Het omzetten van de NIS2-richtlijn in de Nederlandse Cyberbeveiligingswet (Cbw) verloopt trager dan gepland. Door de complexiteit van het proces kan Nederland de deadline van 17 oktober 2024 niet halen. Dit betekent dat de richtlijn pas na deze datum en na inwerkingtreding van de wet volledig in nationale regelgeving is verwerkt. De Tweede Kamer is hierover eerder dit jaar geïnformeerd.

In de periode tussen 17 oktober 2024 en de daadwerkelijke inwerkingtreding van de Cyberbeveiligingswet gelden voor organisaties die onder de NIS2-richtlijn vallen nog geen nieuwe verplichtingen. Wel kunnen zij in bepaalde gevallen al rechten uitoefenen, bijvoorbeeld het ontvangen van ondersteuning bij incidenten van een Computer Security Incident Response Team (CSIRT). Deze rechten vloeien voort uit de rechtstreekse werking van enkele bepalingen in de NIS2-richtlijn. Voor essentiële en belangrijke entiteiten gaan de verplichtingen pas in zodra de Cyberbeveiligingswet van kracht is. Organisaties die nu al onder de Wet beveiliging netwerk- en informatiesystemen (Wbni) vallen, blijven onder die wet vallen tot de nieuwe wet in werking treedt.

Meer details over de gevolgen van het niet-tijdig omzetten van de richtlijn zijn te vinden in de Kamerbrief van 16 oktober. Daarnaast biedt de website van NCTV aanvullende informatie over de rechten en verplichtingen die voortkomen uit de richtlijn.

De Rijksoverheid adviseert organisaties om niet te wachten met het treffen van maatregelen. De risico’s op cyberincidenten zijn ook nu al aanwezig en het kost tijd om aan de zorgplicht te voldoen. Op het NIS2-startpunt is praktische informatie beschikbaar om organisaties te helpen zich voor te bereiden op de nieuwe wetgeving, inclusief criteria en sectoren die onder de NIS2-richtlijn vallen.

Het Digital Trust Center, dat sinds 1 januari 2026 onderdeel is van het Nationaal Cyber Security Centrum (NCSC), publiceerde dit bericht oorspronkelijk.