Wet van 8 juli 2026, houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet)

Allen, die deze zullen zien of horen lezen, saluut! doen te weten:

Alzo Wij in overweging genomen hebben dat het gelet op Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148(PbEU 2022, L 333) noodzakelijk is om wettelijke bepalingen vast te stellen ter bevordering van de digitale veiligheid;

Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:

Hoofdstuk 1. Begripsbepaling

Artikel 1. (begripsbepaling)

In deze wet en de daarop berustende bepalingen wordt verstaan onder:

• –. Aanbeveling 2003/361/EG: Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PbEU 2003, L 124);

• –. aanbieder van beheerde beveiligingsdiensten: een aanbieder van beheerde diensten die bijstand biedt of verleent voor activiteiten die verband houden met risicobeheer op het gebied van cyberbeveiliging;

• –. aanbieder van beheerde diensten: een entiteit die diensten verleent die verband houden met de installatie, het beheer, de exploitatie of het onderhoud van ICT-producten, -netwerken, -infrastructuur, -toepassingen of andere netwerk- en informatiesystemen, via bijstand of actieve administratie bij de klant ter plaatse of op afstand;

• –. belangrijke entiteit: een entiteit als bedoeld in artikel 12 of 13;

• –. beveiliging van netwerk- en informatiesystemen: het vermogen van netwerk- en informatiesystemen om op een bepaald niveau van betrouwbaarheid weerstand te bieden aan elke gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die door of via deze netwerk- en informatiesystemen worden aangeboden, in gevaar kan brengen;

• –. beveiligingsscan: technisch onderzoek van netwerk- en informatiesystemen om inzicht te krijgen in kwetsbaarheden en risico’s van deze systemen;

• –. bevoegde autoriteit: de bevoegde autoriteit, bedoeld in artikel 8, eerste lid, van de NIS2-richtlijn en bedoeld in artikel 15;

• –. bevoegde autoriteit van een andere lidstaat van de Europese Unie: een bevoegde autoriteit van een andere lidstaat van de Europese Unie als bedoeld in artikel 8, eerste lid, van de NIS2-richtlijn en die als zodanig is aangewezen in het nationale recht van die andere lidstaat;

• –. bijna-incident: een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar had kunnen brengen, maar die met succes is voorkomen of zich niet heeft voorgedaan;

• –. centraal contactpunt: het centrale contactpunt, bedoeld in artikel 8, derde lid, van de NIS2-richtlijn en bedoeld in artikel 14;

• –. centraal contactpunt van een andere lidstaat van de Europese Unie: het centrale contactpunt van een andere lidstaat van de Europese Unie als bedoeld in artikel 8, derde lid, van de NIS2-richtlijn en dat als zodanig is aangewezen in het nationale recht van die andere lidstaat;

• –. CER-richtlijn: Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333);

• –. cloudcomputingdienst: een digitale dienst die administratie op aanvraag en brede toegang op afstand tot een schaalbare en elastische pool van deelbare computerbronnen mogelijk maakt, ook wanneer die bronnen over verschillende locaties verspreid zijn;

• –. coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden: de coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden, bedoeld in artikel 12, eerste lid, van de NIS2-richtlijn en bedoeld in artikel 17;

• –. CSIRT: een Computer security incident response team, bedoeld in artikel 10 van de NIS2-richtlijn en bedoeld in artikel 16;

• –. CSIRT van een andere lidstaat van de Europese Unie: een CSIRT van een andere lidstaat van de Europese Unie als bedoeld in artikel 10 van de NIS2-richtlijn en dat als zodanig is aangewezen in het nationale recht van die andere lidstaat;

• –. CSIRT-netwerk: het netwerk van CSIRT’s, genoemd in artikel 15 van de NIS2-richtlijn;

• –. cyberbeveiliging: de activiteiten die nodig zijn om netwerk- en informatiesystemen, de gebruikers van dergelijke systemen, en andere personen die getroffen worden door cyberdreigingen, te beschermen;

• –. cyberdreiging: elke potentiële omstandigheid, gebeurtenis of actie die netwerk- en informatiesystemen, de gebruikers van dergelijke systemen en andere personen kan schaden, verstoren of op andere wijze negatief kan beïnvloeden;

• –. datacentrumdienst: een dienst die structuren of groepen van structuren omvat die bestemd zijn voor de gecentraliseerde accommodatie, de interconnectie en de exploitatie van IT en netwerkapparatuur die diensten op het gebied van gegevensopslag, -verwerking en -transport aanbiedt, samen met alle faciliteiten en infrastructuren voor energiedistributie en omgevingscontrole;

• –. digitale dienst: elke dienst van de informatiemaatschappij, dat wil zeggen elke dienst die gewoonlijk tegen vergoeding, langs elektronische weg, op afstand en op individueel verzoek van een afnemer van diensten wordt verricht, waarbij onder «op afstand» wordt verstaan: een dienst die wordt geleverd zonder dat de partijen gelijktijdig aanwezig zijn, onder «langs elektronische weg» wordt verstaan: een dienst die wordt verzonden en ontvangen via elektronische apparatuur voor de verwerking (met inbegrip van digitale compressie) en de opslag van gegevens, en die geheel via draden, radio, optische middelen of andere elektromagnetische middelen wordt verzonden, doorgeleid en ontvangen, en onder «op individueel verzoek van een afnemer van diensten» wordt verstaan: een dienst die op individueel verzoek via de transmissie van gegevens wordt geleverd;

