Cyberbeveiligingswet FAQ  

De Cyberbeveiligingswet geldt alleen voor organisaties in bepaalde sectoren en/of van een bepaalde omvang, zoals bijvoorbeeld zorginstellingen of zelfstandige bestuursorganen.

Voor het hoger onderwijs moet de minister van OCW nog officieel besluiten of ze onder Cbw komen te vallen. De minister heeft aangegeven van plan te zijn om het bekostigd hoger onderwijs (hogescholen en universiteiten) ook onder de wet te laten vallen.

Het mbo valt niet onder de wet.

In andere sectoren bepaalt de wet zelf welke organisaties onder de Cbw vallen. Voor het hoger onderwijs wijst de minister van OCW concreet aan welke instellingen onder de wet vallen, ongeacht omvang of type organisatie.

Voor de meeste sectoren gaat de Cbw gelden vanaf 15 augustus 2026. Voor het hoger onderwijs is de beoogde ingangsdatum maart 2027. Hoe dat zit lees je het in het artikel Cyberbeveiligingswet: stand van zaken, planning en gevolgen voor hoger onderwijs.

Aangezien de Cbw voor het hoger onderwijs later ingaat, wordt ook de zorgplicht voor hogeronderwijsinstellingen drie jaar later van kracht, in 2029. Voor alle andere sectoren gaat de zorgplicht wél direct bij ingang wet in.

Bij de (beoogde) ingangsdatum in maart 2027 zijn de registratie- en meldplicht voor het hoger onderwijs direct van kracht. De zorgplicht gaat voor de onderwijssector pas in 2029 gelden.

De minister van OCW is verantwoordelijk voor het aanwijzen van de toezichthouder. Voor het hoger onderwijs wordt de Inspectie van het Onderwijs naar verwachting aangewezen als toezichthouder.

SURFcert ondersteunt als wettelijk CSIRT, maar heeft geen toezichthoudende rol.

Het Nationaal Cyber Security Centrum (NCSC) heeft een dubbelrol met betrekking tot de Cbw:

- Het NCSC voert de nationale taken uit, zoals coördinatie tussen de verschillende sectorale CSIRTs en het aanbieden van het nationale registratie- en meldportaal. Het NCSC is in deze rol gesprekspartner van SURFcert.
 
- Daarnaast is het NCSC ook het sectorale CSIRT voor de rijksoverheid en vitale sector. Veel communicatie van het NCSC is ingestoken vanuit deze rol.

Onderwijsinstellingen kunnen primair terecht bij SURFcert als sectoraal CSIRT en hoeven gewoonlijk niet direct in contact te treden met het NCSC. Idem kunnen zorginstellingen primair terecht bij Z-CERT.

Met betrekking tot de Cyberbeveiligingswet heeft SURF drie verschillende rollen:

- SURF als samenwerkingsorganisatie
In de rol van samenwerkingsorganisatie helpt SURF instellingen met wat zij nodig hebben om te kunnen voldoen aan de wet. Denk aan een toetsingskader, handreikingen op het Security Expertise Centrum, of het organiseren van een training voor bestuurders. In de Regiegroep Cyberveiligheid wordt besproken hoe deze ondersteuning er in de praktijk uit gaat zien.

- SURF als beoogd wettelijk CSIRT
SURFcert is het beoogd wettelijk CSIRT voor het hoger onderwijs. Het kader hiervoor is de wettelijke taak, de formele opdrachtgever is het ministerie van OCW. Als sectoraal CSIRT onderhoudt SURFcert ook de contacten met andere sectorale CSIRTs en de landelijke functie van het NCSC.

- SURF als ict-dienstverlener voor de instellingen
Als digitale dienstverlener valt de SURF-organisatie zelf ook onder de reikwijdte van de wet en bereidt zich daarop voor.

SURFcert onderhoudt contacten met andere sectorale CSIRTs en het NCSC en ondersteunt coördinatie, kennisdeling en respons bij sectoroverschrijdende incidenten.

De zorgplicht verplicht instellingen om passende maatregelen te nemen om hun digitale weerbaarheid te versterken.

Voor hoger onderwijs geldt dat deze plicht vanaf 2029 van kracht wordt, zodat instellingen voldoende voorbereidingstijd hebben.

Omdat de voorgenomen aanwijzing van het hoger onderwijs pas in april 2025 bekend werd, krijgt de sector extra tijd om zich voor te bereiden. De zorgplicht gaat daarom drie jaar na ingang van de wet in, in 2029. Meer hierover lees je in het artikel Cyberbeveiligingswet: stand van zaken, planning en gevolgen voor hoger onderwijs

Als instelling kun je nu al starten met het up-to-date houden van je risicoanalyse, het evalueren van je beveiligingsmaatregelen, en het oefenen van incidentresponseprocessen. Meer voorbereidingsmaatregelen, zoals handreikingen, templates en trainingen van SURF vind je op onze focuspagina over de Cbw.

SURF biedt handreikingen en organiseert trainingen die bestuurders helpen om inzicht te krijgen in verantwoordelijkheden, prioriteiten te stellen en de juiste maatregelen te implementeren. Lees meer over de Training Cyberbeveiligingswet voor bestuurders van het Security Expertise Centrum.

Vanaf de ingangsdatum van de wet in 2026 moeten onderwijsinstellingen ernstige incidenten direct melden via het landelijke portaal Mijn NCSC. Volg daarvoor de procedure Beveiligingsincident Melden. Kleine verstoringen vallen meestal niet onder de meldplicht.

Een significante melding gaat over een incident met grote impact op processen, gegevens of de dienstverlening van een organisatie. Landelijke kaders bepalen de drempelwaarden; de sector onderwijs werkt deze kaders samen met OCW, VH en UNL nader uit. Lees meer over significante meldingen in de procedure Beveiligingsincident Melden.

Valt een incident niet binnen de vastgestelde drempelwaarden voor significante meldingen? Dan is de melding niet verplicht, maar vrijwillig. Vrijwillige meldingen die je doet via MijnNCSC gaan niet naar de toezichthouder, maar alleen naar SURFcert. Deze vrijwillige meldingen helpen SURFcert om een goed beeld van de dreigingen binnen de sector te krijgen.

Onderwijsinstellingen melden incidenten in het portaal MijnNCSC.
Van daaruit worden meldingen automatisch doorgezet naar SURFcert en de Inspectie van het Onderwijs. Welke stappen je precies zet, lees je in de procedure Beveiligingsincident Melden.

SURFcert ontvangt meldingen van onderwijsinstellingen, coördineert de informatie-uitwisseling met andere sectorale CSIRTs en adviseert instellingen over opvolging en mitigatie van incidenten.

In de meeste gevallen niet. Onderwijsinstellingen melden hun beveiligingsincidenten via een vaste procedure bij SURFcert; direct contact met het NCSC is meestal niet nodig.

Instellingen kunnen zich registreren via het centrale portaal MijnNCSC. Registratie via dit portaal maakt de gegevens automatisch beschikbaar voor SURFcert en de toezichthouder. Een registratiehandleiding vind je op Aan de slag met de registratieplicht van de Cyberbeveiligingswet.

Registratie geeft inzicht in welke instellingen onder de wet vallen en helpt bij toezicht en coördinatie van incidenten.

De geregistreerde gegevens worden gebruikt om toezicht en coördinatie mogelijk te maken. SURFcert en de Inspectie van het Onderwijs hebben toegang tot deze gegevens om meldingen en registraties te verwerken en analyses uit te voeren.

Ja, als digitale dienstverlener valt de SURF-organisatie onder de reikwijdte van de wet. SURF bereidt zich intern voor om te voldoen aan de verplichtingen van de Cbw.

De registratieplicht zorgt ervoor dat bekend is welke instellingen onder de Cbw vallen; de meldplicht zorgt ervoor dat meldingen van deze instellingen correct kunnen worden toegewezen en afgehandeld. Een melding wordt via het portaal van NSCS direct doorgegeven aan SURFcert én de toezichthouder.