Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. De wet staat in Staatsblad 2026, 187 en het bijbehorende Cyberbeveiligingsbesluit in Staatsblad 2026, 189, beide van 8 juli 2026 en gepubliceerd op 10 juli; artikel 35 van het besluit laat wet en besluit op één datum in werking treden. Geen fasering, geen uitgestelde hoofdstukken. Voor ruim achtduizend organisaties gelden sindsdien registratieplicht, zorgplicht en meldplicht tegelijk, en zijn die verplichtingen vanaf diezelfde dag handhaafbaar.
Drie termijnen aan de voorkant
De meldplicht loopt in stappen: een vroegtijdige waarschuwing onverwijld en uiterlijk binnen vierentwintig uur, de melding zelf binnen 72 uur, en het eindverslag uiterlijk één maand daarna — met een voortgangsverslag en een later eindverslag wanneer het incident langer duurt. Melden gebeurt via het meldpunt dat het NCSC voor dit doel inricht. De zwaarste juridische beoordeling valt daarmee op het vroegste moment, want binnen een etmaal moet iemand vaststellen of een verstoring een significant incident is. De maatstaf daarvoor staat in artikel 25, tweede lid, van de wet; artikel 23 van het besluit maakt aanvullende of specifieke drempels mogelijk, die voor een deel van de entiteiten al via sectorale regelingen en Uitvoeringsverordening (EU) 2024/2690 zijn ingevuld. Dat pleit ervoor de interne drempel vast te leggen en te koppelen aan een functie die 's nachts bereikbaar is.
Het toezicht was op tijd
Wie handhaaft, is geen open vraag. Artikel 15 van de wet wijst de bevoegde autoriteit per sector rechtstreeks aan, van Binnenlandse Zaken voor de overheid tot Volksgezondheid voor de zorg, en artikel 68 laat de betrokken minister de ambtenaren aanwijzen die het toezicht uitvoeren. Die aanwijzingen verschenen in juli 2026 in de Staatscourant: de Inspectie Leefomgeving en Transport voor onder meer vervoer, drinkwater en afvalwater, de Rijksinspectie Digitale Infrastructuur voor haar eigen domein. Het handhavingsapparaat stond er dus voordat de eerste meldplicht ontstond.
Meldtermijn van een etmaal, scholingstermijn van twee jaar
Artikel 24 van de wet verplicht bestuurders tot scholing waarmee zij beveiligingsrisico's herkennen en beheersmaatregelen en gevolgen beoordelen, met een termijn van maximaal twee jaar; het besluit werkt de scholings- en certificaateisen uit. Dat legt de asymmetrie bloot die deze eerste maanden kenmerkt: de meldplicht werkt vanaf de eerste dag, terwijl het bestuurlijke oordeel over risico's en maatregelen twee jaar mag rijpen. Die termijn verzacht de zorgplicht niet, en dat maakt de vastlegging van bestuursbesluiten nu belangrijker dan gebruikelijk. Deze analyse zet de rechtsgevolgenkalender op een rij, laat zien waar de zorgplicht en de AI-verordening op dezelfde leveranciersketen landen — waarover wij eerder schreven in Het register komt voor de plicht — en sluit af met vier vragen die deze maand een antwoord op papier verdienen.
Meer lezen