De implementatie van de NIS2-richtlijn: een update

Zoals veel andere landen loopt Nederland achter met de implementatie van de Europese Richtlijn 2022/2555 (“NIS2”). In oktober 2024 verstreek de deadline maar de Tweede Kamer ontving pas in juni 2025 een voorstel voor een Cyberbeveiligingswet (“Cbw”). Inmiddels is de verwachting dat de wet en de onderliggende regelgeving pas in het tweede kwartaal van 2026 in werking treedt. Voor bedrijven die nog niet bekend zijn met deze wetgeving, of die maatregelen hebben uitgesteld hangende het wetgevingstraject, is daarmee inmiddels het moment voor actie aangebroken. Als bedrijven onder de wet vallen kost het namelijk enige tijd om te beoordelen of de bestaande beveiliging voldoende is, of er aanvullende maatregelen nodig zijn, en of bestaande contracten met klanten en leveranciers gewijzigd moeten worden. Ook bedrijven die niet onder de Cbw vallen maar wel indirect betrokken zijn als toeleverancier van een gereguleerd bedrijf is het tijd om in actie te komen.

Hieronder staan we stil bij twee van de meest relevante verplichtingen uit de NIS2-wetgeving, te weten de verplichting om maatregelen te nemen voor het beheer van cyberbeveiligingsrisico’s, waaronder binnen de corporate governance (de “zorgplicht”), en de plicht om significante cyberincidenten te melden bij zowel de bevoegde autoriteit als het Cyber Security Incident Response Team (CSIRT) (de dubbele “meldplicht”). Dat doen we in het licht van het toepassingsbereik en de jurisdictie onder NIS2.

NIS2 maakt het onderscheid tussen essentiële en belangrijke entiteiten, maar de betekenis van dit onderscheid is relatief klein en ziet met name op toezicht en handhaving. Meer bepalend voor de inhoud van de verplichtingen is de sector waarbinnen een onderneming opereert. Voor entiteiten die vallen binnen de sector digitale infrastructuur, beheer van ICT-diensten (business-to-business) of digitale aanbieders worden de zorgplicht en de meldplicht mede ingevuld door een uitvoeringsverordening (de “Uitvoeringsverordening”). Voor zover essentiële en belangrijke entiteiten buiten het bereik van de Uitvoeringsverordening vallen gelden (uitsluitend) de zorgplicht en de meldplicht zoals omgezet vanuit NIS2 in nationale wetgeving. In Nederland is dat dus de Cyberbeveiligingswet, het Cyberbeveiligingsbesluit en daaronder vallende ministeriele regelingen. Deze regelingen worden vastgesteld door de diverse ministeries die zijn aangewezen als bevoegde autoriteit voor de sectoren onder hun beleidsverantwoordelijkheid vallen.

Een belangrijke kanttekening is dat een entiteit in verschillende sectoren kan vallen en daardoor rekening moet houden met de uitwerking van de zorgplicht en de meldplicht onder zowel de Uitvoeringsverordening, als de Nederlandse implementatie in volle omvang. Een voorbeeld hiervan is een entiteit die zowel een aanbieder van cloudcomputingdiensten als een aanbieder van internetknooppunten is. Deze entiteit heeft zowel nadere zorg- en meldplichtverplichtingen op grond van de Uitvoeringsverordening, namelijk in haar hoedanigheid als aanbieder van cloudcomputerdiensten, als op grond van het onderliggende Cyberbeveiligingsbesluit (“Cbb”) in haar hoedanigheid van internetknooppunt. 

Hetzelfde geldt voor de jurisdictie van de Nederlandse bevoegde autoriteit, zoals geregeld in artikel 4 Cbw. Zo zal een elektriciteitsbedrijf dat gevestigd is in Nederland dat tegelijkertijd beheerde diensten aanbiedt met een hoofdvestiging in Duitsland, onder het toepassingsbereik van de Cbw vallen. Hetzelfde geldt voor een aanbieder van cloudcomputingdiensten die zijn hoofdvestiging in Frankrijk heeft en die in Nederland een aanbieder van openbare telecommunicatienetwerken – of diensten is.

