Regeling van de Minister van Klimaat en Groene Groei van 27 juni 2026, nr. WJZ/103641412, houdende nadere regels over cyberbeveiliging en de weerbaarheid van kritieke entiteiten in de energiesector (Regeling cyberbeveiliging en weerbaarheid kritieke entiteiten energiesector) [KetenID WGK 28195]

Gelet op artikel 7, eerste lid, van de Wet weerbaarheid kritieke entiteiten, artikel 15, tweede lid, van het Besluit weerbaarheid kritieke entiteiten en de artikelen 19, 23, eerste lid, en 28 van het Cyberbeveiligingsbesluit;

Gezien het overleg met de Minister van Justitie en Veiligheid;

Besluit:

Treedt in werking op het tijdstip waarop de Wet weerbaarheid kritieke entiteiten in werking treedt.

Hoofdstuk 1. Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect

Paragraaf 1.1. Algemene bepalingen

Artikel 1. begripsbepalingen

In dit hoofdstiuk wordt verstaan onder:

• besluit: Besluit weerbaarheid kritieke entiteiten;

• COVA: COVA als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012;

• day-aheadkoppeling: eenvormige day-aheadkoppeling als bedoeld in artikel 2, punt 26, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

• distributiesysteembeheerder voor elektriciteit: distributiesysteembeheerder voor elektriciteit als bedoeld in artikel 1.1 van de Energiewet;

• distributiesysteembeheerder voor gas: distributiesysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

• eindafnemer: eindafnemer als bedoeld in artikel 1.1 van de Energiewet;

• elektriciteitsmarktbeheerder: benoemde elektriciteitsmarktbeheerder als bedoeld in artikel 2, punt 8, van verordening (EU) 2019/943 van het Europees parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (herschikking) (PbEU 2019, L 158);

• gas: gas als bedoeld in artikel 1.1 van de Energiewet;

• gasopslagbeheerder: gasopslagbeheerder als bedoeld in artikel 1.1 van de Energiewet;

• gasopslagsysteem: gasopslagsysteem als bedoeld in artikel 1.1 van de Energiewet;

• gasproductienet: gasproductienet als bedoeld in artikel 1.1 van de Energiewet;

• interconnectorsysteembeheerder voor elektriciteit: interconnectorsysteembeheerder voor elektriciteit als bedoeld in artikel 1.1 van de Energiewet;

• interconnectorsysteembeheerder voor gas: interconnectorsysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

• interconnectorsysteem voor gas: interconnectorsysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

• intradaykoppeling: eenvormige intradaykoppeling als bedoeld in artikel 2, punt 27, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

• invoeder: invoeder als bedoeld in artikel 1.1 van de Energiewet;

• LNG-beheerder: LNG-beheerder als bedoeld in artikel 1.1 van de Energiewet;

• LNG-systeem: LNG-systeem als bedoeld in artikel 1.1 van de Energiewet;

• marktdeelnemer: marktdeelnemer als bedoeld in artikel 1.1 van de Energiewet;

• opslag van olie en olieproducten: opslag van aardolie en oliehoudende producten in een daarvoor bestemde voorziening;

• transmissiesysteem voor gas: transmissiesysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

• transmissiesysteembeheerder voor gas: transmissiesysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

• wet: Wet weerbaarheid kritieke entiteiten;

• wettelijke olievoorraad: wettelijke voorraad als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012.

Artikel 2. aanwijzing categorieën van entiteiten

De volgende categorieën van entiteiten zijn aangewezen als bedoeld in artikel 7, eerste lid, van de wet:

• a. interconnectorsysteembeheerder voor elektriciteit, behorende tot de subsector elektrictiteit en de sector energie;

• b. interconnectorsysteembeheerder voor gas, behorende tot de subsector gas en de sector energie.

Artikel 3. reikwijdte

Dit hoofdstuk is van toepassing op:

• a. kritieke entiteiten als bedoeld in artikel 6 van de wet die binnen de sector energie behoren tot de subsectoren:

• 1°. elektriciteit;

• 2°. gas;

• 3°. olie;

• b. kritieke entiteiten die onderdeel zijn van een aangewezen categorie als bedoeld in artikel 2.

