De EU-lidstaten gaan meer bedrijven en sectoren verplichten om passende maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen en ernstige cyberincidenten te melden. Nu gelden de strengere eisen alleen voor vitale sectoren, waaronder banken, energie en drinkwater en ook de telecom- en cloudnetwerken. Ze gaan ook gelden voor grotere partijen die actief zijn in de voedselproductie en -distributie, maakindustrie en post- en koeriersdiensten.
In Nederland verleent het Nationaal Cyber Security Centrum (NCSC, ministerie van JenV) bijstand en advies aan deze aanbieders en het CSIRT DSP (Computer Security Incident Response Team, ministerie van EZK) doet dit voor de digitale dienstverleners.
Het Nederlandse bedrijfsleven voert een lobby voor meer bijstand en advies vanuit de overheid, ook aan bedrijven die buiten de cirkel vallen van het NCSC. De eigen verantwoordelijkheid van bedrijven blijft het uitgangspunt, meldt het kabinet.
Essentiële en belangrijke aanbieders
In de toekomstige situatie wordt het aantal sectoren fors uitgebreid. De herziene richtlijn kent dan twee categorieën: essentiële aanbieders en belangrijke aanbieders. Bij de essentiële, voornamelijk partijen uit vitale sectoren, is het toezicht straks proactief.
Bij de belangrijke aanbieders vindt het toezicht achteraf plaats, vooral naar aanleiding van een incident. Aan aanbieders worden naast een meldplicht ook veiligheidsmaatregelen gesteld, zoals de beveiliging van de toeleveringsketen en de afhandeling van incidenten op orde brengen. Na een cyberaanval in april kregen de Albert Heijn-supermarkten een paar dagen geen kaas geleverd.
Lidstaten akkoord met NIB2
De lidstaten hebben een akkoord bereikt op de Telecomraad in Brussel om de EU Netwerk- en Informatiebeveiligingsrichtlijn (NIB) te herzien. Over deze herziening (de NIB2) wordt hierna nog onderhandeld met het Europees Parlement en de Europese Commissie. Streven is een definitief akkoord in 2022, waarna lidstaten de wetgeving in eigen land kunnen aanpassen. In Nederland is de huidige richtlijn geïmplementeerd in de Wet beveiliging netwerk- en informatiesystemen (Wbni).
