Vraag en antwoord
De concrete vertaling van de NIS2- en CER-richtlijnen in de Nederlandse wetgeving is volop in ontwikkeling en roept mogelijk vragen op. Hieronder geven we antwoord op de meest gestelde vragen. Staat uw vraag hier nog niet bij? Neem dan contact met ons op via nis2-cer@minvws.nl.
Algemene vragen NIS2- en CER-richtlijnen
De omzetting van de NIS2- en CER-richtlijnen in Nederlandse wetgeving is momenteel volop in ontwikkeling. Europese lidstaten hebben tot oktober 2024 de tijd om de richtlijnen om te zetten in nationale wetgeving. De minister van Justitie en Veiligheid heeft de Tweede Kamer en de Europese Commissie geïnformeerd dat Nederland deze implementatiedeadline niet zal halen.
Op de pagina's van de NIS2 en CER worden de verplichtingen van deze richtlijnen samengevat, inclusief de sectoren waarop ze van toepassing zijn. Dit biedt organisaties inzicht in de mogelijke verplichtingen waar zij aan moeten voldoen.
In mei 2024 wordt een publieke internetconsultatie gestart, waarbij burgers, bedrijven en overheidsinstellingen feedback kunnen geven op de voorbereiding van deze wetgeving. Op dat moment zal meer duidelijkheid worden verschaft over de gevolgen en invulling van de wetgeving.
Nadere invulling van deze wetgeving vindt plaats via een algemene maatregel van bestuur (AMvB) en sectorspecifieke ministeriële regeling.
De richtlijnen verplichten lidstaten om kritieke, essentiële en belangrijke entiteiten te ondersteunen bij het versterken van hun weerbaarheid tegen zowel fysieke als digitale risico's. Zo schrijft de CER-richtlijn voor dat de overheid elke vier jaar per sector een risicobeoordeling uitvoert en deelt deze met kritieke entiteiten binnen die sector. De NIS2-richtlijn schrijft voor dat essentiële en belangrijke entiteiten ondersteund worden met advies en bijstand in geval van een digitale hack of cyberincident door een CSIRT (Computer Security Incident Response Team), voor de zorg is dit Z-CERT.
De overheid kan verdere ondersteuning bieden in de vorm van informatie-uitwisseling, handreikingen, en instrumenten ter verhoging van de weerbaarheid, zoals bijvoorbeeld voor het uitvoeren van een risicobeoordeling.
Nee, er wordt geen geld beschikbaar gesteld voor individuele organisaties. Het ministerie van VWS kijkt wel hoe de zorgsector als geheel kan worden ondersteund, bijvoorbeeld door het ter beschikking stellen van kennisproducten en hulpmiddelen om te ondersteunen met de implementatie.
Ja, de conceptwetgeving gebaseerd op de NIS2- en CER-richtlijnen wordt door het Ministerie van Justitie en Veiligheid gepubliceerd op ww.internetconsultatie.nl. Hier kan iedereen opmerkingen en suggesties toevoegen, die vervolgens gebruikt kunnen worden om de wetgeving te verbeteren. De internetconsultatie wordt naar verwachting gehouden in mei 2024.
Weerbaarheid verwijst naar het vermogen om een incident te voorkomen, te beperken, of effectief te beheersen, en om bescherming te bieden of bestand te zijn tegen, te reageren op, of zich aan te passen aan en te herstellen van een incident. In het geval van de CER-richtlijn kunnen hier zowel natuurrampen als door de mens veroorzaakte rampen onder vallen, zowel onbedoeld als opzettelijk. Denk hierbij aan ongevallen, overstromingen, terroristische misdrijven, criminele infiltratie, of sabotage. Wat betreft de NIS2-richtlijn omvat weerbaarheid bijvoorbeeld bescherming tegen gijzelsoftware, malware, of cyberaanvallen op de toeleveringsketen.
NIS2-richtlijn
De minister van Justitie en Veiligheid heeft de Tweede Kamer op 31 januari 2024 via een Kamerbrief geïnformeerd over aangepaste planning voor het omzetten van de NIS2-richtlijn in Nederlandse wetgeving. In deze brief heeft de minister aangegeven dat de internetconsultatie voor de zomer van 2024 plaatsvindt. Hierdoor zal Nederland de implementatiedeadline van de Europese Commissie op 17 oktober 2024 niet halen. Dit betekent dat er tot de inwerkingtreding van de Nederlandse wetgeving in 2025 geen nationale wetgeving van kracht zal zijn die de nieuwe eisen van de NIS2-richtlijn wettelijk afdwingbaar maakt. Organisaties krijgen daardoor extra tijd om zich voor te bereiden. De exacte datum waarop de Nederlandse wetgeving van kracht wordt, is nog niet vastgesteld.
Communicatie vanuit VWS verloopt via deze website (www.gegevensuitwisselingindezorg.nl/weerbaarheid). Daarnaast vindt er directe berichtgeving aan koepelverenigingen en andere samenwerkingsverbanden in de zorgsector plaats via het ministerie van VWS.
