Sinds 15 augustus 2026 zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) van kracht. De Cbw zelf is kort samen te vatten: zorgplicht, meldplicht, registratieplicht, trainingsplicht voor bestuurders. Het Cyberbeveiligingsbesluit (Cbb) werkt die verplichtingen algemeen uit - lees ook mijn eerdere blog. Maar verdere detaillering, zoals de vraag wanneer een incident "significant" is en welke norm de zorgplicht concreet invult, staat in zeven ministeriële regelingen. Elk vakdepartement heeft zijn eigen regeling geschreven voor zijn eigen sectoren. In deze blog schrijf ik over de verschillen die mij opvielen.

De opbouw van de regelingen

Wet > besluit > regeling(en)

De structuur is cascaderend, ofwel trapsgewijs. De Cbw legt de verplichtingen (uit de NIS2 richtlijn) vast op hoofdlijnen in een Nederlandse wet. Het Cbb werkt onderdelen nader uit, zoals de zorgplicht, de registratieplicht en de trainingsplicht voor bestuurders (t/m certificaat omschrijving ;-), en geldt in beginsel voor álle onder de wet vallende entiteiten. Vervolgens vult elk vakdepartement dat kader in voor zijn eigen sector: de norm voor de zorgplicht, de drempelwaarden voor de meldplicht, en soms de aanwijzing van het sectorale CSIRT.

De zeven regelingen zijn inmiddels gepubliceerd in de Staatscourant:

Dus zeven regelingen voor negentien sectoren, met daarbovenop een aparte set regelingen onder de Wwke voor kritieke entiteiten. Die laatste laat ik verder buiten beschouwing in deze blog. Er is dus geen uniforme "Cyberbeveiligingsregeling" met bijlagen per sector, zoals bijvoorbeeld bij de NIS2-uitvoeringsverordening voor digitale infrastructuur op EU-niveau wel het geval is (daarover hoor je weinig trouwens). Nederland heeft hier nu dus gekozen voor departementaal eigenaarschap.

Zorgplicht: harde normen versus open normen

Doelvoorschriften versus Middelvoorschriften

Het grootste verschil zit in hoe hard de regelingen de zorgplicht invullen. BZK is het meest expliciet: artikel 3 van de Cyberbeveiligingsregeling sector overheid schrijft de toepassing van NEN-EN-ISO/IEC 27001:2023 dwingend voor voor het managementsysteem, artikel 5 verplicht ten minste de beheersmaatregelen van ISO/IEC 27002:2022, aangevuld met de relevante maatregelen uit de Baseline Informatiebeveiliging Overheid 2, versie 1.3. Voor wie al met BIO2 werkt is dat geen verrassing, maar het is wel de meest voorschrijvende aanpak van de zeven regelingen. Geen "of gelijkwaardig", maar 'gewoon' (alleen) deze normen.

IenW volgt een vergelijkbare lijn voor zijn essentiële entiteiten: ISO 27001 voor het managementsysteem en ISO 27002 voor de maatregelen, met de ruimte om af te wijken als een gelijkwaardig beveiligingsniveau wordt bereikt. Dat "aangepast waar nodig" is een nuance die BZK dus niet in haar regeling heeft staan.

VWS kiest een derde variant: NEN 7510, ISO 27001/27002, of een gelijkwaardige norm. Voor de zorg is dat ook logisch, NEN 7510 is al jaren de facto verplicht via de Wegiz en de kwaliteitswetgeving, dus deze regeling sluit goed aan bij bestaande situatie zonder nieuwe dingen te introduceren. Wel zo prettig, denk ik dan.

EZK, KGG en LVVN doen het anders. Daar is de zorgplicht vooral procesmatig geformuleerd: beleid voor risicobeheer, monitoring en evaluatie van maatregelen, bedrijfscontinuïteit met back-upprocedures, patchmanagement, toegangsbeleid. Geen verplichte ISO-norm dus, maar wel concrete onderwerpen die je in beleid (en vergeet de uitvoering niet hè) moet afdekken. Deze onderwerpen komen je natuurlijk bekend voor uit artikel 21.3 Cbw. KGG werkt dit voor de energiesector uit in de artikelen 42 tot en met 45 van zijn regeling. Voor een organisatie die toch al op ISO 27001 werkt is dat verschil in de praktijk klein, maar voor de toezichthouder is het een wezenlijk andere aanpak: BZK, IenW en VWS toetsen (mede) aan een certificeerbare norm terwijl EZK, KGG en LVVN toetsen aan doelvoorschriften.

