Title: wetten.nl - Regeling - Besluit beveiliging netwerk- en informatiesystemen - BWBR0041520

Source: https://wetten.overheid.nl/BWBR0041520/

Content:
{"title": "wetten.nl - Regeling - Besluit beveiliging netwerk- en informatiesystemen - BWBR0041520", "content": "Besluit van 30 oktober 2018, houdende regels ter uitvoering van de Wet beveiliging\n                                    netwerk- en informatiesystemen (Besluit beveiliging netwerk- en informatiesystemen)\n\nWij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau,\n                                    enz. enz. enz.\n\nOp de voordracht van Onze Minister van Justitie en Veiligheid van 4\u00a0juli 2018, Directie\n                                    Wetgeving en Juridische Zaken, nr.\u00a02306334, gedaan in overeenstemming met Onze Ministers\n                                    van Defensie, Economische Zaken en Klimaat, Financi\u00ebn en Infrastructuur en Waterstaat;\n\nGelet op richtlijn (EU) 2016/1148, uitvoeringsverordening (EU) 2018/151 en de artikelen 5, eerste lid, 6, 9, 15 en 34 van de Wet beveiliging netwerk- en informatiesystemen;\n\nDe Afdeling advisering van de Raad van State gehoord (advies van 25\u00a0juli 2018, nummer\n                                    W16.18.0203/II);\n\nGezien het nader rapport van Onze Minister van Justitie en Veiligheid van 24\u00a0oktober\n                                    2018, Directie Wetgeving en Juridische Zaken, nr.\u00a02346717, uitgebracht in overeenstemming\n                                    met Onze Ministers van Defensie, Economische Zaken en Klimaat, Financi\u00ebn en Infrastructuur\n                                    en Waterstaat;\n\nHebben goedgevonden en verstaan:\n\nIn dit besluit en de daarop berustende bepalingen wordt onder wet verstaan: Wet beveiliging netwerk- en informatiesystemen.\n\nAls aanbieders van een essenti\u00eble dienst of categorie\u00ebn van zodanige aanbieders worden\n                                    aangewezen:\n\nSector\n\nAanbieder\n\nEssenti\u00eble dienst\n\nEnergie: elektriciteit\n\nDe netbeheerder van het landelijk hoogspanningsnet, aangewezen op grond van artikel 10, tweede lid, of 14 van de Elektriciteitswet 1998\n\nTransmissie en distributie van elektriciteit\n\nDe regionale netbeheerders, aangewezen op grond van artikel 10, negende lid, 13, eerste lid, of 14 van de Elektriciteitswet 1998\n\nBritNed Development Ltd.\n\nTransmissie van elektriciteit (landsgrensoverschrijdend)\n\nEen elektriciteitsbedrijf als bedoeld in Bijlage II van de NIB-richtlijn, dat \u00e9\u00e9n\n                                                   of meerdere productie-installaties als bedoeld in artikel 1, eerste lid, onder ah, van de Elektriciteitswet 1998, beheert met een cumulatief nominaal vermogen van ten minste 100 MegaWatt\n\nProductie van elektriciteit\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen elektriciteitsbedrijven,\n                                                   als bedoeld in Bijlage II van de NIB-richtlijn\n\nLevering of aankoop van elektriciteit\n\nEnergie: gas\n\nDe netbeheerder van het landelijk gastransportnet, aangewezen op grond van artikel 2, eerste lid, of 5 van de Gaswet\n\nTransmissie en distributie van gas\n\nDe regionale netbeheerders, aangewezen krachtens artikel 2, achtste lid, of 5 van de Gaswet\n\nDe Nederlandse Aardolie Maatschappij B.V.\n\nHet opsporen en winnen van gas op basis van de concessie voor de aardgaswinning uit\n                                                   het Groningenveld op grond van het koninklijk besluit van 30\u00a0mei 1963, nr.\u00a039 (Stcrt.\n                                                   1963, 126)\n\nHet opslaan van gas op basis van de opslagvergunning \u00abNorg\u00bb van 31\u00a0maart 2003 (Stcrt.