Cyberbeveiligingswet Actueel

Onze Minister is het centrale contactpunt en heeft in die hoedanigheid de volgende taken:

1. het zorgen voor grensoverschrijdende samenwerking van de autoriteiten van Nederland met de relevante autoriteiten van andere lidstaten van de Europese Unie, de Europese Commissie en Enisa, door middel van het vervullen van een verbindingsfunctie;

2. het zorgen voor sectoroverschrijdende samenwerking tussen de bevoegde autoriteiten binnen Nederland, door middel van het vervullen van een verbindingsfunctie; en

3. de overige in deze wet genoemde taken.

1. De bevoegde autoriteit is voor de entiteiten in de sectoren en subsectoren, genoemd in bijlage 1 en bijlage 2 van deze wet:

2. Onze Minister van Economische Zaken is de bevoegde autoriteit voor de entiteiten die domeinnaamregistratiediensten verlenen.

3. Onze Minister van Onderwijs, Cultuur en Wetenschap is de bevoegde autoriteit voor de instellingen voor hoger onderwijs als bedoeld in artikel 1.1, onder g, van de Wet op het hoger onderwijs en wetenschappelijk onderzoek, die op grond van artikel 11 zijn aangewezen als essentiële entiteit of op grond van artikel 13 zijn aangewezen als belangrijke entiteit.

4. De bevoegde autoriteit voor een entiteit in de sector onderzoek, genoemd in bijlage 2 van deze wet, is Onze Minister die is aangewezen als bevoegde autoriteit voor de entiteiten in de sector of subsector waarin de betrokken entiteit haar onderzoeksactiviteiten verricht. De bevoegde autoriteit voor een entiteit in de sector onderzoek, genoemd in bijlage 2 van deze wet, die niet valt in een sector of subsector waarvoor reeds een bevoegde autoriteit is aangewezen, is Onze Minister die het aangaat.

5. De bevoegde autoriteit, bedoeld in artikel 8 van de Wet weerbaarheid kritieke entiteiten, van een op grond van artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten aangewezen kritieke entiteit is tevens de bevoegde autoriteit in de zin van deze wet voor die entiteit.

6. De bevoegde autoriteit heeft de volgende taken:

   1. het zorgen voor de bestuursrechtelijke handhaving van het bepaalde bij of krachtens deze wet ten aanzien van essentiële entiteiten, belangrijke entiteiten, entiteiten die domeinnaamregistratiediensten verlenen en leden van het bestuur van essentiële entiteiten en belangrijke entiteiten;

   2. het zorgen voor de bestuursrechtelijke handhaving van het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie; en

   3. de overige in deze wet genoemde taken van de bevoegde autoriteit.

1. Bij of krachtens algemene maatregel van bestuur wordt het CSIRT aangewezen voor elke essentiële entiteit en belangrijke entiteit.

2. Het CSIRT heeft de volgende taken:

   1. het monitoren en analyseren van cyberdreigingen, kwetsbaarheden en incidenten op nationaal niveau, en het op verzoek verlenen van bijstand aan de betrokken essentiële entiteit of belangrijke entiteit met betrekking tot het realtime of bijna-realtime monitoren van haar netwerk- en informatiesysteem;

   2. het verstrekken van vroegtijdige waarschuwingen, meldingen en aankondigingen en het verspreiden van informatie aan de betrokken essentiële entiteit of belangrijke entiteit, de bevoegde autoriteiten, Onze Minister van Economische Zaken, ten behoeve van de uitvoering van de taken, bedoeld in artikel 2, eerste lid, van de Wet bevordering digitale weerbaarheid bedrijven, en andere relevante partijen over cyberdreigingen, kwetsbaarheden en incidenten, indien mogelijk in bijna-realtime;

   3. indien van toepassing, het reageren op incidenten en verlenen van bijstand aan de betrokken essentiële entiteit of belangrijke entiteit;

   4. het verzamelen en analyseren van forensische gegevens en het zorgen voor dynamische risico- en incidentenanalyse en situationeel bewustzijn met betrekking tot cyberbeveiliging;

