Regeling van de Minister van Infrastructuur en Waterstaat van 3 juli 2026, kenmerk IENW/BSK-2026/105816, houdende nadere regels voor de digitale veiligheid van essentiële en belangrijke entiteiten in de sectoren vervoer, drinkwater, afvalwater, afvalstoffenbeheer, onderzoek, nucleair, keren en beheren, chemie en meteorologie (Cyberbeveiligingsregeling IenW) [Keten-ID WGK 28528]

Gelet op de overeenstemming met de Minister van Justitie en Veiligheid met betrekking tot de aanwijzing van het CSIRT als bedoeld in artikel 3 en met de verplichtingen aan het CSIRT als bedoeld in artikel 4;

Gelet op de artikelen 2, tweede lid, 3, derde lid, 19 en 23, eerste lid, van het Cyberbeveiligingsbesluit;

BESLUIT:

Treedt in werking op het tijdstip waarop de Cyberbeveiligingswet in werking treedt.

Paragraaf 1. Begripsbepalingen

Artikel 1. (Begripsbepalingen)

In deze regeling wordt verstaan onder:

• –. besluit: het Cyberbeveiligingsbesluit;

• –. BIO2: Baseline Informatiebeveiliging Overheid 2, versie 1.3 (Stcrt. 2026, 7416);

• –. essentiële dienst: essentiële dienst als bedoeld in artikel 1 van de Wet weerbaarheid kritieke entiteiten;

• –. ITS-dataverstrekkers: aanbieders van mobiliteitsdata aan ITS-dienstverleners op basis van data ontvangen van (andere) ITS-dienstverleners;

• –. ITS-dienstverleners: exploitanten van intelligente vervoerssystemen als bedoeld in artikel 4, onderdeel 1, van Richtlijn 2010/40/EU van het Europees Parlement en de Raad van 7 juli 2010 betreffende het kader voor het invoeren van intelligente vervoerssystemen op het gebied van wegvervoer en voor interfaces met andere vervoerswijzen (PbEU 2010, L 207);

• –. kritieke entiteit: kritieke entiteit als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten;

• –. minister: Minister van Infrastructuur en Waterstaat;

• –. NEN: norm die door de Stichting Koninklijk Nederlands Normalisatie Instituut is uitgegeven;

• –. NEN-EN: NEN die door het Europees Comité voor Normalisatie is vastgesteld;

• –. NEN-EN-ISO/IEC: NEN-EN die door de International Organization for Standardization en de International Electrotechnical Commission is vastgesteld;

• –. Richtlijn (EU) 2016/943: Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PbEU L 157/1);

• –. Verordening (EU) 2024/1679: Verordening (EU) 2024/1679 van het Europees Parlement en de Raad van 13 juni 2024 betreffende richtsnoeren van de Unie voor de ontwikkeling van het trans-Europees vervoersnetwerk, tot wijziging van Verordening (EU) 2021/1153 en Verordening (EU) nr. 913/2010 en tot intrekking van Verordening (EU) nr. 1315/2013 (PbEU L 2024/1679).

Paragraaf 2. Reikwijdte

Artikel 2. (Reikwijdte)

Sector	Subsector
Vervoer	Lucht
Vervoer	Spoor
Vervoer	Water
Vervoer	Weg
Drinkwater
Afvalwater
Afvalstoffenbeheer
Vervaardiging, productie en distributie van chemische stoffen
Overheid	Waterschappen

Paragraaf 3. CSIRT

Artikel 3. (Aanwijzing CSIRT)

In afwijking van artikel 2, eerste lid, van het besluit wordt als CSIRT voor de waterschappen aangewezen: de dienst CERT-WM die is ondergebracht bij het openbaar lichaam Het Waterschapshuis als bedoeld in de gemeenschappelijke regeling Het Waterschapshuis.

Artikel 4. (Verplichtingen CSIRT)

Paragraaf 4. Nadere invulling zorgplicht

Paragraaf 4.1. Zorgplicht overheidsorganisaties

Artikel 5. (Reikwijdte paragraaf 4.1)

De paragrafen 4.1.1 en 4.1.2 zijn van toepassing op overheidsorganisaties.

Paragraaf 4.1.1. Managementsystematiek

Artikel 6. (ISO 27001)

De essentiële entiteit past de NEN-EN-ISO/IEC 27001:2023 toe op het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsystematiek voor de beveiliging van netwerk- en informatiesystemen, als bedoeld in artikel 6, vierde lid, van het besluit, en op het vaststellen van het toepassingsgebied van deze managementsystematiek.

