Veelgestelde vragen

De implementatie van de Cyberbeveiligingswet (Cbw/NIS2) en de Wet weerbaarheid kritieke entiteiten (Wwke/CER) is bijna klaar:

• In het tweede kwartaal van 2026 hebben de Tweede Kamer en de Eerste Kamer de wetten aangenomen;
• De wetten zijn gepubliceerd: Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten;
• Het Cyberbeveiligingsbesluit en het Besluit weerbaarheid kritieke entiteiten zijn gepubliceerd;
• De ministeriële regelingen van IenW staan sinds 13 juli 2026 in de Staatscourant: Cyberbeveiligingsregeling IenW en Regeling weerbaarheid kritieke entiteiten IenW;
• Besluit aanwijzing toezichthouders;
• De wetten treden op 15 augustus 2026 in werking.

De NIS2 en de CER zijn EU-richtlijnen die in alle EU-lidstaten in samenhang worden geïmplementeerd. Beide richtlijnen zijn gericht op het weerbaar zijn van organisaties (organisational resilience). In Nederland worden deze richtlijnen omgezet in twee aparte wetten, de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten, die gelijktijdig zijn geconsulteerd en gelijktijdig door de Tweede Kamer zijn behandeld. Het toezicht op beide wetten vindt zoveel mogelijk in afstemming plaats.

Voor de Cyberbeveiligingswet (Cbw) geldt dat je er automatisch onder valt als je aan de in de richtlijn beschreven criteria voldoet. Voor de Wet weerbaarheid kritieke entiteiten (Wwke) worden organisaties door de verantwoordelijke ministeries aangewezen als kritieke entiteit. Organisaties die als kritieke entiteit zijn aangewezen onder de Wwke, zijn ook automatisch essentieel onder de NIS2, hoe klein de organisatie ook is. Andersom is dit verband er niet.

Er is een centraal registratiepunt bij het Nationaal Cyber Security Center. In MijnNCSC kun je je organisatie registreren. De checklist helpt je om je voor te bereiden op de registratie van je organisatie onder de Cyberbeveiligingswet.

Meer informatie over de registratieplicht: Registratieplicht | Over het NCSC | Nationaal Cyber Security Centrum

Checklist voor de NIS2-registratie: Checklist NIS2-registratie | Publicatie | Nationaal Cyber Security Centrum

Ja, iedere organisatie die onder de Cyberbeveiligingswet (Cbw) komt te vallen moet zich registreren, ook organisaties die nu al met de Wbni te maken hebben. Bij de registratie kun je aangeven voor welke sector je je registreert. Je kunt hier ook meerdere sectoren aangeven als je onder meer dan één sector valt.

Een organisatie moet maatregelen nemen om risico’s te beheersen, incidenten te voorkomen en gevolgen van incidenten te beperken. In hoeverre je voldoet aan de zorgplicht hangt af van het individuele geval. Er kunnen bovenop bestaande standaarden en normen ook sectorspecifieke voorschriften gaan gelden. Op basis van jouw risicoanalyse kom je tot afwegingen en maatregelen. Dit vergt een risico-gebaseerde benadering en is daarom vaak maatwerk.

Voor overheidsorganisaties geldt dat deze moeten voldoen aan ISO 27001 en de BIO2 (versie 1.3), en de beheersmaatregelen van ISO 27002 moeten treffen.

Voor andere organisaties is certificering voor of voldoen aan ISO 27001 geen vereiste. Welke maatregelen zij moeten nemen staat beschreven in het Cyberbeveiligingsbesluit en is geconcretiseerd in de ministeriële regeling, de Cyberbeveiligingsregeling IenW. 

Voor de voorgeschreven maatregelen is nadrukkelijk gekeken naar onder meer de ISO 27001.

Deze en andere standaarden op informatie- en/of operationele technologie beschrijven vaak de best practices en toepassing ervan helpt bij het voldoen aan de zorgplicht. Ook het hebben van een certificering op dit soort standaarden kan bijdragen aan het voldoen aan de zorgplicht.