   5. het op verzoek van een essentiële entiteit of belangrijke entiteit proactief scannen van het netwerk- en informatiesysteem van de betrokken entiteit om kwetsbaarheden met mogelijk significante gevolgen op te sporen;

   6. het deelnemen aan het CSIRT-netwerk en, in overeenstemming met zijn capaciteiten en bevoegdheden, het verlenen van wederzijdse bijstand aan andere leden van het CSIRT-netwerk op verzoek van een lid van dat netwerk;

   7. het deelnemen aan de op grond van artikel 19 van de NIS2-richtlijn georganiseerde collegiale toetsingen;

   8. indien van toepassing, het optreden als coördinator ten behoeve van het proces van gecoördineerde bekendmaking van kwetsbaarheden, bedoeld in artikel 17; en

   9. het bijdragen aan de uitrol van veilige instrumenten voor het delen van informatie, bedoeld in artikel 10, derde lid, van de NIS2-richtlijn.

3. Het CSIRT kan een openbaar toegankelijk netwerk- en informatiesysteem van een essentiële entiteit en belangrijke entiteit proactief en niet-intrusief scannen met het oog op het opsporen van een kwetsbaar of onveilig geconfigureerd netwerk- en informatiesysteem en het informeren van de betrokken entiteit. Deze scan leidt niet tot negatieve gevolgen voor de dienstverlening van de betrokken entiteit.

4. Bij de uitvoering van de taken, bedoeld in het tweede en derde lid, kan het CSIRT op grond van een risicogebaseerde benadering prioriteit geven aan bepaalde taken.

5. Het CSIRT brengt samenwerkingsrelaties tot stand met essentiële entiteiten, belangrijke entiteiten, Onze Minister van Economische Zaken en andere relevante partijen, teneinde de doelstellingen van deze wet te verwezenlijken.

6. Met het oog op de samenwerking, bedoeld in het vijfde lid, bevordert het CSIRT de invoering en het gebruik van gemeenschappelijke of gestandaardiseerde praktijken, classificatieschema’s en taxonomieën met betrekking tot:

   1. procedures voor de incidentenbehandeling;

   2. crisisbeheer; en

   3. gecoördineerde bekendmaking van kwetsbaarheden.

7. Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld over de functionele, financiële, technische en organisatorische vereisten ten aanzien van de organisatie die bij of krachtens algemene maatregel van bestuur als CSIRT wordt aangewezen.

1. Bij of krachtens algemene maatregel van bestuur wordt een CSIRT aangewezen als de coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden.

2. De coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden heeft de volgende taken:

   1. het optreden als tussenpersoon en het waar nodig vergemakkelijken van de interactie tussen de natuurlijke persoon of rechtspersoon die een kwetsbaarheid op grond van artikel 34 meldt en de fabrikant of aanbieder van de mogelijk kwetsbare ICT-producten of -diensten, op verzoek van een van beide partijen;

   2. het identificeren van en contact opnemen met de betrokken entiteiten;

   3. het bijstaan van de natuurlijke persoon of rechtspersoon die een kwetsbaarheid meldt;

   4. het onderhandelen over tijdschema’s voor de bekendmaking en het beheren van kwetsbaarheden die van invloed zijn op meerdere entiteiten; en

   5. wanneer een gemelde kwetsbaarheid significante gevolgen kan hebben voor entiteiten in meer dan één lidstaat van de Europese Unie: het binnen het CSIRT-netwerk samenwerken met de door andere lidstaten van de Europese Unie aangewezen coördinatoren met het oog op een gecoördineerde bekendmaking van kwetsbaarheden.

Onze Minister is de cybercrisisbeheerautoriteit, bedoeld in artikel 9, eerste lid, van de NIS2-richtlijn, en heeft in die hoedanigheid de taken die zijn opgenomen in het nationaal plan voor grootschalige cyberbeveiligingsincidenten en crisisrespons, genoemd in artikel 20.