Vanaf halverwege 2024 zullen meer Nederlandse bedrijven verplicht zijn om securitymaatregelen te nemen en ernstige cyberincidenten te rapporteren. De EU-lidstaten en het Europees Parlement hebben vandaag een politiek akkoord bereikt over de herziening van de zogenoemde EU Netwerk- en Informatiebeveiligingsrichtlijn (NIB2).

Onder de huidige richtlijn zijn aanbieders van essentiële diensten, zoals banken, drinkwaterbedrijven en energieleveranciers, en digitale partijen, zoals clouddiensten en online marktplaatsen, door de Rijksoverheid al aangewezen om maatregelen te nemen voor hun digitale veiligheid en ernstige cyberincidenten te melden.

Vanaf halverwege 2024 wordt het aantal sectoren waarvoor het nemen van maatregelen en melden van incidenten gaat gelden fors uitgebreid. De herziene NIB2-richtlijn kent dan twee categorieën: essentiële aanbieders en belangrijke aanbieders. Bij de essentiële aanbieders, voornamelijk partijen uit Nederlandse vitale sectoren, is het toezicht straks proactief. Bij de belangrijke aanbieders, vindt het toezicht achteraf plaats als er aanwijzingen zijn dat er sprake is van een incident.

Het gaat dan met name om middelgrote en grote partijen. Naast de meldplicht moeten alle aanbieders die onder de herziene richtlijn gaan vallen ook veiligheidsmaatregelen gaan nemen; de zogenaamde zorgplicht. Het gaat dan onder andere om het verhogen van de beveiliging van hun toeleveringsketen en het op orde brengen van de manier waarop ze cyberincidenten afhandelen.

Na stemming in het Europees Parlement wordt de richtlijn naar verwachting in de herfst van dit jaar gepubliceerd en kan deze daarna voor medio 2024 worden omgezet in nationale wetgeving.