<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>





































VNG brief


 

U202500150 PROD  
 

Vereniging van Nederlandse Gemeenten 

Nassaulaan 12 Den Haag | Postbus 30435 | 2500 GK Den Haag 

070 - 373 83 93 | info@vng.nl 

 

Geachte heer Van Weel, 

 

In februari is de internetconsultatie gestart voor de Algemene Maatregelen van Bestuur (AMvB) 

behorende bij de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke).  

De VNG heeft met belangstelling kennisgenomen van de consultatiewetteksten en deze met onze 

leden gedeeld. Namens 342 Nederlandse gemeenten delen wij onze reactie met u.  

 

Wij waarderen het dat de teksten van de twee AMvB’s beschikbaar zijn gesteld. Om gemeenten en 

andere medeoverheden goed voor te bereiden op de invoering van de Cbw en Wwke en de impact 

op hun organisatie helder te krijgen, vragen wij echter om verduidelijking op enkele specifieke 

punten. Wij zijn bekend met de consultatiereacties van het IPO en de UvW en ondersteunen deze 

volledig. Onze aandachtspunten betreffen de zorgplicht, training, governance en de meldplicht: 

 

• Zorgplicht 

o Risicogebaseerde informatiebeveiliging vereist risicogebaseerd toezicht. 

o Toezicht moet specifiek, meetbaar, acceptabel, realistisch en tijdgebonden zijn. 

o Gemeenten kampen met personeels- en financiële uitdagingen; het Rijk biedt 

ondersteuning. 

o De Uitvoerbaarheidstoets Decentrale Overheden moet de implementatiekosten van 

de Cbw inzichtelijk maken. 

• Training en governance  

o Het Cyberbeveiligingsbesluit (Cbb) bepaalt wanneer een trainer gekwalificeerd is.   

o Gemeenten kunnen zelf de training organiseren.  

Ministerie van Justitie en Veiligheid 

Minister van Justitie en Veiligheid 

Dhr. D.M. van Weel  

Postbus 20301 

2500 EH 'S-GRAVENHAGE  

 

CC: Ministerie van Binnenlandse Zaken en 

Koninkrijksrelaties 

De staatssecretaris voor Digitalisering en 

Koninkrijkrelaties Dhr. F.Z. Szabó 

Postbus 20011 

2500 EA DEN HAAG 

 

  Datum 

27 maart 2025 

Kenmerk 

TPW/U202500150 

Telefoon 

06 18575782 

Bijlage(n) 

- 

 

 

    

   

Onderwerp: Consultatiereactie VNG op het Cyberbeveiligingsbesluit 

en het Besluit weerbaarheid kritieke entiteiten 

  

 

https://www.vng.nl/
mailto:info@vng.nl


 

Vereniging van Nederlandse Gemeenten 2/5 

o CIO Rijk ontwikkelt een trainingssyllabus met input van medeoverheden. 

o De Cbw behoudt de bestaande aansprakelijkheidsregels voor overheidsinstanties. 

 

• Meldplicht 

o Criteria voor significante incidenten en verstoringen volgen het primaire doel van de 

NIS2 en CER-richtlijn zonder overbelasting bij de entiteiten. 

o Proportionele drempelwaarden voor meldplicht worden in de ministeriële regeling 

vastgesteld. 

o De impact bepaalt of een incident meldingswaardig is. 

o Gemeenten krijgen voldoende tijd voor implementatie, aangezien de criteria nog 

onbekend zijn. 

 

Zorgplicht 

 

In hoofdstuk 4 ‘Zorgplicht’, van het Cbb wordt benadrukt dat de beschreven technische, 

operationele en organisatorische maatregelen op een risicogebaseerde manier toegepast moeten 

worden. Gezien het verscherpte toezicht op informatiebeveiliging, verwachten wij daarom ook dat 

het toezicht risicogebaseerd zal zijn. Gemeenten willen dat het risicogebaseerde toezicht onder de 

Cyberbeveiligingswet zo wordt ingericht dat het specifiek, meetbaar, acceptabel, realistisch en 

tijdgebonden is, om zo effectief mogelijk te kunnen werken aan verbeteringen in cyberbeveiliging en 

helder verantwoording af te leggen. 

 

Het Cbb beschrijft in dit hoofdstuk welke maatregelen door beleid ondersteund moeten worden. 

Hoewel gemeenten en andere medeoverheden graag bereid zijn dit beleid te ontwikkelen en te 

implementeren, ligt de uitdaging voornamelijk bij het beschikken over voldoende personeel en 

middelen. Dit geldt ook voor het Besluit weerbaarheid kritieke entiteiten (Bwke).  

 

Daarnaast benadrukken we dat de uitdagingen niet puur financieel zijn, maar ook te maken hebben 

met de krapte op de arbeidsmarkt. Het is voor gemeenten bijzonder lastig om gekwalificeerd 

personeel te vinden voor het op peil houden van de informatiebeveiliging. 

