Wat houdt de zorgplicht van de Cyberbeveiligingswet in?

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

• Per ICT-systeem: Neem dit ICT-systeem op in de risicoanalyse voor cyberbeveiliging en behandel de risico's ervan. Cbw 21(1), Cbw 21(2), Cbw 21(3)(a), NIS2 21(1), NIS2 21(2)(a)
• Organisatie: Onderhoud beleid voor beveiliging en risicomanagement. NIS2 21(2)(a), Cbw 21(3)(a)
• Organisatie: Gebruik passende authenticatie en beveiligde communicatie. NIS2 21(2)(j), Cbw 21(3)(j)
• Organisatie: Verkrijg bestuursgoedkeuring voor cyberbeveiligingsmaatregelen. Cbw 24(1), NIS2 20(1)

Bronnen

1. [1] Cbw art. 21(1) (Cyberbeveiligingswet). De zorgplicht betreft de netwerk- en informatiesystemen die de entiteit voor haar werkzaamheden of diensten gebruikt.

   1. De essentiële entiteit of belangrijke entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen.

   Bron, opgehaald op 2 oktober 2026.
2. [2] Cbw art. 21(2) (Cyberbeveiligingswet). De maatregelen zijn afgestemd op de risico’s; evenredigheid hangt onder meer af van blootstelling, omvang en kans en ernst van incidenten.

   2. De maatregelen, bedoeld in het eerste lid, zorgen voor een beveiligingsniveau van de netwerk- en informatiesystemen dat is afgestemd op de risico’s, bedoeld in het eerste lid. Bij het nemen van de maatregelen houdt de entiteit in ieder geval rekening met de stand van de techniek, de uitvoeringskosten en, indien van toepassing, de desbetreffende Europese en internationale normen. Ten aanzien van de evenredigheid van de maatregelen, bedoeld in het eerste lid, houdt de entiteit naar behoren rekening met de mate waarin zij aan risico’s is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen.

   Bron, opgehaald op 2 oktober 2026.
3. [3] Cbw art. 21(3) (Cyberbeveiligingswet). De maatregelen omvatten ten minste tien onderwerpen (onderdelen a tot en met j).

   3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a. beleid inzake risicoanalyse en beveiliging van informatiesystemen; b. incidentenbehandeling; c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer; d. de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners; e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; f. beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen; g. basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h. beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; i. beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets; en j. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

   Bron, opgehaald op 2 oktober 2026.
4. [4] Cbb art. 35 (Cyberbeveiligingsbesluit). De Cbw en het Cbb zijn op 15 augustus 2026 in werking getreden.

   De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026.

   Bron, opgehaald op 2 oktober 2026.
5. [5] Cbw art. 24(1) (Cyberbeveiligingswet). De maatregelen van artikel 21 behoeven de goedkeuring van het bestuur.

   1. De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur van de essentiële entiteit of belangrijke entiteit.

   Bron, opgehaald op 2 oktober 2026.
6. [6] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.

   1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen

   Bron, opgehaald op 3 oktober 2026.
7. [7] Cyberbeveiligingsregeling IenW art. 12, leden 1 en 2 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Onderhoudsprocedures omvatten beveiligingstesten en patchbeheer; patches worden binnen een redelijke termijn toegepast of het uitstel wordt gemotiveerd en gedocumenteerd.

   1. De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake: a. beveiligingstesten; b. beveiligingspatchbeheer. 2. De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat: a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd; b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast; c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.

   Bron, opgehaald op 3 oktober 2026.
8. [8] Cyberbeveiligingsregeling IenW art. 12, lid 4 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Netwerksegmentatie op basis van de risicoanalyse en, waar passend, ten opzichte van systemen van derden.

   4. Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit: a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse; b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.

   Bron, opgehaald op 3 oktober 2026.
9. [9] Cyberbeveiligingsregeling IenW art. 13 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Het toegangsbeleid omvat bevoorrechte accounts en systeembeheeraccounts, met sterke identificatie, authenticatie en autorisatie.

   1. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts. 2. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat: a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;

   Bron, opgehaald op 3 oktober 2026.
10. [10] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.

    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.

    Bron, opgehaald op 3 oktober 2026.