NIS2 voor de centrale overheid in Nederland: wat de Cyberbeveiligingswet vraagt

Kort antwoord: ja, de centrale overheid valt onder de wet

Ja. Ministeries — inclusief de daartoe behorende dienstonderdelen — en zelfstandige bestuursorganen van de centrale overheid die kwalificeren als overheidsinstantie vallen onder de Cyberbeveiligingswet (Cbw). De sector staat in bijlage 1 van de wet (sector «overheid», subsector «centrale overheden») en artikel 8, eerste lid, onderdeel g, merkt deze organisaties rechtstreeks aan als essentiële entiteit.

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit (Cbb) zijn in werking getreden met ingang van 15 augustus 2026 (Cbb art. 35).

Wat u als eerste doet: controleer of uw organisatie onder een uitzondering van artikel 5 van de wet valt, stel vast of u kwalificeert als overheidsinstantie in de zin van artikel 1, en verstrek daarna de registratiegegevens voor het nationale register (art. 43 en 44 van de wet). Een korte interne kohalduvuse kontroll — een eigen toets van toepasselijkheid en enesehindamine van de huidige beveiligingsmaatregelen — is het logische startpunt.

Hoe de wet de sector precies benoemt

Bijlage 1 van de Cyberbeveiligingswet omschrijft de subsector letterlijk zo:

> Centrale overheden > > – Ministeries met inbegrip van de daartoe behorende dienstonderdelen doch met uitzondering van de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017 > > – Zelfstandige bestuursorganen, voor zover zij kwalificeren als overheidsinstantie

De zinsnede «voor zover zij kwalificeren als overheidsinstantie» verwijst naar de definitie in artikel 1 van de wet. Een overheidsinstantie is een naar Nederlands recht erkende entiteit die cumulatief voldoet aan vier criteria: zij is opgericht om te voorzien in behoeften van algemeen belang zonder industrieel of commercieel karakter; zij heeft rechtspersoonlijkheid of mag namens een andere rechtspersoon optreden; zij wordt grotendeels door de overheid gefinancierd of gecontroleerd; en zij heeft de bevoegdheid administratieve of regelgevende besluiten te nemen die van invloed zijn op rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal.

Dezelfde definitie zondert uitdrukkelijk onder meer de rechtbanken, de gerechtshoven, de Hoge Raad, het College van Beroep voor het bedrijfsleven, de Centrale Raad van Beroep, de Afdeling bestuursrechtspraak van de Raad van State, de beide Kamers der Staten-Generaal en De Nederlandsche Bank N.V. uit.

Daarnaast is de wet — met uitzondering van artikel 96 — op grond van artikel 5, eerste lid, niet van toepassing op het Ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het openbaar ministerie, de politie en de veiligheidsregio's. Treedt zo'n instantie op als verlener van vertrouwensdiensten buiten gesloten systemen, dan geldt de wet volgens artikel 5, tweede lid, alsnog.

Entiteitsklasse: essentiële entiteit, zonder omvangsdrempel

De wet kent twee statutaire klassen: de essentiële entiteit (art. 8 tot en met 11) en de belangrijke entiteit (art. 12 en 13).

Voor de centrale overheid is de indeling eenduidig. Artikel 8, eerste lid, onderdeel g, bepaalt dat essentiële entiteiten zijn: de ministeries, met inbegrip van de daartoe behorende dienstonderdelen doch met uitzondering van de inlichtingen- en veiligheidsdiensten, en zelfstandige bestuursorganen van de centrale overheid voor zover deze kwalificeren als overheidsinstantie.

De verwijzing naar de drempel voor middelgrote ondernemingen uit Aanbeveling 2003/361/EG geldt in artikel 8, eerste lid, voor de onderdelen d tot en met f — niet voor onderdeel g. Voor ministeries en kwalificerende zbo's is de personeels- of omzetomvang dus geen criterium: de aanwijzing volgt rechtstreeks uit de wet.

Houdt uw organisatie zich uitsluitend bezig met nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, of verleent zij uitsluitend diensten aan een instantie als bedoeld in artikel 5, eerste lid? Dan kan Onze Minister die het aangaat ontheffing verlenen van de zorgplicht (art. 23), van de meldplichten (art. 32) of van de registratieplicht (art. 45).

Kernverplichtingen: zorgplicht, bestuur en registratie

Zorgplicht (art. 21). De entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om risico's voor haar netwerk- en informatiesystemen te beheersen. Artikel 21, derde lid, noemt het minimumpakket:

• beleid inzake risicoanalyse en beveiliging van informatiesystemen;
• incidentenbehandeling;
• bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer;
• beveiliging van de toeleveringsketen, inclusief relaties met rechtstreekse leveranciers en dienstverleners;
• beveiliging bij verwerving, ontwikkeling en onderhoud van systemen, met respons op en bekendmaking van kwetsbaarheden;
• beleid en procedures om de effectiviteit van de maatregelen te beoordelen;
• basispraktijken op het gebied van cyberhygiëne en opleiding;
• beleid en procedures inzake cryptografie en, in voorkomend geval, encryptie;
• beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets;
• wanneer gepast: multifactor- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatie.

