Cyberbeveiligingswet officieel ingediend bij Tweede Kamer

Het doel is om EU-lidstaten weerbaarder te maken tegen digitale dreigingen.

Als we het over software hebben, ligt de focus meestal op de voordelen. Toch proberen we ook met regelmaat stil te staan bij de keerzijde. AI en automatisering brengen talloze voordelen, maar ook risico’s met zich mee. 

Eerder besloot de overheid om de supply chains van Nederlandse bedrijven strenger te controleren, om te kijken of processen en systemen bestand zijn tegen externe dreigingen. Nu heeft het twee wetsvoorstellen ingediend, die tevens te maken hebben met de (cyber)weerbaarheid van het Nederlandse bedrijfsleven.

Wat houden de wetsvoorstellen concreet in?

Het is goed om te zien dat onze overheid het thema digitale weerbaarheid zo serieus neemt. Elk systeem, proces en bedrijf kent zwakke plekken die misbruikt kunnen worden. Daarom zijn er twee wetsvoorstellen opgesteld: de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Beide wetsvoorstellen zijn gebaseerd op Europese richtlijnen: de NIS2 (cyberbeveiliging) en de zogeheten CER-richtlijn (focust zich op de weerbaarheid van kritieke entiteiten). 

Cyberbeveiligingswet

Dit wetsvoorstel implementeert de NIS2-richtlijn, waarin maatregelen staan die het algemene niveau van cyberbeveiliging in de EU moeten bevorderen. Volgens het wetsvoorstel moeten belangrijke maatschappelijke en economische processen beter beschermd worden.

Dit houdt in dat bepaalde essentiële organisaties - vaak in specifieke sectoren als de zorg, transport, finance en energie - verplicht zijn om risico’s te beheersen en incidenten te voorkomen. Ze moeten kunnen aantonen en verantwoorden welke maatregelen ze nemen. Mocht er toch ooit iets voorvallen, dan zijn ze verplicht om dit aan de juiste instanties te melden.

Wet weerbaarheid kritieke entiteiten

Ook deze wet is gebaseerd op een bestaande EU-richtlijn: de zogeheten Richtlijn (EU) 2022/2557, beter bekend als de CER-richtlijn. Het gaat hier dus ook om de implementatie van een EU-richtlijn in ons eigen land. 

En eigenlijk zijn er weinig grote verschillen tussen deze richtlijn en de NIS2. Ze strijden namelijk allebei voor hetzelfde doel: het vergroten van de weerbaarheid van bedrijven, met name voor degenen die essentiële diensten leveren. Zij zijn verplicht maatregelen te nemen om hun (digitale) weerbaarheid te vergroten, en moeten tevens kunnen aantonen welke inspanningen zij leveren om dit voor elkaar te krijgen. Zo waarborgen ze namelijk de fysieke en digitale continuïteit van hun - voor ons land cruciale - inspanningen. 

Welke organisaties vallen onder de nieuwe regelgeving?

De wet richt zich op specifieke sectoren. Concreet hebben we het dan over de sectoren energie, transport, infrastructuur, financiële markt, bankwezen, gezondheidszorg, digitale infrastructuur, drinkwater, beheerders van ICT-diensten, afvalwater, ruimtevaart en overheidsdiensten. Niet iedere organisatie binnen deze sector zal overigens onder de nieuwe regelgeving vallen. Daarvoor moet de organisatie aan bepaalde voorwaarden voldoen, zoals een minimaal aantal medewerkers.

Bepaalde ondernemingen vallen overigens, ongeacht het formaat, altijd onder de regelgeving. Bijvoorbeeld aanbieders van openbare elektronische communicatiediensten.

Wat betekent dat voor degenen die hier niet onder vallen?

De nieuwe regels zullen niet voor iedereen directe gevolgen hebben. Maar dat wil niet zeggen dat het onderwerp je niet zou moeten raken. Cyberveiligheid en digitale weerbaarheid zijn thema’s die voor elk bedrijf van groot belang zijn. Het maakt kwaadwillenden namelijk niet uit wie je bent; iedereen kan slachtoffer worden van cybercrime. 

Laat je inspireren door deze regelgeving om je eigen cybersecurity - samen met je ERP-leverancier - onder de loep te nemen. Hebben jullie de zaken goed op een rijtje, en weet je wat er te doen staat als je het doelwit bent geworden van een cyberaanval? En welke maatregelen neemt je softwareleverancier, mochten zij ooit getroffen worden?

De agenda

Het was in eerste instantie het plan om de wetsvoorstellen in het derde kwartaal van 2025 van start te laten gaan. Deze startdatum is, mede door de recente politieke ontwikkelingen en de val van het kabinet, doorgeschoven naar het tweede kwartaal van 2026. Deze datum staat overigens nog niet vast, maar je kunt niet vroeg genoeg beginnen met de voorbereidingen.

Bron

Rijksinspectie Digitale Infrastructuur (RDI): ‘Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten ingediend bij de Tweede Kamer’ - 18 juni 2025