Besluit van 24 maart 2023 tot wijziging van het Besluit beveiliging netwerk- en informatiesystemen strekkende tot implementatie van Richtlijn (EU) 2016/1148 en uitvoering van Uitvoeringsverordening (EU) 2019/1583 door aanvullende aanwijzing van aanbieders van een essentiële dienst in de sector luchtvervoer

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van Onze Minister van Justitie en Veiligheid van 30 november 2022, nr. 4267425, gedaan in overeenstemming met Onze Minister van Infrastructuur en Waterstaat;

Gelet op artikel 5, eerste lid, aanhef en onder a, van de Wet beveiliging netwerk- en informatiesystemen;

De Afdeling advisering van de Raad van State gehoord (advies van 8 februari 2023, nr. W16.22.00197/II);

Gezien het nader rapport van Onze Minister van Justitie en Veiligheid van 20 maart 2023, nr. 4491754, uitgebracht in overeenstemming met Onze Minister van Infrastructuur en Waterstaat;

Hebben goedgevonden en verstaan:

ARTIKEL I

De tabel in artikel 2 wordt als volgt gewijzigd:

De tekst bij de sector Vervoer: luchtvervoer komt te luiden:

Vervoer: luchtvervoer

• Nederlandse luchtvaartmaatschappijen die beschikken over een Air Operator Certificate (AOC) en die niet conform artikel 4, vierde lid van Verordening (EG) nr. 300/2008[1] zijn uitgezonderd van de gemeenschappelijke basisnormen voor de beveiliging van de burgerluchtvaart zoals opgenomen in deze Verordening; • De exploitant van Luchthaven Schiphol; • De exploitanten van de luchthavens, genoemd in artikel 8.1, derde lid, van de Wet luchtvaart voor zover op die luchthavens verkeersvluchten plaatsvinden van luchtvaartmaatschappijen die: a. open staan voor individuele boekingen voor passagiers, vracht of post; en b. betreffen geregelde vluchten, zijnde lijnvluchten of commerciële vluchten uitgevoerd op een vaste route volgens een gepubliceerde dienstregeling, en niet-geregelde vluchten, zijnde chartervluchten in het passagiers- en vrachtvervoer of commerciële vluchten met een ongeregeld karakter; • De burgerexploitant van de luchthaven Eindhoven; • Aircraft Fuel Supply B.V.; • Koninklijke marechaussee; • Luchtverkeersleiding Nederland (LVNL); • Maastricht Upper Area Control Centre (MUAC).

Een veilige en vlotte vlucht- en vliegtuigafhandeling

1 Verordening (EG) Nr. 300/2008 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van Verordening (EG) nr. 2320/2002 (PbEU 2008, L 97).

ARTIKEL II

Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.

’s-Gravenhage, 24 maart 2023

Willem-Alexander

De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius

Uitgegeven de dertigste maart 2023

De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius

NOTA VAN TOELICHTING

1. Algemeen

Deze wijziging van het Besluit beveiliging netwerk- en informatiesystemen (Bbni) strekt a) tot implementatie van Richtlijn (EU) 2016/1148¹ (hierna: NIB-richtlijn) en b) tot uitvoering van Uitvoeringsverordening (EU) 2019/1583² door aanwijzing van aanbieders van een essentiële dienst (AED’s) in de sector Vervoer: luchtvervoer als bedoeld in de Wet beveiliging netwerk- en informatiesystemen (Wbni). Het gaat daarbij om exploitanten van luchthavens en luchtvaartmaatschappijen.

Deze implementatie en uitvoering leiden langs twee sporen naar één wijziging van het Bbni; de uitbreiding van AED’s binnen de luchtvaartsector. Hieronder wordt voor zowel de NIB-richtlijn als de Uitvoeringsverordening uiteengezet waarom deze uitbreiding nodig is.

