Het is definitief. Op 7 juli heeft de Eerste Kamer ingestemd met de Cyberbeveiligingswet. Dit is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet treedt op 15 augustus 2026 in werking. Vanaf dat moment gelden voor ruim 8000 Nederlandse organisaties wettelijke verplichtingen op het gebied van cyberbeveiliging. Tegelijk is de Wet weerbaarheid kritieke entiteiten aangenomen. Die stelt voor zo’n 500 organisaties in kritieke sectoren aanvullende eisen aan fysieke weerbaarheid.
Nederland is ruimschoots te laat. De Europese deadline verliep al in oktober 2024. Maar dat uitstel is nu voorbij en de overgangsperiode is kort: vijf weken tussen aanname en inwerkingtreding. In dit artikel zet ik op een rij wat de wet vraagt. Daarna behandel ik zes misverstanden die ik in de vakdiscussie steeds terug zie komen. Juist die misverstanden gaan organisaties de komende jaren geld en slaap kosten.
Wat de Cyberbeveiligingswet vraagt
De wet geldt voor organisaties in achttien sectoren die essentiële of belangrijke diensten leveren. Denk aan energie, drinkwater, zorg, digitale infrastructuur, vervoer en delen van de overheid. Belangrijk om te weten: je krijgt geen brief. Elke organisatie moet zelf toetsen of ze onder de wet valt.
De kernverplichtingen zijn:
Registratieplicht. Je organisatie moet zich registreren in het entiteitenregister bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl. Praktische valkuil: daarvoor heb je eHerkenning op het juiste niveau nodig. Dat heeft lang niet iedereen in huis. Regel het nu en niet op 14 augustus.
Zorgplicht. Je moet passende technische en organisatorische maatregelen nemen om de risico’s voor je netwerk- en informatiesystemen te beheersen. Passend betekent: onderbouwd vanuit een risicoanalyse. Niet vanuit een standaardlijstje.
Meldplicht. Significante incidenten moet je tijdig melden bij de bevoegde autoriteit. Voor de eerste melding gelden korte termijnen.
Bestuurdersverantwoordelijkheid. Dit is de grootste verandering. Het bestuur is zelf verantwoordelijk voor het beheersen van cyberrisico’s. Het moet de maatregelen goedkeuren en daarvoor aantoonbaar getraind zijn. Cybersecurity is daarmee wettelijk geen IT-onderwerp meer. Het is een bestuurszaak.
Ketenverantwoordelijkheid. Je bent ook verantwoordelijk voor de risico’s in je toeleveringsketen. Daarover hieronder meer. Hier gaat het in de praktijk vaak mis.
Het toezicht verschilt per categorie. Essentiële entiteiten krijgen proactief toezicht met inspecties. Belangrijke entiteiten krijgen reactief toezicht na incidenten of signalen. De zorgplicht en meldplicht zijn voor beide gelijk.
Zes misverstanden uit de praktijk
Sinds de aankondiging van NIS2 volg ik de discussie onder vakgenoten, bestuurders en IT-professionals. Daarin keren steeds dezelfde denkfouten terug. Ik loop de zes belangrijkste langs.
Misverstand 1: “Wij zijn ISO 27001 gecertificeerd, dus we zijn NIS2-compliant.”
Nee. De overlap is groot en een goed geïmplementeerd ISMS is de beste startpositie die je kunt hebben. Maar het certificaat zelf is geen compliance. De Cyberbeveiligingswet stelt eisen die buiten de norm liggen. Denk aan de registratieplicht, de specifieke meldtermijnen en de wettelijke bestuurdersverantwoordelijkheid inclusief trainingsplicht. Wie ISO 27001 volledig heeft geïmplementeerd, heeft aan de gap-analyse en het dichten van de gaten geen maanden werk. Maar die gap-analyse moet wel gebeuren. En het resultaat moet aantoonbaar zijn.
Misverstand 2: “We certificeren gewoon een klein stukje van de organisatie.”
Scope-shopping heet dat: de reikwijdte van je ISO-certificaat zo smal maken dat de audit makkelijk wordt. Commercieel prikken opdrachtgevers daar al doorheen. De scope staat gewoon op het certificaat. Voor de Cyberbeveiligingswet werkt het helemaal niet. De wet kijkt naar je dienstverlening en niet naar wat jij toevallig hebt laten certificeren. Een toezichthouder houdt zich bij een inspectie niet aan de grenzen van jouw certificaatscope.
Misverstand 3: “Het staat in de cloud, dus dat is de verantwoordelijkheid van de leverancier.”
Dit misverstand hoor ik het vaakst. Tot aan bestuurders van getroffen organisaties in de media toe. Uitbesteden van IT is niet uitbesteden van verantwoordelijkheid. De wet legt de ketenverantwoordelijkheid expliciet bij jou. Je moet de risico’s van je leveranciers en dienstverleners beoordelen en beheersen. Contractueel en aantoonbaar. Valt de dienstverlening van je cloudleverancier uit of wordt die gehackt? Dan is dat jouw incident, jouw meldplicht en jouw verantwoording richting toezichthouder. Wie zijn leveranciersmanagement als ITSM-proces heeft ingericht, heeft hier trouwens een voorsprong. De afspraken, evaluaties en rapportages liggen er dan al.
