Title: wetten.nl - Regeling - Regeling beveiliging netwerk- en informatiesystemen IenW - BWBR0045163

Source: https://wetten.overheid.nl/BWBR0045163/

Content:
{"title": "wetten.nl - Regeling - Regeling beveiliging netwerk- en informatiesystemen IenW - BWBR0045163", "content": "Regeling van de Minister van Infrastructuur en Waterstaat, van 25 mei 2021, nr. IENW/BSK-2021/135014,\n                                    houdende nadere regels voor de veiligheid van aanbieders van essenti\u00eble diensten inzake\n                                    de netwerk- en informatiesystemen in de sectoren vervoer en drinkwater (Regeling beveiliging\n                                    netwerk- en informatiesystemen IenW)\n\nDe Minister van Infrastructuur en Waterstaat,Na overleg met de Minister van Justitie\n                                    en Veiligheid;\n\nGelet op artikel 3a, tweede lid, van het Besluit beveiliging netwerk- en informatiesystemen;\n\nBESLUIT:\n\nIn deze regeling wordt verstaan onder:\n\nAED: aanbieder van een essenti\u00eble dienst;\n\nbesluit:\nBesluit beveiliging netwerk- en informatiesystemen;\n\nISMS: Information Security Management System als bedoeld in artikel 3, tweede tot en met vierde lid;\n\nrisicoanalyse: risicoanalyse als bedoeld in onderdeel 1 van de bijlage bij artikel 3a, eerste lid, van het besluit.\n\n1 Deze regeling is van toepassing op iedere AED in de sectoren drinkwater en vervoer,\n                                             voor zover het de netwerk- en informatiesystemen betreft die gebruikt worden voor\n                                             de essenti\u00eble dienst.\n\n2 Bij het nemen van de maatregelen, opgenomen in onderdelen 1 tot en met 5 van de bijlage bij artikel 3a van het besluit, past de AED de paragrafen 3 tot en met 9 toe.\n\n1 De AED hanteert een ISMS.\n\n2 Het ISMS stelt de AED in staat om maatregelen te nemen, uit te voeren en waar nodig\n                                             bij te stellen met als doel op een structurele wijze risico\u2019s terug te brengen tot\n                                             een acceptabel niveau.\n\n3 Het ISMS omvat omschrijvingen van het beleid, de processen en procedures, gericht\n                                             op de maatregelen, bedoeld in de paragrafen 4 tot en met 8.\n\n4 Het ISMS ondersteunt de AED bij het toepassen van de continue verbetercyclus, bedoeld\n                                             in artikel 5.\n\n5 De AED beschikt over een document waarin is vastgelegd op welke wijze uitvoering is\n                                             gegeven aan het eerste lid.\n\n1 In de risicoanalyse is met behulp van een onderbouwing vastgelegd welk risiconiveau\n                                             acceptabel wordt geacht voor de levering van de essenti\u00eble dienst.\n\n2 Bij de risicoanalyse worden de redelijkerwijs voorzienbare risico\u2019s binnen de keten\n                                             van toeleveranciers betrokken voor zover deze kunnen leiden tot een incident bij de\n                                             levering van de essenti\u00eble dienst.\n\n3 De risicoanalyse wordt op basis van een door de AED vastgelegde procedure periodiek\n                                             geactualiseerd en telkens wanneer blijkt dat de dreigingen of kwetsbaarheden significant\n                                             zijn toe- of afgenomen.\n\n1 De AED hanteert een continue verbetercyclus, waarmee:\n\na. maatregelen worden toegepast ter beheersing van risico\u2019s;\n\nb. de doeltreffendheid van deze maatregelen wordt beoordeeld;\n\nc. de maatregelen worden bijgesteld, wanneer de beoordeling daartoe aanleiding geeft.\n\n2 De AED heeft inzicht in de mate waarin de maatregelen doeltreffend zijn en de risico\u2019s\n                                             beheerst zijn.\n\n3 Het ISMS is zodanig ingericht dat de AED in staat gesteld wordt verantwoording af\n                                             te leggen over de mate waarin de maatregelen doeltreffend zijn en de risico\u2019s worden\n                                             beheerst.\n\nDe AED beschrijft bij wie of welke functionaris taken, bevoegdheden en verantwoordelijkheden\n                                       als bedoeld in de bijlage bij artikel 3a van het besluit, onderdeel 2, zijn belegd en actualiseert deze beschrijving als er wijzigingen zijn.\n\n1 De AED waarborgt dat functionarissen over passende kwalificaties beschikken gelet\n                                             op de bij hen belegde taken, bevoegdheden en verantwoordelijkheden.\n\n2 De AED verzorgt voor de functionarissen die bij hem in dienst zijn periodieke bewustwordings-\n                                             en trainingsactiviteiten en opleidingen, gericht op de voor netwerk- en informatiebeveiliging\n                                             noodzakelijke kennis en kunde, het gewenste gedrag en daarop gerichte bewustzijn van\n                                             betrokkenen.