Vierentwintig uur voor de melding, twee jaar voor het bestuur

Een oude stadsklok is een bruikbaar beeld om mee te beginnen, al is het niet meer dan dat. Het luiden bij brand had alleen zin wanneer er iemand aan het touw trok én iemand het hoorde die wist wat hem te doen stond; een klok zonder geoefend gehoor aan de andere kant is een geluid. Sinds 15 augustus 2026 heeft het Nederlandse cyberrecht beide kanten belegd, maar op ongelijke termijnen: melden moet vrijwel onmiddellijk, terwijl het bestuur dat de risico's en maatregelen erachter moet kunnen beoordelen daarvoor tot twee jaar de tijd krijgt.

Wat er op 15 augustus in werking trad

De grondslag ligt in twee publicaties van dezelfde dag. De Cyberbeveiligingswet is de Wet van 8 juli 2026 houdende regels ter implementatie van Richtlijn (EU) 2022/2555, gepubliceerd op 10 juli 2026 in Stb. 2026, 187. Daarnaast staat in Stb. 2026, 189 het Cyberbeveiligingsbesluit van diezelfde datum, dat de wet uitwerkt en tegelijk het tijdstip van inwerkingtreding vaststelt. Artikel 35 van dat besluit laat aan duidelijkheid weinig over: „De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026.” Eén datum, geen gefaseerde inwerkingtreding, geen uitgestelde hoofdstukken.

Daarmee gelden voor ruim achtduizend organisaties sinds die dag drie verplichtingen tegelijk: registratie in het entiteitenregister via het Nationaal Cyber Security Centrum, een zorgplicht die uit een risicobeoordeling volgt, en een meldplicht voor significante incidenten. De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen en zet daarmee de Nederlandse omzetting van NIS2 in werking. Naast haar loopt de Wet weerbaarheid kritieke entiteiten, die een aanzienlijk kleinere groep van ongeveer vijfhonderd organisaties raakt.

De richtlijn was er bijna twee jaar eerder

De NIS2-richtlijn kende een omzettingstermijn die op 17 oktober 2024 verliep. Nederland haalde die termijn niet. Wat volgde was een periode van bijna twee jaar waarin het NCSC vrijwillige registratie openstelde en de sector zich op een tekst voorbereidde die nog niet gold. Voor de praktijkjurist was dat een merkwaardige toestand: er lag een richtlijn met directe betekenis voor de wetgever, een wetsvoorstel met een bekende richting, en een norm waaraan een toezichthouder niets kon ophangen.

Die aanloop heeft de sector ongelijk verdeeld. Wie de vrijwillige route nam, heeft nu een registratie, een risicobeoordeling en een meldprocedure die al een keer geoefend zijn; wie wachtte tot de wet zou gelden, staat sinds 15 augustus voor dezelfde eisen zonder aanloop en zonder wettelijke overgangsperiode. De late omzetting verkortte de voorbereidingstijd niet, zij maakte die onverplicht — en daarmee afhankelijk van het oordeel van elk bestuur afzonderlijk.

Drie termijnen, één incident

De meldplicht loopt in stappen, en de eerste is strenger dan het ronde getal suggereert: een vroegtijdige waarschuwing moet onverwijld gebeuren en uiterlijk binnen vierentwintig uur nadat de entiteit van het incident kennisneemt. Daarna volgt binnen 72 uur de eigenlijke melding met aanvullende informatie — voor aanbieders van vertrouwensdiensten al binnen 24 uur — en uiterlijk één maand na die melding het eindverslag. Duurt het incident langer dan die maand, dan komt op dat moment een voortgangsverslag en volgt het eindverslag binnen een maand nadat het incident is afgehandeld. Sectorale regimes kunnen daarnaast eigen, kortere termijnen opleggen. Melden gebeurt volgens artikel 25 van het besluit bij een door de minister ingericht meldpunt; het NCSC-portaal geleidt de melding door naar het CSIRT en naar de toezichthouder.

De zwaarste juridische beoordeling valt daarmee op het vroegste moment. Vrijwel meteen moet iemand vaststellen of een verstoring een significant incident is. De maatstaf daarvoor staat in de wet zelf: artikel 25, tweede lid, geeft wanneer een incident als significant geldt. Artikel 23 van het besluit maakt het mogelijk daar specifieke of aanvullende drempels aan toe te voegen, en voor een deel van de entiteiten zijn die er al — via sectorale regelingen en, voor de digitale aanbieders, via Uitvoeringsverordening (EU) 2024/2690. Een organisatie die om drie uur 's nachts een versleutelde bestandsserver aantreft, past dus een wettelijke maatstaf toe die per sector nader kan zijn ingevuld. Dat pleit ervoor de drempel intern vast te leggen en aan een functie te koppelen die 's nachts bereikbaar is, en niet aan een vergadering.

