Op 30 juni 2025 is het concept van de algemene maatregelen van bestuur (amvb) behorende bij het wetsvoorstel Cyberbeveiligingswet naar de Tweede Kamer gestuurd. Dit stelt de Kamer in staat om het concept mee te nemen in de behandeling van het wetsvoorstel. In de amvb worden onder andere de zorgplicht en andere bepalingen uit de wet nader uitgewerkt.

De Cyberbeveiligingswet vormt de nationale implementatie van de Europese NIS2-richtlijn, die gericht is op het versterken van de weerbaarheid van kritieke, essentiële en belangrijke organisaties tegen cyberdreigingen, waaronder aanvallen van statelijke actoren. De Rijksoverheid roept organisaties op zich tijdig voor te bereiden op de inwerkingtreding van de wet en de bijbehorende regelgeving. Tegelijkertijd is ook het concept van het Besluit weerbaarheid kritieke entiteiten, behorende bij de Wet weerbaarheid kritieke entiteiten, aan de Tweede Kamer aangeboden.

Het concept van het Cyberbeveiligingsbesluit is tussen 20 februari en 30 maart 2025 geconsulteerd. De ontvangen reacties zijn beoordeeld en hebben geleid tot aanpassingen en verduidelijkingen in de amvb en de bijbehorende nota’s van toelichting. Hoe de consultatiereacties zijn verwerkt, is terug te lezen in een aparte paragraaf van deze nota’s. Bekijk de aangepaste amvb en de toelichtingen voor de details.

Na afronding van de behandeling door de Tweede Kamer zal de amvb, na goedkeuring door de ministerraad, worden voorgelegd aan de Afdeling advisering van de Raad van State. De bedoeling is dat de amvb gelijktijdig met het wetsvoorstel in werking treedt. Daarnaast werken betrokken ministeries aan ministeriële regelingen met sectorspecifieke bepalingen, zoals drempelwaarden voor incidentmeldingen. Een aantal ministeries heeft al een deel van deze regelingen, met name over de zorgplicht, in internetconsultatie gebracht.

Voor de ministeries van Binnenlandse Zaken en Koninkrijksrelaties en van Volksgezondheid, Welzijn en Sport sluit de uitwerking van de zorgplicht grotendeels aan bij bestaande normenkaders zoals de Baseline Informatiebeveiliging Overheid (BIO) 2, NEN7510 en ISO27001. De Rijksoverheid adviseert organisaties om niet te wachten met voorbereidingen, omdat de maatregelen vanuit de zorgplicht tijd en aandacht vergen. Het Nationaal Cyber Security Centrum (NCSC) biedt uitgebreide informatie over de stappen die organisaties kunnen zetten ter voorbereiding.