Ja, gemeenschappelijke regelingen komen ook onder de Cyberbeveiligingswet te vallen onder de sector overheid. Als de gemeenschappelijke regeling diensten verricht in een specifieke sector, bijvoorbeeld afvalbeheer, dan valt de gemeenschappelijke regeling ook onder die sector.

De Cyberbeveiligingswet gaat over cyberweerbaarheid en een zorgplicht waarbij je maatregelen neemt die jouw netwerk- en informatiesystemen beschermen ten behoeve van de continuïteit van je bedrijfsprocessen. Dit is ook van toepassing voor de toeleveranciersketen.

Het toezicht van de Inspectie Leefomgeving en Transport (ILT) richt zich op de essentiële of belangrijke entiteit. In hoeverre een verstoring bij een toeleverancier impact heeft of een verstoring kan opleveren voor je netwerk, informatiesystemen en/of bedrijfsprocessen, moet zijn opgenomen in het Information Security Management System (ISMS) met voldoende maatregelen.

De ministeries stellen drempelwaarden vast. Denk bij een drempelwaarde bijvoorbeeld aan de tijdsduur dat een proces verstoord is door een incident, of de (economische) schade die het incident aanricht. Organisaties zijn verplicht incidenten te melden die aan deze drempelwaarden voldoen. De richtlijn verplicht organisaties de melding te doen bij zowel het CSIRT (Computer Security Incident Response Team) als de toezichthouder. Het centrale meldpunt is ondergebracht in MijnNCSC.

Voor de sectoren van het ministerie van Infrastructuur en Waterstaat (IenW) zal in de meeste gevallen de Inspectie Leefomgeving en Transport (ILT) toezicht houden. Uitzonderingen daarop zijn: de sector nucleair, waarop de Autoriteit Nucleaire Veiligheid en Stralingsbescherming (ANVS) al toezicht houdt, en de sector verpakt drinkwater, waarop de Nederlandse Voedsel- en Warenautoriteit (NVWA) toezicht zal houden.

De afdeling Toezicht Cybersecurity van de ILT voert in eerst instantie proactief reguliere inspecties uit bij essentiële organisaties. Bij belangrijke organisaties zal reactief toegezien worden op meldingen dan wel op signalen. Een eerste inspectie bij een essentiële organisaties is meestal een verkennende inspectie. Hierbij wordt kennisgemaakt en gekeken naar de opzet van het Information Security Management System (ISMS). De volgende keer voert de ILT een verdiepende inspectie uit naar het bestaan en de werking van het managementsysteem voor cybersecurity (CSMS/ISMS). De ILT kijkt naar de opzet, bestaan en werking van het CSMS/ISMS. Vervolgthema’s voor de inspectie worden risicogericht geselecteerd, bijvoorbeeld detectie & respons.

Meer informatie: Cybersecurity | Inspectie Leefomgeving en Transport (ILT)

Toezichthouders zijn op grond van de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) verplicht om zoveel mogelijk onderling gecoördineerd toezicht te houden op essentiële organisaties en belangrijke organisaties. Hiermee wordt tot uitdrukking gebracht dat toezicht op de naleving van deze wet zoveel mogelijk in samenhang en op consistente wijze plaatsvindt. Er moeten in het geval van overlap samenwerkingsafspraken worden gemaakt, bijvoorbeeld over welk toezicht prevaleert. Ditzelfde geldt voor overlap met sectorale toezichthouders. Er is voor het opzetten van een goede samenwerking een samenwerkingsovereenkomst opgesteld tussen de Inspectie Leefomgeving en Transport (ILT), de Rijksinspectie Digitale Infrastructuur (RDI) en de andere betrokken toezichthouders.

Voor verschillende wetten is eigen toezicht geregeld. Dat betekent dat de toezichthouder controleert of een organisatie zich houdt aan de eisen uit die specifieke wet. Organisaties hebben met verschillende wetten te maken met voor iedere wet eisen waarop toezicht is gebaseerd. Momenteel is het toezicht op de cyberweerbaarheid nog niet verweven met specifieke wetgeving en is er sprake van een vrijstaande (losse) inspectie naast de inspecties die al worden uitgevoerd. Dit betekent in veel gevallen dat er sprake is van verschillende toezichthouders. Zij zullen hun inspecties zoveel mogelijk afstemmen. Het streven is om de toezichtlast te beperken. Essentiële organisaties vallen in de Cyberbeveiligingswet onder één of meer sectoren. Ook in dat geval is er afstemming met collega’s die op de naleving toezichthouden.

