Checklist Cyberbeveiligingswet met 34 punten

Bestuur art. 24 Cbw; art. 20–22 Cbb

1. Heeft het bestuur de maatregelen uit de zorgplicht formeel goedgekeurd, met een gedateerd besluit?
2. Volgt het bestuur de uitvoering van de maatregelen op vaste momenten, bijvoorbeeld via een periodieke rapportage?
3. Hebben alle bestuursleden een training over cyberrisico’s gevolgd en beschikken zij over het certificaat daarvan?
   Art. 24 lid 5 Cbw: elk bestuurslid moet uiterlijk 15 augustus 2028 een certificaat hebben; nieuwe bestuurders binnen twee jaar na benoeming.
4. Is er een aangewezen verantwoordelijke voor informatiebeveiliging met een duidelijke opdracht en eigen budget?

Meer hierover in de kennisbank

Registratie en meldplicht art. 25–30 en 44 Cbw

1. Staat uw organisatie in het nationale register via MijnNCSC, of is vastgelegd dat registratie niet nodig is?
   Registratie is sinds 15 augustus 2026 verplicht. Wijzigingen geeft u binnen twee weken door (art. 44 lid 2 Cbw).
2. Is er een vaste procedure om significante incidenten op tijd te melden aan uw CSIRT en uw bevoegde autoriteit?
   Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand na de melding.
3. Heeft u vastgelegd wanneer een incident voor uw organisatie als ‘significant’ geldt?
4. Is geregeld hoe u de ontvangers van uw diensten informeert bij een significant incident?

Meer hierover in de kennisbank

Risicoanalyse en beveiligingsbeleid art. 21 lid 3 onder a Cbw; art. 6–7 Cbb

1. Is er een vastgelegde risicoanalyse van uw netwerk- en informatiesystemen die u geregeld bijwerkt?
2. Heeft u een informatiebeveiligingsbeleid dat door het bestuur is vastgesteld?
3. Werkt u met een managementsysteem voor informatiebeveiliging, bijvoorbeeld volgens ISO 27001?

Incidentenbehandeling art. 21 lid 3 onder b Cbw; art. 8 Cbb

1. Is er een beschreven proces om beveiligingsincidenten te ontdekken, te beoordelen en af te handelen?
2. Worden beveiligingsrelevante gebeurtenissen gelogd en beoordeeld, bijvoorbeeld via logbestanden en alarmen?
3. Heeft u in de afgelopen twaalf maanden een incident geoefend, bijvoorbeeld met een tabletop-oefening?

Bedrijfscontinuïteit en crisisbeheer art. 21 lid 3 onder c Cbw; art. 9 Cbb

1. Maakt u regelmatig back-ups die gescheiden worden bewaard en waarvan het terugzetten wordt getest?
2. Is er een herstelplan dat beschrijft hoe kritieke processen bij uitval doorgaan of worden hersteld?
3. Is er een crisisteam met vaste rollen en bereikbaarheidsgegevens?

Beveiliging van de toeleveringsketen art. 21 lid 3 onder d en lid 4 Cbw; art. 10 Cbb

1. Heeft u een overzicht van de leveranciers en dienstverleners die voor uw beveiliging belangrijk zijn?
2. Staan er beveiligingseisen in de contracten met belangrijke leveranciers, zoals een meldplicht en auditrecht?
3. Beoordeelt u de beveiliging van belangrijke leveranciers op vaste momenten, met vragenlijst, certificaat of audit?

Aanschaf, ontwikkeling en onderhoud art. 21 lid 3 onder e Cbw; art. 11 en 17 Cbb

1. Worden beveiligingsupdates voor systemen en software snel en aantoonbaar geïnstalleerd?
2. Worden uw systemen regelmatig op kwetsbaarheden gecontroleerd, met scans of penetratietests?
3. Stelt u beveiligingseisen bij de aanschaf of ontwikkeling van nieuwe systemen?

Effectiviteit van de maatregelen art. 21 lid 3 onder f Cbw; art. 18 Cbb

1. Toetst u geregeld of de beveiligingsmaatregelen werken, met interne audits of kengetallen?
2. Worden bevindingen uit audits en tests gevolgd tot ze zijn opgelost?

Cyberhygiëne en opleiding art. 21 lid 3 onder g Cbw; art. 12 Cbb

1. Krijgen alle medewerkers geregeld training in informatiebeveiliging, bijvoorbeeld over phishing?
2. Zijn er bindende basisregels voor veilig IT-gebruik, zoals over wachtwoorden, apparaten en e-mail?

Cryptografie en versleuteling art. 21 lid 3 onder h Cbw; art. 13 Cbb

1. Zijn gegevens op laptops, mobiele apparaten en losse opslagmedia versleuteld?
2. Zijn er afspraken over versleuteling en sleutelbeheer, bijvoorbeeld voor verzending en back-ups?

Personeel, toegang en assets art. 21 lid 3 onder i Cbw; art. 14–16 Cbb

1. Krijgen gebruikers alleen de rechten die zij nodig hebben, en controleert u die rechten op vaste momenten?
2. Worden accounts bij indiensttreding, functiewissel en vertrek volgens een vaste procedure aangemaakt en ingetrokken?
3. Heeft u een actueel overzicht van uw IT-systemen, toepassingen en clouddiensten?

Authenticatie en beveiligde communicatie art. 21 lid 3 onder j Cbw

1. Gebruikt u multifactorauthenticatie voor toegang op afstand, clouddiensten en beheerdersaccounts?
2. Is er een beveiligd communicatiemiddel voor noodsituaties, voor als e-mail en telefonie uitvallen?