Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.1 — Algemene bepalingen

Artikel 1

In dit hoofdstiuk wordt verstaan onder:

besluit: Besluit weerbaarheid kritieke entiteiten;

COVA: COVA als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012;

day-aheadkoppeling: eenvormige day-aheadkoppeling als bedoeld in artikel 2, punt 26, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

distributiesysteembeheerder voor elektriciteit: distributiesysteembeheerder voor elektriciteit als bedoeld in artikel 1.1 van de Energiewet;

distributiesysteembeheerder voor gas: distributiesysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

eindafnemer: eindafnemer als bedoeld in artikel 1.1 van de Energiewet;

elektriciteitsmarktbeheerder: benoemde elektriciteitsmarktbeheerder als bedoeld in artikel 2, punt 8, van verordening (EU) 2019/943 van het Europees parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (herschikking) (PbEU 2019, L 158);

gas: gas als bedoeld in artikel 1.1 van de Energiewet;

gasopslagbeheerder: gasopslagbeheerder als bedoeld in artikel 1.1 van de Energiewet;

gasopslagsysteem: gasopslagsysteem als bedoeld in artikel 1.1 van de Energiewet;

gasproductienet: gasproductienet als bedoeld in artikel 1.1 van de Energiewet;

interconnectorsysteembeheerder voor elektriciteit: interconnectorsysteembeheerder voor elektriciteit als bedoeld in artikel 1.1 van de Energiewet;

interconnectorsysteembeheerder voor gas: interconnectorsysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

interconnectorsysteem voor gas: interconnectorsysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

intradaykoppeling: eenvormige intradaykoppeling als bedoeld in artikel 2, punt 27, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

invoeder: invoeder als bedoeld in artikel 1.1 van de Energiewet;

LNG-beheerder: LNG-beheerder als bedoeld in artikel 1.1 van de Energiewet;

LNG-systeem: LNG-systeem als bedoeld in artikel 1.1 van de Energiewet;

marktdeelnemer: marktdeelnemer als bedoeld in artikel 1.1 van de Energiewet;

opslag van olie en olieproducten: opslag van aardolie en oliehoudende producten in een daarvoor bestemde voorziening;

transmissiesysteem voor gas: transmissiesysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

transmissiesysteembeheerder voor gas: transmissiesysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

wet: Wet weerbaarheid kritieke entiteiten;

wettelijke olievoorraad: wettelijke voorraad als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.1 — Algemene bepalingen

Artikel 2

De volgende categorieën van entiteiten zijn aangewezen als bedoeld in artikel 7, eerste lid, van de wet:

a. interconnectorsysteembeheerder voor elektriciteit, behorende tot de subsector elektrictiteit en de sector energie;

b. interconnectorsysteembeheerder voor gas, behorende tot de subsector gas en de sector energie.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.1 — Algemene bepalingen

Artikel 3

Dit hoofdstuk is van toepassing op:

a. kritieke entiteiten als bedoeld in artikel 6 van de wet die binnen de sector energie behoren tot de subsectoren:

1°. elektriciteit;

2°. gas;

3°. olie;

b. kritieke entiteiten die onderdeel zijn van een aangewezen categorie als bedoeld in artikel 2.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.2 — Criteria aanzienlijke verstoring voor de subsector elektriciteit

Artikel 4

Voor een kritieke entiteit die transmissiesysteembeheerder voor elektriciteit, distributiesysteembeheerder voor elektriciteit of interconnectorsysteembeheerder voor elektriciteit is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de transmissie of distributie van elektriciteit van ten minste 100 MW geaggregeerd vermogen.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.2 — Criteria aanzienlijke verstoring voor de subsector elektriciteit

Artikel 5

Voor een kritieke entiteit die elektriciteitsproducent of marktdeelnemer is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor het beschikbaar geaggregeerd vermogen van ten minste 100 MW.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.2 — Criteria aanzienlijke verstoring voor de subsector elektriciteit

Artikel 6

Voor een kritieke entiteit die elektriciteitsmarktbeheerder is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor het tijdig kunnen plaatsvinden van de day-ahead- of intradaykoppeling of aantasting van de integriteit daarvan bij een elektriciteitsmarktbeheerder.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 7