Paragraaf 1.2. Criteria aanzienlijke verstoring voor de subsector elektriciteit

Artikel 4. transmissiesysteembeheerder, interconnectorsysteembeheerder en distributiesysteembeheerder voor elektriciteit

Voor een kritieke entiteit die transmissiesysteembeheerder voor elektriciteit, distributiesysteembeheerder voor elektriciteit of interconnectorsysteembeheerder voor elektriciteit is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de transmissie of distributie van elektriciteit van ten minste 100 MW geaggregeerd vermogen.

Artikel 5. elektriciteitsproducent en marktdeelnemer

Voor een kritieke entiteit die elektriciteitsproducent of marktdeelnemer is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor het beschikbaar geaggregeerd vermogen van ten minste 100 MW.

Artikel 6. elektriciteitsmarktbeheerder

Voor een kritieke entiteit die elektriciteitsmarktbeheerder is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor het tijdig kunnen plaatsvinden van de day-ahead- of intradaykoppeling of aantasting van de integriteit daarvan bij een elektriciteitsmarktbeheerder.

Paragraaf 1.3. Criteria aanzienlijke verstoring voor de subsector gas

Artikel 7. distributiesysteembeheerder voor gas

Voor een kritieke entiteit die distributiesysteembeheerder voor gas is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de distributie van gas voor ten minste 20.000 eindafnemers.

Artikel 8. transmissiesysteembeheerder voor gas

Voor een kritieke entiteit die transmissiesysteembeheerder voor gas is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van het transmissiesysteem voor gas.

Artikel 9. interconnectorsysteembeheerder voor gas

Voor een kritieke entiteit die interconnectorsysteembeheerder voor gas is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van het interconnectorsysteem voor gas.

Artikel 10. LNG-beheerder

Voor een kritieke entiteit die LNG-beheerder is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de invoeding van gas van ten minste 150 GWh per dag in het transmissiesysteem voor gas vanuit een LNG-systeem.

Artikel 11. gasopslagbeheerder

Voor een kritieke entiteit die gasopslagbeheerder is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de injectie, productie en opslag van gas, waaronder de onttrekking uit en invoeding in het transmissiesysteem voor gas, van ten minste 150 GWh per dag.

Artikel 12. gasopslagbeheerder van seizoensopslagen

Voor een kritieke entiteit die gasopslagbeheerder van seizoensopslagen is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van het gasopslagsysteem, inclusief de injectie, productie en opslag van gas.

Artikel 13. aardgasbedrijf dat een gasproductienet beheert

Voor een kritieke entiteit die beheerder van een gasproductienet is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van de productie, behandeling of invoeding van gas in het transmissiesysteem voor gas.

Paragraaf 1.4. Criteria aanzienlijke verstoring voor de subsector olie

Artikel 14. exploitant van oliepijpleidingen

Voor een kritieke entiteit die exploitant van oliepijpleidingen is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor het transport van olie of olieproducten via leidingen, dat voor ten minste 24 uur verstoord is.

Artikel 15. exploitant van de voorziening voor de raffinage en behandeling van olie

Voor een kritieke entiteit die exploitant is van de voorziening voor de raffinage en behandeling van olie, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de raffinage en behandeling van olie, die voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 250.000 vaten per dag.

Artikel 16. exploitant van de voorziening voor de opslag van olie of olieproducten

Voor een kritieke entiteit die exploitant is van de voorziening voor de opslag van olie of olieproducten, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de opslag van olie of olieproducten, die voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 100.000 m3 olie of olieproducten.

Artikel 17. exploitant van de voorziening voor de opslag van olie of olieproducten die voorraadplichtig is

Voor een kritieke entiteit die exploitant is van een voorziening voor de opslag van olie of olieproducten en voorraadplichtig is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring leidt of kan leiden tot het niet beschikbaar zijn van de wettelijke olievoorraad voor een periode van ten minste 72 uur.

Artikel 18. COVA

Voor COVA is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien:

• a. de verstoring leidt of kan leiden tot het niet beschikbaar zijn van de wettelijke olievoorraden voor een periode van ten minste 72 uur; of

• b. de verstoring andere gevolgen heeft of kan hebben voor het beheer van de wettelijke olievoorraden.

