Vertraging in NIS2- en CER-richtlijn. Wat betekent dit voor zorgorganisaties?

De omzetting van deze twee richtlijnen naar nationale wetgeving door het ministerie van Justitie en Veiligheid, vergt meer tijd dan oorspronkelijk gepland. Dit betekent dat Nederland, net als veel andere EU-lidstaten, niet de oorspronkelijke deadline van 17 oktober 2024 haalt. Dit komt door de complexiteit en de omvang van het wetstraject. Naar verwachting zullen beide wetten in het najaar van 2025 in werking treden.

Wat betekent dit voor zorgorganisaties?

De gevolgen van het niet-tijdig omzetten van de NIS2-richtlijn en CER-richtlijn voor organisaties (in de wet entiteiten genoemd) in de zorgsector, gedurende de periode tussen 17 oktober 2024 en de inwerkingtreding van de wetten, worden hieronder toegelicht.

NIS2-richtlijn

Een aantal bepalingen uit de NIS2-richtlijn hebben een directe werking. Dit betekent dat zorgorganisaties die onder de Cyberbeveiligingswet gaan vallen vanaf 17 oktober 2024 wel rechten hebben, maar nog geen wettelijke verplichtingen uit de NIS2-richtlijn.

Rechten

Gedurende de periode tussen 17 oktober 2024 en de inwerkingtreding van de Cyberbeveiligingswet hebben organisaties die onder de Cyberbeveiligingswet gaan vallen bepaalde rechten. Organisaties kunnen bijstand ontvangen bij een cyberincident door een Computer Security Incident Response Team (CSIRT). Voor de zorgsector is dit Z-CERT. Alle zorgorganisaties die onder de rechtstreekse werking vallen van de Cyberbeveiligingswet kunnen bij Z-CERT terecht voor ondersteuning in het geval van cyberincidenten (incident response).

Verplichtingen

Voor zorgorganisaties die onder de Cyberbeveiligingswet gaan vallen gaan de verplichtingen in de NIS2-richtlijn pas gelden na inwerkingtreding van de wet. Ook zal de Inspectie Gezondheidszorg en Jeugd (IGJ) tot de inwerkingtreding van de Cyberbeveiligingswet geen toezicht houden. Dit neemt niet weg dat zorgorganisaties verplicht zijn te voldoen aan de NEN7510-norm, waarop de IGJ nu al toezicht houdt. Deze norm biedt een sterke basis voor de toekomstige eisen van de Cyberbeveiligingswet en helpt organisaties zich voor te bereiden op hun digitale weerbaarheid en wettelijke verplichtingen.

CER-richtlijn

In de periode tussen 17 oktober 2024 en de datum van inwerkingtreding van de Wet weerbaarheid kritieke entiteiten gelden er geen verplichtingen voor organisaties vanuit de CER-richtlijn.

De CER-richtlijn wordt geïmplementeerd in de Wet weerbaarheid kritieke entiteiten. Organisaties vallen pas onder de wet zodra ze zijn aangewezen als ‘kritieke entiteit’. De minister van VWS zal deze kritieke entiteiten niet eerder dan het vierde kwartaal van 2025 aanwijzen. Voor deze organisaties zullen de zorgplicht en de meldplicht uit deze wet pas van toepassing zijn vanaf 10 maanden na hun aanwijzing als kritieke entiteit.