LegalizeRegeling van de Staatssecretaris van Economische Zaken en Klimaat van 5 juli 2026, nr. WJZ/ 101446051, houdende regels voor essentiële en belangrijke entiteiten in de EZK-sectoren (Regeling cyberbeveiliging EZK) (KetenID WGK 28487)
Gelet op de artikelen 19, 23, eerste lid, en 28 van het Cyberbeveiligingsbesluit;
Besluit:
Treedt in werking op het tijdstip waarop de Cyberbeveiligingswet in werking treedt.
Hoofdstuk 1. Algemene bepalingen
Artikel 1. Begripsbepalingen
In deze regeling wordt verstaan onder:
- alarmnummer: alarmnummer als bedoeld in artikel 7.7, tweede lid, van de Telecommunicatiewet;
- besluit: Cyberbeveiligingsbesluit;
- Minister: Minister van Economische Zaken en Klimaat;
- postzending: postzending als bedoeld in artikel 2, zesde lid, van Richtlijn 97/67/EG van het Europees Parlement en de Raad van 15 december 1997 betreffende gemeenschappelijke regels voor de ontwikkeling van de interne markt voor postdiensten in de Gemeenschap en de verbetering van de kwaliteit van de dienst (PbEG 1998, L 15);
- richtlijn (EU) 2016/943: Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PbEU 2016, L 157);
- ruimtevoorwerp: ruimtevoorwerp als bedoeld in artikel 1 van de Wet ruimtevaartactiviteiten;
- zone: logische of fysieke groep van systemen, apparaten of processen met vergelijkbare beveiligingsvereisten.
Artikel 2. Reikwijdte
De hoofdstukken 2 en 3 zijn van toepassing op essentiële entiteiten en belangrijke entiteiten die behoren tot een of meer van de volgende sectoren of subsectoren:
| Sector | Subsector | Soorten entiteiten |
|---|---|---|
| Digitale infrastructuur | Aanbieders van internetknooppunten Aanbieders van openbare elektronische communicatienetwerken Aanbieders van openbare elektronische communicatiediensten | |
| Onderzoek | Onderzoeksorganisaties met als hoofddoel het verrichten van toegepast onderzoek of experimentele ontwikkeling met het oog op de exploitatie van de resultaten van dat onderzoek voor commerciële doeleinden, met uitsluiting van onderwijsinstellingen, ten aanzien waarvan de Minister ingevolge artikel 15, vierde lid, van de wet de bevoegde autoriteit is | |
| Ruimtevaart | Operators van grondfaciliteiten die in het bezit zijn van of beheerd of geëxploiteerd worden door de lidstaten van de Europese Unie of door particuliere partijen en die de verlening van vanuit de ruimte opererende diensten ondersteunen, met uitzondering van aanbieders van openbare elektronische communicatienetwerken | |
| Post- en koeriersdiensten | Aanbieders van postdiensten als bedoeld in artikel 2, onderdeel 1 bis, van Richtlijn 97/67/EG1, met inbegrip van aanbieders van koeriersdiensten, voor zover zij ten minste een van de stappen in de postbestelketen verzorgen, met name het ophalen, sorteren, vervoeren en bestellen van postzendingen, met inbegrip van de ophaaldiensten, waarbij rekening moet worden gehouden met de mate waarin zij afhankelijk zijn van netwerk- en informatiesystemen. Uitgezonderd zijn vervoersdiensten die niet in samenhang met een van die stappen worden ondernomen | |
| Vervaardiging | vervaardiging van informaticaproducten en van elektronische en optische producten | Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 26, van NACE Rev. 2 |
| Vervaardiging | vervaardiging van elektrische apparatuur | Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 27, van NACE Rev. 2 |
| Vervaardiging | vervaardiging van machines, apparaten en werktuigen, niet elders geclassificeerd | Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 28, van NACE Rev. 2 |
| Vervaardiging | vervaardiging van motorvoertuigen, aanhangers en opleggers | Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 29, van NACE Rev. 2 |
| Vervaardiging | vervaardiging van andere transportmiddelen | Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 30, van NACE Rev. 2 |
Hoofdstuk 2. Nadere regels zorgplicht
Artikel 3. Beleid over beveiliging van netwerk- en informatiesystemen
Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:
- a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;
- b. de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;
- c. wanneer de monitoring en de meting moeten worden uitgevoerd;
- d. wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;
- e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;
- f. wie is belast met het analyseren en evalueren van deze resultaten.
