De Netwerk- en informatiebeveilgingsrichtlijn (NIB richtlijn) en de Wet Beveiliging Netwerk en informatiesystemen (Wbni) kennen een zorgplicht en stellen daarbij globale beveiligingseisen (‘een open norm’) aan digitale dienstverleners. CIP maakte een analyse.
Voor alle aanbieders die onder de richtlijn vallen, geldt een meldplicht voor incidenten met aanzienlijke gevolgen voor de dienstverlening. | Beeld: Shutterstock
De Europese Commissie heeft een voorstel gedaan voor een richtlijn met maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de EU, als vervanging van de oorspronkelijke Netwerk- en informatiebeveiligingsrichtlijn (NIB-richtlijn). Deze richtlijn en de Wet Beveiliging Netwerk en informatiesystemen (Wbni), de Nederlandse implementatie van de richtlijn, kennen een zorgplicht. Ze stellen daarbij globale beveiligingseisen (‘een open norm’) aan digitale dienstverleners (DSP’s). Daarnaast eisen de NIS2 en de Wbni het nemen van passende en evenredige technische en organisatorische maatregelen aan Aanbieders van Essentiële Diensten (AED’s).
De verantwoordelijkheid voor het bieden van een passend beveiligingsniveau ligt bij de aanbieder van de digitale dienst.
Voor Nederland (en de andere lidstaten) geldt dat de overige overheidsdiensten verantwoordelijk blijven om te zorgen voor de beveiliging van netwerk- en informatiesystemen van overheidsdiensten, die niet binnen de werkingssfeer van deze richtlijn vallen. Nederland hanteert hiervoor de Baseline Informatiebeveiliging Overheid (BIO). Zoals ook bij de BIO blijft bij de richtlijn en de Wbni de verantwoordelijkheid voor het bieden van een passend beveiligingsniveau bij de aanbieder van de digitale dienst.
Voor alle aanbieders die onder de richtlijn vallen, geldt een meldplicht voor incidenten met aanzienlijke gevolgen voor de dienstverlening. Vanuit de richtlijn en de Wbni worden geen inhoudelijke eisen gesteld aan de zorg- en meldplicht. Voor de Nederlandse Overheid wordt deze meldplicht ingevuld met de BIO, in de BIO bij artikel 16.1.4.1 is hiervoor een bepaling opgenomen. Mogelijk moet deze bepaling uitgebreid worden vanwege het toegenomen werkingsgebied en veranderde bepalingen. Deze wijziging wordt meegenomen in het traject om te komen tot de BIO 2.0. Voor aanbieders binnen de overheid is het van belang te weten hoe invulling wordt gegeven aan het toezicht door de bevoegde autoriteit, zodat de impact van het toezicht in de kwaliteitsprocessen van de beveiligingsorganisatie van de aanbieders binnen de overheid kan worden meegenomen.
