Wet van 9 februari 2022, houdende regels ter uitvoering van Verordening (EU) 2019/881 (Uitvoeringswet cyberbeveiligingsverordening)

Artikel 1 (begripsbepalingen) In deze wet en de daarop berustende bepalingen wordt verstaan onder: – conformiteitsbeoordeling: conformiteitsbeoordeling als bedoeld in artikel 2, onderdeel 17, van de cyberbeveiligingsverordening; – conformiteitsbeoordelingsinstantie: conformiteitsbeoordelingsinstantie als bedoeld in artikel 2, onderdeel 18, van de cyberbeveiligingsverordening; – cyberbeveiligingsverordening: verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PbEU 2019, L151); – EU-conformiteitsverklaringen: EU-conformiteitsverklaring afgegeven met inachtneming van artikel 53 van de cyberbeveiligingsverordening; – Europees cyberbeveiligingscertificaat: Europees cyberbeveiligingscertificaat als bedoeld in artikel 2, onderdeel 11, van de cyberbeveiligingsverordening; – Europese cyberbeveiligingscertificeringsregeling: Europese cyberbeveiligingscertificeringsregeling als bedoeld in artikel 2, onderdeel 9, van de cyberbeveiligingsverordening, die door de Europese Commissie is vastgesteld op grond van artikel 49, zevende lid, van de cyberbeveiligingsverordening; – ICT-dienst: ICT-dienst als bedoeld in artikel 2, onderdeel 13, van de cyberbeveiligingsverordening; – ICT-proces: ICT-proces als bedoeld in artikel 2, onderdeel 14, van de cyberbeveiligingsverordening; – ICT-product: ICT-product als bedoeld in artikel 2, onderdeel 12, van de cyberbeveiligingsverordening; – Onze Minister: Onze Minister van Economische Zaken en Klimaat; – zekerheidsniveau hoog: zekerheidsniveau als bedoeld in artikel 2, onderdeel 21, in samenhang met artikel 52, zevende lid, van de cyberbeveiligingsverordening. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 2 (aanwijzing nationale cyberbeveiligingscertificeringsautoriteit) 1 Onze Minister is de nationale cyberbeveiligingscertificeringsautoriteit, bedoeld in artikel 58, eerste lid, van de cyberbeveiligingsverordening. 2 Wet open overheid artikel 19.1a van de Wet milieubeheer Deis niet van toepassing op gegevens inzake cyberbeveiligingscertificaten voor zekerheidsniveau hoog die de nationale cyberbeveiligingscertificeringsautoriteit verkrijgt in het kader van de uitvoering van de in artikel 58, zevende lid, onderdelen a en h, van de cyberbeveiligingsverordening aan de nationale cyberbeveiligingscertificeringsautoriteit opgedragen taken, behalve voor zover die gegevens milieu-informatie inhouden als bedoeld in. De eerste volzin geldt ook als de gegevens bij een ander overheidsorgaan berusten na verstrekking in het kader van deze taken. 2022 87 25-02-2022 09-02-2022 35838 2021 499 27-10-2021 25-10-2021 33328 01-05-2022

