NIS2 · Drinkwater en afvalwater

    NIS2 voor drinkwater en afvalwater

    Twee aparte sectoren in de Cyberbeveiligingswet, met eigen regels en drempels

    Schoon water uit de kraan en goed gezuiverd afvalwater zijn vanzelfsprekend, totdat de systemen die dat regelen worden aangevallen. Drinkwater en afvalwater staan allebei in bijlage 1 van de Cyberbeveiligingswet, de lijst met zeer kritieke sectoren. Het zijn wel twee losse sectoren, met een eigen afbakening en eigen meldingsdrempels. Kies hieronder uw sector.
    Naar drinkwater
    Naar afvalwater

    Twee sectoren, twee routes

    Beide sectoren staan in bijlage 1. Toch gelden er andere regels over wie eronder valt en wanneer u moet melden. Organisaties die allebei doen, zoals sommige waterschappen, krijgen met beide te maken.

    Drinking water

    Winning, zuivering en levering van water dat mensen drinken. Uitval raakt direct de volksgezondheid.

    Toezichthouder
    ILT, voor verpakt water de NVWA

    Melden bij
    NCSC via mijn.ncsc.nl

    Drempel
    10.000 aansluitingen of meer, zes uur of langer geen water

    Lees verder over drinkwater

    Waste water

    Inzameling, afvoer en zuivering van stedelijk, huishoudelijk en industrieel afvalwater. Uitval raakt de volksgezondheid en het milieu.

    Toezichthouder
    ILT

    Melden bij
    NCSC via mijn.ncsc.nl

    Uitzondering
    Is zuiveren een ondergeschikt onderdeel van uw bedrijf, dan valt u er niet onder

    Lees verder over afvalwater
    Deel 1 · Drinkwater

    Welke drinkwaterorganisaties vallen onder NIS2?

    In Nederland leveren tien drinkwaterbedrijven het grootste deel van het drinkwater. Daarnaast zijn er ongeveer 230 bedrijven met een eigen winning die aan derden leveren. Ook zij kunnen onder de wet vallen.
    • Drinkwaterbedrijven: winning, zuivering, transport en levering
    • Bedrijven met een eigen waterwinning die drinkwater aan derden leveren
    • Bedrijven die drinkwater doorleveren aan gebruikers
    • Drinkwaterlaboratoria
    • Producenten en leveranciers van verpakt water
    Twijfelt u? Doe de gratis check →

    Goed om te weten bij drinkwater

    Omvang
    U valt eronder vanaf 50 medewerkers, of met een jaaromzet én balanstotaal boven € 10 miljoen. De cijfers van uw concern tellen mee.

    Meldingsdrempel
    Een incident is significant als 10.000 aansluitingen of meer zes uur of langer geen drinkwater krijgen. Voor verpakt water geldt drie weken of langer geen productie of levering.

    Verpakt water
    Voor producenten en leveranciers van verpakt water is de Nederlandse Voedsel en Warenautoriteit (NVWA) de toezichthouder, niet de ILT.

    Drinkwaterwet
    De ILT keurt de leveringsplannen goed die drinkwaterbedrijven elke vier jaar opstellen. De Cbw komt daar bovenop, met de digitale kant.

    Risico's in de drinkwatervoorziening

    Sturing op afstand

    Winningen, pompen en zuiveringsstappen worden op afstand bediend. Elke verbinding is een mogelijke ingang.

    Dosering en kwaliteit

    Wie de dosering van chemicaliën kan beïnvloeden, raakt direct de volksgezondheid.

    Afhankelijk van stroom en leveranciers

    Uitval van energie of een storing bij een leverancier werkt door in de levering van water.
    Deel 2 · Afvalwater

    Welke afvalwaterorganisaties vallen onder NIS2?

