LegalizeRegeling van de Staatssecretaris van Landbouw, Visserij, Voedselzekerheid en Natuur van 16 juli 2026, nr. WJZ/107402891, houdende nadere regels over cyberbeveiliging voor essentiële en belangrijke entiteiten in de LVVN-sectoren (Regeling cyberbeveiliging LVVN) [KetenID WGK28488]
Gelet op de artikelen 19, 23, eerste lid, en 28 van het Cyberbeveiligingsbesluit;
Besluit:
Treedt in werking op het tijdstip waarop de Cyberbeveiligingswet in werking treedt.
Artikel 1. Begripsbepalingen
In deze regeling wordt verstaan onder:
- –. besluit: Cyberbeveiligingsbesluit;
- –. levensmiddelenbedrijven: levensmiddelenbedrijven als bedoeld in artikel 3, punt 2, van Verordening (EG) nr. 178/2002 van het Europees Parlement en de Raad tot vaststelling van de algemene beginselen en voorschriften van de levensmiddelenwetgeving, tot oprichting van een Europese Autoriteit voor voedselveiligheid en tot vaststelling van procedures voor voedselveiligheidsaangelegenheden (PbEG L 31) die zich bezighouden met groothandel en industriële productie en verwerking;
- –. Minister: minister van Landbouw, Visserij, Voedselzekerheid en Natuur;
- –. zone: een afgebakende groep van netwerk- en informatiesystemen.
Artikel 2. Reikwijdte
Deze regeling is van toepassing op essentiële en belangrijke entiteiten in de sectoren:
- a. productie, verwerking en distributie van levensmiddelen, genoemd in bijlage 2 van de wet;
- b. onderzoek, met als hoofddoel het verrichten van toegepast onderzoek of experimentele ontwikkeling met het oog op de exploitatie van de resultaten van dat onderzoek voor commerciële doeleinden, met uitsluiting van onderwijsinstellingen, ten aanzien waarvan de minister ingevolge artikel 15, vierde lid, van de wet de bevoegde autoriteit is.
Artikel 3. Beleid over beveiliging van netwerk- en informatiesystemen
Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:
- a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;
- b. de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;
- c. wanneer de monitoring en de meting moeten worden uitgevoerd;
- d. wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;
- e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;
- f. wie is belast met het analyseren en evalueren van deze resultaten.
Artikel 4. Bedrijfscontinuïteit
De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens:
- a. hersteltijden;
- b. herstelpunten;
- c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups;
- d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;
- e. waarborgen voor herstel van software en gegevens uit back-ups;
- f. bewaartermijnen.
Het bedrijfscontinuïteitsplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit, en omvat in ieder geval:
- a. doel en reikwijdte;
- b. taken en verantwoordelijkheden;
- c. belangrijkste contacten en interne en externe communicatiekanalen;
- d. voorwaarden voor activering en de-activering van het bedrijfscontinuïteitsplan;
- e. vereiste middelen, met inbegrip van back-ups en redundanties;
- f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.
Artikel 5. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen
De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben tevens betrekking op de processen en procedures inzake:
- a. beveiligingstesten;
- b. beveiligingspatchbeheer.
De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat beveiligingspatches:
- a. waar passend, afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;
- b. waar passend, worden getest voordat zij in productiesystemen worden toegepast;
- c. worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment worden toegepast en dit documenteert.
Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet:
- a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;
- b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit op haar netwerk- en informatiesystemen en legt zij de resultaten van deze scans vast;
- c. evalueert de essentiële entiteit of belangrijke entiteit structureel haar blootstelling aan relevante kwetsbaarheden en dreigingen waar zij kennis van heeft ten aanzien van haar netwerk- en informatiesystemen, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;
- d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment wordt verholpen en dit documenteert.
Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit:
- a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;
- b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
Artikel 6. Beveiligingsaspecten ten aanzien van toegangsbeleid
Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts.
Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat:
- a. sterke identificatie-, authenticatie- en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;
- b. voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;
- c. voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.
