11 augustus 2026
Leestijd: circa 8 minuten
NIS2, Cyberbeveiligingswet, DORA, BIO2, NEN 7510: wie zich verdiept in cyberweerbaarheid krijgt al snel met een lange lijst afkortingen te maken. De kaders raken vaak dezelfde onderwerpen, maar hebben niet dezelfde functie of doelgroep. Met een eenvoudige ordening wordt duidelijker wat jouw organisatie verplicht is te doen en welke kaders juist helpen bij de praktische invulling.
Niet ieder kader doet hetzelfde
De belangrijkste winst zit in één onderscheid. Wetten en verordeningen bepalen welke verplichtingen gelden. Besluiten en sectorspecifieke regels werken die verplichtingen verder uit. Normen en control frameworks helpen organisaties vervolgens om maatregelen gestructureerd in te richten, te toetsen en aan te tonen.
Dat betekent ook dat er niet één ranglijst bestaat waarop ieder kader simpelweg ‘hoger’ of ‘lager’ staat. Eerst moet worden bepaald welke regels op de organisatie en het concrete onderwerp van toepassing zijn. Daarna kun je bekijken welke bestaande normen of beheersmaatregelen al bruikbaar bewijs opleveren.
Van Europese richtlijn naar Nederlandse verplichting
NIS2: de Europese richting
Network and Information Security Directive 2, kortweg NIS2, is een Europese richtlijn die het niveau van cyberbeveiliging binnen de Europese Unie moet verhogen. Een richtlijn geeft lidstaten de opdracht om de Europese doelen in nationale wetgeving om te zetten. Voor Nederlandse organisaties worden de verplichtingen daarom vooral concreet via de Cyberbeveiligingswet en de regels die daaronder hangen.[1]
Cbw: de Nederlandse wet
De Cyberbeveiligingswet is de Nederlandse uitwerking van NIS2. De wet, die per 15 augustus 2026 van kracht wordt, bepaalt onder meer welke essentiële en belangrijke entiteiten onder de regels vallen. Ook regelt zij de registratieplicht, zorgplicht, meldplicht, bestuurlijke verantwoordelijkheid en het toezicht. De Cbw vormt dus het belangrijkste Nederlandse vertrekpunt voor organisaties binnen haar reikwijdte.[2]
Cbb: de nadere uitwerking
Het Cyberbeveiligingsbesluit is een algemene maatregel van bestuur onder de Cbw. Het besluit werkt onderdelen van de wet nader uit, bijvoorbeeld rond risicobeheersmaatregelen en de opleiding van bestuurders. Daarnaast kunnen ministeriële regelingen sectorspecifieke details bevatten, zoals drempelwaarden voor incidentmeldingen.[3]
Kort gezegd: NIS2 geeft de Europese richting, de Cbw legt de Nederlandse hoofdverplichtingen vast en het Cbb en de ministeriële regelingen maken onderdelen daarvan concreter.
Kaders die aanvullen of sectorspecifiek werken
DORA: voor de financiële sector
DORA , of Digital Operational Resilience Act, is een rechtstreeks werkende Europese verordening voor digitale operationele weerbaarheid in de financiële sector. Zij bevat uitgebreide regels over ICT-risicomanagement, incidenten, testen en risico’s bij externe ICT-dienstverleners.[4]
DORA en de Cyberbeveiligingswet kunnen beide in beeld zijn. Voor financiële entiteiten geldt DORA op het gebied van ICT-risicobeheer, incidentmelding en toezicht als de sectorspecifieke regeling. Juristen noemen dit het lex-specialisbeginsel: wanneer een algemene en een specifieke regeling hetzelfde onderwerp regelen, gaat de specifieke regeling voor. Dat betekent niet automatisch dat de Cyberbeveiligingswet volledig buiten beeld blijft. Per organisatie en verplichting moet worden beoordeeld welk kader van toepassing is. De praktische boodschap is vooral: bouw geen los DORA- en Cbw-stelsel, maar breng de overlap en eventuele aanvullende eisen zorgvuldig in kaart.
Wwke: digitale en bredere weerbaarheid naast elkaar
De Wet weerbaarheid kritieke entiteiten (Wwke) implementeert de Europese CER-richtlijn (Critical Entities Resilience). Waar de Cbw zich richt op digitale weerbaarheid, kijkt de Wwke breder naar dreigingen die essentiële dienstverlening kunnen verstoren, zoals sabotage, natuurrampen en andere fysieke of organisatorische risico’s.[5]
Organisaties vallen niet automatisch onder de Wwke: zij worden door het verantwoordelijke ministerie aangewezen als kritieke entiteit. Een aangewezen kritieke entiteit is wel automatisch een essentiële entiteit onder de Cbw. Andersom geldt dat niet. De wetten staan dus naast elkaar en vullen elkaar aan.