Breder bezien bestaan nog veel vragen over hoe NIS2 en de implementatiewetgeving praktisch toegepast zullen worden op een complexe bedrijfsstructuur, zeker wanneer een bedrijf internationaal opereert. In ieder geval geldt dat er binnen een groep van ondernemingen meerdere entiteiten kunnen kwalificeren als een essentiële of belangrijke entiteit, waarmee zij moeten voldoen aan de verplichtingen uit de Cbw.

Een gereguleerde entiteit moet de risicobeheersmaatregelen nemen zoals omschreven in artikel 21 Cbw, te weten “passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen”, alsook “maatregelen om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van haar diensten en voor andere diensten te beperken.” Het is belangrijk voor entiteiten om te beseffen dat de uitwerking van deze maatregelen in artikel 21 lid 3 Cbw, wat een woordelijke omzetting is van de lijst maatregelen uit artikel 21 lid 2 NIS2, nog altijd een algemeen kader biedt. In ieder geval moeten de entiteiten de maatregelen nemen zoals omschreven in artikelen 6 tot en met 19 Cbb, maar artikelen 21, lid 5 Cbw en 20 Cbb bieden daarnaast een grondslag voor nadere regels op sectoraal niveau. Op dit moment is de inhoud van deze nadere regels nog niet duidelijk. Dat voor iedere (sub)sector andere regelingen zullen gelden is wel begrijpelijk en ook wenselijk. Een goed voorbeeld is de managementsysteemnorm NEN7510. Deze zal een grote rol spelen bij het invullen van de zorgplicht binnen de gezondheidszorg, maar is voor andere sectoren niet relevant. 

Voor zover entiteiten vallen binnen het bereik van de Uitvoeringsverordening vermeldt de bijlage daarvan welke risicobeheersmaatregelen genomen moeten worden. De Uitvoeringsverordening hanteert vaak het principe van pas-toe-of-leg-uit (comply or explain): indien een entiteit meent dat een risicobeheersmaatregel niet passend, niet van toepassing of niet haalbaar is, moet de entiteit dit op begrijpelijke wijze documenteren. Om meer duiding te geven heeft het EU-Agentschap voor cyberbeveiliging ENISA richtsnoeren een Technical Implementation Guidance gepubliceerd. Deze is hier beschikbaar: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance. Ook hier blijven de bepalingen over de zorgplicht in de Cbw relevant voor de entiteiten waarop de Uitvoeringsverordening ziet. De maatregelen uit de Uitvoeringsverordening komen weliswaar in de plaats van artikel 6 tot en met 17 en 19 van het Cbb, maar moeten worden gelezen in samenhang met de Cbw. En ook de nog nader te bepalen regels onder artikel 21, lid 5 Cbw en artikel 20 Cbb kunnen voor deze entiteiten gelden.

Een opvallende toevoeging aan de Cbw en het Cbb ten opzichte van de eerder gepubliceerde consultatieversies is de mogelijkheid dat een vakminister entiteiten verplicht om onderdelen van netwerk- en informatiesystemen producten of diensten van specifieke leveranciers te weren, indien dat naar het oordeel van de vakminister noodzakelijk is voor het beheersen van beveiligingsrisico’s. Artikel 18 Cbb biedt hiervoor een specifieke regeling, maar ook artikel 21, lid 5 Cbw is volgens de MvT daarvoor bedoeld. Een dergelijke regeling is te verklaren met de sterke toename van het aantal landen dan offensieve cyberprogramma’s ontwikkelt en inzet bij het nastreven van hun politieke doelstellingen. De regeling is evenwel algemeen geformuleerd, waarmee ministers veel ruimte voor invulling krijgen. Vanwege de ingrijpendheid ervan is het dus de vraag of de uiteindelijke versies van de Cbw en het Cbb deze mogelijkheid zullen bevatten.

