vad är cybersäkerhetslag och vad förändras

Cybersäkerhetslag omvandlar NIS2 till nederländsk rätt

Cybersäkerhetslagen är den nederländska lag som omvandlar EU-direktivet NIS2 till nationella regler. NIS2 är ett EU-direktiv, och ett direktiv gäller inte automatiskt i varje land — för det krävs nationell lagstiftning. I Nederländerna är det Cybersäkerhetslagen, som finns på wettenoverheid. I stora drag följer lagen direktivet: samma sektorer, samma indelning i kritiska och viktiga enheter, och samma kärnförpliktelser. Den som vill veta om sin sektor omfattas av bilagornahittar där den översikt som ligger till grund för denna lag.

Det som förändras för organisationer som omfattas av lagen är framför allt omfattningen av förpliktelserna. Det finns en aktsamhetsskyldighet: vidta lämpliga åtgärder för att säkra sina egna digitala system. Det finns en registreringsskyldighet hos tillsynsmyndigheten. Och det finns en anmälningsskyldighet vid incidenter, tillsammans med frågan om när och till vem anmälan måste göras. För organisationer som själva inte omfattas av lagen förändras något indirekt också: förpliktade organisationer måste bedöma sina leverantörer, och det betyder att även icke-förpliktade företag kan få enkäter och avtalsvillkor. Den som undrar varför dessa frågor ändå kommer inläser där hur denna genomverkan via leverantörskedjan fungerar.

Var detta följer från: genomförandet av artikel 21 och 23

Förpliktelserna i Cybersäkerhetslagen följer direkt från NIS2-direktivet: artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner de tio åtgärder som utgör grunden för aktsamhetsskyldigheten, och anmälningsskyldigheten är också fastställd i direktivet. Den nederländska lagen utvecklar dessa krav i nationella bestämmelser, som kan läsas på wettenoverheid. NCSC tillhandahåller vägledning om hur aktsamhetsskyldigheten och anmälningsskyldigheten tillämpas i praktiken.