Drink- en afvalwaterbedrijven moeten zich voorbereiden op nieuwe cyberwet

De Cbw beoogt de cyberveiligheid te versterken bij bedrijven die opereren in een kritieke sector, zoals de watersector, betalingsverkeer, internet of zorg. Naast dat veel meer bedrijven extra cybersecuritymaatregelen moeten nemen, komt er ook een verplichting om cyberincidenten te melden. De Cbw is in eerste instantie van toepassing op (middel)grote bedrijven en organisaties die opereren in (zeer) kritieke sectoren.

Risicobeoordeling

Op een bedrijf dat in één van de kritieke sectoren opereert, is de nieuwe wetgeving doorgaans alleen van toepassing als het bedrijf 'groot' of 'middelgroot' is. De bedrijfsgrootte wordt gedefinieerd door aantal medewerkers, jaaromzet en balanstotaal. Voor sommige bedrijfstakken gelden deze omvangcriteria niet. Aanbieders van openbare elektronische communicatienetwerken en -diensten, aanbieders van vertrouwensdienstverleners, registers voor topleveldomeinnamen, DNS-dienstverleners, verleners van domeinregistratiediensten en overheidsorganisaties vallen áltijd onder de Cbw, ongeacht de omvang.

Op micro- en kleine bedrijven is de wet alleen van toepassing wanneer een vakminister hen hiertoe aanwijst op basis van een risicobeoordeling. Dit kan zich voordoen als blijkt dat hun dienstverlening van cruciaal belang is voor de Nederlandse economie of maatschappij.

Ook leveranciers moeten aan de slag

Bedrijven die zelf niet aan bovenstaande criteria voldoen, kunnen toch indirect gevolgen ondervinden van deze nieuwe cyberwetgeving. De wet bepaalt namelijk dat Cbw-bedrijven ervoor moeten zorgen dat hun keten van toeleveranciers veilig is. Als uit een keteninventarisatie blijkt dat een toeleverancier impact heeft op het netwerk- en informatiesysteem van een Cbw-bedrijf, kan het Cbw-bedrijf extra beveiligingsmaatregelen eisen. Proportionaliteit is bij deze onderlinge ketenafspraken belangrijk.

NIS2-startpunt

Bedrijven die onder de Cbw vallen, zullen diverse cybersecuritymaatregelen moeten nemen om hun netwerk- en informatiesystemen te beschermen. Het nemen van deze maatregelen heeft enkele maanden doorlooptijd. Daarom adviseert het Digital Trust Center (DTC), onderdeel van het ministerie van Economische Zaken en Klimaat, om daar nu alvast mee te beginnen.

Om alle ondernemers te helpen zich zo goed mogelijk voor te bereiden op de komst van deze wetgeving, heeft het DTC alle informatie die nu voorhanden is gebundeld op het NIS2-startpunt. Hier vinden bedrijven achtergrondinformatie over de aankomende wet, tools en checklists waar ze mee aan de slag moeten. Ook staan er handvatten voor de tien zorgplichtmaatregelen die in de Europese richtlijn opgenomen zijn. Totdat de uitwerking van de zorgplichtmaatregelen voor Nederland in een algemene maatregel van bestuur is uitgewerkt, geeft de Europese NIS2-richtlijn voldoende handvatten voor voorbereidende acties voor Cbw-compliancy.