• –. DNS-dienstverlener: een entiteit die openbare recursieve domeinnaamomzettingsdiensten voor interneteindgebruikers verleent, of die gezaghebbende domeinnaamomzettingsdiensten voor gebruik door derden, met uitzondering van root-naamservers, verleent;

• –. domeinnaamsysteem (DNS): een hiërarchisch gedistribueerd naamgevingssysteem dat het mogelijk maakt internetdiensten en -bronnen te identificeren, waardoor eindgebruikersapparaten in staat worden gesteld routing- en connectiviteitsdiensten op het internet te gebruiken om die diensten en bronnen te bereiken;

• –. elektronisch communicatienetwerk: hetgeen hieronder wordt verstaan in artikel 1.1 van de Telecommunicatiewet;

• –. elektronische communicatiedienst: hetgeen hieronder wordt verstaan in artikel 1.1 van de Telecommunicatiewet;

• –. Enisa: het Agentschap van de Europese Unie voor cyberbeveiliging, genoemd in titel II van Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PbEU 2019, L 151);

• –. entiteit: een natuurlijk persoon, een rechtspersoon, een overheidsinstantie, een maatschap als bedoeld in artikel 1655 van boek 7A van het Burgerlijk Wetboek, een vennootschap onder firma als bedoeld in artikel 16 van het Wetboek van Koophandel en een commanditaire vennootschap als bedoeld in artikel 19 van het Wetboek van Koophandel, alsmede een samenwerkingsverband naar buitenlands recht dat met één van deze rechtsvormen vergelijkbaar is;

• –. entiteit die domeinnaamregistratiediensten verleent: een registrator of een agent die namens registrators optreedt, zoals een aanbieder van privacy- of proxy-registratiediensten of wederverkoper;

• –. essentiële entiteit: een entiteit als bedoeld in de artikelen 8, 9, 10 of 11;

• –. gekwalificeerde verlener van vertrouwensdiensten: een verlener van vertrouwensdiensten die één of meerdere gekwalificeerde vertrouwensdiensten verleent en van het toezichthoudende orgaan, bedoeld in artikel 46 ter van de Verordening (EU) nr. 910/2014, de status van gekwalificeerde heeft gekregen;

• –. gekwalificeerde vertrouwensdienst: een vertrouwensdienst die voldoet aan de toepasselijke eisen zoals vastgelegd in Verordening (EU) nr. 910/2014;

• –. hoofdvestiging: de hoofdvestiging van een entiteit, bedoeld in artikel 26, tweede lid, van de NIS2-richtlijn;

• –. ICT-dienst: een dienst die volledig of hoofdzakelijk bestaat in de verzending, opslag, opvraging of verwerking van gegevens door middel van netwerk- en informatiesystemen;

• –. ICT-product: een element of groep elementen van een netwerk- of informatiesysteem;

• –. incident: een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar brengt;

• –. internetknooppunt: een netwerkfaciliteit die de interconnectie van meer dan twee onafhankelijke netwerken (autonome systemen) mogelijk maakt, voornamelijk ter vergemakkelijking van de uitwisseling van internetverkeer, die alleen interconnectie voor autonome systemen biedt en die niet vereist dat het internetverkeer dat tussen een paar deelnemende autonome systemen verloopt, via een derde autonoom systeem verloopt, noch dat verkeer wijzigt of anderszins verstoort;

• –. kwetsbaarheid: een zwakheid, vatbaarheid of gebrek van ICT-producten of ICT-diensten die door een cyberdreiging kan worden uitgebuit;

• –. netwerk voor de levering van inhoud: een netwerk van geografisch verspreide servers met het oog op een hoge beschikbaarheid, toegankelijkheid of snelle levering van digitale inhoud en diensten aan internetgebruikers ten behoeve van aanbieders van inhoud en diensten;

• –. netwerk- en informatiesysteem:

• a. een elektronisch communicatienetwerk; of

• b. elk apparaat of elke groep van onderling verbonden of verwante apparaten, waarvan er een of meer, op grond van een programma, een automatische verwerking van digitale gegevens uitvoeren; of

• c. digitale gegevens die worden opgeslagen, verwerkt, opgehaald of verzonden met behulp van de in punten a. en b. bedoelde elementen met het oog op de werking, het gebruik, de bescherming en het onderhoud ervan;

• –. NIS2-richtlijn: Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148(PbEU 2022, L 333);

• –. norm: een door een erkende normalisatie-instelling vastgestelde technische specificatie voor herhaalde of voortdurende toepassing, waarvan de naleving niet verplicht is en die tot een van de volgende categorieën behoort:

• a. «internationale norm»: een door een internationale normalisatie-instelling vastgestelde norm;

• b. «Europese norm»: een door een Europese normalisatieorganisatie vastgestelde norm;

• c. «geharmoniseerde norm»: een Europese norm die op verzoek van de Commissie is vastgesteld met het oog op de toepassing van harmonisatiewetgeving van de Unie;

