Wetsvoorstel inzake cyberveiligheid en veerkracht (netwerken en informatiesystemen)

Extra auteursvermelding: Paul Squires – Partner, Sedgwick Legal Services & Luke Moore – Hoofd Digitale Forensica en Incidentrespons, Sedgwick International UK

Een strategisch inzicht in het cyberbeveiligingsbeleid van het Verenigd Koninkrijk en wat de toekomst brengt.

Samenvatting

Het wetsvoorstel van de Britse regering inzake cyberbeveiliging en veerkracht (netwerk- en informatiesystemen) (het wetsvoorstel) vormt een aanzienlijke actualisering van het Britse sectoroverschrijdende cyberregime sinds de Network and Information Systems Regulations 2018 (de NIS-verordeningen). Dit gebeurt door het toepassingsgebied van de regelgeving te verruimen, de vereisten voor het melden van incidenten aan te scherpen, de verantwoordelijkheden in de toeleveringsketen te vergroten en de handhavingsbevoegdheden te versterken. 

Het maakt deel uit van de bredere nationale veiligheidsagenda van de regering en haar inspanningen om de kloof tussen de toenemende cyberdreigingen en de bestaande responscapaciteiten te dichten.

Dit inzicht verklaart de redenen achter de hervormingen, de belangrijkste voorgestelde veranderingen, wie erdoor getroffen zal worden en hoe organisaties zich hierop moeten voorbereiden.

Waarom wordt het NIS-regime bijgewerkt? 

De cyberdreiging waarmee Britse organisaties worden geconfronteerd, is aanzienlijk toegenomen als gevolg van de snelle technologische ontwikkelingen en het toenemende aantal door staten gesteunde actoren. Het Britse National Cyber Security Centre meldt een sterke stijging van het aantal cyberincidenten, waarbij steeds ernstigere, veelbesproken incidenten essentiële diensten treffen.

Tegelijkertijd hebben toezichthouders zoals de ICO benadrukt dat de veerkracht van de toeleveringsketen sneller moet worden verbeterd, omdat zij erkennen dat afhankelijkheden in lange, onderling verbonden toeleveringsketens een belangrijke bron van risico's vormen. Dit is een van de terugkerende punten van zorg die in beleidsdiscussies van de regering naar voren worden gebracht, namelijk dat de huidige vereisten voor het melden van incidenten onvoldoende inzicht bieden in de systeemrisico's waarmee de meest getroffen diensten worden geconfronteerd.

Het wetsvoorstel heeft tot doel ervoor te zorgen dat de regelgeving wordt gemoderniseerd en aansluit bij de structurele realiteit van de huidige digitale infrastructuur, waarin een verstoring bij één enkele dienstverlener verstrekkende gevolgen kan hebben voor andere sectoren.

Uitgebreide reikwijdte

Het wetsvoorstel breidt het toepassingsgebied van organisaties die onder de regelgeving vallen aanzienlijk uit. Naast exploitanten van essentiële diensten en bestaande relevante digitale dienstverleners richt het regime zich ook op de beveiliging van de toeleveringsketen, vergelijkbaar met de EU NIS2. Het omvat bijvoorbeeld:

• Managed Service Providers (MSP's) – middelgrote en grote providers (aangeduid als relevante Managed Service Providers)
• Datacenterdienstverleners – inclusief die welke boven de hierboven gedefinieerde capaciteitsdrempels liggen
• Bepaalde grote belastingsregelaars
• Aangewezen kritieke leveranciers – waar een verstoring van de dienstverlening wezenlijke gevolgen kan hebben voor essentiële of digitale diensten

De reikwijdte zal flexibel zijn, waarbij toezichthouders de bevoegdheid krijgen om het stelsel uit te breiden, waardoor zij organisaties kunnen aanwijzen die zij als kritieke leveranciers beschouwen.

Versterking van incidentrapportage

Het wetsvoorstel voorziet in een vroegere melding van incidenten, ruimere meldingsdrempels en een betere informatie-uitwisseling.

Volgens de bestaande NIS-regelgeving moeten incidenten die aan de meldingsdrempels voldoen, binnen 72 uur aan de toezichthouder worden gemeld. Het nieuwe wetsvoorstel zou deze situatie (tot op zekere hoogte) wijzigen en in overeenstemming brengen met de vereisten van de EU-richtlijn NIS2, die voorziet in een eerste melding binnen 24 uur en een follow-up binnen 72 uur.

Wat betreft kennisgevingen aan klanten, is de aanbieder volgens de huidige NIS-regelgeving verplicht om de relevante toezichthouder op de hoogte te stellen. Die toezichthouder kan vervolgens het publiek informeren of de aanbieder verzoeken dit te doen. Het wetsvoorstel beoogt hierin verandering te brengen door de aanbieder zelf te verplichten om klanten rechtstreeks op de hoogte te stellen.

Handhavingsmechanismen en bevoegdheden van de minister van Buitenlandse Zaken

De minister krijgt ook extra bevoegdheden. Zo kan hij wettelijke gedragscodes en verklaringen over strategische prioriteiten uitvaardigen, waarin de doelstellingen van de regering voor het versterken van de veerkracht en veiligheid van essentiële diensten worden uiteengezet.

Verder introduceert het wetsvoorstel een strengere handhavingsregeling. Toezichthouders krijgen uitgebreidere onderzoeksbevoegdheden, een nieuw wettelijk mechanisme voor kostendekking via heffingsregelingen en toegang tot een herziene sanctiestructuur die gekoppeld is aan de omzet van de organisatie. De maximale boetes worden aanzienlijk verhoogd, waarbij ernstige overtredingen kunnen leiden tot boetes van maximaal 17 miljoen pond of 4% van de wereldwijde omzet (afhankelijk van welk bedrag het hoogst is), en aanvullende dagelijkse boetes voor voortdurende niet-naleving en overtredingen.

Praktische implicaties

Organisaties die al onder het NIS-kader vallen, moeten beoordelen hoe het wetsvoorstel hun operationele, bestuurlijke en rapportageverplichtingen kan wijzigen, met name voor diensten die worden geleverd via Managed Service Providers. 

Luke Moore, hoofd Digital Forensics & Incident Response Services bij Sedgwick, merkt op: "De nieuwe wetgeving benadrukt dat cyberbeveiliging nu meer dan ooit een verantwoordelijkheid is die uiteindelijk bij het bestuur ligt. Om aan deze vereisten te voldoen, moet u eerst duidelijkheid hebben over uw infrastructuur en de gegevens die u bewaart, want u kunt niet aan de vereisten voldoen zonder te weten wat u beheert en beschermt. Het wetsvoorstel benadrukt een verschuiving naar vroegtijdige actie, strengere monitoring en beproefde responsmogelijkheden.

We werken samen met onze klanten om nu maatregelen te nemen, hun controles te verifiëren en inzicht te krijgen in hun infrastructuur en operationele risico's, zodat ze in een veel sterkere positie verkeren wanneer de nieuwe regelgeving van kracht wordt.

Het wetsvoorstel bevindt zich natuurlijk nog maar aan het begin van zijn parlementaire traject, met een tweede lezing die begin januari 2026 is afgerond. Het wetsvoorstel gaat nu naar de commissiefase, waar een gedetailleerde clausule-voor-clausule-behandeling zal plaatsvinden. We moedigen organisaties aan om de ontwikkeling van het wetsvoorstel in het parlement op de voet te volgen, zodat ze klaar zijn voor de voorgestelde hervormingen en voorbereid zijn op een strengere nalevingsomgeving in de toekomst.

Hoe wij kunnen helpen

Sedgwick adviseert organisaties om de wet niet alleen te zien als een hindernis voor naleving, maar als een strategische kans om hun veerkracht, governance en vertrouwen te versterken in het licht van opkomende risico's. Onze gespecialiseerde digitale forensische en juridische teams helpen u met:

• Veerkrachtcontroles van cybergovernance en rapportagekaders
• Contractuele beoordelingen voor bepalingen inzake de veiligheid van de toeleveringsketen en escalatietriggers
• Ontwikkeling van incidentplaybooks en rapportageprotocollen op bestuursniveau
• Interpretatie van sectorspecifieke verplichtingen en drempels

Daarnaast bieden we geïntegreerde juridische en compliance-diensten waarmee bedrijven:

• Proactief voldoen aan wettelijke verwachtingen
• Communiceer de gereedheid aan klanten, besturen en belanghebbenden
• Technologie-investeringen afstemmen op nieuwe wettelijke verplichtingen
• Versterk de veerkracht in alle bedrijfsactiviteiten, technologieën en toeleveringsketens

Naast de juridische en regelgevende ondersteuning van Sedgwick Legal Services kunt u uw positie versterken door aanvullende operationele maatregelen te nemen die helpen om uw praktische capaciteiten aan te tonen via Sedgwick Digital Forensics & Incident Response Services:

• Onafhankelijke cyberbeoordelingsaudits die de effectiviteit van controles valideren en zwakke punten identificeren 
• Proactief testen en continu monitoren om veerkracht tegen opkomende bedreigingen aan te tonen 
• Gerichte dataminingbeoordelingen om de gegevens die u bezit in kaart te brengen, waar deze zich bevinden en waar er mogelijk blootstelling bestaat. 
• Verbeterde interne rapportage, zodat technische bevindingen worden vertaald naar duidelijke, bruikbare informatie voor het bestuur.

Cyberweerbaarheid is tegenwoordig een zakelijke vereiste. Het wetsvoorstel markeert een verschuiving van passieve naleving naar actieve capaciteit. Organisaties die sterke juridische begeleiding combineren met empirisch onderbouwde operationele inzichten, zullen beter in staat zijn om leiderschap te tonen op het gebied van vertrouwen, continuïteit en controle.

Neem voor meer informatie contact op met:

• Louis Paganuzzi, [email protected]
• Paul Squires, [email protected]
• Luke Moore, [email protected]