Sinds 15 augustus 2026 is de Europese NIS2-richtlijn via de Cyberbeveiligingswet ook in Nederland van kracht. Daarmee zijn cybersecurity en digitale weerbaarheid voor duizenden organisaties niet langer uitsluitend een kwestie van eigen beleid, maar ook van wettelijke verplichtingen. Toch is het de vraag of alle betrokken organisaties voldoende voorbereid zijn. Wie nog niet begonnen is, heeft inmiddels een achterstand in te halen.
Meer dan een nieuwe beveiligingswet
De Cyberbeveiligingswet heeft tot doel de digitale weerbaarheid van organisaties te versterken en daarmee de continuïteit van belangrijke maatschappelijke en economische diensten te beschermen. De wet heeft betrekking op achttien sectoren, waaronder gezondheidszorg, energie, transport, digitale infrastructuur, overheid en onderzoek.
Niet iedere organisatie binnen deze sectoren valt automatisch onder de wet. Dat hangt onder meer af van de activiteiten, omvang en specifieke wettelijke criteria. Bovendien kunnen organisaties die zelf niet rechtstreeks onder de wet vallen, toch met aanvullende beveiligingseisen worden geconfronteerd vanuit hun opdrachtgevers of samenwerkingspartners.
Dat laatste wordt nogal eens onderschat. NIS2 kijkt nadrukkelijk verder dan de eigen organisatie. Ook de afhankelijkheid van leveranciers, IT-dienstverleners en andere partijen in de keten maakt deel uit van de risicobeheersing.
Wat wordt er van organisaties verwacht?
Voor organisaties die onder de Cyberbeveiligingswet vallen, gelden verschillende verplichtingen. De belangrijkste zijn de registratieplicht, zorgplicht en meldplicht.
De registratieplicht houdt in dat organisaties zich moeten registreren in het nationale entiteitenregister. De zorgplicht verplicht organisaties om hun beveiligingsrisico's systematisch te beoordelen en passende technische en organisatorische maatregelen te treffen. Daarbij gaat het onder andere om toegangsbeveiliging, incidentmanagement, bedrijfscontinuïteit, back-ups, herstelprocedures en leveranciersmanagement.
Daarnaast geldt een meldplicht voor significante incidenten. Afhankelijk van de omstandigheden moet binnen 24 uur een eerste waarschuwing worden afgegeven, gevolgd door een melding binnen 72 uur en een eindverslag binnen de voorgeschreven termijn.
Het is daarbij niet voldoende om beveiligingsmaatregelen uitsluitend op papier te hebben vastgelegd. Een organisatie moet ook kunnen aantonen dat maatregelen daadwerkelijk zijn ingevoerd, worden onderhouden en waar nodig worden verbeterd.
Cybersecurity is een bestuurlijke verantwoordelijkheid
Een belangrijke verandering is de expliciete verantwoordelijkheid van het bestuur. Bestuurders moeten beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en beschikken over voldoende kennis om cyberrisico's te kunnen beoordelen. De wet stelt daarom ook eisen aan hun scholing.
Daarmee is NIS2 nadrukkelijk geen aangelegenheid die volledig aan de IT-afdeling kan worden overgelaten. IT speelt uiteraard een belangrijke rol, maar effectieve informatiebeveiliging vraagt ook om betrokkenheid van management, proceseigenaren, kwaliteitsmanagement en medewerkers.
Een technisch goed beveiligde omgeving biedt immers onvoldoende bescherming wanneer medewerkers onzorgvuldig omgaan met informatie, verantwoordelijkheden onduidelijk zijn of herstelprocedures in de praktijk niet blijken te werken.
Waar beginnen als uw organisatie nog niet klaar is?
Voor organisaties die nog onvoldoende voorbereid zijn, is het verstandig om niet direct te beginnen met het aanschaffen van beveiligingsproducten of het opstellen van uitgebreide beleidsdocumenten. Eerst moet duidelijk zijn waar de organisatie staat en welke risico's daadwerkelijk beheerst moeten worden.
Een praktische aanpak begint met het vaststellen of de wet van toepassing is, gevolgd door een beoordeling van de bestaande situatie. Daarbij worden de wettelijke vereisten afgezet tegen de aanwezige maatregelen, procedures en verantwoordelijkheden. Deze zogenaamde gap-analyse maakt inzichtelijk waar tekortkomingen bestaan.
Vervolgens kan een risicogebaseerd verbeterplan worden opgesteld, waarin maatregelen worden geprioriteerd op basis van risico, urgentie en uitvoerbaarheid. Niet alles hoeft tegelijkertijd te worden aangepakt, maar de organisatie moet wel aantoonbaar en gestructureerd werken aan het voldoen aan haar verplichtingen.
Organisaties die al werken volgens bijvoorbeeld ISO 27001, NEN 7510 of een volwassen kwaliteitsmanagementsysteem hebben daarbij vaak een bruikbare basis. Bestaande processen voor risicomanagement, documentbeheer, audits en verbetermaatregelen kunnen worden benut, zodat niet onnodig een afzonderlijk managementsysteem ontstaat.
Uitstel is geen optie meer
De Cyberbeveiligingswet is inmiddels van kracht. Voor organisaties die onder de wet vallen, gelden de verplichtingen dus al. Het ontbreken van een volledig uitgewerkt beveiligingsprogramma betekent niet automatisch dat iedere maatregel ontoereikend is, maar organisaties moeten hun keuzes en voortgang wel kunnen onderbouwen.
Daarbij gaat het uiteindelijk om meer dan wettelijke naleving. Een ernstig beveiligingsincident kan leiden tot verstoring van de dienstverlening, verlies van informatie, financiële schade en aantasting van het vertrouwen van klanten en samenwerkingspartners.
NIS2 moet daarom niet uitsluitend worden gezien als een verplichting, maar als een aanleiding om informatiebeveiliging structureel onderdeel te maken van de bedrijfsvoering. De eerste stap hoeft niet ingewikkeld te zijn, zolang deze maar gericht, realistisch en aantoonbaar wordt gezet.
Wat kan TIAG voor uw organisatie betekenen?
TIAG ondersteunt organisaties bij het beoordelen van hun NIS2-verplichtingen, het uitvoeren van een gap-analyse en het opstellen en realiseren van een praktisch verbeterplan. Daarbij staan een risicogebaseerde aanpak, aansluiting op bestaande processen en werkbare oplossingen centraal. Geen onnodige complexiteit, maar maatregelen die passen bij de organisatie en daadwerkelijk bijdragen aan haar digitale weerbaarheid.