Door Tom Meevis, advocaat bij Law and More
Cybersecurity is niet langer uitsluitend een technisch vraagstuk. Het is ook een juridisch en bestuurlijk thema waarmee vrijwel iedere onderneming van enige omvang te maken krijgt.
Met de Europese NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet verschuift de verantwoordelijkheid voor digitale weerbaarheid nadrukkelijk naar het bestuur van organisaties. De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Ondernemers, bestuurders en compliance officers moeten daarom op korte termijn vaststellen:
- of hun organisatie onder de nieuwe regelgeving valt;
- welke verplichtingen daaruit voortvloeien;
- welke maatregelen nodig zijn;
- en hoe de organisatie aan deze verplichtingen kan voldoen.
In dit artikel bespreken wij de belangrijkste onderdelen van NIS2 en de Cyberbeveiligingswet: het toepassingsgebied, de zorgplicht, de meldplicht, de bestuurlijke verantwoordelijkheid, de handhaving en de stappen die organisaties nu al kunnen zetten.
Wat is NIS2?
NIS2 is de formele benaming voor richtlijn (EU) 2022/2555. De richtlijn volgt de eerste Europese netwerk- en informatiebeveiligingsrichtlijn op, die doorgaans wordt aangeduid als NIS1.
De lidstaten moesten NIS2 uiterlijk op 17 oktober 2024 in nationale wetgeving hebben omgezet. Vanaf 18 oktober 2024 verving NIS2 formeel de eerdere richtlijn.
Het doel is het verhogen en meer gelijktrekken van het niveau van cyberweerbaarheid binnen de Europese Unie. Dat gebeurt langs twee hoofdlijnen. Ten eerste een breder toepassingsgebied: veel meer organisaties vallen onder de regelgeving dan onder NIS1. Ten tweede aangescherpt toezicht en strengere handhaving, met een uitgebreider instrumentarium en duidelijkere verantwoordelijkheden voor bestuurders.
Waar NIS1 onderscheid maakte tussen aanbieders van essentiele diensten en aanbieders van digitale diensten, werkt NIS2 met essentiele entiteiten en belangrijke entiteiten. Dat onderscheid is niet alleen terminologisch: het bepaalt onder meer de intensiteit van het toezicht en de hoogte van de mogelijke boetes.
Welke organisaties vallen onder NIS2?
NIS2 is van toepassing op organisaties die actief zijn in achttien aangewezen sectoren, verdeeld in sectoren met een hoge mate van kriticiteit en overige kritieke sectoren.
Tot de sectoren met een hoge mate van kriticiteit behoren onder meer energie, transport, bankwezen, financiëlemarktinfrastructuur, gezondheidszorg, drinkwater en afvalwater, digitale infrastructuur, ICT-diensten voor zakelijke gebruikers, overheid en ruimtevaart.
De overige kritieke sectoren omvatten onder meer post- en koeriersdiensten, afvalbeheer, chemie, voeding, fabricage, digitale aanbieders en onderzoeksinstellingen.
De omvangdrempel
Binnen deze sectoren geldt als hoofdregel dat een organisatie onder NIS2 valt wanneer zij kwalificeert als middelgrote of grote onderneming. Daarbij wordt gekeken naar ten minste 50 werknemers, of een jaaromzet dan wel balanstotaal van meer dan 10 miljoen euro.
Op deze hoofdregel bestaan uitzonderingen. Bepaalde organisaties vallen ongeacht hun omvang onder de regelgeving, omdat hun dienstverlening als bijzonder kritisch wordt beschouwd:
- aanbieders van openbare elektronische communicatienetwerken en -diensten;
- verleners van vertrouwensdiensten;
- aanbieders van diensten voor domeinnaamregistratie;
- registries voor topleveldomeinnamen;
- overheidsorganisaties.
Vanaf 15 augustus 2026 gelden de nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland. Dat is een aanzienlijke uitbreiding ten opzichte van het aantal organisaties dat onder de Wet beveiliging netwerk- en informatiesystemen viel.
Ook organisaties die zichzelf niet eerder als onderdeel van een kritieke sector beschouwden, kunnen hierdoor met de regelgeving te maken krijgen. Denk aan middelgrote productiebedrijven, voedingsmiddelenfabrikanten, onderzoeksinstellingen en digitale dienstverleners. Van belang is dat organisaties zelf verantwoordelijk zijn om te toetsen of zij onder de wet vallen. Er volgt dus geen brief van een toezichthouder waarin dat wordt meegedeeld.
De zorgplicht: welke maatregelen zijn vereist?
De kern van NIS2 en de Cyberbeveiligingswet is de zorgplicht. Essentiële en belangrijke entiteiten moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen.
