Nederland staat voorzichtig positief tegenover de Europese plannen om NIS2 te vereenvoudigen, maar alleen als de kern van de richtlijn overeind blijft. Het kabinet wil minder administratieve lasten en meer uitvoerbaarheid, maar verzet zich tegen elke wijziging die cybersecurity-normen verzwakt of nationale beleidsruimte beperkt.
Dit blijkt uit een fiche, een officieel beoordelingsdocument waarmee het kabinet de Tweede Kamer informeert over de voorstellen van de Europese Commissie. Simplificatie van NIS2 staat daarin centraal. Maar voordat deze vereenvoudiging in Nederland een feit wordt, moet eerst nog het ‘oorspronkelijke NIS2’ worden geïmplementeerd. Dat gaat in Den Haag erg traag. ‘
In België lukte de implementatie één jaar en een kwartaal na het van kracht worden van deze EU-richtlijn ter verhoging van de digitale weerbaarheid. De Nederlandse ambtenaren hadden voor de omzetting van NIS2 in nationale wetgeving echter ruim twee keer zoveel tijd nodig. Pas op 23 maart aaanstaande. kan de Tweede Kamer over de Cyberbeveiligingswet in debat. Ergens in het tweede kwartaal van dit jaar valt de implementatie te verwachten.
Tegens én voors
Simplificatie mag geen excuus worden voor nieuwe vertraging, stelt het kabinet. Evenmin mogen de voorstellen leiden tot afzwakking van risicobeheer, incidentmelding of supply‑chain‑eisen. Nederland is ook tegen een beperking van de nationale ruimte om sectoren toe te voegen of strengere eisen te stellen.
Het kabinet ziet deze voorstellen van de Commissie wel zitten:
- Minder rapportage- en documentatieverplichtingen moeten leiden tot lagere regeldruk;
- Eenduidige definities en sectorafbakening om de implementatie te versnellen;
- Betere uitvoerbaarheid voor bedrijven en toezichthouders, inclusief eenvoudiger incidentmeldingen;
- Meer aansluiting op andere EU‑kaders zoals Dora, CER en GDPR;
- Micro- of kleine dns-dienstverleners vallen niet langer onder NIS2;
- Hetzelfde geldt voor kleine stroomproducenten zonder impact op de stabiliteit van het elektriciteitsnet;
- NIS2 wordt wel van toepassing op Eudi-wallets en European Business Wallets;
- Het toepassingsbereik wordt uitgebreid met hyperscalers die onderzeese datakabels in Nederland willen aanlanden.
- Er komt een nieuwe categorie ‘small mid cap’ bedrijven die toezichthouders niet meer vooraf maar achteraf gaan controleren
- Betere datacollecties over ransomware-aanvallen.