Artikel 7. Criteria significant incident in de levensmiddelensector
Voor een essentiële entiteit of een belangrijke entiteit die levensmiddelenbedrijf is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien deze voldoet aan een of meer van de volgende criteria:
- a. de productie, verwerking of distributie van levensmiddelen gedurende ten minste 24 uur gedeeltelijk onderbroken is;
- b. ten minste 50% van de productie, verwerking of distributie van levensmiddelen gedurende ten minste 12 uur onderbroken is; of
- c. de productie, verwerking of distributie van levensmiddelen gedurende ten minste zes uur geheel onderbroken is.
In afwijking van het eerste lid is een geplande dienstonderbreking of een ander voorzien gevolg van onderhoudswerkzaamheden die door of namens een essentiële entiteit of een belangrijke entiteit worden uitgevoerd, geen ernstige operationele verstoring.
Voor een essentiële entiteit of een belangrijke entiteit die levensmiddelenbedrijf is, is materiële of immateriële schade aanzienlijk als bedoeld in artikel 25, tweede lid, onderdeel b, van de wet, indien deze voldoet aan een of meer van de volgende criteria:
- a. het incident heeft de dood van een of meer natuurlijke personen veroorzaakt of kan die veroorzaken;
- b. het incident heeft aanzienlijke schade aan de gezondheid van een of meer natuurlijke personen veroorzaakt of kan die veroorzaken;
- c. de integriteit, de vertrouwelijkheid of de authenticiteit van gegevens die in verband met de dienst of levensmiddelen die de essentiële entiteit of belangrijke entiteit verleent of onderscheidenlijk produceert, verwerkt of distribueert, worden opgeslagen, verzonden of verwerkt, is aangetast; of
- d. sprake is van een succesvolle, vermoedelijk kwaadwillige en ongeoorloofde toegang tot de netwerk- en informatiesystemen van de essentiële entiteit of belangrijke entiteit.
Artikel 8. Criteria significant incident in de sector onderzoek
Voor een essentiële entiteit of een belangrijke entiteit in de sector onderzoek als bedoeld in bijlage 2 bij de wet, ten aanzien waarvan de minister ingevolge artikel 15, vierde lid, van de wet de bevoegde autoriteit is, is een incident in ieder geval een significant incident als:
- a. het incident heeft geleid of kan leiden tot de ongeoorloofde openbaarmaking van bedrijfsgeheimen als bedoeld in artikel 2, eerste lid, van Richtlijn (EU) 2016/943 van de essentiële entiteit of belangrijke entiteit; of
- b. de integriteit, vertrouwelijkheid of authenticiteit van onderzoeksgegevens die in verband met het verrichte onderzoek worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor aanzienlijke materiële of immateriële schade ontstaat bij andere entiteiten.
Artikel 9. Aanwijzing bevoegde autoriteiten
De volgende autoriteiten zijn aangewezen als autoriteit als bedoeld in artikel 51, tweede lid, onderdeel i, van de wet:
- a. de Minister van Landbouw, Visserij, Voedselzekerheid en Natuur voor de taken uit hoofde van de Wet dieren;
- b. de Minister van Volksgezondheid, Welzijn en Sport voor de taken uit hoofde van de Warenwet.
Artikel 10. Inwerkingtreding
Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet) (Kamerstukken 36 764) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.
Artikel 11. Citeertitel
Deze regeling wordt aangehaald als: Regeling cyberbeveiliging LVVN.
Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.
De raadpleging van dit document komt niet in de plaats van het lezen van het oorspronkelijke Staatsblad of de Staatscourant. Wij aanvaarden geen aansprakelijkheid voor eventuele onnauwkeurigheden die voortvloeien uit de omzetting van het origineel naar dit formaat.
Deze tekst wordt gepubliceerd onder de eigen hergebruiksvoorwaarden van BWB, niet onder een licentie van Legalize of van het publieke domein.
BWB
CC0 1.0 Universeel (publiek domein)