De timing kon niet pijnlijker. Op 7 juli nam de Eerste Kamer de Cyberbeveiligingswet aan. Eén dag later maakte de Europese Commissie bekend dat ze Nederland voor het Hof van Justitie van de EU daagt. De reden: het niet op tijd omzetten van de NIS2-richtlijn in nationale wetgeving. De Commissie vraagt het Hof om financiële sancties. Een boete plus een dwangsom per dag totdat Nederland formeel voldoet.
Nederland is 21 maanden te laat. De deadline voor omzetting was 17 oktober 2024. We staan in de Europese achterhoede, samen met Frankrijk, Spanje en Ierland. Van alle 27 lidstaten had alleen België de richtlijn volledig op tijd omgezet.
Je kunt hier schamper over doen. Dat gebeurt in het vakgebied dan ook volop. Maar ik vind het interessanter om de spiegel om te draaien. Want wat de Nederlandse overheid hier overkomt, is precies wat veel organisaties de komende jaren zelf gaat overkomen. Alleen dan met een andere toezichthouder aan de deur.
Hoe het zo ver kwam
De NIS2-richtlijn is niet uit de lucht komen vallen. Hij is in januari 2023 in werking getreden. De omzettingsdeadline stond bijna twee jaar van tevoren vast. Toch verliep die deadline zonder Nederlandse wet.
Daarna volgde het bekende patroon. In november 2024 stuurde de Commissie een formele ingebrekestelling. In mei 2025 volgden dringende adviezen. Nederland bleef in het wetgevingstraject hangen. En nu, in juli 2026, is de zaak bij het Hof beland. Terwijl de Cyberbeveiligingswet nota bene al was aangenomen.
Herken je het patroon? Deadline bekend. Ruim de tijd. Andere prioriteiten. Eerste waarschuwing genegeerd. Tweede waarschuwing genegeerd. En dan opeens handhaving, op het moment dat je net dacht dat je er bijna was. Dit is exact hoe het bij organisaties gaat die compliance voor zich uit schuiven. De overheid is hierin geen uitzondering. Ze is het schoolvoorbeeld.
Komt Nederland ermee weg?
Waarschijnlijk grotendeels wel. De praktijk bij dit soort inbreukprocedures is dat lidstaten de wetgeving alsnog invoeren terwijl de zaak loopt. De Commissie trekt de zaak dan vaak in voordat het Hof uitspraak doet. De Cyberbeveiligingswet treedt op 15 augustus in werking. Grote kans dat de angel er dan snel uit is.
Maar let op wat hier gebeurt. Niet de goede bedoelingen telden. Niet het feit dat er hard aan werd gewerkt. Wat telt is het formele moment waarop je aantoonbaar voldoet. Tot die tijd loopt de procedure gewoon door en tikt de potentiële dwangsom.
Dat is een les die je één op één kunt vertalen naar je eigen organisatie.
Drie lessen voor je eigen organisatie
Les 1: de deadline was nooit het probleem. De start was het probleem.
Nederland had bijna twee jaar. Dat bleek niet genoeg, omdat het traject te laat op stoom kwam. Organisaties maken dezelfde fout. Ze rekenen terug vanaf de deadline en concluderen dat er nog tijd is. Maar een risicoanalyse, een leveranciersinventarisatie en een werkend meldproces bouw je niet in de laatste weken. Wie pas beweegt als de deadline zichtbaar wordt, is per definitie te laat begonnen.
Les 2: onderweg zijn is niet hetzelfde als voldoen. Maar het scheelt wel.
De formele toets is hard: voldoe je of voldoe je niet. Toch is er een verschil tussen een partij die aantoonbaar bezig is en een partij die heeft stilgezeten. Dat zie je in de Europese procedure en dat ga je ook zien bij het toezicht op de Cyberbeveiligingswet. Een toezichthouder die op 16 augustus langskomt, verwacht geen perfectie. Wel een organisatie die weet waar ze staat, een onderbouwd plan heeft en kan laten zien wat er al loopt. Documenteer je voortgang. Het is je beste verdediging in de periode dat je er nog niet bent.
Les 3: verantwoordelijkheid verschuift niet door te wijzen.
Er valt genoeg af te dingen op het Nederlandse wetstraject. Organisaties die straks onder de wet vallen, hebben daardoor korter de tijd gehad om zich op de definitieve tekst voor te bereiden. Dat is een terecht verwijt. Maar het verandert niets aan je eigen verplichting. De richtlijn en haar eisen zijn al sinds 2023 bekend. Wie heeft gewacht op Den Haag, heeft zijn eigen voorbereiding aan een ander opgehangen. Dat is precies de houding die de wet bij besturen wil doorbreken: cyberrisico’s zijn je eigen verantwoordelijkheid en die kun je niet uitbesteden. Niet aan een leverancier en ook niet aan een trage wetgever.
Wat dit betekent voor de komende maanden
De inwerkingtreding op 15 augustus staat vast. De toezichthouders staan klaar. En Nederland heeft er nu zelf ervaring mee hoe het voelt als een toezichthouder de formele weg bewandelt terwijl je bijna klaar bent.
Mijn advies is hetzelfde als bij de aanname van de wet: begin nu, werk planmatig en maak je voortgang aantoonbaar. Stel vast of je onder de wet valt. Bereid je registratie bij het NCSC voor. Voer je risicoanalyse uit en leg de besluitvorming bij het bestuur. Niet omdat er over vijf weken een inspecteur op de stoep staat. Wel omdat aantoonbaar onderweg zijn het verschil maakt tussen een gesprek en een sanctie.
De overheid kreeg 21 maanden respijt en alsnog een rechtszaak. Reken er niet op dat jouw organisatie meer coulance krijgt.
Ronald Everduim is zelfstandig ISO-consultant, CISO-adviseur en ITIL 4 Master. Hij heeft ruim twintig jaar ervaring in IT en IT-servicemanagement en is sinds 2015 gespecialiseerd in informatiebeveiliging. Hij begeleidt organisaties bij ISO 27001, NEN 7510 en de voorbereiding op de Cyberbeveiligingswet.