Organisaties die behoren tot de sectoren waarvoor de Cyberbeveiligingswet geldt en diensten aanbieden in de Europese Unie, maar hier niet zijn gevestigd, zijn verplicht om een vertegenwoordiger in de EU aan te wijzen. Als zij een vertegenwoordiger in Nederland aanwijzen, dan vallen zij onder Nederlandse jurisdictie. Dit betekent dat ze te maken krijgen met een Nederlandse toezichthouder, bijvoorbeeld de Inspectie Leefomgeving en Transport (ILT).

Ja, als u onder de Wet weerbaarheid kritieke entiteiten (Wwke) wordt aangewezen, kunt u proactief toezicht van de Inspectie Leefomgeving en Transport (ILT) op de Cyberbeveiligingswet (Cbw) verwachten.

Dit komt door de directe, wettelijke koppeling tussen beide wetten. Zodra u door de Minister formeel wordt aangewezen als kritieke entiteit onder de Wwke, krijgt u automatisch de status van essentiële entiteit onder de Cbw.

Volgens de richtlijn moeten organisaties elk incident dat grote gevolgen heeft voor de verlening van hun diensten (significant incident) melden. Een incident is significant als het een ernstige operationele verstoring van de diensten veroorzaakt, als het leidt tot grote financiële verliezen of als andere organisaties er ernstig door worden getroffen. In de drempelwaarden wordt in meer detail vastgelegd wat als significant incident wordt gezien.

De eerste melding van een significant incident moet bij het CSIRT worden gedaan binnen 24 uur nadat het incident heeft plaatsgevonden.

De NIS2 richtlijn omschrijft de sector afvalstoffenbeheer als volgt: ondernemingen die afvalstoffenbeheer uitvoeren zoals staat in artikel 3, punt 9, van Richtlijn 2008/98/EG, met uitzondering van ondernemingen waarvoor afvalstoffenbeheer niet de voornaamste economische activiteit is. Het gaat dan om ondernemingen die zich bezig houden met inzameling, vervoer, nuttige toepassing en verwijdering van afvalstoffen, toezicht houden op die handelingen en de nazorg doen voor de stortplaatsen na sluiting, en ook alles wat  handelaars of makelaars hierbij doen.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de sector afvalstoffenbeheer.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de sector afvalstoffenbeheer.

De NIS2 richtlijn omschrijft de chemische sector als volgt: “Ondernemingen die stoffen vervaardigen en stoffen of mengsels distribueren als bedoeld in artikel 3, punten 9 en 14, van Verordening (EG) nr. 1907/2006 van het Europees Parlement en de Raad en ondernemingen die voorwerpen zoals gedefinieerd in artikel 3, punt 3, van die verordening produceren uit stoffen of mengsels.” In de praktijk betekent dit dat ondernemingen die werkzaam zijn in de productie, opslag of distributie van chemische stoffen tot de sector behoren.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de chemische sector.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de chemische sector.

Tot de sector luchtvervoer behoren de volgende organisaties:

• Luchtvaartmaatschappijen als bedoeld in artikel 3, punt 4, van Verordening (EG) nr. 300/2008 die voor commerciële doeleinden worden gebruikt. Een luchtvaartmaatschappij, is een luchtvervoersonderneming met een geldige exploitatievergunning of een equivalent ervan, die voor commerciële doeleinden wordt gebruikt.
• Luchthavenbeheerders als bedoeld in artikel 2, punt 2, van Richtlijn 2009/12/EG van het Europees Parlement en de Raad, luchthavens zoals staat in artikel 2, punt 1, van die richtlijn, met daarbij ook de kernluchthavens die in bijlage II, afdeling 2, bij Verordening (EU) 1315/2013 van het Europees Parlement en de Raad staan, en ook de organisaties die installaties bedienen die je op luchthavens vindt.
  • Een luchthavenbeheerder is de instantie die, al dan niet in combinatie met andere activiteiten, op grond van de nationale wet- of regelgeving of van overeenkomsten de taak heeft de luchthaven- of luchthavennetwerkinfrastructuur te besturen en te beheren en de activiteiten van de verschillende in de betrokken luchthavens of luchthavennetwerken aanwezige ondernemingen te coördineren en te controleren.
  • Een luchthaven is elk terrein dat speciaal is ingericht om luchtvaartuigen de mogelijkheid te bieden te landen, op te stijgen of manoeuvres uit te voeren, met inbegrip van de eventueel bijbehorende installaties ten behoeve van het verkeer van en de dienstverlening aan luchtvaartuigen en de nodige installaties ten behoeve van de commerciële luchtdiensten. Onder een entiteit die bijbehorende installaties bedient, die zich op luchthavens bevinden, vallen organisaties en bedrijven die de essentiële operationele, logistieke en veiligheidsinfrastructuur op en rond luchthavens beheren en bedienen.
• Exploitanten op het gebied van verkeersbeheer en -controle die luchtverkeersleidingsdiensten als bedoeld in artikel 2, punt 1, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad aanbieden. Onder een exploitant op het gebied van verkeersbeheer en -controle die luchtverkeersleidingsdiensten aanbiedt, vallen organisaties die luchtverkeersleidingsdiensten aanbieden teneinde:
  • botsingen te voorkomen: tussen luchtvaartuigen en tussen luchtvaartuigen en hindernissen op dat deel van het luchtvaartterrein dat is bedoeld voor het opstijgen, landen en taxiën met luchtvaartuigen, en
  • een geordende luchtverkeersstroom tot stand te brengen en te handhaven.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de sector luchtvaart.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de sector luchtvaart.

Tot de sector vervoer over water behoren de volgende organisaties:

• Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht, met uitzondering van de door deze bedrijven geëxploiteerde individuele vaartuigen;
• Beheerders van havens, inclusief hun havenfaciliteiten; en organisaties die in havens werken en uitrusting daar beheren;
• Exploitanten van verkeersbegeleidingssystemen (VBS).

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn voor de maritieme sector.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de maritieme sector.

“Bedrijven voor vervoer over water van passagiers en vracht” wordt in de NIS2 richtlijn breed opgevat. Dit betekent dat ook rederijen die zich bezighouden met sleepwerkzaamheden en het vervoer van maritiem personeel er onder vallen.

De uitzondering van individuele vaartuigen betekent dat bijvoorbeeld de verplichting om veiligheidsmaatregelen te treffen niet van toepassing is op een individueel schip. De bemanning en de financiële waarde van die schepen moeten wel, waar relevant, worden meegenomen bij het beoordelen of een entiteit gezien wordt als middelgroot of groot.

Binnen de sector spoorvervoer vallen spoorwegondernemingen zoals bedoeld in artikel 3, eerste, tweede en twaalfde lid van de SERA-richtlijn (Richtlijn 2012/34/EU) binnen het bereik van de NIS2 richtlijn. Hierbij gaat het (kort gezegd) om:

• Partijen die vergunning plichtig zijn voor het aanbieden van vervoer van goederen of personen per spoor (lid 1);
• Infrastructuurbeheerders, partijen die met name belast zijn met de aanleg, het beheer en het onderhoud van spoorweginfrastructuur, met inbegrip van het verkeersbeheer en de besturing en seingeving (lid 2);
• Exploitanten van dienstvoorzieningen en dienstverleners voor spoorwegondernemingen als bedoeld in bijlage II, punten 2 tot en met 4 (lid 12).

Onder deze categorieën valt tevens stads- en streekvervoer, beheer van stads- en streeksporen, en exploitanten van dienstvoorzieningen en dienstverleners voor vergunning plichtige stads- en streekvervoerders. Dit omvat in alle gevallen trams en metro’s.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de spoorsector.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de spoorsector.

