Vraag en antwoord

De omzetting van de NIS2-richtlijn naar de Cyberbeveiligingswet en van de CER-richtlijn naar de Wet weerbaarheid kritieke entiteiten  is momenteel volop in ontwikkeling. Europese lidstaten hebben tot oktober 2024 de tijd om de richtlijnen om te zetten in nationale wetgeving. De minister van Justitie en Veiligheid heeft de Tweede Kamer en de Europese Commissie geïnformeerd dat Nederland deze implementatiedeadline niet zal halen.

Op de pagina's van de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten worden de verplichtingen van deze wetten samengevat, inclusief de sectoren waarop ze van toepassing zijn. Dit biedt organisaties inzicht in de verplichtingen waar zij aan moeten voldoen.

Nadere invulling van deze wetgeving vindt plaats via een algemene maatregel van bestuur (AMvB) en sectorspecifieke ministeriële regeling.

De richtlijnen verplichten lidstaten om kritieke, essentiële en belangrijke entiteiten te ondersteunen bij het versterken van hun weerbaarheid tegen zowel fysieke als digitale risico's. Zo schrijft de CER-richtlijn voor dat de overheid elke vier jaar per sector een risicobeoordeling uitvoert en deelt deze met kritieke entiteiten binnen die sector. De NIS2-richtlijn schrijft voor dat essentiële en belangrijke entiteiten ondersteund worden met advies en bijstand in geval van een digitale hack of cyberincident door een CSIRT (Computer Security Incident Response Team), voor de zorg is dit Z-CERT.

De overheid kan verdere ondersteuning bieden in de vorm van informatie-uitwisseling, handreikingen, en instrumenten ter verhoging van de weerbaarheid, zoals bijvoorbeeld voor het uitvoeren van een risicobeoordeling.

Nee, er wordt geen geld beschikbaar gesteld voor individuele organisaties. Het ministerie van VWS kijkt wel hoe de zorgsector als geheel kan worden ondersteund, bijvoorbeeld door het ter beschikking stellen van kennisproducten en hulpmiddelen om te ondersteunen met de implementatie.

Weerbaarheid verwijst naar het vermogen om een incident te voorkomen, te beperken, of effectief te beheersen, en om bescherming te bieden of bestand te zijn tegen, te reageren op, of zich aan te passen aan en te herstellen van een incident. In het geval van de Wet weerbaarheid kritieke entiteiten kunnen hier zowel natuurrampen als door de mens veroorzaakte rampen onder vallen, zowel onbedoeld als opzettelijk. Denk hierbij aan ongevallen, overstromingen, terroristische misdrijven, criminele infiltratie, of sabotage. Wat betreft de Cyberbeveiligingswet omvat weerbaarheid bijvoorbeeld bescherming tegen gijzelsoftware, malware, of cyberaanvallen op de toeleveringsketen.

De minister van Justitie en Veiligheid heeft de Tweede Kamer op 31 januari 2024 via een Kamerbrief geïnformeerd over aangepaste planning voor het omzetten van de NIS2-richtlijn in Nederlandse wetgeving. In deze brief heeft de minister aangegeven dat de internetconsultatie voor de zomer van 2024 plaatsvindt. Hierdoor zal Nederland de implementatiedeadline van de Europese Commissie op 17 oktober 2024 niet halen. Dit betekent dat er tot de inwerkingtreding van de Nederlandse wetgeving in 2025 geen nationale wetgeving van kracht zal zijn die de nieuwe eisen van de NIS2-richtlijn wettelijk afdwingbaar maakt. Organisaties krijgen daardoor extra tijd om zich voor te bereiden. De exacte datum waarop de Nederlandse Cyberbeveiligingswet van kracht wordt, is nog niet vastgesteld.

Communicatie vanuit VWS verloopt via deze website (www.gegevensuitwisselingindezorg.nl/weerbaarheid). Daarnaast vindt er directe berichtgeving aan koepelverenigingen en andere samenwerkingsverbanden in de zorgsector plaats via het ministerie van VWS.

Volgens de Cyberbeveiligingswet kunnen bestuurders van een entiteit aansprakelijk worden gesteld als zij niet voldoen aan hun plicht om te zorgen voor naleving van de richtlijn.

