Wettelijke kaders
Sinds augustus en september 2026 is een groot deel van het Europese cyberpakket in Nederland staand recht. Hieronder wat er geldt, per wanneer, en waar de kaders elkaar raken.
Europese regelgeving, Nederlandse uitvoering
Twee Europese richtlijnen zijn omgezet in Nederlandse wetten: de Europese cyberbeveiligingsrichtlijn in de Cyberbeveiligingswet en CER in de Wet weerbaarheid kritieke entiteiten. De Cyber Resilience Act, de AI-verordening en de AVG zijn Europese verordeningen en gelden rechtstreeks.
Uitgangspunt
Wetten en normenkaders houden wij strikt gescheiden.
Een ISO 27001- of ISO 42001-certificering is geen bewijs van wettelijke conformiteit en levert geen vermoeden van overeenstemming op. Normenkaders zijn bruikbaar als implementatiestructuur; de wettelijke verplichting staat daarnaast en moet apart worden aangetoond.
Wij benoemen die verhouding expliciet in elk kader dat wij opleveren, en markeren onzekerheid over data en uitvoeringsregelgeving in plaats van hem weg te schrijven. Deze pagina is een oriëntatie en geen juridisch advies; voor uw situatie stellen wij de toepasselijkheid vast in een afbakening.
Hoofdrichting
Cbw, Wwke en CRA
Hier ligt ons zwaartepunt: de kaders die de zorgplicht, de digitale en fysieke weerbaarheid en de productketen raken voor publieke organisaties en kritieke infrastructuur.
Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om cyberrisico's te beheersen. Het bestuur moet die maatregelen goedkeuren en toezien op de uitvoering ervan. Daarnaast geldt een registratieplicht bij het landelijk entiteitenregister.
Significante incidenten moeten tijdig worden herkend en beoordeeld. De meldprocedure begint met een vroegtijdige waarschuwing binnen 24 uur, gevolgd door een melding binnen 72 uur en uiteindelijk een eindverslag.
Zorgplicht Registratieplicht Melding 24/72 uur Bestuurlijke goedkeuring Ketenrisico
De fysieke tegenhanger van de Cbw. Aangewezen kritieke entiteiten voeren binnen negen maanden na aanwijzing een risicobeoordeling uit en hebben binnen tien maanden passende weerbaarheidsmaatregelen getroffen. Incidenten met significante verstoring worden binnen 24 uur gemeld.
Veel organisaties vallen onder beide wetten. De praktische vraag is niet welke van de twee geldt, maar hoe u één risicobeoordeling en één maatregelenset inricht die beide bedienen zonder dubbel werk.
Risicobeoordeling Weerbaarheidsmaatregelen Melding binnen 24 uur Aanwijzing
Sinds 11 september 2026 moeten fabrikanten van producten met digitale elementen actief misbruikte kwetsbaarheden en ernstige incidenten melden: een vroegtijdige waarschuwing binnen 24 uur, een nader bericht binnen 72 uur en een eindrapportage binnen veertien dagen respectievelijk een maand. De overige verplichtingen (productvereisten, conformiteitsbeoordeling en CE-markering) gelden vanaf 11 december 2027.
Eén van de productvereisten is logging zelf: een product met digitale elementen moet beveiligingsrelevante informatie leveren door relevante interne activiteit te registreren en te bewaken, inclusief toegang tot en wijziging van gegevens, diensten of functies. Wie inkoopt kan daarop uitvragen; wie levert moet het inbouwen.
De CRA raakt niet alleen softwareleveranciers. Wie producten met digitale elementen in de markt brengt, samenstelt of onder eigen merk levert, kan als fabrikant worden aangemerkt. Bij inkoop is de vraag omgekeerd relevant: levert uw leverancier CRA-conform, en hoe toont hij dat aan?
Meldplicht 24/72 uur Productvereisten 2027 CE-markering Logging van interne activiteit Kwetsbaarhedenbeheer
Andere kaders
AI-verordening en AVG
Twee zelfstandige kaders die buiten ons zwaartepunt vallen, maar onvermijdelijk zijn zodra ze uw organisatie of uw keten raken. Wij nemen ze mee in hetzelfde risico- en controlproces, zodat ze niet in een eigen beleidssilo belanden.
Wij nemen uit de AI-verordening de cybersecurity-verplichtingen mee: de eisen aan robuustheid en cybersecurity van AI-systemen (artikel 15), de automatische registratie van gebeurtenissen (artikel 12) en de melding van ernstige incidenten (artikel 73). Zodra AI-toepassingen in uw processen of OT-omgeving terechtkomen, hoort daar beveiliging, logging en detectie bij.
Een groot deel daarvan is loggingwerk. Hoogrisico-AI-systemen moeten gebeurtenissen automatisch registreren en de aanbieder bewaart die logs minimaal zes maanden. Daarbovenop geldt monitoring na ingebruikname. Dat is dezelfde discipline als de detectielaag die wij voor uw applicaties inrichten.
Andere onderdelen van de AI-verordening, zoals transparantie, grondrechten en de FRIA, vallen buiten onze scope en lopen via uw compliance- of privacyfunctie. Data en planning blijven in beweging; wij markeren onzekerheid expliciet in plaats van hem weg te schrijven.
Cybersecurity en robuustheid Automatische registratie Logs zes maanden Monitoring na ingebruikname Melding ernstige incidenten
Wij nemen uit de AVG de cybersecurity-verplichtingen mee: passende beveiliging van de verwerking (artikel 32) en de meldplicht datalekken (artikel 33 en 34). De AVG is geen aparte dienstlijn bij ons.
Een datalek moet binnen 72 uur na kennisname worden gemeld, en alle inbreuken moeten worden gedocumenteerd, ook de niet-gemelde, zodat de toezichthouder de naleving kan controleren. Zonder logging op applicatieniveau weet u niet welke gegevens en welke betrokkenen het raakt, en kunt u dus geen van beide.
De privacylijn blijft bij uw FG of privacy officer. Wij zorgen voor de aansluiting: dezelfde classificatie, hetzelfde risicoproces, dezelfde monitoringlaag en één set bewijs.
Beveiliging van verwerking Melding binnen 72 uur Documentatieplicht Samenloop meldplichten
Volledig overzicht
Wet- en regelgeving en standaarden in samenhang
Naast de kaders hierboven zijn er meer Europese en Nederlandse regels, uitvoeringsregelingen en normen die uw beveiliging raken. Hieronder het volledige overzicht, gescheiden naar wat wettelijk verplicht is en wat een normenkader is.
Europese wetgeving
- Europese cyberbeveiligingsrichtlijn (EU) 2022/2555Zorgplicht en meldplicht voor essentiële en belangrijke entiteiten; in Nederland uitgewerkt in de Cyberbeveiligingswet.Van kracht sinds 15 augustus 2026, via de Cbw
- Uitvoeringsverordening (EU) 2024/2690Concrete beveiligingsmaatregelen en drempels voor significante incidenten bij digitale infrastructuur en digitale diensten, zoals cloud, datacenters en managed services.Rechtstreeks van toepassing
- CER-richtlijn (EU) 2022/2557Fysieke en digitale weerbaarheid van kritieke entiteiten; in Nederland uitgewerkt in de Wwke.Van kracht sinds 15 augustus 2026, via de Wwke
- Cyber Resilience Act (EU) 2024/2847Beveiligingseisen voor producten met digitale elementen, over de hele levenscyclus.Meldplicht sinds 11 september 2026; overige eisen vanaf 11 december 2027
- AI-verordening (EU) 2024/1689Alleen de cybersecurity-verplichtingen: robuustheid en cybersecurity (art. 15), logging (art. 12) en melding van ernstige incidenten (art. 73).Gefaseerd van toepassing
- AVG (EU) 2016/679Alleen de cybersecurity-verplichtingen: passende beveiliging van de verwerking (art. 32) en de meldplicht datalekken (art. 33 en 34).Van toepassing sinds 25 mei 2018
- Gedelegeerde verordening RED (EU) 2022/30Cybersecurity-eisen voor draadloze apparatuur onder de Radio Equipment Directive, met de geharmoniseerde normen EN 18031.Van toepassing sinds 1 augustus 2025