Artikel 7. (Identificeren cruciale netwerk- en informatiesystemen)

Paragraaf 4.1.2. Beveiligingsmaatregelen

Artikel 8. (ISO 27002 en BIO2)

Paragraaf 4.2. Zorgplicht niet-overheidsorganisaties

Artikel 9. (Reikwijdte paragraaf 4.2)

Paragraaf 4.2 is van toepassing op essentiële en belangrijke entiteiten die geen overheidsorganisatie zijn.

Artikel 10. (Beleid over beveiliging van netwerk- en informatiesystemen)

Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast:

• a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd;

• b. de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen;

• c. wanneer de monitoring en de meting moeten worden uitgevoerd;

• d. wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;

• e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;

• f. wie is belast met het analyseren en evalueren van deze resultaten.

Artikel 11. (Bedrijfscontinuïteit)

• a. hersteltijden;

• b. herstelpunten;

• c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups;

• d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups;

• e. waarborgen voor herstel van software en gegevens uit back-ups;

• f. bewaartermijnen.

• a. doel en reikwijdte;

• b. taken en verantwoordelijkheden;

• c. belangrijkste contacten en interne en externe communicatiekanalen;

• d. voorwaarden voor activering en de-activering van het plan;

• e. vereiste middelen, met inbegrip van back-ups en redundanties;

• f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.

Artikel 12. (Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen)

• a. beveiligingstesten;

• b. beveiligingspatchbeheer.

• a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;

• b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;

• c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.

• a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen;

• b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast;

• c. evalueert de essentiële entiteit of belangrijke entiteit haar blootstelling aan relevante kwetsbaarheden en dreigingen waar ze kennis van heeft, voor zover artikel 17 van het besluit daar niet reeds toe verplicht;

• d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.

• a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse;

• b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.

Artikel 13. (Beveiligingsaspecten ten aanzien van toegangsbeleid)

• a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;

• b. voorrechten op het gebied van systeembeheer zoveel mogelijk geïndividualiseerd en beperkt worden toegekend;

• c. voorrechten op het gebied van systeembeheer uitsluitend voor systeembeheer worden gebruikt.

Paragraaf 5. Criteria voor significante incidenten

Artikel 14. (Algemene bepalingen criteria)

Geplande dienstonderbrekingen en geplande gevolgen van geplande onderhoudswerkzaamheden die door of namens de belangrijke entiteit of essentiële entiteit worden uitgevoerd, worden niet als significante incidenten beschouwd.

Artikel 15. (Significante incidenten sector vervoer, subsector vervoer door de lucht)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer door de lucht, significant:

• a. voor luchthavenbeheerders als door het incident is opgeschaald naar de hoogste crisisbeheersingsstructuur van de nationale luchthaven of regionale luchthaven van nationale betekenis;

• b. voor een logistiek dienstverlener van vliegtuigbrandstoffen als deze voor een periode van een uur of langer geen vliegtuigbrandstoffen kan leveren die noodzakelijk zijn voor het uitvoeren van de vluchtoperatie;

• c. voor luchtverkeersleidingsdiensten als de hoogst gehanteerde codering geldt, of de gehanteerde codering voor potentiële incidenten, conform het organisatie-specifieke classificatiesysteem voor crises;

• d. voor luchtvaartmaatschappijen en overige entiteiten als de afhandeling niet of niet veilig kan plaatsvinden van 20% van het geplande aantal vluchten in een aaneengesloten periode van twaalf uur of langer, of als de verwachting daartoe bestaat.

Artikel 16. (Significante incidenten sector vervoer, subsector vervoer over spoor)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over spoor, significant:

• a. voor de infrastructuurbeheerder als het personenvervoer op de hoofdspoorweg voor een periode van vier uur of langer is gestremd;

• b. voor de infrastructuurbeheerder als het goederenvervoer op de hoofdspoorweg voor een periode van twaalf uur of langer is gestremd;

• c. voor een personenvervoerder als een verstoring in de bedrijfsvoering leidt tot uitval van een of meer treinen voor een periode van vier uur of langer en daarbij ten minste 100.000 reizigers worden getroffen;

• d. voor een goederenvervoerder als diens dienstverlening voor een periode van twaalf uur of langer wordt gestaakt door een incident in de bedrijfsvoering.

Artikel 17. (Significante incidenten sector vervoer, subsector vervoer over water)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over water, significant als:

• a. dienstverlening met betrekking tot toegang tot de haven en nautische dienstverlening voor een periode van twaalf uur of langer niet beschikbaar is;

• b. overslag in de haven voor een periode van twaalf uur of langer niet beschikbaar is; of

• c. dienstverlening met betrekking tot transport in het maritieme achterland over, op en langs het hoofdvaarwegennet voor een periode van vierentwintig uur of langer niet beschikbaar is.

