2019-01-01 | BWBR0041515 | Wet beveiliging netwerk- en informatiesystemen

wet/wet-beveiliging-netwerk-en-informatiesystemen/BWBR0041515/README.md

@@ -87,10 +87,12 @@ De bevoegde autoriteit, bedoeld in artikel 8, eerste lid, van de NIB-richtlijn,
 Voor de digitale diensten, genoemd in bijlage III van de NIB-richtlijn, is:
 
 a. de bevoegde autoriteit, bedoeld in artikel 8, eerste lid, van de NIB-richtlijn: Onze Minister van Economische Zaken en Klimaat;
-b. dit onderdeel is nog niet in werking getreden.
+b. het CSIRT: de bij koninklijk besluit aangewezen instantie.
 
 **3.** De bevoegde autoriteit heeft voor wat betreft de aanbieders van een essentiële dienst in de betrokken sector of sectoren, onderscheidenlijk voor de digitaledienstverleners, tot taak zorg te dragen voor de bestuursrechtelijke handhaving van het bepaalde bij of krachtens deze wet.
 
+**4.** Het CSIRT voor digitale diensten heeft voor wat betreft digitaledienstverleners de in bijlage I, onder 2, van de NIB-richtlijn genoemde taken.
+
 ## Hoofdstuk 4. Beveiligingseisen en melding van incidenten
 
 ### Paragraaf 1. Algemeen
@@ -187,7 +189,7 @@ b. de risico’s in te schatten voor de netwerk- en informatiesystemen, bedoeld
 
 Een digitaledienstverlener meldt een incident met aanzienlijke gevolgen voor de verlening van de door hem verleende dienst in de Europese Unie onverwijld bij:
 
-a. dit onderdeel is nog niet in werking getreden.
+a. het CSIRT voor digitale diensten, en
 b. de bevoegde autoriteit.
 
 **2.**
@@ -204,7 +206,14 @@ e. de omvang van de gevolgen voor de economische en maatschappelijke activiteite
 
 ### Artikel 14
 
-Dit onderdeel is nog niet inwerking getreden
+**1.**
+
+Desgevraagd verstrekt de digitaledienstverlener die een melding als bedoeld in artikel 13, eerste lid, onder a, bij het CSIRT voor digitale diensten heeft gedaan, het CSIRT voor digitale diensten onverwijld alle overige gegevens die noodzakelijk zijn om:
+
+a. de digitaledienstverlener bij te staan bij het treffen van maatregelen om de continuïteit van zijn diensten te waarborgen of te herstellen;
+b. de risico’s in te schatten voor de netwerk- en informatiesystemen van andere digitaledienstverleners.
+
+**2.** Het eerste lid is van overeenkomstige toepassing als de digitaledienstverlener een incident heeft gemeld bij de bevoegde autoriteit en zij de door haar ontvangen gegevens heeft verstrekt aan het CSIRT voor digitale diensten.
 
 ### Artikel 15
 
@@ -236,6 +245,8 @@ b. een ander computercrisisteam, aangewezen bij regeling van Onze Minister of be
 
 **2.** De bevoegde autoriteit verwerkt gegevens, waaronder persoonsgegevens, ten behoeve van de in artikel 4, derde lid, genoemde taak. Zij is verwerkingsverantwoordelijke.
 
+**3.** Het CSIRT voor digitale diensten verwerkt gegevens, waaronder persoonsgegevens, ten behoeve van de taken, genoemd in bijlage I van de NIB-richtlijn. Het is verwerkingsverantwoordelijke.
+
 ### Artikel 18
 
 **1.** Onze Minister kan een rechtspersoon of een orgaan daarvan verzoeken om gegevens te verstrekken die noodzakelijk zijn voor de vervulling van de in artikel 3, eerste lid, onder b tot en met e, genoemde taken.
@@ -244,13 +255,13 @@ b. een ander computercrisisteam, aangewezen bij regeling van Onze Minister of be
 
 ### Artikel 19
 
-**1.** Dit lid is nog niet in werking getreden.
+**1.** Ter uitvoering van artikel 10, derde lid, eerste volzin, van de NIB-richtlijn stelt het CSIRT voor digitale diensten Onze Minister op de hoogte van gedane meldingen als bedoeld in artikel 13, eerste lid.
 
 **2.** Als blijkt uit een melding door een aanbieder van een essentiële dienst van een incident als bedoeld in artikel 10, eerste lid, onder a, of derde lid, of artikel 16, eerste lid, dat het incident aanzienlijke gevolgen heeft voor de continuïteit van een essentiële dienst in een andere lidstaat van de Europese Unie, stelt Onze Minister het centrale contactpunt van die lidstaat daarvan op de hoogte.
 
 **3.** Op verzoek van de bevoegde autoriteit of uit eigen beweging stuurt Onze Minister de in het tweede lid bedoelde melding door naar het centrale contactpunt van de andere getroffen lidstaat.
 
-**4.** Dit lid is nog niet in werking getreden.
+**4.** Als dat passend is en in elk geval als twee of meer lidstaten getroffen zijn, stelt Onze Minister het centrale contactpunt van de getroffen lidstaten op de hoogte van een bij het CSIRT voor digitale diensten gemeld incident als bedoeld in artikel 13, eerste lid.
 
 **5.**
 
@@ -293,7 +304,28 @@ b. kan Onze Minister, na raadpleging van de betrokken aanbieder, gegevens als be
 
 ### Artikel 21
 
-Dit onderdeel is nog niet inwerking getreden
+**1.**
+
+Ter uitvoering van de in bijlage I, onder 2, van de NIB-richtlijn genoemde taken verstrekt het CSIRT voor digitale diensten geen vertrouwelijke gegevens met betrekking tot een digitaledienstverlener als:
+
+a. de geheimhouding van die gegevens onvoldoende is gewaarborgd, of
+b. onvoldoende is gewaarborgd dat zij uitsluitend worden gebruikt voor het doel waarvoor zij worden verstrekt.
+
+**2.**
+
+Ter uitvoering van de in bijlage I, onder 2, van de NIB-richtlijn genoemde taken kan het CSIRT voor digitale diensten vertrouwelijke gegevens die herleid kunnen worden tot een digitaledienstverlener, zonder diens instemming uitsluitend verstrekken voor zover dat dienstig is aan het bevorderen van maatregelen ter voorkoming of beperking van een verstoring van het maatschappelijk verkeer. Ingevolge de eerste volzin worden uitsluitend gegevens verstrekt aan:
+
+a. CSIRT’s;
+b. andere computercrisisteams, aangewezen bij regeling van Onze Minister of behorend tot een bij die regeling aangewezen categorie;
+c. de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017.
+
+**3.** Als een digitaledienstverlener onvoldoende gevolg geeft aan een door het CSIRT voor digitale diensten gegeven advies, kan het CSIRT voor digitale diensten in het advies opgenomen gegevens als bedoeld in het tweede lid verstrekken aan de bevoegde autoriteit of Onze Minister van Economische Zaken en Klimaat.
+
+**4.** Voor zover dat noodzakelijk is om ernstige economische of sociale gevolgen te voorkomen of te beperken verstrekt het CSIRT voor digitale diensten onverwijld gegevens als bedoeld in het tweede lid aan de bevoegde autoriteit of Onze betrokken Minister.
+
+**5.** Het tweede lid geldt niet voor zover dat nodig is ter uitvoering van artikel 19, eerste lid.
+
+**6.** Artikel 20, zevende lid, is van overeenkomstige toepassing op gegevens als bedoeld in het tweede lid.
 
 ### Artikel 22