Paragraaf 1.5. Geplande onderbreking

Artikel 19. geplande onderbreking

In afwijking van de artikelen 3 tot en met 18 is een verstoring niet aanzienlijk, indien de verstoring het gevolg is van een voorziene of geplande onderbreking, opschorting of beëindiging van een door de kritieke entiteit verleende essentiële dienst.

Hoofdstuk 2. Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten

Paragraaf 2.1. Algemene bepalingen

Artikel 20. begripsbepalingen

In dit hoofdstuk wordt verstaan onder:

• besluit: Cyberbeveiligingsbesluit;

• COVA: COVA als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012;

• day-aheadkoppeling: eenvormige day-aheadkoppeling als bedoeld in artikel 2, punt 26, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

• distributiesysteem voor gas: distributiesysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

• eindafnemer: eindafnemer als bedoeld in artikel 1.1 van de Energiewet;

• elektriciteitsbedrijf: elektriciteitsbedrijf als bedoeld in artikel 2,onderdeel 57, van Richtlijn (EU) 2019/9441 van het Europees parlement en de Raad van 5 juni 2019 betreffende gemeenschappelijke regels voor de interne markt voor elektriciteit en tot wijziging van Richtlijn 2012/27/EU (herschikking) (PbEU 2019, L 158);

• elektriciteitsmarktbeheerder: benoemde elektriciteitsmarktbeheerder als bedoeld in artikel 2, punt 8, van verordening (EU) 2019/943 van het Europees parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (herschikking) (PbEU 2019, L 158);

• exploitant van een laadpunt: exploitant van een laadpunt als bedoeld in artikel 2, punt 39, van Verordening (EU) 2023/1804 van het Europees parlement en de Raad van 13 september 2023 betreffende de uitrol van infrastructuur voor alternatieve brandstoffen en tot intrekking van Richtlijn 2014/94/EU;

• gas: gas als bedoeld in artikel 1.1 van de Energiewet;

• gasopslagbeheerder: gasopslagbeheerder als bedoeld in artikel 1.1 van de Energiewet;

• gasopslagsysteem: gasopslagsysteem als bedoeld in artikel 1.1 van de Energiewet;

• gasproductienet: gasproductienet als bedoeld in artikel 1.1 van de Energiewet;

• invoeder: invoeder als bedoeld in artikel 1.1 van de Energiewet;

• interconnectorsysteembeheerder voor elektriciteit: interconnectorsysteembeheerder voor elektriciteit als bedoeld in artikel 1.1 van de Energiewet;

• interconnectorsysteembeheerder voor gas: interconnectorsysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

• interconnectorsysteem voor gas: interconnectorsysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

• intradaykoppeling: eenvormige intradaykoppeling als bedoeld in artikel 2, punt 27, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

• leverancier: leverancier als bedoeld in artikel 1.1 van de Energiewet;LNG-beheerder: LNG-beheerder als bedoeld in artikel 1.1 van de Energiewet;

• LNG-systeem: LNG-systeem als bedoeld in artikel 1.1 van de Energiewet;

• marktdeelnemer: marktdeelnemer als bedoeld in artikel 1.1 van de Energiewet;

• opslag van olie en olieproducten: opslag van aardolie en oliehoudende producten in een daarvoor bestemde voorziening;

• transmissiesysteem voor gas: transmissiesysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

• warmte: warmte als bedoeld in artikel 1, eerste lid, van de Warmtewet;

• wet: Cyberbeveiligingswet;

• wettelijke olievoorraden: wettelijke voorraad als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012.

Artikel 21. reikwijdte

Dit hoofdstuk is van toepassing op essentiële entiteiten en belangrijke entiteiten die binnen de sector energie behoren tot de subsectoren:

• a. elektriciteit;

• b. stadsverwarming en stadskoeling;

• c. aardolie;

• d. aardgas;

• e. waterstof.

Paragraaf 2.2. Criteria ernstige operationele verstoring voor de subsector elektriciteit

Artikel 22. transmissiesysteembeheerder, interconnectorsysteembeheerder en distributiesysteembeheerder voor elektriciteit

Voor een essentiële entiteit en een belangrijke entiteit die transmissiesysteembeheerder voor elektriciteit, distributiesysteembeheerder voor elektriciteit of interconnectorsysteembeheerder voor elektriciteit is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor de transmissie of distributie van elektriciteit van ten minste 100 MW geaggregeerd vermogen.

