Zorgplicht · Cyberbeveiligingsbesluit, hoofdstuk 4
De zorgplicht, artikel voor artikel
Over de Nederlandse aanpak wordt in twee richtingen onzin verteld. Dat er «geen kader» is en alles vrij invulbaar blijft, en dat Nederland een normenkader zou hebben zoals het Belgische CyFun. Beide kloppen niet, en het verschil is te controleren: hieronder staan de vijftien artikelen zoals het besluit ze noemt.
Bron: Cyberbeveiligingsbesluit, Staatsblad 2026, 189, hoofdstuk 4 (art. 5 tot en met 19).
Artikel 5
Uitvoering van artikel 21 van de wet
Het kaderartikel: de volgende artikelen werken de zorgplicht van art. 21 Cbw uit. De open norm van de wet blijft leidend, de uitwerking hieronder vormt volgens de toelichting het minimumniveau, passend en evenredig toe te passen op basis van uw risicoanalyse.
Artikel 6
Beleid over beveiliging van netwerk- en informatiesystemen
Vastgesteld beleid, niet een voornemen. Het besluit vraagt door de hele zorgplicht heen om beleid dat schriftelijk is vastgelegd en waarvan de toepassing aantoonbaar is.
Artikel 7
Beleid over risicomanagement
De risicoanalyse is niet alleen een verplichting op zich; zij bepaalt ook hoe zwaar de overige maatregelen bij u moeten uitvallen. Zij is dus het scharnier van het hele stelsel.
Artikel 8
Incidentenbehandeling
Het interne proces. De meldtermijnen zelf staan in de wet: 24 uur en 72 uur, telkens gerekend vanaf het moment dat u kennis heeft gekregen van het incident.
Artikel 9
Bedrijfscontinuïteit en crisisbeheer
Continuïteit en crisisbeheersing, inclusief het herstel na een verstoring.
Artikel 10
Beveiliging van de toeleveringsketen
Het artikel met de meeste praktische gevolgen. U legt beleid vast over uw afhankelijkheden van leveranciers en dienstverleners, past dat aantoonbaar toe, én toetst of uw rechtstreekse leveranciers aan de beveiligingseisen voldoen — periodiek, niet eenmalig bij inkoop.
Artikel 11
Beveiliging bij verwerven, ontwikkelen en onderhouden
De levenscyclus van systemen: aanschaf, ontwikkeling en onderhoud, inclusief het omgaan met kwetsbaarheden.
Artikel 12
Basispraktijken cyberhygiëne en opleiding
Medewerkers zijn zich bewust van de risico's en passen cyberhygiëne toe. Daarnaast wijst u de mensen aan wier rol specifieke vaardigheden vereist, en zorgt u dat zij regelmatig opleiding krijgen. Dit staat los van het bestuurderscertificaat, dat een eigen regime kent.
Artikel 13
Beleid over het gebruik van cryptografie
Beleid, geen productkeuze: het besluit schrijft geen algoritmen of normen voor.
Artikel 14
Beveiligingsaspecten ten aanzien van personeel
Het personele deel: screening waar passend, afspraken bij in- en uitdiensttreding, en verantwoordelijkheden.
Artikel 15
Beveiligingsaspecten ten aanzien van toegangsbeleid
Wie waarbij mag, op welke grond, en hoe dat wordt herzien.
Artikel 16
Beveiligingsaspecten ten aanzien van beheer van assets
U kunt niet beveiligen wat u niet in beeld heeft; dit artikel maakt dat expliciet.
Artikel 17
Attenderingen, beveiligingsadviezen en dreigingsinformatie
Een verplichting die in samenvattingen vaak ontbreekt: het actief opvolgen van waarschuwingen en dreigingsinformatie, niet alleen het ontvangen ervan.
Artikel 18
Evaluatie
De zorgplicht is een cyclus, geen project: de maatregelen worden geëvalueerd, en de uitkomst voedt de volgende ronde.
Artikel 19
Nadere regels
Grondslag voor nadere regels bij ministeriële regeling. Verwacht dus dat dit hoofdstuk in de praktijk wordt aangevuld.
Wat er níét staat, en waarom dat belangrijk is
- Geen catalogus van controles en geen assurance-niveaus. Er is niets om «behaald» te verklaren.
- Geen certificeringsschema. Niemand kan u een Nederlands nalevingscertificaat verkopen voor de zorgplicht.
- Geen verwijzing naar ISO/IEC 27001, ISO/IEC 27002 of een NEN-norm in het besluit zelf. De toelichting merkt alleen op dat de verplichtingen in grote lijnen niet verder gaan dan wat die standaarden al vragen.
- De BIO blijft voor de overheid: die komt via een eigen ministeriële regeling voor de sector overheid.