Voor een kritieke entiteit die distributiesysteembeheerder voor gas is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de distributie van gas voor ten minste 20.000 eindafnemers.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 8

Voor een kritieke entiteit die transmissiesysteembeheerder voor gas is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van het transmissiesysteem voor gas.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 9

Voor een kritieke entiteit die interconnectorsysteembeheerder voor gas is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van het interconnectorsysteem voor gas.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 10

Voor een kritieke entiteit die LNG-beheerder is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de invoeding van gas van ten minste 150 GWh per dag in het transmissiesysteem voor gas vanuit een LNG-systeem.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 11

Voor een kritieke entiteit die gasopslagbeheerder is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de injectie, productie en opslag van gas, waaronder de onttrekking uit en invoeding in het transmissiesysteem voor gas, van ten minste 150 GWh per dag.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 12

Voor een kritieke entiteit die gasopslagbeheerder van seizoensopslagen is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van het gasopslagsysteem, inclusief de injectie, productie en opslag van gas.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.3 — Criteria aanzienlijke verstoring voor de subsector gas

Artikel 13

Voor een kritieke entiteit die beheerder van een gasproductienet is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de normale werking van de productie, behandeling of invoeding van gas in het transmissiesysteem voor gas.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.4 — Criteria aanzienlijke verstoring voor de subsector olie

Artikel 14

Voor een kritieke entiteit die exploitant van oliepijpleidingen is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor het transport van olie of olieproducten via leidingen, dat voor ten minste 24 uur verstoord is.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.4 — Criteria aanzienlijke verstoring voor de subsector olie

Artikel 15

Voor een kritieke entiteit die exploitant is van de voorziening voor de raffinage en behandeling van olie, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de raffinage en behandeling van olie, die voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 250.000 vaten per dag.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.4 — Criteria aanzienlijke verstoring voor de subsector olie

Artikel 16

Voor een kritieke entiteit die exploitant is van de voorziening voor de opslag van olie of olieproducten, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring gevolgen heeft of kan hebben voor de opslag van olie of olieproducten, die voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 100.000 m3 olie of olieproducten.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.4 — Criteria aanzienlijke verstoring voor de subsector olie

Artikel 17

Voor een kritieke entiteit die exploitant is van een voorziening voor de opslag van olie of olieproducten en voorraadplichtig is, is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien de verstoring leidt of kan leiden tot het niet beschikbaar zijn van de wettelijke olievoorraad voor een periode van ten minste 72 uur.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.4 — Criteria aanzienlijke verstoring voor de subsector olie

Artikel 18

Voor COVA is een verstoring aanzienlijk als bedoeld in artikel 17, derde lid, van de wet en artikel 15, tweede lid, van het besluit, indien:

a. de verstoring leidt of kan leiden tot het niet beschikbaar zijn van de wettelijke olievoorraden voor een periode van ten minste 72 uur; of

b. de verstoring andere gevolgen heeft of kan hebben voor het beheer van de wettelijke olievoorraden.

Hoofdstuk 1 — Wet weerbaarheid kritieke entiteiten: criteria aanzienlijk verstorend effect › Paragraaf 1.5 — Geplande onderbreking

Artikel 19

In afwijking van de artikelen 3 tot en met 18 is een verstoring niet aanzienlijk, indien de verstoring het gevolg is van een voorziene of geplande onderbreking, opschorting of beëindiging van een door de kritieke entiteit verleende essentiële dienst.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.1 — Algemene bepalingen

Artikel 20

In dit hoofdstuk wordt verstaan onder:

besluit: Cyberbeveiligingsbesluit;