• d. «nationale norm»: een door een nationale normalisatie-instelling vastgestelde norm;

• –. onderzoeksorganisatie: een entiteit die als hoofddoel heeft het verrichten van toegepast onderzoek of experimentele ontwikkeling met het oog op de exploitatie van de resultaten van dat onderzoek voor commerciële doeleinden, met uitsluiting van onderwijsinstellingen;

• –. onlinemarktplaats: een dienst die gebruikmaakt van software, waaronder een website, een deel van een website of een door of namens een handelaar beheerde applicatie, en die consumenten in staat stelt op afstand overeenkomsten te sluiten met andere handelaren of consumenten;

• –. onlinezoekmachine: een digitale dienst die het gebruikers mogelijk maakt zoekvragen in te voeren om zoekacties uit te voeren op in beginsel alle websites of alle websites in een bepaalde taal, op basis van een zoekvraag over eender welk onderwerp in de vorm van een trefwoord, een gesproken opdracht, een frase of andere input, en die resultaten in eender welk formaat oplevert met informatie over de opgevraagde inhoud;

• –. Onze Minister: Onze Minister van Justitie en Veiligheid;

• –. openbaar elektronisch communicatienetwerk: hetgeen hieronder wordt verstaan in artikel 1.1 van de Telecommunicatiewet;

• –. overheidsinstantie: een entiteit die overeenkomstig het Nederlands recht als zodanig in Nederland is erkend, met uitzondering van de rechtbanken, de gerechtshoven, de Hoge Raad, het College van Beroep voor het bedrijfsleven, de Centrale Raad van Beroep, de Afdeling bestuursrechtspraak van de Raad van State, de beide Kamers der Staten-Generaal en De Nederlandsche Bank N.V., en die aan de volgende criteria voldoet:

• a. zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter;

• b. zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden;

• c. zij wordt grotendeels gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd; en

• d. zij heeft de bevoegdheid om ten aanzien van natuurlijke personen of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal;

• –. platform voor sociale netwerkdiensten: een platform dat eindgebruikers in staat stelt zich met elkaar te verbinden, te delen, te ontdekken en met elkaar te communiceren via meerdere apparaten, met name via chats, posts, video’s en aanbevelingen;

• –. register voor topleveldomeinnamen: een entiteit waaraan een specifieke topleveldomeinnaam is gedelegeerd en die verantwoordelijk is voor het beheer van de topleveldomeinnaam, met inbegrip van de registratie van domeinnamen onder de topleveldomeinnaam en de technische exploitatie van de topleveldomeinnaam, met inbegrip van de exploitatie van de naamservers, het onderhoud van de databases en de verdeling van de zonebestanden van de topleveldomeinnaam over de naamservers, ongeacht of die activiteiten door de entiteit zelf worden uitgevoerd of worden uitbesteed, maar met uitzondering van situaties waarin topleveldomeinnamen uitsluitend voor eigen gebruik worden aangewend door een register;

• –. Richtlijn (EU) 2018/1972: Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad van 11 december 2018 tot vaststelling van het Europees wetboek voor elektronische communicatie (PbEU 2018, L 321);

• –. risico: de mogelijkheid van verlies of verstoring als gevolg van een incident, wat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of verstoring en de waarschijnlijkheid dat het incident zich voordoet;

• –. root-naamserver: een gezaghebbende naamserver voor de root-zone van het domeinnaamsysteem (DNS) van het internet;

• –. samenwerkingsgroep: de samenwerkingsgroep, bedoeld in artikel 14 van de NIS2-richtlijn;

• –. significant incident: een incident als bedoeld in artikel 25, tweede lid;

• –. significante cyberdreiging: een cyberdreiging waarvan op basis van de technische kenmerken kan worden aangenomen dat zij ernstige gevolgen kan hebben voor de netwerk- en informatiesystemen van een entiteit of de gebruikers van de diensten van de entiteit door het veroorzaken van aanzienlijke materiële of immateriële schade;

• –. verlener van vertrouwensdiensten: een natuurlijke persoon of rechtspersoon die een of meer vertrouwensdiensten verleent als een gekwalificeerde of als een niet-gekwalificeerde verlener van vertrouwensdiensten;

• –. Verordening (EG) nr. 300/2008: Verordening (EG) nr. 300/2008 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van Verordening (EG) nr. 2320/2002(PbEU 2008, L 97);

• –. Verordening (EU) nr. 910/2014: Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG(PbEU 2014, L 257), zoals laatstelijk gewijzigd bij Verordening (EU) 2024/1183 van het Europees Parlement en de Raad van 11 april 2024 tot wijziging van Verordening (EU) nr. 910/2014, wat betreft de vaststelling van het Europees kader voor digitale identiteit (PbEU 2024, L 1183);