Misverstand 4: “Het is toch een papieren tijger, er is niet eens een certificeringsschema.”
Deze scepsis begrijp ik en hij is niet helemaal onterecht. Compliance op papier heeft nog nooit een aanval gestopt. Een verplicht NIS2-certificaat bestaat inderdaad niet. Maar de conclusie klopt niet. De wet vraagt niet om een certificaat maar om aantoonbaarheid: dat je maatregelen werken en dat je dat kunt bewijzen. Denk aan geteste back-ups, geoefende incident response, werkende multifactorauthenticatie en risicogebaseerd patchbeheer. Er staan tien bevoegde toezichthouders klaar die proactief en reactief gaan handhaven. Wie zijn beveiliging als papieren exercitie inricht, krijgt precies het probleem dat de sceptici voorspellen. Wie de aantoonbaarheid serieus neemt, houdt er een werkend managementsysteem aan over. Het verschil zit niet in de wet maar in de uitvoering.
Misverstand 5: “NIS2 gaat over IT.”
Voor veel organisaties in de industrie, energie en zorg is de operationele technologie minstens zo relevant als de kantoorautomatisering. Productielijnen, gebouwbeheer, medische apparatuur, procesinstallaties. OT is een ander vakgebied dan IT. Andere risico’s, en de gevolgen kunnen in de fysieke wereld terechtkomen. Een ISMS dat alleen naar de IT-omgeving kijkt, dekt het risicoprofiel van zo’n organisatie niet. Normen als IEC 62443 vullen ISO 27001 daar aan. De wet vraagt om beheersing van jouw risico’s. Liggen die in de fabriekshal? Dan hoort je aanpak daar ook te liggen.
Misverstand 6: “Dit wordt vooral duur en levert niets op.”
De kosten zijn reëel. Laat daar geen misverstand over bestaan. Maar kijk naar België, waar de wet al sinds eind 2024 van kracht is. Zodra bestuurders persoonlijk aanspreekbaar werden op cyberrisico’s, gingen organisaties in hoog tempo professionaliseren. Niet omdat de wet zo mooi geschreven is. Wel omdat de verantwoordelijkheid eindelijk ligt waar hij hoort. Dezelfde beweging gaat hier plaatsvinden. Wie de wet aangrijpt om zijn risicobeheersing echt op orde te brengen, haalt er ook daadwerkelijk weerbaarheid uit. Wie een dossier voor de inspecteur optuigt, heeft alleen de kosten.
Wat je nu moet doen
Vijf weken is kort. Maar het is genoeg om de basis te leggen. In volgorde van prioriteit:
Stel vast of je organisatie onder de wet valt. Direct of via de keten. Bereid je registratie bij het NCSC voor, inclusief de eHerkenning. Voer een eerste risicoanalyse uit en leg vast welke maatregelen je al hebt. Bespreek de uitkomsten met het bestuur en laat de risicoaanpak formeel vaststellen. Dat is vanaf 15 augustus hun wettelijke taak. Breng je leveranciers in kaart en beoordeel de belangrijkste ketenrisico’s. En regel de bestuurstraining. Aantoonbare kennis bij het bestuur is een expliciete eis.
Wie al een ISMS heeft, doet dit grotendeels binnen de bestaande structuur. Ook je serviceprocessen helpen hier. Incidentbeheer, wijzigingsbeheer en leveranciersmanagement zijn precies de plekken waar de wet om aantoonbare beheersing vraagt. Staan die processen, dan ontstaat het bewijs in het dagelijks werk.
Wie nog niets heeft, moet niet proberen om voor 15 augustus alles af te hebben. Dat lukt niet. Zorg wel dat je kunt laten zien dat je bent begonnen. Dat je weet waar je staat en een onderbouwd plan hebt. Een toezichthouder maakt onderscheid tussen een organisatie die serieus onderweg is en een organisatie die heeft afgewacht.
Tot slot
De Cyberbeveiligingswet verandert cybersecurity van een IT-aangelegenheid in een wettelijke bestuursverantwoordelijkheid. Met toezicht en handhaving. De grootste risico’s zitten niet in de wettekst maar in de misverstanden eromheen. Het gelijkstellen van een certificaat aan compliance. Het doorschuiven van verantwoordelijkheid naar de cloud. Het onderschatten van aantoonbaarheid en keten. Wie die valkuilen ontwijkt en de wet gebruikt als aanleiding om de risicobeheersing echt in te richten, is niet alleen compliant maar ook daadwerkelijk weerbaarder. En dat was uiteindelijk de bedoeling.
Ronald Everduim is zelfstandig ISO-consultant, CISO-adviseur en ITIL 4 Master. Hij heeft ruim twintig jaar ervaring in IT en IT-servicemanagement en is sinds 2015 gespecialiseerd in informatiebeveiliging. Hij begeleidt organisaties bij ISO 27001, NEN 7510 en de voorbereiding op NIS2 en de Cyberbeveiligingswet.