COVA: COVA als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012;

day-aheadkoppeling: eenvormige day-aheadkoppeling als bedoeld in artikel 2, punt 26, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

distributiesysteem voor gas: distributiesysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

eindafnemer: eindafnemer als bedoeld in artikel 1.1 van de Energiewet;

elektriciteitsbedrijf: elektriciteitsbedrijf als bedoeld in artikel 2,onderdeel 57, van Richtlijn (EU) 2019/9441 van het Europees parlement en de Raad van 5 juni 2019 betreffende gemeenschappelijke regels voor de interne markt voor elektriciteit en tot wijziging van Richtlijn 2012/27/EU (herschikking) (PbEU 2019, L 158);

elektriciteitsmarktbeheerder: benoemde elektriciteitsmarktbeheerder als bedoeld in artikel 2, punt 8, van verordening (EU) 2019/943 van het Europees parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (herschikking) (PbEU 2019, L 158);

exploitant van een laadpunt: exploitant van een laadpunt als bedoeld in artikel 2, punt 39, van Verordening (EU) 2023/1804 van het Europees parlement en de Raad van 13 september 2023 betreffende de uitrol van infrastructuur voor alternatieve brandstoffen en tot intrekking van Richtlijn 2014/94/EU;

gas: gas als bedoeld in artikel 1.1 van de Energiewet;

gasopslagbeheerder: gasopslagbeheerder als bedoeld in artikel 1.1 van de Energiewet;

gasopslagsysteem: gasopslagsysteem als bedoeld in artikel 1.1 van de Energiewet;

gasproductienet: gasproductienet als bedoeld in artikel 1.1 van de Energiewet;

invoeder: invoeder als bedoeld in artikel 1.1 van de Energiewet;

interconnectorsysteembeheerder voor elektriciteit: interconnectorsysteembeheerder voor elektriciteit als bedoeld in artikel 1.1 van de Energiewet;

interconnectorsysteembeheerder voor gas: interconnectorsysteembeheerder voor gas als bedoeld in artikel 1.1 van de Energiewet;

interconnectorsysteem voor gas: interconnectorsysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

intradaykoppeling: eenvormige intradaykoppeling als bedoeld in artikel 2, punt 27, van verordening (EU) 2015/1222 van de Commissie van 24 juli 2015 tot vaststelling van richtsnoeren betreffende capaciteitstoewijzing en congestiebeheer (PbEU 2021, L 62);

leverancier: leverancier als bedoeld in artikel 1.1 van de Energiewet;LNG-beheerder: LNG-beheerder als bedoeld in artikel 1.1 van de Energiewet;

LNG-systeem: LNG-systeem als bedoeld in artikel 1.1 van de Energiewet;

marktdeelnemer: marktdeelnemer als bedoeld in artikel 1.1 van de Energiewet;

opslag van olie en olieproducten: opslag van aardolie en oliehoudende producten in een daarvoor bestemde voorziening;

transmissiesysteem voor gas: transmissiesysteem voor gas als bedoeld in artikel 1.1 van de Energiewet;

warmte: warmte als bedoeld in artikel 1, eerste lid, van de Warmtewet;

wet: Cyberbeveiligingswet;

wettelijke olievoorraden: wettelijke voorraad als bedoeld in artikel 1 van de Wet voorraadvorming aardolieproducten 2012.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.1 — Algemene bepalingen

Artikel 21

Dit hoofdstuk is van toepassing op essentiële entiteiten en belangrijke entiteiten die binnen de sector energie behoren tot de subsectoren:

a. elektriciteit;

b. stadsverwarming en stadskoeling;

c. aardolie;

d. aardgas;

e. waterstof.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.2 — Criteria ernstige operationele verstoring voor de subsector elektriciteit

Artikel 22

Voor een essentiële entiteit en een belangrijke entiteit die transmissiesysteembeheerder voor elektriciteit, distributiesysteembeheerder voor elektriciteit of interconnectorsysteembeheerder voor elektriciteit is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor de transmissie of distributie van elektriciteit van ten minste 100 MW geaggregeerd vermogen.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.2 — Criteria ernstige operationele verstoring voor de subsector elektriciteit

Artikel 23

Voor een essentiële entiteit en een belangrijke entiteit die elektriciteitsproducent of marktdeelnemer is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor het beschikbaar geaggregeerd vermogen van ten minste 100 MW.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.2 — Criteria ernstige operationele verstoring voor de subsector elektriciteit