\n\n1 Het management van de AED draagt bewustzijn uit van de noodzaak tot informatiebeveiliging\n                                             en bevordert op eigen initiatief binnen de organisatie het bewustzijn en de bewustwording\n                                             hierover.\n\n2 De AED legt beleid vast over screening, professionaliteit en integriteit van medewerkers,\n                                             over geheimhouding door medewerkers en voor maatregelen in geval van schending van\n                                             de geheimhouding of integriteit en past dat beleid toe.\n\n1 Het actueel overzicht, bedoeld in onderdeel 1 van de bijlage bij artikel 3a van het besluit, bevat de actuele configuratie van de netwerk- en informatiesystemen en de relevante\n                                             kenmerken ervan. Onderdeel van het overzicht is een beschrijving van de zonering en\n                                             koppelingen van netwerken.\n\n2 Het overzicht classificeert de systemen en onderdelen ervan aan de hand van de gevolgen\n                                             voor de AED bij verstoringen en beschrijft het beveiligingsniveau.\n\n3 De configuratie is vastgelegd in een configuratie management database. De beschrijving\n                                             omvat de versies van hard- en software die in gebruik zijn bij onderdelen van netwerk-\n                                             en informatiesystemen, die door de AED als kritiek zijn geclassificeerd.\n\n4 De AED monitort de kwetsbaarheden voor de configuratie en legt deze vast.\n\n1 Voor onderdelen van netwerk- en informatiesystemen die door de AED als kritiek worden\n                                             geclassificeerd hanteert de AED asset- en lifecyclemanagement.\n\n2 De AED stelt een proces vast voor het tijdig vernieuwen of afvoeren van systemen (end-of-support-management)\n                                             en past dit toe.\n\nHet patchmanagement omvat een risicoanalyse over de uit te voeren patch die ingaat\n                                       op:\n\na. het risico op verstoring van de dienst door de patch;\n\nb. de risico\u2019s die door de patch of door andere maatregelen worden gemitigeerd.\n\n1 Netwerk- en informatiebeveiliging maken onderdeel uit van de inkoopvoorwaarden van\n                                             de AED met betrekking tot inkoop van software, hardware en diensten.\n\n2 De AED betrekt bij overeenkomsten met derden, waaronder leveranciers, relevante beveiligingseisen,\n                                             -verantwoordelijkheden en -rollen en maakt afspraken over de eisen aan beveiligingsprestaties\n                                             van de leverancier, het melden van incidenten en de be\u00ebindiging van de overeenkomst.\n                                             De AED houdt de gemaakte afspraken actueel.\n\n1 De AED borgt netwerk- en informatiebeveiliging bij ontwerp, planning en realisatie\n                                             van netwerk- en informatiesystemen.\n\n2 De AED gebruikt segmentering om te verhinderen dat een kwetsbaarheid of ongeautoriseerde\n                                             toegang tot een netwerk- of informatiesysteem gebruikt kan worden om andere netwerk-\n                                             of informatiesystemen te compromitteren. De keuze voor het toepassen van segmentering\n                                             wordt gemaakt op basis van een risicoanalyse.\n\nDe AED heeft beleid vastgelegd over de fysieke beveiliging van netwerk- en informatiesysteemcomponenten\n                                       en faciliteiten die de netwerken ondersteunen en past dit beleid toe.\n\n1 De AED heeft beleid vastgelegd voor logische toegangsbeveiliging voor de toegang tot\n                                             netwerk- en informatiesystemen en past dit beleid toe. Dit beleid ziet in ieder geval\n                                             op beheer van identiteiten, authenticaties en autorisaties, waaronder uitgeven, monitoren\n                                             van gebruik en intrekken ervan.\n\n2 Autorisaties worden ten minste jaarlijks beoordeeld op juistheid en actualiteit en\n                                             geconstateerde onjuistheden worden hersteld.\n\n1 De AED past effectieve maatregelen toe tegen malware en monitort deze.\n\n2 Indien gebruik gemaakt wordt van versleuteling, worden maatregelen toegepast om de\n                                             betrouwbaarheid, integriteit en vertrouwelijkheid van de gebruikte sleutels te borgen.