Tussen 2024 en 2027 verandert de digitale wetgeving voor Nederlandse organisaties sneller dan ooit: Europese richtlijnen en verordeningen volgen elkaar op, en elk kader kent eigen verplichtingen, deadlines en toezichthouders. Dit overzicht ordent de belangrijkste cybersecuritywetgeving: wat elke wet regelt, voor wie zij geldt en hoe u de samenhang benut in plaats van vijf keer hetzelfde werk te doen.
De wetten op een rij
- Cyberbeveiligingswet (Cbw, NIS2)
- De Nederlandse implementatie van de Europese NIS2-richtlijn, in werking vanaf 15 augustus 2026. Kern: een risicogebaseerde zorgplicht op tien maatregelgebieden, een getrapte meldplicht voor significante incidenten (24 uur, 72 uur, een maand), een registratieplicht en expliciete bestuursverantwoordelijkheid. Geldt voor essentiële en belangrijke entiteiten én voor overheden.
- BIO2 (Baseline Informatiebeveiliging Overheid)
- Geen wet, maar het verplichte normenkader van de Nederlandse overheid, gebaseerd op ISO 27001. De BIO2 geldt als praktische invulling van de Cbw-zorgplicht voor rijk, provincies, gemeenten en waterschappen; gemeenten verantwoorden zich er jaarlijks over via ENSIA.
- EU AI Act
- De Europese AI-verordening, gefaseerd van toepassing: de verboden praktijken en de AI-geletterdheidsplicht gelden sinds 2 februari 2025, de regels voor general-purpose AI sinds 2 augustus 2025, en de verplichtingen voor hoog-risicosystemen uit bijlage III vanaf 2 augustus 2026. Raakt cybersecurity direct: hoog-risicosystemen moeten accuraat, robuust en beveiligd zijn.
- AVG
- Sinds 2018 de basis onder alles: persoonsgegevens vragen passende technische en organisatorische beveiliging (artikel 32), en datalekken moeten binnen 72 uur bij de Autoriteit Persoonsgegevens worden gemeld (artikel 33).
- DORA (financiële sector)
- De Europese verordening voor digitale operationele weerbaarheid van financiële instellingen, van toepassing sinds 17 januari 2025. Banken, verzekeraars en hun kritieke ICT-dienstverleners vallen hieronder; voor hen gaat DORA vóór op NIS2.
Daarnaast bestaat er aanpalende digitale wetgeving die niet primair over beveiliging gaat maar wél bij hetzelfde compliance-dossier hoort, zoals de Europese toegankelijkheidswet (EAA, van toepassing sinds 28 juni 2025) en voor overheden de Wet open overheid.
Wie moet aan welke wet voldoen?
- Overheden
- Cbw (rechtstreeks) met BIO2 als invulling, AVG, toegankelijkheidseisen en de Woo; de EU AI Act zodra er AI-systemen worden gebruikt, wat in de praktijk vrijwel altijd zo is.
- Essentiële en belangrijke entiteiten
- Cbw (zorgplicht, meldplicht, registratie), AVG, en de EU AI Act voor gebruikte AI-systemen. Denk aan energie, drinkwater, zorg, vervoer, digitale infrastructuur, industrie en post.
- Financiële instellingen
- DORA als primair kader, daarnaast AVG en de EU AI Act; NIS2-verplichtingen die DORA al dekt, gelden niet dubbel.
- Leveranciers en mkb
- Vaak niet rechtstreeks onder de Cbw, maar wel via de keten: klanten die er wél onder vallen, stellen contractuele beveiligingseisen. De AVG geldt hoe dan ook, en de AI Act zodra er AI wordt gebruikt of geleverd.
Drie meldplichten die kunnen stapelen
Eén ernstig incident kan meerdere meldroutes tegelijk activeren, elk met eigen termijnen en loketten:
- Cbw: significante incidenten gefaseerd melden bij het CSIRT en de toezichthouder, binnen 24 uur, 72 uur en een maand.
- AVG: zijn er persoonsgegevens geraakt, dan geldt daarnaast de datalekmelding bij de Autoriteit Persoonsgegevens binnen 72 uur.
- EU AI Act: ernstige incidenten met hoog-risico-AI-systemen moeten bij de toezichthouder worden gemeld.
Beleg het meldproces daarom integraal: één interne route die bij een incident direct toetst welke externe meldingen nodig zijn, met sjablonen en verantwoordelijkheden per loket.
De overlap is uw vriend
Wie de kaders naast elkaar legt, ziet steeds dezelfde bouwstenen terugkomen: een risicobeoordeling, vastgesteld beleid, incidentbeheer, ketenafspraken en aantoonbare bestuurlijke betrokkenheid. Organiseer die bouwstenen daarom één keer goed, met één risicoregister en één maatregelenset die naar meerdere kaders verwijst, in plaats van per wet een eigen project te starten. Zo wordt elke nieuwe wet een aanvulling in plaats van een herstart.
Waar begint u?
- Bepaal per wet of uw organisatie eronder valt en leg die conclusie vast, ook als het antwoord nee is.
- Doorloop per toepasselijk kader een zelfevaluatie: wat staat er al, wat ontbreekt?
- Werk vanuit één risicoregister en koppel maatregelen aan meerdere kaders tegelijk.
- Richt het meldproces integraal in, met de drie routes hierboven als toets.
- Rapporteer periodiek aan het bestuur en laat het beleid formeel vaststellen.
Weten waar u staat?
Doe de gratis Cbw-zelfscan op normio.nl/cbw-check: vijf vragen, direct een scope-indicatie en een beeld van uw voorbereiding. Of start 14 dagen gratis met Normio en doorloop de zelfevaluaties per kader.