan de regelgeving voldoen.

De planning ziet er als volgt uit:

• Voor de zomer van 2024 start een internetconsulatie van de conceptwetten (NIS2 en CER). Gedurende een periode van zes weken kunnen burgers, bedrijven en maatschappelijke organisaties via https://www.internetconsultatie.nl kennisnemen van de wetsvoorstellen en hun ideeën hierover kenbaar maken.
• De resultaten van de consultatie worden vervolgens gepubliceerd en waar mogelijk verwerkt in de wetsvoorstellen.
• De wetsteksten van de CER- en de NIS2-richtlijnen worden gedetailleerder uitgewerkt in een Algemene Maatregel van Bestuur (AmvB). Ook voor de AMvB’s van beide richtlijnen vindt een internetconsultatie plaats gedurende 6 weken.
• Daarna stelt het ministerie van Infrastructuur en Waterstaat (IenW) sectorspecifieke regelgeving op in de vorm van een Ministeriële regeling.
• Vanaf 2025 zullen ministeries per sector organisaties aanwijzen die onder de CER-richtlijn vallen. Wanneer IenW een organisatie in de sector zorg aanwijst als kritieke entiteit, ontvangt deze organisatie hierover bericht. Na aanwijzing hebben organisaties nog 10 maanden om aan de wet te voldoen.

De minister van Justitie en Veiligheid heeft de Tweede Kamer op 31 januari 2024 via een Kamerbrief geïnformeerd over de aangepaste planning voor het omzetten van de NIS2-richtlijn in Nederlandse wetgeving. In deze brief heeft de minister aangegeven dat de internetconsultatie voor de zomer van 2024 plaatsvindt. Hierdoor zal Nederland de implementatiedeadline van de Europese Commissie op 17 oktober 2024 niet halen. Dit betekent dat er tot de inwerkingtreding van de Nederlandse wetgeving in 2025 geen nationale wetgeving van kracht is die de nieuwe eisen van de NIS2-richtlijn wettelijk afdwingbaar maakt. Organisaties krijgen daardoor extra tijd om zich voor te bereiden. De exacte datum waarop de Nederlandse wetgeving ingaat, is nog niet vastgesteld.

De NIS2 en de CER zijn EU-richtlijnen die in alle EU-lidstaten in samenhang worden geïmplementeerd. Beide richtlijnen zijn gericht op het weerbaar zijn van organisaties (organisational resilience). In Nederland worden het twee aparte wetten die gelijktijdig in consultatie gaan en gelijktijdig naar de Tweede Kamer worden gestuurd. Het toezicht op beide richtlijnen vindt zoveel mogelijk in afstemming plaats.

Voor de NIS2 geldt dat je er automatisch onder valt als je aan de criteria voldoet. Voor de CER worden organisaties door de verantwoordelijke ministeries aangewezen. Organisaties die worden aangewezen onder de CER zijn ook automatisch essentieel onder de NIS2, hoe klein de organisatie ook is. Andersom is dit verband er niet.

Er wordt een centraal registratiepunt ontwikkeld waar je je organisatie kunt registreren. Bij de registratie wordt in ieder geval om de volgende gegevens gevraagd:

• de naam van de organisatie;
• de relevante sector, subsector en soort organisatie (zie ook bijlage I of II);
• het adres van de hoofdvestiging van de organisatie en andere wettelijke vestigingen in de Europese Unie;
• actuele contactgegevens;
• de lidstaten waar de organisatie diensten verleent;
• de IP-bereiken van de organisatie.

Zodra er meer bekend is, word je op deze website geïnformeerd.

Ja, je moet je registreren in elk land waar de NIS2 geldt en waar je aan de criteria voldoet. Bij de registratie geef je aan of je in meerdere landen onder de NIS2 valt. Hoe het toezicht in zo’n geval wordt georganiseerd is nog niet bekend. Er is een uitzondering voor organisaties die vallen onder Domain Name System (DNS) dienstverleners.