De sector drinkwater bestaat uit leveranciers en distributeurs van voor menselijke consumptie bestemd water als bedoeld in artikel 2, onderdeel 1, a), van Richtlijn (EU) 2020/218422, maar met uitzondering van distributeurs voor wie de distributie van water voor menselijke consumptie een niet-essentieel onderdeel is van hun algemene activiteit van distributie van andere waren en goederen.

Alle drinkwaterbedrijven (tien in totaal) moeten aan de Cyberbeveiligingswet voldoen.

In principe is de Inspectie Leefomgeving en Transport (ILT) de toezichthouder voor de sector drinkwater. Voor verpakt water is de Nederlandse Voedsel- en Warenautoriteit (NVWA) de toezichthouder.

Voor de drinkwaterbedrijven is de CSIRT-functie belegd bij het Nationaal Cyber Security Center (NCSC). 

De sector afvalwater bestaat uit ondernemingen die stedelijk, huishoudelijk of industrieel afvalwater als bedoeld in artikel 2, onderdelen 1, 2 en 3, van Richtlijn 91/271/EEG van de Raad opvangen, lozen of behandelen, met uitzondering van ondernemingen waarvoor het opvangen, lozen of behandelen van stedelijk, huishoudelijk of industrieel afvalwater een niet-essentieel onderdeel van hun algemene activiteit is.

In principe is de Inspectie Leefomgeving en Transport (ILT) de toezichthouder voor de sector afvalwater. Aangezien een aantal van de afvalwaterverwerkers ook als overheidsorganisaties onder de Cyberbeveiligingswet vallen, wordt in overleg met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties gekeken hoe dit toezicht in de praktijk vorm krijgt zodat toezichthouders zoveel mogelijk samen kunnen werken. 

Voor de waterschappen is de CSIRT-functie belegd bij het CERT-Watermanagement (CERT-WM). Andere organisaties die vallen onder afvalwater zullen ondersteuning krijgen van het Nationaal Cyber Security Center (NCSC). 

• Afvalwaterbeheerders moeten aan de Cyberbeveiligingswet voldoen als zij minimaal 50 fte in dienst hebben of zowel een jaaromzet van meer dan 10 miljoen euro als een balanstotaal van meer dan 10 miljoen euro hebben. Deze ondergrens wordt ook wel het omvangscriterium genoemd.
• Daarnaast is er een mogelijkheid dat het ministerie IenW individuele Afvalwaterbeheerders aanwijst waarop de Cyberbeveiligingswet van toepassing is, ook wanneer zij niet voldoen aan het omvangscriterium.
• Los hiervan vallen Afvalwaterbeheerders die zijn aangewezen onder de Wet weerbaarheid kritieke entiteiten automatisch onder de Cyberbeveiligingswet, vanwege hun kritieke rol in de samenleving.
• Als dit allemaal niet van toepassing is, valt de Afvalwaterbeheerder niet onder de Cyberbeveiligingswet.

Nee, op dit moment dekt de CSIR niet de volledige zorgplicht van de Cyberbeveiligingswet. Afvalwaterbeheerders zullen naast de CSIR aanvullende maatregelen moeten nemen om volledig aan de zorgplicht van de Cyberbeveiligingswet te voldoen. Wat deze extra maatregelen precies inhouden, is afhankelijk van de context van het bedrijf. De CSIR blijft echter een goed startpunt en er wordt gewerkt aan het op elkaar aan laten sluiten van de CSIR en de Cyberbeveiligingswet.

De organisaties die behoren tot de sector keren en beheren zijn Rijkswaterstaat en de 21 waterschappen. Zij waarborgen de bescherming van Nederland tegen overstromingen en wateroverlast. ‘Keren’ ziet op het fysiek tegenhouden van water door middel van primaire en regionale waterkeringen. ‘Beheren’ ziet op het sturen en beheren van de waterkwantiteit, zoals het voorkomen van wateroverlast bij hoogwater.