Artikel 3 (melding) 1 Een conformiteitsbeoordelingsinstantie die voornemens is een conformiteitsbeoordeling van een ICT-product, ICT-dienst of een ICT-proces voor zekerheidsniveau hoog uit te voeren, meldt dit aan Onze Minister bij het aangaan van de certificatieovereenkomst. 2 Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld ter uitvoering van het eerste lid, waaronder regels over: a. de wijze waarop een melding als bedoeld in het eerste lid wordt gedaan; b. de gegevens die ter uitvoering van het eerste lid worden verstrekt. 3 Artikel 2, tweede lid , is van overeenkomstige toepassing op gegevens als bedoeld in het tweede lid, onderdeel b. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 4 (goedkeuring onderzoeksplan) 1 Een conformiteitsbeoordelingsinstantie die de conformiteitsbeoordeling van een ICT-product, ICT-dienst of een ICT-proces voor zekerheidsniveau hoog uitvoert, stelt een onderzoeksplan op waaruit blijkt op welke wijze wordt getoetst of het ICT-product, de ICT-dienst of het ICT-proces voldoet aan de in een Europese cyberbeveiligingscertificeringsregeling aan dat product, die dienst of dat proces gestelde eisen voor zekerheidsniveau hoog. 2 Het in het eerste lid bedoelde onderzoeksplan behoeft goedkeuring van Onze Minister, behoudens in bij ministeriële regeling bepaalde gevallen. 3 Onze Minister verleent op aanvraag goedkeuring aan het onderzoeksplan indien het in overeenstemming is met de in de cyberbeveiligingsverordening en in de desbetreffende Europese cyberbeveiligingscertificeringsregeling gestelde eisen voor zekerheidsniveau hoog. 4 Onze Minister beslist binnen acht weken na ontvangst van de aanvraag. Deze termijn kan eenmaal met ten hoogste zes weken worden verlengd. 5 Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld ter uitvoering van het derde lid. 6 Artikel 2, tweede lid , is van overeenkomstige toepassing op gegevens verstrekt in het kader van de in het derde lid bedoelde aanvraag. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 5 (goedkeuring onderzoeksrapport en het bijbehorende Europese cyberbeveiligingscertificaat) 1 artikel 4, derde lid Een conformiteitsbeoordelingsinstantie die op grond van, goedkeuring van het onderzoeksplan heeft verkregen, voert certificering overeenkomstig het onderzoeksplan uit. 2 Een conformiteitsbeoordelingsinstantie stelt een onderzoeksrapport op waaruit volgt dat het ICT-product, de ICT-dienst of het ICT-proces voldoet aan de in een Europese cyberbeveiligingscertificeringsregeling aan dat product, die dienst of dat proces op zekerheidsniveau hoog gestelde eisen voor zekerheidsniveau hoog. 3 Het in het tweede lid bedoelde onderzoeksrapport alsmede het bijbehorende Europese cyberbeveiligingscertificaat behoeft goedkeuring van Onze Minister. 4 Onze Minister verleent op aanvraag de in het derde lid bedoelde goedkeuring indien het onderzoeksrapport en het bijbehorende Europese cyberbeveiligingscertificaat in overeenstemming zijn met de in de cyberbeveiligingsverordening en in de desbetreffende Europese cyberbeveiligingscertificeringsregeling gestelde eisen voor zekerheidsniveau hoog. 5 Onze Minister beslist binnen acht weken na ontvangst van de aanvraag. Deze termijn kan eenmaal met ten hoogste zes weken worden verlengd. 6 Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld ter uitvoering van het vierde lid. 7 Artikel 2, tweede lid , is van overeenkomstige toepassing op gegevens verstrekt in het kader van de in het vierde lid bedoelde aanvraag. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 6 (verlening Europees cyberbeveiligingscertificaat voor zekerheidsniveau «hoog») artikel 5, vierde lid Een conformiteitsbeoordelingsinstantie geeft een Europees cyberbeveiligingscertificaat voor zekerheidsniveau hoog niet eerder af dan nadat Onze Minister de in, bedoelde goedkeuring heeft verleend. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 7 (nadere regels uitvoering cyberbeveiligingsverordening en uitvoeringshandelingen) Onze Minister kan bij ministeriële regeling regels stellen indien en voor zover dat nodig is voor een goede uitvoering van de cyberbeveiligingsverordening, de Europese cyberbeveiligingscertificeringsregelingen en de door de Europese Commissie op grond van artikel 61, vijfde lid, van de cyberbeveiligingsverordening vastgestelde uitvoeringshandelingen. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 8 (verboden) Het is verboden in strijd te handelen met bij ministeriële regeling aangewezen voorschriften van de cyberbeveiligingsverordening en de Europese cyberbeveiligingscertificeringsregelingen. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 9 (aanwijzing toezichthouders) 1 Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet zijn belast de bij besluit van Onze Minister aangewezen personen. 2 Van een besluit als bedoeld in het eerste lid wordt mededeling gedaan door plaatsing in de Staatscourant. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 10 (bindende aanwijzing) Onze Minister kan degene die niet voldoet aan het bepaalde bij of krachtens deze wet door middel van het geven van een aanwijzing verplichten om binnen een daarbij gestelde redelijke termijn de daarbij omschreven maatregelen te nemen. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 11 (intrekking goedkeuring Europese cyberbeveiligingscertificaten voor zekerheidsniveau hoog) artikel 5, derde lid Onze Minister kan de in, bedoelde goedkeuring intrekken indien het cyberbeveiligingscertificaat niet voldoet aan de cyberbeveiligingsverordening of een Europese cyberbeveiligingscertificeringsregeling. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 12 (last onder bestuursdwang) artikel 5:20, eerste lid, van de Algemene wet bestuursrecht Onze Minister is bevoegd tot oplegging van een last onder bestuursdwang ter handhaving van het bepaalde bij of krachtens deze wet en. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 13 (bestuurlijke boete) 1 artikel 5:20, eerste lid, van de Algemene wet bestuursrecht Onze Minister kan aan de overtreder een bestuurlijke boete opleggen in geval van overtreding van het bepaalde bij of krachtens deze wet en. 2 De boete bedraagt ten hoogste € 900.000 per overtreding. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 14 (vergoedingen) 1 De kosten samenhangend met de werkzaamheden of diensten die Onze Minister verricht ingevolge het bepaalde bij of krachtens deze wet, de cyberbeveiligingsverordening of de Europese cyberbeveiligingscertificeringsregelingen kunnen door Onze Minister ten laste worden gebracht van degene ten behoeve van wie deze werkzaamheden worden verricht. Bij of krachtens algemene maatregel van bestuur worden hierover regels gesteld. 2 Bij het vaststellen van de vergoeding kunnen mede worden betrokken kosten, verband houdend met het toezicht op de naleving van het bepaalde bij of krachtens deze wet of van de cyberbeveiligingsverordening ten aanzien van de desbetreffende werkzaamheden of diensten. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 15 (mededeling bindende EU-rechtshandelingen) Onze Minister doet in de Staatscourant mededeling van de titel, de vindplaats en de datum van inwerkingtreding van de Europese cyberbeveiligingscertificeringsregelingen, alsmede van wijzigingen daarvan. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 16 Algemene wet bestuursrecht (wijziging) Wijzigt de Algemene wet bestuursrecht. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 17 Wet open overheid (samenloop met wetsvoorstel) 1 Wijzigt de Wet open overheid. 2 Wijzigt deze wet. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 18 (inwerkingtreding) De artikelen van deze wet treden in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022

Artikel 19 (citeertitel) Deze wet wordt aangehaald als: Uitvoeringswet cyberbeveiligingsverordening. 2022 87 25-02-2022 09-02-2022 35838 2022 144 08-04-2022 04-04-2022 09-04-2022