Wet van 8 juli 2026, houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet)

Type Wet

Publication 2026-08-15

State In force

Source BWB

artikelen 137

Artikel 46. (toegang tot nationale register)

Onze Minister verleent de bevoegde autoriteit en het CSIRT toegang tot het nationale register, bedoeld in artikel 43, ten behoeve van de uitoefening van hun taken, voor zover de toegang ziet op informatie over de entiteiten waarvoor zij zijn aangewezen als de bevoegde autoriteit respectievelijk het CSIRT.

Hoofdstuk 11. Register van Enisa

Artikel 47. (informatieverstrekking ten behoeve van register van Enisa)

Ten behoeve van het register van Enisa, bedoeld in artikel 27, eerste lid, van de NIS2-richtlijn, verstrekken de volgende entiteiten aan het centrale contactpunt de informatie, bedoeld in het derde lid van dit artikel, middels het daarvoor opgezette mechanisme, voor zover zij een essentiële entiteit of belangrijke entiteit zijn:

a. DNS-dienstverleners;

b. registers voor topleveldomeinnamen;

c. aanbieders van cloudcomputingdiensten;

d. aanbieders van datacentrumdiensten;

e. aanbieders van netwerken voor de levering van inhoud;

f. aanbieders van beheerde diensten;

g. aanbieders van beheerde beveiligingsdiensten;

h. aanbieders van onlinemarktplaatsen;

i. aanbieders van onlinezoekmachines;

j. aanbieders van platforms voor socialenetwerkdiensten.

Ten behoeve van het register van Enisa, bedoeld in artikel 27, eerste lid, van de NIS2-richtlijn, verstrekken entiteiten die domeinnaamregistratiediensten verlenen aan het centrale contactpunt de informatie, bedoeld in het derde lid van dit artikel, middels het daarvoor opgezette mechanisme.

De entiteiten, bedoeld in het eerste en tweede lid, verstrekken de volgende informatie aan het centrale contactpunt:

a. de naam van de entiteit;

b. indien van toepassing, de sector, subsector en soort entiteit, bedoeld in bijlage 1 of 2 van deze wet;

c. het adres van de hoofdvestiging van de entiteit en haar andere wettelijke vestigingen in de Europese Unie of, indien deze niet in de Europese Unie zijn gevestigd, van haar op grond van artikel 42 aangewezen vertegenwoordiger;

d. actuele contactgegevens, met inbegrip van e-mailadressen en telefoonnummers van de entiteit en, indien van toepassing, haar op grond van artikel 42 aangewezen vertegenwoordiger;

e. de lidstaten van de Europese Unie waar de entiteit haar diensten als bedoeld in bijlage 1 of 2 van deze wet of haar domeinnaamregistratiediensten verleent; en

f. de IP-bereiken van de entiteit.

De entiteiten, bedoeld in het eerste en tweede lid, verstrekken de informatie, bedoeld in het derde lid, uiterlijk op 17 januari 2025. Indien het eerste, tweede en derde lid na 17 januari 2025 in werking treden, verstrekken zij de informatie, bedoeld in het derde lid, binnen één maand na de inwerkingtreding van die leden. Indien een entiteit na de inwerkingtreding van het eerste, tweede en derde lid kwalificeert als een entiteit, bedoeld in het eerste en tweede lid, verstrekt die entiteit de informatie, bedoeld in het derde lid, binnen één maand nadat zij zich als zodanig kwalificeert.

De entiteiten, bedoeld in het eerste en tweede lid, stellen het centrale contactpunt onverwijld of in elk geval binnen drie maanden na de datum waarop de wijziging van kracht is geworden, in kennis van wijzigingen van de gegevens, bedoeld in het derde lid.

Artikel 48. (ontheffing verplichting informatieverstrekking register van Enisa)

Onze Minister die het aangaat kan bij regeling of besluit, in overeenstemming met Onze Minister, een entiteit als bedoeld in artikel 47, eerste en tweede lid, die uitsluitend activiteiten verricht op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving of die uitsluitend diensten verleent aan een overheidsinstantie als bedoeld in artikel 5, eerste lid, ontheffen van de verplichtingen, bedoeld in artikel 47.

Het eerste lid is niet van toepassing wanneer en voor zover een entiteit optreedt als verlener van vertrouwensdiensten die niet uitsluitend worden gebruikt binnen systemen die gesloten zijn als gevolg van een wettelijke regeling of een overeenkomst tussen een bepaalde groep deelnemers.

Hoofdstuk 12. Database met domeinnaamregistratiegegevens

Artikel 49. (database met domeinnaamregistratiegegevens)

De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen verzamelen nauwkeurige en volledige domeinnaamregistratiegegevens in een database en houden die gegevens bij.

De database, bedoeld in het eerste lid, bevat de volgende gegevens:

a. de domeinnaam;

b. de datum van registratie;

c. de naam, het e-mailadres en het telefoonnummer van de registrant; en

d. het e-mailadres en het telefoonnummer van het contactpunt dat de domeinnaam beheert, indien deze verschillen van die van de registrant.

De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen stellen het beleid en de procedures vast, waaronder verificatieprocedures, om ervoor te zorgen dat de database, bedoeld in het eerste lid, juiste en volledige informatie bevat. Zij maken dat beleid en die procedures openbaar.

De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen maken de domeinnaamregistratiegegevens, die geen persoonsgegevens zijn, onverwijld na de registratie van een domeinnaam openbaar.

De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen werken samen om te voorkomen dat domeinnaamregistratiegegevens tweemaal worden verzameld.

Bij regeling van Onze Minister van Economische Zaken kunnen nadere regels worden gesteld ten aanzien van het bepaalde in dit artikel.

Artikel 50. (verzoeken om toegang tot gegevens over registratie van domeinnamen)

Het register voor topleveldomeinnamen respectievelijk de entiteit die domeinnaamregistratiediensten verleent, verleent op een rechtmatig en naar behoren gemotiveerd verzoek van een legitieme partij die daar om verzoekt, toegang tot specifieke gegevens over de registratie van domeinnamen.

De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen beantwoorden een verzoek om toegang als bedoeld in het eerste lid onverwijld of, indien dat niet mogelijk is, binnen 72 uur na ontvangst van het verzoek.

De registers voor topleveldomeinnamen en de entiteiten die domeinnaamregistratiediensten verlenen stellen het beleid en de procedures met betrekking tot de bekendmaking van de gegevens, bedoeld in het eerste lid, vast en maken dat beleid en die procedures openbaar.

Bij regeling van Onze Minister van Economische Zaken kunnen nadere regels worden gesteld ten aanzien van het bepaalde in dit artikel.

Hoofdstuk 13. Samenwerking en informatie-uitwisseling

§ 13.1. Samenwerking en informatie-uitwisseling met betrekking tot instanties

Artikel 51. (samenwerking en informatie-uitwisseling tussen instanties)

De bevoegde autoriteiten, de CSIRT’s en het centrale contactpunt werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en wisselen daartoe onderling alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

De bevoegde autoriteiten, de CSIRT’s en het centrale contactpunt werken voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet samen met de volgende instanties in Nederland en wisselen in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens:

a. de politie, het openbaar ministerie en de bijzondere opsporingsdiensten, genoemd in artikel 2 van de Wet op de bijzondere opsporingsdiensten;

b. de Autoriteit persoonsgegevens;

c. de nationale bevoegde autoriteiten, bedoeld in de Verordening (EG) nr. 300/2008 en Verordening (EU) 2018/1139;

d. Onze Minister van Economische Zaken uit hoofde van de Verordening (EU) nr. 910/2014;

e. de bevoegde autoriteiten uit hoofde van de Verordening (EU) 2022/2554;

f. Onze Minister van Economische Zaken uit hoofde van de Richtlijn (EU) 2018/1972;

g. de bevoegde autoriteiten, bedoeld in artikel 8 van de Wet weerbaarheid kritieke entiteiten;

h. de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017; en

i. de bij of krachtens algemene maatregel van bestuur aangewezen autoriteiten.

