Op 15 augustus 2026 treedt de Cyberbeveiligingswet (Cbw) in werking. Als onderdeel daarvan krijgen onder meer overheidsorganisaties wettelijke verplichtingen, zoals een registratie-, meld- en zorgplicht, en ondersteuning van een Computer Security Incident Response Team (CSIRT) bij incidenten. Voor gemeenten en gemeenschappelijke regelingen wordt op dit moment nog gewerkt aan besluitvorming over de aanwijzing van het CSIRT en noodzakelijke waarborgen die hiervoor nodig zijn.
Tot dit is uitgewerkt, geldt dat het Nationaal Cyber Security Centrum (NCSC) zal zijn aangewezen om de CSIRT-dienstverlening te leveren aan gemeenten en gemeenschappelijke regelingen. Dit duurt in ieder geval tot eind 2026.
Wat betekent dit voor de dienstverlening die gemeenten en gemeenschappelijke regelingen krijgen?
Gemeenten en gemeenschappelijke regelingen krijgen vanuit de Cbw de verplichting om zich te registreren en om significante incidenten te melden. Zij kunnen hieraan in de praktijk voldoen via het NCSC-portaal. De meldingen van incidenten die via dit portaal binnenkomen, worden vervolgens doorgezet naar het CSIRT zodat deze ondersteuning kan bieden, en de toezichthouder. Voorheen leverde de Informatiebeveiligingsdienst (IBD) ondersteuning bij incidenten aan gemeenten. De komende periode zal het NCSC de CSIRT-taken vervullen voor gemeenten en gemeenschappelijke regelingen. Voor het krijgen van CSIRT-dienstverlening en om te voldoen aan de registratieplicht, worden gemeenten en gemeenschappelijke regelingen opgeroepen zich te registreren in het portaal. Veel organisaties hebben dit al gedaan. Organisaties die zich nog niet hebben geregistreerd, worden nadrukkelijk opgeroepen om in actie te komen.
Wat is de rol van de IBD gedurende deze periode?
Gemeenten kunnen nog steeds terecht bij de IBD voor ondersteuning bij het naleven van de wettelijke zorgplicht van organisaties en met vragen ten aanzien van informatiebeveiliging en privacy. Daarnaast heeft de IBD verschillende kennisproducten waar gemeenten gebruik van kunnen maken.