• –. Verordening (EU) 2018/1139: Verordening (EU) 2018/1139 van het Europees Parlement en de Raad van 4 juli 2018 inzake gemeenschappelijke regels op het gebied van burgerluchtvaart en tot oprichting van een Agentschap van de Europese Unie voor de veiligheid van de luchtvaart, en tot wijziging van de Verordeningen (EG) nr. 2111/2005, (EG) nr. 1008/2008, (EU) nr. 996/2010, (EU) nr. 376/2014 en de Richtlijnen 2014/30/EU en 2014/53/EU van het Europees Parlement en de Raad, en tot intrekking van de Verordeningen (EG) nr. 552/2004 en (EG) nr. 216/2008 van het Europees Parlement en de Raad en Verordening (EEG) nr. 3922/91 van de Raad (PbEU 2018, L 212);

• –. Verordening (EU) 2022/2554: Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011(PbEU 2022, L 333);

• –. vertegenwoordiger: een in de Europese Unie gevestigde natuurlijk persoon of rechtspersoon die uitdrukkelijk is aangewezen om op te treden namens een DNS-dienstverlener, een register voor topleveldomeinnamen, een entiteit die domeinnaamregistratiediensten verleent, een aanbieder van cloudcomputingdiensten, een aanbieder van datacentrumdiensten, een aanbieder van een netwerk voor de levering van inhoud, een aanbieder van beheerde diensten, een aanbieder van beheerde beveiligingsdiensten, of een aanbieder van een onlinemarktplaats, van een onlinezoekmachine of van een platform voor socialenetwerkdiensten die niet in de Unie is gevestigd, en die door een bevoegde autoriteit of een CSIRT kan worden aangesproken in plaats van de entiteit zelf met betrekking tot de verplichtingen van die entiteit uit hoofde van deze wet;

• –. vertrouwensdienst: een elektronische dienst die gewoonlijk tegen betaling wordt verricht en uit één van de volgende elementen bestaat:

• a. het uitgeven van certificaten voor elektronische handtekeningen, certificaten voor elektronische zegels, certificaten voor websiteauthenticatie of certificaten voor het verlenen van andere vertrouwensdiensten;

• b. het valideren van certificaten voor elektronische handtekeningen, certificaten voor elektronische zegels, certificaten voor websiteauthenticatie of certificaten voor het verlenen van andere vertrouwensdiensten;

• c. het aanmaken van elektronische handtekeningen of elektronische zegels;

• d. het valideren van elektronische handtekeningen of elektronische zegels;

• e. het bewaren van elektronische handtekeningen, elektronische zegels, certificaten voor elektronische handtekeningen of certificaten voor elektronische zegels;

• f. het beheer van middelen voor het op afstand aanmaken van elektronische handtekeningen of middelen voor het op afstand aanmaken van elektronische zegels;

• g. het uitgeven van elektronische attesteringen van attributen;

• h. het valideren van elektronische attesteringen van attributen;

• i. het aanmaken van elektronische tijdstempels;

• j. het valideren van elektronische tijdstempels;

• k. het verlenen van diensten voor elektronisch aangetekende bezorging;

• l. het valideren van gegevens die via diensten voor elektronisch aangetekende bezorging zijn verzonden en het bewijs daarvoor;

• m. het elektronisch archiveren van elektronische gegevens en elektronische documenten;

• n. het opslaan van elektronische gegevens in elektronische registers.

Hoofdstuk 2. Algemeen

Artikel 2. (doel van deze wet)

Deze wet is, met het oog op het in stand houden van kritieke maatschappelijke of economisch belangrijke functies of activiteiten, gericht op het verhogen van de cyberbeveiliging door regels te stellen ten aanzien van:

• a. het beheersen van risico’s voor de beveiliging van netwerk- en informatiesystemen;

• b. het voorkomen van incidenten;

• c. het beperken van gevolgen van incidenten; en

• d. het verkrijgen en verstrekken van informatie over incidenten, bijna-incidenten, cyberdreigingen en kwetsbaarheden.

Artikel 3. (uitvoering uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren)

Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld ter uitvoering van de op grond van de NIS2-richtlijn vastgestelde uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren.

Hoofdstuk 3. Toepassingsbereik en jurisdictie

Artikel 4. (toepassingsbereik en jurisdictie)

• a. DNS-dienstverleners;

• b. registers voor topleveldomeinnamen;

• c. aanbieders van cloudcomputingdiensten;

• d. aanbieders van datacentrumdiensten;

• e. aanbieders van netwerken voor de levering van inhoud;

• f. aanbieders van beheerde diensten;

• g. aanbieders van beheerde beveiligingsdiensten;

• h. aanbieders van onlinemarktplaatsen;

• i. aanbieders van onlinezoekmachines;

• j. aanbieders van platforms voor socialenetwerkdiensten.

Artikel 5. (overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving)

• a. het Ministerie van Defensie;

• b. de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017;

• c. het openbaar ministerie;

• d. de politie;

• e. de veiligheidsregio’s, bedoeld in artikel 9 van de Wet veiligheidsregio’s; en

• f. indien van toepassing, de andere bij algemene maatregel van bestuur aangewezen overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.

Artikel 6. (root-naamservers)

Deze wet is niet van toepassing op root-naamservers.

Artikel 7. (entiteiten uitgezonderd van Verordening (EU) 2022/2554)

Deze wet is niet van toepassing op de entiteiten die zijn uitgezonderd van de Verordening (EU) 2022/2554 op grond van artikel 2, vierde lid, van die verordening.

