Onlangs stemde de Tweede Kamer in met de Cyberbeveiligingswet, die de Europese NIS2-richtlijn volgt en de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) moet vervangen. Daarmee verschuift cybersecurity volgens Jesper Olsen van Palo Alto Networks definitief van een IT-onderwerp naar een bestuursverantwoordelijkheid. Veel organisaties kijken volgens de chief security officer bij de cybersecurityspecialist echter nog steeds naar NIS2 alsof het de top van de Mount Everest is. ‘Maar het is juist het basiskamp. Het is het minimale beveiligingsniveau dat je als organisatie gewoon op orde moet hebben’, aldus Olsen.
Nederland liep achter op veel andere Europese landen bij de invoering van de richtlijn. Volgens Olsen kwam dat deels doordat bestaande Nederlandse cybersecuritywetgeving eerst opnieuw beoordeeld en herschreven moest worden. ‘En je hebt in Nederland een goedkeuringstraject in meerdere stappen, via zowel de Tweede als de Eerste Kamer’, legt hij uit. Landen als België konden sneller schakelen omdat zij hun bestaande wetgeving grotendeels direct hebben omgezet. En ook Denemarken, waar Olsen vandaan komt, hoefde slechts beperkte aanpassingen te doen.
De nieuwe cybersecuritywet introduceert onder meer een zorg-, meld- en registratieplicht voor organisaties die onder de wet vallen. De Rijksoverheid adviseert bedrijven nadrukkelijk om niet te wachten op de definitieve inwerkingtreding. Olsen vindt dat bedrijven al hadden moeten beginnen: ‘We weten al jaren dat deze regelgeving eraan komt. De meeste organisaties konden allang inschatten dat ze direct of indirect geraakt zouden worden.’
Een van de grootste veranderingen is volgens Olsen de mate van bestuurlijke aansprakelijkheid. ‘Door NIS2 ligt er veel meer verantwoordelijkheid bij individuele bestuurders’, zegt Olsen. ‘Ze kunnen persoonlijk aansprakelijk worden gehouden.’ Hij schetst het voorbeeld van een directie die bewust besluit een ernstig beveiligingslek maandenlang niet op te lossen omdat het projecten vertraagt of geld kost. ‘Als dat lek vervolgens wordt misbruikt, kun je juridisch spreken van nalatigheid.’
Ook in industriële omgevingen heeft dat grote gevolgen. Waar cybersecurity jarenlang vooral een IT-aangelegenheid was, vallen nu ook OT-systemen en productieomgevingen onder dezelfde regels. ‘Alles wat verbonden is, valt nu onder één paraplu’, zegt Olsen. Juist daar ziet hij nog flinke verschillen in volwassenheid. Bedrijven in industrieën waar zware compliance-eisen normaal zijn, zitten volgens hem dicht bij het ‘basiskamp’. ‘Andere organisaties, vooral bedrijven met veel technische legacy en recent gekoppelde OT-systemen, staan nog laag op de gereedheidsschaal.’
De impact beperkt zich bovendien niet tot de bedrijven die formeel onder NIS2 vallen. ‘De druk zal zich snel door de volledige supplychain verspreiden’, verwacht Olsen. ‘Want grote bedrijven zullen de eisen uit de wet vaak rechtstreeks doorzetten naar hun leveranciers en partners. Dat is immers de makkelijkste manier om risico’s te verkleinen.’ Daardoor krijgen ook veel mkb-bedrijven ermee te maken. ‘Leveranciers zullen steeds vaker vragen krijgen over hun meldprocessen, governance en incidentrespons. Ook bedrijven die niet direct onder NIS2 vallen, moeten zich gaan afvragen: hoe volwassen zijn wij eigenlijk op cybersecuritygebied?’
Volgens Olsen moeten bedrijven daarbij oppassen dat ze NIS2 niet uitsluitend benaderen als het volgende complianceproject. ‘Het doel van de wetgeving is juist om het algemene beveiligingsniveau in Europa structureel omhoog te brengen. Er staan vooral bekende best practices in.’ En snelheid is geboden. Zodra de wet formeel ingaat – volgens planning in het tweede kwartaal van 2026 – beginnen de verplichtingen direct te lopen, inclusief strenge meldtermijnen van 24 uur. Zeker organisaties zonder eigen 24/7-securityteams kunnen daardoor onder druk komen te staan. Olsen verwacht bovendien dat toezichthouders voorbeelden zullen gaan stellen. ‘Als er niet stevig wordt gehandhaafd, is het risico dat organisaties het niet serieus nemen. Er zullen dus waarschijnlijk harde keuzes en stevige beoordelingen volgen.’
Toch ziet Olsen de wetgeving uiteindelijk vooral als kans. ‘Goede cybersecurity wordt een concurrentievoordeel’, zegt hij. ‘Hoe beter je het vandaag op orde hebt, hoe makkelijker je toekomstige regelgeving aankunt. Maar belangrijker: cybersecurity is het fundament om stabiele producten en diensten te leveren. Dus zorg ervoor dat je weet waar je als bedrijf staat en dat bestuurders de juiste taal kunnen spreken.’
