De invoering van de Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn, lijkt opnieuw vertraging op te lopen. Hoewel de overheid lange tijd mikte op een inwerkingtreding per 1 juli 2026, blijkt uit de actuele status van het wetsvoorstel in de Eerste Kamer dat deze datum waarschijnlijk niet meer haalbaar is.
Het wetsvoorstel Cyberbeveiligingswet (36.764) werd op 15 april 2026 aangenomen door de Tweede Kamer en ligt sindsdien ter behandeling bij de Eerste Kamer. Daar bevindt het voorstel zich echter nog steeds in de fase van schriftelijke voorbereiding.
Op 2 juni brachten de betrokken Eerste Kamercommissies hun verslag uit met vragen aan het kabinet. De regering moet deze vragen nog beantwoorden in een nota naar aanleiding van het verslag. Pas daarna kan worden besloten of aanvullende vragen nodig zijn, wanneer een plenair debat plaatsvindt en wanneer over het voorstel wordt gestemd. Met nog slechts enkele werkdagen tot 1 juli resteert er onvoldoende tijd om deze stappen af te ronden. De Eerste Kamer heeft in een nota naar aanleiding van het verslag bevestigd dat de inwerkingtreding van de Cyberbeveiligingswet is verschoven van 1 juli naar 15 augustus 2026.
Nieuwe vertraging na eerdere uitstelrondes
De implementatie van NIS2 kent inmiddels een lange geschiedenis van uitstel. De Europese richtlijn had uiterlijk op 17 oktober 2024 in nationale wetgeving moeten zijn omgezet. Nederland haalde deze deadline niet. Sindsdien zijn verschillende streefdata genoemd, waaronder het derde kwartaal van 2025, 1 januari 2026 en later het tweede kwartaal van 2026. De meest recente planning ging uit van een inwerkingtreding op 1 juli 2026. Vooralsnog heeft het kabinet geen nieuwe officiële datum bekendgemaakt.
Wat betekent dit voor organisaties?
Voor organisaties die onder de toekomstige Cyberbeveiligingswet gaan vallen, betekent het uitstel niet dat voorbereidingen kunnen worden stilgelegd. De wet introduceert onder meer eisen op het gebied van:
- risicobeheersing en cyberweerbaarheid;
- meldplicht voor significante incidenten;
- bestuurdersverantwoordelijkheid;
- toezicht en handhaving;
- keten- en leveranciersrisico’s.
Veel organisaties zijn de afgelopen maanden al gestart met NIS2-programma’s, gap-analyses en implementatietrajecten. Securityprofessionals doen er verstandig aan deze trajecten voort te zetten, ondanks de onzekerheid over de definitieve ingangsdatum.
> LEES OOK: De Wet Weerbaarheid Kritieke Entiteiten (WWKE) als aanjager voor security management
Meer tijd, maar geen reden tot uitstel
Hoewel de vertraging organisaties extra tijd geeft om maatregelen te treffen, verandert dit niets aan de onderliggende verplichtingen die voortvloeien uit NIS2. Bovendien verwachten toezichthouders dat organisaties aantoonbaar werken aan hun cyberweerbaarheid, ongeacht de precieze datum waarop de wet formeel van kracht wordt.
De komende weken zal vooral worden uitgekeken naar de beantwoording van de vragen uit de Eerste Kamer. Pas daarna wordt duidelijk wanneer de parlementaire behandeling kan worden afgerond en wanneer de Cyberbeveiligingswet daadwerkelijk in werking treedt.
Bronnen:
- Eerste Kamer – Wetsvoorstel Cyberbeveiligingswet (36.764)
- NCTV – Cyberbeveiligingswet (NIS2-implementatie)
Volg Security Management op LinkedIn