Artikel 4. Bedrijfscontinuïteit
De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens:
- a. hersteltijden;
- b. herstelpunten;
- c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups;
- d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;
- e. waarborgen voor herstel van software en gegevens uit back-ups;
- f. bewaartermijnen.
Het bedrijfscontinuïteitsplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit, en omvat in ieder geval:
- a. doel en reikwijdte;
- b. taken en verantwoordelijkheden;
- c. belangrijkste contacten en interne en externe communicatiekanalen;
- d. voorwaarden voor activering en de-activering van het bedrijfscontinuïteitsplan;
- e. vereiste middelen, met inbegrip van back-ups en redundanties;
- f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.
Artikel 5. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen
De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben tevens betrekking op de processen en procedures inzake:
- a. beveiligingstesten;
- b. beveiligingspatchbeheer.
De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat beveiligingspatches:
- a. waar passend, afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;
- b. waar passend, worden getest voordat zij in productiesystemen worden toegepast;
- c. worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment worden toegepast en dit documenteert.
Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet:
- a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;
- b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit op haar netwerk- en informatiesystemen en legt zij de resultaten van deze scans vast;
- c. evalueert de essentiële entiteit of belangrijke entiteit structureel haar blootstelling aan relevante kwetsbaarheden en dreigingen waar zij kennis van heeft ten aanzien van haar netwerk- en informatiesystemen, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;
- d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment wordt verholpen en dit documenteert.
Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit:
- a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;
- b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
Artikel 6. Beveiligingsaspecten ten aanzien van toegangsbeleid
Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts.
Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat:
- a. sterke identificatie-, authenticatie- en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;
- b. voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;
- c. voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.
Hoofdstuk 3. Criteria meldplicht
Artikel 7. Algemene criteria significant incident
Voor de toepassing van artikel 25, tweede lid, van de wet is een incident in ieder geval een significant incident als:
- a. het de dood van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken; of
- b. het aanzienlijke schade aan de gezondheid van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken.
Een incident is tevens een significant incident als het voldoet aan een of meer criteria, bedoeld in de artikelen 8 tot en met 13.
In afwijking van het tweede lid is een incident niet significant als het incident het gevolg is van gepland onderhoud dat door of namens de essentiële entiteit of belangrijke entiteit wordt uitgevoerd, voor zover de onderbreking, opschorting of beëindiging van een door de essentiële entiteit of belangrijke entiteit verleende dienst een voorzien gevolg is van dat onderhoud.
Artikel 8. Criteria significant incident bij aanbieder van een openbaar elektronisch communicatienetwerk of aanbieder van een openbare elektronische communicatiedienst
Voor een essentiële entiteit of een belangrijke entiteit die aanbieder is van een openbaar elektronisch communicatienetwerk of van een openbare elektronische communicatiedienst, is een incident in ieder geval een significant incident als:
- a. bij een onderbreking van de levering van een openbare elektronische communicatiedienst ten minste 50.000 gebruikers zijn getroffen voor een duur van vier uur of langer;
- b. de integriteit, vertrouwelijkheid of authenticiteit van gegevens die in verband met de dienstverlening van het openbare elektronische communicatienetwerk of de openbare elektronische communicatiedienst worden opgeslagen, verzonden of verwerkt, is aangetast, met gevolgen voor ten minste 1% van de gebruikers van het openbare elektronische communicatienetwerk of de openbare elektronische communicatiedienst, met een minimum van 10.000 gebruikers; of
- c. het alarmnummer niet beschikbaar is.
Artikel 9. Criteria significant incident bij aanbieder van een internetknooppunt
Voor een essentiële entiteit of een belangrijke entiteit die aanbieder is van een internetknooppunt, is een incident in ieder geval een significant incident als:
- a. ten minste 25% van het actuele totale verkeer dat door het internetknooppunt wordt verwerkt, gemeten in datavolume in bits per seconde, gedurende ten minste 30 minuten is uitgevallen; of
- b. de integriteit, vertrouwelijkheid of authenticiteit van gegevens die in verband met de dienstverlening van het internetknooppunt worden opgeslagen, verzonden of verwerkt, is aangetast, met gevolgen voor meer dan 5% van de gebruikers.