Artikel 18. (Significante incidenten sector vervoer, subsector vervoer over de weg)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over de weg significant:

• a. voor wegbeheerders als:

• i. de weg een onderdeel is van het trans-Europees vervoersnetwerk als bedoeld in Verordening EU/2024/1679 en voor een periode van twaalf uur of langer niet beschikbaar is; of

• ii. de weg een onderdeel is van het hoofdwegennet of het onderliggend wegennet en voor een periode van vierentwintig uur of langer niet beschikbaar is.

• b. voor ITS-dienstverleners als:

• i. de dienst van ITS-dataverstrekkers voor een periode van vier uur of langer niet beschikbaar is; of

• ii. de dienst van de ITS-dienstverlener voor een periode van acht uur of langer niet beschikbaar is.

• c. voor de dienst belast met de taken, bedoeld in de artikelen 42, tweede lid en 126, eerste lid, van de Wegenverkeerswet 1994 als de geleverde essentiële dienst voor een periode van vier uur of langer niet beschikbaar is.

Artikel 19. (Significante incidenten sector vervoer, subsector openbaar vervoer)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector openbaar vervoer, significant als zij in de bedrijfsvoering leidt tot uitval van het personenvervoer gedurende een periode van vier uur of langer en daarbij ten minste 100.000 reizigers worden getroffen.

Artikel 20. (Significante incidenten sector drinkwater)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector drinkwater significant:

• a. voor drinkwaterbedrijven als bedoeld in artikel 1, eerste lid, van de Drinkwaterwet, als aan 10.000 aansluitingen of meer voor een periode van zes uur of langer geen drinkwater geleverd kan worden;

• b. voor producenten en leveranciers van verpakt water als gedurende een periode van drie weken of langer geen water geproduceerd onderscheidenlijk geleverd kan worden.

Artikel 21. (Significante incidenten sector afvalwater)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector afvalwater significant als:

• a. daardoor opgeschaald moet worden naar categorie 3 of hoger in de Gecoördineerde Regionale Incidentenbestrijdingsprocedure (GRIP);

• b. daardoor opgeschaald moet worden naar dreigingsniveau 3 of hoger, bedoeld in het op grond van artikel 19.14 van de Omgevingswet door het waterschap opgestelde calamiteitenplan; of

• c. voor een periode van zes uur of langer een of meer van de essentiële functies verstoord zijn bij een object dat is opgenomen op het actuele overzicht van de kritieke infrastructuur, bedoeld in artikel 5, tweede lid, van het Besluit weerbaarheid kritieke entiteiten.

Artikel 22. (Significante incidenten sector afvalstoffenbeheer)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector afvalstoffenbeheer significant als:

• a. de inzameling van huishoudelijke afvalstoffen als bedoeld in artikel 1.1 van de Wet milieubeheer voor een periode van een week of langer niet kan plaatsvinden;

• b. de inzameling van andere afvalstoffen dan huishoudelijke afvalstoffen als bedoeld in artikel 1.1 van de Wet milieubeheer voor een periode van 48 uur of langer niet kan plaatsvinden; of

• c. de verbranding van afval in afvalverbrandingsinstallaties voor een periode van acht uur of langer verstoord is.

Artikel 23. (Significante incidenten sector nucleair)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector nucleair significant als op het terrein dat de essentiële entiteit in gebruik heeft:

• a. een stralingsincident, ongeval of radiologische noodsituatie plaatsvindt waarvan op grond van artikel 6.1 van het Besluit basisveiligheidsnormen stralingsbescherming melding moet worden gemaakt bij de Autoriteit Nucleaire Veiligheid en Stralingsbescherming; of

• b. een gebeurtenis plaatsvindt die in de weg staat aan onverkorte toepassing van het beveiligingspakket als bedoeld in artikel 22a van het Besluit kerninstallaties, splijtstoffen en ertsen.

Artikel 24. (Significante incidenten sector keren en beheren)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector keren en beheren significant als voor een periode van vier uur of langer een of meer van de voor het keren en beheren van waterkwantiteit essentiële functies verstoord zijn bij een object dat opgenomen is op het actuele overzicht van de kritieke infrastructuur, bedoeld in artikel 5, tweede lid, van het Besluit weerbaarheid kritieke entiteiten.

Artikel 25. (Significante incidenten sector vervaardiging, productie en distributie van chemische stoffen)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervaardiging, productie en distributie van chemische stoffen significant als:

• a. daardoor de bij een overeenkomst vastgestelde levertijden overschreden worden met een periode van drie weken of meer; of

• b. daardoor een kritieke entiteit die voor haar dienstverlening afhankelijk is van de verleende dienst, daarvan voor een periode van zes uur of langer geen gebruik kan maken.