 

In de Nota van Toelichtingen zijn voor bedrijven zowel de eenmalige als de structurele 

implementatiekosten van de Cyberbeveiligingswet uiteengezet. Gemeenten verzoeken om deze 

informatie ook specifiek voor hen gedetailleerd uit te werken en daarbij de Uitvoerbaarheidstoets 

voor Decentrale Overheden te gebruiken. Verder is het voor gemeenten van belang om te weten 

welke gemeenschappelijke regelingen onder de Cbw vallen, aangezien de huidige criteria voor 

overheidsinstanties tot veel discussies en onzekerheden leiden. 

 

Training en governance 

 

Hoofdstuk 5 ‘Training van het Cbb’ behandelt de onderwerpen die verplicht zijn in de training voor 

bestuurders. Deze training wordt door een onafhankelijke en gekwalificeerde trainer gegeven. 

Artikel 24, lid 5 van de Cyberbeveiligingswet vereist dat elk bestuurslid van een essentiële of 

belangrijke entiteit een certificaat van deelname van een dergelijke training moet hebben. De markt 

ziet hierin kansen, wat nu al heeft geleid tot een uitgebreid aanbod van zogenaamde NIS2-

trainingen. Bij sommige trainers is onduidelijk of ze voldoende gekwalificeerd zijn. Gemeenten 

verzoeken u om in het Cbb expliciet te maken hoe trainers kunnen aantonen dat zij voldoen aan de 

gestelde eisen in artikel 22. 



 

Vereniging van Nederlandse Gemeenten 3/5 

 

Gemeenten willen dat zij zelf deze training kunnen organiseren. De Rijksoverheid kan 

ondersteuning bieden betreft de inhoud, zodat de kennis en vaardigheden van 

overheidsbestuurders op dit vlak uniform zijn en toegespitst op de bestuurlijke context. 

Op deze wijze hebben wij er dan ook vertrouwen in dat het certificaat de juiste waarde 

vertegenwoordigt.  

 

In dit kader steunen we ook het voorstel voor een uniforme trainingsyllabus voor alle bestuurders 

van overheidsorganisaties, die door het Rijk wordt samengesteld en bekostigd. We hebben 

begrepen dat de CIO Rijk bezig is met het opstellen van de inhoud voor deze verplichte training. Wij 

willen graag betrokken worden en onze input leveren om te verzekeren dat de training aansluit bij 

de specifieke werkomgeving en maatschappelijke context van gemeenten, provincies en 

waterschappen, en om de kwaliteit te waarborgen. Bovendien willen gemeenten graag meedenken 

over de praktische invulling van de training en de verschillende vormen die deze kan aannemen, 

zoals e-learning. 

 

Governance 

Potentiële overheidsbestuurders zouden niet moeten worden afgeschrikt door het risico op 

bestuurlijke boetes als ze deze training en andere verplichtingen uit de Cbw niet volgen. We willen 

u er namelijk op wijzen dat artikel 24 lid 12d van de Cbw expliciet het college van burgemeester en 

wethouders als normadressaat van de wetgeving aanduidt. Volgens de Memorie van Toelichting 

(MvT) van de Cbw moet elk bestuurslid over voldoende kennis en vaardigheden beschikken en 

hiervoor een training volgen, waarbij zij ook verantwoordelijk zijn voor de goedkeuring van de 

genomen maatregelen (Cbw, artikel 24 lid 1). In de MvT bij de Cbw wordt benadrukt dat volgens de 

NIS2-richtlijn, zoals vastgelegd in artikel 20, lid 2, deze richtlijn geen afbreuk doet aan het nationale 

recht met betrekking tot de aansprakelijkheidsregels die gelden voor overheidsinstanties en voor de 

aansprakelijkheid van ambtenaren en verkozen of benoemde overheidsfunctionarissen.  

 

De laatste zin is correct in de context dat de NIS2-richtlijn geen inbreuk maakt op het nationale 

recht betreffende overheidsinstanties en de aansprakelijkheid van ambtenaren en gekozen of 

benoemde overheidsfunctionarissen. Echter, het huidige ontwerp van de Cbw lijkt hier wel inbreuk 

op te maken. Voor een correcte implementatie van de NIS2-richtlijn in de nationale wetgeving, 

zonder afbreuk te doen aan bestaande nationale aansprakelijkheidsregels, is meer nodig dan 

slechts een toelichtende opmerking in de memorie van toelichting over de vereisten van de NIS2-

richtlijn. 

 

Wij stellen de volgende aanpassingen in de Cbw voor:  

 

In artikel 24 onder vernummering van het huidige lid 13 naar 14 een nieuw lid 13 invoegen: 

  

Ongeacht de toebedeling van de verplichtingen aan het bestuur het twaalfde lid is een 

bestuurdersaansprakelijkheid van overheidsinstanties als bedoeld in artikel 20, eerste lid, 

eerste volzin, en artikel 32, zesde lid, van de NIS2-richtlijn, uitgesloten voor de besturen 

van ministeries, provincies, gemeenten, waterschappen of gemeenschappelijke regelingen. 