Implementatie NIB-richtlijn

Op het moment van de aanwijzing van de AED’s binnen de luchtvaartsector bij de implementatie van de NIB-richtlijn lag de focus nog primair op de aanbieders op en rondom Luchthaven Schiphol. In de tussentijd is duidelijk geworden dat ook andere exploitanten van (regionale) luchthavens en luchtvaartmaatschappijen een essentiële bijdrage leveren aan het vitale luchtvaartproces. Daarnaast zijn de toenemende dreigingen binnen het cyberdomein en de steeds manifester wordende dreigingen van de Nederlandse economische veiligheid ook op deze organisaties van toepassing. Dit heeft ertoe geleid dat er, mede gelet op artikel 5, vijfde lid, NIB-richtlijn, dat de lidstaten opdraagt om de lijst van aangewezen AED’s in voorkomend geval («where appropriate») te actualiseren, in de afgelopen periode een herbeoordeling is uitgevoerd van de aangewezen vitale/kritieke onderdelen binnen het vitale proces «Een vlotte en veilige vlucht- en vliegtuigafhandeling». Uit deze herbeoordeling is naar voren gekomen dat zowel luchthavens van nationale betekenis die handelsverkeer accommoderen als enkele Nederlandse luchtvaartmaatschappijen als vitaal moeten worden aangemerkt.

In het kader van uniformiteit en om eenduidigheid te waarborgen voor wat betreft de wettelijke cybersecurityverplichtingen, is er in Nederland bij de implementatie van de NIB-richtlijn voor gekozen om alle vitale aanbieders binnen de in bijlage II van de richtlijn genoemde sectoren onder de Wbni te brengen door ze aan te merken als AED.³

Uitvoering Uitvoeringsverordening (EU) 2019/1583

Daarnaast is op 31 december 2021 Uitvoeringsverordening (EU) 2019/1583 in werking getreden, waarin aan onder meer exploitanten van luchthavens en luchtvaartmaatschappijen cyberbeveiligingseisen worden gesteld in het kader van de beveiliging van de burgerluchtvaart. Deze Uitvoeringsverordening stelt (zie punt 5 van de considerans) dat maatregelen die voortvloeien uit de NIB-richtlijn en de onderhavige verordening op nationaal niveau moeten worden gecoördineerd om lacunes en dubbele verplichtingen te voorkomen. Daarom is in deze verordening opgenomen dat als er reeds wordt voldaan aan cyberbeveiligingsvereisten uit hoofde van andere EU- of nationale regelgeving, naleving van de voorschriften van deze verordening vervangen mag worden door de naleving van de elementen in de andere EU- of nationale wetgeving (punt 1.7.5).

Op dit moment voldoen zowel de exploitant van de luchthaven Schiphol als luchtvaartmaatschappij KLM aan de voorschriften uit de Uitvoeringsverordening (EU) 2019/1583, omdat zij reeds als AED onder de Wbni zijn aangewezen. Dat geldt niet voor andere exploitanten van luchthavens en andere luchtvaartmaatschappijen. Dit heeft in de praktijk tot gevolg dat er twee cybersecurityregimes gelden binnen één soort entiteit: KLM en Schiphol voeren de cybermaatregelen uit de Wbni uit, terwijl de overige luchthavens en luchtvaartmaatschappijen de maatregelen uit Uitvoeringsverordening (EU) 2019/1583 uitvoeren. Beide regimes hebben een eigen bevoegde autoriteit en een eigen toezichthouder. Vanuit een harmonisatie- en uniformiteitsoogpunt heeft één cybersecurityregime de voorkeur. Door het aanwijzen van deze andere exploitanten van luchthavens en luchtvaartmaatschappijen als AED, zal ook voor die entiteiten gaan gelden dat zij door naleving van de bepalingen uit de Wbni, voldoen aan naleving van de voorschriften uit Uitvoeringsverordening (EU) 2019/1583.

