De Nederlandse Cyberbeveiligingswet: zo wordt NIS2 in Nederland recht

Kort antwoord: De Cyberbeveiligingswet (Cbw) is de Nederlandse omzetting van de Europese NIS2-richtlijn. De wet is nog in behandeling en treedt naar verwachting later in werking dan de EU-deadline van 17 oktober 2024 — eerder is rond 1 juli 2026 genoemd, maar dat is geen vaststaand feit.

Waar de wet vandaan komt

De Cyberbeveiligingswet vloeit voort uit Richtlijn (EU) 2022/2555, beter bekend als NIS2. Die richtlijn verplicht alle EU-lidstaten om strengere eisen voor digitale weerbaarheid in nationale wetgeving op te nemen. De formele omzettingsdeadline was 17 oktober 2024, maar Nederland heeft die niet gehaald.

De Cbw is op het moment van schrijven nog in behandeling. De inwerkingtreding wordt later verwacht; in de berichtgeving is rond 1 juli 2026 genoemd. Behandel dit als verwachting, niet als zekerheid — de definitieve datum volgt uit het wetstraject.

Wat de wet van je vraagt

De Cbw legt organisaties enkele kernverplichtingen op:

• Zorgplicht: je neemt passende technische en organisatorische maatregelen om je netwerk- en informatiesystemen te beschermen, op basis van een risicobeoordeling.
• Meldplicht: een significant incident meld je in fasen. Een eerste melding doe je binnen 24 uur, gevolgd door een uitgebreidere melding binnen 72 uur.
• Registratieplicht: organisaties die onder de wet vallen, registreren zich bij de bevoegde instantie.
• Bestuursaansprakelijkheid: het bestuur is verantwoordelijk voor naleving en kan daarop worden aangesproken.

Het toezicht ligt bij sectorale toezichthouders en bij de Rijksinspectie Digitale Infrastructuur (RDI).

Wie valt eronder

NIS2 onderscheidt essentiële en belangrijke entiteiten. Het onderscheid bepaalt vooral de zwaarte van het toezicht, niet de inhoud van de zorgplicht. Transport is aangewezen als essentiële sector — dat omvat onder meer weg-, spoor-, lucht- en watervervoer. Veel logistieke dienstverleners vallen daardoor binnen het bereik, afhankelijk van omvang en activiteiten.

Wat je nu al kunt doen

Wacht niet op de inwerkingtreding. Breng in kaart of je organisatie als essentieel of belangrijk kwalificeert, voer een risicobeoordeling uit en richt een incidentmeldproces in dat de termijnen van 24 en 72 uur aankan. Zorg dat het bestuur betrokken is, want de aansprakelijkheid ligt daar.

Lees ook het overzicht Transport & Logistiek. Doe de scan.