De NIS2- en CER-richtlijn zijn sinds 17 oktober 2024 geldig in de Europese Unie. In Nederland is het niet gelukt om deze EU-richtlijnen op tijd om te zetten in nationale wetgeving. De verwachting is dat de nationale wetten, de Cyberbeveiligingswet (Cbw/NIS2) en de Wet weerbaarheid kritieke entiteiten (Wwke/CER), in het 3e kwartaal van 2025 in werking treden.
Rechten en verplichtingen
Tot de wetten in werking zijn getreden hoeven organisaties zich niet aan de verplichtingen uit de richtlijn te houden. Wel hebben organisaties in bepaalde gevallen bepaalde rechten,
vanwege rechtstreekse werking van sommige bepalingen in de NIS2-richtlijn.
NIS2-richtlijn
De NIS2-richtlijn wordt geïmplementeerd in de Cyberbeveiligingswet.
De Cyberbeveiligingswet zal gelden voor essentiële en belangrijke entiteiten. Tussen 17 oktober 2024 en de datum van inwerkingtreding van de Cyberbeveiligingswet hebben deze entiteiten bepaalde rechten, zoals het ontvangen van bijstand bij een cyberincident door een
Computer Security Incident Response Team (CSIRT). Voor alle essentiële en belangrijke entiteiten gaan de verplichtingen in de NIS2-richtlijn pas in zodra de Cyberbeveiligingswet in werking treedt.
Voor organisaties die momenteel al onder de Wet beveiliging netwerk- en informatiesystemen (Wbni) vallen, blijven de rechten en verplichtingen op grond van die wet gelden totdat de Cyberbeveiligingswet in werking treedt en de Wbni daarmee wordt ingetrokken.
CER-richtlijn
De CER-richtlijn wordt geïmplementeerd in de Wet weerbaarheid kritieke entiteiten. Tussen 17 oktober 2024 en de datum van inwerkingtreding van deze wet gelden er geen verplichtingen voor organisaties vanuit de CER-richtlijn. Deze verplichtingen gelden pas als de Wet weerbaarheid kritieke entiteiten in werking treedt en een organisatie wordt aangewezen als kritieke entiteit. Na deze aanwijzing heeft een kritieke entiteit 10 maanden de tijd om te voldoen aan bijvoorbeeld de zorgplicht en de meldplicht uit de Wwke.
