Besluit van 30 oktober 2018, houdende regels ter uitvoering van de Wet beveiliging netwerk- en informatiesystemen (Besluit beveiliging netwerk- en informatiesystemen)

Artikel 1 (begripsbepalingen) Wet beveiliging netwerk- en informatiesystemen In dit besluit en de daarop berustende bepalingen wordt onder wet verstaan:. 2018 388 08-11-2018 30-10-2018 2018 389 08-11-2018 30-10-2018 09-11-2018

Artikel 2 (aanwijzing aanbieders van een essentiële dienst) Als aanbieders van een essentiële dienst of categorieën van zodanige aanbieders worden aangewezen: 1 Verordening (EG) Nr. 300/2008 Verordening (EG) nr. 2320/2002 PbEU 2008, L 97 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van(). Sector Aanbieder Essentiële dienst Energie: elektriciteit artikel 1.1 van de Energiewet De transmissiesysteembeheerder voor elektriciteit, bedoeld in Transmissie en distributie van elektriciteit artikel 1.1 van de Energiewet De distributiesysteembeheerders voor elektriciteit, bedoeld in BritNed Development Ltd. Transmissie van elektriciteit (landsgrensoverschrijdend) Een elektriciteitsbedrijf als bedoeld in Bijlage II van de NIB-richtlijn, dat één of meerdere installaties beheert voor de productie van elektriciteit met een cumulatief nominaal vermogen van ten minste 100 MW Productie van elektriciteit De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen elektriciteitsbedrijven, als bedoeld in Bijlage II van de NIB-richtlijn Levering of aankoop van elektriciteit Energie: gas artikel 1.1 van de Energiewet De transmissiesysteembeheerder voor gas, bedoeld in Transmissie en distributie van gas artikel 1.1 van de Energiewet De distributiesysteembeheerders voor gas, bedoeld in De Nederlandse Aardolie Maatschappij B.V. Het opslaan van gas op basis van de opslagvergunning «Norg» van 31 maart 2003 (Stcrt. 2003, 68) De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen leveringsbedrijven, als bedoeld in Bijlage II van de NIB-richtlijn Levering van gas De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen opslagsysteembeheerders, als bedoeld in Bijlage II van de NIB-richtlijn Opslag van gas De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen LNG-systeembeheerders, als bedoeld in Bijlage II van de NIB-richtlijn Het vloeibaar maken van aardgas of de invoer, de verlading en de hervergassing van LNG De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen aardgasbedrijven, als bedoeld in Bijlage II van de NIB-richtlijn Productie of aankoop van aardgas, met inbegrip van LNG De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen exploitanten van voorzieningen voor de raffinage en behandeling van aardgas, als bedoeld in Bijlage II van de NIB-richtlijn Raffinage of behandeling van aardgas Energie: aardolie Stichting Centraal Orgaan Voorraadvorming Aardolieproducten Het beheren van strategische olievoorraden Energie: aardolie De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen exploitanten van oliepijpleidingen, als bedoeld in Bijlage II van de NIB-richtlijn Beheer van oliepijpleidingen De bij besluit van Onze Minister van Klimaat en Groene Groei aangewezen exploitanten van voorzieningen voor de productie, opslag, transport, raffinage en behandeling van olie, bedoeld in Bijlage II van de NIB-richtlijn Productie, opslag, transport, raffinage, of behandeling van olie Vervoer: luchtvervoer Verordening (EG) nr. 300/2008 1 • Nederlandse luchtvaartmaatschappijen die beschikken over een Air Operator Certificate (AOC) en die niet conform artikel 4, vierde lid vanzijn uitgezonderd van de gemeenschappelijke basisnormen voor de beveiliging van de burgerluchtvaart zoals opgenomen in deze Verordening; • De exploitant van Luchthaven Schiphol; artikel 8.1, derde lid, van de Wet luchtvaart • De exploitanten van de luchthavens, genoemd invoor zover op die luchthavens verkeersvluchten plaatsvinden van luchtvaartmaatschappijen die: a. open staan voor individuele boekingen voor passagiers, vracht of post; en b. betreffen geregelde vluchten, zijnde lijnvluchten of commerciële vluchten uitgevoerd op een vaste route volgens een gepubliceerde dienstregeling, en niet-geregelde vluchten, zijnde chartervluchten in het passagiers- en vrachtvervoer of commerciële vluchten met een ongeregeld karakter; • De burgerexploitant van de luchthaven Eindhoven; • Aircraft Fuel Supply B.V.; • Koninklijke marechaussee; • Luchtverkeersleiding Nederland (LVNL); • Maastricht Upper Area Control Centre (MUAC). Een veilige en vlotte vlucht- en vliegtuigafhandeling Vervoer: spoorvervoer richtlijn 2012/34 De bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen infrastructuurbeheerders, bedoeld in artikel 3 van/EU artikel 16 van de Spoorwegwet Het beheer van de hoofdspoorweginfrastructuur, bedoeld in richtlijn 2012/34 De bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen spoorwegondernemingen, bedoeld in artikel 3 van/EU Het vervoer van personen of goederen over (hoofd)spoorweginfrastructuur Vervoer: vervoer over water De Divisie Havenmeester van het Havenbedrijf Rotterdam N.V. Het afwikkelen van scheepvaartverkeer Vervoer: wegvervoer De bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen wegenautoriteiten, bedoeld in artikel 2 van verordening (EU) 2015/962 Het beheer van weginfrastructuur richtlijn 2010/40 De bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen exploitanten van intelligente vervoerssystemen, bedoeld in artikel 4 van/EU richtlijn 2010/40 Het exploiteren van een intelligent vervoerssysteem als bedoeld in artikel 4 van/EU Bankwezen De bij besluit van De Nederlandsche Bank N.V. aangewezen kredietinstellingen als bedoeld in artikel 4, punt 1, van Verordening (EU) nr. 575/2013 Het aanbieden en afwikkelen van betalings- en effectenverkeer Infrastructuur voor de financiële markt De bij besluit van De Nederlandsche Bank N.V. aangewezen: Richtlijn 2014/65 • exploitanten van handelsplatformen als bedoeld in artikel 4, punt 24, van/EU; • centrale tegenpartijen als bedoeld in artikel 2, punt 1, van Verordening (EU) nr. 648/2012 Het aanbieden en afwikkelen van effectenverkeer Drinkwater artikel 1, eerste lid, van de Drinkwaterwet Drinkwaterbedrijf als bedoeld in Het leveren van deugdelijk drinkwater door middel van een openbare drinkwatervoorziening Digitale infrastructuur De bij besluit van Onze Minister van Economische Zaken aangewezen aanbieders van internetknooppunten, bedoeld in bijlage II van de NIB-richtlijn Het faciliteren van het internet- en dataverkeer De bij besluit van Onze Minister van Economische Zaken aangewezen aanbieders van registers voor topleveldomeinnamen, als bedoeld in bijlage II van de NIB-richtlijn Het beheren en registreren van domeinnamen onder een topleveldomein De bij besluit van Onze Minister van Economische Zaken aangewezen aanbieders van DNS-dienstverleners, als bedoeld in bijlage II van de NIB-richtlijn Het verlenen van DNS-diensten 2025 347 12-11-2025 03-11-2025 2025 348 12-11-2025 03-11-2025 01-01-2026 Artikel 6.25 van Stb. 2025/347 bevat overgangsrecht m.b.t. deze wijziging. Abusievelijk is het overgangsrecht geformuleerd voor artikel 6.4 i.p.v. artikel 6.20, onder A.

