Europese meldplicht cyberincidenten breidt uit naar meer sectoren in 2024

Vanaf 2024 zijn meer Europese bedrijven verplicht om ernstige cyberincidenten te melden en passende beveiligingsmaatregelen te nemen. Het gaat onder meer om bedrijven in de levensmiddelensector en postbedrijven.

De EU-lidstaten en het Europees Parlement hebben woensdag een akkoord bereikt over de herziening van de EU Netwerk- en Informatiebeveiligingsrichtlijn (NIB2). Onder de huidige richtlijn vallen voornamelijk essentiële diensten, zoals banken en energieleveranciers. Ook aanbieders van technische diensten, waaronder clouddiensten en online-marktplaatsen vallen onder de richtlijn.

Over twee jaar wordt het aantal sectoren die onder de richtlijnen vallen, uitgebreid, meldt de Rijksoverheid. De bedrijven kunnen dan onder twee categorieën vallen: essentiële aanbieders en belangrijke aanbieders.

Bij de essentiële aanbieders is het toezicht proactief. Onder de essentiële aanbieders vallen bedrijven uit de vitale sector, zoals medicijnfabrikanten. Bij de belangrijke aanbieders vindt het toezicht achteraf plaats, als er aanwijzingen zijn dat er een incident heeft plaatsgevonden. De belangrijke aanbieders zijn voornamelijk partijen waarbij een verstoring van diensten geen grote maatschappelijke of economische gevolgen heeft.

Naast de meldplicht moeten alle aanbieders die onder de herziene richtlijn gaan vallen passende beveiligingsmaatregelen nemen.

De richtlijn wordt naar verwachting dit najaar gepubliceerd, na een stemming in het Europees Parlement. Daarna kan deze worden omgezet in nationale wetgeving, die vanaf halverwege 2024 moet ingaan. De EU-ministers bereikten afgelopen december een akkoord over de herziene richtlijn.