wat is de cyberbeveiligingswet en wat verandert er

De Cyberbeveiligingswet zet NIS2 om in Nederlands recht

De Cyberbeveiligingswet is de Nederlandse wet die de Europese NIS2-richtlijn omzet naar nationale regels. NIS2 is een Europese richtlijn, en een richtlijn werkt niet vanzelf in elk land — daarvoor is nationale wetgeving nodig. In Nederland is dat de Cyberbeveiligingswet, te vinden bij de wettenoverheid. In grote lijnen volgt de wet de richtlijn: dezelfde sectoren, dezelfde indeling in essentiële en belangrijke entiteiten, en dezelfde kern van verplichtingen. Wie wil weten of zijn sector onder de bijlagen valt, vindt daar het overzicht dat aan deze wet ten grondslag ligt.

Wat er verandert voor organisaties die onder de wet vallen, is vooral de omvang van de verplichtingen. Er komt een zorgplicht: passende maatregelen nemen om de eigen digitale systemen te beveiligen. Er komt een registratieplicht bij de toezichthouder. En er komt een meldplicht bij incidenten, met daarbij de vraag wanneer en bij wie gemeld moet worden. Voor organisaties die zelf niet onder de wet vallen, verandert er indirect ook iets: plichtige organisaties moeten hun leveranciers beoordelen, en dat betekent dat ook niet-plichtige bedrijven vragenlijsten en contracteisen kunnen krijgen. Wie zich afvraagt waarom die vragen dan toch binnenkomen, leest daar hoe die doorwerking via de keten werkt.

Waar dit uit volgt: de omzetting van artikel 21 en 23

De verplichtingen in de Cyberbeveiligingswet volgen rechtstreeks uit de NIS2-richtlijn: artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt de tien maatregelen die de basis vormen van de zorgplicht, en de meldplicht is eveneens in de richtlijn vastgelegd. De Nederlandse wet werkt deze eisen uit in nationale bepalingen, te raadplegen bij de wettenoverheid. Het NCSC geeft voorlichting over hoe de zorgplicht en de meldplicht in de praktijk worden ingevuld.