Cyberbeveiligingswet

De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn. De uitwerking wordt in de loop van 2025 verwacht. Het doel van deze wet is om de digitale weerbaarheid van Nederlandse organisaties te versterken.

De Cbw bevat dezelfde kernverplichtingen als de NIS2:

• Registratieplicht: organisaties die als essentiële of belangrijke entiteit zijn aangewezen, moeten zich registreren.
• Zorgplicht: organisaties moeten risico’s op het gebied van informatiebeveiliging identificeren én passende maatregelen treffen.
• Meldplicht: significante (cyber)incidenten moeten worden gemeld.

In Nederland fungeert het Nationaal Cyber Security Centrum (NCSC) als centraal loket voor registratie en meldingen. De handhaving ligt bij toezichthouders zoals de Rijksinspectie Digitale Infrastructuur (RDI). Afhankelijk van de sector kan ook toezicht worden gehouden door bijvoorbeeld de Inspectie Gezondheidszorg en Jeugd (IGJ) of de Inspectie Leefomgeving en Transport (ILT). Daarnaast heeft de overheid de verplichting om organisaties te ondersteunen bij incidenten; het NCSC moet hier een duidelijke invulling aan geven.

Baseline Informatiebeveiliging Overheid

Voor overheidsorganisaties geldt al de Baseline Informatiebeveiliging Overheid (BIO). De huidige versie (BIO 1.04) bevat een set beheersmaatregelen gebaseerd op het risiconiveau van een systeem. Deze maatregelen worden vastgesteld via een baseline-toets die het BasisBeveiligingsNiveau (BBN) bepaalt. Met de komst van de Cbw verschijnt ook een nieuwe versie van deze norm: BIO 2.0. Deze wordt verplicht voor alle overheidsinstellingen.

Belangrijke verschillen met BIO 1.04:

• Risicogebaseerd: de vaste lijst met maatregelen maakt plaats voor een verplichte risicoanalyse.
• Sterkere koppeling aan ISO 27001: naast de geüpdatete Annex A-maatregelen, bevat de BIO 2.0 nu ook elementen uit de ‘harmonized structure’ zoals risicomanagement en governance.
• Expliciet voor OT: Operationele Techniek (OT) krijgt voor het eerst een duidelijke plek in de norm.

De verwachting is dat BIO 2.0 tegelijk met de Cbw in werking treedt.

BIO 2.0 implementeren

Voor gemeenten en waterschappen betekent BIO 2.0 een fundamentele verandering. De overgang van een vaste maatregelenset naar een risicogebaseerde aanpak vraagt om een volwassen Information Security Management System (ISMS) – bij voorkeur conform ISO 27001.

De expliciete aandacht voor OT-omgevingen maakt dit traject extra uitdagend. Veel Chief Information Security Officers (CISO’s) zullen hiervoor nieuwe kennis en tooling moeten inzetten.