Om de fysieke, digitale en economische weerbaarheid te versterken, heeft de Europese Unie de Network and Information Security Directive (NIS2) vastgesteld. In Nederland wordt deze richtlijn geïmplementeerd via de Cyberbeveiligingswet (Cbw). Gemeenten zijn, net als andere overheidsinstanties, binnen deze wet aangewezen als essentiële entiteiten.
De belangrijkste reden voor deze aanwijzing is dat gemeenten verantwoordelijk zijn voor onderdelen van industriële automatisering, zoals verkeersregelinstallaties, smartcity-toepassingen, afvalverwerking, pompen, gemalen en parkeergarages. Digitale veiligheid is daarmee een wettelijke verplichting geworden, die verder reikt dan alleen de beveiliging van kantoorautomatisering.
Het toezicht is daarnaast versterkt en verbreed: naast controles achteraf voert de toezichthouder ook inspecties en audits vooraf uit op de digitale beveiliging van gemeenten. De Rijksinspectie Digitale Infrastructuur (RDI) is hierbij aangesteld als bevoegde toezichthouder.
Gemeenten hebben onder de Cyberbeveiligingswet de volgende verplichtingen:
Registratieplicht: inschrijving als essentiële entiteit in het landelijke register.
Zorgplicht: nemen van passende technische en organisatorische maatregelen om de digitale weerbaarheid te waarborgen.
Meldplicht: het tijdig (binnen 24 uur) melden van significante (cyber)incidenten bij de toezichthouder.
Toezicht: gemeenten staan onder toezicht van de RDI, die zowel preventief (audits) als repressief (handhaving) kan optreden.
Hoofdstuk 3. › Paragraaf 3.2
Artikel 3.2.1
Cyberbeveiligingswet
Onderdeel van Strategisch informatiebeveiligingsbeleid 2025-2029