Algemene vragen en antwoorden

De omzetting van de NIS2-richtlijn naar de Cyberbeveiligingswet en van de CER-richtlijn naar de Wet weerbaarheid kritieke entiteiten  is momenteel volop in ontwikkeling. Europese lidstaten hebben tot oktober 2024 de tijd om de richtlijnen om te zetten in nationale wetgeving. De minister van Justitie en Veiligheid heeft de Tweede Kamer en de Europese Commissie geïnformeerd dat Nederland deze implementatiedeadline niet zal halen.

Op de pagina's van de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten worden de verplichtingen van deze wetten samengevat, inclusief de sectoren waarop ze van toepassing zijn. Dit biedt organisaties inzicht in de verplichtingen waar zij aan moeten voldoen.

Nadere invulling van deze wetgeving vindt plaats via een algemene maatregel van bestuur (AMvB) en sectorspecifieke ministeriële regeling.

De richtlijnen verplichten lidstaten om kritieke, essentiële en belangrijke entiteiten te ondersteunen bij het versterken van hun weerbaarheid tegen zowel fysieke als digitale risico's. Zo schrijft de CER-richtlijn voor dat de overheid elke vier jaar per sector een risicobeoordeling uitvoert en deelt deze met kritieke entiteiten binnen die sector. De NIS2-richtlijn schrijft voor dat essentiële en belangrijke entiteiten ondersteund worden met advies en bijstand in geval van een digitale hack of cyberincident door een CSIRT (Computer Security Incident Response Team), voor de zorg is dit Z-CERT.

De overheid kan verdere ondersteuning bieden in de vorm van informatie-uitwisseling, handreikingen, en instrumenten ter verhoging van de weerbaarheid, zoals bijvoorbeeld voor het uitvoeren van een risicobeoordeling.

Nee, er wordt geen geld beschikbaar gesteld voor individuele organisaties. Het ministerie van VWS kijkt wel hoe de zorgsector als geheel kan worden ondersteund, bijvoorbeeld door het ter beschikking stellen van kennisproducten en hulpmiddelen om te ondersteunen met de implementatie.

Weerbaarheid verwijst naar het vermogen om een incident te voorkomen, te beperken, of effectief te beheersen, en om bescherming te bieden of bestand te zijn tegen, te reageren op, of zich aan te passen aan en te herstellen van een incident. In het geval van de Wet weerbaarheid kritieke entiteiten kunnen hier zowel natuurrampen als door de mens veroorzaakte rampen onder vallen, zowel onbedoeld als opzettelijk. Denk hierbij aan ongevallen, overstromingen, terroristische misdrijven, criminele infiltratie, of sabotage. Wat betreft de Cyberbeveiligingswet omvat weerbaarheid bijvoorbeeld bescherming tegen gijzelsoftware, malware, of cyberaanvallen op de toeleveringsketen.

De minister van Justitie en Veiligheid heeft de Tweede Kamer op 31 januari 2024 via een Kamerbrief geïnformeerd over aangepaste planning voor het omzetten van de NIS2-richtlijn in Nederlandse wetgeving. In deze brief heeft de minister aangegeven dat de internetconsultatie voor de zomer van 2024 plaatsvindt. Hierdoor zal Nederland de implementatiedeadline van de Europese Commissie op 17 oktober 2024 niet halen. Dit betekent dat er tot de inwerkingtreding van de Nederlandse wetgeving in 2025 geen nationale wetgeving van kracht zal zijn die de nieuwe eisen van de NIS2-richtlijn wettelijk afdwingbaar maakt. Organisaties krijgen daardoor extra tijd om zich voor te bereiden. De exacte datum waarop de Nederlandse Cyberbeveiligingswet van kracht wordt, is nog niet vastgesteld.

Communicatie vanuit VWS verloopt via deze website (www.gegevensuitwisselingindezorg.nl/weerbaarheid). Daarnaast vindt er directe berichtgeving aan koepelverenigingen en andere samenwerkingsverbanden in de zorgsector plaats via het ministerie van VWS.

Volgens de Cyberbeveiligingswet kunnen bestuurders van een entiteit aansprakelijk worden gesteld als zij niet voldoen aan hun plicht om te zorgen voor naleving van de richtlijn.

