Besluit van 8 juli 2026, houdende regels ter uitvoering van de Cyberbeveiligingswet en tot vaststelling van het tijdstip van inwerkingtreding van de Cyberbeveiligingswet (Cyberbeveiligingsbesluit)202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026Cyberbeveiligingsbesluit202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.Op de voordracht van Onze Minister van Justitie en Veiligheid van 22 mei 2026, directie Wetgeving en Juridische Zaken, nr. 7530368;Gelet op de artikelen 3, 16, eerste en zevende lid, 17, eerste lid, 21, vijfde lid, 24, zesde lid, 25, derde en vierde lid, 35, 44, eerste lid, onderdeel f, 51, tweede lid, onderdeel i, 65, eerste lid, en 107 van de Cyberbeveiligingswet, de artikelen 14, zesde lid, en 15, vijfde lid, van de Wet weerbaarheid kritieke entiteiten, de artikelen 1:3a, vierde lid, 1:24, derde lid, en 1:25, derde lid, onderdeel b, van de Wet op het financieel toezicht, artikel 54a van de Drinkwaterwet en de artikelen 11a.1, tweede en vierde lid, en 11a.3, zesde lid, van de Telecommunicatiewet;De Afdeling advisering van de Raad van State gehoord (advies van 27 mei 2026, nr. W16.26.00143/II);Gezien het nader rapport van Onze Minister van Justitie en Veiligheid van 29 juni 2026, directie Wetgeving en Juridische Zaken, nr. 7726213;Hebben goedgevonden en verstaan:202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20261Begripsbepaling1(begripsbepaling)In dit besluit en de daarop berustende bepalingen wordt verstaan onder:
–Uitvoeringsverordening (EU) 2024/2690:Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024 tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en nadere specificatie van de gevallen waarin een incident als significant wordt beschouwd met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten (PbEU L 2024/2690);
–wet:Cyberbeveiligingswet.
202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20262Aanwijzing CSIRT en coördinator bekendmaking kwetsbaarheden en eisen aan CSIRT’s2(aanwijzing CSIRT en coördinator bekendmaking kwetsbaarheden)1Onze Minister wordt voor essentiële entiteiten en belangrijke entiteiten aangewezen als het CSIRT, bedoeld in artikel 16, eerste lid, van de wet.2Bij regeling van Onze Minister die het aangaat, in overeenstemming met Onze Minister, kan in afwijking van het eerste lid voor essentiële entiteiten en belangrijke entiteiten uit specifieke sectoren en subsectoren, voor specifieke soorten entiteiten en voor specifieke entiteiten een ander dan Onze Minister worden aangewezen als het CSIRT, bedoeld in artikel 16, eerste lid, van de wet.3Onze Minister is de coördinator met het oog op een gecoördineerde bekendmaking van kwetsbaarheden, bedoeld in artikel 17 van de wet.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20263(eisen aan CSIRT’s)1De CSIRT’s, bedoeld in artikel 2, eerste en tweede lid, voldoen aan de volgende eisen:
a.de CSIRT’s garanderen een hoge mate van beschikbaarheid van hun communicatiekanalen door zwakke punten te voorkomen, beschikken over middelen waarlangs te allen tijde contact met hen en met anderen kan worden opgenomen, specificeren hun communicatiekanalen duidelijk en delen deze mee aan de entiteiten, instanties en partijen, bedoeld in artikel 16, tweede lid, onderdeel b, van de wet, en de andere instanties waarmee zij samenwerken;
b.de lokalen en werkruimten van de CSIRT’s en de ondersteunende informatiesystemen bevinden zich op beveiligde locaties;
c.de CSIRT’s zijn, met het oog op doeltreffende en efficiënte overdrachten, uitgerust met een adequaat systeem voor het beheren en routeren van verzoeken;
d.de CSIRT’s waarborgen de vertrouwelijkheid en betrouwbaarheid van hun activiteiten;
e.de CSIRT’s beschikken over voldoende personeel om te allen tijde de beschikbaarheid van hun diensten te garanderen en zorgen ervoor dat hun personeel naar behoren wordt opgeleid; en
f.de CSIRT’s zijn uitgerust met redundante systemen en reservewerkruimten om de continuïteit van hun diensten te waarborgen.
