Cyberbeveiliging in zeehavens: NIS2 en de Cyber Resilience Act

Kort antwoord: Zeehavens en havenexploitanten vallen onder NIS2 (Richtlijn (EU) 2022/2555), die de vervoerssector aanmerkt en risicobeheersmaatregelen, bestuurlijke verantwoordelijkheid en een meldplicht voor incidenten oplegt. De Cyber Resilience Act (Verordening (EU) 2024/2847) richt zich op de producten: hij stelt cyberbeveiligingseisen aan hardware en software met digitale elementen, waaronder veel systemen die in havenketens worden gebruikt.

NIS2: de haven als entiteit

NIS2 (Richtlijn (EU) 2022/2555) verving de oude NIS-richtlijn en verbreedde de reikwijdte tot een groot aantal sectoren, waaronder vervoer. Daaronder valt het vervoer over water en de bijbehorende infrastructuur, zoals zeehavens en havenfaciliteiten. Entiteiten worden ingedeeld als essentieel of belangrijk, met verschillende toezicht- en handhavingsregimes.

Voor een haven die onder NIS2 valt, gelden onder meer risicobeheersmaatregelen (art. 21) — denk aan risicoanalyse, incidentafhandeling, beveiliging van de toeleveringsketen en continuïteitsbeheer — en een uitdrukkelijke bestuurlijke verantwoordelijkheid (art. 20): het management moet de maatregelen goedkeuren en houdt toezicht op de uitvoering. Daarnaast geldt een gefaseerde meldplicht voor significante incidenten. De lidstaten moesten NIS2 uiterlijk 17 oktober 2024 in nationaal recht omzetten; de precieze invulling en de aanwijzing van de bevoegde toezichthouder verschillen per lidstaat.

De Cyber Resilience Act: de producten in de keten

Waar NIS2 zich op organisaties richt, richt de Cyber Resilience Act (Verordening (EU) 2024/2847) zich op producten met digitale elementen — hardware en software die met een netwerk of ander apparaat kunnen worden verbonden. De verordening legt fabrikanten, importeurs en distributeurs beveiligingseisen op gedurende de levenscyclus, inclusief het beheer van kwetsbaarheden.

In een havenomgeving zijn dat bijvoorbeeld sensoren, kademeet- en sluissystemen, terminal-operating software en industriële besturingssystemen die in operationele technologie worden ingezet. De CRA wordt gefaseerd van toepassing; de volledige toepassing is voorzien op 11 december 2027, met eerdere data voor bepaalde verplichtingen. Voor havens betekent dit dat de keuze en het inkoopproces van digitale apparatuur op termijn mede worden bepaald door de CRA-conformiteit van leveranciers.

Hoe NIS2 en de CRA samenkomen

NIS2 en de CRA vullen elkaar aan: NIS2 verplicht de haven als organisatie tot beveiliging — inclusief toeleveringsketenbeveiliging — terwijl de CRA de beveiliging van de ingekochte producten aan de bronkant regelt. Een haven die onder NIS2 valt, kan de CRA-conformiteit van leveranciers gebruiken als bouwsteen voor de eigen risicobeheersmaatregelen. Beide kaders zijn nu vastgesteld; de exacte verplichtingen hangen af van de classificatie van de entiteit, de nationale omzetting van NIS2 en het gefaseerde tijdpad van de CRA.

Lees ook: Transport & Logistiek. Doe de scan.