"Het grootste verschil zit in hoe hard de regelingen de zorgplicht invullen. BZK is het meest expliciet: artikel 3 van de Cyberbeveiligingsregeling sector overheid schrijft de toepassing van NEN-EN-ISO/IEC 27001:2023 dwingend voor voor het managementsysteem [...]"

Meldplicht: uiteenlopende drempelwaarden

Absoluut, relatief of procesgericht

Hier lopen de regelingen nogal uiteen, en dit het meest praktische deel van de regeling voor wie een meldprocedure moet inrichten. Zes van de zeven regelingen doen dit, de regeling van JenV niet: die bevat geen doelgroepsector en dus ook geen drempelwaarden. Een selectie uit de drempelwaarden van de andere zes regelingen:

  • Voor de overheidssector geldt voor centrale overheden een dienstuitval van ten minste vier uur, financiële schade boven de 500 miljoen euro, of ernstig letsel of overlijden van ten minste één persoon. Voor decentrale overheden geldt dienstuitval van vier uur of financiële gevolgen die de begroting van de organisatie te boven gaan, een relatieve maatstaf die voor een kleine gemeente heel anders uitpakt dan voor een grote gemeente.
  • Voor digitale infrastructuur bij EZK geldt voor telecomaanbieders een onderbreking die minimaal 50.000 gebruikers gedurende vier uur raakt, of een aantasting van integriteit of vertrouwelijkheid die 1 procent van de gebruikers treft met een minimum van 10.000. Voor internetknooppunten geldt 25 procent verkeersverlies gedurende 30 minuten.
  • Voor de energiesector bij KGG geldt voor elektriciteit een drempel van 100 MW aan geaggregeerd vermogen, voor gasdistributie 20.000 eindgebruikers, voor olieopslag een verstoring van 100.000 m³ die 72 uur aanhoudt.
  • Voor drinkwater bij IenW geldt een verstoring die 10.000 aansluitingen gedurende zes uur raakt.
  • Voor voedsel bij LVVN geldt een onderbreking van productie, verwerking of distributie van 24 uur of langer, een capaciteitsverlies van 50 procent of meer gedurende twaalf uur, of een volledige uitval van zes uur.
  • Voor de zorg bij VWS geldt dat cruciale bedrijfsprocessen langer dan vier uur stilliggen, of dat cruciale systemen worden gecompromitteerd of vernietigd, met een aparte lijn voor persoonsgegevens en identificerende gegevens die door vermoedelijk kwaadwillig handelen zijn getroffen.

Wat opvalt: sommige drempels zijn absoluut (aantal gebruikers, aantal MW, aantal kubieke meters), andere zijn relatief (percentage van verkeer, percentage van gebruikers, begroting van de eigen organisatie), en weer andere zijn procesgericht (cruciale processen stilgelegd, ongeacht omvang). Dat lijkt me ook goed verdedigbaar: elke sector heeft zijn eigen aard van verstoring, maar het betekent wel dat een organisatie die in meerdere sectoren actief is (denk aan een gemeente met een eigen energiebedrijf, of een zorginstelling met eigen datacenter) met verschillende meetlatten te maken krijgt voor wat feitelijk hetzelfde incident kan zijn. De wettekst zelf hanteert steeds de open norm "aanzienlijke operationele verstoring", en elke regeling vertaalt dat op zijn eigen manier naar iets meetbaars. Dat is een gevolg van de vrijheid die de vakdepartementen hebben, maar werkt vanzelfsprekend ook deze inconsistenties in de hand.

Alle regelingen delen wel eenzelfde ondergrens: een incident dat dood of ernstige gezondheidsschade veroorzaakt (of dreigt te veroorzaken) is altijd significant, ongeacht sector. Dat is de enige drempelwaarde die ik in vrijwel elke regeling terugzie.

Bonus: CSIRT aanwijzing

Hier is geen uniforme lijn te herkennen. IenW wijst CERT-WM, ondergebracht bij Het Waterschapshuis, aan als sectoraal CSIRT voor de waterschappen. VWS beoogt Z-CERT als sectoraal CSIRT voor de zorg, maar kon dat volgens de toelichting nog niet formeel in de regeling opnemen omdat het wachtte op advies van de Algemene Rekenkamer, met een verwachte afronding na de zomer van 2026.