\n                                                   2003, 68)\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen leveringsbedrijven,\n                                                   als bedoeld in Bijlage II van de NIB-richtlijn\n\nLevering van gas\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen opslagsysteembeheerders,\n                                                   als bedoeld in Bijlage II van de NIB-richtlijn\n\nOpslag van gas\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen LNG-systeembeheerders,\n                                                   als bedoeld in Bijlage II van de NIB-richtlijn\n\nHet vloeibaar maken van aardgas of de invoer, de verlading en de hervergassing van\n                                                   LNG\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen aardgasbedrijven,\n                                                   als bedoeld in Bijlage II van de NIB-richtlijn\n\nProductie of aankoop van aardgas, met inbegrip van LNG\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen exploitanten\n                                                   van voorzieningen voor de raffinage en behandeling van aardgas, als bedoeld in Bijlage\n                                                   II van de NIB-richtlijn\n\nRaffinage of behandeling van aardgas\n\nEnergie: aardolie\n\nStichting Centraal Orgaan Voorraadvorming Aardolieproducten\n\nHet beheren van strategische olievoorraden\n\nEnergie: aardolie\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen exploitanten\n                                                   van oliepijpleidingen, als bedoeld in Bijlage II van de NIB-richtlijn\n\nBeheer van oliepijpleidingen\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen exploitanten\n                                                   van voorzieningen voor de productie, opslag, transport, raffinage en behandeling van\n                                                   olie, bedoeld in Bijlage II van de NIB-richtlijn\n\nProductie, opslag, transport, raffinage, of behandeling van olie\n\nVervoer: luchtvervoer\n\n\u2022 Nederlandse luchtvaartmaatschappijen die beschikken over een Air Operator Certificate\n                                                   (AOC) en die niet conform artikel 4, vierde lid van Verordening (EG) nr.\u00a0300/20081 zijn uitgezonderd van de gemeenschappelijke basisnormen voor de beveiliging van de\n                                                   burgerluchtvaart zoals opgenomen in deze Verordening;\n\n\u2022 De exploitant van Luchthaven Schiphol;\n\n\u2022 De exploitanten van de luchthavens, genoemd in artikel 8.1, derde lid, van de Wet luchtvaart voor zover op die luchthavens verkeersvluchten plaatsvinden van luchtvaartmaatschappijen\n                                                   die:\n\na. open staan voor individuele boekingen voor passagiers, vracht of post; en\n\nb. betreffen geregelde vluchten, zijnde lijnvluchten of commerci\u00eble vluchten uitgevoerd\n                                                   op een vaste route volgens een gepubliceerde dienstregeling, en niet-geregelde vluchten,\n                                                   zijnde chartervluchten in het passagiers- en vrachtvervoer of commerci\u00eble vluchten\n                                                   met een ongeregeld karakter;\n\n\u2022 De burgerexploitant van de luchthaven Eindhoven;\n\n\u2022 Aircraft Fuel Supply B.V.;\n\n\u2022 Koninklijke marechaussee;\n\n\u2022 Luchtverkeersleiding Nederland (LVNL);\n\n\u2022 Maastricht Upper Area Control Centre (MUAC).\n\nEen veilige en vlotte vlucht- en vliegtuigafhandeling\n\nVervoer: spoorvervoer\n\nDe bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen infrastructuurbeheerders,\n                                                   bedoeld in artikel 3 van richtlijn 2012/34/EU\n\nHet beheer van de hoofdspoorweginfrastructuur, bedoeld in artikel 16 van de Spoorwegwet\n\nDe bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen spoorwegondernemingen,\n                                                   bedoeld in artikel 3 van richtlijn 2012/34/EU\n\nHet vervoer van personen of goederen over (hoofd)spoorweginfrastructuur\n\nVervoer: vervoer over water\n\nDe Divisie Havenmeester van het Havenbedrijf Rotterdam N.V.\n\nHet afwikkelen van scheepvaartverkeer\n\nVervoer: wegvervoer\n\nDe bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen wegenautoriteiten,\n                                                   bedoeld in artikel 2 van verordening (EU) 2015/962\n\nHet beheer van weginfrastructuur\n\nDe bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen exploitanten\n                                                   van intelligente vervoerssystemen, bedoeld in artikel 4 van richtlijn 2010/40/EU\n\nHet exploiteren van een intelligent vervoerssysteem als bedoeld in artikel 4 van richtlijn 2010/40/EU\n\nBankwezen\n\nDe bij besluit van De Nederlandsche Bank N.V. aangewezen kredietinstellingen als bedoeld\n                                                   in artikel 4, punt 1, van Verordening (EU) nr. 575/2013\n\nHet aanbieden en afwikkelen van betalings- en effectenverkeer\n\nInfrastructuur voor de financi\u00eble markt\n\nDe bij besluit van De Nederlandsche Bank N.V. aangewezen:\n\n\u2022 exploitanten van handelsplatformen als bedoeld in artikel 4, punt 24, van Richtlijn 2014/65/EU;\n\n\u2022 centrale tegenpartijen als bedoeld in artikel 2, punt 1, van Verordening (EU) nr.