Hoofdstuk 4. Essentiële entiteiten en belangrijke entiteiten

§ 4.1. Essentiële entiteiten

Artikel 8. (essentiële entiteit van rechtswege)

• a. gekwalificeerde verleners van vertrouwensdiensten;

• b. aanbieders van registers voor topleveldomeinnamen;

• c. DNS-dienstverleners;

• d. aanbieders van openbare elektronische communicatienetwerken, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG;

• e. aanbieders van openbare elektronische communicatiediensten, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG;

• f. andere entiteiten, genoemd in bijlage 1 van deze wet, die de in artikel 2, eerste lid, van de bijlage bij Aanbeveling 2003/361/EG bedoelde drempel voor middelgrote ondernemingen overschrijden;

• g. de ministeries, met inbegrip van de daartoe behorende dienstonderdelen doch met uitzondering van de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017, en zelfstandige bestuursorganen van de centrale overheid, voor zover deze zelfstandige bestuursorganen kwalificeren als overheidsinstantie;

• h. provincies, gemeenten en waterschappen, alsmede openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties als bedoeld in artikel 8, eerste, tweede, onderscheidenlijk derde lid, van de Wet gemeenschappelijke regelingen, voor zover deze openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties kwalificeren als overheidsinstantie;

• i. kritieke entiteiten als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten.

Artikel 9. (essentiële entiteit op basis van criteria)

• a. de entiteit is in Nederland de enige aanbieder van een dienst die essentieel is voor de instandhouding van kritieke maatschappelijke of economische activiteiten;

• b. verstoring van de door de entiteit verleende dienst kan aanzienlijke gevolgen hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid;

• c. verstoring van de door de entiteit verleende dienst kan een aanzienlijk systeemrisico met zich brengen, met name voor sectoren waar een dergelijke verstoring een grensoverschrijdende impact kan hebben;

• d. de entiteit is kritiek vanwege het specifieke belang ervan op nationaal of regionaal niveau voor de specifieke sector of het specifieke type dienst, of voor andere onderling afhankelijke sectoren in Nederland.

Artikel 10. (essentiële entiteit die aanbieder van een essentiële dienst was)

Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, kan worden aangewezen als essentiële entiteit: een aanbieder die voor 16 januari 2023 op grond van de Wet beveiliging netwerk- en informatiesystemen is aangewezen als aanbieder van een essentiële dienst.

Artikel 11. (aanwijzing instelling voor hoger onderwijs als essentiële entiteit)

§ 4.2. Belangrijke entiteiten

Artikel 12. (belangrijke entiteit van rechtswege)

• a. entiteiten, genoemd in bijlage 1 van deze wet, niet zijnde een essentiële entiteit, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG;

• b. entiteiten, genoemd in bijlage 2 van deze wet, niet zijnde een essentiële entiteit, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG of de in het eerste lid van laatstgenoemd artikel vastgestelde drempels voor middelgrote ondernemingen overschrijden;

• c. aanbieders van openbare elektronische communicatienetwerken, genoemd in bijlage 1 van deze wet, die in aanmerking komen als kleine of micro-onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG, niet zijnde een essentiële entiteit;

• d. aanbieders van openbare elektronische communicatiediensten, genoemd in bijlage 1 van deze wet, die in aanmerking komen als kleine of micro-onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG, niet zijnde een essentiële entiteit;

• e. verleners van vertrouwensdiensten, genoemd in bijlage 1 van deze wet, die in aanmerking komen als kleine of micro-onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG, niet zijnde een essentiële entiteit.

Artikel 13. (aanwijzing instelling voor hoger onderwijs als belangrijke entiteit)

Hoofdstuk 5. Aanwijzing en taken van instanties

Artikel 14. (aanwijzing en taken centraal contactpunt)

Onze Minister is het centrale contactpunt en heeft in die hoedanigheid de volgende taken:

• a. het zorgen voor grensoverschrijdende samenwerking van de autoriteiten van Nederland met de relevante autoriteiten van andere lidstaten van de Europese Unie, de Europese Commissie en Enisa, door middel van het vervullen van een verbindingsfunctie;

• b. het zorgen voor sectoroverschrijdende samenwerking tussen de bevoegde autoriteiten binnen Nederland, door middel van het vervullen van een verbindingsfunctie; en

• c. de overige in deze wet genoemde taken.

Artikel 15. (aanwijzing en taken bevoegde autoriteit)

