De Cyberbeveiligingswet is zaterdag in werking getreden. Ruim 8.000 Nederlandse organisaties moeten zich vanaf nu registreren bij het NCSC, hun digitale risico’s aantoonbaar beheersen en zware incidenten binnen 24 uur melden.
De wet is de Nederlandse uitvoering van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Op dezelfde dag trad ook de Wet weerbaarheid kritieke entiteiten in werking, die ongeveer 500 organisaties verplicht zich te wapenen tegen fysieke verstoringen. De Tweede Kamer stemde in april in met het voorstel, de Eerste Kamer volgde op 7 juli.
Onder de nieuwe wet vallen dertien sectoren, waaronder energie, drinkwater, afvalwater, digitale infrastructuur, zorg, overheid, transport, bankwezen, ruimtevaart, nucleaire installaties, voedselproductie en meteorologie. De ondergrens ligt in beginsel bij vijftig medewerkers en tien miljoen euro omzet of balanstotaal.
Cyberbeveiligingswet eist zorgplicht en meldplicht
De kern van de wet is een zorgplicht: besturen moeten aantoonbaar maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen, inclusief de risico’s die via toeleveranciers binnenkomen. Daarnaast geldt een meldplicht bij het CSIRT, met een vroege waarschuwing binnen 24 uur, een eerste melding binnen 72 uur en een eindrapport binnen een maand.
Bestuurders zijn persoonlijk verantwoordelijk voor de naleving en moeten scholing volgen. De registratie loopt via het entiteitenregister van het Nationaal Cyber Security Centrum. Voor de zorgplicht, de meldplicht en de registratie is geen overgangstermijn afgesproken: die verplichtingen gaan per direct in. Instellingen in het hoger onderwijs krijgen wel een langere aanloop.
Boetes tot 10 miljoen euro
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Op essentiële entiteiten, zoals energiebedrijven en banken — waar De Nederlandsche Bank eerder al waarschuwde voor AI-cyberaanvallen — houden toezichthouders proactief toezicht. Bij belangrijke entiteiten wordt vooral achteraf gekeken, meestal na een incident. Voor de sector digitale infrastructuur is de RDI de belangrijkste toezichthouder.
De boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Volgens justitieminister David van Weel moeten organisaties “voorbereid zijn op risico’s die de continuïteit van essentiële dienstverlening kunnen raken”.
Tussen de goedkeuring door de Eerste Kamer en de invoering zat vijf weken. Hoeveel van de ruim 8.000 organisaties zich inmiddels daadwerkelijk hebben geregistreerd, is niet bekend; de toezichthouders publiceren daarover voorlopig geen cijfers.