Normen die helpen bij de praktische uitvoering
BIO2: de baseline voor de overheid
De BIO2 (Baseline Informatiebeveiliging Overheid 2) is het gemeenschappelijke normenkader voor informatiebeveiliging binnen de overheid. Het helpt overheidsorganisaties om beveiligingsprincipes te vertalen naar beleid, processen en maatregelen. BIO2 kan daarmee een belangrijke praktische invulling geven aan onderdelen van de Cbw, maar is geen vervanging van de wet. Reikwijdte, meldplichten en bestuurlijke verplichtingen moeten afzonderlijk worden beoordeeld.[6]
NEN 7510: informatiebeveiliging in de zorg
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zij richt zich op zorgorganisaties en organisaties die persoonlijke gezondheidsinformatie verwerken. De norm helpt om een managementsysteem en zorgspecifieke beheersmaatregelen in te richten. De actuele NEN 7510-2 bevat bovendien een mapping met de Cyberbeveiligingswet.[7]
Dat voorkomt onnodig dubbel werk. Een zorgorganisatie die NEN 7510 goed heeft ingericht, beschikt al over veel maatregelen en bewijsstukken die ook voor de Cbw relevant zijn. Dat betekent echter niet automatisch dat iedere Cbw-verplichting is afgedekt. Denk bijvoorbeeld aan registratie, incidentmeldingen en de specifieke verantwoordelijkheid van het bestuur.
Het Cbw Control Framework als verbindende laag
Het Cbw (NIS2) Control Framework van de Auditdienst Rijk en NOREA (de officiële beroepsorganisatie van IT-auditors in Nederland) brengt de verschillende werelden praktisch bij elkaar. Het framework ondersteunt organisaties bij het bepalen van de scope, het uitvoeren van een gap-analyse en het opstellen van een verbeterroadmap. Het framework bevat koppelingen met onder meer BIO2, DORA en NEN 7510.[8]
Daarmee kun je bestaande maatregelen hergebruiken en gericht vaststellen waar nog aanvullingen nodig zijn. Het framework is een hulpmiddel en geen nieuwe wet of zelfstandig bewijs dat de organisatie volledig compliant is. De eigen juridische beoordeling, risicoanalyse en toetsing van de werking blijven noodzakelijk.
De gemene deler: risicogebaseerd en aantoonbaar werken
Hoewel de kaders verschillen, keren dezelfde bestuurlijke thema’s steeds terug. Organisaties moeten weten welke processen en informatie belangrijk zijn, risico’s beoordelen, passende maatregelen nemen, incidenten beheersen, leveranciers meenemen en de werking van de aanpak blijven evalueren.
- Bestuur en management moeten weten wie waarvoor verantwoordelijk is.
- Risico’s en maatregelen moeten worden verbonden aan continuïteit en dienstverlening.
- Leveranciers en andere ketenafhankelijkheden horen in het integrale risicobeeld.
- Besluiten, controles, trainingen en verbeteracties moeten aantoonbaar worden vastgelegd.
- Nieuwe dreigingen, incidenten en wijzigingen vragen om periodieke actualisering.
Voor bestuurders is dat belangrijker dan het uit het hoofd kennen van alle afkortingen. Zij moeten kunnen beoordelen welk bedrijfsrisico voorligt, welke maatregel wordt voorgesteld, welk restrisico overblijft en of de organisatie voldoende voorbereid is op verstoring.
Een praktische aanpak voor compliance officers
Compliance officers kunnen orde scheppen door niet voor ieder kader een afzonderlijk project te starten, maar vanuit één samenhangend beheersingsmodel te werken:
- Bepaal per entiteit en dienst welke wet- en regelgeving rechtstreeks van toepassing is.
- Leg vast welke sectorspecifieke besluiten, regelingen en normen daar aanvullend bij horen.
- Map bestaande maatregelen en bewijsstukken op de verplichtingen en voorkom dubbel werk.
- Maak ontbrekende maatregelen, restrisico’s, eigenaars en besluitmomenten zichtbaar.
- Rapporteer aan het bestuur in begrijpelijke taal over risico, impact, voortgang en keuzes.
Zo ontstaat geen verzameling parallelle complianceprogramma’s, maar één bestuurbare aanpak die vanuit verschillende juridische en sectorale perspectieven kan worden onderbouwd.
De juiste vragen blijven waardevol
Welke wet, verordening of norm ook direct of indirect van toepassing is: investeren in de kennis van bestuurders en beleidsbepalers blijft verstandig. Cyberincidenten houden zich immers niet aan de grenzen van een wettelijk kader. Ze raken risicomanagement, bedrijfscontinuïteit, reputatie, leveranciers en strategische keuzes.
De E-learning Cyberweerbaarheid voor bestuurders en beleidsbepalers helpt om die samenhang in begrijpelijke taal te doorgronden. Zonder technische voorkennis leren zij welke vragen zij moeten stellen, hoe zij risico’s en maatregelen beoordelen en op welke onderdelen zij verantwoordelijkheid moeten nemen. Herkenbare dilemma’s en realistische casuïstiek maken de stap van wetgeving naar de dagelijkse bestuurspraktijk.
Wil je bestuurders en beleidsbepalers helpen om aantoonbaar grip te krijgen op cyberrisico’s en bedrijfscontinuïteit? Bekijk hier ons aanbod of neem contact op met Bart Keijzers voor een passende inzet van de E-learning en Permanent Actueel Cyberweerbaarheid.
Bronnen
1. EUR-Lex, Richtlijn (EU) 2022/2555 (NIS2)
3. NCTV, Wetten en regelgeving rond Cbw en Wwke
4. De Nederlandsche Bank, DORA
5. NCTV, Wet weerbaarheid kritieke entiteiten
6. Digitale Overheid, Baseline Informatiebeveiliging Overheid
7. NEN, NEN 7510-2 geactualiseerd en gekoppeld aan de Cyberbeveiligingswet
8. Auditdienst Rijk, Cbw (NIS2) Control Framework v1.2 en studierapport