Cyberbeveiligingswet gaat 15 augustus in: achtduizend organisaties krijgen een registratie-, zorg- en meldplicht

Twee wetten die op dezelfde dag van kracht worden

Op 15 augustus treden in Nederland twee wetten tegelijk in werking die samen de basis leggen onder de digitale en fysieke weerbaarheid van vitale organisaties. De Cyberbeveiligingswet vertaalt de Europese NIS2-richtlijn naar Nederlands recht. De Wet weerbaarheid kritieke entiteiten doet hetzelfde voor de Europese richtlijn over de weerbaarheid van kritieke entiteiten.

De twee wetten overlappen deels, maar hebben een verschillende invalshoek. De Cyberbeveiligingswet richt zich op de beveiliging van netwerk- en informatiesystemen en raakt ongeveer achtduizend organisaties. De Wet weerbaarheid kritieke entiteiten kijkt breder naar continuiteit en fysieke verstoring, en geldt voor een veel kleinere groep van ongeveer vijfhonderd organisaties.

Van ongeveer duizend naar zo een achtduizend organisaties

De grootste verandering zit in het bereik. De oude wet, de Wet beveiliging netwerk- en informatiesystemen, gold voor een beperkte groep aanbieders van vitale diensten en raakte in de praktijk ongeveer duizend organisaties. De nieuwe wet strekt zich uit over achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, zorg, overheid en transport.

Daarmee komen duizenden organisaties voor het eerst onder direct cybertoezicht te staan die zichzelf tot nu toe niet als vitaal beschouwden. Voor een middelgroot ziekenhuis, een regionale netbeheerder of een gemeentelijke uitvoeringsorganisatie is dat een wezenlijk andere situatie dan een vrijblijvende richtlijn.

Registreren bij het NCSC is de eerste stap

De concreetste verplichting is ook de eerste. Organisaties die onder de wet vallen moeten zich vanaf 15 augustus registreren in het entiteitenregister van het Nationaal Cyber Security Centrum. Dat gaat via de omgeving van het NCSC, waarbij organisaties inloggen met eHerkenning of via single sign-on.

Die registratie is geen administratieve formaliteit. Na inschrijving kan een organisatie zich aansluiten bij het voor haar sector aangewezen responseteam, het CSIRT, en gebruikmaken van producten, diensten en ondersteuning bij incidenten. Wie zich niet meldt, staat er bij een incident alleen voor.

Zorgplicht, meldplicht en het informeren van klanten

De zorgplicht verplicht organisaties om technische, organisatorische en fysieke maatregelen te nemen die de risico's voor hun netwerk- en informatiesystemen beheersen. Het gaat daarbij niet alleen om het voorkomen van incidenten, maar ook om het beperken van de gevolgen als het toch misgaat.

Daarnaast geldt een meldplicht voor significante incidenten. Die moeten binnen de wettelijke termijn worden gemeld bij het CSIRT en bij de bevoegde toezichthouder, waarbij een eerste melding binnen 24 uur na constatering moet plaatsvinden. Bij incidenten die klanten raken, moeten organisaties die klanten daar bovendien zelf over informeren.

De bestuurskamer wordt aansprakelijk gemaakt

Een van de opvallendste elementen is dat de wet de verantwoordelijkheid nadrukkelijk bij het bestuur legt. Niet de IT-afdeling maar het bestuur is eindverantwoordelijk voor het beheersen van cyberrisico's, en bestuurders zijn verplicht zich op dit terrein te laten scholen.

Dat is een bewuste keuze van de Europese wetgever, die zag dat cyberveiligheid in veel organisaties bleef steken op het niveau van een technisch budgetpost. Door de verantwoordelijkheid naar boven te verplaatsen ontstaat er een prikkel die in een jaarlijkse begrotingsronde moeilijker weg te schuiven is.

Het toezicht is over meerdere instanties verdeeld

Wie toezicht houdt, hangt af van de sector waarin een organisatie actief is. Er is niet een centrale toezichthouder, maar een stelsel waarin sectorale toezichthouders elk hun eigen deel voor hun rekening nemen, met voor digitale infrastructuur een rol voor de Rijksinspectie Digitale Infrastructuur.

Daarbinnen wordt onderscheid gemaakt tussen essentiele en belangrijke organisaties. Bij de eerste groep, met onder meer energie, digitale infrastructuur en ICT-dienstverlening, houdt de toezichthouder proactief toezicht met eigen inspecties. Bij de tweede groep grijpt de toezichthouder in beginsel pas in nadat er iets is misgegaan.

Bijna twee jaar later dan de Europese afspraak

Nederland is met deze invoering laat. De NIS2-richtlijn had uiterlijk in oktober 2024 in nationale wetgeving omgezet moeten zijn. Dat het bijna twee jaar langer duurde, betekent dat organisaties lang in onzekerheid verkeerden over wat er precies van hen verwacht zou worden.

Die vertraging heeft een dubbel effect. Organisaties die de tijd gebruikt hebben om zich voor te bereiden staan er goed voor, maar veel andere hebben juist afgewacht tot het definitieve wettelijke kader er lag. Voor die laatste groep is de periode tot 15 augustus kort, zeker omdat de zorgplicht niet in een paar weken is in te richten.

De kritiek richt zich op het ontbreken van het hoe

Deskundigen wijzen op drie zwakke plekken. De wet schrijft vooral voor wat een organisatie moet bereiken en veel minder hoe dat concreet moet gebeuren, waardoor organisaties zelf moeten bepalen wanneer hun maatregelen voldoende zijn. Ook de criteria voor de beveiliging van de toeleveringsketen blijven vaag, terwijl juist daar veel incidenten beginnen.

De derde kritiek betreft het toezichtmodel zelf, dat door de verdeling over sectoren als onnodig complex wordt gezien. Een organisatie die in meerdere sectoren actief is, kan met verschillende toezichthouders en verschillende interpretaties te maken krijgen. Hoe streng er in de eerste periode gehandhaafd wordt, is nog een open vraag.