Artikel 24

Voor een essentiële entiteit en een belangrijke entiteit die een exploitant van een laadpunt is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor het beschikbaar geaggregeerd vermogen van ten minste 100 MW.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.2 — Criteria ernstige operationele verstoring voor de subsector elektriciteit

Artikel 25

Voor een essentiële entiteit en een belangrijke entiteit die elektriciteitsmarktbeheerder is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor het tijdig kunnen plaatsvinden van de day-ahead- of intradaykoppeling of aantasting van de integriteit daarvan bij een elektriciteitsmarktbeheerder.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.2 — Criteria ernstige operationele verstoring voor de subsector elektriciteit

Artikel 26

Voor een essentiële entiteit en een belangrijke entiteit die leverancier is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet indien het incident gevolgen heeft of kan hebben voor de uitvoering van de contractuele kernverplichtingen voor ten minste 20.000 eindafnemers van elektriciteit.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 27

Voor een essentiële entiteit en belangrijke entiteit die distributiesysteembeheerder voor gas is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de distributie van gas voor ten minste 20.000 eindafnemers.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 28

Voor een essentiële entiteit en een belangrijke entiteit die transmissiesysteembeheerder voor gas is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van het transmissiesysteem voor gas.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 29

Voor een essentiële entiteit en een belangrijke entiteit die interconnectorsysteembeheerder voor gas is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van het interconnectorsysteem voor gas.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 30

Voor een essentiële entiteit en een belangrijke entiteit die LNG-beheerder is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan gevolgen hebben voor de invoeding van gas van ten minste 150 GWh per dag in het transmissiesysteem voor gas vanuit een LNG-systeem.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 31

Voor een essentiële entiteit en een belangrijke entiteit die gasopslagbeheerder is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de injectie, productie en opslag van gas, waaronder de onttrekking uit en invoeding in het transmissiesysteem voor gas, van ten minste 150 GWh per dag.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 32

Voor een essentiële entiteit en een belangrijke entiteit die gasopslagbeheerder van seizoensopslagen is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van het gasopslagsysteem, inclusief de injectie, productie en opslag van gas.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 33

Voor een essentiële entiteit en een belangrijke entiteit die beheerder van het gasproductienet is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de normale werking van de productie, behandeling of invoeding van gas in het transmissiesysteem voor gas.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.3 — Criteria ernstige operationele verstoring voor de subsector aardgas

Artikel 34

Voor een essentiële entiteit en een belangrijke entiteit die leverancier, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de uitvoering van de contractuele kernverplichtingen voor ten minste 20.000 eindafnemers van gas.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.4 — Criteria ernstige operationele verstoring voor de subsector aardolie

Artikel 35

Voor een essentiële entiteit en een belangrijke entiteit die exploitant van oliepijpleidingen is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor het transport van olie of olieproducten via leidingen, dat voor ten minste 24 uur verstoord is.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.4 — Criteria ernstige operationele verstoring voor de subsector aardolie

Artikel 36

Voor een essentiële entiteit en een belangrijke entiteit die exploitant is van een voorziening voor de raffinage en behandeling van olie, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de raffinage en behandeling van olie, dat voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 250.000 vaten per dag.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.4 — Criteria ernstige operationele verstoring voor de subsector aardolie

Artikel 37

Voor een essentiële entiteit en een belangrijke entiteit die exploitant is van een voorziening voor de opslag van olie of olieproducten, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident gevolgen heeft of kan hebben voor de opslag van olie of olieproducten, dat voor ten minste 72 uur verstoord is, met gevolgen voor de levering van ten minste 100.000 m3 olie of olieproducten.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.4 — Criteria ernstige operationele verstoring voor de subsector aardolie

Artikel 38

Voor een essentiële entiteit en een belangrijke entiteit die exploitant is van de voorziening voor de opslag van olie of olieproducten en voorraadplichtig, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het incident tot gevolg heeft of kan hebben dat wettelijke olievoorraden voor een periode van ten minste 72 uur niet beschikbaar zijn.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.4 — Criteria ernstige operationele verstoring voor de subsector aardolie