Indien Nederland wordt onderworpen aan een collegiale toetsing als bedoeld in artikel 19, eerste lid, van de NIS2-richtlijn, wisselen de bevoegde autoriteiten, de CSIRT’s en het centrale contactpunt met de cyberbeveiligingsdeskundigen, bedoeld in artikel 19, eerste lid, van de NIS2-richtlijn, de informatie uit die noodzakelijk is voor de door de cyberbeveiligingsdeskundigen uit te voeren collegiale toetsing.

§ 13.2. Samenwerking en informatie-uitwisseling met betrekking tot CSIRT’s

Artikel 52. (samenwerking en informatie-uitwisseling tussen CSIRT’s)

De CSIRT’s werken voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet samen met elkaar en met de CSIRT’s van de andere lidstaten van de Europese Unie en wisselen in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

Artikel 53. (informatie-uitwisseling met entiteiten en gemeenschappen van entiteiten)

De CSIRT’s wisselen relevante informatie uit met essentiële entiteiten, belangrijke entiteiten, entiteiten die domeinnaamregistratiediensten verlenen en gemeenschappen van entiteiten als bedoeld in artikel 29 van de NIS2-richtlijn.

Artikel 54. (samenwerking en informatie-uitwisseling met derde landen)

Een CSIRT kan een samenwerkingsrelatie tot stand brengen met een gelijkwaardig orgaan van een derde land. Binnen die samenwerkingsrelatie kan relevante informatie worden uitgewisseld, met inbegrip van persoonsgegevens. Een CSIRT gaat alleen over tot de uitwisseling van persoonsgegevens voor zover dat noodzakelijk is voor de doeltreffende en doelmatige uitvoering van haar taken uit hoofde van deze wet.

Een CSIRT kan samenwerken met een gelijkwaardig orgaan van een derde land. Deze samenwerking kan bestaan uit het verlenen van bijstand op het gebied van cyberbeveiliging.

§ 13.3. Samenwerking en informatie-uitwisseling met betrekking tot de bevoegde autoriteit

Artikel 55. (samenwerking en informatie-uitwisseling tussen bevoegde autoriteiten van deze wet)

De bevoegde autoriteiten werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en wisselen daartoe onderling alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

Artikel 56. (samenwerking en informatie-uitwisseling met bevoegde autoriteiten Wet weerbaarheid kritieke entiteiten)

De bevoegde autoriteiten, bedoeld in artikel 15, en de bevoegde autoriteiten, bedoeld in artikel 8 van de Wet weerbaarheid kritieke entiteiten, werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en de Wet weerbaarheid kritieke entiteiten. In het kader van die samenwerking wisselen zij alle daarvoor noodzakelijke gegevens uit, met inbegrip van persoonsgegevens, waaronder gegevens over:

a. het aanmerken van entiteiten als kritieke entiteiten als bedoeld in de Wet weerbaarheid kritieke entiteiten;

b. cyberbeveiligingsrisico’s, cyberdreigingen, cyberincidenten en niet-cybergerelateerde risico’s, dreigingen en incidenten die gevolgen hebben voor essentiële entiteiten die op grond van de Wet weerbaarheid kritieke entiteiten zijn aangemerkt als kritieke entiteiten; en

c. de maatregelen die zij in reactie op dergelijke risico’s, dreigingen en incidenten hebben genomen.

De betrokken bevoegde autoriteit, bedoeld in artikel 15, stelt de betrokken bevoegde autoriteit, bedoeld in artikel 8 van de Wet weerbaarheid kritieke entiteiten, op de hoogte van haar beoordeling van de naleving van het bepaalde bij of krachtens deze wet door een essentiële entiteit die tevens kritieke entiteit is als bedoeld in de Wet weerbaarheid kritieke entiteiten en van de uitoefening van toezichts- en handhavingsbevoegdheden om ervoor te zorgen dat die entiteit voldoet aan het bepaalde bij of krachtens deze wet.

Het tweede lid is van overeenkomstige toepassing op de beoordeling van de naleving van en de uitoefening van toezichts- en handhavingsbevoegdheden met betrekking tot het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

De betrokken bevoegde autoriteit, bedoeld in artikel 15, kan de betrokken bevoegde autoriteit, bedoeld in artikel 8 van de Wet weerbaarheid kritieke entiteiten, verzoeken om toezichts- en handhavingsbevoegdheden uit te oefenen of uit te laten oefenen voor de naleving van het bepaalde bij of krachtens de Wet weerbaarheid kritieke entiteiten door een essentiële entiteit die tevens kritieke entiteit als bedoeld in de Wet weerbaarheid kritieke entiteiten is.

Het vierde lid is van overeenkomstige toepassing op het toezicht op de naleving van en de handhaving van het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 57. (samenwerking met bevoegde autoriteit Verordening (EU) 2022/2554)

De bevoegde autoriteiten, bedoeld in artikel 15, werken samen met de bevoegde autoriteiten, bedoeld in artikel 46 van de Verordening (EU) 2022/2554 en wisselen in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

De bevoegde autoriteit stelt het oversightforum dat is opgericht op grond van artikel 32, eerste lid, van de Verordening (EU) 2022/2554 in kennis wanneer zij haar toezichts- en handhavingsbevoegdheden uitoefent om ervoor te zorgen dat een essentiële entiteit of belangrijke entiteit, die op grond van artikel 31 van de Verordening (EU) 2022/2554 als kritieke derde aanbieder van ICT-diensten is aangewezen, voldoet aan het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 58. (samenwerking met toezichthoudende autoriteiten in het kader van inbreuken in verband met persoonsgegevens)

De bevoegde autoriteiten werken samen met de Autoriteit persoonsgegevens bij de behandeling van incidenten die leiden tot inbreuken in verband met persoonsgegevens en wisselen in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

Wanneer de bevoegde autoriteit bij toezicht of handhaving er kennis van krijgt dat een overtreding van de artikelen 21, 25, 26, 27, 28, 29 of 30 door een essentiële entiteit of belangrijke entiteit een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4, onderdeel 12, van de Algemene verordening gegevensbescherming kan inhouden, die op grond van artikel 33 van die verordening moet worden gemeld, stelt zij de Autoriteit persoonsgegevens dan wel de bevoegde toezichthoudende autoriteiten, bedoeld in de artikelen 55 en 56 van de Algemene verordening gegevensbescherming daarvan onverwijld in kennis.

Indien de Autoriteit persoonsgegevens dan wel de bevoegde toezichthoudende autoriteiten, bedoeld in de artikelen 55 en 56 van de Algemene verordening gegevensbescherming een bestuurlijke boete opleggen op grond van artikel 58, tweede lid, onderdeel i, van de Algemene verordening gegevensbescherming, legt de bevoegde autoriteit geen bestuurlijke boete op op grond van de artikelen 80 en 87 voor een inbreuk als bedoeld in het tweede lid die voortvloeit uit dezelfde gedraging als die waarvoor de bestuurlijke boete op grond van artikel 58, tweede lid, onderdeel i, van de Algemene verordening gegevensbescherming is opgelegd.

Wanneer de op grond van de Algemene verordening gegevensbescherming bevoegde toezichthoudende autoriteit in een andere lidstaat van de Europese Unie is gevestigd, stelt de bevoegde autoriteit de Autoriteit persoonsgegevens in kennis van de potentiële inbreuk in verband met persoonsgegevens, bedoeld in het tweede lid.

Het tweede, derde en vierde lid zijn van overeenkomstige toepassing op een overtreding van het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 59. (informatie-uitwisseling met andere bevoegde autoriteiten)

De bevoegde autoriteiten, Onze Minister van Economische Zaken uit hoofde van de Verordening (EU) 910/2014, de bevoegde autoriteiten, bedoeld in de Verordening (EU) 2022/2554, en Onze Minister van Economische Zaken uit hoofde van de Richtlijn (EU) 2018/1972 wisselen informatie uit over relevante incidenten en cyberdreigingen.

