Op 4 juni 2025 zijn bij de Tweede Kamer twee wetsvoorstellen ingediend: de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Hiermee zet Nederland een cruciale stap in de implementatie van twee belangrijke Europese richtlijnen: de NIS2-richtlijn, gericht op cyberveiligheid, en de CER-richtlijn, die draait om de fysieke en operationele weerbaarheid van vitale organisaties. We maken hiermee de overgang van voorbereiding naar parlementaire behandeling – een moment waarop de nieuwe wetten echt vorm gaan krijgen.

Cyberbeveiligingswet: digitale weerbaarheid stevig verankerd

De Cyberbeveiligingswet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en voert de Europese NIS2-richtlijn in. Die richtlijn is sinds 17 oktober 2024 van kracht, maar de praktische invulling is via deze nationale wet geïnitieerd.

Wat is nieuw?

Zorgplicht voor organisaties in vitale sectoren, waarmee zij structureel verantwoordelijk worden voor passende en proportionele beveiligingsmaatregelen.
Meldplicht: ernstige cyberincidenten moeten binnen strikte termijnen worden gemeld aan bevoegde instanties, zodat sneller kan worden gereageerd.
vastgelegd in een nationale wet, met nadere uitwerking via het “Cyberbeveiligingsbesluit”. Hierin komen praktische normen, drempels en procedures.
Dualistische structuur: de wet zelf bepaalt de kaders; sectorale ministeriële regelingen en de AMvB’s vullen die uit in samenwerking met bijvoorbeeld digitale- en zorgsectornormen zoals ISO 27001 en NEN 7510.

Stand van zaken

Beoordeling door de Raad van State vond plaats in december 2024 en werd in februari 2025 afgerond.
De wet werd formeel ingediend op 4 juni 2025.
Nu wordt deze behandeld in de Vaste Kamercommissie Digitale Zaken, daarna volgt een plenaire Kamerbehandeling en bij goedkeuring verder naar de Eerste Kamer.
Oorspronkelijke planning voor inwerkingtreding in het derde kwartaal van 2025 is bijgesteld. Door de val van het kabinet op 3 juni en het naderende zomerreces, is een inwerkingtreding waarschijnlijk begin 2026 meer realistisch. Een snelle behandeling in het najaar kan leiden tot een streefdatum rond eind 2025, maar het meest waarschijnlijke scenario is midden 2026.

Wet weerbaarheid kritieke entiteiten: fysieke robuustheid gegarandeerd

Parallel aan de Cyberbeveiligingswet is de Wet weerbaarheid kritieke entiteiten ingediend. Deze wet is gericht op de implementatie van de CER-richtlijn, die organisaties die essentiële diensten leveren – zoals energie, transport, drinkwater, gezondheidszorg en financiële infrastructuur – verplicht tot fysieke weerbaarheid.

Kern van de wet

identificatie van kritieke entiteiten, op basis van risicobeoordelingen door vakministeries.
verplichte zorgplicht voor technische en organisatorische maatregelen tegen fysieke risico’s, van sabotage tot klimaatincidenten.
Meldplicht voor verstoringen of incidenten die de levering van essentiële diensten bedreigen.
toezicht door sectorale autoriteiten, zoals IGJ in de zorg, met wettelijke sancties tot maximum €10 miljoen of 2% van de jaaromzet.
stroomlijning via AMvB’s en sectorale ministeriële regelingen – inclusief de integratie met cyberverplichtingen als een entiteit als “kritiek” wordt aangewezen.

Procesverloop

Internetconsultatie over AMvB’s vanaf 20 februari tot 30 maart 2025, inclusief beroepen op ISO- en sectornormen.
Raad van State-advies is eind 2024 uitgebracht, gevolgd door verwerking in nadere rapportage en memorie van toelichting in juni 2025.
Wetsvoorstel ingediend bij de Tweede Kamer op 4 juni 2025, in handen van de Kamercommissie Justitie & Veiligheid.
Navolging na behandeling in beide Kamers. Streven is op termijn gelijktijdige inwerkingtreding met de Cyberbeveiligingswet, zij het hoogstwaarschijnlijk ergens in 2026.

Waarom deze wetten zo belangrijk zijn

Geheel Nederlandse implementatie van EU-regels: met NIS2 en CER voert Nederland twee strategisch belangrijke EU-richtlijnen in nationale wetgeving door – van intentie naar uitvoering.
Allesomvattend weerbaarheidskader: aandacht voor zowel digitale als fysieke bedreigingen versterkt de vitale infrastructuur in al haar facetten.
Duidelijke verantwoordelijkheidsstructuur: zorg- en meldverplichtingen verplichten organisaties verantwoord te handelen, inzichtelijk te zijn en verantwoording af te leggen.
Handhaafbare wetgeving: instituties zijn uitgerust met toezichtinstrumenten en kunnen boetes opleggen bij non-compliance, wat naleving actief stimuleert.

Wat staat er nu te gebeuren?

Kamerdebat & behandeling: in de Kamercommissies en vervolgens plenair, met intensieve fase na zomerreces (afgelopen 4 juli – 1 september).
AMvB’s en sectorregelingen: fase van consultatie, verdere uitwerking en definitieve vaststelling loopt parallel aan de wetgeving, in samenwerking met betrokken stakeholders.
Uitrolsamenwerking: meerdere ministeries (VWS, EZK, IenW, LVVN, BZK, …) en toezichthouders werken samen aan sectorale invulling, vanuit zowel cyber- als fysieke invalshoek.
Inwerkingtreding: streefperiode ligt op eind 2025 tot medio 2026. Politieke ontwikkelingen kunnen dit nog beïnvloeden, maar urgentie blijft hoog.

Conclusie

De formele indiening van zowel de Cyberbeveiligingswet als de Wet weerbaarheid kritieke entiteiten op 4 juni 2025 laat zien dat Nederland stevig inzet op een robuuste, moderne benadering van vitale infrastructuurbescherming. De focus ligt op zorg, melding en handhaving – zowel digitaal als fysiek. De wetgeving maakt een vloeiende overgang naar Europese normen en ondersteunt een samenhangende, hernieuwde aanpak van bedreigingen.

Parlementaire behandeling en afstemming over AMvB’s volgen nu, en daarna een haalbare implementatie in 2026. Organisaties in vitale sectoren doen er verstandig aan zich voor te bereiden: het wettelijk kader verandert, en de verwachtingen worden hoog.

Laten we alert blijven en actief meedenken tijdens het parlementaire debat, zodat deze wetten hun doel optimaal dienen: een veilig, weerbaar en weerbaar Nederland.