Artikel 39

Voor COVA is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien:

a. het incident tot gevolg heeft of kan hebben dat wettelijke olievoorraden voor een periode van ten minste 72 uur niet beschikbaar zijn;

b. het incident gevolgen heeft of kan hebben voor het beheer van de wettelijke olievoorraden.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.5 — Criteria ernstige operationele verstoring voor de subsector stadsverwarming en stadskoeling

Artikel 40

Voor een essentiële entiteiten en een belangrijke entiteit die exploitant van stadsverwarming of stadskoeling is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien het voldoet aan één of meer van de volgende criteria:

a. het incident gevolgen heeft of kan hebben voor de productie van warmte of koude van ten minste 20 MW vermogen;

b. het incident gevolgen heeft of kan hebben voor de levering van warmte of koude voor ten minste 20.000 afnemers.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.6 — Geplande onderbreking

Artikel 41

In afwijking van de artikelen 22 tot en met 40 is een operationele verstoring niet ernstig, indien de verstoring het gevolg is van een voorziene of geplande onderbreking, opschorting of beëindiging van een door de verleende essentiële of belangrijke entiteit verleende essentiële of belangrijke dienst.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.7 — Nadere regels zorgplicht

Artikel 42

Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:

a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;

b. de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;

c. wanneer de monitoring en de meting moeten worden uitgevoerd;

d. wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;

e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;

f. wie is belast met het analyseren en evalueren van deze resultaten.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.7 — Nadere regels zorgplicht

Artikel 43

1 De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens:

a. hersteltijden;

b. herstelpunten;

c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups;

d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;

e. waarborgen voor herstel van software en gegevens uit back-ups;

f. bewaartermijnen.

2 Het bedrijfscontinuïteitsplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit, en omvat in ieder geval:

a. doel en reikwijdte;

b. taken en verantwoordelijkheden;

c. belangrijkste contacten en interne en externe communicatiekanalen;

d. voorwaarden voor activering en de-activering van het bedrijfscontinuïteitsplan;

e. vereiste middelen, met inbegrip van back-ups en redundanties;

f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.7 — Nadere regels zorgplicht

Artikel 44

1 De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben tevens betrekking op de processen en procedures inzake:

a. beveiligingstesten;

b. beveiligingspatchbeheer.

2 De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat:

a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;

b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;

c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.

3 Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet:

a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;

b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit op haar netwerk- en informatiesystemen en legt zij de resultaten van deze scans vast;

c. evalueert de essentiële entiteit of belangrijke entiteit structureel haar blootstelling aan relevante kwetsbaarheden en dreigingen waar ze kennis van heeft ten aanzien van haar netwerk- en informatiesystemen, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;

d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.

4 Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit:

a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;

b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.7 — Nadere regels zorgplicht

Artikel 45

1 Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts.

2 Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat:

a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;

b. voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;

c. voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.

Hoofdstuk 2 — Cyberbeveiligingswet: criteria ernstige operationele verstoring, nadere regels zorgplicht en aanwijzing autoriteiten › Paragraaf 2.8 — Aanwijzing autoriteiten

Artikel 46

De volgende autoriteiten zijn aangewezen als autoriteit als bedoeld in artikel 51, tweede lid, onderdeel i, van de wet en artikel 28 van het besluit:

a. de Autoriteit Nucleaire Veiligheid en Stralingsbescherming, genoemd in artikel 3, eerste lid, van de Kernenergiewet, voor de taken uit hoofde van die wet;

b. de Minister van Klimaat en Groene Groei, voor de taken uit hoofde van de Energiewet en de Mijnbouwwet;

c. de Autoriteit Consument en Markt, genoemd in artikel 2, eerste lid, van de Instellingswet Autoriteit Consument en Markt, voor de taken uit hoofde van de Energiewet en de Warmtewet.

Hoofdstuk 3 — Slotbepalingen

Artikel 47

Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritieke entiteiten) (Kamerstukken 36 765) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.

Hoofdstuk 3 — Slotbepalingen

Artikel 48

Deze regeling wordt aangehaald als: Regeling cyberbeveiliging en weerbaarheid kritieke entiteiten energiesector.