Hiermee wordt bewerkstelligd dat binnen één soort entiteit, zoals exploitanten van luchthavens of luchtvaartmaatschappijen, één cybersecurityregime van toepassing is, waarmee de implementatie van Uitvoeringsverordening (EU) 2019/1583 in lijn wordt gebracht met de hierboven genoemde doelstelling van de Uitvoeringsverordening.

2. Consultatiereacties

Nu dit besluit geen andere regels bevat dan noodzakelijk zijn voor de uitvoering van de NIB-richtlijn en naar aanleiding van de inwerkingtreding van de gewijzigde Uitvoeringsverordening (EU) 2015/1998, is afgezien van een formele consultatieronde. De betreffende partijen zijn door de Minister van Infrastructuur en Waterstaat op de hoogte gesteld van hun vitaalverklaring en aankomende aanwijzing als AED.

3. Financiële gevolgen

Aangezien de door deze wijziging aangewezen entiteiten reeds als vitaal zijn aangewezen hoeft de dienstverlening van het NCSC hier niet op te worden aangepast. Daarom zullen er geen financiële gevolgen zijn voor het NCSC.

De financiële gevolgen voor de AED’s vloeien voort uit de implementatie van internationale verplichtingen en dienen derhalve door de AED’s zelf te worden gedragen. Deze kosten bestaan uit het ontwikkelen en toepassen van een Informatie Security Management Systeem (ISMS).

In de door de Inspectie Leefomgeving en Transport (ILT) uitgevoerde handhaafbaarheids-, uitvoerbaarheids- en fraudebestendigheidstoets (HUF-toets) naar de wijziging van het Besluit beveiliging netwerk- en informatiesystemen wordt aangegeven dat deze uitvoerbaar is voor de ILT met inachtneming van de financiële gevolgen conform de eerder voor het Wbni-toezicht uiteengezette meerjarig budget door de ILT.

4. Regeldruk

De door dit besluit veroorzaakte regeldruk bestaat uit een noodzakelijke, maar beperkte, stijging van de administratieve lasten en inhoudelijke nalevingskosten.

4a. Partijen die worden aangewezen als AED

Voor een uitgebreide toelichting op de administratieve lasten en inhoudelijke nalevingskosten die door de aanwijzing als AED ontstaat wordt verwezen naar «paragraaf 4. Regeldruk» bij de toelichting bij de eerdere wijziging van het Bbni (Stb. 2021, 160) waarin uitgebreid toegelicht wordt welke administratieve en financiële gevolgen de aanwijzing als AED heeft.

In het kort komt het erop neer dat voor de partijen die worden aangewezen als AED, de Wbni en het Bbni gaan gelden. Enkele verplichtingen die hieruit voortvloeien zijn de verplichting om:

• A. ernstige ICT-incidenten te melden bij het Nationaal Cyber Security Centrum (NCSC) en bij de bevoegde autoriteit (zie artikel 10, eerste, tweede en derde lid, Wbni); en

• B. te voldoen aan de beveiligingseisen van de artikelen 7 en 8 Wbni, zoals nader uitgewerkt in de bijlage bij artikel 3a Bbni.

A. Meldplicht

Voor het voldoen aan de meldplicht zal het voornamelijk gaan om het verzamelen van informatie, het schriftelijk en eventueel telefonisch doen van een melding en het eventueel verstrekken van nadere informatie aan het NCSC en de bevoegde autoriteit. De meldplicht geldt alleen voor incidenten met aanzienlijke gevolgen voor de continuïteit van de door de AED verleende dienst en zal daarom naar schatting gemiddeld 300 minuten per incident kosten.⁴ Daar staat tegenover dat er, naar verwachting, slechts een of twee incidenten per jaar zullen plaatsvinden.

De drempelwaarden voor deze verplichting om incidenten te melden, worden vertrouwelijk vastgesteld door de bevoegde autoriteit in afstemming met de AED’s en toezichthouder.

