Op 10 november 2025 zijn de concept ministeriële regelingen onder de Cyberbeveiligingswet (de “Cbw”) gepubliceerd. De internetconsultatie loopt tot en met 21 december 2025. Met deze regelingen krijgen zowel de Cbw als de Wet weerbaarheid kritieke entiteiten (“Wwke”), het Cyberbeveiligingsbesluit en het Besluit weerbaarheid kritieke entiteiten een sectorspecifieke en praktische uitwerking. De regelingen bevatten gedetailleerde bepalingen die per sector aangeven welke maatregelen worden verwacht en wanneer incidenten moeten worden gemeld.
Omdat de verplichtingen sterk uiteenlopen per domein, stellen de meeste departementen een eigen ministeriële regeling op. Een belangrijk onderdeel daarvan is de nadere invulling van de meldplicht, waaronder de drempelwaarden die bepalen wanneer een cyberincident als “significant” geldt en dus moet worden gemeld aan het Nationaal Cyber Security Centrum (“NCSC”) of het sectorale Computer Security Incident Response Team (“CSRIT”). Daarnaast bevatten de regelingen de verdere uitwerking van de zorgplicht, waaronder risicobeoordelingen, beveiligingsmaatregelen, monitoring en ketenverantwoordelijkheid.
De ministeries van Binnenlandse Zaken en Koninkrijksrelaties (het “ministerie van BZK”), Infrastructuur en Waterstaat (het “ministerie van I&W”), Economische Zaken (het “ministerie van EZ”), Klimaat en Groene Groei (het “ministerie van KGG”), Landbouw, Visserij, Voedselzekerheid en Natuur (het “ministerie van LVVN”) en Volksgezondheid, Welzijn en Sport (het “ministerie VWS”) hebben hun conceptregelingen inmiddels gepubliceerd. De nadere regels over de zorgplicht zijn voor de sectoren onder de ministeries van I&W, EZ, KGG en LVVN gezamenlijk ontwikkeld op basis van een eerdere consultatie die begin dit jaar is gehouden.
In dit blog richten we ons op de ministeriële regeling van het ministerie van EZ, de Regeling cyberbeveiliging EZ (de “Regeling EZ”).
In de kern vallen vijf clusters van sectoren onder de regeling van EZ: digitale infrastructuur, ruimtevaart, post- en koeriersdiensten, vervaardiging (manufacturing) en onderzoeksorganisaties voor zover zij binnen het EZ-domein vallen. Binnen de sector digitale infrastructuur ziet de Regeling EZ specifiek op aanbieders van openbare elektronische communicatienetwerken, aanbieders van openbare elektronische communicatiediensten en aanbieders van internetknooppunten. Voor cloud- en datacenterdiensten gelden de regels uit de Europese uitvoeringsverordening.
De Cbw verplicht essentiële en belangrijke entiteiten tot het treffen van “passende en evenredige” technische en organisatorische maatregelen. De Regeling EZ maakt expliciet wat daar in ieder geval onder moet worden verstaan. Dat gebeurt langs drie lijnen: 1) managementsystematiek, 2) bedrijfscontinuïteit en 3) de manier waarop systemen worden ontwikkeld, beheerd en benaderd.
Deze drie lijnen bespreken we hierna.
Entiteiten worden verplicht om hun beveiligingsbeleid en managementsystematiek expliciet vorm te geven. Zij moeten vastleggen:
De Regeling EZ sluit aan bij bestaande praktijk en internationale normen zoals International Standardization Organization (“ISO”), zodat organisaties geen parallel systeem hoeven te ontwerpen, maar bestaande managementsystemen kunnen uitbreiden of aanscherpen.
De Regeling EZ werkt de plicht tot het hebben van een bedrijfscontinuïteitsplan verder uit. Dat plan moet in ieder geval de doelstelling en reikwijdte, rollen en verantwoordelijkheden, interne en externe communicatiekanalen, criteria voor activering en de-activering, benodigde middelen (inclusief redundantie) en voorwaarden voor herstel en hervatting van activiteiten bevatten.
Daarnaast stelt de Regeling EZ eisen aan back-upprocedures: organisaties moeten hersteldoelen definiëren, zorgen voor volledige en nauwkeurige back-ups (inclusief configuratiegegevens en in de cloud opgeslagen data) en passende waarborgen treffen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups. Ook is het periodiek testen van het terugzetten van back-ups verplicht.
De Regeling EZ richt zich ook op de beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen. Zo moeten de procedures bedoeld in het Cyberbeveiligingsbesluit ten minste betrekking hebben op:
Daarnaast schrijft de Regeling EZ voor dat entiteiten onder meer maatregelen treffen tegen kwaadaardige en ongeoorloofde software en periodiek kwetsbaarheidsscans uitvoeren.
Naast de drie hoofdlijnen bevat de Regeling EZ nadere criteria voor de meldplicht voor (significante) incidenten. De Regeling EZ bespreekt zowel algemene als sectorspecifieke criteria.
Een incident is in ieder geval significant als:
Geplande dienstonderbrekingen in verband met onderhoud door of namens de entiteit vallen buiten de meldplicht, tenzij er onverwachte neveneffecten optreden.
De regeling introduceert de volgende drempelwaarden per sector:
Een incident is onder meer significant als:
De maatschappelijke impact van uitval of datalekken in deze infrastructuur is daarmee het uitgangspunt.
Voor internetknooppunten geldt onder meer dat:
In de ruimtevaartsector is een incident onder meer significant als:
Voor post- en koeriersdiensten is een incident significant als:
Een incident geldt als significant als sprake is van:
Voor onderzoeksorganisaties geldt een duidelijk criterium: aantasting van de integriteit, vertrouwelijkheid of authenticiteit van onderzoeksgegevens is voldoende om een incident als significant te kwalificeren. Dat past bij het vaak vertrouwelijke en economisch of strategisch waardevolle karakter van onderzoeksdata.
Meldingen van significante incidenten verlopen via één centraal meldloket dat zowel het sectorale CSIRT als de toezichthoudende instantie bedient. De precieze procedurele eisen (termijnen, inhoud van meldingen) staan in de Cbw en worden in de Regeling EZ niet verder gewijzigd.
Wilt u sparren over een mogelijke consultatiereactie op de Regeling EZ of meer weten over de gevolgen van deze regeling voor uw sector? Neem dan contact op met Machteld Robichon of Bente van Kan.
Meer weten over de Cbw? Lees onze andere blogs:
