Cyberbeveiligingswet (NIS2) & duurzame energieprojecten

Cybersecurity verdient aandacht in energieprojecten, aangezien de sector Energie als zeer kritieke infrastructuur binnen de EU geldt volgens de NIS2-richtlijn. Deze richtlijn is op 15 augustus 2026 geïmplementeerd in Nederland via de Cyberbeveiligingswet (‘Cbw’). Het doel van de richtlijn en de Cbw is om de digitale weerbaarheid te vergroten van organisaties die essentiële of belangrijke diensten leveren, zoals organisaties die actief zijn in de sector.

Het is daarom belangrijk om te controleren of uw organisatie onder de werking van de Cbw valt en – als dat zo is – welke maatregelen u moet nemen om aan de Cbw te voldoen.

Valt mijn organisatie onder de Cbw?

De sector Energie in de Cbw is opgedeeld in diverse subsectoren, te weten: elektriciteit, stadsverwarming en -koeling, aardolie, aardgas en waterstof. Voor duurzame energieprojecten is met name de subsector Elektriciteit relevant. Daaronder vallen de volgende activiteiten:

• Elektriciteitsbedrijven die elektriciteit leveren aan afnemers
• Distributiesysteembeheerders
• Transmissiesysteembeheerders
• Producenten, voor zover de opwekking van elektriciteit hun belangrijkste commerciële of professionele activiteit vormt, of zij één of meerdere productie-installaties met een cumulatief nominaal vermogen van ten minste 100 megawatt beheren
• Benoemde elektriciteitsmarktbeheerders, die taken uitvoeren met betrekking tot eenvormige day-ahead- of eenvormige intradaykoppeling
• Marktdeelnemers die aggregatie verrichten of vraagrespons- of energieopslagdiensten verstrekken
• Exploitanten van een laadpunt die verantwoordelijk zijn voor het beheer en de exploitatie van een laadpunt dat een laaddienst levert aan eindgebruikers onder meer namens en voor rekening van een aanbieder van mobiliteitsdiensten

Een entiteit valt onder de werking van de Cbw als hij voldoende omvang heeft. Daarbij gelden de volgende criteria:

• Een essentiële entiteit heeft een omvang van 250 of meer personen of een jaaromzet van meer dan € 50 miljoen of een jaarlijks balanstotaal van meer dan € 43 miljoen
• Een belangrijke entiteit heeft een omvang tussen de 50 en 249 personen of een jaaromzet of een jaarlijks balanstotaal van tussen de € 10 en € 50 miljoen

Bij het vaststellen van de omvang van een organisatie moet rekening worden gehouden met de groep waartoe de organisatie behoort. Het is dus mogelijk dat een entiteit die geen eigen werknemers heeft, of een beperkte jaaromzet tóch onder de Cbw valt.

Organisaties die niet aan deze criteria voldoen, vallen niet onder de Cbw, tenzij een organisatie per definitie onder de Cbw valt. Dit geldt bijvoorbeeld voor aanbieders van openbare elektronische communicatienetwerken of -diensten, verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen, DNS-dienstverleners en overheidsorganisaties, en voor verleners van domeinnaamregistratiediensten.

Mijn organisatie valt onder de Cbw

Als uw organisatie onder het bereik van de Cbw valt, heeft dat de volgende consequenties:

Registratieplicht
Op basis van de Cbw is er een nationaal register waarin de essentiële en belangrijke entiteiten worden opgenomen. Er geldt een registratieplicht voor deze entiteiten bij het Nationaal Cyber Security Centrum (‘NCSC’).

Maatregelen tegen cyberrisico’s nemen
Elke organisatie die onder de Cbw valt, dient passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico’s voor de beveiliging van zijn netwerk- en informatiesystemen te beheersen. Dat betekent ook maatregelen om incidenten te voorkomen en om de gevolgen daarvan voor anderen te beperken.

In de Cbw is een aantal maatregelen opgenomen die de organisatie minstens moet nemen, zoals het opstellen van beleid en procedures en het beveiligen van de (IT-)systemen, de toeleveringsketen en de locatie. Deze maatregelen moeten door het bestuur van de organisatie worden goedgekeurd.

Het bestuur moet getraind zijn en over voldoende kennis beschikken om de bovenstaande risico’s te kunnen identificeren en de maatregelen daartegen en de gevolgen daarvan te kunnen beoordelen. Ook moet het bestuur deze kennis actueel houden en kunnen aantonen dat zij die kennis heeft (bijv. door middel van een opleidingscertificaat). Het laatste betekent ook dat er bestuurdersaansprakelijkheid kan ontstaan als niet aan deze voorwaarden wordt voldaan.

Meldplicht
Een essentiële of belangrijke entiteit is verplicht significante incidenten onmiddellijk te melden bij de bevoegde autoriteit en het Computer Security Incident Response Team (‘CSIRT’). Deze instanties kunnen via een centraal meldpunt op de website van het NCSC geïnformeerd worden.

Samenwerking en informatie-uitwisseling
Naast de individuele verplichtingen biedt de Cbw ook ruimte voor samenwerking tussen entiteiten. Essentiële en belangrijke entiteiten kunnen op vrijwillige basis informatie over cyberbeveiliging met elkaar uitwisselen. Deze samenwerking kan bijdragen aan een verhoogde collectieve weerbaarheid binnen de sector Energie. Door kennis en ervaringen te delen, kunnen organisaties sneller reageren op nieuwe dreigingen en van elkaar leren. De informatie-uitwisseling moet uiteraard plaatsvinden met inachtneming van de geldende regels rondom vertrouwelijkheid, bescherming van bedrijfsgeheimen en het mededingingsrecht. De branchevereniging Energie Nederland heeft samen met het NCSC, Netbeheer Nederland en Energy Innovation NL het ‘Sectorpact Weerbaar Energiesysteem’ gesloten om samen te werken op dit vlak.

Wat gebeurt er als mijn organisatie zich niet houdt aan de Cbw?

De toezichthouder controleert of entiteiten voldoen aan de Cbw. De essentiële entiteiten staan onder proactief toezicht en de belangrijke entiteiten staan onder reactief toezicht.

Als een organisatie zijn verplichtingen uit de Cbw niet naleeft, kunnen daar diverse sancties aan verbonden worden door de bevoegde autoriteit, waaronder:

• Bestuurlijke boetes á € 10 miljoen of 2% van de totale wereldwijde omzet (voor essentiële entiteiten) of € 7 miljoen of 1,4% van totale wereldwijde omzet (voor belangrijke entiteiten), waarbij het hoogste bedrag geldt
• Het openbaar maken van de overtreding
• Bindende aanwijzingen en een last onder dwangsom
• Verplichte audits
• Tijdelijke opschorting van de dienstverlening
• Schorsing van de bestuurders van de organisatie

Vragen over de Cbw, NIS2-richtlijn of andere onderwerpen bij de realisatie van duurzame energieprojecten?

Halsten heeft ruime ervaring in het adviseren bij de realisatie en exploitatie van duurzame energieprojecten en het beheersen van de juridische risico’s binnen organisaties. Wij helpen u met het implementeren van de Cbw in uw organisatie, samen met andere specialisten. Daarmee is uw organisatie beter bestand tegen cyberrisico’s.

Lees hier meer over de NIS2-richtlijn en te ondernemen stappen

Bekijk onze duurzame energieprojecten en andere opdrachten

Onze experts helpen u graag verder. Voor vragen of een vrijblijvend oriënterend gesprek over de mogelijkheden kun je contact opnemen met ons team of via info@halsten.nl.

Vincent Roos
vincent.roos@halsten.nl

Allard Koers
allard.koers@halsten.nl