Artikel 3 (aanwijzing andere vitale aanbieders) artikel 5, eerste lid, onder b, van de wet Als andere vitale aanbieders of categorieën van zodanige aanbieders als bedoeld inworden aangewezen: Sector Andere vitale aanbieder Dienst Nucleair artikel 15, onderdeel b, van de Kernenergiewet Houder van een vergunning als bedoeld in De bescherming van inrichtingen, waarin kernenergie kan worden vrijgemaakt, splijtstoffen kunnen worden vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen worden opgeslagen of inrichtingen, waarin kernenergie kon worden vrijgemaakt, splijtstoffen konden worden vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen werden opgeslagen Geheimhoudingsbesluit Kernenergiewet Bedrijf vallend onder het, Bedrijf vallend onder het Toepassingsbesluit 24 september 1971/nr.671/524 • De bescherming van inrichtingen, waarin kernenergie kan worden vrijgemaakt, splijtstoffen kunnen worden vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen worden opgeslagen of inrichtingen, waarin kernenergie kon worden vrijgemaakt, splijtstoffen konden worden vervaardigd, bewerkt of verwerkt, dan wel splijtstoffen werden opgeslagen • Het waarborgen van de beveiliging en geheimhouding van gegevens, welke noodzakelijk zijn voor het scheiden van verschillende in splijtstof voorkomende uraniumisotopen met gebruikmaking van gasultracentrifuges en het produceren van hulpmiddelen en materialen, welke zijn benodigd voor het scheiden van verschillende in splijtstof voorkomende uraniumisotopen met gebruikmaking van gasultracentrifuges Keren en Beheren Onze Minister van Infrastructuur en Waterstaat De bij besluit van Onze Minister van Infrastructuur en Waterstaat aangewezen waterkeringen of onderdelen daarvan Financieel De bij besluit van De Nederlandsche Bank N.V. aangewezen: artikel 1:1 van de Wet op het financieel toezicht • afwikkelondernemingen, bedoeld in artikel 1:1 van de Wet op het financieel toezicht • het verlenen van afwikkeldiensten als bedoeld in • centrale effectenbewaarinstelling, bedoeld in artikel 2, eerste lid, van Verordening (EU) nr. 909/2014 • het exploiteren van een effectenafwikkelingssysteem Elektronische communicatienetwerken en -diensten/ICT Een aanbieder van een elektronisch communicatienetwerk of een elektronische communicatiedienst die een netwerk of infrastructuur beheert dat of die direct of indirect wordt gebruikt ten behoeve van het verlenen van een telefoon-, sms- of internettoegangsdienst aan minimaal 1.000.000 eindgebruikers Het verlenen van een telefoon-, sms- of internettoegangsdienst Digitale overheid artikel 2 van de Wet op de Kamer van Koophandel De Kamer van Koophandel, bedoeld in artikel 2 van de Handelsregisterwet 2007 Het handelsregister, bedoeld in Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties artikel 1.9, derde lid, van de Wet basisregistratie personen • De centrale voorzieningen, bedoeld in • De voorziening voor uitgifte of activatie van elektronische authenticatiemiddelen en voor elektronische authenticatie die bereikbaar is via het webadres www.digid.nl De aanbieder van een digitale overheidsvoorziening als bedoeld in de derde kolom Een digitale overheidsvoorziening, aangewezen bij besluit van Onze Minister die het aangaat Energie: elektriciteit Richtlijn 2014/94 De exploitant van oplaadpunten als bedoeld in artikel 2, derde lid, van/EU, met een totaal opgesteld laadvermogen van minimaal 300 megawatt (300.000 kilowatt) Het beheer of de exploitatie van oplaadpunten die een laaddienst leveren aan particuliere of zakelijke eindgebruikers, onder meer namens en voor rekening van een aanbieder van mobiliteitsdiensten Digitale infrastructuur Een aanbieder van multi-tenant datacenterdiensten waarvan de datacenters een gezamenlijke stroomcapaciteit hebben van meer dan 50 megawatt Het verlenen van datacenterdiensten 2023 308 26-09-2023 12-09-2023 2023 308 26-09-2023 12-09-2023 01-10-2023