Artikel 23. elektriciteitsproducent en marktdeelnemer

Voor een essentiële entiteit en een belangrijke entiteit die elektriciteitsproducent of marktdeelnemer is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor het beschikbaar geaggregeerd vermogen van ten minste 100 MW.

Artikel 24. exploitant van een laadpunt

Voor een essentiële entiteit en een belangrijke entiteit die een exploitant van een laadpunt is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor het beschikbaar geaggregeerd vermogen van ten minste 100 MW.

Artikel 25. elektriciteitsmarktbeheerder

Voor een essentiële entiteit en een belangrijke entiteit die elektriciteitsmarktbeheerder is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor het tijdig kunnen plaatsvinden van de day-ahead- of intradaykoppeling of aantasting van de integriteit daarvan bij een elektriciteitsmarktbeheerder.

Artikel 26. leverancier van elektriciteit

Voor een essentiële entiteit en een belangrijke entiteit die leverancier is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor de uitvoering van de contractuele kernverplichtingen voor ten minste 20.000 eindafnemers van elektriciteit.

Paragraaf 2.3. Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 27. distributiesysteembeheerder voor gas

Voor een essentiële entiteit en belangrijke entiteit die distributiesysteembeheerder voor gas is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de distributie van gas voor ten minste 20.000 eindafnemers.

Artikel 28. transmissiesysteembeheerder voor gas

Voor een essentiële entiteit en een belangrijke entiteit die transmissiesysteembeheerder voor gas is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van het transmissiesysteem voor gas.

Artikel 29. interconnectorsysteembeheerder voor gas

Voor een essentiële entiteit en een belangrijke entiteit die interconnectorsysteembeheerder voor gas is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van het interconnectorsysteem voor gas.

Artikel 30. LNG-beheerder

Voor een essentiële entiteit en een belangrijke entiteit die LNG-beheerder is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan gevolgen hebben voor de invoeding van gas van ten minste 150 GWh per dag in het transmissiesysteem voor gas vanuit een LNG-systeem.

Artikel 31. gasopslagbeheerder

Voor een essentiële entiteit en een belangrijke entiteit die gasopslagbeheerder is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de injectie, productie en opslag van gas, waaronder de onttrekking uit en invoeding in het transmissiesysteem voor gas, van ten minste 150 GWh per dag.

Artikel 32. gasopslagbeheerder van seizoensopslagen

Voor een essentiële entiteit en een belangrijke entiteit die gasopslagbeheerder van seizoensopslagen is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van het gasopslagsysteem, inclusief de injectie, productie en opslag van gas.

Artikel 33. aardgasbedrijf dat een gasproductienet beheert

Voor een essentiële entiteit en een belangrijke entiteit die beheerder van het gasproductienet is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van de productie, behandeling of invoeding van gas in het transmissiesysteem voor gas.

Artikel 34. leverancier van gas

Voor een essentiële entiteit en een belangrijke entiteit die leverancier, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de uitvoering van de contractuele kernverplichtingen voor ten minste 20.000 eindafnemers van gas.

Paragraaf 2.4. Criteria ernstige operationele verstoring voor de subsector aardolie

Artikel 35. exploitant van oliepijpleidingen

Voor een essentiële entiteit en een belangrijke entiteit die exploitant van oliepijpleidingen is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor het transport van olie of olieproducten via leidingen, dat voor ten minste 24 uur verstoord is.

Artikel 36. exploitant van een voorziening voor de raffinage en behandeling van olie

Voor een essentiële entiteit en een belangrijke entiteit die exploitant is van een voorziening voor de raffinage en behandeling van olie, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de raffinage en behandeling van olie, dat voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 250.000 vaten per dag.

Artikel 37. exploitant van een voorziening voor de opslag van olie of olieproducten

Voor een essentiële entiteit en een belangrijke entiteit die exploitant is van een voorziening voor de opslag van olie of olieproducten, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de opslag van olie of olieproducten, dat voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 100.000 m3 olie of olieproducten.

