NIS2 in Nederland: wat drinkwaterbedrijven moeten regelen onder de Cyberbeveiligingswet

Valt uw drinkwaterbedrijf onder de Cyberbeveiligingswet?

Ja, in beginsel wel. De sector drinkwater is met zoveel woorden opgenomen in bijlage 1 van de Cyberbeveiligingswet, waarnaar artikel 8, eerste lid, onderdeel f, en artikel 12, eerste lid, onderdeel a, van die wet verwijzen. Of u kwalificeert als essentiële entiteit of als belangrijke entiteit hangt af van uw omvang, gemeten aan de drempels voor middelgrote ondernemingen uit artikel 2 van de bijlage bij Aanbeveling 2003/361/EG.

De eerste stap is dus geen technisch project, maar een nuchtere feitelijke controle van de toepasselijkheid: valt uw bedrijf onder de sectoromschrijving van bijlage 1, en in welke entiteitsklasse komt u dan uit? Pas daarna volgen de registratie bij Onze Minister (artikel 44) en de zorgplicht van artikel 21.

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit treden in werking met ingang van 15 augustus 2026 (artikel 35 van het Cyberbeveiligingsbesluit).

Hoe de wet de sector drinkwater omschrijft

Bijlage 1 van de Cyberbeveiligingswet noemt onder de sector Drinkwater het volgende soort entiteit:

> Leveranciers en distributeurs van voor menselijke consumptie bestemd water als bedoeld in artikel 2, onderdeel 1, subonderdeel a, van Richtlijn (EU) 2020/2184, met uitzondering van distributeurs waarvoor de distributie van water voor menselijke consumptie een niet-essentieel deel is van hun algemene activiteit van distributie van andere waren en goederen die niet worden beschouwd als essentiële of belangrijke diensten.

Twee elementen zijn bepalend:

• Wie: leveranciers én distributeurs van voor menselijke consumptie bestemd water, met de definitie uit Richtlijn (EU) 2020/2184 als maatstaf.
• De uitzondering: distributeurs bij wie de distributie van drinkwater slechts een niet-essentieel deel is van hun bredere distributieactiviteit van andere waren en goederen.

Daarnaast geldt de territoriale regel van artikel 4, eerste lid: de wet is van toepassing op entiteiten die in Nederland zijn gevestigd en hun diensten verlenen of hun activiteiten verrichten in Nederland of in een andere lidstaat van de Europese Unie.

Voor de sector drinkwater is de bevoegde autoriteit volgens artikel 15, eerste lid, van de Cyberbeveiligingswet Onze Minister van Infrastructuur en Waterstaat.

Essentiële entiteit of belangrijke entiteit: welke drempels tellen?

De Cyberbeveiligingswet kent twee statutaire klassen, met verschillende toezichtregimes en boetemaxima.

Bij deze toets is artikel 3, vierde lid, van de bijlage bij Aanbeveling 2003/361/EG niet van toepassing (artikel 8, tweede lid, en artikel 12, tweede lid).

Omvang is niet de enige route. Een drinkwaterbedrijf kan óók essentiële entiteit zijn doordat:

• het bij regeling of besluit is aangewezen op grond van artikel 9, eerste lid, bijvoorbeeld omdat het in Nederland de enige aanbieder is van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten, of omdat verstoring aanzienlijke gevolgen kan hebben voor de openbare veiligheid of de volksgezondheid;
• het is aangewezen op grond van artikel 10 (eerdere aanwijzing als aanbieder van een essentiële dienst vóór 16 januari 2023);
• het een kritieke entiteit is als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten (artikel 8, eerste lid, onderdeel i).

De exacte getalsmatige drempels volgen uit Aanbeveling 2003/361/EG zelf. Twijfelt u over de uitkomst voor uw onderneming? Raadpleeg de gepubliceerde richtsnoeren van de bevoegde autoriteit, Onze Minister van Infrastructuur en Waterstaat (officiële bron).

Kernverplichtingen: zorgplicht, bestuur en registratie

Belangrijk om te weten: de Cyberbeveiligingswet formuleert geen aparte, uitsluitend voor drinkwater geldende zorgplicht. Dezelfde artikelen gelden voor alle essentiële en belangrijke entiteiten. Wel kunnen bij of krachtens algemene maatregel van bestuur nadere eisen worden gesteld waarbij onderscheid wordt gemaakt tussen sectoren en soorten entiteiten (artikel 21, vijfde lid, van de wet en artikel 19 van het Cyberbeveiligingsbesluit).

1. Risicobeheersing (artikel 21). U neemt passende en evenredige technische, operationele en organisatorische maatregelen, afgestemd op de risico's, waarbij u rekening houdt met de stand van de techniek, de uitvoeringskosten en de relevante Europese en internationale normen. Het maatregelenpakket omvat ten minste:

• beleid inzake risicoanalyse en beveiliging van informatiesystemen;
• incidentenbehandeling;
• bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer;
• beveiliging van de toeleveringsketen, inclusief de relaties met rechtstreekse leveranciers en dienstverleners;
• beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen, met inbegrip van respons op en bekendmaking van kwetsbaarheden;
• beleid en procedures om de effectiviteit van de maatregelen te beoordelen;
• basispraktijken op het gebied van cyberhygiëne en opleiding;
• beleid en procedures inzake cryptografie en, in voorkomend geval, encryptie;
• beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets;
• wanneer gepast: multifactor- of continue authenticatie en beveiligde communicatie- en noodcommunicatiesystemen.

De artikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit werken dit verder uit, onder meer met schriftelijk vastgesteld beleid, een managementsystematiek, logging, een bedrijfscontinuïteitsplan, een herstelplan, een plan voor crisisbeheer en een periodieke evaluatie van de doeltreffendheid van de maatregelen (artikel 18).

2. Verantwoordelijkheid van het bestuur (artikel 24). De maatregelen behoeven de goedkeuring van het bestuur. Ieder bestuurslid moet risico's kunnen identificeren, risicobeheersmaatregelen kunnen beoordelen en de gevolgen daarvan voor de dienstverlening kunnen inschatten — binnen twee jaar na inwerkingtreding van artikel 24, tweede lid, of binnen twee jaar na benoeming. Die kennis moet aantoonbaar actueel blijven en blijken uit een trainingscertificaat (artikel 24, vijfde lid; artikelen 20 tot en met 22 van het Cyberbeveiligingsbesluit).

3. Registratie (artikelen 43 en 44). Onze Minister beheert een nationaal register. U verstrekt onder meer naam, adres en actuele contactgegevens inclusief e-mailadressen, IP-bereiken en telefoonnummers, de sector en subsector uit bijlage 1 en de lidstaten waar u uw diensten verleent. Artikel 27 van het Cyberbeveiligingsbesluit vult dit aan met onder meer de vermelding of u zich registreert als essentiële of belangrijke entiteit, uw handelsregisternummer en uw domeinnamen. Wijzigingen meldt u onverwijld, in elk geval binnen twee weken (artikel 44, tweede lid).

Melden van significante incidenten en de termijnen

Een incident is significant als het een ernstige operationele verstoring van de diensten of financiële verliezen voor uw bedrijf veroorzaakt of kan veroorzaken, of als het andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken (artikel 25, tweede lid).

De meldketen loopt naar uw CSIRT en uw bevoegde autoriteit. Als CSIRT voor essentiële en belangrijke entiteiten is Onze Minister — de Minister van Justitie en Veiligheid — aangewezen in artikel 2, eerste lid, van het Cyberbeveiligingsbesluit; de melding wordt gedaan bij een door Onze Minister ingericht meldpunt (artikel 25 van dat besluit).

• Vroegtijdige waarschuwing: onverwijld of, indien dat niet mogelijk is, binnen 24 uur nadat u kennis heeft gekregen van het significante incident (artikel 26, eerste lid). U geeft daarbij aan of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, of het grensoverschrijdende gevolgen kan hebben, en wie de contactpersoon is.
• Melding: onverwijld of, indien dat niet mogelijk is, binnen 72 uur na kennisname (artikel 27, eerste lid), met een update, een initiële beoordeling van ernst en gevolgen, indicatoren voor aantasting en informatie over mogelijke grensoverschrijdende effecten.
• Tussentijds verslag: op verzoek van het CSIRT of de bevoegde autoriteit (artikel 28).
• Eindverslag: uiterlijk één maand na de melding (artikel 29, eerste lid). Duurt het incident nog voort, dan dient u een voortgangsverslag in en volgt het eindverslag binnen één maand nadat het incident is afgehandeld.

Het CSIRT reageert onverwijld en zo mogelijk binnen 24 uur na ontvangst van de vroegtijdige waarschuwing met een eerste terugkoppeling en, op verzoek, operationeel advies (artikel 36).

Daarnaast stelt u afnemers van uw diensten onverwijld in kennis van significante incidenten die een nadelige invloed kunnen hebben op de dienstverlening (artikel 30, eerste lid). Ook deze meldplichten gelden gelijk voor alle in de wet genoemde entiteiten; er is geen afzonderlijk drinkwaterregime.

Boetes en handhaving

De bevoegde autoriteit kan bestuursrechtelijk handhaven (artikel 15, zesde lid). De maxima verschillen per klasse:

Een lid van het bestuur riskeert een bestuurlijke boete van ten hoogste € 25.000,– bij overtreding van artikel 24, tweede tot en met zesde lid (artikel 93).

Het toezicht op essentiële entiteiten is intensiever: de bevoegde autoriteit kan een controlefunctionaris aanwijzen (artikel 70), een beveiligingsscan laten uitvoeren (artikel 71) en, als een besluit op grond van artikel 76 niet tijdig wordt nageleefd, verzoeken om tijdelijke opschorting van een certificering of vergunning (artikel 77) of om schorsing van bestuursleden door de burgerlijke rechter (artikel 78). Voor belangrijke entiteiten gelden de bevoegdheden van de artikelen 82 tot en met 87, en alleen wanneer de autoriteit bewijs, een aanwijzing of informatie heeft van een mogelijke overtreding (artikel 81).

Bij de toepassing weegt de bevoegde autoriteit onder meer de ernst en duur van de overtreding, eerdere overtredingen, veroorzaakte schade, opzet of nalatigheid en de mate van medewerking mee (artikel 69). Het niet melden of niet verhelpen van significante incidenten geldt daarbij uitdrukkelijk als een ernstige overtreding.