Het toezicht stond er voordat de wet gold

Op dit punt verdient een hardnekkig misverstand correctie. De wet laat de vraag wie er handhaaft niet open. Artikel 15 van de Cyberbeveiligingswet wijst de bevoegde autoriteit per sector rechtstreeks aan, en doet dat in de wettekst zelf: de minister van Binnenlandse Zaken en Koninkrijksrelaties voor de overheid, de minister van Economische Zaken voor digitale infrastructuur, digitale aanbieders en vervaardiging, de minister van Klimaat en Groene Groei voor energie, die van Infrastructuur en Waterstaat voor vervoer, drinkwater en afvalwater, van Financiën voor bankwezen en financiële markten, van Volksgezondheid, Welzijn en Sport voor de zorg, en van Landbouw voor de voedselketen. Een entiteit kan vandaag in de wet opzoeken onder welke bewindspersoon zij valt.

Het feitelijke toezicht ligt vervolgens bij ambtenaren die daartoe worden aangewezen; artikel 68 van de wet voorziet in die aanwijzing bij besluit van de bevoegde autoriteit. Die aanwijzingen waren er ruim vóór de inwerkingtreding. De minister van Infrastructuur en Waterstaat wees op 3 juli 2026 de ambtenaren van de Inspectie Leefomgeving en Transport aan — met de Nederlandse Voedsel- en Warenautoriteit voor verpakt drinkwater — gepubliceerd op 13 juli. De minister van Klimaat en Groene Groei deed op 27 juni hetzelfde voor de inspecteurs van de Rijksinspectie Digitale Infrastructuur, gepubliceerd op 15 juli. Beide besluiten stonden in de Staatscourant voordat de eerste meldplicht ontstond.

Artikel 28 van het besluit gaat over iets anders dan deze aanwijzing, hoe verwant de formulering ook oogt. Het maakt aanwijzing mogelijk van de autoriteiten bedoeld in artikel 51, tweede lid, onderdeel i, van de wet — de sfeer van samenwerking en informatie-uitwisseling tussen bevoegde autoriteiten, niet de vraag wie een boete oplegt. Wie die twee door elkaar haalt, concludeert ten onrechte dat het handhavingsapparaat nog moet worden ingericht. Het staat er, gevuld en aangewezen, sinds vóór 15 augustus.

Waar de zorgplicht de AI-governance raakt

Artikel 5 van het besluit verplicht entiteiten ter uitvoering van artikel 21 van de wet tot de maatregelen van de artikelen 6 tot en met 18: beveiligingsbeleid, risicobeheer, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, systeemontwikkeling en -onderhoud, cyberhygiëne, cryptografie, personeelsbeveiliging, toegangsbeheer en assetbeheer. Welke tekst een organisatie precies moet volgen, hangt af van de hoedanigheid waarin zij optreedt. Artikel 4 van het besluit haalt namelijk een hele categorie eruit: voor onder meer aanbieders van cloudcomputingdiensten, datacentra, beheerde diensten, beheerde beveiligingsdiensten, CDN's, DNS-diensten, topleveldomeinregisters, onlinemarktplaatsen, zoekmachines, sociale netwerken en vertrouwensdiensten gelden de artikelen 6 tot en met 18 niet in die vorm, omdat Uitvoeringsverordening (EU) 2024/2690 hun maatregelen rechtstreeks invult.

Die knip is voor AI-aanbieders bepalend, en zij vraagt om precisie. Het leveren van een AI-toepassing als dienst maakt een onderneming nog geen aanbieder van cloudcomputingdiensten of beheerde diensten in de zin van de wet; dat oordeel volgt uit de wettelijke definitie van de betrokken dienst en uit de entiteitscriteria, niet uit het leveringsmodel. Een aanbieder die daadwerkelijk aan een van die definities voldoet, verantwoordt zich tegen de uitvoeringsverordening; een zorginstelling of netbeheerder die AI intern gebruikt, blijft bij de artikelen 6 tot en met 18. De vastgestelde hoedanigheid, niet de technologie, bepaalt de norm.

Juist bij ketenbeveiliging en assetbeheer wringt het vervolgens. Een AI-systeem is als asset lastig af te bakenen: model, gewichten, inferentie-endpoint, trainingsdata en de hostende leverancier zijn zelden één regel in een administratie. Over de grenzen van die ene inventarisatie schreven wij eerder, toen de wet nog niet gold, in Het register komt voor de plicht. Daar komt op termijn een tweede rechtsgrond bij voor dezelfde maatregel. Artikel 15 van de AI-verordening eist voor hoogrisico-AI-systemen een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging, inclusief weerbaarheid tegen manipulatie van trainingsdata en modelinvoer. Die eisen gelden nog niet: na de wijziging van het toepassingsregime gaan zij in op 2 december 2027 voor de systemen van bijlage III en op 2 augustus 2028 voor die van artikel 6, eerste lid, en bijlage I. Wie vandaag zijn beveiligingsmaatregelen inricht, doet dat dus onder één werkend regime met een tweede in aantocht — dezelfde technische beheersing, straks langs twee sporen beoordeeld door verschillende autoriteiten en op twee kalenders, zoals wij bespraken in Dezelfde software, een andere AI Act-datum.