B. Beveiligingseisen

De partijen die worden aangewezen als AED moeten passende technische en organisatorische maatregelen treffen ter beveiliging van hun netwerk- en informatiesystemen. Die zorgplicht is nader uitgewerkt in de bijlage bij artikel 3a van het Bbni.

De partijen die worden aangewezen als AED zullen al de nodige beveiligingsmaatregelen hebben getroffen. Het is immers voor de continuïteit van hun eigen bedrijfsvoering cruciaal dat er maatregelen worden getroffen op het gebied van netwerk- en informatiebeveiliging. Zij hebben dus al de nodige investeringen gedaan ter beveiliging van hun ICT-systemen om zodoende incidenten en – als gevolg daarvan – mogelijk grote schadeposten zo veel mogelijk te voorkomen.

Eenmalige kennisnamekosten en toezichtlasten

De partijen die worden aangewezen als AED zullen eenmalig tijd besteden aan het verdiepen in en kennisnemen van de Wbni. Organisaties zullen hier naar schatting 16 uur (2 werkdagen) voor nodig hebben. Daarnaast moeten de partijen de bevoegde autoriteit in haar rol als toezichthouder te woord staan. Deze werkzaamheden kosten een AED naar schatting 16 uur.

4b. Burgers en overige organisaties

Dit besluit veroorzaakt geen regeldruk voor burgers en evenmin voor andere organisaties dan degenen die in artikel 2 van het Bbni worden aangewezen als AED.

5. Handhaafbaarheids-, uitvoerbaarheids- en fraudebestendigheidstoets

Door de Inspectie Leefomgeving en Transport (ILT) is een handhaafbaarheids-, uitvoerbaarheids- en fraudebestendigheidstoets (HUF-toets) uitgevoerd. Naar aanleiding van de uitkomsten met betrekking tot de handhaafbaarheid is besloten om de definitie van luchtvaartmaatschappijen die worden aangewezen te verduidelijken. Voorts zullen er vertrouwelijke drempelwaarden worden vastgesteld door de bevoegde autoriteit op basis waarvan AED’s incidenten met aanzienlijke gevolgen voor de continuïteit van de door de AED verleende dienst dienen te melden bij de toezichthouder en het NCSC.

Met betrekking tot de uitvoerbaarheid komt de ILT tot de conclusie dat de voorgestelde wijziging van het Bbni uitvoerbaar is voor de ILT met inachtneming van de financiële gevolgen. Met betrekking tot de fraudebestendigheid zijn geen specifieke punten naar voren gekomen.

Artikelsgewijze toelichting

Artikel I (wijziging artikel 2: aanwijzing van AED’s in de sector luchtvaart)

Algemeen

Voor alle met dit besluit aangewezen AED’s geldt dat de continuïteit van hun operatie van essentieel belang is voor het vitale luchtvaartproces: «Een vlotte en veilige vlucht- en vliegtuigafhandeling».

Uit de herbeoordeling van het vitale luchtvaartproces is gebleken dat zowel de luchthavens van nationale betekenis die handelsverkeer accommoderen als de grote Nederlandse commerciële luchtvaartmaatschappijen over operatie technologie (OT) en informatie technologie (IT) beschikken die bij uitval een impact kunnen hebben op het vitale luchtvaartproces.

De logistieke en operationele processen op luchthavens en van grote commerciële luchtvaartmaatschappijen zijn in grote mate afhankelijk van informatie- en datastromen. Er vindt een steeds grotere uitwisseling van data plaats binnen de luchtvaartorganisaties zelf maar ook tussen de verschillende luchtvaartorganisaties. De afhankelijkheid van OT en IT voor het verwerken van steeds grotere volumes passagiers en cargo is groot. Een verstoring van langere duur door uitval (of manipulatie) van systemen of communicatieverbindingen kan tot uitval of verstoring van diverse kritische luchtvaartsystemen leiden en daarmee een impact hebben op het gehele vitale luchtvaartproces. Hiermee neemt de kans op een ongeval ook toe.