Artikel 60. (samenwerking met en bijstandsverzoek van de bevoegde autoriteit van een andere lidstaat van de Europese Unie)

De bevoegde autoriteit werkt samen met de betrokken bevoegde autoriteit van een andere lidstaat van de Europese Unie en verleent op gemotiveerd verzoek van die autoriteit bijstand, wanneer een essentiële entiteit of belangrijke entiteit of een entiteit die domeinnaamregistratiediensten verleent, als bedoeld in deze wet of in het nationale recht van de betrokken lidstaat van de Europese Unie waarin de NIS2-richtlijn is geïmplementeerd:

a. diensten verricht in meer dan één lidstaat; of

b. diensten verricht in één of meer lidstaten en zijn netwerk- en informatiesystemen zich in één of meer andere lidstaten bevinden.

Onverminderd het eerste lid kan de bevoegde autoriteit naar aanleiding van een gemotiveerd verzoek om bijstand van een bevoegde autoriteit van een andere lidstaat van de Europese Unie die ten aanzien van de betrokken entiteit krachtens artikel 26, eerste lid, onderdeel b, van de NIS2-richtlijn jurisdictie heeft, binnen de grenzen van dat verzoek, toezichts- en handhavingsmaatregelen nemen ten aanzien van entiteiten die domeinnaamregistratiediensten verlenen en de volgende essentiële entiteiten en belangrijke entiteiten, bedoeld in het nationale recht van de betrokken lidstaat van de Europese Unie waarin de NIS2-richtlijn is geïmplementeerd, wanneer die entiteit in Nederland diensten verleent of waarvan een netwerk- en informatiesysteem zich in Nederland bevindt:

a. DNS-dienstverleners;

b. registers voor topleveldomeinnamen;

c. aanbieders van cloudcomputingdiensten;

d. aanbieders van datacentrumdiensten

e. aanbieders van netwerken voor de levering van inhoud;

f. aanbieders van beheerde diensten;

g. aanbieders van beheerde beveiligingsdiensten;

h. de aanbieders van onlinemarktplaatsen;

i. aanbieders van onlinezoekmachines;

j. aanbieders van platforms voor socialenetwerkdiensten.

Na de ontvangst van het gemotiveerde verzoek om bijstand, genoemd in het eerste en tweede lid, verleent de bevoegde autoriteit bijstand in verhouding tot haar eigen middelen. De bevoegde autoriteit wijst het verzoek alleen af als:

a. zij niet bevoegd is om de verzochte bijstand te verlenen;

b. de verzochte bijstand niet in verhouding staat tot de toezichthoudende taken van de bevoegde autoriteit; of

c. het verzoek betrekking heeft op informatie of activiteiten inhoudt die, indien ze openbaar zouden worden gemaakt of zouden worden uitgevoerd, in strijd zouden zijn met de wezenlijke belangen van de nationale veiligheid, de openbare veiligheid of de defensie.

Voordat de bevoegde autoriteit het verzoek afwijst, raadpleegt zij de betrokken bevoegde autoriteit van de andere lidstaat van de Europese Unie over de voorgenomen afwijzing en, wanneer de lidstaat daartoe verzoekt, de Europese Commissie en Enisa.

In het kader van de samenwerking informeert de bevoegde autoriteit het centrale contactpunt over de door haar genomen toezichts- en handhavingsmaatregelen met betrekking tot een entiteit als bedoeld in het eerste lid, waarna het centrale contactpunt de betrokken bevoegde autoriteit van een andere lidstaat van de Europese Unie informeert over die genomen toezichts- en handhavingsmaatregelen.

Het verzoek om bijstand, bedoeld in het eerste, tweede en derde lid, kan zien op het verstrekken van informatie en het nemen van toezichts- en handhavingsmaatregelen, met inbegrip van inspecties ter plaatse, toezicht elders en beveiligingsaudits.

Artikel 61. (bijstandsverzoek aan de bevoegde autoriteit van een andere lidstaat van de Europese Unie)

De bevoegde autoriteit kan een bevoegde autoriteit van een andere lidstaat van de Europese Unie gemotiveerd verzoeken om bijstand, wanneer een essentiële entiteit of belangrijke entiteit of een entiteit die domeinnaamregistratiediensten verleent, als bedoeld in deze wet of in het nationale recht van de andere betrokken lidstaat van de Europese Unie waarin de NIS2-richtlijn is geïmplementeerd:

a. diensten verricht in meer dan één lidstaat; of

b. diensten verricht in één of meer lidstaten en haar netwerk- en informatiesystemen zich in één of meer andere lidstaten bevinden.

Onverminderd het eerste lid kan de bevoegde autoriteit een bevoegde autoriteit van een andere lidstaat van de Europese Unie gemotiveerd verzoeken om bijstand ten aanzien van de volgende entiteiten, wanneer die entiteit haar hoofdvestiging heeft in die andere lidstaat:

a. DNS-dienstverleners;

b. registers voor topleveldomeinnamen;

c. aanbieders van cloudcomputingdiensten;

d. entiteiten die domeinnaamregistratiediensten verlenen;

e. aanbieders van datacentrumdiensten;

f. aanbieders van netwerken voor de levering van inhoud;

g. aanbieders van beheerde diensten;

h. aanbieders van beheerde beveiligingsdiensten;

i. de aanbieders van onlinemarktplaatsen;

j. aanbieders van onlinezoekmachines;

k. aanbieders van platforms voor socialenetwerkdiensten.

Het verzoek om bijstand, bedoeld in het eerste en tweede lid, kan zien op het verstrekken van informatie en het nemen van toezichts- en handhavingsmaatregelen, met inbegrip van inspecties ter plaatse, toezicht elders en beveiligingsaudits.

§ 13.4. Informatie-uitwisseling tussen entiteiten

Artikel 62. (informatie-uitwisseling tussen entiteiten)

Essentiële entiteiten, belangrijke entiteiten, entiteiten die domeinnaamregistratiediensten verlenen en andere entiteiten die niet de hiervoor genoemde entiteiten betreffen, kunnen op vrijwillige basis relevante informatie over cyberbeveiliging uitwisselen om incidenten te voorkomen, te detecteren, erop te reageren of ervan te herstellen of de gevolgen ervan te beperken en om het cyberbeveiligingsniveau te verhogen.

De informatie-uitwisseling, bedoeld in het eerste lid, kan plaatsvinden binnen gemeenschappen van entiteiten en, indien van toepassing, hun leveranciers en dienstverleners op basis van informatie-uitwisselingsregelingen op het gebied van cyberbeveiliging met betrekking tot de potentieel gevoelige aard van de uitgewisselde informatie.

Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld ter uitvoering van het bepaalde in artikel 29, derde lid, van de NIS2-richtlijn.

Hoofdstuk 14. Verwerking van gegevens

Artikel 63. (verwerkingsverantwoordelijkheid)

De bevoegde autoriteit, het centrale contactpunt, het CSIRT en Onze Minister zijn de verwerkingsverantwoordelijken voor de verwerking van persoonsgegevens ten behoeve van de taken die op grond van deze wet aan hen zijn toegewezen.

Artikel 64. (bijzondere categorieën van persoonsgegevens)

De verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid door de bevoegde autoriteit geschiedt alleen voor zover de verwerking van deze gegevens noodzakelijk is voor de uitoefening van haar taken op grond van deze wet.

De verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid door het CSIRT geschiedt alleen voor zover de verwerking van deze gegevens noodzakelijk is voor de uitoefening van haar taken op grond van artikel 16, tweede lid, onderdelen a tot en met e.

Artikel 65. (bewaring van gegevens)

Bij of krachtens algemene maatregel van bestuur worden regels gesteld over de periode gedurende welke de persoonsgegevens die bij of krachtens deze wet zijn verwerkt, worden bewaard.

De persoonsgegevens, bedoeld in artikel 64, eerste lid, die door de bevoegde autoriteit worden verwerkt worden niet langer bewaard dan noodzakelijk is ter uitvoering van haar taken op grond van deze wet, doch uiterlijk binnen 60 maanden na de eerste verwerking verwijderd.

De persoonsgegevens, bedoeld in artikel 64, tweede lid, die door het CSIRT worden verwerkt worden niet langer bewaard dan noodzakelijk is ter uitvoering van haar taken op grond van deze wet, doch uiterlijk binnen 12 maanden na de eerste verwerking verwijderd.