Hoe de zorgplicht eruit gaat zien wordt nog nader ingevuld. In hoeverre je voldoet aan de zorgplicht hangt af van het individuele geval. Op basis van jouw risicoanalyse kom je tot afwegingen en maatregelen. Het gebruik van standaarden op informatie- en/of operationele technologie helpt daarbij. Ook het hebben van een certificering op dit soort standaarden kan bijdragen aan het voldoen aan de zorgplicht.

Ja, gemeenschappelijke regelingen komen ook onder NIS2 te vallen onder de sector overheid.

De NIS2 gaat over cyberweerbaarheid en een zorgplicht waarbij je maatregelen neemt die jouw netwerk en informatiesystemen beschermen ten behoeve van de continuïteit van je bedrijfsprocessen. Dit is ook van toepassing voor de toeleveranciersketen.

Het toezicht van de Inspectie Leefomgeving en Transport (ILT) richt zich op de essentiële of belangrijke organisatie. In hoeverre een verstoring bij een toeleverancier impact heeft of een verstoring kan opleveren voor je netwerk, informatiesystemen en/of bedrijfsprocessen, moet zijn opgenomen in het information security management system (ISMS) met voldoende maatregelen.

De ministeries stellen drempelwaarden vast. Denk bij een drempelwaarde bijvoorbeeld aan de tijdsduur dat een proces verstoord is door een incident, of de (economische) schade die het incident aanricht. Organisaties zijn verplicht incidenten te melden die aan deze drempelwaarden voldoen. De richtlijn verplicht organisaties de melding te doen bij zowel de toezichthouder als de CSIRT (Computer Security Incident Response Team). Er wordt gewerkt aan een centraal meldpunt om het melden te ondersteunen en de administratieve belasting voor organisaties klein te houden. Zodra er meer bekend is, worden organisaties geïnformeerd op deze website.

Volgens de richtlijn moeten organisaties elk incident dat grote gevolgen heeft voor de verlening van hun diensten (significant incident) melden. Een incident is significant als het een ernstige operationele verstoring van de diensten veroorzaakt, als het leidt tot grote financiële verliezen of als andere organisaties er ernstig door worden getroffen. In de drempelwaarden wordt in meer detail vastgelegd wat als significant incident wordt gezien.

De eerste melding van een significant incident moet worden gedaan binnen 24 uur nadat het incident heeft plaatsgevonden.

Wie de toezichthouder wordt is nog niet voor alle sectoren bekend. Voor de sectoren van het ministerie van Infrastructuur en Waterstaat (IenW) zal in de meeste gevallen de Inspectie Leefomgeving en Transport (ILT) toezicht houden.

De afdeling Toezicht Cybersecurity van de ILT voert in eerst instantie reguliere inspecties uit bij essentiële organisaties. Bij belangrijke organisaties zal gereageerd worden op meldingen dan wel op signalen. Een eerste inspectie bij een essentiële organisaties is een verkennende inspectie. Hierbij wordt kennisgemaakt en gekeken naar de opzet van het information security management system (ISMS). De volgende keer voert de ILT een verdiepende inspectie uit naar het bestaan en de werking van het ISMS. De ILT kijkt naar de opzet, bestaan en werking van het ISMS. Vervolgthema’s voor de inspectie worden risicogericht geselecteerd, bijvoorbeeld detectie & respons.

Toezichthouders zijn op grond van de NIS2 verplicht om zoveel mogelijk onderling gecoördineerd toezicht te houden op essentiële organisaties en belangrijke organisaties. Hiermee wordt tot uitdrukking gebracht dat toezicht op de naleving van deze wet zoveel mogelijk in samenhang en op consistente wijze plaatsvindt. Er moeten in het geval van overlap samenwerkingsafspraken worden gemaakt, bijvoorbeeld over welk toezicht prevaleert. Ditzelfde geldt voor overlap met sectorale toezichthouders. Er is voor het opzetten van een goede samenwerking al veel contact tussen bijvoorbeeld de Inspectie Leefomgeving en Transport (ILT), Rijksinspectie Digitale Infrastructuur (RDI) en andere toezichthouders.

