Het omzetten van de NIS2-richtlijn in de Cyberbeveiligingswet (Cbw) en de CER-richtlijn in de Wet weerbaarheid kritieke entiteiten (Wwke) vraagt meer tijd dan verwacht. Het gaat namelijk om een omvangrijk en complex traject dat zorgvuldigheid vereist.
Nederland haalt het dus niet om voor de deadline van 17 oktober 2024 de richtlijnen om te zetten naar nationale wetgeving. De verwachting is dat de Cbw in het 3e kwartaal van 2025 van kracht wordt. Toch gelden er al onderdelen van de NIS2-richtlijn in de periode tussen 17 oktober en de datum waarop de wet in werking gaat. Hieronder lees je hoe en wat.
In de periode van 17 oktober 2024 tot de datum van inwerkingtreding van de Cbw gelden voor organisaties die onder de richtlijnen vallen (waaronder overheden) nog geen daaruit voortvloeiende verplichtingen. De verplichtingen uit de wet en het toezicht daarop gaan in op het moment van inwerkingtreding. Wel hebben organisaties in sommige gevallen bepaalde rechten. Dit vanwege de rechtstreekse werking van sommige bepalingen in de NIS2-richtlijn. Denk hierbij bijvoorbeeld aan het ontvangen van bijstand bij een incident door een Computer Security Incident Response Team (CSIRT).
Voor organisaties die momenteel al onder de Wet beveiliging netwerk- en informatiesystemen (Wbni) vallen, blijven de rechten en verplichtingen op grond van die wet gelden totdat de Cbw in werking treedt, en de Wbni daarmee wordt ingetrokken.
De Rijksoverheid roept organisaties uitdrukkelijk op om alvast aan de slag te gaan en niet te wachten tot de Cbw en Wwke in werking zijn getreden. De risico’s die organisaties en systemen lopen, zijn er immers nu ook al. Bekijk meer informatie over hoe organisaties zich kunnen voorbereiden(link naar andere website) op de komst van beide wetten.