- Machineverordening (EU) 2023/1230Veiligheidseisen voor machines, inclusief bescherming van besturing en software tegen manipulatie.Van toepassing vanaf 20 januari 2027
- Productaansprakelijkheidsrichtlijn (EU) 2024/2853Software en AI vallen onder productaansprakelijkheid, ook als een gebrek in de beveiliging schade veroorzaakt.Omzetting uiterlijk 9 december 2026
- Cyberbeveiligingsverordening (EU) 2019/881Mandaat van ENISA en het kader voor Europese cybersecuritycertificering, zoals het schema EUCC.Van kracht
- Dataverordening (EU) 2023/2854Toegang tot en delen van data van verbonden producten, en overstappen tussen clouddiensten.Van toepassing sinds 12 september 2025
- eIDAS-verordening (EU) 2024/1183Europese digitale identiteit en vertrouwensdiensten.Van kracht, gefaseerde invoering
- Cybersolidariteitsverordening (EU) 2025/38Europese samenwerking bij de detectie van en respons op grootschalige cyberincidenten.Van kracht sinds 2025
Nederlandse wet- en regelgeving
- Cyberbeveiligingswet (Cbw)Nederlandse uitwerking van de Europese cyberbeveiligingsrichtlijn: zorgplicht, meldplicht, registratieplicht en toezicht.Van kracht sinds 15 augustus 2026
- Cyberbeveiligingsbesluit (Cbb)Uitwerking van de zorgplicht, de registratieplicht en de trainingsplicht voor bestuurders.Onderdeel van het Cbw-stelsel
- Wet weerbaarheid kritieke entiteiten (Wwke)Nederlandse uitwerking van CER: risicobeoordeling, weerbaarheidsmaatregelen en melden.Van kracht sinds 15 augustus 2026
- Baseline Informatiebeveiliging Overheid 2 (BIO2)Normenkader voor informatiebeveiliging bij Rijk, provincies, waterschappen en gemeenten.Geldend kader sinds de Cbw; Staatscourant 5 maart 2026
- VIR-BI 2025Beveiliging van gerubriceerde informatie, ook bij uitbesteding.Van kracht
- ABRO 2026Beveiligingseisen bij opdrachten met risico’s voor de nationale veiligheid, met toetsing van opdrachtnemers.Van toepassing sinds 1 januari 2026
- Wet digitale overheid (Wdo)Eisen aan veilige digitale toegang tot en dienstverlening door de overheid.Van kracht sinds 1 juli 2023
Normen en standaarden
- ISO/IEC 27001 en 27002:2022Managementsysteem en beheersmaatregelen voor informatiebeveiliging.Normenkader, niet wettelijk verplicht
- ISO/IEC 27005Risicomanagement voor informatiebeveiliging.Normenkader
- ISO 22301Bedrijfscontinuïteitsmanagement.Normenkader
- NEN 7510Informatiebeveiliging in de zorg.Normenkader; in de zorg voorgeschreven
- IEC 62443Beveiliging van industriële automatisering en OT.Normenkader
- EN 18031-1, -2 en -3Geharmoniseerde normen voor cybersecurity van draadloze apparatuur.Vermoeden van conformiteit onder de RED
- ETSI EN 303 645Basisbeveiliging voor consumenten-IoT.Europese norm
- NIST Cybersecurity Framework 2.0Internationaal raamwerk voor cyberrisicomanagement, met de functie Govern.Raamwerk
- ENISA-implementatierichtlijnen cyberbeveiligingsrichtlijnTechnische uitwerking van de maatregelen uit Uitvoeringsverordening 2024/2690.Richtlijn
Samenloop
De meeste organisaties vallen onder meer dan één kader tegelijk.
Een gemeente kan tegelijk essentiële entiteit onder de Cbw zijn, zorgaanbieder met een NEN 7510-verplichting via de GGD, verwerkingsverantwoordelijke onder de AVG en afnemer van producten die onder de CRA vallen. Een netbeheerder valt onder Cbw én Wwke.
De kostbare fout is om die kaders afzonderlijk te implementeren: drie classificaties, drie risicoprocessen, drie bewijsverzamelingen. Wij richten één keten in van norm naar control naar bewijs naar rapportage, en leggen per control vast welke kaders hij bedient.