Artikel 26. (Significante incidenten sector meteorologie)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector meteorologie significant als:

• a. een kritieke entiteit voor de verlening van de essentiële dienst waarvoor zij als kritieke entiteit is aangewezen, afhankelijk is van de meteorologische dienst, en deze dienst door het incident niet beschikbaar is voor een periode van zes uur of langer; of

• b. het incident meldt bij de daarvoor aangewezen faciliteit bij het Ministerie van Infrastructuur en Waterstaat.

Artikel 27. (Significante incidenten sector onderzoek)

Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector onderzoek als bedoeld in artikel 2, derde lid, significant als:

• a. het incident het uitlekken van bedrijfsgeheimen als bedoeld in artikel 2, eerste lid, van Richtlijn (EU) 2016/943 van de essentiële entiteit of belangrijke entiteit veroorzaakt of kan veroorzaken;

• b. het incident de dood van een natuurlijk persoon heeft veroorzaakt of kan veroorzaken;

• c. het incident aanzienlijke schade aan de gezondheid van een natuurlijk persoon heeft veroorzaakt of kan veroorzaken;

• d. er een succesvolle, vermoedelijk kwaadwillige en ongeoorloofde toegang tot netwerk- en informatiesystemen heeft plaatsgevonden die ernstige operationele verstoringen kan veroorzaken; of

• e. een vermoedelijk kwaadwillige handeling de integriteit, vertrouwelijkheid of authenticiteit van opgeslagen, verzonden of verwerkte onderzoeksgegevens heeft aangetast of kan hebben aangetast, en dit leidt tot aanzienlijke materiële of immateriële schade bij andere essentiële, belangrijke of kritieke entiteiten.

Artikel 28. (Significante incidenten sector overheid, subsector waterschappen)

Een incident in de sector overheid, subsector waterschappen, is significant als het leidt of kan leiden tot:

• a. uitval van de dienstverlening van de essentiële entiteit voor ten minste vier uur;

• b. financiële gevolgen die niet kunnen worden opgevangen in de begroting; of

• c. de ernstige verwonding of de dood van een natuurlijke persoon.

Paragraaf 6. Slotbepalingen

Artikel 29. (Inwerkingtredingsbepaling)

Deze regeling treedt in werking op het tijdstip waarop de Cyberbeveiligingswet in werking treedt.

Artikel 30. (Citeertitel)

Deze regeling wordt aangehaald als: Cyberbeveiligingsregeling IenW.

Bijlage. bij artikel 7, tweede lid – impactniveaus sector overheid, subsector waterschappen