\n                                                   648/2012\n\nHet aanbieden en afwikkelen van effectenverkeer\n\nDrinkwater\n\nDrinkwaterbedrijf als bedoeld in artikel 1, eerste lid, van de Drinkwaterwet\n\nHet leveren van deugdelijk drinkwater door middel van een openbare drinkwatervoorziening\n\nDigitale infrastructuur\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen aanbieders\n                                                   van internetknooppunten, bedoeld in bijlage II van de NIB-richtlijn\n\nHet faciliteren van het internet- en dataverkeer\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen aanbieders\n                                                   van registers voor topleveldomeinnamen, als bedoeld in bijlage II van de NIB-richtlijn\n\nHet beheren en registreren van domeinnamen onder een topleveldomein\n\nDe bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen aanbieders\n                                                   van DNS-dienstverleners, als bedoeld in bijlage II van de NIB-richtlijn\n\nHet verlenen van DNS-diensten\n\nAls andere vitale aanbieders of categorie\u00ebn van zodanige aanbieders als bedoeld in\n                                    artikel 5, eerste lid, onder b, van de wet worden aangewezen:\n\nSector\n\nAndere vitale aanbieder\n\nDienst\n\nNucleair\n\nHouder van een vergunning als bedoeld in artikel 15, onderdeel b, van de Kernenergiewet\n\nDe bescherming van inrichtingen, waarin kernenergie kan worden vrijgemaakt, splijtstoffen\n                                                   kunnen worden vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen worden opgeslagen\n                                                   of inrichtingen, waarin kernenergie kon worden vrijgemaakt, splijtstoffen konden worden\n                                                   vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen werden opgeslagen\n\nBedrijf vallend onder het Geheimhoudingsbesluit Kernenergiewet, Bedrijf vallend onder het Toepassingsbesluit 24\u00a0september 1971/nr.671/524\n\n\u2022 De bescherming van inrichtingen, waarin kernenergie kan worden vrijgemaakt, splijtstoffen\n                                                   kunnen worden vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen worden opgeslagen\n                                                   of inrichtingen, waarin kernenergie kon worden vrijgemaakt, splijtstoffen konden worden\n                                                   vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen werden opgeslagen\n\n\u2022 Het waarborgen van de beveiliging en geheimhouding van gegevens, welke noodzakelijk\n                                                   zijn voor het scheiden van verschillende in splijtstof voorkomende uraniumisotopen\n                                                   met gebruikmaking van gasultracentrifuges en het produceren van hulpmiddelen en materialen,\n                                                   welke zijn benodigd voor het scheiden van verschillende in splijtstof voorkomende\n                                                   uraniumisotopen met gebruikmaking van gasultracentrifuges\n\nKeren en Beheren\n\nOnze Minister van Infrastructuur en Waterstaat\n\nDe bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen waterkeringen\n                                                   of onderdelen daarvan\n\nFinancieel\n\nDe bij besluit van De Nederlandsche Bank N.V. aangewezen:\n\n\u2022 afwikkelondernemingen, bedoeld in artikel 1:1 van de Wet op het financieel toezicht\n\n\u2022 het verlenen van afwikkeldiensten als bedoeld in artikel 1:1 van de Wet op het financieel toezicht\n\n\u2022 centrale effectenbewaarinstelling, bedoeld in artikel 2, eerste lid, van Verordening\n                                                   (EU) nr. 909/2014\n\n\u2022 het exploiteren van een effectenafwikkelingssysteem\n\nElektronische communicatienetwerken en -diensten/ICT\n\nEen aanbieder van een elektronisch communicatienetwerk