Ja, de Inspectie Gezondheidszorg en Jeugd (IGJ) kan een geldboete opleggen met een maximumbedrag van 10.000.000 euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming, afhankelijk van welk bedrag hoger is. Voor andere overtredingen uit de wet kan de IGJ een boetemaximum van 1 miljoen euro.

De huidige Wbni en de uitwerking van de regels in het Besluit beveiliging netwerk- en informatiesystemen (Bbni) zijn op dit moment van kracht. De huidige Wbni en Bbni vervallen zodra de Cyberbeveiligingswet van kracht is.

De Algemene verordening gegevensbescherming (AVG) en de Cyberbeveiligingswet staan los van elkaar. Hoewel zowel de AVG als de Cyberbeveiligingswet voortkomen uit Europese wetgeving, behandelen ze verschillende aspecten. De AVG richt zich op privacy en biedt richtlijnen aan bedrijven en organisaties over het verzamelen, opslaan en beheren van persoonsgegevens. Daarnaast stelt de AVG voorwaarden vast waaronder er met (bijzondere) persoonsgegevens mag worden gewerkt.

Aan de andere kant richt de Cyberbeveiligingswet zich op de informatiebeveiliging van bedrijven en organisaties, zonder specifiek in te gaan op persoonsgegevens van individuen. De wettelijke kaders van de Cyberbeveiligingswet zijn ontworpen om te voorkomen dat (persoons)gegevens in verkeerde handen vallen.

Entiteiten die significante incidenten moeten melden volgens de Cyberbeveiligingswet dienen zich eerst te registreren. Registreren en melden kan straks in hetzelfde portaal.

Het melden van significante incidenten onder de Cyberbeveiligingswet staat los van andere meldplichten, zoals die van de AVG. Het is daarom mogelijk dat entiteiten incidenten op meerdere plekken moeten melden, aangezien een incident verschillende aspecten kan hebben (zie de tabel hieronder).

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en gericht op de categorie zorgaanbieders in de sector zorg. De norm is gebaseerd op de internationale ISO 27001, ISO 27002 en ISO 27799 standaarden. Deze NEN 7510 stelt eisen aan een managementsysteem voor informatiebeveiliging (NEN 7510-1) en biedt een reeks beheersmaatregelen (NEN 7510-2 en ISO 27799) om de beschikbaarheid, vertrouwelijkheid en integriteit van persoonlijke gezondheidsinformatie te waarborgen. De norm stelt geen eisen aan specifieke producten zoals elektronische patiëntendossiers, maar richt zich op het algemene beveiligingsmanagement binnen zorgorganisaties.

Voldoen aan de NEN7510 is nu al verplicht voor zorgaanbieders en dekt een aantal verplichtingen van de NIS2-richtlijn en de Cyberbeveiligingswet af. Naast het implementeren van maatregelen op het gebied van digitale veiligheid (de zorgplicht waarvoor de NEN7510 het kader biedt), dienen belangrijke en essentiële entiteiten volgens de Cyberbeveiligingswet grootschalige incidenten te melden (meldplicht) en bij ernstige bedreigingen van hun netwerk de ontvangers van hun diensten te informeren over mogelijke gevolgen (informatieplicht).

Aanvullend schrijft de Cyberbeveiligingswet voor dat organisaties (in alle sectoren onder de Cyberbeveiligingswet, inclusief de gezondheidszorg) zich registreren in een nog te ontwikkelen register en de gegevens actueel houden(registratieplicht). Bovendien benadrukt de Cyberbeveiligingswet dat bestuurders van belangrijke en essentiële entiteiten verantwoordelijkheid dragen voor informatiebeveiliging. Het is dus raadzaam om aanvullende acties te ondernemen om te voldoen aan specifieke vereisten van de Cyberbeveiligingswet die niet volledig door de NEN7510 worden afgedekt.

Voor een overzicht van de vereisten uit de Europese NIS2-richtlijn ten opzichte van de NEN 7510 zie onderstaande tabel.

Nee, de Cyberbeveiligingswet verplicht niet tot het aanstellen van een security functionaris in loondienst. Een functionaris die zich voornamelijk of uitsluitend richt op informatiebeveiliging binnen het bedrijf kan wel helpen om de regelgeving beter te implementeren en na te leven.