Voor verschillende wetten is eigen toezicht geregeld. Dat betekent dat de toezichthouder controleert of een organisatie zich houdt aan de eisen uit die specifieke wet. Organisaties hebben met verschillende wetten te maken met voor iedere wet eisen waarop toezicht is. Momenteel is het toezicht op cyber nog niet verweven met specifieke wetgeving en is er sprake van een vrijstaande (losse) inspectie naast de inspecties die al worden uitgevoerd. Dat betekent in veel gevallen dat er sprake is van verschillende toezichthouders. Zij zullen hun inspecties afstemmen. Het streven is om de toezichtlast te beperken. Essentiële organisaties vallen in de NIS2 onder één of meer sectoren. Ook in dat geval is er afstemming met collega’s die op de naleving toezichthouden.

Organisaties die behoren tot de sectoren waarvoor de NIS2 geldt en diensten aanbieden in de Europese Unie, maar er niet zijn gevestigd, zijn verplicht om een vertegenwoordiger in de EU aan te wijzen. Als zij een vertegenwoordiger in Nederland aanwijzen, dan vallen zij onder Nederlandse jurisdictie. Dat betekent dat ze te maken krijgen met een Nederlandse toezichthouder, bijvoorbeeld de Inspectie Leefomgeving en Transport (ILT).

Tot de sector luchtvaart behoren de volgende organisaties:

• Luchtvaartmaatschappijen zoals staat in artikel 3, punt 4, Verordening (EG) nr. 300/2008 die voor commerciële doeleinden worden gebruikt;
• Luchthavenbeheerders zoals staat in artikel 2, punt 2, van Richtlijn 2009/12/EG van het Europees Parlement en de Raad (6), luchthavens zoals staat in artikel 2, punt 1, van die richtlijn, met daarbij ook de kernluchthavens die in bijlage II, afdeling 2, bij Verordening (EU) 1315/2013 van het Europees Parlement en de Raad (7) staan, en ook de organisaties die installaties bedienen die je op luchthavens vindt;
• Exploitanten op het gebied van verkeersbeheer en -controle die luchtverkeersleidingsdiensten zoals staat in artikel 2, punt 1, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad (8) aanbieden.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de sector luchtvaart.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de sector luchtvaart.

Voor de luchtvaartsector specifiek is er een regelgevend kader (Part-IS) vastgesteld dat eisen gaat stellen aan het cyberweerbaarder maken van het luchtvaartsysteem. Part-IS geldt vanaf 16 oktober 2025 voor organisaties die binnen het toepassingsgebied van de gedelegeerde handeling vallen. En op 22 februari 2026 volgen alle andere organisaties en bevoegde autoriteiten die onder de uitvoeringshandeling vallen.

Tot de maritieme sector behoren de volgende organisaties:

• Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht, met uitzondering van de individuele vaartuigen die deze bedrijven exploiteren;
• Beheerders van havens, inclusief hun havenfaciliteiten; en organisaties die in havens werken en uitrusting daar beheren;
• Exploitanten van verkeersbegeleidingssystemen (VBS).

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de maritieme sector.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de maritieme sector.

Tot de spoorsector behoren de volgende organisaties:

• Infrastructuurbeheerders zoals staat in artikel 3, punt 2, van Richtlijn 2012/34/EU van het Europees Parlement en de Raad;
• Spoorwegondernemingen zoals staat in artikel 3, punt 1 van Richtlijn 2012/34/EU, inclusief exploitanten van dienstvoorzieningen zoals staat in artikel 3, punt 12, van die richtlijn.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de spoorsector.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de spoorsector.

De NIS2-richtlijn beschrijft twee soorten organisaties die onder de sector wegvervoer vallen: wegenautoriteiten en ITS-aanbieders (aanbieders van intelligente transportsystemen).