of een elektronische communicatiedienst\n                                                   die een netwerk of infrastructuur beheert dat of die direct of indirect wordt gebruikt\n                                                   ten behoeve van het verlenen van een telefoon-, sms- of internettoegangsdienst aan\n                                                   minimaal 1.000.000 eindgebruikers\n\nHet verlenen van een telefoon-, sms- of internettoegangsdienst\n\nDigitale overheid\n\nDe Kamer van Koophandel, bedoeld in artikel 2 van de Wet op de Kamer van Koophandel\n\nHet handelsregister, bedoeld in artikel 2 van de Handelsregisterwet 2007\n\nOnze Minister van Binnenlandse Zaken en Koninkrijksrelaties\n\n\u2022 De centrale voorzieningen, bedoeld in artikel 1.9, derde lid, van de Wet basisregistratie personen\n\n\u2022 De voorziening voor uitgifte of activatie van elektronische authenticatiemiddelen\n                                                   en voor elektronische authenticatie die bereikbaar is via het webadres www.digid.nl\n\nDe aanbieder van een digitale overheidsvoorziening als bedoeld in de derde kolom\n\nEen digitale overheidsvoorziening, aangewezen bij besluit van Onze Minister die het\n                                                   aangaat\n\nEnergie: elektriciteit\n\nDe exploitant van oplaadpunten als bedoeld in artikel 2, derde lid, van Richtlijn 2014/94/EU, met een totaal opgesteld laadvermogen van minimaal 300 megawatt (300.000 kilowatt)\n\nHet beheer of de exploitatie van oplaadpunten die een laaddienst leveren aan particuliere\n                                                   of zakelijke eindgebruikers, onder meer namens en voor rekening van een aanbieder\n                                                   van mobiliteitsdiensten\n\nDigitale infrastructuur\n\nEen aanbieder van multi-tenant datacenterdiensten waarvan de datacenters een gezamenlijke\n                                                   stroomcapaciteit hebben van meer dan 50 megawatt\n\nHet verlenen van datacenterdiensten\n\n1 Ter uitvoering van de artikelen 7 en 8 van de wet neemt een aanbieder van een essenti\u00eble dienst ten minste de maatregelen, beschreven\n                                          in de bijlage bij dit besluit.\n\n2 Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen\n                                          nadere regels worden gesteld over de te nemen maatregelen.\n\nDe artikelen 7, 8, 9, 26 en 27 van de wet,\u00a0artikel 3a van dit besluit en de bijlage bij dit besluit zijn niet van toepassing op de bij besluit van De Nederlandsche Bank\n                                    N.V. krachtens artikel 2 aangewezen kredietinstellingen, centrale tegenpartijen en exploitanten van handelsplatformen.\n\nHet is verboden te handelen in strijd met de artikelen 2, 3, en 4, eerste lid, van\n                                    uitvoeringsverordening (EU) 2018/151 van de Commissie van 30\u00a0januari 2018 tot vaststelling\n                                    van toepassingsbepalingen voor Richtlijn (EU) 2016/1148 van het Europees Parlement\n                                    en de Raad wat betreft de nadere specificatie van de door digitaledienstverleners\n                                    in aanmerking te nemen elementen voor het beheer van de risico\u2019s in verband met de\n                                    beveiliging van netwerk- en informatiesystemen en van de parameters om te bepalen\n                                    of een incident aanzienlijke gevolgen heeft (PbEU 2018, L\u00a026).\n\n1 Een melding bij Onze Minister als bedoeld in artikel 10, eerste of derde lid, van de wet wordt gedaan op een door Onze Minister aangegeven wijze.\n\n2 Een melding bij de bevoegde autoriteit als bedoeld in artikel 10, tweede of derde lid, of 13, eerste lid, onder b, van de wet wordt gedaan op een door de bevoegde autoriteit aangegeven wijze.\n\n3 Een melding bij het CSIRT voor digitale diensten als bedoeld in artikel 13, eerste lid, onder a, van de wet wordt gedaan op een door het CSIRT voor digitale diensten aangegeven wijze.\n\nHet Besluit meldplicht cybersecurity wordt ingetrokken.\n\nDit besluit treedt in werking op een bij koninklijk besluit te bepalen tijdstip, dat\n                                    voor de verschillende artikelen of onderdelen daarvan of voor verschillende categorie\u00ebn\n                                    van aanbieders of diensten verschillend kan worden vastgesteld.