Regeling van de Minister van Justitie en Veiligheid van 5 juli 2026, nr. 7752274, houdende nadere regels over eisen ten aanzien van CSIRT’s (Regeling nadere eisen CSIRT’s)

De Minister van Justitie en Veiligheid,

Handelende in overeenstemming met de Ministers van Volksgezondheid, Welzijn en Sport, van Binnenlandse Zaken en Koninkrijkrelaties, van Infrastructuur en Waterstaat, en van Onderwijs, Cultuur en Wetenschap.

Gelet op artikel 3, tweede lid, van het Cyberbeveiligingsbesluit;

Besluit:

HOOFDSTUK 1. BEGRIPSBEPALING

Artikel 1 (begripsbepaling)

In deze regeling wordt verstaan onder:

– vertrouwensfunctie:

vertrouwensfunctie, bedoeld in artikel 1, eerste lid, onderdeel a, van de Wet veiligheidsonderzoeken.

HOOFDSTUK 2. VEREISTEN TEN AANZIEN VAN CSIRT’S

Artikel 2 (vertrouwensfuncties)

Indien Onze Minister onderscheidenlijk Onze Minister die het aangaat op grond van artikel 3, eerste lid, van de Wet veiligheidsonderzoeken functies die de vervulling van de taken van een CSIRT betreffen aanwijst als vertrouwensfuncties, draagt het CSIRT zorg voor het zo spoedig mogelijk vervullen van deze functies door personen ten aanzien waarvan een verklaring, bedoeld in artikel 1, onderdeel b, van de Wet veiligheidsonderzoeken is afgegeven. Het CSIRT informeert Onze Minister en Onze Minister die het aangaat over de voortgang van deze vervulling.

Artikel 3 (volwassenheidsniveau)

  • 1. Het CSIRT voldoet aan het Security Incident Management Maturity Model (SIM3) op minimaal het niveau intermediate voor zover het de taken betreft die zij op grond van de wet en de daarop berustende bepalingen vervult.

  • 2. Het niveau, bedoeld in het eerste lid, wordt vastgesteld door middel van een audit door een onafhankelijke en gekwalificeerde deskundige.

  • 3. Het CSIRT beschikt over een rapport van een audit, bedoeld in het tweede lid, waaruit blijkt dat wordt voldaan aan het in het eerste lid bedoelde niveau, dat in ieder geval niet ouder is dan drie jaar. Het CSIRT legt het rapport van een audit over aan Onze Minister die het aangaat.

  • 4. Indien het CSIRT blijkens een rapport van een audit, bedoeld in het tweede lid, niet meer voldoet aan het niveau, bedoeld in het eerste lid, stelt het CSIRT een verbeterplan op en voert zij op basis daarvan wijzigingen door om aan het niveau te voldoen. Het CSIRT legt het verbeterplan over aan Onze Minister die het aangaat.

HOOFDSTUK 3. SLOTBEPALINGEN

Artikel 4 (inwerkingtreding)

Deze regeling treedt in werking op het tijdstip waarop de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit in werking treden.

Artikel 5 (citeertitel)

Deze regeling wordt aangehaald als: Regeling nadere eisen CSIRT’s.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

De Minister van Justitie en Veiligheid, D.M. van Weel

TOELICHTING

I. Algemeen deel

Artikel 2, eerste lid, van het Cyberbeveiligingsbesluit (hierna: Cbb) regelt dat de Minister van Justitie en Veiligheid op zich voor essentiële entiteiten en belangrijke entiteiten het CSIRT is en de daarbij behorende wettelijke taken in de Cyberbeveiligingswet (hierna: Cbw), zoals het verlenen van bijstand bij cyberdreigingen en -incidenten, vervult. In artikel 2, tweede lid, is geregeld dat in afwijking hiervan bij regeling van de betrokken vakminister, in overeenstemming met de Minister van Justitie en Veiligheid, voor essentiële entiteiten en belangrijke entiteiten uit bijvoorbeeld specifieke (sub)sectoren een andere instantie als CSIRT kan worden aangewezen. Zowel het in artikel 2, eerste lid, Cbb bepaalde CSIRT als de krachtens artikel 2, tweede lid, Cbb aangewezen andere CSIRT’s moeten voldoen aan de in artikel 3, eerste lid, Cbb opgesomde eisen (beschikbaarheid van communicatiekanalen, etc.), die zijn ontleend aan artikel 11, tweede lid, van de NIS2-richtlijn. Daarnaast kunnen op grond van artikel 3, tweede lid, Cbb bij regeling van de Minister van Justitie en Veiligheid, in overeenstemming met de betrokken vakministers, nadere regels worden gesteld over de functionele, technische en organisatorische vereisten ten aanzien van de CSIRT’s, ten behoeve van een uniforme nadere invulling van de aan de CSIRT’s binnen het stelsel te stellen eisen. Deze regeling bevat die nadere regels. Dit betreffen specifiek nadere eisen ten aanzien van de vervulling van (eventuele) vertrouwensfuncties en ten aanzien van het minimale volwassenheidsniveau van een CSIRT.