De regelgeving noemt de onderwerpen waarop het beleid in ieder geval betrekking moet hebben:
- risicoanalyse en beveiligingsbeleid;
- incidentafhandeling;
- bedrijfscontinuïteit, back-upbeheer en herstel na een calamiteit;
- beveiliging van de toeleveringsketen;
- cyberhygiëne en opleiding van medewerkers;
- beleid voor het omgaan met kwetsbaarheden;
- multifactorauthenticatie;
- versleutelde communicatie;
- cryptografie;
- periodieke toetsing van de effectiviteit van de maatregelen.
De maatregelen moeten evenredig zijn aan de omvang van de organisatie en de risico’s waaraan zij daadwerkelijk wordt blootgesteld. Een kleinere belangrijke entiteit hoeft daarom niet dezelfde maatregelen te treffen als een grote essentiële entiteit in een hoogrisicosector.
Dat maakt de zorgplicht niet vrijblijvend. Organisaties moeten kunnen onderbouwen welke risico’s zij hebben vastgesteld, welke maatregelen zij hebben genomen en waarom die maatregelen passend zijn. Niet alleen de maatregelen zelf, maar ook de wijze waarop zij worden afgewogen, vastgelegd en periodiek geëvalueerd, is onderwerp van toezicht.
Meldplicht bij incidenten
Naast de zorgplicht kent NIS2 een gefaseerde meldplicht bij significante incidenten. Wanneer een incident aanzienlijke gevolgen heeft of kan hebben voor de continuïteit van de dienstverlening, gelden in hoofdlijnen de volgende termijnen:
- binnen 24 uur een vroegtijdige waarschuwing aan het nationale computercrisisteam of de bevoegde autoriteit;
- binnen 72 uur een formele melding met een eerste beoordeling van de ernst en de gevolgen;
- uiterlijk binnen één maand een eindrapport met onder meer een beschrijving van het incident, de vermoedelijke oorzaak, de genomen maatregelen en eventuele grensoverschrijdende gevolgen.
Deze termijnen maken het noodzakelijk om vooraf duidelijke procedures in te richten. De organisatie moet weten wanneer sprake is van een meldingsplichtig incident, wie bevoegd is te melden, welke informatie beschikbaar moet zijn, wie de coordinatie doet en hoe bestuur en toezichthouder worden geïnformeerd.
Een organisatie die pas tijdens een incident een meldproces probeert op te zetten, loopt een aanzienlijk risico dat zij niet tijdig of niet volledig kan rapporteren.
Bestuurlijke verantwoordelijkheid
Een belangrijk onderdeel van NIS2 is dat de verantwoordelijkheid voor cyberrisicobeheersing expliciet bij het bestuur wordt gelegd. Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering daarvan, de cyberrisico’s van de organisatie kunnen beoordelen, en zelf voldoende training volgen.
Cybersecurity kan daarmee niet langer worden gezien als een verantwoordelijkheid van uitsluitend de IT-afdeling. Het is een bestuurlijk onderwerp dat deel moet uitmaken van de reguliere besluitvorming en risicobeheersing.
De richtlijn benoemt bovendien expliciet de persoonlijke aansprakelijkheid van leden van het senior management wanneer de organisatie haar verplichtingen niet naleeft. Leg de bestuurlijke betrokkenheid daarom vast, bijvoorbeeld met documentatie van gevolgde trainingen, bestuursbesluiten, goedgekeurd beleid, risicoanalyses, rapportages en het toezicht op de uitvoering.
De Nederlandse implementatie
De Nederlandse implementatie van NIS2 heeft aanzienlijke vertraging opgelopen. De omzettingstermijn van 17 oktober 2024 is niet gehaald.
Op 8 juli 2026 besloot de Europese Commissie Nederland, samen met Ierland, Spanje en Frankrijk, voor het Hof van Justitie van de Europese Unie te dagen omdat deze lidstaten geen omzettingsmaatregelen hadden gemeld. Nederland behoorde daarmee tot de vier achterblijvers van de Europese Unie.
De timing is opvallend. Een dag eerder, op 7 juli 2026, had de Eerste Kamer ingestemd met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Of het feit dat de wet is aangenomen voordat de verwijzing werd verstuurd gevolgen heeft voor de uitkomst van de procedure, staat nog niet vast; dat oordeel is aan het Hof.
Beide wetten treden op 15 augustus 2026 in werking. De Cyberbeveiligingswet implementeert de NIS2-richtlijn; de Wet weerbaarheid kritieke entiteiten implementeert de Europese CER-richtlijn, gericht op de weerbaarheid van kritieke infrastructuur. Organisaties die onder die laatste wet vallen, worden vanaf 15 augustus 2026 formeel aangewezen als kritieke entiteit.