Bevoegde autoriteit	Sector	Subsector (indien van toepassing)
Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties	overheid	centrale overheden
Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties	overheid	decentrale overheden, uitgezonderd de waterschappen
Onze Minister van Economische Zaken	digitale infrastructuur
Onze Minister van Economische Zaken	beheer van ICT-diensten (business-to-business)
Onze Minister van Economische Zaken	ruimtevaart
Onze Minister van Economische Zaken	post- en koeriersdiensten
Onze Minister van Economische Zaken	vervaardiging	vervaardiging van informaticaproducten en van elektronische en optische producten
Onze Minister van Economische Zaken	vervaardiging	vervaardiging van elektrische apparatuur
Onze Minister van Economische Zaken	vervaardiging	vervaardiging van machines, apparaten en werktuigen, niet elders geclassificeerd
Onze Minister van Economische Zaken	vervaardiging	vervaardiging van motorvoertuigen, aanhangers en opleggers
Onze Minister van Economische Zaken	vervaardiging	vervaardiging van andere transportmiddelen
Onze Minister van Economische Zaken	digitale aanbieders
Onze Minister van Financiën	bankwezen
Onze Minister van Financiën	infrastructuur voor de financiële markt
Onze Minister van Infrastructuur en Waterstaat	vervoer	lucht
Onze Minister van Infrastructuur en Waterstaat	vervoer	spoor
Onze Minister van Infrastructuur en Waterstaat	vervoer	water
Onze Minister van Infrastructuur en Waterstaat	vervoer	weg
Onze Minister van Infrastructuur en Waterstaat	drinkwater
Onze Minister van Infrastructuur en Waterstaat	afvalwater
Onze Minister van Infrastructuur en Waterstaat	afvalstoffenbeheer
Onze Minister van Infrastructuur en Waterstaat	vervaardiging, productie en distributie van chemische stoffen
Onze Minister van Infrastructuur en Waterstaat	overheid	decentrale overheden, alleen voor wat betreft de waterschappen
Onze Minister van Klimaat en Groene Groei	energie	elektriciteit
Onze Minister van Klimaat en Groene Groei	energie	stadsverwarming en -koeling
Onze Minister van Klimaat en Groene Groei	energie	aardolie
Onze Minister van Klimaat en Groene Groei	energie	aardgas
Onze Minister van Klimaat en Groene Groei	energie	waterstof
Onze Minister van Landbouw, Visserij, Voedselzekerheid en Natuur	productie, verwerking en distributie van levensmiddelen
Onze Minister van Volksgezondheid, Welzijn en Sport	gezondheidszorg
Onze Minister van Volksgezondheid, Welzijn en Sport	vervaardiging	vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek

• a. het zorgen voor de bestuursrechtelijke handhaving van het bepaalde bij of krachtens deze wet ten aanzien van essentiële entiteiten, belangrijke entiteiten, entiteiten die domeinnaamregistratiediensten verlenen en leden van het bestuur van essentiële entiteiten en belangrijke entiteiten;

• b. het zorgen voor de bestuursrechtelijke handhaving van het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie; en

• c. de overige in deze wet genoemde taken van de bevoegde autoriteit.

Artikel 16. (aanwijzing, taken en eisen CSIRT)

• a. het monitoren en analyseren van cyberdreigingen, kwetsbaarheden en incidenten op nationaal niveau, en het op verzoek verlenen van bijstand aan de betrokken essentiële entiteit of belangrijke entiteit met betrekking tot het realtime of bijna-realtime monitoren van haar netwerk- en informatiesysteem;

• b. het verstrekken van vroegtijdige waarschuwingen, meldingen en aankondigingen en het verspreiden van informatie aan de betrokken essentiële entiteit of belangrijke entiteit, de bevoegde autoriteiten, Onze Minister van Economische Zaken, ten behoeve van de uitvoering van de taken, bedoeld in artikel 2, eerste lid, van de Wet bevordering digitale weerbaarheid bedrijven, en andere relevante partijen over cyberdreigingen, kwetsbaarheden en incidenten, indien mogelijk in bijna-realtime;

• c. indien van toepassing, het reageren op incidenten en verlenen van bijstand aan de betrokken essentiële entiteit of belangrijke entiteit;

• d. het verzamelen en analyseren van forensische gegevens en het zorgen voor dynamische risico- en incidentenanalyse en situationeel bewustzijn met betrekking tot cyberbeveiliging;

• e. het op verzoek van een essentiële entiteit of belangrijke entiteit proactief scannen van het netwerk- en informatiesysteem van de betrokken entiteit om kwetsbaarheden met mogelijk significante gevolgen op te sporen;

• f. het deelnemen aan het CSIRT-netwerk en, in overeenstemming met zijn capaciteiten en bevoegdheden, het verlenen van wederzijdse bijstand aan andere leden van het CSIRT-netwerk op verzoek van een lid van dat netwerk;

• g. het deelnemen aan de op grond van artikel 19 van de NIS2-richtlijn georganiseerde collegiale toetsingen;

• h. indien van toepassing, het optreden als coördinator ten behoeve van het proces van gecoördineerde bekendmaking van kwetsbaarheden, bedoeld in artikel 17; en

• i. het bijdragen aan de uitrol van veilige instrumenten voor het delen van informatie, bedoeld in artikel 10, derde lid, van de NIS2-richtlijn.

• a. procedures voor de incidentenbehandeling;

• b. crisisbeheer; en

• c. gecoördineerde bekendmaking van kwetsbaarheden.