Verder moeten entiteiten in het kader van de zorgplicht maatregelen op governanceniveau nemen. Deze maatregelen zijn uitgewerkt in artikel 24 Cbw. Onder meer moet het bestuur de risicobeheersingsmaatregelen genomen in het kader van de zorgplicht goedkeuren, over bepaalde kennis en vaardigheden beschikken en deze actueel houden, en trainingen volgen en daarbij certificaten behalen (zoals uitgewerkt in artikelen 21-23 Cbb). Een nuttige verbetering ten opzichte van de consultatieversie van de Cbw is een nauwkeurigere afbakening van het begrip “bestuur” waarop deze verplichtingen zien. Daarmee wordt bedoeld het bestuur waaraan is opgedragen de rechtspersoon te besturen, zoals in de artikelen 2:129 BW (voor de naamloze vennootschap) en 2:239 BW (voor de besloten vennootschap) is opgenomen. In het geval dat een essentiële entiteit of belangrijke entiteit zowel een bestuur als een raad van commissarissen kent, rusten de governanceverplichtingen (althans, op grond van de Cbw) enkel op het bestuur.

Naast de zorgplicht is de meldplicht de belangrijkste verplichting onder NIS2. In de kern moeten entiteiten significante incidenten melden bij zowel de CSIRT als de bevoegde autoriteit. Het Ministerie van Justitie en Veiligheid is in beginsel aangewezen als CSIRT, welke rol in praktijk door het Nationaal Cyber Security Center (NCSC ) zal worden vervuld. Sectoraal kan een afwijkende CSIRT worden aangewezen. Op dit moment wordt voorzien dat er een apart CSIRT wordt aangewezen voor de zorg (Z-CERT), gemeenten (IBD) en waterschappen (CERT-Watermanagement).

De tekst van NIS2 bepaalt slechts in algemene bewoordingen wanneer een incident significant is: het gaat om een incident dat ofwel “een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken”, ofwel “andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken”. Voor zover entiteiten binnen het bereik van de Uitvoeringsverordening vallen worden deze drempels daarin gespecificeerd in artikel 3 tot en met 14. Een incident is bijvoorbeeld significant indien er bedrijfsgeheimen uitlekken of kunnen uitlekken, of indien het een “direct financieel verlies” van meer dan EUR 500.000 kan veroorzaken, of meer dan 5% van de totale jaaromzet van de relevante entiteit in het voorgaande boekjaar, indien dat lager is. Voor de overige sectoren bepaalt artikel 24 lid 1 Cbb dat de drempelwaardes op sectoraal niveau worden vastgesteld in ministeriele regelingen. In tegenstelling tot de zorgplicht stellen de vakministers geen additionele drempelwaardes vast voor de meldplicht.

De melding moet gefaseerd worden gedaan bij een meldpunt. De entiteit moet eerst een vroegtijdige waarschuwing geven, en deze opvolgen met updates. Het Cbb voorziet dat er bij de vroegtijdige waarschuwing meer informatie wordt verstrekt dan voorgeschreven onder artikel 23 lid 3 NIS2. Zo moet er ook melding worden gemaakt van het vermoedelijke tijdstip van aanvang van het significante incident, en zo mogelijk een beschrijving van de aard en op dat moment merkbare gevolgen van het incident, een prognose van de hersteltijd, en de door de entiteit voorgenomen of genomen maatregelen om de gevolgen van het significante incident te beperken of herhaling hiervan te voorkomen. Met deze informatie kan door het CSIRT en de bevoegde autoriteit beter worden ingeschat of zij willen reageren en hoe respons mogelijk is. Daarnaast kan door deze informatie beter worden ingeschat wat mogelijke cascade-effecten zijn op bijvoorbeeld andere entiteiten. 

Gelet op de diverse mogelijkheden die de NIS2, Cbw en Cbb bieden om de zorgplicht en meldplicht verder uit te werken verdient het aanbeveling om de ontwikkelingen van de regelgeving bij te blijven houden.