Cyberbeveiligingsregeling sector overheid

In deze regeling wordt verstaan onder:
– besluit:Cyberbeveiligingsbesluit;
– cruciaal netwerk- en informatiesysteem: netwerk- en informatiesysteem als bedoeld in de artikel 4 van deze regeling;
– NEN: norm die door de Stichting Koninklijk Nederlands Normalisatie Instituut is uitgegeven;
– NEN-EN: NEN die door het Europees Comité voor Normalisatie is vastgesteld;
– NEN-EN-ISO/IEC: NEN-EN die door de International Organization for Standardization en de International Electrotechnical Commission is vastgesteld;
– VIR-BI:Besluit voorschrift informatiebeveiliging rijksdienst bijzondere informatie 2025.

Deze regeling is van toepassing op essentiële entiteiten in de sector overheid, bedoeld in bijlage 1 bij de wet, met uitzondering van de waterschappen.

De essentiële entiteit past de NEN-EN-ISO/IEC 27001:2023 toe op het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsystematiek voor de beveiliging van netwerk- en informatiesystemen, als bedoeld in artikel 6, vierde lid, van het besluit, en op het vaststellen van het toepassingsgebied van deze managementsystematiek.

1. De essentiële entiteit houdt als onderdeel van haar managementsystematiek voor de beveiliging van de netwerk- en informatiesystemen, bedoeld in artikel 6, vierde lid, van het besluit, een overzicht bij van haar cruciale netwerk- en informatiesystemen.
2. Een netwerk- en informatiesysteem van een essentiële entiteit in de subsector centrale overheden is cruciaal indien het systeem een te beschermen belang op niveau 1, 2 of 3 van de tabel in bijlage 1 bij deze regeling heeft.
3. Een netwerk- en informatiesysteem van een essentiële entiteit in de subsector decentrale overheden is cruciaal indien het systeem impactniveau ‘hoog’ of ‘zeer hoog’ van de tabel in bijlage 2 bij deze regeling heeft.

1. De essentiële entiteit gebruikt ten minste de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 voor het formuleren van passende en evenredige maatregelen voor de beveiliging van netwerk- en informatiesystemen als bedoeld in artikel 21, eerste lid, van de wet, met uitzondering van de beheersmaatregelen 5.32 en 5.34.De passende en evenredige maatregelen omvatten ten minste de voor haar relevante overheidsmaatregelen van de Baseline Informatiebeveiliging Overheid 2, versie 1.3 (Stct. 2026, 7416), met uitzondering van de overheidsmaatregelen 5.32.01 tot en met 5.34.01.
2. In afwijking van het eerste lid kunnen bij het formuleren van passende en evenredige maatregelen de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 en de overheidsmaatregelen van de Baseline Informatiebeveiliging Overheid 2, versie 1.3 (Stct. 2026, 7416), voor zover dat noodzakelijk is, worden vervangen door of gecombineerd met beheersmaatregelen uit andere normenkaders die een beveiligingsniveau bieden dat ten minste gelijkwaardig is aan het niveau van de voornoemde beheers- en overheidsmaatregelen.
3. De essentiële entiteit zorgt ervoor dat de opzet, het bestaan en de werking van de passende en evenredige maatregelen aantoonbaar zijn. Indien de entiteit bij het formuleren van passende en evenredige maatregelen gebruik heeft gemaakt van beheersmaatregelen uit andere normenkaders als omschreven in het tweede lid, zorgt zij er ook voor dat de noodzakelijkheid van het gebruik van die andere passende en evenredige maatregelen en de gelijkwaardigheid van het beveiligingsniveau daarvan aantoonbaar zijn.

1. Een incident in de subsector centrale overheden is een significant incident als het leidt of kan leiden tot:
a. uitval van de dienstverlening van de essentiële entiteit van ten minste vier uur;
b. financiële schade voor de staat of de samenleving van meer dan € 500.000.000;
c. de ernstige verwonding of de dood van ten minste één natuurlijke persoon;
d. misbruik van bedrijfsinformatie met financiële schade van meer dan € 5.000.000; of
e. de kennisname door onbevoegden van vertrouwelijke informatie op ten minste het niveau Staatsgeheim CONFIDENTIEEL, bedoeld in artikel 4, tweede lid, onder c, van het VIR-BI, het niveau NATO CONFIDENTIAL bedoeld in de bijlagen B, paragraaf 5.5 en E, paragraaf 6, van de NATO Security Policy (Security Within the North Atlantic Treaty Organization, CM(2002)49-REV1) of het niveau EU CONFIDENTIAL, bedoeld in artikel 2 van het Besluit 2013/488/EU van de Raad van 23 september 2013 betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie.
2. Een incident in de subsector decentrale overheden is een significant incident als het leidt of kan leiden tot:
a. uitval van de dienstverlening van de essentiële entiteit voor ten minste vier uur;
b. financiële gevolgen die niet kunnen worden opgevangen in de begroting; of
c. de ernstige verwonding of de dood van ten minste één natuurlijke persoon.
3. In afwijking van het eerste lid, onderdeel a, en het tweede lid, onderdeel a, is een geplande dienstonderbreking of een ander gepland gevolg van onderhoudswerkzaamheden die door of namens de essentiële entiteit worden uitgevoerd, geen significant incident.

Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333) (Cyberbeveiligingswet) (Kamerstukken 36 764) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.

Deze regeling wordt aangehaald als: Cyberbeveiligingsregeling sector overheid.