Betere beveiliging en eindelijk boetes: Nederland voert als één van de laatste de cyberwet in
In dit artikel:
De Tweede Kamer heeft deze week de eerste versie van de Europese NIS2-richtlijn goedgekeurd, die later dit jaar in Nederland wordt omgezet in de nieuwe Cyberbeveiligingswet (Cbw). De wet, die eigenlijk twee jaar geleden ingevoerd had moeten zijn, breidt de plicht tot digitale beveiliging sterk uit: waar eerder enkele honderden belangrijke bedrijven onder de regels vielen, zullen straks naar schatting zo’n tienduizenden organisaties verplicht worden hun cyberweerbaarheid te versterken.
De Cbw legt onder meer nieuwe meldplichten op: organisaties moeten een hack binnen 24 uur melden bij het Nationaal Cyber Security Center (NCSC), ook als er geen persoonsgegevens zijn buitgemaakt. Het doel is dat het NCSC sneller hulp kan bieden en waarschuwingen kan geven aan andere partijen. Daarnaast komen er zwaardere handhavingsmogelijkheden: boetes kunnen oplopen tot miljoenen euro’s en bestuurders kunnen persoonlijk verantwoordelijk worden gesteld. Ook neemt het toezicht op de betrokken organisaties toe.
Een belangrijke verandering is dat veel IT‑leveranciers en dienstverleners nu expliciet onder de wet vallen — juist die partijen blijken vaak doelwit van aanvallen, zoals bij de recente hack bij zorg‑IT‑bedrijf ChipSoft. De wet richt zich zowel op criminaliteit als op aanvallen door statelijke actoren; als voorbeeld wordt genoemd dat landen als Oekraïne de wet al eerder hebben ingevoerd omdat zij cyberveiligheid tijdens oorlogssituaties als cruciaal beschouwen.
Experts en betrokkenen hekelen de trage invoering: volgens Europarlementariër Bart Groothuis en hoogleraar Bart Schermer had Nederland sneller moeten handelen en vertraagt versnippering binnen overheidstaken de uitvoering. Onderzoekers als Max van der Horst noemen de wet een verbetering omdat die structurele keuzes en bestuurlijke verantwoordelijkheid adresseert in plaats van incidenten toe te schrijven aan individuele fouten.
De verwachting is dat de overheid streeft naar inwerkingtreding uiterlijk eind juni. Doel van de Cbw is niet alleen bedrijven beter te beschermen, maar ook burgers: minder hacks betekent minder gelekte persoonsgegevens en daardoor minder risico op vervolgfraude zoals phishing en identiteitsdiefstal.