Ja, toezichthouders op de sectoren van de Cyberbeveiligingswet kunnen  een geldboete opleggen met een maximumbedrag van 10.000.000 euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming, afhankelijk van welk bedrag hoger is. Voor andere overtredingen uit de wet kan de IGJ een boetemaximum van 1 miljoen euro. De Inspectie Gezondheidszorg en Jeugd (IGJ) houdt toezicht op de Cyberbeveiligingswet in de zorg.

Het verschil tussen belangrijke en essentiële entiteiten zit in de manier waarop toezicht wordt gehouden. Beide typen entiteiten moeten voldoen aan dezelfde verplichtingen, zoals de zorgplicht, registratieplicht en meldplicht. Het verschil zit echter in het toezicht door de Inspectie Gezondheidszorg en Jeugd (IGJ).

Voor belangrijke entiteiten vindt het toezicht plaats na een incident of bij een vermoeden van een overtreding, bijvoorbeeld dat de zorgplicht niet wordt nageleefd. Dit betekent dat IGJ pas in geval van een aanleiding controleert of de organisatie voldoet aan de vereisten van de Cyberbeveiligingswet.

Essentiële entiteiten worden daarentegen proactief gecontroleerd. IGJ houdt zowel vóór als na incidenten toezicht om te waarborgen dat deze organisaties hun cyberbeveiliging op orde hebben en tijdig maatregelen nemen om incidenten te voorkomen.

Let wel: voor zorgaanbieders geldt dat de IGJ ook nu al op basis van de Wet aanvullende bepalingen gegevensverwerking in de zorg proactief kan controleren of de NEN 7510 wordt nageleefd, ook bij zorgaanbieders die op basis van de Cyberbeveilingswet onder de ‘belangrijke’ entiteiten vallen.

De eerdere richtlijn NIS1  is in Nederland omgezet in de huidige Wbni en de uitwerking van de regels in het Besluit beveiliging netwerk- en informatiesystemen (Bbni). De Wbni en Bbni zijn op dit moment van kracht en vervallen zodra de Cyberbeveiligingswet van kracht is.

De Algemene verordening gegevensbescherming (AVG) en de Cyberbeveiligingswet staan los van elkaar. Hoewel zowel de AVG als de Cyberbeveiligingswet voortkomen uit Europese wetgeving, behandelen ze verschillende aspecten. De AVG richt zich op privacy en biedt richtlijnen aan bedrijven en organisaties over het verzamelen, opslaan en beheren van persoonsgegevens. Daarnaast stelt de AVG voorwaarden vast waaronder er met (bijzondere) persoonsgegevens mag worden gewerkt.

Aan de andere kant richt de Cyberbeveiligingswet zich op de informatiebeveiliging van bedrijven en organisaties, zonder specifiek in te gaan op persoonsgegevens van individuen. De wettelijke kaders van de Cyberbeveiligingswet zijn ontworpen om te voorkomen dat (persoons)gegevens in verkeerde handen vallen.

Entiteiten die significante incidenten moeten melden volgens de Cyberbeveiligingswet dienen zich te registreren in het NCSC portaal. Registreren en melden kan straks in hetzelfde portaal.

Het melden van significante incidenten onder de Cyberbeveiligingswet staat los van andere meldplichten, zoals die van de AVG. Het is daarom mogelijk dat entiteiten incidenten op meerdere plekken moeten melden, aangezien een incident verschillende aspecten kan hebben (zie de tabel hieronder).

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en gericht op de categorie zorgaanbieders in de sector zorg. De norm is gebaseerd op de internationale ISO 27001, ISO 27002 en ISO 27799 standaarden. Deze NEN 7510 stelt eisen aan een managementsysteem voor informatiebeveiliging (NEN 7510-1) en biedt een reeks beheersmaatregelen (NEN 7510-2 en ISO 27799) om de beschikbaarheid, vertrouwelijkheid en integriteit van persoonlijke gezondheidsinformatie te waarborgen. De norm stelt geen eisen aan specifieke producten zoals elektronische patiëntendossiers, maar richt zich op het algemene beveiligingsmanagement binnen zorgorganisaties.

