De Tweede Kamer heeft ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Daarmee zet Nederland een belangrijke stap in de implementatie van de Europese NIS2-richtlijn en de versterking van de digitale en fysieke weerbaarheid van organisaties.
Met de Cyberbeveiligingswet wordt de Europese NIS2-richtlijn vertaald naar nationale wetgeving. Deze wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en introduceert voor duizenden organisaties nieuwe verplichtingen op het gebied van cybersecurity. Bedrijven en instellingen moeten onder meer voldoen aan een zorgplicht, meldplicht en registratieplicht. Daarmee wordt cybersecurity nadrukkelijk een bestuurlijke verantwoordelijkheid.
Minister Van Weel benadrukte bij de behandeling dat cyberdreigingen geen toekomstscenario meer zijn, maar dagelijkse realiteit. De nieuwe wetgeving moet ervoor zorgen dat organisaties beter voorbereid zijn en sneller kunnen handelen bij incidenten.
De invoering van de NIS2-richtlijn in Nederland kent een aanzienlijke vertraging. De oorspronkelijke deadline voor implementatie in nationale wetgeving lag al in oktober 2024. Slechts enkele landen, waaronder België en Kroatië, wisten deze termijn te halen.
Volgens het ministerie van Justitie en Veiligheid is de complexiteit van de richtlijn onderschat. De vertaalslag naar nationale wetgeving blijkt omvangrijk, mede door de brede reikwijdte en de impact op verschillende sectoren. Nederland kiest daarbij nadrukkelijk voor een zorgvuldige implementatie, wat de doorlooptijd heeft verlengd.
De impact van de Cyberbeveiligingswet is groot. Naar verwachting vallen straks circa 8.000 organisaties onder het toezicht, een forse uitbreiding ten opzichte van de huidige situatie. Organisaties moeten zelf nagaan of zij onder de wet vallen en worden opgeroepen om niet te wachten met maatregelen.
De overheid adviseert om nu al te investeren in het versterken van de beveiliging van netwerk- en informatiesystemen. Niet alleen om te voldoen aan toekomstige wetgeving, maar ook omdat de risico’s op cyberincidenten nu al aanwezig zijn.
Parallel aan de Cyberbeveiligingswet is ook de Wet weerbaarheid kritieke entiteiten aangenomen. Deze wet is gebaseerd op de Europese CER-richtlijn en richt zich op de bescherming van vitale infrastructuur en essentiële diensten tegen uiteenlopende dreigingen, variërend van cyberaanvallen tot fysieke verstoringen.
In tegenstelling tot de Cyberbeveiligingswet bepaalt de overheid welke organisaties onder deze wet vallen. Hiermee wordt gericht gestuurd op de bescherming van cruciale sectoren.
Tijdens de behandeling is ook een motie aangenomen om te komen tot één centraal meldloket voor incidenten. Dit moet voorkomen dat organisaties te maken krijgen met versnipperde meldstructuren als gevolg van de nieuwe meldplicht.
De komende periode staan verdere uitwerking en besluitvorming centraal. De wetsvoorstellen gaan nu naar de Eerste Kamer. De ambitie is om de Cyberbeveiligingswet en de bijbehorende regelgeving in het tweede kwartaal van 2026 in werking te laten treden, mogelijk nog vóór 1 juli.
Met de aanname van de Cyberbeveiligingswet komt de implementatie van NIS2 in Nederland in een beslissende fase. Voor organisaties betekent dit dat cybersecurity niet langer vrijblijvend is, maar een integraal onderdeel wordt van risicomanagement en bedrijfsvoering.
De boodschap is duidelijk: wachten is geen optie meer. Organisaties die nu stappen zetten, zijn niet alleen beter voorbereid op de nieuwe wetgeving, maar versterken ook hun positie in een digitale samenleving waarin weerbaarheid steeds bepalender wordt.