Nederland gaat het niet op tijd halen om de Europese beveiligingsrichtlijn NIS2 te implementeren. Het voorstel voor de implementatie heeft opnieuw vertraging opgelopen en zou nu voor aankomende zomer moeten verschijnen, zo heeft demissionair minister Yesilgöz van Veiligheid en Justitie aan de Tweede Kamer laten weten (pdf). De NIS2-richtlijn is een herziening van de richtlijn inzake netwerk- en informatiebeveiliging uit 2016 en wil meer duidelijkheid scheppen en de implementatie verbeteren en inspelen op de ontwikkelingen in dit gebied.

De richtlijn dekt meer sectoren en activiteiten dan voorheen, stroomlijnt de rapporteringsverplichtingen en pakt de beveiliging van de toeleveringsketen aan. Zo moeten meer entiteiten en sectoren maatregelen nemen om zich tegen cyberaanvallen te beschermen. Het gaat dan om sectoren als energie, vervoer, banken, gezondheidszorg, digitale infrastructuur, openbaar bestuur en ruimtevaart.

Ook wordt een kader vastgesteld voor betere samenwerking en informatie-uitwisseling tussen verschillende autoriteiten en lidstaten en wordt er een “Europese kwetsbaarheidsdatabase” opgezet. Verder legt de wet EU-landen strengere verplichtingen op, op het gebied van toezicht voor cyberbeveiliging. De wet werd eind 2022 aangenomen, waarna EU-lidstaten 21 maanden de tijd hebben om de richtlijn om te zetten in nationale wetgeving.

Eerder meldde het Nationaal Cyber Security Centrum (NCSC) dat de nationale implementatie van NIS2 een omvangrijk en complex traject is, mede omdat die tegelijkertijd met de CER-richtlijn wordt geïmplementeerd. De Critical Entities Resilience (CER) richtlijn richt zich op de bescherming van publieke en private organisaties tegen fysieke risico’s, zoals de gevolgen van misdrijven, sabotage en natuurrampen. Naast de complexiteit gaat NIS2 ook voor meer organisaties gelden.

Oorspronkelijk was het plan dat de wetsvoorstellen voor NIS2 en CER zomer 2023 via Internetconsultatie.nl ter consultatie aangeboden zou worden. Vorig jaar juni werd bekend dat dit naar eind 2023 was verschoven. Nu meldt Yesilgöz dat de conceptwetsvoorstellen naar verwachting voor de zomer van 2024 in consultatie zullen worden gebracht. "Gelet op de benodigde vervolgstappen in het wetgevingstraject concludeer ik dat de implementatiedeadline van de Europese Commissie voor beide richtlijnen, te weten 17 oktober 2024, niet wordt gehaald", aldus de minister.