Organisaties die belast zijn met het keren en beheren van de waterkwantiteit vallen niet standaard binnen de Cyberbeveiligingswet (Cbw). Deze organisaties kunnen echter wel op een andere wijze onder de Cbw vallen, namelijk als het onder de Wet weerbaarheid kritieke entiteiten (Wwke) is aangewezen als kritieke entiteit.

De aanwijzing tot kritieke entiteit onder de Wwke wordt gedaan door de eindverantwoordelijke minister. In het geval van entiteiten die belast zijn met het keren en beheren van de waterkwantiteit is dit de minister van Infrastructuur en Waterstaat.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de sector keren en beheren.

Voor de sector keren en beheren wordt de CSIRT-functie belegd bij het CERT-Watermanagement (CERT-WM).

De NIS2-richtlijn beschrijft twee soorten organisaties die onder de sector wegvervoer vallen: wegenautoriteiten en ITS-dienstaanbieders (aanbieders van intelligente transportsystemen).

• De NIS2-richtlijn omschrijft wegenautoriteiten als volgt: “Wegenautoriteiten zoals gedefinieerd in artikel 2, punt 12, van gedelegeerde Verordening (EU) 2015/962 van de Commissie die verantwoordelijk zijn voor het verkeersbeheer”. In de praktijk zijn dit in Nederland alle overheden die verantwoordelijk zijn voor het beheer van een deel van het wegennetwerk. Het gaat hierbij om Rijkswaterstaat, alle provincies en gemeenten, en enkele waterschappen.
• De NIS2-richtlijn omschrijft ITS-aanbieders als volgt: “Exploitanten van intelligente vervoerssystemen zoals gedefinieerd in artikel 4, punt 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad.” Dit gaat om een grote verscheidenheid aan organisaties die ITS-toepassingen verschaffen. Zie de vraag “Is mijn organisatie een ITS-dienstaanbieder die onder de Cyberbeveiligingswet valt?”

In principe is de Inspectie Leefomgeving en Transport (ILT) de toezichthouder voor de sector wegvervoer. Aangezien wegbeheerders vaak ook als overheidsorganisaties onder de Cyberbeveiligingswet vallen, wordt in overleg met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties gekeken hoe dit toezicht in de praktijk vorm krijgt, zodat toezichthouders zoveel mogelijk samen kunnen werken. 

In principe is het Nationaal Cyber Security Center (NCSC) het CSIRT voor de sector wegvervoer. Uitzondering hierop zijn de gemeenten en de waterschappen. Zij worden ondersteund door respectievelijk de Informatiebeveiligingsdienst (IBD) en het CERT-watermanagement (CERT-WM).

De Cyberbeveiligingswet gaat ook gelden voor exploitanten van intelligente vervoerssystemen. Je organisatie valt als ITS-dienstaanbieder onder de Cyberbeveiligingswet als de volgende drie criteria van toepassing zijn:

1. Je organisatie verschaft een toepassing van een intelligent vervoerssysteem (ITS);
2. Het verschaffen van de ITS-toepassing heeft een van de vastgestelde doelen volgens de ITS-richtlijn;
3. Je organisatie heeft een bepaalde grootte.

De drie punten worden elk hieronder toegelicht.

Intelligente vervoerssystemen (ITS)

De ITS-richtlijn definieert intelligente vervoerssystemen als: systemen waarin informatie- en communicatietechnologie wordt toegepast, op het gebied van het wegvervoer, met inbegrip van infrastructuur, voertuigen en gebruikers, en in het verkeers- en mobiliteitsbeheer, alsook voor interfaces met andere vervoerswijzen. (art. 4 lid 1)

Denk bijvoorbeeld aan navigatiesystemen en reisplanners, maar ook aan systemen voor verkeersmanagement, het digitaal aanbieden van parkeervoorzieningen of het verwerken van data over het laden van elektrische voertuigen.

Vastgestelde doelen volgens de ITS-richtlijn

Volgens de ITS-richtlijn is je organisatie pas een ITS-dienstaanbieder als de ITS-toepassing wordt verschaft door middel van een duidelijk omlijnd organisatorisch en operationeel kader en het verschaffen van de ITS-toepassing als doel heeft bij te dragen aan de veiligheid van de gebruikers, de efficiëntie, de duurzame mobiliteit of het comfort, of vervoers- en reisdiensten te faciliteren of te ondersteunen (art. 4 lid 4).

