Nederland zal de Europese beveiligingsrichtlijn NIS2 een jaar te laat invoeren. De Europese Commissie had een deadline van 17 oktober 2024 gesteld, maar volgens demissionair minister Yesilgoz van Justitie en Veiligheid zal de richtlijn naar verwachting in het tweede of derde kwartaal van 2025 pas in werking treden en is versnellen geen mogelijkheid.

De NIS2-richtlijn is een herziening van de richtlijn inzake netwerk- en informatiebeveiliging uit 2016 en wil meer duidelijkheid scheppen en de implementatie verbeteren en inspelen op de ontwikkelingen in dit gebied. De richtlijn dekt meer sectoren en activiteiten dan voorheen, stroomlijnt de rapporteringsverplichtingen en pakt de beveiliging van de toeleveringsketen aan. Zo moeten meer entiteiten en sectoren maatregelen nemen om zich tegen cyberaanvallen te beschermen. Het gaat dan om sectoren als energie, vervoer, banken, gezondheidszorg, digitale infrastructuur, openbaar bestuur en ruimtevaart.

Ook wordt een kader vastgesteld voor betere samenwerking en informatie-uitwisseling tussen verschillende autoriteiten en lidstaten en wordt er een “Europese kwetsbaarheidsdatabase” opgezet. Verder legt de wet EU-landen strengere verplichtingen op, op het gebied van toezicht voor cyberbeveiliging. De wet werd eind 2022 aangenomen, waarna EU-lidstaten 21 maanden de tijd hebben om de richtlijn om te zetten in nationale wetgeving. Minister Yesilgöz had eerder al aangegeven dat de deadline van de Europese Commissie van 17 oktober dit jaar niet gehaald zou worden.

"Zoals nu voorzien zal de Nederlandse wetgeving ter implementatie van deze richtlijnen in het tweede of derde kwartaal van 2025 in werking treden", liet de minister vorige week weten in antwoorden op Kamervragen. Het niet halen van de deadline werd ook besproken in een debat in de Tweede Kamer over de 'weerbaarheid van de Nederlandse samenleving tegen ondermijnende activiteiten uit het buitenland'.

"Hoe kan het nou dat Nederland de deadline voor de implementatie van de NIS2-richtlijn voor cyberveiligheid bij lange na niet haalt, terwijl het risico van bedrijfsspionage en het weglekken van kennis zo groot is? Ik hoop dat daar een goede verklaring voor is en ik hoop natuurlijk vooral dat het kabinet hier kan toezeggen dat we alsnog wel de implementatie van die cyberveiligheidswet op tijd gaan halen?", wilde D66-Kamerlid Paternotte weten.

De minister reageerde door te stellen dat de Wet weerbaarheid kritieke entiteiten en de cyberbeveiligingswet onlangs in consultatie zijn gebracht. "De consultatietermijn eindigt 2 juli 2024. We zijn nu dus behoorlijk goed bezig", merkte Yesilgoz op. "Nederland heeft 'm nu in consultatie gebracht, maar de deadline is in oktober en de inschatting is dat we dus bijna een jaar te laat gaan zijn. Dan kunnen we dus volgens mij niet goed bezig zijn, zeker niet op zo'n belangrijk punt", reageerde Paternotte.

Het D66-Kamerlid wilde vervolgens van de minister weten of het tempo niet kan worden versneld. "Nee, versnellen zal niet meer gaan. Ik ben hier ook erg bij betrokken geweest, maar er is hier door heel veel mensen heel hard aan gewerkt. Het bevat een veelheid aan juridische keuzes en beleidskeuzes. Het is heel complex. Het is ook zeer vergaand", antwoordde de bewindsvrouw, die toevoegde dat ook Frankrijk en Duitsland nog niks hebben uitgewerkt. "Het is dus niet zo dat we ver achterlopen."