Impactniveau	Omschrijving	Zeer laag	Laag	Middel	Hoog	Zeer hoog
Impact op beschikbaarheid (dataverlies – RPO1); hoeveel dataverlies is acceptabel	Hoeveel dataverlies is acceptabel?	Dataverlies 36 uur	Dataverlies 24 uur	Dataverlies 12 uur	Dataverlies 4 uur	Dataverlies 1 uur
Hersteltijd (RTO2); hoe lang mag het proces hinder ondervinden van uitval?	Hoe lang mag het proces hinder ondervinden van uitval?	Maximaal 1 week uitval (5 x 8 uur) en hersteltijd 16 uur in 2 werkdagen	Maximaal 2 dagen uitval (2 x 8 uur) en hersteltijd 8 uur in 1 werkdag	Maximaal 1 dag uitval (1 x 8 uur) en herstel in uren	Maximaal 4 uur uitval en herstel in 1 uur	Max 1 uur uitval en minimale (geen) hersteltijd
Impact op belang essentiële entiteit	Wat is de impact voor de essentiële entiteit?	Minimale invloed op kernactiviteiten; weinig invloed op strategische doelstellingen.	Beperkte invloed op sommige kernactiviteiten; enige invloed op strategische doelstellingen.	Duidelijke invloed op meerdere kernactiviteiten; strategie moet mogelijk aangepast worden.	Aanzienlijke invloed op kernactiviteiten; strategische doelstellingen ernstig in gevaar.	Kritieke invloed op de kernactiviteiten; het voortbestaan van de organisatie kan in gevaar komen.
Vervangbaarheid informatie	Is de informatie vervangbaar?	Informatie is gemakkelijk te vervangen zonder noemenswaardige kosten of inspanning.	Informatie is vervangbaar met enige inspanning of kosten.	Vervanging van de informatie is mogelijk, maar vereist aanzienlijke tijd of middelen.	Informatie is moeilijk te vervangen, met hoge kosten of aanzienlijke inspanning.	Informatie is onvervangbaar, verlies zou een onherstelbare impact hebben.
Te beschermen belangen uit de ABDO3/ ABRO4 of vergelijkbaar	Te beschermen belang (TBB)		TBB 4	TBB 4	TBB 3	TBB 2 / TBB 1
Informatieclassificatie beleid	Is de informatie gerubriceerd?	Ongerubriceerd	Dep.V (niveau 1 – standaard) (oud BBN 2 uit de BIO1.04)	Dep.V (niveau 2 – weerstand tegen spionage) (Oud BBN3 uit de BIO 1.04)	Stg.C	Stg.G / Stg. ZG
Schade bij openbaarmaking	Wat is de schade bij openbaarmaking?		Indien kennisname door niet-geautoriseerden nadeel kan toebrengen aan de belangen van één of meerdere afdelingen van de essentiële entiteit	Indien kennisname door niet-geautoriseerden schade kan toebrengen aan de belangen van de essentiële entiteit	Indien kennisname door niet geautoriseerden aanzienlijke schade kan toebrengen aan een van de vitale belangen van de essentiële entiteit	Indien kennisname door niet geautoriseerden ernstige of zeer ernstige schade kan toebrengen aan een van de vitale belangen van de essentiële entiteit
Kennisnemen informatie door onbevoegden	Kennisname ...		Is ongewenst	Moet zoveel mogelijk worden voorkomen	Moet worden voorkomen	Is onacceptabel
Persoonsgegevens	Bevat persoonsgegevens of bijzondere persoonsgegevens of een grote verzameling		Bevat persoonsgegevens	Bevat bijzondere persoonsgegevens of meerdere collecties van persoonsgegevens.	Bevat meerdere collecties met bijzondere persoonsgegevens
Politieke schade	Beleidsmatige gevolg classificatie	Geen politieke aandacht of risico. De situatie heeft geen invloed op bestuurders of vertegenwoordigend orgaan, en blijft binnen de organisatie.	Beperkte politieke gevoeligheid. Mogelijk bestuurlijke notitie of korte interne afstemming, maar geen publieke aandacht of aandacht van het vertegenwoordigend orgaan.	Matige politieke impact. Er is kans op vragen van het vertegenwoordigend orgaan of lokale media-aandacht. Bestuurders moeten intern of in het vertegenwoordigend orgaan toelichten wat er is gebeurd.	Duidelijke politieke gevolgen. De kwestie leidt tot publieke discussie of mediabelangstelling, politieke druk of reputatieschade. Bestuurders worden ter verantwoording geroepen en moeten zich verantwoorden naar aanleiding van verantwoordingsvragen (vragen in het vertegenwoordigend orgaan gesteld). Er wordt een (lokaal) Parlementair onderzoek ingesteld.	Ernstige politieke impact. De kwestie veroorzaakt grote politieke en publieke ophef, mogelijk moties van wantrouwen of aftreden van bestuurders. Vertrouwen in bestuurders of vertegenwoordigers komt ernstig onder druk te staan. Er is sprake van een enquête.