Volgens de NIS2-richtlijn kunnen bestuurders van een entiteit aansprakelijk worden gesteld als zij niet voldoen aan hun plicht om te zorgen voor naleving van de richtlijn. Op dit moment is nog niet definitief vastgesteld hoe dit artikel wordt uitgewerkt in de nationale wet- en regelgeving.
Ja, de Inspectie Gezondheidszorg en Jeugd (IGJ) kan een geldboete opleggen met een maximumbedrag van 10.000.000 euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming, afhankelijk van welk bedrag hoger is. Voor andere overtredingen uit de wet kan de IGJ een boetemaximum van 1 miljoen euro.
De huidige Wbni en de uitwerking van de regels in het Besluit beveiliging netwerk- en informatiesystemen (Bbni) zijn op dit moment van kracht. De NIS2- richtlijn zal in Nederland in een andere wet worden omgezet.
Dit betekent dat de huidige Wbni en Bbni worden aangepast op de nieuwe wet.
De Algemene verordening gegevensbescherming (AVG) en de NIS2-richtlijn staan los van elkaar. Hoewel zowel de AVG als de NIS2-richtlijn voortkomen uit Europese wetgeving, behandelen ze verschillende aspecten. De AVG richt zich op privacy en biedt richtlijnen aan bedrijven en organisaties over het verzamelen, opslaan en beheren van persoonsgegevens. Daarnaast stelt de AVG voorwaarden vast waaronder er met (bijzondere) persoonsgegevens mag worden gewerkt.
Aan de andere kant richt de NIS2-richtlijn zich op de informatiebeveiliging van bedrijven en organisaties, zonder specifiek in te gaan op persoonsgegevens van individuen. De wettelijke kaders van de NIS2-richtlijn zijn ontworpen om te voorkomen dat (persoons)gegevens in verkeerde handen vallen.
Entiteiten die significante incidenten moeten melden volgens wetgeving die voortkomt uit de NIS2-richtlijn dienen zich eerst te registreren. Registreren en melden kan straks in hetzelfde portaal.
Het melden van significante incidenten onder de NIS2-richtlijn staat los van andere meldplichten, zoals die van de AVG. Het is daarom mogelijk dat entiteiten incidenten op meerdere plekken moeten melden, aangezien een incident verschillende aspecten kan hebben (zie de tabel hieronder).
Situatie? | Waar melden? |
---|---|
Significant incident NIS2-richtlijn Incident met mogelijk ernstige operationele verstoring of verlies van financiën |
Meldportaal voor incidentmeldingen volgens NIS2-richtlijn. |
Datalek AVG Geen verstoring, denk aan o.a. het verkeerd adresseren van een e-mail of het laten liggen van aantekeningen in een winkelwagentje |
Meldportaal voor incidentmeldingen volgens AVG. |
Significant incident NIS2-richtlijn + datalek AVG Bijvoorbeeld gestolen persoonsgegevens door een ransomware aanval. |
Meldportaal voor incidentmeldingen volgens NIS2-richtlijn. Meldportaal voor incidentmeldingen volgens AVG. |
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en gericht op de categorie zorgaanbieders in de sector zorg. De norm is gebaseerd op de internationale ISO 27001, ISO 27002 en ISO 27799 standaarden. Deze NEN 7510 stelt eisen aan een managementsysteem voor informatiebeveiliging (NEN 7510-1) en biedt een reeks beheersmaatregelen (NEN 7510-2 en ISO 27799) om de beschikbaarheid, vertrouwelijkheid en integriteit van persoonlijke gezondheidsinformatie te waarborgen. De norm stelt geen eisen aan specifieke producten zoals elektronische patiëntendossiers, maar richt zich op het algemene beveiligingsmanagement binnen zorgorganisaties.
Voldoen aan de NEN7510 is nu al verplicht voor zorgaanbieders en dekt een aantal verplichtingen van de NIS2-richtlijn af. Naast het implementeren van maatregelen op het gebied van digitale veiligheid (de zorgplicht waarvoor de NEN7510 het kader biedt), dienen belangrijke en essentiële entiteiten volgens de NIS2-richtlijn grootschalige incidenten te melden (meldplicht) en bij ernstige bedreigingen van hun netwerk de ontvangers van hun diensten te informeren over mogelijke gevolgen (informatieplicht).
Aanvullend schrijft de NIS2-richtlijn voor dat organisaties (in alle sectoren onder de NIS2, inclusief de gezondheidszorg) zich registreren in een nog te ontwikkelen register en de gegevens actueel houden(registratieplicht). Bovendien benadrukt de NIS2-richtlijn dat bestuurders van belangrijke en essentiële entiteiten verantwoordelijkheid dragen voor informatiebeveiliging. Het is dus raadzaam om aanvullende acties te ondernemen om te voldoen aan specifieke vereisten van de NIS2-richtlijn die niet volledig door de NEN7510 worden afgedekt.