Klimaat en Groene Groei (KGG) wijst in artikel 46 een combinatie van autoriteiten aan voor coördinatie in de energiesector, waaronder de Autoriteit Nucleaire Veiligheid en Stralingsbescherming en de Autoriteit Consument en Markt. EZK en LVVN vallen terug op de minister van Justitie en Veiligheid als generieke CSIRT-functie voor meldingen die niet onder een specifiek sectoraal CSIRT vallen.

En dan is er de regeling van JenV zelf, die opvalt doordat hij niet over een doelgroepsector gaat maar over de kwaliteit van CSIRT's als zodanig: de Regeling nadere eisen CSIRT's. Die verplicht dat vertrouwensfuncties binnen een CSIRT worden vervuld door personen met een verklaring van geen bezwaar op grond van de Wet veiligheidsonderzoeken, dat een CSIRT ten minste het intermediate niveau van het Security Incident Management Maturity Model (SIM3) haalt, en dat een onafhankelijke audit dat niveau bevestigt met een rapport van maximaal drie jaar oud. Bij een negatieve uitkomst moet er een verbeterplan komen.

Over de lopende 'soap' waar zonder fatsoenlijke uitleg niet de Informatiebeveiligingsdienst, maar het NCSC het CSIRT voor de lokale overheid werd laat ik me verder maar niet uit. Het was natuurlijk veel logischer geweest als de IBD als zodanig werd aangewezen, maar dat gebeurde niet. Raar verhaal.

"[...] precies de sector die al het langst met een (zelf)verplichte norm werkt, de overheid, krijgt nu ook de striktste ISO-verplichting zonder de "of gelijkwaardig"-clausule"

Wat betekent dit voor de praktijk

Ja, die drempelwaarden. Maar ook de ISO27001/2+BIO2

Voor een organisatie die in één sector actief is, is het overzichtelijk: je zoekt de regeling van je eigen vakdepartement op en die is leidend. Voor organisaties die meerdere sectoren raken, en dat zijn er meer dan je denkt zodra je naar 'groepsstructuren' en 'nevenactiviteiten' kijkt, wordt het puzzelen lijkt me. Een ziekenhuis met een eigen warmtekrachtcentrale valt mogelijk onder zowel de zorgregeling van VWS als de energieregeling van KGG, met twee verschillende normeringen voor de zorgplicht en twee verschillende drempelwaarden voor de meldplicht op hetzelfde fysieke incident. De 'strengste' aanhouden dan maar?

Ik denk dat de keuze voor departementale regelingen in plaats van één centrale regeling met bijlagen goed te verdedigen is vanuit de sturing/governance: elk departement kent zijn sector het beste en kan sneller schakelen bij sectorspecifieke ontwikkelingen. Maar daarvoor krijg je wel terug: verschillende drempelwaarden én, voor BIO2-gebruikers, een zeer hoge lat: precies de sector die al het langst met een (zelf)verplichte norm werkt, de overheid, krijgt nu ook de striktste ISO-verplichting zonder de "of gelijkwaardig"-clausule die IenW en VWS wel bieden. Anders gezegd ben je 'het meest de sjaak' wanneer je onder de BZK regeling valt. Maar beter geformuleerd: onder de BZK regeling wordt je het meest geprikkeld informatiebeveiliging te besturen via een ISMS.

Daarnaast ligt de lat van de aantoonbaarheid bij deze regeling (veruit) het hoogst. Ik quote artikel 5.3 uit de BZK regeling over opzet, bestaan en werking van de IS2700x beheersmaatregelen én de BIO2-overheidsmaatregelen:

De essentiële entiteit zorgt ervoor dat de opzet, het bestaan en de werking van de passende en evenredige maatregelen aantoonbaar zijn.

Heb tot slot nog even de (openbare) reacties op de consultatie van de Cyberbeveiligingsregeling sector overheid er op nagekeken. Diverse gemeenten reageerden (G4, 's Hertogenbosch, Meppel), maar ook het Forum Standaardisatie, het Adviescollege toetsing regeldruk (ATR) en Cyberveilig Nederland deden dat. Vooral de G4 steden adresseren het onevenredige punt over opzet, bestaan en werking in de/hun BZK regeling. Ze wijzen erop dat het implementeren van opzet, bestaan en werking veel tijd, geld en capaciteit vraagt, vooral omdat er geen fasering of prioritering is aangebracht tussen essentiële en niet-essentiële diensten. Daarnaast kan je nog steeds een hoop kanten op met de huidige formulering. Enfin, het mocht niet baten...

Share on