NIS2 & de Cyberbeveiligingswet: van Europese richtlijn naar Nederlandse wet

Digital Escrow Legal Insights — Aflevering 2

NIS2 en de Nederlandse implementatie daarvan, de Cyberbeveiligingswet, zijn op 15 augustus 2026 in werking getreden. In tegenstelling tot DORA, dat alleen geldt voor de financiële sector, bereikt NIS2 organisaties in de sectoren energie, transport, gezondheidszorg, digitale infrastructuur, overheid en productie; ongeveer achtduizend Nederlandse organisaties vallen binnen de scope.

Van richtlijn naar wet

NIS2 is Richtlijn (EU) 2022/2555. Als richtlijn was nationale omzetting vereist, wat resulteerde in de Cyberbeveiligingswet, die op 7 juli 2026 door de Eerste Kamer is aangenomen. De EU-deadline was 17 oktober 2024, dus de Nederlandse wet kwam veel later dan de richtlijn zelf. Waar de twee teksten verschillen, is de Nederlandse wet leidend.

Essentiële vs. belangrijke entiteiten

Classificatie hangt af van sector en omvang, over het algemeen 50+ werknemers of meer dan €10 miljoen omzet. De inhoudelijke eisen zijn voor beide categorieën grotendeels gelijk; wat verschilt is het toezicht. Essentiële entiteiten staan onder proactief toezicht, belangrijke entiteiten onder reactief toezicht. Alle organisaties die binnen de scope vallen, moeten zich registreren in het nationale entiteitenregister.

Drie verplichtingen

De zorgplicht vereist risicogebaseerde maatregelen op het gebied van incidentafhandeling, business continuity en supply chain security. De meldplicht vereist een vroege waarschuwing binnen 24 uur na ontdekking, een volledige melding binnen 72 uur en een eindrapportage binnen een maand. De registratieplicht is een zelfbeoordeling. Geen enkele autoriteit vertelt je dat je binnen de scope valt, en niet registreren is op zichzelf al een overtreding.

Supply chain security is waar escrow past

Artikel 24 vereist het beoordelen van de cybersecurity van directe leveranciers en het documenteren van die beoordeling. In de praktijk betekent dit dat de zwakheden van je leverancier jouw compliance-probleem worden. Een escrow-regeling adresseert business continuity, supply chain security en systeemonderhoud tegelijkertijd: het vermindert de afhankelijkheid van een enkele leverancier, biedt een herstelroute die de medewerking van die leverancier niet vereist, en levert bewijs voor een toezichthouder.

Takeaways

NIS2-compliance in Nederland verloopt via de Cyberbeveiligingswet, en het management is persoonlijk aansprakelijk voor het juist invullen van de zorgplicht, inclusief de continuïteit van je leveranciers.

Binnenkort: hoe DORA wordt gecontroleerd en gehandhaafd door DNB en de AFM.

Bekijk de video: Aflevering 2 – NIS2 & de Cyberbeveiligingswet: van Europese richtlijn naar Nederlandse wet