Welke maatregelen eist NIS2 artikel 21 en waar staan ze in de Cbw?

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

• Organisatie: Onderhoud beleid voor beveiliging en risicomanagement. NIS2 21(2)(a), Cbw 21(3)(a)
• Organisatie: Gebruik passende authenticatie en beveiligde communicatie. NIS2 21(2)(j), Cbw 21(3)(j)

Bronnen

1. [1] NIS2 art. 21(2) (Richtlijn (EU) 2022/2555 (NIS2)). NIS2 artikel 21, lid 2, somt de maatregelen a tot en met j op.

   2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a) beleid inzake risicoanalyse en beveiliging van informatiesystemen; b) incidentenbehandeling; c) bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer; d) de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners; e) beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; f) beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen; g) basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h) beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; i) beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa; j) wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

   Bron, opgehaald op 2 oktober 2026.
2. [2] Cbw art. 21(3) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, bevat dezelfde tien onderdelen.

   3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a. beleid inzake risicoanalyse en beveiliging van informatiesystemen; b. incidentenbehandeling; c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer; d. de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners; e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; f. beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen; g. basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h. beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; i. beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets; en j. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

   Bron, opgehaald op 2 oktober 2026.
3. [3] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.

   Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.

   Bron, opgehaald op 2 oktober 2026.
4. [4] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.

   1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen

   Bron, opgehaald op 3 oktober 2026.
5. [5] Cyberbeveiligingsregeling IenW art. 11, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Back-upprocedures noemen welke software en gegevens worden geback-upt, met hersteltijden, herstelpunten, waarborgen en bewaartermijnen.

   1. De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens: a. hersteltijden; b. herstelpunten; c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups; d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups; e. waarborgen voor herstel van software en gegevens uit back-ups; f. bewaartermijnen.

   Bron, opgehaald op 3 oktober 2026.
6. [6] Cyberbeveiligingsregeling IenW art. 12, leden 1 en 2 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Onderhoudsprocedures omvatten beveiligingstesten en patchbeheer; patches worden binnen een redelijke termijn toegepast of het uitstel wordt gemotiveerd en gedocumenteerd.

   1. De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake: a. beveiligingstesten; b. beveiligingspatchbeheer. 2. De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat: a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd; b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast; c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.

   Bron, opgehaald op 3 oktober 2026.
7. [7] Cyberbeveiligingsregeling IenW art. 12, lid 4 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Netwerksegmentatie op basis van de risicoanalyse en, waar passend, ten opzichte van systemen van derden.

   4. Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit: a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse; b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.

   Bron, opgehaald op 3 oktober 2026.
8. [8] Cyberbeveiligingsregeling IenW art. 13 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Het toegangsbeleid omvat bevoorrechte accounts en systeembeheeraccounts, met sterke identificatie, authenticatie en autorisatie.

   1. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts. 2. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat: a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;

   Bron, opgehaald op 3 oktober 2026.
9. [9] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.

   De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.

   Bron, opgehaald op 3 oktober 2026.