Artikel 38. exploitant van de voorziening voor de opslag van olie of olieproducten die voorraadplichtig is

Voor een essentiële entiteit en een belangrijke entiteit die exploitant is van de voorziening voor de opslag van olie of olieproducten en voorraadplichtig, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident tot gevolg heeft of kan hebben dat wettelijke olievoorraden voor een periode van ten minste 72 uur niet beschikbaar zijn.

Artikel 39. COVA

Voor COVA is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien:

• a. het incident tot gevolg heeft of kan hebben dat wettelijke olievoorraden voor een periode van ten minste 72 uur niet beschikbaar zijn;

• b. het incident gevolgen heeft of kan hebben voor het beheer van de wettelijke olievoorraden.

Paragraaf 2.5. Criteria ernstige operationele verstoring voor de subsector stadsverwarming en stadskoeling

Artikel 40. exploitant van stadsverwarming of stadskoeling

Voor een essentiële entiteiten en een belangrijke entiteit die exploitant van stadsverwarming of stadskoeling is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het voldoet aan één of meer van de volgende criteria:

• a. het incident gevolgen heeft of kan hebben voor de productie van warmte of koude van ten minste 20 MW vermogen;

• b. het incident gevolgen heeft of kan hebben voor de levering van warmte of koude voor ten minste 20.000 afnemers.

Paragraaf 2.6. Geplande onderbreking

Artikel 41. geplande onderbreking

In afwijking van de artikelen 22 tot en met 40 is een operationele verstoring niet ernstig, indien de verstoring het gevolg is van een voorziene of geplande onderbreking, opschorting of beëindiging van een door de verleende essentiële of belangrijke entiteit verleende essentiële of belangrijke dienst.

Paragraaf 2.7. Nadere regels zorgplicht

Artikel 42. beleid over beveiliging van netwerk- en informatiesystemen

Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:

• a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;

• b. de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;

• c. wanneer de monitoring en de meting moeten worden uitgevoerd;

• d. wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;

• e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;

• f. wie is belast met het analyseren en evalueren van deze resultaten.

Artikel 43. bedrijfscontinuïteit

• a. hersteltijden;

• b. herstelpunten;

• c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups;

• d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;

• e. waarborgen voor herstel van software en gegevens uit back-ups;

• f. bewaartermijnen.

• a. doel en reikwijdte;

• b. taken en verantwoordelijkheden;

• c. belangrijkste contacten en interne en externe communicatiekanalen;

• d. voorwaarden voor activering en de-activering van het bedrijfscontinuïteitsplan;

• e. vereiste middelen, met inbegrip van back-ups en redundanties;

• f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.

Artikel 44. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen

• a. beveiligingstesten;

• b. beveiligingspatchbeheer.

• a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;

• b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;

• c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.

• a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;

• b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit op haar netwerk- en informatiesystemen en legt zij de resultaten van deze scans vast;

• c. evalueert de essentiële entiteit of belangrijke entiteit structureel haar blootstelling aan relevante kwetsbaarheden en dreigingen waar ze kennis van heeft ten aanzien van haar netwerk- en informatiesystemen, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;

• d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.

• a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;

• b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.

Artikel 45. beveiligingsaspecten ten aanzien van toegangsbeleid

• a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;

• b. voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;

• c. voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.

Paragraaf 2.8. Aanwijzing autoriteiten

Artikel 46. aanwijzing autoriteiten

De volgende autoriteiten zijn aangewezen als autoriteit als bedoeld in artikel 51, tweede lid, onderdeel i, van de wet en artikel 28 van het besluit:

• a. de Autoriteit Nucleaire Veiligheid en Stralingsbescherming, genoemd in artikel 3, eerste lid, van de Kernenergiewet, voor de taken uit hoofde van die wet;

• b. de Minister van Klimaat en Groene Groei, voor de taken uit hoofde van de Energiewet en de Mijnbouwwet;

• c. de Autoriteit Consument en Markt, genoemd in artikel 2, eerste lid, van de Instellingswet Autoriteit Consument en Markt, voor de taken uit hoofde van de Energiewet en de Warmtewet.

Hoofdstuk 3. Slotbepalingen

Artikel 47. inwerkingtreding

Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritieke entiteiten) (Kamerstukken 36 765) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.

Artikel 48. citeertitel

Deze regeling wordt aangehaald als: Regeling cyberbeveiliging en weerbaarheid kritieke entiteiten energiesector.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.