    De sector afvalwater gaat over het inzamelen, afvoeren en zuiveren van afvalwater. In Nederland is dat werk verdeeld: gemeenten beheren de riolering en het transport, waterschappen zuiveren.
    • Organisaties die stedelijk afvalwater inzamelen, afvoeren of zuiveren
    • Organisaties die huishoudelijk afvalwater inzamelen, afvoeren of zuiveren
    • Organisaties die industrieel afvalwater inzamelen, afvoeren of zuiveren
    • Waterschappen, voor het beheer van rioolwaterzuiveringsinstallaties
    • Gemeenten, voor de riolering en het transport naar de zuivering
    Twijfelt u? Doe de gratis check →

    Goed om te weten bij afvalwater

    De belangrijkste uitzondering
    Is het inzamelen, afvoeren of zuiveren van afvalwater een ondergeschikt onderdeel van uw bedrijf? Dan valt u daarvoor niet onder de sector afvalwater. Een fabriek met een eigen zuivering voor het eigen proces valt er dus meestal buiten.

    Omvang
    Voor bedrijven gelden dezelfde grenzen als bij drinkwater: vanaf 50 medewerkers, of een jaaromzet én balanstotaal boven € 10 miljoen.

    Overheden tellen niet mee in die grens
    Waterschappen en gemeenten zijn decentrale overheid en daarmee essentiële entiteit, ongeacht hun omvang.

    Supervision
    De ILT houdt toezicht op de sector afvalwater en op de overheden in de sectoren van het ministerie van Infrastructuur en Waterstaat.

    Risico's in de afvalwaterketen

    Veel locaties, kleine teams

    Gemalen, overstorten en zuiveringen liggen verspreid en worden beheerd door relatief kleine teams.

    Milieuschade bij uitval

    Een zuivering die stilvalt betekent ongezuiverde lozing op oppervlaktewater.

    Ketens van gemeente naar waterschap

    Riolering, transport en zuivering zijn van verschillende partijen. Een incident bij één schakel raakt de rest.

    Waterschappen: meerdere sectoren tegelijk

    Een waterschap doet meer dan zuiveren. Daardoor valt u onder verschillende onderdelen van de wet tegelijk. Het toezicht ligt bij de ILT. Het CSIRT voor de waterschappen is CERT-WM van Het Waterschapshuis.

    Government

    Als decentrale overheid bent u essentiële entiteit, ongeacht uw omvang. De BIO2 is het normenkader voor de zorgplicht.
    Bekijk de pagina over de overheid →

    Waste water

    Voor het beheer van rioolwaterzuiveringsinstallaties valt u onder de sector afvalwater.

    Keren en beheren

    Voor dijken, gemalen en waterkeringen valt u onder de Nederlandse sector keren en beheren.
    Ook gemeenten hebben een rol in de afvalwaterketen, naast hun eigen positie als essentiële entiteit. Bekijk de pagina voor gemeenten →
    Uit de praktijk

    Pompstation in Aliquippa, Verenigde Staten, 2023

    In november 2023 namen hackers een besturingskastje over bij een pompstation van het waterbedrijf in Aliquippa. Het apparaat hing met een standaard wachtwoord aan het internet. Het bedrijf schakelde over op handbediening en het water bleef veilig, maar de Amerikaanse overheid waarschuwde daarna alle waterbedrijven voor dit type apparatuur. De les is niet dat het een geavanceerde aanval was, want dat was het niet. De les is dat een vergeten apparaat aan het internet genoeg is.

    Wat de wet van u vraagt

    Deze vier verplichtingen gelden voor beide sectoren. De ministeriële regeling van het ministerie van Infrastructuur en Waterstaat werkt ze uit, inclusief de drempels per deelsector.

    Duty of care

    U neemt passende maatregelen op basis van een risicobeoordeling. Neem daarin ook uw besturingssystemen, gemalen en installaties op afstand mee, niet alleen de kantoor IT.
    Lees meer over de zorgplicht →

    Duty to report

    Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. De melding gaat door naar de ILT.
    Lees meer over de meldplicht →

    Registreren in het entiteitenregister

    U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel. De ILT controleert of u die gegevens aanlevert.
    Lees meer over de registratieplicht →

    Verantwoordelijkheid van het bestuur

    Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt verplicht een cybertraining. Bestuurders kunnen persoonlijk worden aangesproken.
    Lees meer over toezicht →

    Samenhang met andere regels

    De watersector kent al strenge regels. De Cyberbeveiligingswet voegt daar de digitale kant aan toe.