ITS-systemen voor eigen gebruik vallen dus hier niet onder, omdat er dan geen ITS-dienst wordt verschaft.

Voorbeelden van ITS-dienstaanbieders:

• Aanbieders van navigatiesystemen;
• Aanbieders van digitale mobiliteitskaartproducten;
• Beheerders van slimme verkeers- en mobiliteitssystemen;
• Aanbieders van informatie- en reservatiediensten voor veilige en beveiligde parkeerplaatsen;
• Laadpuntexploitanten en andere beheerders van laaddata;
• Aanbieders van fleetmanagementdiensten;
• Aanbieders van software, dataplatforms en/of integratiediensten die worden toegepast in mobiliteitsproducten.

Voorbeelden waarbij er geen sprake is van een ITS-dienstaanbieder:

• Als je organisatie gebruik maakt een fleetmanagementsysteem, maakt dat je niet een ITS-dienstaanbieder, aangezien de ITS-toepassing niet aan anderen wordt verschaft.
• Wanneer je als bezorgdienst de locatie van de bezorger aan de klant verschaft, maakt dat je niet een ITS-dienstaanbieder aangezien het verschaffen niet bijdraagt aan de genoemde doelen. 

Grootte

Je organisatie valt onder de Cyberbeveiligingswet als het minstens een middelgrote onderneming is. Dit is het geval als je organisatie aan minstens één van de onderstaande criteria voldoet (Aanbeveling 2003/361/EG):

• Er zijn 50 personen of meer werkzaam bij je organisatie,
• De jaaromzet én het jaarlijkse balanstotaal zijn 10 miljoen euro of hoger.

Het kan zijn dat je organisatie actief is binnen meerdere sectoren. Mogelijk valt je organisatie dan alsnog onder de Cyberbeveiligingswet, ook als je niet aan de drie bovenstaande criteria voldoet. Check hier of je onder één van de andere sectoren valt.

Vragen?

Heb je vragen? Neem contact op met versterkenweerbaarheid@minienw.nl. Vermeld bij het onderwerp ‘ITS-dienstaanbieder’.

Je kunt ook deze vragenlijst invullen: NIS2 Zelfevaluatie NL.

Tot de sector nucleaire installaties behoren houders van een vergunning als bedoeld in artikel 15, onderdeel b, van de Kernenergiewet en bedrijven vallend onder het Geheimhoudingsbesluit Kernenergiewet die door het Ministerie van Infrastructuur en Waterstaat als kritieke entiteit zijn aangewezen.

Ja, indien uw bedrijf als kritieke entiteit is aanwezen onder de Wet weerbaarheid kritieke entiteiten (Wwke) is ook de Cyberbeveiligingswet van toepassing.

De Autoriteit Nucleaire Veiligheid en Stralingsbescherming (ANVS) zal toezichthouder zijn op cybersecurity voor de sector nucleaire installaties.

Een instantie die belast is met de taken, bedoeld in artikel 3 van de Wet taken meteorologie en seismologie, en dus meteorologische dienstverlening verricht, is een essentiële entiteit in de zin van de Cyberbeveiligingswet (Cbw) indien deze organisatie is aangemerkt als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke). Deze aanwijzing tot kritieke entiteit onder de Wwke wordt gedaan door de eindverantwoordelijke minister. In het geval van meteorologie is dit de minister van Infrastructuur en Waterstaat. In de praktijk komt dit neer op het KNMI.

Ja, indien uw organisatie als kritieke entiteit is aanwezen onder de Wet weerbaarheid kritieke entiteiten (Wwke) is ook de Cyberbeveiligingswet van toepassing.

De Inspectie Leefomgeving en Transport (ILT) zal toezichthouder zijn op cybersecurity voor de sector meteorologie.

Het Nationaal Cyber Security Centrum (NCSC) zal het CSIRT zijn voor de sector meteorologie.