Diplomatieke schade	Is er diplomatieke schade te verwachten?	Geen diplomatieke schade. De relaties met andere landen zijn stabiel en goed onderhouden, zonder enige negatieve impact. Effect op burgergerichte processen: Geen impact. Burgers merken geen verandering in de dienstverlening, internationale samenwerking of toegang tot buitenlandse diensten.	Klein verlies aan diplomatieke goodwill. Er zijn lichte spanningen, maar deze worden snel en efficiënt opgelost zonder grote gevolgen. Effect op burgergerichte processen: Minimale invloed op internationale samenwerking, bijvoorbeeld lichte vertragingen bij grensoverschrijdende diensten of minder vloeiende samenwerking met buitenlandse partners. Burgers merken nauwelijks iets van de situatie.	Merkbare diplomatieke schade. Relaties met andere landen verslechteren tot een punt waarop samenwerking in bepaalde gebieden moeilijker wordt. Dit kan bijvoorbeeld leiden tot vertragingen in internationale handel, samenwerking of informatie-uitwisseling. Effect op burgergerichte processen: Burgers kunnen langere wachttijden ondervinden bij grensoverschrijdende diensten zoals visa-aanvragen, internationale handel of hulp in het buitenland. Er kunnen ook meer bureaucratische hindernissen ontstaan bij internationale procedures.	Aanzienlijke diplomatieke schade. De relaties met belangrijke diplomatieke partners verslechteren aanzienlijk, wat leidt tot vertragingen of beperkingen in internationale samenwerking, en tot verlies van toegang tot strategische informatie of samenwerkingsovereenkomsten. Effect op burgergerichte processen: Burgers ondervinden duidelijke problemen, zoals een aanzienlijke afname in toegang tot consulaire diensten in het buitenland, problemen bij internationale reis- of handelsregelingen, en moeilijkheden in grensoverschrijdende communicatie en samenwerking. Er is sprake van toenemende ontevredenheid.	Ernstige diplomatieke schade. De diplomatieke relaties met andere landen zijn ernstig verstoord of verbroken, wat kan leiden tot sancties, reisbeperkingen, en ernstige verstoringen in internationale samenwerkingen en handelsrelaties. Effect op burgergerichte processen: Burgers worden geconfronteerd met grote problemen, zoals reisverboden, verlies van consulaire steun in het buitenland, beperkte toegang tot internationale diensten en ernstige verstoringen in de handel. Dit kan leiden tot wijdverspreide ontevredenheid en ernstige gevolgen voor de economie en de toegang tot buitenlandse diensten.
Financiële impact	Hoeveel budget is gemoeid met het risico?	Op te vangen binnen de begroting van de afdeling	Niet meer op te vangen binnen de begroting van de afdeling	Niet meer op te vangen binnen de begroting van de directie	Niet meer op te vangen binnen de begroting van de essentiële entiteit	Niet meer op te vangen binnen de begroting van de essentiële entiteit; leidt tot financieel toezicht.
Directe imagoschade	Verlies van publiek respect of organisatiebrede negatieve publiciteit	Geen imagoschade. De reputatie van de organisatie of overheid blijft ongeschonden. Er is geen negatieve publiciteit of perceptie van het publiek. Effect: Geen invloed op de reputatie. De essentiële entiteit wordt nog steeds als betrouwbaar, efficiënt en positief gezien.	Verlies van publiek respect – Lichte imagoschade. Er is sprake van een klein incident of negatieve publiciteit, maar dit blijft beperkt en is snel te herstellen. Effect: Kortdurende negatieve perceptie bij een beperkt publiek, zonder langdurige gevolgen. Vertrouwen wordt snel hersteld door adequate communicatie en acties.	Publieke verontwaardiging – Merkbare imagoschade. Een incident of reeks incidenten leidt tot bredere negatieve aandacht in de media en onder het publiek. Het vertrouwen in de essentiële entiteit wordt aangetast, en er is kritiek op het beleid of handelen. Effect: Zichtbare impact op de reputatie, met een afname van vertrouwen en geloofwaardigheid bij een groot deel van het publiek. Herstel vereist actieve maatregelen en verbeterde communicatie.	Verlies aan vertrouwen – Aanzienlijke imagoschade. Een grote misser of reeks van schandalen leidt tot wijdverspreide negatieve berichtgeving en publieke verontwaardiging. Het herstel van het vertrouwen vergt aanzienlijke inspanningen en tijd. Effect: Het vertrouwen in de essentiële entiteit wordt ernstig geschaad. Het publiek en de media blijven kritisch, en de negatieve impact houdt lange tijd aan. Grootschalige herziening van beleid of management is nodig om het imago te herstellen.	Structureel verlies aan vertrouwen – Ernstige imagoschade. Een crisis of schandaal leidt tot langdurige en diepgaande reputatieschade, mogelijk op internationaal niveau. Het imago van de organisatie is ernstig en mogelijk onherstelbaar beschadigd. Effect: Het vertrouwen in de essentiële entiteit is volledig verloren, met blijvende gevolgen voor de geloofwaardigheid en het functioneren. Mogelijk verlies van steun vanuit het publiek, partners of andere stakeholders. Drastische maatregelen zijn nodig, en volledig herstel kan jaren duren of nooit volledig worden bereikt.