\n\nDit besluit wordt aangehaald als: Besluit beveiliging netwerk- en informatiesystemen.\n\nLasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in\n                                       het Staatsblad zal worden geplaatst.\n\n\n\nWassenaar, 30 oktober 2018\n\nWillem-Alexander\n\nDe Minister van Justitie en Veiligheid,\n\nF.B.J. \nGrapperhaus\n\nDe Minister van Justitie en Veiligheid,\n\nF.B.J. \nGrapperhaus\n\nTer uitvoering van de artikelen 7 en 8 van de wet neemt de aanbieder van een essenti\u00eble dienst (hierna: de aanbieder) ten minste de\n                                    in deze bijlage beschreven maatregelen. De maatregelen worden door de aanbieder periodiek\n                                    ge\u00ebvalueerd en bijgesteld.\n\nDe aanbieder heeft een actueel overzicht van de netwerk- en informatiesystemen die\n                                       zijn essenti\u00eble dienst ondersteunen. De aanbieder stelt een risicoanalyse op waarin\n                                       hij de risico\u2019s met betrekking tot de beveiliging beschrijft en ingaat op de wijze\n                                       waarop hij de risico\u2019s naar een passend niveau verkleint. Hij motiveert daarbij waarom\n                                       dit niveau volgens hem proportioneel en aanvaardbaar is. In die motivering gaat hij\n                                       in ieder geval in op de organisatiespecifieke en sectorspecifieke risico\u2019s, het maatschappelijke\n                                       belang van zijn essenti\u00eble dienst en de stand van de techniek. Hij legt de resultaten\n                                       van de risicoanalyse schriftelijk vast en verwerkt de resultaten in beveiligings-\n                                       en beheersmaatregelen.\n\nDe aanbieder heeft een informatiebeveiligingsbeleid en -strategie en past deze actief\n                                       toe. Hij heeft de taken, bevoegdheden en verantwoordelijkheden voor de beveiliging\n                                       en beheer van zijn netwerk- en informatiesystemen in de organisatie belegd.\n\nDe aanbieder heeft een gelaagde beveiligingsstrategie die is gebaseerd op de risico\u2019s\n                                       die volgen uit de risicoanalyse. Defense in depth, lifecycle-, asset-, patch-, identificatie- en toegangsmanagement vormen in ieder\n                                       geval onderdeel van deze strategie. Wanneer hij door relevante instanties zoals leveranciers\n                                       of betrokken overheidsinstanties geattendeerd wordt op beveiligingsadviezen en dreigingsinformatie,\n                                       beoordeelt hij of op basis daarvan gegeven de stand der techniek aanvullende maatregelen\n                                       noodzakelijk zijn om ge\u00efdentificeerde risico\u2019s te verkleinen naar een passend niveau.\n                                       De aanbieder legt de bevindingen van zijn beoordeling schriftelijk vast.\n\nDe aanbieder heeft de beveiliging van zijn netwerk- en informatiesystemen zodanig\n                                       ingericht dat hij daarmee incidenten kan detecteren, analyseren en vastleggen en de\n                                       gevolgen daarvan zo veel mogelijk kan beperken. Hij monitort netwerk- en informatiesystemen\n                                       structureel op kwetsbaarheden en mogelijke compromittatie en houdt hierbij rekening\n                                       met de beschikbare dreigingsinformatie. Hij verzorgt het loggen van de handelingen\n                                       op de netwerk- en informatiesystemen en bewaart deze gegevens lang genoeg om incidenten\n                                       te kunnen analyseren. Hij hanteert procedures omtrent het optreden bij incidenten.\n\nDe aanbieder stelt een bedrijfscontinu\u00efteitsbeleid en crisismanagementbeleid op voor\n                                       de netwerk- en informatiesystemen. Het crisismanagementbeleid bestaat in ieder geval\n                                       uit een plan om de essenti\u00eble dienst zo spoedig mogelijk te herstellen na een incident.\n                                       Het crisismanagementbeleid wordt daartoe periodiek in de praktijk beoefend."}