Voor een overzicht van de vereisten uit de NIS2-richtlijn ten opzichte van de NEN 7510 zie onderstaande tabel.
beleid inzake risicoanalyse en beveiliging van informatiesystemen | 7510-1 6.1 Maatregelen om risico's te beperken en kansen te benutten 7510-1 8.2 Risicobeoordeling van informatiebeveiliging |
incidentenbehandeling | 7510-2 16 Beheer van informatiebeveiligingsincidenten |
bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer | 7510-2 12.3 Back-up - volledig 7510-2 16.1.2 Rapportage van informatiebeveiligingsgebeurtenissen - gedeeltelijke dekking van crisis- en continuïteitsbeheer 7510-2 17 Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer - gedeeltelijke dekking crisis- en continuïteitsbeheer 7510-2 12.1.2 Wijzigingsbeheer - gedeeltelijke dekking crisis- en continuïteitsbeheer |
de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners | 7510-2 14.2.7 Uitbestede softwareontwikkeling 7510-2 15.1.3 Toeleveringsketen van informatie- en communicatietechnologie |
beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden | 7510-2 14 Acquisitie, ontwikkeling en onderhoud van informatiesystemen 7510-2 12.6 Beheer van technische kwetsbaarheden |
beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen | 7510-1 6.1 Maatregelen om risico's te beperken en kansen te benutten |
basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging | 7510-2 bevat legio maatregelen, een groot deel waarvan als basispraktijken zouden kunnen worden bestempeld |
beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie | 7510-2 10 Cryptografie |
beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa | 7510-2 7 Veilig personeel 7510-2 8 Beheer van bedrijfsmiddelen 7510-2 9 Toegangsbeveiliging |
wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit | 7510-2 9.4.1 Beperking toegang tot informatie (MFA) 7510-2 9 Toegangsbeveiliging Het tweede gedeelte (spraak, video, tekst) wordt niet in zoveel specifieke woorden gecovered in de 7510. Een deel kan je nog zien onder: 7510-2 15.1.3 Toeleveringsketen van informatie- en communicatietechnologie |
Nee, de NIS2-richtlijn verplicht niet tot het aanstellen van een security functionaris in loondienst. Een functionaris die zich voornamelijk of uitsluitend richt op informatiebeveiliging binnen het bedrijf kan wel helpen om de regelgeving die voortvloeit uit de NIS2-richtlijn beter te implementeren en na te leven.
CER-richtlijn
De CER-richtlijn wordt omgezet in Nederlandse wet- en regelgeving, waaronder algemene maatregel van bestuur en ministeriële regeling. In de ministeriële regeling zal het ministerie van VWS criteria opnemen op basis waarvan organisaties in de zorg worden aangewezen als kritieke entiteit. Het vaststellen van de criteria in de ministeriële regeling en het vervolgens aanwijzen van organisaties in de zorgsector zal in 2025 plaatsvinden.
De organisaties die onder de wet worden aangewezen als kritieke entiteit, worden hiervan schriftelijk op de hoogte gebracht door het ministerie van VWS. De aangewezen kritieke entiteiten hebben vervolgens 10 maanden vanaf het moment van aanwijzing om aan de verplichtingen uit de wet te voldoen.
De CER-richtlijn biedt de mogelijkheid om bestuurders van entiteiten aansprakelijk te stellen. Dit betekent dat bestuurders van kritieke entiteiten in een uiterst geval hoofdelijk aansprakelijk gesteld kunnen worden. Hoe dit wordt opgenomen in nationale en lagere wetgeving wordt op dit moment uitgewerkt.
Volgens de CER-richtlijn moet Nederland voorschriften vaststellen met betrekking tot het opleggen van sancties. Het toezicht op de zorgsector zal worden uitgevoerd door de Inspectie Gezondheidszorg en Jeugd (IGJ). In geval van een overtreding van de zorgplicht of van de meldplicht kan de IGJ een geldboete opleggen met een maximumbedrag van 10.000.000 euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming, afhankelijk van welk bedrag hoger is. Bij overtreding van andere verplichtingen uit de wet geldt een boetemaximum van 1 miljoen euro.
De CER-richtlijn bevat algemene criteria voor het aanwijzen van entiteiten, die van toepassing zijn op alle sectoren onder de CER-richtlijn. Op basis van deze criteria zal het ministerie van VWS wellicht meer specifieke criteria opstellen voor de zorgsector om de wet gericht toe te passen op de juiste doelgroep.
Mogelijke criteria voor het aanwijzen van entiteiten in de zorgsector kunnen betrekking hebben op unieke functies of voorzieningen binnen de Nederlandse zorg. Overwegingen kunnen ook worden gemaakt met betrekking tot geografische spreiding en de verplaatsbaarheid van voorzieningen in de zorg.
Nee, dit is niet de insteek van de wet. De focus ligt op het vooraf identificeren van mogelijke kwetsbaarheden. De lijst van kritieke entiteiten wordt wanneer dat nodig is en ten minste elke vier jaar, geëvalueerd en geactualiseerd.