Artikel 66. (vertrouwelijke gegevens)

De bevoegde autoriteit, het centrale contactpunt, het CSIRT en Onze Minister kunnen in het kader van de uitoefening van hun taken op grond van deze wet vertrouwelijke gegevens verstrekken, doch uitsluitend voor zover:

a. dat noodzakelijk is ter uitvoering van hun taken uit hoofde van deze wet;

b. de verstrekking beperkt blijft tot die vertrouwelijke gegevens die relevant zijn voor de ontvangende partij en verstrekking evenredig is aan het doel van die verstrekking;

c. de vertrouwelijkheid van die vertrouwelijke gegevens is gewaarborgd; en

d. de veiligheids- en commerciële belangen van de betrokken entiteit worden beschermd.

De Wet open overheid is niet van toepassing op vertrouwelijke gegevens als bedoeld in het eerste lid, behalve voor zover die gegevens milieu-informatie inhouden als bedoeld in artikel 19.1a van de Wet milieubeheer. De eerste volzin geldt ook als de gegevens bij een ander overheidsorgaan berusten na verstrekking op grond van dit artikel.

Artikel 67. (verstrekking van gegevens in relatie tot nationale veiligheid, openbare veiligheid en defensie)

Het bepaalde bij of krachtens deze wet omvat niet de verstrekking van informatie waarvan de bekendmaking strijdig is met de wezenlijke belangen van nationale veiligheid, openbare veiligheid of defensie.

Hoofdstuk 15. Handhaving

§ 15.1. Algemeen

Artikel 68. (toezichthouders)

Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, zijn belast: de bij besluit van de bevoegde autoriteit aangewezen ambtenaren.

De ambtenaren, bedoeld in het eerste lid, zijn tevens belast met het verlenen van bijstand als bedoeld in artikel 60 aan een bevoegde autoriteit van een andere lidstaat van de Europese Unie.

Ten behoeve van het verlenen van de bijstand, bedoeld in het tweede lid, kunnen de toezichthouders hun toezichthoudende bevoegdheden toepassen.

Van een besluit als bedoeld in het eerste lid wordt mededeling gedaan door plaatsing in de Staatscourant.

Artikel 69. (toepassing handhavingsinstrumentarium)

Onverminderd artikel 3:4, tweede lid, van de Algemene wet bestuursrecht houdt de bevoegde autoriteit bij de toepassing van de artikelen 70, 72, eerste lid, onderdeel c, 73 tot en met 78, 80, 83, eerste lid, onderdeel c, 84 tot en met 87 en 89 tot en met 93 rekening met de omstandigheden van elk afzonderlijk geval, alsmede:

a. de ernst van de overtreding en het belang van de geschonden bepalingen, waarbij onder meer het volgende in ieder geval een ernstige overtreding vormt:

1°. herhaalde overtredingen;

2°. het niet melden of niet verhelpen van significante incidenten;

3°. het niet verhelpen van tekortkomingen naar aanleiding van bindende aanwijzingen van de bevoegde autoriteit;

4°. het belemmeren van audits of monitoringsactiviteiten waartoe de bevoegde autoriteit opdracht heeft gegeven naar aanleiding van de vaststelling van een overtreding;

5°. het verstrekken van valse of zeer onnauwkeurige informatie met betrekking tot de verplichtingen, bedoeld in de artikelen 21 en 25 tot en met 30;

b. de duur van de overtreding;

c. eventuele relevante eerdere overtredingen door de betrokken entiteit;

d. elke veroorzaakte materiële of immateriële schade, met inbegrip van elke financiële of economische schade, effecten op andere diensten en het aantal getroffen gebruikers;

e. opzet of nalatigheid van de overtreder;

f. door de entiteit genomen maatregelen om de materiële of immateriële schade te voorkomen of te beperken;

g. de naleving van goedgekeurde gedragscodes of goedgekeurde certificeringsmechanismen; en

h. de mate waarin de overtreder meewerkt met de bevoegde autoriteiten.

§ 15.2. Handhaving ten aanzien van essentiële entiteiten

Artikel 70. (controlefunctionaris)

De bevoegde autoriteit kan voor een bepaalde periode een controlefunctionaris aanwijzen bij een essentiële entiteit.

De controlefunctionaris is een onafhankelijke deskundige zijnde een natuurlijk persoon en heeft tot taak:

a. het monitoren van de naleving van het bepaalde bij of krachtens de artikelen 21 en 25 tot en met 30 en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, door de betrokken essentiële entiteit; en

b. het informeren van de bevoegde autoriteit en het bestuur van de betrokken essentiële entiteit over de naleving van het bepaalde bij of krachtens de artikelen 21 en 25 tot en met 30 en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, door de betrokken essentiële entiteit.

De essentiële entiteit draagt de kosten van de controlefunctionaris.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over het bepaalde in het eerste en tweede lid, waaronder de vereisten die gelden voor de aanwijzing van de controlefunctionaris.

Artikel 71. (beveiligingsscan)

De bevoegde autoriteit kan een beveiligingsscan op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria uitvoeren of door een onafhankelijke en gekwalificeerde deskundige laten uitvoeren bij een essentiële entiteit.

De bevoegde autoriteit draagt de kosten van de beveiligingsscan.

Artikel 72. (audit)

De bevoegde autoriteit kan een essentiële entiteit verplichten om:

a. een onafhankelijke en gekwalificeerde deskundige te laten onderzoeken of de entiteit voldoet aan het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie;

b. de resultaten van dat onderzoek binnen een bij het besluit gestelde redelijke termijn te verstrekken aan de bevoegde autoriteit; of

c. de aanbevelingen naar aanleiding van het onderzoek binnen een redelijke termijn uit te voeren.

Het onderzoek is gebaseerd op de door de bevoegde autoriteit of de betrokken essentiële entiteit verrichte risicobeoordelingen of op andere beschikbare risicogerelateerde informatie.

Het onderzoek wordt uitgevoerd op een door de bevoegde autoriteit voorgeschreven wijze.

De essentiële entiteit draagt de kosten van het onderzoek, tenzij de kosten naar het oordeel van de bevoegde autoriteit redelijkerwijs moeten worden gedragen door de bevoegde autoriteit.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over het eerste tot en met derde lid.

Artikel 73. (openbaarmaking overtreding)

De bevoegde autoriteit kan een essentiële entiteit verplichten om onderdelen van een door de entiteit begane overtreding van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, openbaar te maken, op een door de bevoegde autoriteit bepaalde wijze.

Artikel 74. (aanwijzing)

De bevoegde autoriteit kan een essentiële entiteit een bindende aanwijzing geven om binnen een daarbij gestelde redelijke termijn de daarin omschreven handelingen te verrichten of de daarin omschreven maatregelen te nemen ter naleving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 75. (last onder bestuursdwang)

De bevoegde autoriteit is bevoegd tot oplegging van een last onder bestuursdwang aan een essentiële entiteit ter handhaving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 76. (einddatum beëindiging overtreding)

De bevoegde autoriteit kan na een overtreding door een essentiële entiteit van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, een einddatum bepalen waarop de entiteit de daarbij genoemde maatregelen moet hebben genomen om de overtreding te beëindigen of waarop de entiteit aan de daarbij nader omschreven eisen moet hebben voldaan ter beëindiging van de overtreding.

De bevoegde autoriteit kan het besluit, bedoeld in het eerste lid, alleen nemen:

a. nadat zij alle in het derde lid genoemde maatregelen heeft opgelegd aan de betrokken entiteit en deze maatregelen niet ertoe hebben geleid dat de overtreding is beëindigd; of

b. nadat zij één of meer van de in het derde lid genoemde maatregelen heeft opgelegd aan de betrokken entiteit, de opgelegde maatregel of maatregelen niet ertoe hebben geleid dat de overtreding is beëindigd en het opleggen van de andere in het derde lid genoemde maatregel of maatregelen naar het oordeel van de bevoegde autoriteit niet ertoe zullen leiden dat de betrokken entiteit de overtreding beëindigt.

