Cyberbeveiliging van zeehavens onder NIS2 en de Cyber Resilience Act: wie binnen de reikwijdte valt en welke verplichtingen gelden

De NIS2-richtlijn (Richtlijn (EU) 2022/2555) heeft de eerste NIS-richtlijn (Richtlijn (EU) 2016/1148) vervangen en de EU-cyberbeveiligingsverplichtingen uitgebreid naar een brede reeks sectoren. Bijlage I, met als opschrift 'Sectors of high criticality', omvat de transportsector en somt binnen de subsector water 'Managing bodies of ports within the meaning of Article 3, point (1), of Directive 2005/65/EC ... including their port facilities' op, naast vervoersondernemingen over binnenwateren, zee en kustwateren. Een zeehavenexploitant valt dus onmiskenbaar binnen de materiële werkingssfeer van de richtlijn. Of een specifieke organisatie eronder valt, en in welke categorie, wordt bepaald door de nationale omzettingswetgeving en de omvangs- en kritikaliteitstoetsen in artikel 3: een havenbeheerder die de plafonds voor middelgrote ondernemingen overschrijdt, wordt waarschijnlijk aangemerkt als essentiële entiteit, terwijl kleinere exploitanten binnen het toepassingsgebied in de regel als belangrijke entiteit worden behandeld. Dat onderscheid is van belang omdat het bepaalt welk toezicht- en handhavingsregime op de entiteit van toepassing is.

Voor een haven binnen het toepassingsgebied legt NIS2 drie samenhangende verplichtingen op. Op grond van artikel 20 moet het bestuursorgaan de cyberbeveiligingsrisicobeheersmaatregelen van de entiteit goedkeuren en toezien op de uitvoering ervan, en kan het aansprakelijk worden gesteld voor inbreuken — cyberbeveiliging wordt behandeld als een verantwoordelijkheid op bestuursniveau, niet als een louter technische aangelegenheid. Artikel 21, lid 2, stelt een minimumbasis van maatregelen vast volgens een alle gevaren omvattende aanpak, waaronder beleid inzake risicoanalyse en beveiliging van informatiesystemen, incidentenbehandeling, bedrijfscontinuïteit (back-upbeheer, noodherstel en crisisbeheer), beveiliging van de toeleveringsketen ten aanzien van de relatie met directe leveranciers en dienstverleners, en beveiliging bij de verwerving, ontwikkeling en het onderhoud van systemen, met inbegrip van de behandeling en openbaarmaking van kwetsbaarheden. Artikel 23 voegt daar een gefaseerde meldplicht voor significante incidenten aan toe: een vroegtijdige waarschuwing binnen 24 uur nadat de entiteit kennis heeft gekregen van het incident, een incidentmelding binnen 72 uur en een eindverslag uiterlijk één maand na die melding. De lidstaten moesten NIS2 uiterlijk op 17 oktober 2024 in nationaal recht omzetten (artikel 41), zodat de precieze, afdwingbare verplichtingen voor een concrete haven voortvloeien uit de uitvoeringswetgeving van de betrokken lidstaat.

Waar NIS2 de organisatie reguleert, reguleert de Cyber Resilience Act (Verordening (EU) 2024/2847) de producten. Artikel 3 omschrijft een 'product with digital elements' als een software- of hardwareproduct met de bijbehorende oplossingen voor gegevensverwerking op afstand — in de praktijk hardware of software die met een apparaat of netwerk kan worden verbonden. De verordening verdeelt de verplichtingen over de toeleveringsketen, met afzonderlijke plichten voor fabrikanten (artikel 13), importeurs (artikel 19) en distributeurs (artikel 20), en vereist dat cyberbeveiliging is ingebouwd en dat kwetsbaarheden gedurende de hele levenscyclus van het product worden behandeld. Zij is op 10 december 2024 in werking getreden, de twintigste dag na de bekendmaking, en is gefaseerd van toepassing: het gros van de verplichtingen vanaf 11 december 2027, de meldplichten voor fabrikanten uit artikel 14 vanaf 11 september 2026, en de bepalingen over conformiteitsbeoordeling in hoofdstuk IV (artikelen 35 tot en met 51) vanaf 11 juni 2026. Voor havens slaat het praktische effect neer op inkoop en operationele technologie: terminalbesturingssoftware, sensoren, gatesystemen en industriële besturingsapparatuur die als producten met digitale elementen op de EU-markt in de handel worden gebracht, zullen in toenemende mate CRA-conformiteit moeten aantonen, zichtbaar gemaakt door de CE-markering.

NIS2 en de CRA zijn zo opgezet dat zij elkaar aanvullen in plaats van elkaar te overlappen: zij pakken verschillende lagen van hetzelfde risico aan. NIS2 verplicht de haven, als entiteit, haar eigen cyberrisico te beheersen — met inbegrip van, via de maatregel voor beveiliging van de toeleveringsketen in artikel 21, lid 2, de beveiliging van haar relaties met directe leveranciers en dienstverleners. De CRA verhoogt het basisbeveiligingsniveau van de producten zelf op het moment dat zij in de handel worden gebracht. Een havenexploitant binnen het toepassingsgebied van NIS2 kan de CRA-conformiteit van een leverancier daarom meewegen als één element in zijn eigen risicobeheersmaatregelen, maar CRA-conforme producten ontslaan de organisatie op zichzelf niet van haar NIS2-verplichtingen, die ruimer zijn en de hele organisatie betreffen. Omdat de uitkomst voor een concrete haven afhangt van haar NIS2-kwalificatie, de nationale omzetting van de richtlijn en de gefaseerde tijdlijn van de CRA, is het bovenstaande algemene informatie en geen juridisch advies; een definitieve afbakening moet worden getoetst aan het toepasselijke nationale recht.

Ontvang een e-mail zodra hier iets verandert. Geen account nodig; bevestigen per e-mail (double opt-in).