Bijna twee jaar later dan de bedoeling was, maar hij is er: op 7 juli 2026 nam de Eerste Kamer de Cyberbeveiligingswet aan, en op 15 augustus 2026 trad hij in werking. Daarmee is NIS2 in Nederland geen richtlijn meer waar je je op voorbereidt, maar een wet waaraan je moet voldoen. Voor ruim 8.000 organisaties wordt cyberbeveiliging een wettelijke plicht, met een toezichthouder, meldtermijnen en boetes.
#Van Europese richtlijn naar Nederlandse wet
NIS2 is de Europese richtlijn die de eisen aan cyberbeveiliging fors aanscherpt ten opzichte van haar voorganger. Omdat een richtlijn pas werkt via nationale wetgeving, moest Nederland haar omzetten. Dat had uiterlijk 17 oktober 2024 moeten gebeuren; het werd uiteindelijk augustus 2026. De Cyberbeveiligingswet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en kwam samen met de Wet weerbaarheid kritieke entiteiten door het parlement.
#Wie eronder valt
De wet raakt organisaties in achttien sectoren, van energie, drinkwater en transport tot zorg, digitale infrastructuur en overheid. Binnen die sectoren geldt een omvangstoets: middelgrote en grote organisaties vallen eronder, als vuistregel vanaf ongeveer vijftig medewerkers of tien miljoen euro jaaromzet. Sommige organisaties, zoals aanbieders van essentiële digitale diensten, vallen er ongeacht omvang onder.
De wet kent twee categorieën: essentiële en belangrijke entiteiten. De plichten zijn grotendeels gelijk; het verschil zit vooral in het toezicht (proactief bij essentiële entiteiten, achteraf bij belangrijke) en in de boeteplafonds. Twijfel je of je eronder valt, kijk dan bij de veelgestelde vragen van toezichthouder RDI.
#De drie plichten
1. De zorgplicht. Je beheerst cyberrisico's aantoonbaar met passende maatregelen: een actuele risicoanalyse, beveiliging van je netwerk- en informatiesystemen, een werkende incidentprocedure, bedrijfscontinuïteit en beveiliging van de leveranciersketen. Aantoonbaar is het sleutelwoord. Beleid dat in een map staat maar niet wordt gevolgd, telt niet als beheersing.
2. De meldplicht. Bij een significant incident geldt een strak schema: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een volledige melding met een eerste beoordeling van ernst en gevolgen, en binnen een maand een eindverslag. Die termijnen halen lukt alleen als je incidenten snel ziet en de meldroute vooraf hebt ingericht.
3. De registratieplicht. Organisaties die onder de wet vallen, melden zich aan via mijn.ncsc.nl. Vrijwillig registreren kan al sinds oktober 2024; vanaf 15 augustus is het verplicht.
#Het bestuur is zelf aan zet
De Cyberbeveiligingswet legt de verantwoordelijkheid nadrukkelijk bij het bestuur. Bestuurders moeten de beveiligingsmaatregelen zelf goedkeuren, toezien op de uitvoering en een opleiding volgen om risico's te kunnen beoordelen. Bij ernstige nalatigheid kan het bestuur persoonlijk worden aangesproken. Cyberbeveiliging bij IT neerleggen en er verder niet naar omkijken, is daarmee formeel voorbij.
De boetes onderstrepen dat: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
#Waar AI-gebruik de wet raakt
NIS2 noemt AI nergens, en toch zit het er middenin. AI-tools horen bij je aanvalsoppervlak en je dataverwerking, en elke AI-leverancier is onderdeel van de leveranciersketen die onder je zorgplicht valt. Een medewerker die klantgegevens in een openbare chatbot plakt, veroorzaakt precies het soort risico dat je onder deze wet moet zien, wegen en beheersen. En als het misgaat, kan een datalek via een AI-tool een meldingsplichtig incident zijn, en dan begint de klok van 24 uur meteen te lopen.
Het lastige: de meeste organisaties weten niet welke AI-tools er in gebruik zijn. Beheersen wat je niet ziet, gaat niet. Hoe NIS2 en AI-gebruik precies samenkomen, staat in NIS2 en AI.
#Dit regel je nu
- Stel vast of je onder de wet valt, en of je essentieel of belangrijk bent.
- Registreer via mijn.ncsc.nl. De eerste formele stap, en meteen de eenvoudigste.
- Actualiseer je risicoanalyse, inclusief de leveranciersketen en het AI-gebruik in het dagelijkse werk.
- Richt de meldroute in. Wie beoordeelt een incident en wie meldt het? Haal je de termijn van 24 uur?
- Neem het bestuur mee. De maatregelen goedkeuren en een opleiding volgen zijn geen formaliteiten maar wettelijke eisen.
Zicht krijgen op AI-gebruik hoeft geen handwerk te zijn. BeeSensible laat zien welke AI-tools in gebruik zijn, hoe vaak en met welk risico, getoetst aan een catalogus van meer dan 1.000 beoordeelde tools.
#Je maatregelen onderbouwen zonder extra handwerk
De rode draad in de Cyberbeveiligingswet is aantoonbaarheid. Maatregelen nemen is niet genoeg: je moet kunnen laten zien dat ze werken. Daar lopen de meeste organisaties op stuk, want bewijs verzamelen is handwerk dat naast het gewone werk moet gebeuren.
BeeSensible haalt dat bewijs uit het werk zelf: welke AI-tools in gebruik zijn, welke gevoelige gegevens een markering kregen voordat ze de deur uit gingen, en hoe daarmee is omgegaan. Altijd in aantallen, nooit de tekst zelf en nooit per persoon. Het scherm Onderbouwing zet die cijfers per maand of kwartaal naast NIS2 artikel 21 lid 2 onder a, d en g (in Nederland artikel 21 lid 3 van de Cyberbeveiligingswet), met per bepaling wat BeeSensible bijdraagt en wat erbuiten valt.
De eerste stap kost een middag: registreren op mijn.ncsc.nl en opschrijven welke AI-tools er vandaag in gebruik zijn. De rest van de zorgplicht bouwt daarop.
