NIS2: Nieuwe wet voor cyberbeveiliging & kritieke entiteiten

De Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) naderen hun definitieve vorm. Op 2 december zijn de wetsvoorstellen voor advies naar de Raad van State gestuurd, waarin de consultatiereacties, waaronder die van Cyberveilig Nederland, zijn verwerkt. Dit markeert een belangrijke stap richting de formele invoering in het derde kwartaal van 2025.

Deze wetgeving is cruciaal, omdat de Cyberbeveiligingswet de Nederlandse implementatie is van de NIS2-richtlijn. Waar NIS2 een Europese norm is, vertaalt de Cyberbeveiligingswet deze vereisten naar de concrete verplichtingen voor Nederlandse bedrijven en organisaties. Dit betekent dat afwachten geen optie meer is - actie is nu vereist.

Tegelijkertijd is de internetconsultatie voor de Algemene Maatregel van Bestuur (AMvB), die drempelwaarden voor meldingsplichtige incidenten vastlegt, uitgesteld naar medio februari. Dit biedt organisaties kort extra de tijd om zich voor te bereiden op de precieze impact.

Wat verandert er met de Cyberbeveiligingswet?

Deze wetgeving brengt de grootste cybersecurityveranderingen in jaren. Dit zijn de kernpunten:

• Naleving van NIS2 wordt juridisch afdwingbaar: Bedrijven en organisaties in essentiële en belangrijke sectoren moeten voldoen aan striktere beveiligingseisen. Dit gaat verder dan alleen IT-beheer en raakt de gehele bedrijfsvoering.
• Bestuurdersaansprakelijkheid: Onder NIS2 kunnen bestuurders persoonlijk verantwoordelijk worden gesteld als cybersecuritymaatregelen niet op orde zijn. De Cyberbeveiligingswet zal dit nationaal afdwingen.
• Verplichte incidentmeldingen: Bedrijven moeten cybersecurity-incidenten binnen 24 uur melden bij toezichthouders. De exacte drempelwaarden worden vastgesteld in de aankomende AMvB.
• Leveranciers worden onderdeel van de ketenaansprakelijkheid: Organisaties moeten aantonen dat hun toeleveranciers en IT-dienstverleners aan cybersecuritynormen voldoen.

Met deze wetgeving wordt cybersecurity geen keuze meer, maar een verplichte, integraal verankerde bedrijfsfunctie.

Wat betekent dit voor uw organisatie?

De Cyberbeveiligingswet maakt cybersecurity onderdeel van wet- en regelgeving, met grote gevolgen voor bedrijven en instellingen. Wachten tot de wet in werking treedt, is risicovol. Dit moet u nu al regelen:

Wacht niet tot naleving een juridische verplichting wordt

Over TT3P