2Bij regeling van Onze Minister, in overeenstemming met Onze Ministers die het aangaan, kunnen nadere regels worden gesteld over de functionele, technische en organisatorische vereisten ten aanzien van de in artikel 2, eerste en tweede lid, bedoelde CSIRT’s.3Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen daarnaast nadere regels worden gesteld over de functionele, financiële, technische en organisatorische vereisten ten aanzien van een organisatie die op grond van artikel 2, tweede lid, is aangewezen als CSIRT.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20263Toepassingsbereik4(verhouding tot Uitvoeringsverordening (EU) 2024/2690)Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten:
a.DNS-dienstverleners;
b.registers voor topleveldomeinnamen;
c.aanbieders van cloudcomputingdiensten;
d.aanbieders van datacentrumdiensten;
e.aanbieders van netwerken voor de levering van inhoud;
f.aanbieders van beheerde diensten;
g.aanbieders van beheerde beveiligingsdiensten;
h.aanbieders van onlinemarktplaatsen;
i.aanbieders van onlinezoekmachines;
j.aanbieders van platforms voor socialenetwerkdiensten; en
k.verleners van vertrouwensdiensten.
202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20264Zorgplicht5(uitvoering van artikel 21 van de wet)Ter uitvoering van artikel 21 van de wet neemt de essentiële entiteit of belangrijke entiteit ten minste de maatregelen, bedoeld in de artikelen 6 tot en met 18.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20266(beleid over beveiliging van netwerk- en informatiesystemen)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, de rollen, verantwoordelijkheden en bevoegdheden in relatie tot de beveiliging van haar netwerk- en informatiesystemen vast. De entiteit zorgt er zoveel mogelijk voor dat conflicterende rollen, verantwoordelijkheden en bevoegdheden gescheiden worden.3De essentiële entiteit of belangrijke entiteit verlangt van haar personeel en andere binnen de entiteit werkzame personen dat zij de beveiliging van haar netwerk- en informatiesystemen toepassen overeenkomstig het beleid, bedoeld in het eerste lid.4De essentiële entiteit of belangrijke entiteit hanteert een managementsystematiek voor de beveiliging van haar netwerk- en informatiesystemen om aantoonbaar te kunnen voldoen aan het bepaalde bij of krachtens artikel 21 van de wet.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20267(beleid over risicomanagement)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over risicomanagement voor de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2Het beleid, bedoeld in het eerste lid, omvat ten minste:
a.een risicomanagementmethodiek; en
b.criteria voor risicoacceptatie.
3De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor risicoanalyse, risicobeoordeling en risicobehandeling. De entiteit past deze processen en procedures aantoonbaar toe.4De essentiële entiteit of belangrijke entiteit maakt op basis van de uitgevoerde risicoanalyse een overzicht van de risico’s met betrekking tot de beveiliging van haar netwerk- en informatiesystemen.5De essentiële entiteit of belangrijke entiteit stelt op basis van het overzicht van de risico’s, bedoeld in het vierde lid, eisen met betrekking tot de beveiliging van haar netwerk- en informatiesystemen. Indien de risicoanalyse hiertoe aanleiding geeft, neemt de entiteit maatregelen om de beveiliging van haar netwerk- en informatiesystemen op structurele en aantoonbare wijze te borgen.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20268(incidentenbehandeling)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over incidentenbehandeling. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, de rollen, verantwoordelijkheden en bevoegdheden vast voor:
a.het tijdig detecteren van incidenten;
b.het analyseren en beoordelen van incidenten;
c.het reageren op, beperken van de gevolgen van, wegnemen van de oorzaak van en herstellen van incidenten;
d.het documenteren van incidenten;
e.het rapporteren van incidenten; en
f.het leren van incidenten.
3De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast om relevante gebeurtenissen in haar netwerk- en informatiesystemen te monitoren teneinde incidenten te detecteren, analyseren en classificeren. De entiteit past deze processen en procedures aantoonbaar toe.4De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor:
a.het tijdig detecteren van incidenten;
b.het analyseren en beoordelen van incidenten;
c.het reageren op, beperken van de gevolgen van, wegnemen van de oorzaak van en herstellen van incidenten;
d.het documenteren van incidenten;
e.het rapporteren van incidenten; en
f.het leren van incidenten.