De maatregelen, bedoeld in het tweede lid, zijn:

a. een waarschuwing van de bevoegde autoriteit aan de betrokken entiteit over een overtreding van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie;

b. een verplichting van de bevoegde autoriteit aan de betrokken entiteit over de uitvoering van de aanbevelingen naar aanleiding van het onderzoek als bedoeld in artikel 72, eerste lid, onderdeel c;

c. een aanwijzing als bedoeld in artikel 74;

d. een last onder bestuursdwang als bedoeld in artikel 75;

e. een last onder bestuursdwang als bedoeld in artikel 75 in samenhang met artikel 5:32, eerste lid, van de Algemene wet bestuursrecht.

Artikel 77. (verzoek tot schorsing certificering of vergunning)

Indien de essentiële entiteit niet uiterlijk op de daarbij bepaalde einddatum heeft voldaan aan het besluit, bedoeld in artikel 76, kan de bevoegde autoriteit de instantie of organisatie die een certificering of vergunning heeft afgegeven verzoeken die certificering of vergunning tijdelijk op te schorten met betrekking tot alle of een deel van de relevante door de essentiële entiteit verleende diensten of verrichte activiteiten, zolang de entiteit niet voldoet aan het besluit.

Artikel 78. (verzoek tot schorsing leden van het bestuur)

Indien de essentiële entiteit niet uiterlijk op de daarbij bepaalde einddatum heeft voldaan aan het besluit, bedoeld in artikel 76, kan de bevoegde autoriteit de burgerlijke rechter van de rechtbank van het arrondissement waarbinnen de vestigingsplaats van de bevoegde autoriteit is gelegen verzoeken om één of meer leden van het bestuur van de betrokken essentiële entiteit te schorsen, zolang de entiteit niet voldoet aan het besluit.

De rechtbank regelt zo nodig alle overige gevolgen van de door haar uitgesproken schorsing.

De griffier van de rechtbank, of in geval van hoger beroep, van het gerechtshof, biedt een afschrift van de onherroepelijke uitspraak waarin een schorsing is opgelegd met bekwame spoed aan de Kamer van Koophandel aan, die terstond de schorsing in het Handelsregister opneemt.

Zodra is voldaan aan het besluit, bedoeld in artikel 76, verzoekt de bevoegde autoriteit de Kamer van Koophandel de opname van de schorsing uit het Handelsregister te verwijderen.

Artikel 79. (uitzondering voor overheidsinstanties)

De artikelen 76, 77 en 78 zijn niet van toepassing op overheidsinstanties.

Artikel 80. (bestuurlijke boete)

De bevoegde autoriteit kan in geval van overtreding van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, aan een essentiële entiteit een bestuurlijke boete opleggen:

a. tezamen met of na het geven van een waarschuwing aan de betrokken entiteit over de overtreding; of

b. tezamen met of na de toepassing van de artikelen 38, 70, 72, eerste lid, onderdeel c, 73, 74, 75, 76, 77 of 78.

De bevoegde autoriteit kan tevens aan een essentiële entiteit een bestuurlijke boete opleggen in geval van overtreding van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht.

De boete bedraagt ten hoogste:

a. in geval van overtreding van het bepaalde bij of krachtens de artikelen 21, 21a en 25 tot en met 30 en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie: € 10.000.000,– of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de essentiële entiteit behoort, indien het laatstbedoelde bedrag hoger is;

b. in geval van een andere overtreding: € 1.000.000,–.

De werking van het besluit tot oplegging van de boete wordt opgeschort totdat het besluit onherroepelijk is.

Verzet schorst de tenuitvoerlegging van een dwangbevel dat strekt tot invordering van de boete.

Artikel 184 van het Wetboek van Strafrecht is niet van toepassing op de overtreding, bedoeld in het tweede lid.

§ 15.3. Handhaving ten aanzien van belangrijke entiteiten

Artikel 81. (reikwijdte)

De artikelen 82 tot en met 87 zijn alleen van toepassing voor zover de bevoegde autoriteit het bewijs, de aanwijzing of informatie heeft van een mogelijke overtreding door een belangrijke entiteit van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 82. (beveiligingsscan)

De bevoegde autoriteit kan een beveiligingsscan op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria uitvoeren of door een onafhankelijke deskundige laten uitvoeren bij een belangrijke entiteit.

De bevoegde autoriteit draagt de kosten van de beveiligingsscan.

Artikel 83. (audit)

De bevoegde autoriteit kan een belangrijke entiteit verplichten om:

a. een onafhankelijke en gekwalificeerde deskundige te laten onderzoeken of de entiteit voldoet aan het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie;

b. de resultaten van dat onderzoek binnen een bij het besluit gestelde redelijke termijn te verstrekken aan de bevoegde autoriteit; of

c. de aanbevelingen naar aanleiding van het onderzoek binnen een redelijke termijn uit te voeren.

Het onderzoek is gebaseerd op de door de bevoegde autoriteit of de betrokken belangrijke entiteit verrichte risicobeoordelingen of op andere beschikbare risicogerelateerde informatie.

Het onderzoek wordt uitgevoerd op een door de bevoegde autoriteit voorgeschreven wijze.

De belangrijke entiteit draagt de kosten van het onderzoek, tenzij de kosten naar het oordeel van de bevoegde autoriteit redelijkerwijs moeten worden gedragen door de bevoegde autoriteit.

Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over het eerste tot en met derde lid.

Artikel 84. (openbaarmaking overtreding)

De bevoegde autoriteit kan een belangrijke entiteit verplichten om onderdelen van een door de entiteit begane overtreding van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, openbaar te maken, op een door de bevoegde autoriteit bepaalde wijze.

Artikel 85. (aanwijzing)

De bevoegde autoriteit kan een belangrijke entiteit een bindende aanwijzing geven om binnen een daarbij gestelde redelijke termijn de daarin omschreven handelingen te verrichten of de daarin omschreven maatregelen te nemen ter naleving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 86. (last onder bestuursdwang)

De bevoegde autoriteit is bevoegd tot oplegging van een last onder bestuursdwang aan een belangrijke entiteit ter handhaving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

Artikel 87. (bestuurlijke boete)

De bevoegde autoriteit kan in geval van overtreding van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie, aan een belangrijke entiteit een bestuurlijke boete opleggen:

a. tezamen met of na het geven van een waarschuwing aan de betrokken entiteit over de overtreding; of

b. tezamen met of na de toepassing van de artikelen 38, 83, eerste lid, onderdeel c, 84, 85 of 86.

De bevoegde autoriteit kan tevens aan een belangrijke entiteit een bestuurlijke boete opleggen in geval van overtreding van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht.

De boete bedraagt ten hoogste:

a. in geval van overtreding van het bepaalde bij of krachtens de artikelen 21, 21a en 25 tot en met 30 en het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie: € 7.000.000,– of 1,4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de belangrijke entiteit behoort, indien het laatstbedoelde bedrag hoger is;

b. in geval van een andere overtreding: € 1.000.000,–.

De werking van het besluit tot oplegging van de boete wordt opgeschort totdat het besluit onherroepelijk is.

Verzet schorst de tenuitvoerlegging van een dwangbevel dat strekt tot invordering van de boete.

Artikel 184 van het Wetboek van Strafrecht is niet van toepassing op de overtreding, bedoeld in het tweede lid.

§ 15.4. Handhaving ten aanzien van entiteiten die domeinnaamregistratiediensten verlenen

Artikel 88. (reikwijdte)

De artikelen 89 tot en met 91 zijn alleen van toepassing op de entiteit die domeinnaamregistratiediensten verleent, indien zij op grond van deze wet niet tevens essentiële entiteit of belangrijke entiteit is.

Artikel 89. (aanwijzing)

De bevoegde autoriteit kan een entiteit die domeinnaamregistratiediensten verleent, een bindende aanwijzing geven om binnen een daarbij gestelde redelijke termijn de daarin omschreven handelingen te verrichten ter naleving van de artikelen 42, 44, 47, 49 en 50, indien zij niet voldoet aan het bepaalde bij of krachtens de hiervoor genoemde artikelen.