Wat de bestuurskamer nu al moet kunnen

Artikel 24 van de wet verplicht bestuurders tot scholing waarmee zij beveiligingsrisico's kunnen herkennen en beheersmaatregelen en de gevolgen daarvan kunnen beoordelen; de artikelen 20 tot en met 22 van het besluit werken die scholing en de bijbehorende certificaateisen uit. Voor die scholingsplicht voor bestuurders geldt een termijn van maximaal twee jaar. Daar zit de asymmetrie die deze wet in haar eerste maanden kenmerkt. De meldplicht werkt onmiddellijk en volledig, terwijl het bestuurlijke kennisniveau waarop diezelfde wet rekent pas over twee jaar op orde hoeft te zijn. De scholingsplicht ziet daarbij op het beoordelen van risico's en maatregelen, niet op de operationele classificatie van een incident: melden is een uitvoerende taak, met een drempel die de organisatie vooraf inricht.

Die termijn verzacht de zorgplicht niet. De risicobeoordeling en de maatregelen zijn vanaf dag één afdwingbaar, ook tegenover een bestuur dat zijn scholing nog moet inplannen. Dat maakt de vastlegging belangrijker dan gebruikelijk: wie de beoordeling heeft goedgekeurd, op welke informatie, en wat er met de restrisico's is besloten. Vier vragen verdienen deze maand een antwoord op papier:

1. Valt de organisatie onder de wet, en op welke grond — als essentiële of als belangrijke entiteit, in welke sector? De registratie bij het NCSC is de eerste handeling waarmee dat oordeel zichtbaar wordt.
2. Wie stelt vast dat een incident significant is, op welke criteria, en is die persoon om drie uur 's nachts bereikbaar?
3. Welke bewindspersoon is op grond van artikel 15 de bevoegde autoriteit voor deze sector, en welke inspectie voert het toezicht feitelijk uit?
4. Welke bestuurders hebben de scholing gevolgd, en waar is dat vastgelegd?

Achter die administratie ligt een eenvoudiger belang. De sectoren die onder deze wet vallen — energie, drinkwater, zorg, vervoer, digitale diensten — zijn de sectoren waarvan burgers aannemen dat ze het morgen nog doen. Een meldplicht van vierentwintig uur bestaat niet om dossiers te vullen, maar omdat de eerste uren bepalen of een storing bij één leverancier een storing bij tienduizend afnemers wordt. Voor de ondernemer die vandaag moet beoordelen of hij eronder valt, is dat ook het eerlijkste antwoord op de vraag waarom hij zich zou registreren.

Voor wie de leveranciersketen langs beide regimes wil nalopen, is de contractlaag het praktische begin: welke afspraken over beveiliging, incidentmelding en onderaanneming staan er eigenlijk al, en waar ontbreken ze. AIRecht doet die doorlichting als afgebakende contractscan, met clausuleanalyse, risicokleuren, signalering van ontbrekende bepalingen en voorgestelde vervangende tekst.

De klok riep de stad wakker, en dat werkte alleen omdat aan beide einden van het touw iemand wist wat hem te doen stond. Nederland heeft op 15 augustus de klok opgehangen en het gehoor georganiseerd: de bevoegde autoriteiten staan in de wet, de inspecteurs waren in juli al aangewezen. Wat nog rijpt, zit aan de kant van de entiteit zelf — in de bestuurskamer die twee jaar heeft gekregen om te leren luisteren naar wat zij binnen vierentwintig uur moet melden.

Bronnen: Staatsblad 2026, 187 (Cyberbeveiligingswet) en Staatsblad 2026, 189 (Cyberbeveiligingsbesluit), beide 10 juli 2026; Staatscourant 2026, 24155, 13 juli 2026, en Staatscourant 2026, 22079, 15 juli 2026 (aanwijzing toezichthouders); Rijksoverheid, 7 juli 2026; NCSC; Digitale Overheid; Richtlijn (EU) 2022/2555; Uitvoeringsverordening (EU) 2024/2690; AI-verordening (EU) 2024/1689, geconsolideerd, zoals gewijzigd bij Verordening (EU) 2026/1744; NCSC, meldplicht. Stand van zaken: 19 augustus 2026.