5De essentiële entiteit of belangrijke entiteit past de processen en procedures, bedoeld in het vierde lid, aantoonbaar toe.6De essentiële entiteit of belangrijke entiteit logt de voor de beveiliging van haar netwerk- en informatiesystemen relevante gebeurtenissen in haar netwerk- en informatiesystemen. De entiteit houdt gedurende een vooraf bepaalde periode deze logbestanden bij en beschermt deze tegen ongeautoriseerde wijzigingen.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20269(bedrijfscontinuïteit en crisisbeheer)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld bedrijfscontinuïteitsbeleid met betrekking tot haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor het borgen van haar bedrijfscontinuïteit, waaronder in ieder geval processen en procedures voor het herstellen van haar netwerk- en informatiesystemen en voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens. De entiteit past deze processen en procedures aantoonbaar toe en test deze periodiek.3De essentiële entiteit of belangrijke entiteit heeft een vastgesteld bedrijfscontinuïteitsplan met betrekking tot haar netwerk- en informatiesystemen. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident dat de bedrijfscontinuïteit in gevaar brengt, en test dit plan periodiek.4De essentiële entiteit of belangrijke entiteit heeft een herstelplan. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident en test dit plan periodiek.5De essentiële entiteit of belangrijke entiteit heeft een plan voor crisisbeheer, legt dit plan schriftelijk vast, past dat plan toe in geval van een crisis en test en beoefent dit plan periodiek. Het plan bevat ten minste:
a.de taken, verantwoordelijkheden en bevoegdheden ten tijde van crisis voor het personeel en andere binnen de entiteit werkzame personen;
b.een beschrijving van de communicatiemiddelen ten tijde van crisis; en
c.wanneer passend, een beschrijving van de beschikbare noodvoorzieningen, waaronder het gebruik van beveiligde noodcommunicatiesystemen ten tijde van crisis.
202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202610(beveiliging van de toeleveringsketen)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van de toeleveringsketen. De entiteit bepaalt in dat beleid haar omgang met afhankelijkheden van de producten en diensten van haar leveranciers en dienstverleners die invloed kunnen hebben op de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202611(beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen)1De essentiële entiteit of belangrijke entiteit heeft op basis van de beveiligingseisen, bedoeld in artikel 7, vijfde lid, vastgesteld beleid voor het mitigeren en beheersen van risico’s die voortvloeien uit het verwerven van software, hardware of diensten die betrekking hebben op haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2Indien van toepassing stelt de essentiële entiteit of belangrijke entiteit processen en procedures vast voor de veilige ontwikkeling van haar netwerk- en informatiesystemen. De entiteit past deze processen en procedures aantoonbaar toe. Deze processen en procedures hebben betrekking op alle ontwikkelingsfasen van de netwerk- en informatiesystemen van de entiteit.3De essentiële entiteit of belangrijke entiteit stelt processen en procedures vast voor het onderhoud en beheer van haar netwerk- en informatiesystemen. De entiteit past deze processen en procedures aantoonbaar toe. Deze processen en procedures hebben ten minste betrekking op het configuratiebeheer en het wijzigingsbeheer van de netwerk- en informatiesystemen van de entiteit.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202612(basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging)1De essentiële entiteit of belangrijke entiteit zorgt ervoor dat haar personeel en andere binnen de entiteit werkzame personen, voor zover relevant voor hun functie:
a.bewust zijn van de risico’s met betrekking tot de netwerk- en informatiesystemen van de entiteit; en
b.praktijken op het gebied van cyberhygiëne toepassen.
2De essentiële entiteit of belangrijke entiteit wijst het personeel en andere binnen de entiteit werkzame personen aan waarvan de rollen, verantwoordelijkheden en bevoegdheden vaardigheden en deskundigheid vereisen op het gebied van de beveiliging van netwerk- en informatiesystemen en zorgt ervoor dat zij regelmatig opleiding krijgen over de beveiliging van netwerk- en informatiesystemen.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202613(beleid over het gebruik van cryptografie)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over het gebruik van cryptografie. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast over het gebruik van cryptografie. De entiteit past deze processen en procedures aantoonbaar toe.3In het beleid en de processen en procedures, bedoeld in het eerste en tweede lid, worden in ieder geval uitgewerkt:
a.in welke gevallen cryptografie ingezet wordt;
b.in voorkomende gevallen, welke typen encryptie worden gebruikt en de wijze waarop deze worden toegepast;
c.wie binnen de entiteit verantwoordelijk zijn voor de implementatie van cryptografie; en
d.wie binnen de entiteit verantwoordelijk zijn voor het sleutelbeheer.