Artikel 90. (last onder dwangsom)

De bevoegde autoriteit kan een entiteit die domeinnaamregistratiediensten verleent een last onder dwangsom opleggen in geval van overtreding van het bepaalde bij of krachtens de artikelen 42, 44, 47, 49 en 50.

Artikel 91. (bestuurlijke boete)

De bevoegde autoriteit kan een entiteit die domeinnaamregistratiediensten verleent een bestuurlijke boete opleggen in geval van:

a. overtreding van het bepaalde bij of krachtens de artikelen 42, 44, 47, 49 en 50;

b. overtreding van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht.

De boete, bedoeld in het eerste lid, bedraagt ten hoogste € 1.000.000,–.

De werking van het besluit tot oplegging van de boete wordt opgeschort totdat het besluit onherroepelijk is.

Verzet schorst de tenuitvoerlegging van een dwangbevel dat strekt tot invordering van de boete.

Artikel 184 van het Wetboek van Strafrecht is niet van toepassing op de overtreding, bedoeld in het eerste lid, onderdeel b.

§ 15.5. Handhaving ten aanzien van de verplichtingen, bedoeld in artikel 24, tweede tot en met zesde lid

Artikel 92. (last onder dwangsom)

De bevoegde autoriteit kan een lid van het bestuur van een essentiële entiteit of belangrijke entiteit een last onder dwangsom opleggen in geval van overtreding van het bepaalde bij of krachtens artikel 24, tweede tot en met zesde lid.

Artikel 93. (bestuurlijke boete)

De bevoegde autoriteit kan een lid van het bestuur van een essentiële entiteit of belangrijke entiteit een bestuurlijke boete opleggen in geval van:

a. overtreding van het bepaalde bij of krachtens artikel 24, tweede tot en met zesde lid;

b. overtreding van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht.

De boete, bedoeld in het eerste lid, bedraagt ten hoogste € 25.000,–.

De werking van het besluit tot oplegging van de boete wordt opgeschort totdat het besluit onherroepelijk is.

Verzet schorst de tenuitvoerlegging van een dwangbevel dat strekt tot invordering van de boete.

Artikel 184 van het Wetboek van Strafrecht is niet van toepassing op de overtreding, bedoeld in het eerste lid, onderdeel b.

Hoofdstuk 16. Slotbepalingen

§ 16.1. Evaluatie

Artikel 94. (evaluatiebepaling)

Onze Minister zendt binnen achttien maanden na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag waarin de resultaten van een invoeringstoets over de uitvoerbaarheid, de handhaafbaarheid, de regeldruk, de samenloop en de werkbaarheid van deze wet in de praktijk zijn opgenomen.

Onze Minister zendt binnen twee jaar na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk, en vervolgens elke drie jaar.

§ 16.2. Overgangsrecht

Artikel 95. (besluiten en meldingen op grond van de Wet beveiliging netwerk- en informatiesystemen)

Indien voor de inwerkingtreding van artikel 106 een besluit is genomen op grond van de Wet beveiliging netwerk- en informatiesystemen, blijft het oude recht van toepassing tot het tijdstip waarop:

a. het besluit onherroepelijk is geworden en volledig is uitgevoerd of ten uitvoer is gelegd;

b. het besluit is ingetrokken of is komen te vervallen; of

c. als het besluit gaat om de oplegging van een last onder dwangsom:

1°. de last volledig is uitgevoerd;

2°. de dwangsom volledig is verbeurd en betaald; of

3°. de last is opgeheven.

Indien voor de inwerkingtreding van artikel 106 een melding als bedoeld in artikel 10 of 13 van de Wet beveiliging netwerk- en informatiesystemen is gedaan, en artikel 25 met ingang van de dag van de inwerkingtreding van laatstgenoemd artikel van toepassing is op de melder, wordt de op grond van de Wet beveiliging netwerk- en informatiesystemen gedane melding aangemerkt als een vroegtijdige waarschuwing van een significant incident als bedoeld in artikel 26. Indien de melding ziet op een inbreuk op de beveiliging van netwerk- en informatiesystemen die aanzienlijke gevolgen kan hebben voor de continuïteit van de door de melder verleende dienst als bedoeld in artikel 10, eerste lid, onderdeel b, van de Wet beveiliging netwerk- en informatiesystemen, zendt Onze Minister de melding door aan de bevoegde autoriteit.

Artikel 96. (bijstand ten behoeve van andere entiteiten)

De organisaties, niet zijnde essentiële entiteiten of belangrijke entiteiten, die op de dag voorafgaand aan de inwerkingtreding van artikel 106 vitale aanbieder dan wel andere aanbieder die onderdeel is van de Rijksoverheid zijn als bedoeld in artikel 3, eerste lid, van de Wet beveiliging netwerk- en informatiesystemen, zoals die wet luidde op de dag voorafgaand aan de inwerkingtreding van artikel 106, hebben recht op:

a. bijstand bij het treffen van maatregelen om de continuïteit van hun diensten te waarborgen of te herstellen door Onze Minister of een andere in afwijking hiervan bij of krachtens algemene maatregel van bestuur hiervoor aan te wijzen instantie; en

b. informatie en advies over dreigingen en incidenten met betrekking tot hun netwerk- en informatiesystemen van Onze Minister of een andere in afwijking hiervan bij of krachtens algemene maatregel van bestuur hiervoor aan te wijzen instantie.

Onze Minister onderscheidenlijk de andere instantie, bedoeld in het eerste lid, verricht ten behoeve van het uitvoeren van de in het eerste lid bedoelde taken analyses en technisch onderzoek, naar aanleiding van de in het eerste lid genoemde dreigingen en incidenten of aanwijzingen daarvoor, niet zijnde onderzoek naar personen of organisaties die voor die dreigingen en incidenten verantwoordelijk zijn of die daar anderszins aan bijdragen of hebben bijgedragen.

Artikel 16, tweede lid, aanhef en onderdeel e, en derde lid, is van overeenkomstige toepassing, met dien verstande dat onder «CSIRT» wordt verstaan: Onze Minister of de andere instantie, bedoeld in het eerste lid.

Onze Minister onderscheidenlijk de andere instantie, bedoeld in het eerste lid, is de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens ten behoeve van de in het eerste tot en met derde lid bedoelde taken.

§ 16.3. Inwerkingtreding zorgplicht ten aanzien van instellingen voor hoger onderwijs

Artikel 97. (inwerkingtreding zorgplicht ten aanzien van instellingen voor hoger onderwijs)

Het bepaalde bij of krachtens de artikelen 21 en 24 is van toepassing op de op grond van artikel 11 aangewezen essentiële entiteit en de op grond van artikel 13 aangewezen belangrijke entiteit vanaf 36 maanden na de aanwijzing.

§ 16.4. Totstandkoming nationaal register

Artikel 98. (totstandkoming nationaal register)

Het nationale register, genoemd in artikel 43, komt uiterlijk één maand na de inwerkingtreding van artikel 43 tot stand.

§ 16.5. Wijzigingen bestaande wetgeving

Artikel 99. (wijziging Telecommunicatiewet)

Wijzigt de Telecommunicatiewet.

Artikel 100. (wijziging Wet bevordering digitale weerbaarheid bedrijven)

Wijzigt de Wet bevordering digitale weerbaarheid bedrijven.

Artikel 101. (wijziging Wet open overheid)

Wijzigt de Wet open overheid.

Artikel 102. (wijziging Wet op het financieel toezicht)

Wijzigt de Wet op het financieel toezicht.

Artikel 103. (wijziging Algemene wet bestuursrecht)

Wijzigt de Algemene wet bestuursrecht.

Artikel 103a. (wijziging Wet bekostiging financieel toezicht 2019)

Wijzigt de Wet bekostiging financieel toezicht 2019.

Artikel 103b. (wijziging Wet coördinatie terrorismebestrijding en nationale veiligheid)

Wijzigt de Wet coördinatie terrorismebestrijding en nationale veiligheid.