Artikel 17. (aanwijzing en taken coördinator bekendmaking kwetsbaarheden)

• a. het optreden als tussenpersoon en het waar nodig vergemakkelijken van de interactie tussen de natuurlijke persoon of rechtspersoon die een kwetsbaarheid op grond van artikel 34 meldt en de fabrikant of aanbieder van de mogelijk kwetsbare ICT-producten of -diensten, op verzoek van een van beide partijen;

• b. het identificeren van en contact opnemen met de betrokken entiteiten;

• c. het bijstaan van de natuurlijke persoon of rechtspersoon die een kwetsbaarheid meldt;

• d. het onderhandelen over tijdschema’s voor de bekendmaking en het beheren van kwetsbaarheden die van invloed zijn op meerdere entiteiten; en

• e. wanneer een gemelde kwetsbaarheid significante gevolgen kan hebben voor entiteiten in meer dan één lidstaat van de Europese Unie: het binnen het CSIRT-netwerk samenwerken met de door andere lidstaten van de Europese Unie aangewezen coördinatoren met het oog op een gecoördineerde bekendmaking van kwetsbaarheden.

Artikel 18. (aanwijzing en taken cybercrisisbeheerautoriteit)

Onze Minister is de cybercrisisbeheerautoriteit, bedoeld in artikel 9, eerste lid, van de NIS2-richtlijn, en heeft in die hoedanigheid de taken die zijn opgenomen in het nationaal plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons, genoemd in artikel 20.

Hoofdstuk 6. Nationale cyberbeveiligingsstrategie en nationaal plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons

Artikel 19. (nationale cyberbeveiligingsstrategie)

Artikel 20. (nationaal plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons)

Onze Minister stelt een nationaal plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons als bedoeld in artikel 9, vierde lid, van de NIS2-richtlijn vast.

Hoofdstuk 7. Zorgplicht en governance

Artikel 21. (zorgplicht)

• a. beleid inzake risicoanalyse en beveiliging van informatiesystemen;

• b. incidentenbehandeling;

• c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer;

• d. de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners;

• e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden;

• f. beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen;

• g. basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging;

• h. beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie;

• i. beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets; en

• j. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

• a. de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener;

• b. de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures; en

• c. de resultaten van de door de samenwerkingsgroep op grond van artikel 22, eerste lid, van de NIS2-richtlijn uitgevoerde gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens.

Artikel 21a. (weren producten en diensten van leveranciers)

• a. een staat, entiteit of persoon is waarvan bekend is of waarvoor gronden zijn te vermoeden dat deze de intentie heeft om de beveiliging van de netwerk- en informatiesystemen van de essentiële entiteit of belangrijke entiteit aan te tasten of om incidenten bij de essentiële entiteit of belangrijke entiteit te veroorzaken; of

• b. nauwe banden heeft met of onder invloed staat van een staat, entiteit of persoon als bedoeld in onderdeel a, of een entiteit of persoon is ten aanzien van wie er gronden zijn om dergelijke banden of invloed te vermoeden.

Artikel 22. (sectorspecifieke rechtshandelingen zorgplicht)

Artikel 23. (ontheffing zorgplicht)

Artikel 24. (governance)

• a. risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren;

• b. risicobeheersmaatregelen op het gebied van cyberbeveiliging te kunnen beoordelen; en

• c. de gevolgen van de risico’s en risicobeheersmaatregelen voor de diensten die door de entiteit worden verleend te kunnen beoordelen.

• a. bij ministeries: de minister;

• b. bij zelfstandige bestuursorganen van de centrale overheid: het zelfstandige bestuursorgaan;

• c. bij provincies: gedeputeerde staten;

• d. bij gemeenten: het college van burgemeester en wethouders;

• e. bij waterschappen: het dagelijks bestuur;

• f. bij gemeenschappelijke regelingen: het dagelijks bestuur van het openbaar lichaam, het bestuur van de bedrijfsvoeringsorganisatie onderscheidenlijk het gemeenschappelijk orgaan.

Hoofdstuk 8. Significante incidenten, incidenten, bijna-incidenten, significante cyberdreigingen, cyberdreigingen en kwetsbaarheden

§ 8.1. Meldplicht

Artikel 25. (meldplicht significante incidenten)

• a. een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken; of

• b. andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Artikel 26. (vroegtijdige waarschuwing)

• a. geeft de entiteit aan of het significante incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt;

• b. geeft de entiteit aan of het significante incident grensoverschrijdende gevolgen kan hebben; en

• c. verstrekt de entiteit de contactgegevens van de functionaris die verantwoordelijk is voor de melding.

Artikel 27. (melding, update en initiële beoordeling)

• a. indien van toepassing, een update van de informatie, bedoeld in artikel 26;

• b. indien van toepassing, een initiële beoordeling van het significante incident, met inbegrip van de ernst en de gevolgen ervan;

• c. indien van toepassing en beschikbaar, de indicatoren voor aantasting; en

• d. alle beschikbare informatie die het CSIRT en de bevoegde autoriteit in staat stelt om eventuele grensoverschrijdende gevolgen van het incident te bepalen.

Artikel 28. (tussentijds verslag)

De essentiële entiteit of belangrijke entiteit dient in het kader van de melding, bedoeld in artikel 27, eerste lid, op verzoek van haar CSIRT of haar bevoegde autoriteit een tussentijds verslag in over relevante updates van de situatie.

Artikel 29. (voortgangsverslag en eindverslag)

• a. een gedetailleerde beschrijving van het incident, de ernst en de gevolgen ervan;

• b. het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;

• c. toegepaste en lopende risicobeperkende maatregelen; en

• d. in voorkomend geval, de grensoverschrijdende gevolgen van het incident.