202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202614(beveiligingsaspecten ten aanzien van personeel)1De essentiële entiteit of belangrijke entiteit wijst het personeel en andere binnen de entiteit werkzame personen aan die worden belast met rollen, verantwoordelijkheden en bevoegdheden met betrekking tot de beveiliging van haar netwerk- en informatiesystemen.2De essentiële entiteit of belangrijke entiteit evalueert periodiek de aanwijzing, bedoeld in het eerste lid, en werkt deze aanwijzing indien nodig bij.3De essentiële entiteit of belangrijke entiteit stelt betrouwbaarheidseisen op waaraan haar personeel en andere binnen de entiteit werkzame personen moeten voldoen, voor zover deze passend en noodzakelijk zijn voor hun taakuitoefening met betrekking tot de beveiliging van de netwerk- en informatiesystemen van de entiteit.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202615(beveiligingsaspecten ten aanzien van toegangsbeleid)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de logische en fysieke toegang tot haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2Het beleid, bedoeld in het eerste lid, omvat in ieder geval het uitgeven, monitoren, gebruiken, wijzigen en intrekken van identiteiten en autorisaties, en het beheer van identiteiten en autorisaties.3De essentiële entiteit of belangrijke entiteit controleert identiteiten, authenticatiemiddelen en autorisaties periodiek op de noodzakelijkheid, juistheid en actualiteit en voert indien nodig wijzigingen door in de identiteiten, authenticatiemiddelen en autorisaties.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202616(beveiligingsaspecten ten aanzien van beheer van assets)1De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid voor het beheer van haar assets die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.2Het beleid, bedoeld in het eerste lid, omvat in ieder geval:
a.een systeem om assets op verschillende niveaus te kunnen classificeren, indien van toepassing op basis van de eisen voor vertrouwelijkheid, integriteit en beschikbaarheid; en
b.regels voor het aanvaardbaar gebruik van haar assets.
3De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor het beheer van haar assets. De entiteit past deze processen en procedures aantoonbaar toe.4De essentiële entiteit of belangrijke entiteit heeft een volledige en actuele inventaris van haar assets, en houdt deze bij.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202617(attenderingen, beveiligingsadviezen en dreigingsinformatie)1Indien de essentiële entiteit of belangrijke entiteit gericht wordt geattendeerd op voor de beveiliging van haar netwerk- en informatiesystemen relevante kwetsbaarheden of cyberdreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 21 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.2Het eerste lid is van overeenkomstige toepassing op gerichte beveiligingsadviezen en dreigingsinformatie, die relevant zijn voor de beveiliging van de netwerk- en informatiesystemen van de essentiële entiteit of belangrijke entiteit, en zijn ontvangen van relevante organisaties, waaronder CSIRT’s, bevoegde autoriteiten, andere betrokken overheidsinstanties, rechtstreekse leveranciers en rechtstreekse dienstverleners.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202618(evaluatie)De essentiële entiteit of belangrijke entiteit evalueert periodiek de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 21, eerste lid, van de wet en de effecten ervan in de praktijk, en legt het resultaat daarvan schriftelijk vast. De entiteit past naar aanleiding van de uitkomst van die evaluaties de maatregelen waar nodig aan.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202619(nadere regels)Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen nadere regels worden gesteld over de maatregelen, bedoeld in artikel 21, eerste lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20265Training20(doel van de training)De training, bedoeld in artikel 24, vijfde lid, van de wet, stelt het lid van het bestuur van de essentiële entiteit of belangrijke entiteit in staat om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren en de gevolgen daarvan voor de diensten die door de entiteit worden verleend te kunnen beoordelen. Ook stelt de training het lid van het bestuur van de entiteit in staat om risicobeheersmaatregelen op het gebied van cyberbeveiliging en de gevolgen daarvan voor de diensten die door de entiteit worden verleend te kunnen beoordelen.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202621(eisen aan de training)1Ten behoeve van het verkrijgen van kennis en vaardigheden om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren als bedoeld in artikel 24, tweede lid, onderdeel a, van de wet en de gevolgen van deze risico’s te kunnen beoordelen, bedoeld in artikel 24, tweede lid, onderdeel c, van de wet, behandelt de training, bedoeld in artikel 24, vijfde lid, van de wet, daartoe in ieder geval de volgende onderwerpen:
a.de soorten risico’s voor netwerk- en informatiesystemen;
b.risicomanagementprocessen; en
c.risicobeoordelingsmethodiek.