§ 16.6. Wijzigingen van de NIS2-richtlijn

Artikel 104. (wijzigingen van de NIS2-richtlijn)

Een wijziging van een bepaling uit de NIS2-richtlijn waarnaar in deze wet is verwezen geldt voor de toepassing van de bepaling uit deze wet waarin de verwijzing is opgenomen met ingang van de dag waarop aan de betrokken wijziging uitvoering moet zijn gegeven, tenzij bij ministerieel besluit, dat in de Staatscourant wordt bekendgemaakt, een ander tijdstip wordt vastgesteld.

§ 16.7. Inwerkingtreding onderdelen van de Wet bestuur en toezicht rechtspersonen

Artikel 105. (inwerkingtreding onderdelen van de Wet bestuur en toezicht rechtspersonen)

Wijzigt deze wet.

§ 16.8. Overig

Artikel 106. (intrekking Wet beveiliging netwerk- en informatiesystemen)

De Wet beveiliging netwerk- en informatiesystemen wordt ingetrokken.

Artikel 107. (inwerkingtreding)

Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld.

Artikel 108. (citeertitel)

Deze wet wordt aangehaald als: Cyberbeveiligingswet.

Bijlage 1

Sector	Subsector	Soort entiteit
Energie	Elektriciteit	– Elektriciteitsbedrijven als bedoeld in artikel 2, onderdeel 57, van Richtlijn (EU) 2019/9441, die de functie verrichten van «levering» als bedoeld in artikel 2, onderdeel 12, van die richtlijn
Energie	Elektriciteit	– Distributiesysteembeheerders als bedoeld in artikel 2, onderdeel 29, van Richtlijn (EU) 2019/944
Energie	Elektriciteit	– Transmissiesysteembeheerders als bedoeld in artikel 2, onderdeel 35, van Richtlijn (EU) 2019/944
Energie	Elektriciteit	– Producenten als bedoeld in artikel 2, onderdeel 38, van Richtlijn (EU) 2019/944, voor zover de opwekking van elektriciteit hun belangrijkste commerciële of professionele activiteit vormt, of zij één of meerdere productie-installaties met een cumulatief nominaal vermogen van ten minste 100 megawatt beheren
Energie	Elektriciteit	– Benoemde elektriciteitsmarktbeheerders als bedoeld in artikel 2, onderdeel 8, van Verordening (EU) 2019/9432 – Marktdeelnemers als bedoeld in artikel 2, onderdeel 25, van Verordening (EU) 2019/943 die aggregatie verrichten of vraagrespons- of energieopslagdiensten verstrekken als bedoeld in artikel 2, onderdelen 18, 20 en 59, van Richtlijn (EU) 2019/944 – Exploitanten van een laadpunt die verantwoordelijk zijn voor het beheer en de exploitatie van een laadpunt dat een laaddienst levert aan eindgebruikers, onder meer namens en voor rekening van een aanbieder van mobiliteitsdiensten
Energie	Stadsverwarming en -koeling	– Exploitanten van stadsverwarming of stadskoeling als bedoeld in artikel 2, onderdeel 19, van Richtlijn (EU) 2018/20013
Energie	Aardolie	– Exploitanten van oliepijpleidingen
Energie	Aardolie	– Exploitanten van voorzieningen voor de productie, raffinage en behandeling van olie, opslag en transport
Energie	Aardolie	– Centrale entiteiten voor de voorraadvorming als bedoeld in artikel 2, onderdeel f, van Richtlijn 2009/119/EG4
Energie	Aardgas	– Leveringsbedrijven als bedoeld in artikel 2, onderdeel 8, van Richtlijn 2009/73/EG5
Energie	Aardgas	– Distributiesysteembeheerders als bedoeld in artikel 2, onderdeel 6, van Richtlijn 2009/73/EG
Energie	Aardgas	– Transmissiesysteembeheerders als bedoeld in artikel 2, onderdeel 4, van Richtlijn 2009/73/EG
Energie	Aardgas	– Opslagsysteembeheerders als bedoeld in artikel 2, onderdeel 10, van Richtlijn 2009/73/EG
Energie	Aardgas	– LNG-systeembeheerders als bedoeld in artikel 2, onderdeel 12, van Richtlijn 2009/73/EG
Energie	Aardgas	– Aardgasbedrijven als bedoeld in artikel 2, onderdeel 1, van Richtlijn 2009/73/EG
Energie	Aardgas	– Exploitanten van voorzieningen voor de raffinage en behandeling van aardgas
Energie	Waterstof	– Exploitanten van voorzieningen voor de productie, opslag en transmissie van waterstof
Vervoer	Lucht	– Luchtvaartmaatschappijen als bedoeld in artikel 3, onderdeel 4, Verordening (EG) nr. 300/2008 die voor commerciële doeleinden worden gebruikt
Vervoer	Lucht	– Luchthavenbeheerders als bedoeld in artikel 2, onderdeel 2, van Richtlijn 2009/12/EG6, luchthavens als bedoeld in artikel 2, onderdeel 1, van die richtlijn, met inbegrip van de kernluchthavens die in bijlage II, afdeling 2, bij Verordening (EU) 1315/20137 zijn opgenomen, alsook de entiteiten die bijbehorende installaties bedienen welke zich op luchthavens bevinden
Vervoer	Lucht	– Exploitanten op het gebied van verkeersbeheer en -controle die luchtverkeersleidingsdiensten als bedoeld in artikel 2, onderdeel 1, van Verordening (EG) nr. 549/20048 aanbieden
Vervoer	Spoor	– Infrastructuurbeheerders als bedoeld in artikel 3, onderdeel 2, van Richtlijn 2012/34/EU9
Vervoer	Spoor	– Spoorwegondernemingen als bedoeld in artikel 3, onderdeel 1, van Richtlijn 2012/34/EU, inclusief exploitanten van dienstvoorzieningen als bedoeld in artikel 3, onderdeel 12, van die richtlijn
Vervoer	Water	– Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht zoals voor maritiem transport gedefinieerd in bijlage I bij Verordening (EG) nr. 725/200410, met uitzondering van de door deze bedrijven geëxploiteerde individuele vaartuigen
Vervoer	Water	– Beheerders van havens als bedoeld in artikel 3, onderdeel 1, van Richtlijn 2005/65/EG11, inclusief hun havenfaciliteiten als bedoeld in artikel 2, onderdeel 11, van Verordening (EG) nr. 725/2004; alsook entiteiten die werken en uitrusting in havens beheren
Vervoer	Water	– Exploitanten van verkeersbegeleidingssystemen (VBS) als bedoeld in artikel 3, onderdeel o, van Richtlijn 2002/59/EG12
Vervoer	Weg	– Wegenautoriteiten als bedoeld in artikel 2, onderdeel 12, van gedelegeerde Verordening (EU) 2015/96213 die verantwoordelijk zijn voor het verkeersbeheer, met uitzondering van overheidsinstanties waarvoor verkeersbeheer of de exploitatie van intelligente vervoerssystemen slechts een niet-essentieel onderdeel van hun algemene activiteit is
Vervoer	Weg	– Exploitanten van intelligente vervoerssystemen als bedoeld in artikel 4, onderdeel 1, van Richtlijn 2010/40/EU14
Bankwezen		Kredietinstellingen als bedoeld in artikel 4, onderdeel 1, Verordening (EU) nr. 575/201315
Infrastructuur voor de financiële markt		– Exploitanten van handelsplatformen als bedoeld in artikel 4, onderdeel 24, van Richtlijn 2014/65/EU16
Infrastructuur voor de financiële markt		– Centrale tegenpartijen als bedoeld in artikel 2, onderdeel 1, Verordening (EU) nr. 648/201217
Gezondheidszorg		– Een zorgaanbieder als bedoeld in artikel 1, eerste lid, van de Wet kwaliteit, klachten en geschillen zorg
Gezondheidszorg		– EU-referentielaboratoria als bedoeld in artikel 15 van Verordening (EU) 2022/237118
Gezondheidszorg		– Entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen als bedoeld in artikel 1, onderdeel 2, van Richtlijn 2001/83/EG19 – Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen als bedoeld in sectie C, afdeling 21, van NACE Rev. 2 vervaardigen – Entiteiten die medische hulpmiddelen vervaardigen die in het kader van de noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd («de lijst van in een noodsituatie op het gebied van de volksgezondheid kritieke hulpmiddelen») in de zin van artikel 22 van Verordening (EU) 2022/12320
Drinkwater		Leveranciers en distributeurs van voor menselijke consumptie bestemd water als bedoeld in artikel 2, onderdeel 1, subonderdeel a, van Richtlijn (EU) 2020/218421, met uitzondering van distributeurs waarvoor de distributie van water voor menselijke consumptie een niet-essentieel deel is van hun algemene activiteit van distributie van andere waren en goederen die niet worden beschouwd als essentiële of belangrijke diensten
Afvalwater		Ondernemingen die stedelijk afvalwater, huishoudelijk afvalwater of industrieel afvalwater als bedoeld in artikel 2, onderdelen 1, 2 en 3, van Richtlijn 91/271/EEG22 opvangen, lozen of behandelen, met uitzondering van ondernemingen waarvoor het opvangen, lozen of behandelen van stedelijk afvalwater, huishoudelijk afvalwater of industrieel afvalwater een niet-essentieel onderdeel van hun algemene activiteit is
Digitale infrastructuur		– Aanbieders van internetknooppunten
Digitale infrastructuur		– DNS-dienstverleners
Digitale infrastructuur		– Register voor topleveldomeinnamen
Digitale infrastructuur		– Aanbieders van cloudcomputingdiensten
Digitale infrastructuur		– Aanbieders van datacentrumdiensten
Digitale infrastructuur		– Aanbieders van netwerken voor de levering van inhoud
Digitale infrastructuur		– Verleners van vertrouwensdiensten
Digitale infrastructuur		– Aanbieders van openbare elektronische communicatienetwerken
Digitale infrastructuur		– Aanbieders van openbare elektronische communicatiediensten
Beheer van ICT-diensten (business-to-business)		– Aanbieders van beheerde diensten – Aanbieders van beheerde beveiligingsdiensten
Overheid	Centrale overheden	– Ministeries met inbegrip van de daartoe behorende dienstonderdelen doch met uitzondering van de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017
Overheid	Centrale overheden	– Zelfstandige bestuursorganen, voor zover zij kwalificeren als overheidsinstantie
Overheid	Decentrale overheden	– Provincies
Overheid	Decentrale overheden	– Gemeenten
Overheid	Decentrale overheden	– Waterschappen
Overheid	Decentrale overheden	– Openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties als bedoeld in artikel 8, eerste, tweede, onderscheidenlijk derde lid, van de Wet gemeenschappelijke regelingen, voor zover deze openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties kwalificeren als overheidsinstantie
Ruimtevaart		Operators van grondfaciliteiten die in het bezit zijn van of beheerd of geëxploiteerd worden door de lidstaten of door particuliere partijen en die de verlening van vanuit de ruimte opererende diensten ondersteunen, met uitzondering van aanbieders van openbare elektronische communicatienetwerken