Door het aanwijzen van AED’s in dit besluit wordt de implementatie van en het toezicht op de verschillende wettelijke cybersecurityverplichtingen ook voor deze vitale aanbieders zo veel als mogelijk geharmoniseerd.

Begripskeuze

Er is voor gekozen om in het Bbni gebruik te maken van het begrip exploitant in plaats van het in de NIB-richtlijn gebruikte begrip beheerder om aan te sluiten bij de nationale terminologie. Op deze manier worden eenduidige begrippen gebruikt en wordt begripsverwarring zo veel als mogelijk voorkomen.

De NIB-richtlijn verwijst voor de definities van luchthavenbeheerder en luchthaven naar de Richtlijn 2009/12/EG (hierna: Richtlijn luchthavengelden).⁵ De Richtlijn luchthavengelden definieert beide begrippen en is geïmplementeerd in de Wet Luchtvaart. Bij de implementatie is ervoor gekozen om niet het begrip luchthavenbeheerder te gebruiken, maar het begrip exploitant van een luchthaven. Het gaat echter wel om dezelfde soort entiteit.

Inhoudelijk is het begrip luchthavenbeheerder en exploitant van een luchthaven voor de toepassing van de NIB derhalve hetzelfde.

• Nederlandse luchtvaartmaatschappijen die beschikken over een Air Operator Certificate (AOC) en die niet conform artikel 4, vierde lid van Verordening (EG) nr. 300/2008 zijn uitgezonderd van de gemeenschappelijke basisnormen voor de beveiliging van de burgerluchtvaart zoals opgenomen in deze Verordening

  Vanuit wetstechnisch en praktisch oogpunt heeft het sterk de voorkeur om AED’s middels een duidelijke definitie aan te wijzen en niet middels een lijst met namen, om zodoende in te kunnen spelen op mogelijke toekomstige (bedrijfseconomische) ontwikkelingen zoals naamsveranderingen, fusies, splitsingen en overnames, of het ontstaan van nieuwe luchtvaartmaatschappijen. Daarom is gekozen voor een definitie van luchtvaartmaatschappijen die worden aangewezen als AED.

  Op grond van de Verordening (EG) nr. 300/2008⁶ wordt een onderscheid gemaakt tussen luchtvaartmaatschappijen die gehouden zijn te voldoen aan de gemeenschappelijke regels die uit deze Verordening volgen, en luchtvaartmaatschappijen die hier op basis van een risicobeoordeling van mogen afwijken.⁷ Hierbij wordt onder meer gekeken naar de grootte van de gebruikte luchtvaartuigen en de aard, schaal en frequentie van de vluchtactiviteiten.

  De uitkomst van deze risicobeoordeling komt overeen met de uitkomst van de risicobeoordeling die is gemaakt ten aanzien van het aanwijzen van luchtvaartmaatschappijen als een aanbieder van een essentiële dienst. Gelet hierop is er voor gekozen om in de begripsbepaling te verwijzen naar reeds bestaande regelgeving en een daarop gebaseerd onderscheid dat in de sector reeds jaren bekend is.

  De luchtvaartmaatschappijen die aan de bovenstaande definitie voldoen en daarmee onder de reikwijdte van de Bbni (komen te) vallen zijn (op dit moment):

  • Corendon Dutch Airlines B.V.;

  • KLM Cityhopper B.V.;

  • Koninklijke Luchtvaart Maatschappij N.V.;

  • Martinair Holland N.V.;

  • Transavia Airlines C.V.; en

  • TUI Airlines Nederland B.V..

• De exploitant van Luchthaven Schiphol

  De exploitant van Luchthaven Schiphol, Royal Schiphol Group N.V., is in de huidige Bbni al aangewezen als AED voor een veilige en vlotte vlucht- en vliegtuigafhandeling voor wat betreft de luchthaven Schiphol.