2Ten behoeve van het verkrijgen van kennis en vaardigheden om risicobeheersmaatregelen op het gebied van cyberbeveiliging als bedoeld in artikel 24, tweede lid, onderdeel b, van de wet en de gevolgen van risicobeheersmaatregelen te kunnen beoordelen, bedoeld in artikel 24, tweede lid, onderdeel c, van de wet, behandelt de training, bedoeld in artikel 24, vijfde lid, van de wet, in ieder geval de onderwerpen, genoemd in artikel 21, derde lid, onderdelen a tot en met j, van de wet.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202622(eisen aan het certificaat)1Het certificaat van de training, bedoeld in artikel 24, vijfde lid, van de wet, bevat in ieder geval:
a.de naam van het lid van het bestuur van de essentiële entiteit of belangrijke entiteit;
b.de datum of data waarop de training is gevolgd;
c.de behandelde onderwerpen in de training; en
d.de naam van de aanbieder van de training.
2Het certificaat van de training, bedoeld in artikel 24, vijfde lid, van de wet, is opgesteld in de Nederlandse taal of de Engelse taal.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20266Meldingen van significante incidenten, incidenten, bijna-incidenten, significante cyberdreigingen, cyberdreigingen en kwetsbaarheden23(significante incidenten)1Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten. In plaats van de vaststelling van die criteria bij regeling kan Onze Minister die het aangaat, na overleg met Onze Minister, die criteria ten aanzien van specifieke entiteiten vaststellen bij besluit.2Ten aanzien van de entiteiten waarvoor in uitvoeringshandelingen op grond van artikel 23, elfde lid, van de NIS2-richtlijn nader is gespecificeerd in welke gevallen een incident bij die entiteiten als significant wordt beschouwd, kunnen bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, naast de hiervoor bedoelde specificaties in uitvoeringshandelingen, aanvullende criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten. In plaats van de vaststelling van die aanvullende criteria bij regeling kan Onze Minister die het aangaat, na overleg met Onze Minister, die aanvullende criteria ten aanzien van specifieke entiteiten vaststellen bij besluit.3Onze Minister die het aangaat evalueert ten minste elke vier jaar de doeltreffendheid van de criteria, bedoeld in het eerste en tweede lid, en de effecten daarvan in de praktijk. Indien nodig past hij de criteria, na overleg met Onze Minister, aan.4Indien een besluit als bedoeld in het eerste en tweede lid is vastgesteld, dragen de specifieke entiteiten waarop dat besluit betrekking heeft, zorg voor de vertrouwelijke behandeling van dat besluit binnen hun organisatie.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202624(gegevens waar een vroegtijdige waarschuwing uit moet bestaan)De vroegtijdige waarschuwing, bedoeld in artikel 26, eerste lid, van de wet, omvat naast de gegevens, genoemd in artikel 26, tweede lid, van de wet, tevens de volgende gegevens:
a.het vermoedelijke tijdstip van de aanvang van het significante incident;
b.zo mogelijk, een beschrijving van de aard en op dat moment merkbare gevolgen van het incident;
c.zo mogelijk, een prognose van de hersteltijd; en
d.zo mogelijk, de door de essentiële entiteit of belangrijke entiteit voorgenomen of genomen maatregelen om de gevolgen van het significante incident te beperken of herhaling hiervan te voorkomen.
202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202625(wijze waarop een melding geschiedt)De melding, bedoeld in artikel 25, eerste lid, van de wet, wordt gedaan bij een hiervoor door Onze Minister ingericht meldpunt.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202626(nadere regels over meldingen)Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen regels worden gesteld ter uitwerking van de artikelen 26 tot en met 30, 33 en 34 van de wet.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20267Informatieverstrekking ten behoeve van nationaal register27(informatieverstrekking ten behoeve van nationaal register)1Naast de informatie, genoemd in artikel 44, eerste lid, onderdelen a tot en met e, van de wet, verstrekt een essentiële entiteit, belangrijke entiteit en entiteit die domeinnaamregistratiediensten verleent tevens aan Onze Minister de volgende informatie ten behoeve van de registratie in het nationaal register, bedoeld in artikel 43 van de wet:
a.de vermelding of zij de registratie doet als essentiële entiteit, belangrijke entiteit of entiteit die domeinnaamregistratiediensten verleent; en
b.het nummer, bedoeld in artikel 9, onderdeel a, van de Handelsregisterwet 2007 of, indien zij niet in het handelsregister, bedoeld in artikel 2 van de Handelsregisterwet 2007, is ingeschreven, een daarmee vergelijkbaar registratienummer van het land waarin zij is gevestigd.