Met de inwerkingtreding vervalt de huidige Wet beveiliging netwerk- en informatiesystemen, ook wel de Wbni genoemd. Voor organisaties die daar al onder vielen betekent dit verzwaarde verplichtingen; voor organisaties die voor het eerst binnen het bereik komen, een geheel nieuw regime.
Registratie bij het NCSC
Een belangrijke nieuwe verplichting is de registratie bij het Nationaal Cyber Security Centrum. Essentiële en belangrijke entiteiten moeten worden opgenomen in het nationale entiteitenregister. Die registratie is per 15 augustus 2026 verplicht en verloopt via het portaal MijnNCSC, met eHerkenning voor reguliere organisaties en met SSOnRijk voor overheidsorganisaties. Wijzigingen in de geregistreerde gegevens moeten binnen veertien dagen worden doorgegeven.
Registratie is niet alleen een administratieve verplichting. Na registratie kunnen organisaties aansluiten op de dienstverlening van hun CSIRT, waar zij producten en diensten krijgen om hun weerbaarheid te vergroten en ondersteuning bij een incident.
Bereid de registratie daarom tijdig voor, zodat niet pas na de inwerkingtreding met de uitvoering wordt begonnen.
Toezicht en handhaving
De Cyberbeveiligingswet voorziet in een gedifferentieerd toezichtregime. Essentiële entiteiten staan onder proactief toezicht: de toezichthouder kan doorlopend en uit eigen beweging controleren, zonder dat een concreet incident of signaal nodig is.
Belangrijke entiteiten staan onder reactief toezicht, waarbij de toezichthouder in beginsel in actie komt naar aanleiding van een incident, een klacht of een ander concreet signaal.
Het toezicht is verdeeld over meerdere instanties. De Rijksinspectie Digitale Infrastructuur houdt vanaf 15 augustus 2026 toezicht op organisaties uit negen sectoren; voor andere sectoren zijn andere toezichthouders aangewezen.
Stel daarom vast welke toezichthouder voor uw organisatie bevoegd is.
Het handhavingsinstrumentarium is breed en omvat onder meer:
- een beveiligingsscan of beveiligingsaudit;
- een bindende aanwijzing;
- een last onder bestuursdwang of een last onder dwangsom;
- openbaarmaking van een overtreding;
- een bestuurlijke boete;
- bij essentiële entiteiten: schorsing van een certificering, een vergunning of een bestuurslid.
Voor essentiële entiteiten bedraagt de maximale boete ten minste 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, waarbij het hoogste bedrag als uitgangspunt geldt.
Voor belangrijke entiteiten geldt ten minste 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, eveneens met het hoogste bedrag als uitgangspunt.
De uiteindelijke hoogte hangt af van de omstandigheden van het geval, waaronder de aard, ernst en duur van de overtreding, de mate van verwijtbaarheid en de getroffen maatregelen.
Wat kan uw organisatie nu al doen?
- Voer een zelfevaluatie uit. Beoordeel of de organisatie actief is in een aangewezen sector en of zij voldoet aan de omvangdrempel.
- Bepaal de juiste categorie. Stel vast of de organisatie kwalificeert als essentiële of belangrijke entiteit, en welke toezichthouder bevoegd is.
- Bereid de registratie voor. Verzamel de gegevens die nodig zijn voor registratie bij het NCSC via MijnNCSC.
- Toets de zorgplichtmaatregelen. Beoordeel de bestaande maatregelen op risicoanalyse, incidentrespons, bedrijfscontinuïteit, ketenbeveiliging, cyberhygiëne, kwetsbaarheden, multifactorauthenticatie en cryptografie.
- Richt het meldproces in. Leg vast wie beoordeelt of een incident meldingsplichtig is, wie meldt en hoe de termijnen van 24 uur, 72 uur en een maand worden gehaald.
- Betrek het bestuur aantoonbaar. Leg vast welke besluiten het bestuur heeft genomen, welke trainingen zijn gevolgd en hoe het toezicht op de uitvoering wordt uitgeoefend.
- Neem de keten mee. Een groot deel van de kwetsbaarheden ontstaat niet binnen de organisatie zelf, maar bij leveranciers en dienstverleners. Toets uw contracten op beveiligingsafspraken, meldverplichtingen en auditrechten.
Tot slot
De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten vormen een aanzienlijke verzwaring van de verplichtingen op het gebied van cyberbeveiliging. Een breder toepassingsgebied, concrete zorgplichtmaatregelen, strakke meldtermijnen, persoonlijke verantwoordelijkheid van bestuurders en fors handhavingsinstrumentarium maken dat organisaties dit onderwerp niet kunnen laten liggen. Met de inwerkingtreding op 15 augustus 2026 is de voorbereidingstijd kort.