  Zoals hierboven reeds is vermeld, heeft het, vanuit wetstechnisch en praktisch oogpunt, echter sterk de voorkeur om AED’s middels een duidelijke definitie aan te wijzen en niet middels een lijst met namen, om zodoende in te kunnen spelen op mogelijke toekomstige (bedrijfseconomische) ontwikkelingen zoals naamsveranderingen, fusies, splitsingen en overnames.

  Het aanwijzen van «De exploitant van Luchthaven Schiphol» en het schrappen van «Royal Schiphol Group N.V.» is derhalve slechts (wets)technisch van aard en heeft voor wat betreft luchthaven Schiphol geen inhoudelijke betekenis.

• De exploitanten van de luchthavens, genoemd in artikel 8.1, derde lid, van de Wet luchtvaart voor zover op die luchthavens verkeersvluchten plaatsvinden van luchtvaartmaatschappijen die:

  • a. open staan voor individuele boekingen voor passagiers, vracht of post; en

  • b. betreffen geregelde vluchten, zijnde lijnvluchten of commerciële vluchten uitgevoerd op een vaste route volgens een gepubliceerde dienstregeling, en niet-geregelde vluchten, zijnde chartervluchten in het passagiers- en vrachtvervoer of commerciële vluchten met een ongeregeld karakter

  De luchthavens die op dit moment zijn aangewezen als luchthavens van nationale betekenis zijn:

  • de luchthaven Lelystad;

  • de luchthaven Eelde;

  • de luchthaven Maastricht; en

  • de luchthaven Rotterdam.

  De beschrijving «verkeersvluchten van luchtvaartmaatschappijen die open staan voor individuele boekingen voor passagiers, vracht of post, en die betreffen: geregelde vluchten, zijnde lijnvluchten of commerciële vluchten, uitgevoerd op een vaste route volgens een gepubliceerde dienstregeling, en niet-geregelde vluchten, zijnde chartervluchten in het passagiers- en vrachtvervoer of commerciële vluchten met een ongeregeld karakter» is de definitie van het begrip handelsverkeer in het Luchthavenverkeerbesluit Schiphol en het wijzigingsbesluit Luchthavenbesluit Lelystad.⁸

  Nu het begrip handelsverkeer, tot op heden, echter alleen in het luchthavenbesluit Schiphol is opgenomen, is het niet mogelijk om in dit besluit enkel naar dit begrip te verwijzen. Vandaar dat ervoor is gekozen om de definitie vrijwel letterlijk over te nemen.

  Voor luchthaven Lelystad geldt dat zij in artikel 8.1, derde lid, van de Wet luchtvaart is aangewezen als luchthaven van nationale betekenis en dat het luchthavenbesluit Lelystad van kracht is, maar dat zij nog niet kan worden beschouwd als luchthaven die verkeersvluchten van luchtvaartmaatschappijen die open staan voor individuele boekingen voor passagiers, vracht of post afhandelt. Indien in de toekomst wordt besloten om de luchthaven Lelystad open te stellen voor het afhandelen van verkeersvluchten van luchtvaartmaatschappijen die open staan voor individuele boekingen voor passagiers, vracht of post, valt zij onder de werking van het Bbni vanaf het moment dat deze verkeersvluchten worden afgehandeld.

• De burgerexploitant van de luchthaven Eindhoven

  Hoewel formeel geen burgerluchthaven van nationale betekenis wordt ook de burgerexploitant van luchthaven Eindhoven als AED aangewezen vanwege het burgermedegebruik van de militaire luchthaven Eindhoven en het accommoderen van handelsverkeer.

Artikel II

Nu de Uitvoeringsverordening (EU) 2019/1583 reeds per 31 december 2021 in werking is getreden, bestaan er feitelijk twee stelsels van cybersecurityregelgeving voor dezelfde soort entiteiten binnen de burgerluchtvaartsector naast elkaar. Eén voor de luchthaven Schiphol en luchtvaartmaatschappij KLM en één voor de overige luchthavens en luchtvaartmaatschappijen die gehouden zijn te voldoen aan de gemeenschappelijke basisnormen uit Verordening 300/2008.