    Drinkwaterwet

    Bevat weerbaarheidseisen voor de levering, ook bij crises en stroomuitval. De ILT keurt de leveringsplannen goed.

    Wet weerbaarheid kritieke entiteiten

    Richt zich op fysieke weerbaarheid, zoals sabotage en extreem weer. Aangewezen kritieke entiteiten zijn automatisch essentieel onder de Cbw.

    IEC 62443

    De gangbare norm voor het beveiligen van besturingssystemen, zoals die van winningen, gemalen en zuiveringen.

    BIO2

    Voor waterschappen en gemeenten het normenkader waarmee de zorgplicht wordt ingevuld.

    Zo pakt u NIS2 aan in de watersector

    Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.
    1

    Bepaal onder welke sector u valt

    Drinkwater, afvalwater of allebei. Kijk daarbij ook of u als overheid meetelt en of de uitzondering voor afvalwater op u van toepassing is.
    2

    Registreer bij het NCSC

    Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl en houd ze actueel.
    3

    Breng uw installaties in kaart

    Welke locaties zijn op afstand bereikbaar, wie heeft toegang en hoe is dat beveiligd? Neem leveranciers mee.
    4

    Oefen uitval en melden

    Zorg dat u kunt terugvallen op handbediening en dat een melding binnen 24 uur gaat.
    Plan een NIS2 assessment

    Veelgestelde vragen over NIS2 en water

    Ja. Waterschappen zijn decentrale overheid en daarmee essentiële entiteit, ongeacht hun omvang. Daarnaast valt u onder afvalwater voor de zuivering en onder keren en beheren voor dijken en gemalen. Het toezicht ligt bij de ILT.

    Meestal niet. Is het inzamelen, afvoeren of zuiveren van afvalwater een ondergeschikt onderdeel van uw bedrijf, dan valt u daarvoor niet onder deze sector. Let op: u kunt wel via uw hoofdactiviteit onder een andere sector vallen, bijvoorbeeld chemie of levensmiddelen.

    Als 10.000 aansluitingen of meer zes uur of langer geen drinkwater krijgen. Dat staat in de ministeriële regeling van het ministerie van Infrastructuur en Waterstaat.

    De Nederlandse Voedsel en Warenautoriteit (NVWA). Voor de rest van drinkwater en voor afvalwater is dat de Inspectie Leefomgeving en Transport (ILT).

    Dat kan. In Nederland zijn er naast de tien drinkwaterbedrijven ongeveer 230 bedrijven met een eigen winning die aan derden leveren. Levert u drinkwater aan anderen en bent u middelgroot of groot, dan valt u onder de sector drinkwater.

    De Drinkwaterwet gaat over kwaliteit en leveringszekerheid, inclusief weerbaarheidseisen en leveringsplannen. De Cyberbeveiligingswet gaat over de digitale weerbaarheid: risicobeoordeling, maatregelen, melden en de rol van het bestuur. Ze gelden naast elkaar.

    U registreert uw organisatie in het entiteitenregister en geeft daarbij aan in welke sectoren u actief bent. Laat per situatie toetsen hoe dat voor uw organisatie precies uitpakt.

    De ILT houdt cybertoezicht op ongeveer 1.800 organisaties. Bij essentiële entiteiten is dat toezicht proactief: ook zonder incident kan de inspectie informatie opvragen of langskomen. Belangrijke entiteiten krijgen toezicht achteraf.

    Bekijk ook andere sectoren

    Energy
    ICT-dienstverleners
    Healthcare
    Transport
    Banking
    Digital infrastructure
    Government
    Gemeenten
    Alle sectoren

    Water dat veilig blijft stromen

    Wij helpen drinkwaterbedrijven, waterschappen en gemeenten met NIS2, van installatie tot bestuurskamer.
    Contact us
    Do the free check