Artikel 3a (beveiliging aanbieders van een essentiële dienst) 1 artikelen 7 8 van de wet bijlage Ter uitvoering van deenneemt een aanbieder van een essentiële dienst ten minste de maatregelen, beschreven in debij dit besluit. 2 Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen nadere regels worden gesteld over de te nemen maatregelen. 2021 160 31-03-2021 17-03-2021 2021 160 31-03-2021 17-03-2021 01-05-2021

Artikel 4 (uitzondering beveiligingseisen financiële instellingen) artikelen 7 8 9 26 27 van de wet artikel 3a bijlage artikel 2 De,,,en,van dit besluit en debij dit besluit zijn niet van toepassing op de bij besluit van De Nederlandsche Bank N.V. krachtensaangewezen kredietinstellingen, centrale tegenpartijen en exploitanten van handelsplatformen. 2021 160 31-03-2021 17-03-2021 2021 160 31-03-2021 17-03-2021 01-05-2021

Artikel 5 (beveiliging en meldplicht digitaledienstverlener) Het is verboden te handelen in strijd met de artikelen 2, 3, en 4, eerste lid, van uitvoeringsverordening (EU) 2018/151 van de Commissie van 30 januari 2018 tot vaststelling van toepassingsbepalingen voor Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad wat betreft de nadere specificatie van de door digitaledienstverleners in aanmerking te nemen elementen voor het beheer van de risico’s in verband met de beveiliging van netwerk- en informatiesystemen en van de parameters om te bepalen of een incident aanzienlijke gevolgen heeft (PbEU 2018, L 26). 2018 388 08-11-2018 30-10-2018 2018 389 08-11-2018 30-10-2018 09-11-2018

Artikel 6 (wijze waarop een incident wordt gemeld) 1 artikel 10, eerste of derde lid, van de wet Een melding bij Onze Minister als bedoeld inwordt gedaan op een door Onze Minister aangegeven wijze. 2 artikel 10, tweede of derde lid 13, eerste lid, onder b, van de wet Een melding bij de bevoegde autoriteit als bedoeld in, ofwordt gedaan op een door de bevoegde autoriteit aangegeven wijze. 3 artikel 13, eerste lid, onder a, van de wet Een melding bij het CSIRT voor digitale diensten als bedoeld inwordt gedaan op een door het CSIRT voor digitale diensten aangegeven wijze. 2018 388 08-11-2018 30-10-2018 2018 389 08-11-2018 30-10-2018 01-01-2019

Artikel 7 Besluit meldplicht cybersecurity (intrekking) Besluit meldplicht cybersecurity Hetwordt ingetrokken. 2018 388 08-11-2018 30-10-2018 2018 389 08-11-2018 30-10-2018 09-11-2018

Artikel 8 (inwerkingtreding) Dit besluit treedt in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan of voor verschillende categorieën van aanbieders of diensten verschillend kan worden vastgesteld. 2018 388 08-11-2018 30-10-2018 2018 389 08-11-2018 30-10-2018 09-11-2018

Artikel 9 (citeertitel) Dit besluit wordt aangehaald als: Besluit beveiliging netwerk- en informatiesystemen. 2018 388 08-11-2018 30-10-2018 2018 389 08-11-2018 30-10-2018 09-11-2018

artikel 3a, eerste lid