Nu de Uitvoeringsverordening reeds in werking is getreden en de aanwijzing van AED moet gebeuren zodra dit noodzakelijk is, treedt dit besluit meteen na publicatie in werking. De door dit besluit geraakte partijen zijn reeds geïnformeerd over de aanwijzing als AED en zij zullen na ontvangst van het advies van de Raad van State nader geïnformeerd worden over de vermoedelijke inwerkingtredingsdatum van dit besluit.

De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius

---

1 Richtlijn (EU) 2016/1148 van het Europees parlement en de raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PbEU 2016, L 194).

2 Uitvoeringsverordening (EU) 2019/1583 van de Commissie van 25 september 2019 tot wijziging van Uitvoeringsverordening (EU) 2015/1998 van de Commissie tot vaststelling van gedetailleerde maatregelen voor de tenuitvoerlegging van de gemeenschappelijke basisnormen op het gebied van de beveiliging van de luchtvaart, voor wat maatregelen op het gebied van cyberbeveiliging betreft (PbEU 2019, L 246) zoals gewijzigd bij Uitvoeringsverordening (EU) 2020/910 van de Commissie van 30 juni 2020 tot wijziging van de Uitvoeringsverordeningen (EU) 2015/1998, (EU) 2019/103 en (EU) 2019/1583 voor wat betreft de vernieuwde aanwijzing van luchtvaartmaatschappijen, exploitanten en entiteiten die beveiligingscontroles uitvoeren op vracht en post die aankomt uit derde landen, en het uitstel van bepaalde regelgevende eisen op het gebied van cyberbeveiliging, achtergrondcontrole, normen voor apparatuur voor explosievendetectiesystemen en voor de detectie van explosievensporen, naar aanleiding van de COVID-19-pandemie (PbEU 2020, L 208).

3 Zie artikel 5 Wbni. In de nota van toelichting bij het vaststellen van de Bbni is hierover het volgende opgemerkt (Stb. 2018, 388): «De meeste AED’s waren in het Bmc al aangewezen als vitale aanbieders. Voor hen gold dus al de verplichting om ernstige ICT-incidenten te melden bij het NCSC. (...) Van die vitale aanbieders zijn AED’s een subgroep. Artikel 2 Bbni wijst AED’s aan in de sectoren die worden genoemd in bijlage II van de NIB-richtlijn.

Nieuwe AED’s ten opzichte van de in het Bmc al aangewezen vitale aanbieders zijn alleen (...) het Maastricht Upper Area Control Centre (...).»

4 Zie ook Kamerstukken II 2017/18, 34 883, nr. 3, p. 31. Daar wordt uitgegaan van gemiddeld 260 minuten per incident.

5 Richtlijn 2009/12/EG van het Europees Parlement en de Raad van 11 maart 2009 inzake luchthavengelden (PbEU 2009, L 70).

6 Verordening (EG) nr. 300/2008 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van Verordening (EG) nr. 2320/2002 (PbEU 2008, L 97).

7 Conform Verordening (EU) Nr. 1254/2009 van de Commissie van 18 december 2009 tot vaststelling van criteria waaraan lidstaten moeten voldoen om te mogen afwijken van de gemeenschappelijke basisnormen inzake beveiliging van de burgerluchtvaart en om alternatieve beveiligingsmaatregelen te mogen vaststellen (PbEU 2009, L 338).

8 Artikel 1.1, onderdeel n, van het Luchthavenverkeerbesluit Schiphol en artikel A, tweede lid van het wijzigingsbesluit Luchthavenbesluit Lelystad (Ontwerp Luchthavenbesluit Lelystad | Besluit | Rijksoverheid.nl)