Artikel 10. Criteria significant incident in de sector ruimtevaart
Voor een essentiële entiteit of een belangrijke entiteit in de sector ruimtevaart is een incident in ieder geval een significant incident als de integriteit, authenticiteit, beschikbaarheid of vertrouwelijkheid van gegevens die noodzakelijk zijn voor telemetrie, tracking of commandovoering van een ruimtevoorwerp is aangetast tijdens een tijdvak waarin volgens de reguliere operationele planning communicatie met dat ruimtevoorwerp mogelijk en voorzien is, waardoor een risico ontstaat voor de besturing of het behoud van dat ruimtevoorwerp.
Artikel 11. Criteria significant incident in de sector post- en koerierdiensten
Voor een essentiële entiteit of een belangrijke entiteit in de sector post- en koerierdiensten is een incident in ieder geval een significant incident als:
- a. ten minste 30% van de ontvangers van de post- en koerierdienst hun postzending ten minste twee bezorgdagen later ontvangt dan op grond van wettelijke of contractuele verplichtingen zou moeten; of
- b. de integriteit, vertrouwelijkheid of authenticiteit van digitale gegevens die in verband met haar dienstverlening worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor persoonsgegevens en adresgegevens onrechtmatig worden verwerkt of het briefgeheim wordt geschonden.
Artikel 12. Criteria significant incident in de sector vervaardiging
Voor een essentiële entiteit of een belangrijke entiteit in de sector vervaardiging is een incident in ieder geval een significant incident als:
- a. veiligheidsfuncties zijn verloren gegaan;
- b. de beschikbaarheid of integriteit van essentiële besturings- of monitoringsfuncties is verloren gegaan;
- c. de continuïteit van het productieproces in gevaar is gekomen of kan komen;
- d. milieuschade als bedoeld in artikel 17.6, eerste lid, van de Wet milieubeheer is opgetreden; of
- e. ongeoorloofde toegang tot een industrie-specifiek netwerk- en informatiesysteem heeft plaatsgevonden en zich naar meerdere zones of omgevingen heeft verspreid.
Artikel 13. Criteria significant incident in de sector onderzoek
Voor een essentiële entiteit of een belangrijke entiteit in de sector onderzoek als bedoeld in bijlage 2 bij de wet, ten aanzien waarvan de Minister ingevolge artikel 15, vierde lid, van de wet de bevoegde autoriteit is, is een incident in ieder geval een significant incident als:
- a. het incident heeft geleid of kan leiden tot de ongeoorloofde openbaarmaking van bedrijfsgeheimen als bedoeld in artikel 2, eerste lid, van Richtlijn (EU) 2016/943 van de essentiële entiteit of belangrijke entiteit; of
- b. de integriteit, vertrouwelijkheid of authenticiteit van onderzoeksgegevens die in verband met het verrichte onderzoek worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor aanzienlijke materiële of immateriële schade ontstaat bij andere entiteiten.
Hoofdstuk 4. Overige en slotbepalingen
Artikel 14. Aanwijzing autoriteiten
De volgende autoriteiten zijn aangewezen als autoriteiten als bedoeld in artikel 51, tweede lid, onderdeel i, van de wet:
- a. de Minister van Economische Zaken en Klimaat, uit hoofde van de Wet ruimtevaartactiviteiten;
- b. de Minister van Economische Zaken en Klimaat, uit hoofde van Verordening (EU) 2019/881;
- c. de Minister van Economische Zaken en Klimaat, uit hoofde van Verordening (EU) 2024/2847;
- d. de Minister van Economische Zaken en Klimaat, uit hoofde van de Telecommunicatiewet;
- e. de Autoriteit Consument en Markt, uit hoofde van de Postwet 2009.
Artikel 15. Intrekking Regeling aanwijzing aanbieders essentiële diensten EZK
De Regeling aanwijzing aanbieders essentiële diensten EZK wordt ingetrokken.
Artikel 16. Inwerkingtreding
Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet) (Kamerstukken 36 764) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.
Artikel 17. Citeertitel
Deze regeling wordt aangehaald als: Regeling cyberbeveiliging EZK.
Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.
De raadpleging van dit document komt niet in de plaats van het lezen van het oorspronkelijke Staatsblad of de Staatscourant. Wij aanvaarden geen aansprakelijkheid voor eventuele onnauwkeurigheden die voortvloeien uit de omzetting van het origineel naar dit formaat.
Deze tekst wordt gepubliceerd onder de eigen hergebruiksvoorwaarden van BWB, niet onder een licentie van Legalize of van het publieke domein.
BWB
CC0 1.0 Universeel (publiek domein)