§ 8.2. Informeren van ontvangers van diensten

Artikel 30. (informeren van ontvangers van diensten)

§ 8.3. Sectorspecifieke rechtshandelingen en ontheffing

Artikel 31. (sectorspecifieke rechtshandelingen meldplicht)

Artikel 32. (ontheffing meldplicht)

§ 8.4. Vrijwillige meldingen

Artikel 33. (vrijwillige meldingen van significante incidenten, incidenten, bijna-incidenten en cyberdreigingen)

• a. een essentiële entiteit of belangrijke entiteit bij haar CSIRT, over incidenten, bijna-incidenten en cyberdreigingen;

• b. eenieder bij een CSIRT, over significante incidenten als bedoeld in artikel 25, tweede lid, incidenten, bijna-incidenten en cyberdreigingen.

Artikel 34. (vrijwillige meldingen van kwetsbaarheden)

§ 8.5. Nadere regels

Artikel 35. (nadere regels over meldingen)

Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld ter uitwerking van de artikelen 26 tot en met 30, 33 en 34, waaronder regels over de gegevens waar de vroegtijdige waarschuwing, de melding, het tussentijds verslag en het eindverslag in ieder geval uit moeten bestaan en de wijze waarop dit geschiedt.

§ 8.6. Taken en bevoegdheden van het CSIRT en de bevoegde autoriteit bij significante incidenten en significante cyberdreigingen

Artikel 36. (taken CSIRT na melding significant incident)

Artikel 37. (openbaarmaking significant incident door CSIRT of bevoegde autoriteit)

Het CSIRT respectievelijk de bevoegde autoriteit kan, na raadpleging van de betrokken entiteit, het publiek informeren over een significant incident of de entiteit verplichten om dit te doen, wanneer:

• a. publieke bewustmaking nodig is om een significant incident te voorkomen;

• b. dat nodig is om een lopend incident te beheersen; of

• c. de bekendmaking van het significante incident anderszins in het algemeen belang is.

Artikel 38. (inkennisstelling natuurlijke personen of rechtspersonen door entiteit)

De bevoegde autoriteit kan de essentiële entiteit of belangrijke entiteit verplichten om de natuurlijke personen of rechtspersonen aan wie de entiteit diensten verleent of voor wie de entiteit activiteiten uitvoert en die mogelijkerwijs door een significante cyberdreiging worden beïnvloed, in kennis te stellen van de aard van de dreiging en alle mogelijke beschermings- of herstelmaatregelen die deze natuurlijke personen of rechtspersonen kunnen nemen als reactie op die dreiging.

§ 8.7. Informatieverstrekking in verband met meldingen

Artikel 39. (informatieverstrekking over gemelde significante incidenten, incidenten, bijna-incidenten en cyberdreigingen)

Artikel 40. (informatieverstrekking over gemelde significante incidenten, incidenten, bijna-incidenten en cyberdreigingen door essentiële entiteiten die tevens kritieke entiteiten zijn)

Artikel 41. (informatieverstrekking in verband met incidenten met betrekking tot financiële entiteiten)

Indien het centrale contactpunt informatie van de bevoegde autoriteiten uit hoofde van de Verordening (EU) 2022/2554 ontvangt over incidenten met betrekking tot financiële entiteiten, kan hij deze informatie doorsturen naar een CSIRT of een bevoegde autoriteit.

Hoofdstuk 9. Aanwijzing vertegenwoordiger

Artikel 42. (aanwijzing vertegenwoordiger)

• a. DNS-dienstverleners;

• b. registers voor topleveldomeinnamen;

• c. aanbieders van cloudcomputingdiensten;

• d. aanbieders van datacentrumdiensten;

• e. aanbieders van netwerken voor de levering van inhoud;

• f. aanbieders van beheerde diensten;

• g. aanbieders van beheerde beveiligingsdiensten;

• h. aanbieders van onlinemarktplaatsen;

• i. aanbieders van onlinezoekmachines;

• j. aanbieders van platforms voor socialenetwerkdiensten.

Hoofdstuk 10. Nationaal register van essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen

Artikel 43. (nationaal register van entiteiten)

Artikel 44. (informatieverstrekking ten behoeve van nationale register)

• a. de naam van de entiteit;

• b. het adres en de actuele contactgegevens van de entiteit, met inbegrip van e-mailadressen, IP-bereiken en telefoonnummers;

• c. indien van toepassing, de sectoren en subsectoren, bedoeld in bijlage 1 of 2 van deze wet, waartoe de entiteit behoort;

• d. indien van toepassing, een vermelding van de lidstaten van de Europese Unie waar de entiteit haar diensten als bedoeld in bijlage 1 of bijlage 2 van deze wet verleent;

• e. indien van toepassing, de deelname aan en terugtrekking uit een informatie-uitwisselingsregeling als bedoeld in artikel 62, tweede lid; en

• f. indien van toepassing, de andere bij of krachtens algemene maatregel van bestuur genoemde gegevens.

Artikel 45. (ontheffing verplichting informatieverstrekking nationale register)