Voldoen aan de NEN7510 is nu al verplicht voor zorgaanbieders en dekt een aantal verplichtingen van de NIS2-richtlijn en de Cyberbeveiligingswet af. Naast het implementeren van maatregelen op het gebied van digitale veiligheid (de zorgplicht waarvoor de NEN7510 het kader biedt), dienen belangrijke en essentiële entiteiten volgens de Cyberbeveiligingswet grootschalige incidenten te melden (meldplicht) en bij ernstige bedreigingen van hun netwerk de ontvangers van hun diensten te informeren over mogelijke gevolgen (informatieplicht).

Aanvullend schrijft de Cyberbeveiligingswet voor dat organisaties (in alle sectoren onder de Cyberbeveiligingswet, inclusief de gezondheidszorg) zich registreren in een nog te ontwikkelen register en de gegevens actueel houden(registratieplicht). Bovendien benadrukt de Cyberbeveiligingswet dat bestuurders van belangrijke en essentiële entiteiten verantwoordelijkheid dragen voor informatiebeveiliging. Het is dus raadzaam om aanvullende acties te ondernemen om te voldoen aan specifieke vereisten van de Cyberbeveiligingswet die niet volledig door de NEN7510 worden afgedekt.

Voor een overzicht van de vereisten uit de Europese NIS2-richtlijn ten opzichte van de NEN 7510 zie onderstaande tabel.

Nee, de Cyberbeveiligingswet verplicht niet tot het aanstellen van een security functionaris in loondienst. Een functionaris die zich richt op informatiebeveiliging binnen het bedrijf kan wel helpen om de vereisten uit de regelgeving vorm te geven en na te leven.

Nee, dit is geen verplichting in de Cyberbeveiligingswet. Het hebben van goede mogelijkheden om incidenten te detecteren kan de impact ervan wel beperken. Organisaties zijn vrij om te bepalen hoe zij dit inrichten.

De CER-richtlijn wordt omgezet in de Nederlandse Wet weerbaarheid kritieke entiteiten. In de lagere wetgeving namelijk de ministeriële regeling zal het ministerie van VWS criteria opnemen specifiek voor de zorg. Het opnemen van criteria in de ministeriële regeling specifiek voor de zorg en het vervolgens op  basis hiervan aanwijzen van organisaties in de zorgsector zal eind 2025 plaatsvinden.

De aangewezen organisaties, in de wet worden dit de kritieke entiteiten genoemd, hebben vervolgens 10 maanden om aan de wettelijke verplichtingen te voldoen.

De Wet weerbaarheid kritieke entiteiten biedt de mogelijkheid om bestuurders van entiteiten in een uiterst geval aansprakelijk te stellen.

Volgens de Wet weerbaarheid kritieke entiteiten moet Nederland voorschriften vaststellen met betrekking tot het opleggen van sancties. Het toezicht op de zorgsector zal worden uitgevoerd door de Inspectie Gezondheidszorg en Jeugd (IGJ). In geval van een overtreding van de zorgplicht of van de meldplicht kan de IGJ een geldboete opleggen met een maximumbedrag van 10.000.000 euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming, afhankelijk van welk bedrag hoger is. Bij overtreding van andere verplichtingen uit de wet geldt een boetemaximum van 1 miljoen euro.

De Europese CER-richtlijn bevat algemene criteria voor het aanwijzen van entiteiten, die van toepassing zijn op alle sectoren onder de Wet weerbaarheid kritieke entiteiten. Op basis van deze criteria zal het ministerie van VWS wellicht meer specifieke criteria opstellen voor de zorgsector om de wet gericht toe te passen op de juiste doelgroep.

Mogelijke criteria voor het aanwijzen van entiteiten in de zorgsector kunnen betrekking hebben op unieke functies of voorzieningen binnen de Nederlandse zorg. Overwegingen kunnen ook worden gemaakt met betrekking tot geografische spreiding en de verplaatsbaarheid van voorzieningen in de zorg.

Nee, dit is niet de insteek van de wet. De focus ligt op het vooraf identificeren van mogelijke kwetsbaarheden om voorbereid te zijn op een mogelijke crisis of ramp. De lijst van kritieke entiteiten wordt wanneer dat nodig is en ten minste elke vier jaar, geëvalueerd en geactualiseerd.