De NIS2-richtlijn omschrijft wegenautoriteiten als volgt: “Wegenautoriteiten zoals gedefinieerd in artikel 2, punt 12, van gedelegeerde Verordening (EU) 2015/962 van de Commissie die verantwoordelijk zijn voor het verkeersbeheer, met uitzondering van overheidsinstanties waarvoor verkeersbeheer of de exploitatie van intelligente vervoerssystemen slechts een niet-essentieel onderdeel van hun algemene activiteit is.” In de praktijk zijn dit in Nederland alle overheden die verantwoordelijk zijn voor het beheer van een deel van het wegennetwerk. 

De NIS2-richtlijn omschrijft ITS-aanbieders als volgt: “Exploitanten van intelligente vervoerssystemen zoals gedefinieerd in artikel 4, punt 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad.” Dit gaat om een grote verscheidenheid aan organisaties die onder de ITS-richtlijn onderdeel zijn van de dataketen en die een ITS-dienst of -product beschikbaar stellen dat bijdraagt aan de veiligheid, de efficiëntie en het comfort van de gebruikers en/of om vervoers- en reisdiensten te faciliteren of ondersteunen.

In principe is de Inspectie Leefomgeving en Transport (ILT) de toezichthouder voor de sector wegvervoer. Aangezien wegbeheerders vaak ook als overheidsorganisaties onder NIS2 vallen, wordt in overleg met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties gekeken hoe dit toezicht in de praktijk vorm krijgt zodat toezichthouders zoveel mogelijk samen kunnen werken. 

In principe is het Nationaal Cyber Security Center (NCSC) het CSIRT voor de sector wegvervoer. Aangezien wegbeheerders vaak ook overheidsorganisaties zijn, wordt in overleg met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties gekeken hoe de ondersteuning voor de medeoverheden wordt vormgegeven. Iedere organisatie wordt ondersteund door maximaal één CSIRT, ook als zij onder meerdere sectoren vallen.

De sector water bestaat uit drinkwater en afvalwater. De organisaties die in de sector drinkwater vallen zijn de drinkwaterbedrijven. Onder de sector afvalwater vallen de organisaties die stedelijk afvalwater, huishoudelijk afvalwater of industrieel afvalwater opvangen, lozen of behandelen. In Nederland zijn dit de waterschappen, gemeentes en bedrijven.

In principe is de Inspectie Leefomgeving en Transport (ILT) de toezichthouder voor de sector water. Aangezien een aantal van de afvalwaterverwerkers als overheidsorganisaties onder NIS2 vallen, wordt in overleg met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties gekeken hoe dit toezicht in de praktijk vorm krijgt zodat toezichthouders zoveel mogelijk samen kunnen werken. 

Voor de drinkwaterbedrijven is de CSIRT-functie belegd bij het Nationaal Cyber Security Center (NCSC). Voor de waterschappen is de CSIRT-functie belegd bij het CERT-Watermanagement (CERT-WM). Andere organisaties die vallen onder afvalwater zullen ondersteuning krijgen van het NCSC. 

De NIS2 richtlijn omschrijft de chemische sector als volgt: “Ondernemingen die stoffen vervaardigen en stoffen of mengsels distribueren als bedoeld in artikel 3, punten 9 en 14, van Verordening (EG) nr. 1907/2006 van het Europees Parlement en de Raad en ondernemingen die voorwerpen zoals gedefinieerd in artikel 3, punt 3, van die verordening produceren uit stoffen of mengsels.” In de praktijk betekent dit dat ondernemingen die werkzaam zijn in de productie, opslag of distributie van chemische stoffen tot de sector behoren. 

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de chemische sector.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de chemische sector.

Ondernemingen die afvalstoffenbeheer uitvoeren zoals staat in artikel 3, punt 9, van Richtlijn 2008/98/EG(29), met uitzondering van ondernemingen waarvoor afvalstoffenbeheer niet de voornaamste economische activiteit is. Het gaat dan om ondernemingen die zich bezig houden met inzameling, vervoer, nuttige toepassing en verwijdering van afvalstoffen, toezicht houden op die handelingen en de nazorg doen voor de stortplaatsen na sluiting, en ook alles wat  handelaars of makelaars hierbij doen.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de sector afvalstoffenbeheer.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de sector afvalstoffenbeheer.