Verlies van publiek respect of vertrouwen	Wat is het effect op het vertrouwen van burgers, bedrijven of maatschappelijke organisaties in het bestuur of de gemeentelijke organisatie?	Nauwelijks merkbaar verlies van vertrouwen; beperkt tot individuen of kleine groepen. Voorbeelden: Klacht over wachttijd bij loket, incidentele negatieve reacties op sociale media.	Lokaal verlies van vertrouwen binnen een wijk of doelgroep; beperkt media-aandacht. Voorbeelden: Onvrede over wijkontwikkeling, beperkte protesten of petities.	Breder verlies van vertrouwen; meerdere doelgroepen; lokale media-aandacht. Voorbeelden: Foutieve belastingaanslagen, langdurige ICT-storing, onduidelijke communicatie.	Aanzienlijk verlies van vertrouwen; landelijke media-aandacht. Voorbeelden: Onrechtmatige uitkeringen, datalek, bestuurlijke onrust.	Structureel verlies van vertrouwen; langdurige reputatieschade; mogelijk landelijke of juridische gevolgen. Voorbeelden: Fraude, corruptie, ernstige schending van burgerrechten, bestuurlijke crisis.
Organisatiebrede negatieve publiciteit	Wat is het effect van organisatiebrede negatieve publiciteit op het imago, het vertrouwen van inwoners en partners, en op de bestuurlijke stabiliteit?	Interne of zeer beperkte externe aandacht; geen blijvende schade. Voorbeeld: Kritiek in een bewonersbrief of kleine online discussie.	Lokale media-aandacht of social media-ophef; beperkt tot één onderwerp of wijk. Voorbeeld: Artikel in lokale krant over fout in vergunningverlening of afvalinzameling.	Entiteit-brede aandacht; meerdere afdelingen betrokken; reputatieschade binnen de grenzen van de essentiële entiteit. Voorbeeld: Nieuwsitem over falende dienstverlening, datalek, of onduidelijke communicatie.	Landelijke media-aandacht; langdurige negatieve beeldvorming; bestuurlijke verantwoording vereist. Voorbeeld: Nieuwsuur-item over mismanagement, integriteitskwestie of fraude.	Structurele reputatieschade; landelijke of internationale aandacht; mogelijk juridische of politieke gevolgen. Voorbeeld: Onderzoek door toezichthouder, Parlementaire vragen, of internationale media-aandacht.
Significant verlies van motivatie medewerkers	Wat is het effect op de motivatie van de medewerkers?	Geen waarneembaar effect op de burgergerichte processen. De dienstverlening blijft op het verwachte niveau zonder vertragingen of fouten. Effect op burgergerichte processen: Geen merkbare invloed op de kwaliteit van de dienstverlening. Burgers ervaren dezelfde efficiëntie en betrouwbaarheid.	Een lichte afname in motivatie die minimale gevolgen heeft voor de prestaties. Mogelijk kleine vertragingen of minder efficiëntie, maar zonder significante verstoring van de processen. Effect op burgergerichte processen: Kleine vertragingen of incidentele fouten in de dienstverlening, maar geen structurele problemen. Burgers merken mogelijk een lichte afname in de respons of efficiëntie.	Merkbare daling in motivatie wat leidt tot verminderde productiviteit. Dit kan leiden tot vertragingen in besluitvorming, langere doorlooptijden en mogelijk meer fouten. Effect op burgergerichte processen: Verlengde wachttijden voor burgers, fouten in de afhandeling van aanvragen, en lagere kwaliteit van dienstverlening. Burgers kunnen ontevreden raken over de snelheid en kwaliteit van de overheidsdiensten.	Aanzienlijk verlies van motivatie, resulterend in frequente fouten, lange vertragingen en verminderd vermogen om op vragen of klachten van burgers te reageren. Effect op burgergerichte processen: Veel voorkomende vertragingen en kwaliteitsproblemen, waardoor burgers regelmatig problemen ondervinden bij het verkrijgen van diensten. Dit kan leiden tot een afname van het vertrouwen in de overheid.	Extreme demotivatie die leidt tot ernstige verstoringen in de dienstverlening, inclusief aanzienlijke fouten, langdurige vertragingen en mogelijk ook hogere niveaus van verloop onder medewerkers. Effect op burgergerichte processen: Ernstige verstoringen in de burgergerichte processen. Burgers ervaren langdurige wachttijden, fouten in administratieve processen, en een drastische afname in de kwaliteit van dienstverlening, wat resulteert in grote publieke ontevredenheid en mogelijk een vertrouwenscrisis in de overheid.
