Bijna twee jaar later dan de bedoeling was, maar hij is er: op 7 juli 2026 nam de Eerste Kamer de Cyberbeveiligingswet aan, en op 15 augustus 2026 treedt hij in werking. Daarmee is NIS2 in Nederland geen richtlijn meer waar je je op voorbereidt, maar een wet waar je aan voldoet. Voor ruim 8.000 organisaties wordt cyberbeveiliging een wettelijke plicht, met een toezichthouder, meldtermijnen en boetes.
#Van Europese richtlijn naar Nederlandse wet
NIS2 is de Europese richtlijn die de eisen aan cyberbeveiliging fors ophoogt ten opzichte van haar voorganger. Omdat een richtlijn pas werkt via nationale wetgeving, moest Nederland haar omzetten. Dat had uiterlijk 17 oktober 2024 moeten gebeuren; het werd augustus 2026. De Cyberbeveiligingswet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en kwam samen met de Wet weerbaarheid kritieke entiteiten door het parlement.
#Wie eronder valt
De wet raakt organisaties in achttien sectoren, van energie, drinkwater en transport tot zorg, digitale infrastructuur en overheid. Binnen die sectoren geldt een omvangstoets: middelgrote en grote organisaties vallen eronder, als vuistregel vanaf ongeveer vijftig medewerkers of tien miljoen euro jaaromzet. Sommige organisaties, zoals aanbieders van essentiële digitale diensten, vallen er ongeacht omvang onder.
De wet kent twee categorieën: essentiële en belangrijke entiteiten. De plichten zijn grotendeels gelijk; het verschil zit vooral in het toezicht (proactief bij essentiële entiteiten, achteraf bij belangrijke) en in de boeteplafonds. Twijfel je of je eronder valt, kijk dan bij de veelgestelde vragen van toezichthouder RDI.
#De drie plichten
1. De zorgplicht. Je beheerst cyberrisico's aantoonbaar met passende maatregelen: een actuele risicoanalyse, beveiliging van je netwerk- en informatiesystemen, een werkende incidentprocedure, bedrijfscontinuïteit en beveiliging van de leveranciersketen. Aantoonbaar is het sleutelwoord. Beleid dat in een map staat maar niet wordt gevolgd, telt niet als beheersing.
2. De meldplicht. Bij een significant incident geldt een strak schema: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een volledige melding met een eerste beoordeling van ernst en gevolgen, en binnen een maand een eindverslag. Die termijnen halen lukt alleen als je incidenten snel ziet en de meldroute vooraf hebt ingericht.
3. De registratieplicht. Organisaties die onder de wet vallen, melden zich aan via mijn.ncsc.nl. Registreren kon al vrijwillig sinds oktober 2024; vanaf 15 augustus is het verplicht.
#Het bestuur is zelf aan zet
De Cyberbeveiligingswet legt de verantwoordelijkheid nadrukkelijk bij het bestuur. Bestuurders moeten de beveiligingsmaatregelen zelf goedkeuren, toezien op de uitvoering en een opleiding volgen om risico's te kunnen beoordelen. Bij ernstige nalatigheid kan het bestuur persoonlijk worden aangesproken. Cybersecurity delegeren aan IT en er verder niet naar omkijken, is daarmee formeel voorbij.
De boetes onderstrepen dat: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
#Waar AI-gebruik de wet raakt
NIS2 noemt AI nergens, en toch zit het er middenin. AI-tools horen bij je aanvalsoppervlak en je dataverwerking, en elke AI-leverancier is onderdeel van de leveranciersketen die de zorgplicht beheerst wil zien. Een medewerker die klantgegevens in een publieke chatbot plakt, creëert precies het soort risico dat je onder deze wet moet zien, wegen en beheersen. En als het misgaat, kan een datalek via een AI-tool een meldingsplichtig incident zijn, met de klok van 24 uur die meteen tikt.
Het lastige: de meeste organisaties weten niet welke AI-tools er in gebruik zijn. Beheersen wat je niet ziet, gaat niet. Hoe NIS2 en AI-gebruik precies samenkomen, staat in NIS2 en AI.
#Dit regel je nu
- Stel vast of je onder de wet valt, en of je essentieel of belangrijk bent.
- Registreer via mijn.ncsc.nl. De eerste formele stap, en meteen de eenvoudigste.
- Actualiseer je risicoanalyse, inclusief de leveranciersketen en het AI-gebruik op de werkvloer.
- Richt de meldroute in. Wie beoordeelt een incident, wie meldt, en haal je 24 uur?
- Neem het bestuur mee. Goedkeuring van de maatregelen en een opleiding zijn geen formaliteit maar een wettelijke eis.
Voor het zicht op AI-gebruik hoeft dat geen handwerk te zijn. De AI Tools-module laat zien welke AI-tools in gebruik zijn, hoe vaak, en met welk risico, getoetst aan een catalogus van 865 beoordeelde tools.
De rode draad in de Cyberbeveiligingswet is aantoonbaarheid. Maatregelen nemen is niet genoeg, je moet kunnen laten zien dat ze werken. Daar lopen de meeste organisaties op stuk, want bewijs verzamelen is handwerk dat naast het gewone werk moet gebeuren.
BeeSensible haalt dat bewijs uit het werk zelf: welke AI-tools in gebruik zijn, welke gevoelige gegevens een markering kregen voordat ze de deur uit gingen, en hoe daarmee is omgegaan. Altijd als aantallen, nooit de tekst, nooit één persoon.
De eerste stap kost een middag: registreren op mijn.ncsc.nl en opschrijven welke AI-tools er vandaag in gebruik zijn. De rest van de zorgplicht bouwt daarop.