\n\n1 De AED heeft beleid vastgelegd voor het beheerst doorvoeren van wijzigingen in en\n                                             op een netwerk- en informatiesysteem en past dit beleid toe.\n\n2 De AED heeft voorts de processen vastgelegd voor toepassen van een wijziging en past\n                                             deze toe. Het proces omvat ook het testen van de wijziging.\n\n1 De AED heeft beleid vastgelegd voor het melden van incidenten door werknemers en ziet\n                                             toe op de toepassing ervan.\n\n2 De AED heeft beleid vastgelegd en processen beschreven voor het melden en identificeren\n                                             van tekortkomingen en kwetsbaarheden en past deze toe.\n\n1 De AED heeft een proces vastgelegd voor het loggen van handelingen op een netwerk-\n                                             en informatiesysteem en past dit toe. Als onderdeel van het proces zijn de parameters\n                                             beschreven, waaronder handelingen die leiden tot een nadere analyse en onderzoek.\n\n2 Het eerste lid is niet van toepassing op componenten van netwerk- en informatiesystemen\n                                             waarvoor op technische gronden loggen van handelingen niet mogelijk is. De AED heeft\n                                             vastgelegd voor welke componenten dit geldt.\n\n1 De AED heeft het proces vastgelegd over de methode van monitoring van een netwerk-\n                                             en informatiesysteem.\n\n2 De AED heeft detectieprocessen en -procedures vastgelegd om afwijkende gebeurtenissen\n                                             tijdig op te merken, te classificeren en, waar noodzakelijk, op te volgen. De AED\n                                             past deze processen en procedures toe.\n\n1 De AED heeft procedures vastgelegd voor het classificeren, onderzoeken en verhelpen\n                                             van incidenten, het intern en extern communiceren en rapporteren over incidenten en\n                                             past deze procedures toe.\n\n2 De AED borgt dat een incident naar de ernst ervan wordt beoordeeld. Bij de beoordeling\n                                             van de ernst wordt de impact op ketenpartners betrokken.\n\n3 Incidenten worden geanalyseerd en ge\u00ebvalueerd. De uitkomsten van deze analyse en evaluatie\n                                             worden gebruikt bij de verbetering van de beheersing van de risico\u2019s.\n\nHet crisis- of bedrijfscontinu\u00efteitsplan wordt ten minste jaarlijks getest op doeltreffendheid\n                                       en waar nodig aangepast. Testen kan plaatsvinden door middel van oefeningen.\n\n1 De AED heeft procedures vastgelegd voor het maken van backups (system, software en\n                                             data), past deze procedures toe en indien nodig aan.\n\n2 Het eerste lid is niet van toepassing op componenten van netwerk- en informatiesystemen\n                                             waarvoor op technische gronden het maken van backups niet mogelijk of niet noodzakelijk\n                                             is. De AED heeft vastgelegd voor welke componenten dit geldt.\n\n3 De procedures, bedoeld in het eerste lid, worden ten minste jaarlijks getest.\n\n1 Een AED kan aantonen dat de paragrafen 3 tot en met 8 zijn toegepast, door aan te tonen dat een met deze regeling tenminste gelijkwaardige\n                                             sectorspecifieke norm wordt toegepast.\n\n2 De Beveiligingsnorm Procesautomatisering, zoals vastgesteld op 28\u00a0maart 2019 door\n                                             de drinkwaterbedrijven gezamenlijk en die geldt voor de sector drinkwater, wordt vermoed\n                                             tenminste gelijkwaardig te zijn met deze regeling, behoudens de artikelen 3, 4, derde lid, 5, derde lid, 6, 7, eerste lid, 8, 9, eerste en tweede lid, 10, 12, eerste lid, 13, eerste lid, 15, tweede lid en 23, tweede lid.\n\n3 EASA.rmt720, zodra deze is vastgesteld en geldt voor de sector vervoer, onderdeel\n                                             luchtvaart, wordt vermoed tenminste gelijkwaardig te zijn met deze regeling.\n\n4 Een wijziging in een sectorspecifieke norm wordt door of namens de AED medegedeeld\n                                             aan de Minister en aan de Inspecteur-Generaal van de Inspectie Leefomgeving en Transport.\n\nDeze regeling treedt in werking met ingang van 1\u00a0juli 2021.\n\nDeze regeling wordt aangehaald als: Regeling beveiliging netwerk- en informatiesystemen\n                                       IenW.\n\nDeze regeling zal met de toelichting in de Staatscourant worden geplaatst.\n\nDe Minister van Infrastructuur en Waterstaat,\n\nC. van \nNieuwenhuizen-Wijbenga"}