Belangrijk verlies van management control	Kan de organisatie haar processen nog effectief en efficiënt uitvoeren?	Geen verlies van management control. Processen verlopen zoals gepland, met duidelijke sturing en toezicht. Effect op burgergerichte processen: Geen impact. De overheid blijft effectief in het leveren van consistente en betrouwbare diensten aan burgers.	Klein verlies van management control. Er zijn lichte inefficiënties, maar deze worden snel opgemerkt en opgelost zonder grote verstoringen. Effect op burgergerichte processen: Sporadische kleine inefficiënties in de dienstverlening, zoals lichte vertragingen of communicatiemisverstanden. Burgers ervaren incidenteel minder optimale processen, maar dit leidt niet tot serieuze klachten.	Merkbaar verlies van management control. Er ontstaan significante inefficiënties en miscommunicatie tussen verschillende afdelingen, wat resulteert in trager besluitvormingsproces en problemen met het naleven van vastgestelde procedures. Effect op burgergerichte processen: Burgers ondervinden langere wachttijden, inconsistenties in informatieverstrekking of behandeling van aanvragen. Er is een duidelijke afname in de kwaliteit en voorspelbaarheid van overheidsdiensten, wat tot verhoogde frustratie kan leiden.	Aanzienlijk verlies van management control. Het gebrek aan sturing leidt tot fouten in kritieke processen, langdurige vertragingen, en het niet volgen van protocollen. Management reageert langzaam of inadequaat op problemen. Effect op burgergerichte processen: Burgers ervaren systematische vertragingen, onvolledige of foutieve dienstverlening, en gebrek aan adequate opvolging van aanvragen of klachten. Het vertrouwen in de efficiëntie en betrouwbaarheid van de overheid neemt merkbaar af.	Extreem verlies van management control. Het management is vrijwel niet in staat om de operationele processen te beheersen. Er is sprake van een chaotische situatie met frequente fouten, gebrek aan samenhang en ernstige vertragingen. Effect op burgergerichte processen: Ernstige verstoringen in de dienstverlening aan burgers. Diensten worden slecht uitgevoerd of komen zelfs geheel tot stilstand. Burgers ervaren langdurige vertragingen, administratieve chaos en aanzienlijke fouten in hun aanvragen of diensten, wat resulteert in een groot verlies van vertrouwen in de overheidsinstellingen.
Schade vitale processen	Is er impact op de vitale/kritieke processen van de organisatie?	Geen verstoring van vitale processen.	Beperkte verstoring van vitale processen; processen kunnen snel worden hervat.	Duidelijke verstoring; vitale processen worden tijdelijk gehinderd.	Aanzienlijke verstoring; vitale processen worden ernstig gehinderd.	Catastrofale verstoring; vitale processen worden onwerkbaar of volledig stilgelegd.
Maatschappelijke impact	Incidenten die mogelijk negatieve publiciteit veroorzaken of het vertrouwen van burgers in publieke instellingen beïnvloeden.	Geen of nauwelijks merkbare impact voor de samenleving. De verstoring is beperkt tot een kleine groep mensen of heeft nauwelijks effect op het dagelijks leven van burgers.	Enige impact op een beperkte groep mensen of specifieke gemeenschap. Het dagelijks leven van burgers wordt licht verstoord, maar er zijn alternatieven beschikbaar of de verstoring is kortdurend.	Duidelijke impact op meerdere gemeenschappen of een significante groep mensen. Het dagelijks leven van deze mensen wordt merkbaar beïnvloed, bijvoorbeeld door verstoring van een publieke dienst gedurende meerdere dagen.	Aanzienlijke impact op de samenleving als geheel of op een groot deel van de bevolking. Diensten of voorzieningen die essentieel zijn voor burgers worden onderbroken, wat leidt tot verstoringen op sociaal, economisch of fysiek gebied.	Ernstige impact die de hele samenleving raakt. Essentiële diensten vallen langdurig uit of falen, wat mogelijk leidt tot onrust, massale verstoring van dagelijks leven, en maatschappelijke ontwrichting.
Letsel		Geen of minimale fysieke of psychische schade.	Lichte verwondingen of stress die zonder blijvende gevolgen zijn.	Ernstige verwondingen of stress met tijdelijke gevolgen.	Zeer ernstige verwondingen of blijvende psychische schade.	Dodelijke verwondingen of onherstelbare psychische schade.
Inbreuk op persoonlijke levenssfeer		Geen of minimale inbreuk op privacy, geen impact op betrokkenen.	Beperkte inbreuk op privacy; gering risico voor betrokkenen.	Duidelijke inbreuk op privacy; aanzienlijke impact op betrokkenen.	Aanzienlijke inbreuk op privacy; ernstige impact en grote impact voor betrokkenen en verlies van vertrouwen.	Catastrofale inbreuk op privacy; ernstige gevolgen voor betrokkenen, mogelijk juridische gevolgen.

1 Recovery Point Objective: De herstelpuntdoelstelling, die weergeeft wat het maximaal toegestane dataverlies is voor de organisatie. Deze hoeveelheid is gemeten in tijd, namelijk de periode tussen de laatste succesvolle data back-up en de verstorende gebeurtenis.

2 Recovery Time Objective: De hersteltijddoelstelling, die weergeeft wat de maximaal toegestane tijd is dat een systeem of proces offline kan zijn na een incident zonder dat dit gevolgen heeft voor de bedrijfsvoering.

3 Algemene Beveiligingseisen voor Defensieopdrachten.

4 Algemene Beveiligingseisen Rijksoverheidsopdrachten.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.