Zorgaanbieder wordt in de Cyberbeveiligingswet gedefinieerd op basis van de Wet kwaliteit, klachten en geschillen zorg (Wkkgz). Volgens de Wkkgz is een zorgverlener een natuurlijke persoon die beroepsmatig zorg verleent. Onder zorg wordt verstaan: Wlz-zorg, Zvw-zorg en andere zorg. Denk hierbij aan verpleeghuizen, ziekenhuizen, huisartsen, fysiotherapeuten, bedrijfsartsen en verzekeringsartsen die de gezondheidstoestand van cliënten beoordelen of cliënten medisch begeleiden, maar ook aanbieders van cosmetische behandelingen en aanbieders van alternatieve geneeswijzen. De Cyberbeveiligingswet heeft daarbij alleen betrekking op entiteiten. Een zorgaanbieder volgens de Cyberbeveiligingswet is dus een entiteit waar zorgverleners werken.  
De Wkkgz geldt niet voor ondersteuning uit de Wet maatschappelijke ondersteuning (Wmo 2015) en jeugdhulp (Jeugdwet). Dit betekent dat een instelling die uitsluitend werk verricht in het kader van de Wmo 2015 of de Jeugdwet niet aangemerkt kan worden als ‘zorgaanbieder’ onder de sector gezondheidszorg van de Cyberbeveiligingswet.

Nee, dit is geen verplichting in de Cyberbeveiligingswet. Het hebben van goede mogelijkheden om incidenten te detecteren kan de impact ervan wel beperken. Organisaties zijn vrij om te bepalen hoe zij dit inrichten. Bijvoorbeeld intern of met een externe leverancier.

De CER-richtlijn wordt omgezet in de Nederlandse wet- en regelgeving, waaronder de Wet weerbaarheid kritieke entiteiten, een algemene maatregel van bestuur en een ministeriële regeling. In de ministeriële regeling zal het ministerie van VWS criteria opnemen op basis waarvan organisaties in de zorg worden aangewezen als kritieke entiteit. Het vaststellen van de criteria in de ministeriële regeling en het vervolgens aanwijzen van organisaties in de zorgsector zal in 2025 plaatsvinden.

De organisaties die onder de wet worden aangewezen als kritieke entiteit, worden hiervan schriftelijk op de hoogte gebracht door het ministerie van VWS. De aangewezen kritieke entiteiten hebben vervolgens 10 maanden vanaf het moment van aanwijzing om aan de verplichtingen uit de wet te voldoen.

De Wet weerbaarheid kritieke entiteiten biedt de mogelijkheid om bestuurders van entiteiten aansprakelijk te stellen. Dit betekent dat bestuurders van kritieke entiteiten in een uiterst geval hoofdelijk aansprakelijk gesteld kunnen worden.

Volgens de Wet weerbaarheid kritieke entiteiten moet Nederland voorschriften vaststellen met betrekking tot het opleggen van sancties. Het toezicht op de zorgsector zal worden uitgevoerd door de Inspectie Gezondheidszorg en Jeugd (IGJ). In geval van een overtreding van de zorgplicht of van de meldplicht kan de IGJ een geldboete opleggen met een maximumbedrag van 10.000.000 euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming, afhankelijk van welk bedrag hoger is. Bij overtreding van andere verplichtingen uit de wet geldt een boetemaximum van 1 miljoen euro.

De Europese CER-richtlijn bevat algemene criteria voor het aanwijzen van entiteiten, die van toepassing zijn op alle sectoren onder de Wet weerbaarheid kritieke entiteiten. Op basis van deze criteria zal het ministerie van VWS wellicht meer specifieke criteria opstellen voor de zorgsector om de wet gericht toe te passen op de juiste doelgroep.

Mogelijke criteria voor het aanwijzen van entiteiten in de zorgsector kunnen betrekking hebben op unieke functies of voorzieningen binnen de Nederlandse zorg. Overwegingen kunnen ook worden gemaakt met betrekking tot geografische spreiding en de verplaatsbaarheid van voorzieningen in de zorg.

Nee, dit is niet de insteek van de wet. De focus ligt op het vooraf identificeren van mogelijke kwetsbaarheden. De lijst van kritieke entiteiten wordt wanneer dat nodig is en ten minste elke vier jaar, geëvalueerd en geactualiseerd.