NIS2 Cyberbeveiligingswet treedt definitief op 15 augustus 2026 in werking

8000 organisaties “moeten zelf bepalen” of ze eronder vallen, en tegelijk dreigen met boetes… ja dat wordt dus massaal gokken tot de toezichthouder op de stoep staat. En dat entiteitenregister vóór vandaag: even rekenen, op zaterdag 15 augustus om 07:54 gaan er dus ineens duizenden compliance-mensen tegelijk op hetzelfde portaal rammen, succes met de “digitale weerbaarheid”. Bestuurstraining erbij is ook mooi: powerpoint-certificaat halen en daarna gewoon weer “IT doet dat toch?” 😑

Ik heb genoeg van de wereld gezien om te weten dat dit soort wetten vooral werken als je ook durft te snijden in die eindeloze keten van leveranciers en “cloudpartners” waar iedereen z’n rommel bij neerlegt: de grote club heeft straks keurige policies en een bestuurstraining, en de echte gaten zitten bij het mkb‑IT’ertje dat met drie man 40 klanten draait en overal dezelfde remote tool open laat staan. En dat “zelf bepalen of je eronder valt” is typisch Nederlands polderen: iedereen gaat zich rijk rekenen tot er een incident is, dan is het ineens huilen bij de toezichthouder en wijzen naar de externe partij. Als ze nou eens beginnen met één simpele eis: je moet kunnen aantonen dat je je back-ups kunt terugzetten en wie er admin is, want ik kom nog steeds organisaties tegen die niet eens weten waar hun eigen sleutels liggen.

Leuk dat ze “zorgplicht” roepen, maar nergens staat wat nou *passend* is: voor de één is dat MFA en logging, voor de ander een A4’tje “wachtwoord is geheim”. En dan die meldplicht met strakke termijnen… even rekenen: als je op vrijdagavond om 23:30 ontdekt dat je AD is overgenomen, zit je dus in het weekend een jurist + CSIRT + bestuur wakker te bellen terwijl je eigenlijk eerst je systemen wilt fixen. Klinkt vooral als: meer papier, niet per se minder ransomware.