Voor gemeenten betekent dit dat zij vanaf die datum direct te maken krijgen met nieuwe wettelijke verplichtingen op het gebied van digitale en fysieke weerbaarheid. De wetgeving kent geen overgangstermijn.

Gemeenten worden essentiële entiteit

Onder de Cyberbeveiligingswet worden gemeenten aangemerkt als essentiële entiteit. Zij moeten daarom maatregelen nemen om cyberrisico’s beter te beheersen en cyberincidenten te voorkomen of te beperken. Gemeenten moeten onder meer een cyberrisico-analyse uitvoeren, passende beveiligingsmaatregelen treffen volgens de Baseline Informatiebeveiliging Overheid (BIO2), significante cyberincidenten melden en zich registreren in het landelijke entiteitenregister. Daarnaast geldt voor collegeleden een opleidingsplicht, zodat zij cyberrisico’s kunnen beoordelen en hierop bestuurlijk kunnen sturen.

Aanvullende verplichtingen voor kritieke entiteiten

Voor een klein aantal gemeenten geldt daarnaast de Wet weerbaarheid kritieke entiteiten. Deze gemeenten zijn op basis van de eerste sectorale risicoanalyse aangewezen als kritieke entiteit en moeten binnen 9 maanden een risicobeoordeling uitvoeren. Zij zijn hierover geïnformeerd door het ministerie van Infrastructuur en Waterstaat. De aanwijzing van kritieke entiteiten is niet eenmalig. Het ministerie kan op basis van geactualiseerde sectorale risicoanalyses of nieuwe inzichten in de risico's voor vitale dienstverlening besluiten om ook andere gemeenten als kritieke entiteit aan te wijzen.  

Ondersteuning voor gemeenten

De Informatiebeveiligingsdienst (IBD) ondersteunt gemeenten met dreigingsinformatie, incidentrespons en kennisdeling. De IBD heeft een speciale webpagina over de Cyberbeveiligingswet, met informatie over de wettelijke verplichtingen voor gemeenten. ENSIA blijft het belangrijkste instrument voor inzicht en verantwoording. De VNG blijft gemeenten ondersteunen met handreikingen, bijeenkomsten, bestuurlijke hulpmiddelen en actuele informatie. Bekijk hier het overzicht