Vervulling vertrouwensfuncties

Op grond van artikel 3 van de Wet veiligheidsonderzoeken wijst de Minister, die verantwoordelijk is voor het beleidsterrein waartoe functies behoren, in overeenstemming met de Minister van Binnenlandse Zaken en Koninkrijksrelaties, functies die de mogelijkheid bieden de nationale veiligheid te schaden aan als vertrouwensfuncties. De AIVD heeft een leidraad aanwijzing vertrouwensfuncties gepubliceerd, die handvatten geeft voor het uitvoering geven aan deze wettelijke verplichting. De Minister die het aangaat onderscheidenlijk de Minister van Justitie en Veiligheid heeft daarmee de verplichting om aan de hand van deze leidraad te beoordelen of CSIRT-functies aangewezen moeten worden als vertrouwensfuncties.

Voor een effectieve en efficiënte samenwerking binnen het stelsel zullen er tussen CSIRT’s afspraken worden gemaakt over hun samenwerking en informatie-uitwisseling binnen het stelsel. Onderdeel hiervan zal een gezamenlijk inzicht zijn in elkaars werkprocessen om zo afstemming, informatiedeling en samenwerking te bevorderen. Deze afspraken zullen daarnaast informatie kunnen opleveren die van belang is, en met de betrokken Ministers gedeeld kan worden, ten behoeve van het door de betrokken Ministers doorlopen van de leidraad voor de aanwijzen van vertrouwensfuncties bij de CSIRT’s. Daarmee wordt ook consistentie bevorderd in de soorten functies die door de verschillende Ministers bij de CSIRT’s als vertrouwensfunctie zullen worden aangewezen.

Artikel 2 van deze regeling bevat vereisten voor CSIRT’s met betrekking tot het laten vervullen van vertrouwensfuncties in geval die bij CSIRT’s door de betrokken Ministers worden aangewezen.

Volwassenheidsniveau

Bij het vaststellen van het CSIRT rapport in 2023 is door het kabinet besloten1 dat (sectorale) CSIRT’s moeten voldoen aan het Security Incident Management Maturity Model (SIM3) op ten minste het niveau intermediate2, 3. Dit creëert duidelijkheid in zowel het CSIRT stelsel als richting de entiteiten die onder de Cyberbeveiligingswet vallen. Door het voldoen aan dat niveau blijkt dat CSIRT’s hun in de Cbw vastgelegde taken, zoals het verlenen van bijstand bij cyberdreigingen en incidenten en het onderling samenwerken, goed kunnen uitoefenen.

Artikel 3 van deze regeling bevat de vereisten voor CSIRT’s met betrekking tot het voldoen aan genoemd volwassenheidsniveau.

II. Artikelsgewijze deel

Artikel 2 (vertrouwensfuncties)

Artikel 2 bepaalt dat een CSIRT, indien functies bij dat CSIRT als vertrouwensfuncties zijn aangewezen, zo snel als mogelijk zorgdraagt voor het laten vervullen van die functies door personen ten aanzien waarvan een verklaring van geen bezwaar als bedoeld in de Wet veiligheidsonderzoeken is afgegeven. Daarnaast bevat dit artikel de verplichting voor het CSIRT om de Minister die het aangaat en de Minister van Justitie en Veiligheid hierover te informeren, teneinde te kunnen vaststellen of genoemde functies zijn vervuld en het functioneren van het CSIRT ook in dit opzicht gewaarborgd is.

Artikel 3 (volwassenheidsniveau)

In artikel 3 wordt in het eerste lid vereist dat het CSIRT voldoet aan het SIM3 Model (Security Incident Management Maturity Model) op minimaal het niveau intermediate. Het tweede lid bepaalt dat dit niveau wordt vastgesteld door een audit die wordt uitgevoerd door een onafhankelijke en gekwalificeerde deskundige. Daarmee wordt de neutraliteit van de beoordeling van het volwassenheidsniveau gewaarborgd. Omdat een rapport van een audit met betrekking tot het SIM3 Model maximaal drie jaar geldig is, is in aansluiting hierop in het derde lid van dit artikel bepaald dat het auditrapport, waarmee wordt aangetoond dat aan bovenbedoeld niveau wordt voldaan, niet ouder is dan drie jaar. Het is mogelijk dat er voor afloop van deze driejaarstermijn een hernieuwde onafhankelijke audit wordt uitgevoerd, bijvoorbeeld als een CSIRT significante organisatorische wijzigingen ondergaat. Voor het geval het CSIRT blijkens genoemde audit niet meer voldoet aan het gestelde niveau, wordt in het vierde lid bepaald dat het CSIRT een verbeterplan moet opstellen en op basis daarvan wijzigingen moet doorvoeren om weer aan dat niveau te voldoen. Daarmee wordt ook beoogd om een CSIRT een redelijke termijn te geven om alsnog te kunnen voldoen aan het gestelde niveau. Het derde en vierde lid regelen ook dat het CSIRT de Minister die het aangaat zowel het rapport van een audit als het verbeterplan overlegt. De betrokken Minister kan deze informatie betrekken bij de besluitvorming over het (blijven) aanwijzen van een organisatie als CSIRT.

Artikel 4 (Inwerkingtreding)

Deze regeling zal in werking treden met ingang van dezelfde datum als waarop de Cbw en het Cbb in werking zullen treden.

De Minister van Justitie en Veiligheid, D.M. van Weel

Naar boven