1 Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad van 5 juni 2019 betreffende gemeenschappelijke regels voor de interne markt voor elektriciteit en tot wijziging van Richtlijn 2012/27/EU(PbEU 2019, L 158).

2 Verordening (EU) 2019/943 van het Europees Parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (PbEU 2019, L 158).

3 Richtlijn (EU) 2018/2001 van het Europees Parlement en de Raad van 11 december 2018 ter bevordering van het gebruik van energie uit hernieuwbare bronnen (PbEU 2018, L 328).

4 Richtlijn 2009/119/EG van de Raad van 14 september 2009 houdende verplichting voor de lidstaten om minimumvoorraden ruwe aardolie en/of aardolieproducten in opslag te houden (PbEU 2009, L 265).

5 Richtlijn 2009/73/EG van het Europees Parlement en de Raad van 13 juli 2009 betreffende gemeenschappelijke regels voor de interne markt voor aardgas en tot intrekking van Richtlijn 2003/55/EG(PbEU 2009, L 211).

6 Richtlijn 2009/12/EG van het Europees Parlement en de Raad van 11 maart 2009 inzake luchthavengelden (PbEU 2009, L 70).

7 Verordening (EU) nr. 1315/2013 van het Europees Parlement en de Raad van 11 december 2013 betreffende richtsnoeren van de Unie voor de ontwikkeling van het trans-Europees vervoersnetwerk en tot intrekking van Besluit nr. 661/2010/EU (PbEU 2013, L 348).

8 Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad van 10 maart 2004 tot vaststelling van het kader voor de totstandbrenging van het gemeenschappelijke Europese luchtruim (de kaderverordening) (PbEU 2004, L 96).

9 Richtlijn 2012/34/EU van het Europees Parlement en de Raad van 21 november 2012 tot instelling van één Europese spoorwegruimte, (PbEU 2012, L 343).

10 Verordening (EG) nr. 725/2004 van het Europees Parlement en de Raad van 31 maart 2004 betreffende de verbetering van de beveiliging van schepen en havenfaciliteiten (PbEU 2004, L 129).

11 Richtlijn 2005/65/EG van het Europees Parlement en de Raad van 26 oktober 2005 betreffende het verhogen van de veiligheid van havens (PbEU 2005, L 310).

12 Richtlijn 2002/59/EG van het Europees Parlement en de Raad van 27 juni 2002 betreffende de invoering van een communautair monitoring en informatiesysteem voor de zeescheepvaart en tot intrekking van Richtlijn 93/75/EEG van de Raad (PbEU 2002, L 208).

13 Gedelegeerde verordening (EU) 2015/962 van de Commissie van 18 december 2014 ter aanvulling van Richtlijn 2010/40/EU van het Europees Parlement en de Raad wat de verlening van EU-wijde realtimeverkeersinformatiediensten betreft (PbEU 2015, L 157).

14 Richtlijn 2010/40/EU van het Europees Parlement en de Raad van 7 juli 2010 betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen (PbEU 2010, L 207).

15 Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en tot wijziging van Verordening (EU) nr. 648/2012(PbEU 2013, L 176).

16 Richtlijn 2014/65/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten voor financiële instrumenten en tot wijziging van Richtlijn 2002/92/EG en Richtlijn 2011/61/EU(PbEU 2014, L 173).

17 Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad van 4 juli 2012 betreffende otc-derivaten, centrale tegenpartijen en transactieregisters (PbEU 2012, L 201).

18 Verordening (EU) 2022/2371 van het Europees Parlement en de Raad van 23 november 2022 inzake ernstige grensoverschrijdende bedreigingen van de gezondheid en houdende intrekking van Besluit nr. 1082/2013/EU (PbEU 2022, L 314).

19 Richtlijn 2001/83/EG van het Europees Parlement en de Raad van 6 november 2001 tot vaststelling van een communautair wetboek betreffende geneesmiddelen voor menselijk gebruik (PbEU 2001, L 311).

20 Verordening (EU) 2022/123 van het Europees Parlement en de Raad van 25 januari 2022 betreffende een grotere rol van het Europees Geneesmiddelenbureau inzake crisisparaatheid en -beheersing op het gebied van geneesmiddelen en medische hulpmiddelen (PbEU 2022, L 20).

21 Richtlijn (EU) 2020/2184 van het Europees Parlement en de Raad van 16 december 2020 betreffende de kwaliteit van voor menselijke consumptie bestemd water (PbEU 2020, L 435).

22 Richtlijn 91/271/EEG van de Raad van 21 mei 1991 inzake de behandeling van stedelijk afvalwater (PbEU 1991, L 135).

Bijlage 2

De raadpleging van dit document komt niet in de plaats van het lezen van het oorspronkelijke Staatsblad of de Staatscourant. Wij aanvaarden geen aansprakelijkheid voor eventuele onnauwkeurigheden die voortvloeien uit de omzetting van het origineel naar dit formaat.

Deze tekst wordt gepubliceerd onder de eigen hergebruiksvoorwaarden van BWB, niet onder een licentie van Legalize of van het publieke domein. BWB
CC0 1.0 Universeel (publiek domein)