Aanbieders van essentiële diensten, zoals drinkwaterbedrijven, banken en beheerders van gas- en elektriciteitsleidingen, moeten in Nederland in de loop van 2018 verplicht voldoen aan beveiligingseisen.
De aanbieders moeten adequate maatregelen nemen tegen inbreuken van buitenaf op hun netwerk- en informatiebeveiliging. Als zich toch een cyberincident voordoet, moeten zij hun techniek en organisatie op orde hebben om de digitale ‘brand’ snel te kunnen blussen en de schade zoveel mogelijk te beperken.
Dit blijkt uit het voorstel voor de Cybersecuritywet (Csw) van de Nederlandse minister Grapperhaus (Justitie en Veiligheid), dat bij de Tweede Kamer is ingediend. Het doel is om Nederland digitaal veiliger te maken. De Csw vloeit voort uit de Netwerk- en Informatiebeveiligingsrichtlijn (NIB-richtlijn) van de Europese Unie. Deze spoort de lidstaten aan hun digitale weerbaarheid te vergroten en beter met elkaar samen te werken.
Meldplicht
Ernstige cyberincidenten moeten voortaan ook worden gemeld bij de toezichthouder. Volgens de huidige Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) zijn aanbieders van bepaalde diensten enkel verplicht dit soort incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC) – dat voor Nederland fungeert als een Cyber Security Incident Response Team (CSIRT). Een CSIRT waarschuwt voor risico’s en biedt hulp en bijstand bij cyberincidenten.
Opname in de cybersecuritywet
De toezichthouder (voor de Nederlandse banken is dat bijvoorbeeld De Nederlandsche Bank) ziet toe op naleving van de beveiligingseisen en de meldplicht en legt zo nodig sancties op, zoals een bestuurlijke boete. De Csw geldt straks ook voor aanbieders van onlinemarktplaatsen, cloudcomputerdiensten en online zoekmachines. Het is nog niet bekend welke instantie voor die aanbieders het meldingspunt wordt. De bepalingen in de huidige Wgmc worden opgenomen in de nieuwe cybersecuritywet. Daardoor wordt de Wgmc zelf nadien ingetrokken.
In samenwerking met Dutch IT-Channel.