Law and More begeleidt ondernemingen, bestuurders en compliance officers bij het bepalen van hun positie onder NIS2 en de Cyberbeveiligingswet, het opzetten en toetsen van de zorgplichtmaatregelen, de voorbereiding van de registratie bij het NCSC en de juridische inbedding van cyberbeveiligingsbeleid.
Wilt u laten beoordelen of en in welke hoedanigheid uw organisatie onder de nieuwe regels valt? Neem gerust contact op voor een vrijblijvend gesprek.
Veelgestelde vragen
Hieronder beantwoorden wij de vragen die ons over dit onderwerp het vaakst worden gesteld.
Wanneer treedt de Cyberbeveiligingswet in werking?
Op 15 augustus 2026. De Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Met de inwerkingtreding vervalt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni).
Valt mijn organisatie onder NIS2?
Dat hangt af van uw sector en uw omvang. NIS2 geldt voor achttien aangewezen sectoren, en binnen die sectoren als hoofdregel voor organisaties met ten minste 50 werknemers of een jaaromzet dan wel balanstotaal van meer dan 10 miljoen euro. Bepaalde partijen vallen er ongeacht hun omvang onder.
Krijg ik bericht als mijn organisatie onder de wet valt?
Nee. Organisaties zijn zelf verantwoordelijk om te toetsen of zij onder de Cyberbeveiligingswet vallen. Wie afwacht, loopt het risico dat verplichtingen al gelden voordat de beoordeling is gemaakt.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?
Het bepaalt de intensiteit van het toezicht en de hoogte van de mogelijke boete. Essentiële entiteiten staan onder proactief toezicht, waarbij de toezichthouder uit eigen beweging kan controleren. Belangrijke entiteiten staan onder reactief toezicht, naar aanleiding van een incident, klacht of ander signaal.
Wat houdt de zorgplicht in?
Het nemen van passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor uw netwerk- en informatiesystemen te beheersen, op onderwerpen als risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, cyberhygiëne, kwetsbaarheden, multifactorauthenticatie en cryptografie. U moet kunnen onderbouwen waarom de gekozen maatregelen passend zijn.
Welke meldtermijnen gelden bij een incident?
Binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een formele melding met een eerste beoordeling van ernst en gevolgen, en uiterlijk binnen een maand een eindrapport. Richt het meldproces daarom vooraf in.
Moet mijn organisatie zich registreren?
Ja. Registratie in het nationale entiteitenregister is per 15 augustus 2026 verplicht en verloopt via MijnNCSC, met eHerkenning of voor overheidsorganisaties met SSOnRijk. Wijzigingen moeten binnen veertien dagen worden doorgegeven. Na registratie kunt u aansluiten op de dienstverlening van uw CSIRT.
Welke verantwoordelijkheid heeft het bestuur?
Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering, de cyberrisico’s kunnen beoordelen en zelf training volgen. De richtlijn benoemt de persoonlijke aansprakelijkheid van het senior management bij niet-naleving, dus leg besluiten, trainingen en toezicht aantoonbaar vast.
Hoe hoog zijn de boetes?
Voor essentiële entiteiten ten minste 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten ten minste 7 miljoen euro of 1,4%, telkens met het hoogste bedrag als uitgangspunt. De uiteindelijke hoogte hangt af van onder meer de aard, ernst en duur van de overtreding en de mate van verwijtbaarheid.
Wie houdt toezicht?
Dat verschilt per sector. De Rijksinspectie Digitale Infrastructuur houdt vanaf 15 augustus 2026 toezicht op organisaties uit negen sectoren; voor andere sectoren zijn andere toezichthouders aangewezen. Stel dus vast welke toezichthouder voor uw organisatie bevoegd is.
Waarom is Nederland voor het Hof van Justitie gedaagd?
Wegens te late omzetting van NIS2. Op 8 juli 2026 besloot de Europese Commissie Nederland, samen met Ierland, Spanje en Frankrijk, te verwijzen naar het Hof van Justitie omdat geen omzettingsmaatregelen waren gemeld. Dat de Cyberbeveiligingswet een dag eerder was aangenomen, neemt de procedure niet zonder meer weg.
Geldt dit ook voor mijn leveranciers?
Beveiliging van de toeleveringsketen is een van de zorgplichtonderwerpen. Een groot deel van de kwetsbaarheden ontstaat bij leveranciers en dienstverleners. Toets uw contracten daarom op beveiligingsafspraken, meldverplichtingen en auditrechten.