Deze uitsluiting van bestuurdersaansprakelijkheid laat het regresrecht van 

overheidsinstanties jegens hun besturen conform artikel 170, derde lid, van Boek 6 van het 

Burgerlijk Wetboek onverlet. 

  



 

Vereniging van Nederlandse Gemeenten 4/5 

Of:  

 

In artikel 24 in lid 12 de eerste volzin vervangen door: 

"Indien de essentiële entiteit een overheidsinstantie is, wordt voor de toepassing van dit 

artikel als het bestuur, in de hoedanigheid van vertegenwoordigersvan de essentiële 

entiteit, aangemerkt:" 

 

Meldplicht 

 

Hoofdstuk 6 van het Cbb en hoofdstuk 5 van de Bwke behandelen de meldplicht. Hierin staat dat de 

criteria voor een significant incident en aanzienlijke verstoring worden bepaald in ministeriële 

regelingen. Gemeenten willen graag een zorgvuldige benadering die recht doet aan het primaire 

doel van de meldplicht volgens de Network and Informationsecurity (NIS2)- en de Critical Entities 

Resilience (CER)-richtlijnen: het verbeteren van de digitale weerbaarheid binnen de Europese Unie 

door vroegtijdig inzicht te krijgen in incidenten en dreigingen en continuïteit van essentiële diensten 

te waarborgen. De Nederlandse implementatiewetgeving van deze richtlijnen moet helpen om 

relevante incidenten adequaat te identificeren en te rapporteren zonder overbelasting van zowel de 

entiteiten onder de Cbw en Wwke als de toezichthoudende instanties met onnodige meldingen.  

 

Daarnaast verwachten gemeenten in de ministeriële regelingen proportionele drempelwaarde voor 

meldingen, zodat alleen die incidenten gemeld worden met een daadwerkelijk risico voor de digitale 

veiligheid. Vanwege de aanzienlijke bestuurlijke boetes die kunnen oplopen tot € 10 miljoen voor 

het niet naleven van de meldplicht, moet worden voorkomen dat de meldplicht ertoe leidt dat 

entiteiten uit voorzorg onnodige meldingen doen om financiële sancties te vermijden. 

 

De impact moet bepalen of een incident meldingswaardig is. Gemeenten verzoeken de wetgever 

om criteria die zich richten op de gebeurtenis te herformuleren naar de impact ervan. Neem 

daarnaast meetbare criteria op in de ministeriële regelingen voor significante incidenten, toegespitst 

op de specifieke context van gemeenten, provincies en waterschappen. We stellen voor om twee 

jaar na de invoering van de Cbw, Cbb, Wwke en Bwke de inhoud van de meldplicht te evalueren 

om zowel de administratieve lasten als de voordelen ervan opnieuw te beoordelen.  

 

Omdat de drempelwaarden pas in de ministeriële regelingen worden vastgesteld, die momenteel 

nog niet beschikbaar zijn, kunnen gemeenten hun bestaande meldprocessen niet aanpassen aan 

de nog te definiëren criteria voor significante incidenten. Gemeenten verzoeken de wetgever 

hiermee rekening te houden en hen voldoende tijd te geven om, na de bekendmaking van de 

ministeriële regeling, hun meldprocessen aan te passen aan de vastgestelde criteria. 

 

Financiering 

 

De VNG is bezorgd over de kosten die gemeenten en andere medeoverheden moeten maken voor 

de implementatie. Om te kunnen voldoen aan de Cbw is een eerste randvoorwaarde dat, in 

overeenstemming met artikel 2 van de Financiële-verhoudingswet, de rijksoverheid zorgt voor 

adequate financiële dekking van de extra uitvoeringskosten die gemeenten moeten maken voor de 

naleving. De VNG is hierover nog in gesprek met het rijk. 

 
  



 

Vereniging van Nederlandse Gemeenten 5/5 

Samenwerking  

 

Namens de medeoverheden vertrouwen wij erop dat u onze punten meeneemt in de definitieve 

versie van de Cbw, Cbb, Bwke en de bijbehorende Memories van Toelichting en Nota van 

toelichting. Waar verdere toelichting nodig is zullen we deze uiteraard verstrekken.  

 

Sinds begin 2023 werkten wij samen met uw ambtenaren om tot een goede implementatie van de 

NIS2- en CER-richtlijn voor lokale overheden te komen. Wij zetten deze samenwerking graag voort 

om zo tot een digitaal veilige en weerbare overheid te komen. 

 

 

Met vriendelijke groet, 
 
Vereniging van Nederlandse Gemeenten 
 
 
 
 
mr L.K. Geluk 
Algemeen directeur 


</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>