Op 15 augustus 2026 treden de Cyberbeveiligingswet (Staatsblad 2026, 187) en het Cyberbeveiligingsbesluit (Staatsblad 2026, 189) in werking. Nederland zet daarmee NIS2 om in nationaal recht, en de sectoren zijn ruimer getrokken dan onder de oude Wet beveiliging netwerk- en informatiesystemen: zorg, onderzoek, afvalwater, digitale dienstverlening en delen van de maakindustrie komen in beeld. Of een concrete organisatie werkelijk essentiële of belangrijke entiteit is, hangt af van de wettelijke definitie en het omvangscriterium, niet van de sector alleen. Voor wie eronder valt, is het vaak de eerste keer dat een sectorale toezichthouder op dit terrein meekijkt.
De zorgplicht begint bij een lijst
De aandacht gaat doorgaans naar de meldtermijnen en de bestuurdersaansprakelijkheid. Operationeel zwaarder wegen de bepalingen in het midden van het besluit. Artikel 16 verlangt beleid voor het beheer van assets, artikel 13 beleid over het gebruik van cryptografie, en de artikelen 10 en 11 beveiliging van de toeleveringsketen en van verwerving, ontwikkeling en onderhoud. Dat zijn vier zelfstandige verplichtingen die wel bij hetzelfde gegeven beginnen: wat heeft u, waarmee is het versleuteld, wie leverde het, en wat is er sindsdien veranderd. Voor cloud-, datacenter-, managed-service- en platformdiensten wijst artikel 4 van het besluit door naar Uitvoeringsverordening (EU) 2024/2690; dat werkt per hoedanigheid, zodat beide regimes naast elkaar kunnen gelden voor een organisatie die meerdere rollen vervult. Zonder een betrouwbaar antwoord op de eerste vraag zijn de andere drie alleen op papier te beantwoorden — en een cryptografische inventarisatie laat zich, anders dan een beleidsvoornemen, feitelijk toetsen. Één gecombineerd register is daarbij een aanbevolen implementatiemodel, geen voorgeschreven vorm.
Verwante registers, verschillende rechtsgronden
De spreiding maakt het scherper. De Cyberbeveiligingswet stelt de vraag op entiteitsniveau. De Cyber Resilience Act stelt haar op productniveau in twee stappen: de meldverplichting van artikel 14 geldt vanaf 11 september 2026, de overige hier relevante fabrikantsverplichtingen — waaronder de softwarestuklijst — pas vanaf 11 december 2027; hoofdstuk IV van de verordening geldt al sinds 11 juni 2026. Het derde niveau is niet wettelijk maar contractueel, waar afnemers leveranciers verplichten hun cryptografie tijdig te kunnen vervangen. Die verzamelingen zijn niet identiek: een softwarestuklijst hoort bij het productdossier van een fabrikant, een inventaris bij de middelen van een entiteit, en ze overlappen alleen gedeeltelijk. Wat zich wél laat delen zijn de identificatoren. Wie per aanleiding een nieuwe lijst met eigen sleutels laat maken, houdt drie verzamelingen over die niet meer op elkaar te leggen zijn.
Waar AI-systemen buiten het register vallen
Een klassieke inventarisatie gaat over dingen met een versienummer en een eigenaar. Bij AI-systemen zit het model bij een aanbieder, veranderen de gewichten zonder dat de afnemer het merkt en loopt de afhankelijkheid via een API. Artikel 15 van de AI-verordening stelt voor hoog-risicosystemen eisen aan nauwkeurigheid, robuustheid en cyberbeveiliging. Dat een aanbieder daarvoor moet weten welke componenten die eigenschappen dragen, staat er niet met zoveel woorden; het is de praktische lezing van AIRecht. Onder die lezing is het dezelfde veronderstelling als in artikel 16 van het besluit, maar aan de andere kant van de keten. Het artikel werkt zes controlevragen uit waarmee een organisatie kan vaststellen of haar register een toezichtvraag overleeft, en laat zien waarom die vraag uiteindelijk niet administratief is maar publiek: bij drinkwater, ziekenhuizen en onderzoeksdata wordt de hersteltijd bepaald door wat de organisatie vooraf van zichzelf wist.
Meer lezen