Cyberbeveiligingswet door de Tweede Kamer: NIS2 wordt eindelijk concreet.

De Tweede Kamer nam deze week twee wetsvoorstellen aan: de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. De eerste is de Nederlandse implementatie van NIS2 en vervangt de oude Wbni. Nederland was laat met omzetten, dus dit is vooral het moment waarop een Europese richtlijn eindelijk een Nederlandse wet met een datum wordt.

De wet legt voor circa 8.000 Nederlandse organisaties drie verplichtingen vast: een zorgplicht om de eigen digitale beveiliging aantoonbaar op orde te hebben, een meldplicht bij ernstige incidenten en een registratieplicht bij de toezichthouder. De reikwijdte gaat van 6 naar 18 sectoren, waaronder energie, transport, zorg en digitale infrastructuur.

De beoogde ingangsdatum is op dit moment 1 juli 2026. Het voorstel moet nog langs de Eerste Kamer, maar de richting staat vast en de datum is dichtbij genoeg om er nu iets mee te doen.

De zorgplicht stopt niet bij de voordeur van die 8.000 organisaties. Wie onder de wet valt, moet ook de risico's in zijn toeleveringsketen beheersen. Dat betekent in de praktijk: vragenlijsten naar leveranciers, beveiligingseisen in contracten en een periodieke toets of je die eisen waarmaakt.

Lever je aan een bedrijf in een van de 18 sectoren, als installateur, softwareleverancier, administratiekantoor of logistiek partner, dan ga je die eisen zien, ook al noemt de wet jouw bedrijf nergens. Hetzelfde geldt bij aanbestedingen: een beveiligingsparagraaf wordt daar de norm in plaats van de uitzondering.

Dit is het patroon dat ik bij de AVG ook zag. De wet richt zich op een afgebakende groep, maar de markt vertaalt hem naar iedereen die met die groep zaken doet. Wie wacht tot een klant erom vraagt, beantwoordt de vragenlijst onder tijdsdruk. Wie het nu regelt, stuurt hem dezelfde dag terug.

Het goede nieuws: wat klanten straks van je vragen is geen enterprise-beveiligingsprogramma. Het is basishygiëne, en het meeste ervan is proceswerk in plaats van toolwerk.

• Multifactorauthenticatie op alle zakelijke accounts, te beginnen bij mail en boekhouding.
• Back-ups waarvan je periodiek test dat je ze werkelijk kunt terugzetten.
• Een incidentproces van één pagina: wie bel je, wat leg je vast, wie informeer je.
• Een actuele lijst van leveranciers die toegang hebben tot je systemen of je data.

Geen van deze vier vraagt een investering die pijn doet. Ze vragen wel dat iemand er eigenaar van is en dat het bijgehouden wordt, en precies daar gaat het in kleine bedrijven meestal mis. Een lijst die vorig jaar klopte, is voor een klant-audit niets waard.

Er zit ook een commerciële kant aan. Twee leveranciers, gelijke prijs, en één van de twee heeft zijn beveiligingsverhaal binnen een dag compleet aangeleverd. Die wint. Zo plat gaat het worden.

Wachten op de definitieve wettekst is niet nodig, want geen van de vier punten hierboven wordt daardoor anders. Trek er één middag voor uit: zet op een rij welke klanten in de 18 sectoren zitten, welke leveranciers bij jouw systemen kunnen en waar de vier basispunten nu staan.

Dit is geen AI-onderwerp, maar het raakt hetzelfde fundament. Beveiligingseisen beantwoorden lukt alleen als je weet hoe je processen lopen en waar je data zit, en dat is exact dezelfde kennis die bepaalt of automatisering ergens zin heeft. Begin bij het proces, niet bij de tool; dan is de vragenlijst van je klant straks een formaliteit in plaats van een project.