Europese wet- en regelgeving op het gebied van cybersecurity
Sinds 2013 wordt binnen de Europese Unie (EU) gewerkt aan een strategie voor cyberbeveiliging. Vanuit deze strategie is wet- en regelgeving ontwikkeld die de digitale weerbaarheid van lidstaten en organisaties moet vergroten. Sinds 2022 is dit proces in een stroomversnelling geraakt en zijn verschillende belangrijke richtlijnen en verordeningen aangenomen, waaronder:
NIS2 (Network and Information Security Directive 2, Richtlijn (EU) 2022/2555) / Cbw (Cyberbeveiligingswet)
De NIS2-richtlijn beoogt de cyberweerbaarheid van essentiële en belangrijke entiteiten van een bepaalde omvang of met een specifieke activiteit te harmoniseren en te verhogen via risicobeheermaatregelen, governance-verantwoordelijkheden en incidentmeldingsplichten. Essentiële en belangrijke entiteiten zijn bijvoorbeeld overheden, zorginstellingen, bepaalde typen ICT-dienstverleners en ondernemingen die actief zijn in sectoren zoals de chemische industrie en de levensmiddelenindustrie. Deze richtlijn is in Nederland omgezet in de Cyberbeveiligingswet (Cbw) die vanaf 15 augustus 2026 geldt.
Cyberbeveiligingswet (Cbw)
Vanaf die datum moeten essentiële en belangrijke entiteiten voldoen aan onder meer de zorgplicht, de registratieplicht, de verplichting om bepaalde incidenten te melden en de eisen ten aanzien van bestuurlijke verantwoordelijkheid voor cyberbeveiliging. Een algemene overgangs- of invoeringstermijn is er niet. Alleen voor bestuurders geldt dat zij twee jaar de tijd krijgen om aantoonbaar te beschikken over voldoende kennis en vaardigheden op het gebied van cyberrisicobeheersing. Lees meer over de Cyberbeveiligingswet (Cbw).
DORA (Digital Operational Resilience Act, Verordening (EU) 2022/2554)
Deze verordening geldt vanaf 17 januari 2025 voor financiële entiteiten en hun kritieke ICT-leveranciers. DORA heeft als doel de digitale operationele weerbaarheid in de financiële sector te vergroten door uniforme regels voor ICT-risicobeheer, incidentrapportage, geavanceerd testen en toezicht op derde partij ICT-diensten.
CRA (Cyber Resilience Act, Verordening (EU) 2024/2847)
De CRA wordt getrapt van toepassing vanaf 11 juni 2026 en introduceert cybersecurityvereisten voor producten met digitale elementen. Dit omvat eisen voor ontwerp, ontwikkeling, kwetsbaarhedenbeheer, markttoezicht en uniforme CE-conformiteit en meldplichten bij kwetsbaarheden en incidenten.
Daarnaast spelen ook andere Europese regels een rol, zoals de AVG (GDPR) en de AI-verordening (AI Act), die beide vereisen dat passende technische en organisatorische maatregelen worden getroffen ter bescherming van persoonsgegevens en AI-systemen.
De Europese regelgeving leidt tot uiteenlopende verplichtingen voor organisaties, met name ten aanzien van compliance en documentatie. Denk aan het opstellen en implementeren van beveiligingsbeleid, certificeringsverplichtingen en meldplichten. Ook gelden er in bepaalde gevallen, soms vergaande, vereisten voor contracten met toeleveranciers en hebben organisaties er belang bij om hun eigen verplichtingen waar mogelijk contractueel door te leggen aan toeleverancier, bijvoorbeeld via beveiligingseisen, auditrechten, rapportages, incidentondersteuning en exit- of continuïteitsafspraken