2In afwijking van het eerste lid, onderdeel b, verstrekt een overheidsinstantie, indien zij geregistreerd staat in het Register van Overheidsorganisaties, de identificatiecode waarmee zij geregistreerd staat in het Register van Overheidsorganisaties.3In aanvulling op de informatie, genoemd in het eerste lid, en indien van toepassing, de informatie, genoemd in het tweede lid, verstrekt een essentiële entiteit of belangrijke entiteit tevens aan Onze Minister de volgende informatie ten behoeve van de registratie in het nationaal register, bedoeld in artikel 43 van de wet:
a.indien van toepassing, de soort entiteit, bedoeld in bijlage 1 of 2 van de wet, waartoe zij behoort; en
b.haar domeinnamen.
202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20268Aanwijzing autoriteiten28(aanwijzing autoriteiten)Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de autoriteiten, bedoeld in artikel 51, tweede lid, onderdeel i, van de wet, worden aangewezen.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-20269Persoonsgegevens29(bewaring van persoonsgegevens)1De persoonsgegevens, niet zijnde de persoonsgegevens, bedoeld in artikel 64, tweede lid, van de wet, die door het centrale contactpunt, het CSIRT en Onze Minister bij of krachtens de wet worden verwerkt, worden niet langer bewaard dan noodzakelijk is ter uitvoering van hun taken op grond van de wet, doch uiterlijk binnen 60 maanden na de eerste verwerking verwijderd.2In afwijking van het eerste lid worden de persoonsgegevens die zijn opgenomen in het nationale register, bedoeld in artikel 43 van de wet, niet langer bewaard dan noodzakelijk is ter uitvoering van de taken van Onze Minister op grond van artikel 43 van de wet, doch uiterlijk binnen 60 maanden na de laatste bevestiging van de juistheid van de betreffende persoonsgegevens verwijderd.3De persoonsgegevens, niet zijnde de persoonsgegevens, bedoeld in artikel 64, eerste lid, van de wet, die door de bevoegde autoriteit bij of krachtens de wet worden verwerkt, worden niet langer bewaard dan noodzakelijk is ter uitvoering van haar taken op grond van de wet, doch uiterlijk binnen 60 maanden na de eerste verwerking verwijderd.4In afwijking van het derde lid worden de persoonsgegevens, niet zijnde de persoonsgegevens, bedoeld in artikel 64, eerste lid, van de wet, die door de bevoegde autoriteit bij of krachtens de wet worden verwerkt met het oog op toezichtstrajecten en daarmee samenhangende bestuursrechtelijke procedures, niet langer bewaard dan daarvoor noodzakelijk is, doch uiterlijk binnen 120 maanden na de eerste verwerking verwijderd.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202610Slotbepalingen30(wijziging Besluit EU-verordeningen Wft)Wijzigt het Besluit EU-verordeningen Wft.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202631(wijziging Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten)Wijzigt het Besluit beveiliging en continuïteit openbare elektronische communicatienetwerken en -diensten.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202632(wijziging Besluit veiligheid en integriteit telecommunicatie)Wijzigt het Besluit veiligheid en integriteit telecommunicatie.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202633(wijziging Drinkwaterbesluit)Wijzigt het Drinkwaterbesluit.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202634(intrekking Besluit beveiliging netwerk- en informatiesystemen)Het Besluit beveiliging netwerk- en informatiesystemen wordt ingetrokken.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202635(inwerkingtreding)De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-202636(citeertitel)Dit besluit wordt aangehaald als: Cyberbeveiligingsbesluit.202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.’s-Gravenhage8 juli 2026Willem-AlexanderDe Minister van Justitie en Veiligheid,D.M. vanWeelde tiende juli 2026De Minister van Justitie en Veiligheid,D.M. vanWeel202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026202618910-07-202608-07-2026202618910-07-202608-07-202615-08-2026