Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, waarmee Nederland de Europese NIS2-richtlijn omzet in nationaal recht.
De omzettingstermijn van de NIS2-richtlijn liep al op 17 oktober 2024 af, maar Nederland haalde die datum niet. Bijna twee jaar lang zaten decentrale overheden daardoor in een lastig parket. De richtlijn wees hen wel aan als essentiële entiteit, maar de Nederlandse wet die de verplichtingen concreet maakte, ontbrak nog. Organisaties wisten niet precies welke maatregelen ze moesten nemen of bij wie ze incidenten moesten melden. Die onduidelijkheid is nu verdwenen, stelt het Kenniscentrum Europa Decentraal: de wet legt vast wat verplicht is en de toezichthouder kan handhaven.
Drie verplichtingen staan centraal
Nederland merkt gemeenten, provincies en waterschappen aan als essentiële entiteit, ongeacht hun omvang. Daaruit volgen drie directe verplichtingen.
- Registratieplicht: registratie in het entiteitenregister van het Nationaal Cyber Security Centrum.
- Zorgplicht: passende maatregelen nemen voor risicobeheer, back-ups, de toeleveringsketen en toegangsbeveiliging.
- Meldplicht: significante incidenten binnen 24 uur melden, met een volledige melding binnen 72 uur en een eindverslag binnen een maand.
Het toezicht ligt bij de Rijksinspectie Digitale Infrastructuur voor gemeenten en provincies, en bij de Inspectie Leefomgeving en Transport voor waterschappen. Het bestuur draagt de verantwoordelijkheid voor naleving.
Rechtszaak verandert niets aan de opgave
De Commissie verwees Nederland, samen met Ierland, Spanje en Frankrijk, in juli naar het Hof van Justitie vanwege de te late omzetting van de richtlijn. Dat is de laatste stap in een inbreukprocedure, na een ingebrekestelling en een met redenen omkleed advies. De Commissie nam dit besluit in dezelfde week waarin Nederland de inwerkingtreding van de Cyberbeveiligingswet bekendmaakte. Een eventuele financiële sanctie treft overigens de Staat, niet individuele organisaties.
Geef een reactie