Het Cyberbeveiligingsbesluit werkt dit uit in de artikelen 5 tot en met 18: vastgesteld en schriftelijk vastgelegd beleid, een managementsystematiek, risicomanagementmethodiek en acceptatiecriteria, logging, bedrijfscontinuïteits-, herstel- en crisisplannen die periodiek worden getest, en een periodieke evaluatie van de doeltreffendheid van de maatregelen.

Bestuur (art. 24). De maatregelen behoeven de goedkeuring van het bestuur. Ieder bestuurslid beschikt over kennis en vaardigheden om risico's te identificeren, risicobeheersmaatregelen te beoordelen en de gevolgen daarvan voor de dienstverlening te beoordelen — binnen twee jaar na inwerkingtreding van het tweede lid, of binnen twee jaar na benoeming. Die kennis wordt aantoonbaar actueel gehouden en blijkt uit een trainingscertificaat (art. 24, vijfde lid; Cbb art. 20 tot en met 22). Bij een overheidsinstantie geldt als bestuur: bij ministeries de minister, bij zelfstandige bestuursorganen van de centrale overheid het zelfstandige bestuursorgaan (art. 24, twaalfde lid).

Registratie (art. 43 en 44). Onze Minister beheert een nationaal register. De entiteit verstrekt onder meer naam, adres en actuele contactgegevens inclusief e-mailadressen, IP-bereiken en telefoonnummers, en de betrokken sectoren en subsectoren. Wijzigingen worden onverwijld, in elk geval binnen twee weken, gemeld. Het Cyberbeveiligingsbesluit (art. 27) vraagt aanvullend de vermelding van de klasse waarin wordt geregistreerd, de domeinnamen en — voor een overheidsinstantie die daarin staat — de identificatiecode uit het Register van Overheidsorganisaties.

Deze verplichtingen zijn niet sectorspecifiek: de wet behandelt alle essentiële entiteiten op dit punt gelijk.

Melden van significante incidenten en de termijnen

Een incident is significant als het een ernstige operationele verstoring van de diensten of financiële verliezen veroorzaakt of kan veroorzaken, of andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade (art. 25, tweede lid).

De melding gaat naar het CSIRT én de bevoegde autoriteit. Voor essentiële en belangrijke entiteiten is Onze Minister — de Minister van Justitie en Veiligheid — als CSIRT aangewezen (Cbb art. 2, eerste lid); de melding wordt gedaan bij een door Onze Minister ingericht meldpunt (Cbb art. 25).

De vroegtijdige waarschuwing vermeldt of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, of het grensoverschrijdende gevolgen kan hebben, en de contactgegevens van de verantwoordelijke functionaris (art. 26, tweede lid). Het Cyberbeveiligingsbesluit (art. 24) voegt daaraan toe: het vermoedelijke aanvangstijdstip, zo mogelijk een beschrijving van aard en merkbare gevolgen, een prognose van de hersteltijd en de genomen of voorgenomen maatregelen.

Duurt het incident nog voort op het moment dat het eindverslag moest worden ingediend, dan volgt eerst een voortgangsverslag en daarna een eindverslag binnen één maand na afhandeling (art. 29, tweede lid). Afnemers van de dienst worden onverwijld geïnformeerd wanneer het incident hun dienstverlening nadelig kan beïnvloeden (art. 30).

Toezicht en boetes

De bevoegde autoriteit voor de sector overheid, subsector centrale overheden, is Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties (art. 15, eerste lid). Zij zorgt voor de bestuursrechtelijke handhaving ten aanzien van essentiële entiteiten, belangrijke entiteiten en bestuursleden (art. 15, zesde lid).

Het toezichtinstrumentarium voor essentiële entiteiten omvat onder meer het aanwijzen van een controlefunctionaris (art. 70), een beveiligingsscan (art. 71), een onderzoek door een onafhankelijke en gekwalificeerde deskundige (art. 72), een bindende aanwijzing (art. 74) en een last onder bestuursdwang (art. 75).

Bestuurlijke boetes (art. 80):

• bij overtreding van onder meer de artikelen 21, 21a en 25 tot en met 30: ten hoogste € 10.000.000 of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de essentiële entiteit behoort, indien dat bedrag hoger is;
• bij een andere overtreding: ten hoogste € 1.000.000.

Een lid van het bestuur kan bij overtreding van artikel 24, tweede tot en met zesde lid, een last onder dwangsom (art. 92) of een bestuurlijke boete van ten hoogste € 25.000 (art. 93) krijgen.

Belangrijk voor publieke organisaties: de artikelen 76, 77 en 78 — het besluit met einddatum, de tijdelijke opschorting van een certificering of vergunning en de schorsing van bestuursleden — zijn niet van toepassing op overheidsinstanties (art. 79).

Bij het bepalen van de maatregel houdt de bevoegde autoriteit rekening met de omstandigheden van het geval, waaronder de ernst en duur van de overtreding, eerdere overtredingen, veroorzaakte schade, opzet of nalatigheid en de mate van medewerking (art. 69). Het niet melden of niet verhelpen van significante incidenten geldt daarbij uitdrukkelijk als een ernstige overtreding.

Voor uitvoeringsdetails die de wettekst niet vastlegt — bijvoorbeeld het exacte elektronische adres van het meldpunt — geldt: raadpleeg de gepubliceerde richtsnoeren van uw bevoegde autoriteit, Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties (officiële bron).