Stb. 2018, 387 Cybersecuritywet
Wet van 17-10-2018, Stb. 2018, 387
Wet houdende regels ter implementatie van richtlijn (EU) 2016/1148 (Wet beveiliging netwerk- en informatiesystemen)
—Deze wet, die aanvankelijk als citeertitel Cybersecuritywet had, maar bij amendement de naam Wet beveiliging netwerk- en informatiesystemen heeft gekregen, strekt ter uitvoering van de NIB-richtlijn van de EU, waarbij NIB staat voor Netwerk- en Informatiebeveiliging (Wbni). De lidstaten moesten op 9 mei 2018 aan deze richtlijn voldoen door deze waar nodig in hun regelgeving om te zetten. Vanwege inhoudelijke samenhang en overlap met de Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) wordt de Wgmc beleidsneutraal, zonder materiële wijzigingen, geïncorporeerd in de onderhavige wet en ingetrokken.
Het doel van de NIB-richtlijn is om eenheid en samenhang te brengen in Europees beleid voor netwerk- en informatiebeveiliging, door de digitale paraatheid te vergroten en de gevolgen van cyberincidenten te verkleinen. Lidstaten moeten zowel aanbieders van essentiële diensten als digitaledienstverleners verplichten om (i) adequate maatregelen te nemen om beveiligingsrisico's te beheersen, incidenten te voorkomen en, als zich toch incidenten voordoen, de gevolgen daarvan zo veel mogelijk te beperken en (ii) ernstige incidenten te melden aan de nationale bevoegde autoriteit of het CSIRT (computer security incident response team). De belangrijkste onderdelen van de richtlijn zijn:
a. reikwijdte;
b. aanwijzing van aanbieders van essentiële diensten;
c. nationale strategie;
d. aanwijzing van centraal contactpunt, CSIRT en bevoegde autoriteit;
e. samenwerking op nationaal en Europees niveau;
f. beveiligingseisen, meldplicht en vrijwillige melding;
g. toezicht en sancties (zie uitgebreid hierover: NJB 2018/480).
Op hoofdlijnen zijn met deze wet de volgende implementatiekeuzes gemaakt:
aanwijzing van het CSIRT voor DSP's bij kb (bij besluit van 30-10-2018, Stb. 2018, 389) is de Minister van EZK aangewezen als het CSIRT voor de digitale diensten);
beveiligingseisen: de beveiligingsverplichtingen zijn opgenomen in de artikelen 7 en 8 Wbni. Het is in eerste instantie aan de organisaties zelf om te bepalen welke concrete maatregelen voor hen passend en evenredig zijn. Artikel 9 Wbni geeft de bevoegdheid om desgewenst, bij of krachtens amvb, voor AED's of DSP's (of voor bepaalde categorieën daarvan) nadere regels te stellen over de te treffen beveiligingsmaatregelen. Die nadere regels kunnen desgewenst ook worden opgenomen in een bestaande sectorale amvb. Als op Europees niveau richtsnoeren worden opgesteld over de beveiligingsmaatregelen, zullen deze hierbij worden betrokken;
Er is tegelijk met deze wet ook een Besluit beveiliging netwerk- en informatiesystemen in het Staatsblad verschenen (Besluit van 30-10-2019, Stb. 2018, 388).