Besluit weerbaarheid kritieke entiteiten Actueel

Ter uitvoering van artikel 15 van de wet neemt de kritieke entiteit ten minste de maatregelen, bedoeld in de artikelen 5 tot en met 13.

1. De kritieke entiteit heeft vastgesteld beleid over de identificatie van haar kritieke infrastructuur. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

2. De kritieke entiteit heeft een actueel overzicht van haar kritieke infrastructuur. Dat overzicht omvat ten minste een beschrijving van de noodzakelijkheid van de desbetreffende voorziening, faciliteit, apparatuur, netwerk of systeem, of een onderdeel daarvan, voor de verlening van de essentiële dienst.

De kritieke entiteit heeft vastgesteld beleid over het verwerven, ontwikkelen, onderhouden, herstellen en beëindigen van haar kritieke infrastructuur. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

De kritieke entiteit identificeert haar rechtstreekse leveranciers en rechtstreekse dienstverleners, voor zover zij gerelateerd zijn aan de essentiële dienst, en heeft vastgesteld beleid over de rol van deze rechtstreekse leveranciers en rechtstreekse dienstverleners ten aanzien van de weerbaarheid en instandhouding van de essentiële dienst. Die identificatie en vaststelling geschiedt op basis van de risicobeoordeling, bedoeld in artikel 14 van de wet, met inachtneming van het bepaalde in artikel 3, tweede lid. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

1. De kritieke entiteit neemt maatregelen voor de adequate fysieke bescherming van haar gebouwen en haar kritieke infrastructuur. Daartoe neemt de entiteit in ieder geval de volgende maatregelen:

   1. het instellen van beveiligingszones;

   2. het inrichten van toegangsbeveiliging;

   3. het beveiligen van kantoren, ruimten, faciliteiten, bedrijfsmiddelen buiten het terrein en nutsvoorzieningen, die van essentieel belang zijn voor de instandhouding van haar kritieke infrastructuur;

   4. het monitoren van de beveiliging; en

   5. het plaatsen van apparatuur op een veilige locatie en het treffen van beschermingsmaatregelen voor die apparatuur.

2. Indien de kritieke entiteit risico’s heeft geïdentificeerd ten aanzien van natuurrampen en klimaatverandering, neemt zij in ieder geval maatregelen in het kader van die risico’s die op of rondom haar huidige en toekomstige locaties kunnen bestaan, zowel ondergronds als bovengronds.

3. De kritieke entiteit legt de maatregelen, bedoeld in het eerste lid, schriftelijk vast.

1. De kritieke entiteit heeft vastgestelde plannen voor het beheersen van crises en incidenten en voor het waarborgen van de bedrijfscontinuïteit. De entiteit legt die plannen schriftelijk vast, past deze plannen aantoonbaar toe in geval van een incident en beoefent deze plannen periodiek.

2. Het plan voor het beheersen van crises en incidenten, bedoeld in het eerste lid, bestaat in ieder geval uit:

   1. een beschrijving van de rollen, verantwoordelijkheden en bevoegdheden van het personeel ten tijde van een crisis of incident;

   2. procedures en mogelijke maatregelen voor het bestrijden, beperken en herstellen van een incident of crisis en het daartegen bestand zijn, teneinde de gevolgen daarvan te beperken; en

   3. indien van toepassing, procedures voor het gebruik van beveiligde noodcommunicatiesystemen binnen de entiteit.

3. Het plan voor het waarborgen van de bedrijfscontinuïteit, bedoeld in het eerste lid, bestaat in ieder geval uit:

   1. procedures en mogelijke maatregelen voor noodvoorzieningen;

   2. procedures en mogelijke maatregelen om de essentiële dienst te beschermen voor uitval en zo spoedig mogelijk te herstellen na een incident; en

   3. indien van toepassing, procedures voor het gebruik van beveiligde noodcommunicatiesystemen binnen de entiteit.

1. De kritieke entiteit heeft vastgesteld beleid over de rollen, bevoegdheden en verantwoordelijkheden van haar personeel dat verantwoordelijk is voor haar weerbaarheid of het beheer van haar kritieke infrastructuur. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

2. Het beleid, bedoeld in het eerste lid, omvat in ieder geval de identificatie van categorieën personeelsleden die kritieke functies vervullen.

3. Het beleid, bedoeld in het eerste lid, omvat in ieder geval de verzorging van periodieke bewustwordings- en opleidingsactiviteiten en oefeningen voor het personeel, gericht op het ontwikkelen en behouden van de kwalificaties, de kennis, het bewustzijn, de vaardigheden en het gedrag, welke noodzakelijk zijn voor de weerbaarheid van de kritieke entiteit. In die activiteiten en opleidingen worden in ieder geval de maatregelen die moeten worden genomen op grond van artikel 15, eerste lid, van de wet, behandeld.

1. De kritieke entiteit heeft vastgesteld beleid over de beveiliging, integriteit en vertrouwelijkheid van gevoelige informatie die van belang is voor haar weerbaarheid. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

2. Het beleid, bedoeld in het eerste lid, omvat in ieder geval:

   1. de rubricering van gevoelige informatie; en

   2. de toegang tot gevoelige informatie.

1. Indien de kritieke entiteit gericht wordt geattendeerd op de voor haar weerbaarheid relevante risico’s en dreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 15 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.

2. Het eerste lid is van overeenkomstige toepassing op gerichte adviezen en informatie, die relevant zijn voor de weerbaarheid van de kritieke entiteit, en zijn ontvangen van relevante organisaties, waaronder bevoegde autoriteiten, andere betrokken overheidsinstanties, rechtstreekse leveranciers en rechtstreekse dienstverleners.

De kritieke entiteit evalueert de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 15, eerste lid, van de wet en de effecten ervan in de praktijk ten minste elke vier jaar, of eerder, indien hiertoe aanleiding bestaat, en legt het resultaat daarvan schriftelijk vast. De entiteit past naar aanleiding van de uitkomst van die evaluaties de maatregelen waar nodig aan.

Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen nadere regels worden gesteld over de maatregelen, bedoeld in artikel 15, eerste lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, categorieën van entiteiten en entiteiten.