De volgende 90 dagen
Twee harde data, geen overgangstermijn, en één vraag die je op 15 augustus moet kunnen beantwoorden.
Tel even mee.
Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Niet "wordt aangekondigd", niet "gaat gefaseerd in". Treedt in werking. De Eerste Kamer stemde op 7 juli in; het kabinet heeft de datum vastgezet. Er is geen algemene overgangstermijn. De verplichtingen gelden direct. Alleen instellingen in het hoger onderwijs krijgen drie jaar.
Op 11 september 2026 begint een tweede klok. Vanaf die dag moeten fabrikanten van producten met digitale elementen actief misbruikte kwetsbaarheden en ernstige incidenten melden onder de Cyber Resilience Act. Eerste waarschuwing binnen 24 uur.
Dat is geen horizon van maanden. Dat is een kwestie van weken. En de negentig dagen die voor je liggen zijn niet de aanloop náár die data. Ze bevatten beide deadlines én je eerste weken erónder. Dat tweede deel is het deel waar niemand het over heeft, en het is het deel dat telt.
Want de deadline is niet een audit ergens in 2027. De deadline is de vraag of je kunt aantónen dat je in control bent op de dag dat de klok begint te lopen.
De meeste organisaties die ik spreek weten inmiddels dát ze onder de wet vallen. Ze hebben een plan om een plan te maken. Ze hebben een consultant, een gap-analyse uit maart, en een stuurgroep die na de zomer weer bij elkaar komt. Dat is precies de positie waarin de klok je verrast: in scope, tijd loopt, en het plan is een agenda-item.
Dit stuk is geen uitleg van NIS2. Die uitleg is er in overvloed. Dit is een aftelling: wat moet er gedáán, getést en aantóónbaar zijn, en in welke volgorde, want de twee data laten je geen keuze in die volgorde.
1. Wat er op 15 augustus verandert
De Cyberbeveiligingswet (Cbw) implementeert NIS2 in Nederland en vervangt de Wbni uit 2018. Ruim 8.000 organisaties vallen er direct onder, verdeeld over achttien sectoren. Daarnaast worden ongeveer 500 organisaties formeel aangewezen als kritieke entiteit onder de gelijktijdig ingevoerde Wet weerbaarheid kritieke entiteiten (Wwke), de Nederlandse CER-implementatie.
Eén ding vooraf, want het wordt structureel verkeerd verteld: de wet is niet één document. Er zijn drie lagen. De Cbw is het kader. Het Cyberbeveiligingsbesluit (Cbb) werkt de verplichtingen uit: risicobeheersing, registratie, de opleidingsplicht voor bestuurders. Het treedt gelijktijdig in werking. De derde laag bestaat uit ministeriële regelingen per sector, die onder meer concretiseren wánneer een incident gemeld moet worden. Als je wacht tot alle drie de lagen zijn uitgekristalliseerd voordat je begint, begin je te laat.
Vier dingen gaan om 00:00 uur op 15 augustus in.
Registratieplicht. Je moet je organisatie registreren in het entiteitenregister, in Nederland via mijn.ncsc.nl. Het NCSC schat de registratie zelf op tien minuten, mits je de gegevens vooraf hebt verzameld. Dat "mits" doet het werk: er worden zowel netwerk- als organisatiegegevens uitgevraagd, wat betekent dat je CISO, netwerkbeheerder en bestuurder er alle drie aan te pas komen. En je hebt eHerkenning nodig. Dit is de goedkoopste taak op je lijst en tegelijk de makkelijkste om op 14 augustus over te struikelen.
Zorgplicht. Passende en evenredige technische, operationele en organisatorische maatregelen, gebaseerd op een all hazards approach. Dat betekent expliciet ook fysiek: brand in de serverruimte is een risico waar maatregelen op nodig zijn. En het strekt zich uit tot je toeleveringsketen. Daarover zo meer.
Meldplicht. Significante incidenten, gefaseerd, vanaf het moment dat je ermee bekend wordt: binnen 24 uur een vroegtijdige waarschuwing aan je CSIRT en sectortoezichthouder, binnen 72 uur een initiële melding, en uiterlijk binnen één maand het eindrapport.
Let op dat laatste getal. De Cbw geeft je een maand voor het eindrapport. De CRA werkt met veertien dagen. Twee wetten, twee klokken, andere getallen. Wie één runbook bouwt op basis van "het is toch 24/72", bouwt een runbook dat één van beide wetten schendt.
En dan het bestuur. Dit is het deel dat de vergadering stil maakt. Bestuurders van essentiële en belangrijke entiteiten zijn eindverantwoordelijk voor naleving van de zorgplicht en kunnen persoonlijk aansprakelijk worden gesteld als de organisatie die zorgplicht niet nakomt. Ze zijn bovendien verplicht training te volgen en moeten daarvan een certificaat van deelname kunnen overleggen.
Lees die laatste zin nog eens als security officer. Er is nu een fysiek document dat óf in een map zit, óf niet. Dat is geen beleidsdiscussie meer. Dat is een bewijsstuk.
Toezicht is verdeeld over sectorale toezichthouders: RDI, DNB, AFM, IGJ, ILT en NVWA, afhankelijk van je (sub)sector. Het NCSC is géén toezichthouder. Dat is je CSIRT en de plek waar je registreert. Dat onderscheid is geen semantiek: het bepaalt bij wie je meldt, en wie er kan handhaven.
Essentiële entiteiten krijgen proactief toezicht: gecontroleerd worden zónder dat er iets is gebeurd. Belangrijke entiteiten krijgen reactief toezicht: achteraf, na een incident of een signaal. Boetes lopen tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten. Steeds: het hoogste van de twee.
Eén bevoegdheid verdient aparte aandacht, omdat die via amendement is toegevoegd en daarmee vérder gaat dan NIS2 zelf voorschrijft: de vakminister kan essentiële en belangrijke entiteiten verplichten om bepaalde producten of diensten van specifieke leveranciers níet meer te gebruiken, met een termijn waarbinnen je moet vervangen. Nationale veiligheid als grond, jouw architectuur als onderwerp. Wie zijn leveranciersconcentratie niet kent, kent zijn eigen vervangbaarheid niet.
2. Wat er op 11 september begint
De CRA, Verordening (EU) 2024/2847, heeft een langere aanloop dan de meeste mensen denken en een kortere angel dan ze hopen.
Vanaf 11 september 2026 gelden de meldverplichtingen van artikel 14. Actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van je product raken:
- 24 uur: vroegtijdige waarschuwing
- 72 uur: volledige melding
- 14 dagen: eindrapport na beschikbaarheid van een corrigerende maatregel (bij actief misbruikte kwetsbaarheden); één maand bij ernstige incidenten
Je meldt éénmalig via het Single Reporting Platform van ENISA, gericht aan het CSIRT van je hoofdvestiging, met ENISA die gelijktijdig wordt geïnformeerd. Het platform is operationeel per 11 september; er is een testperiode vooraf. Als je onder de CRA valt: ga testen. Een meldkanaal dat je voor het eerst gebruikt tijdens een actief misbruikte kwetsbaarheid is geen meldkanaal, dat is een tweede incident.
Boetes gaan tot €15 miljoen of 2,5% van de wereldwijde jaaromzet. Dat hoogste bedrag geldt onder meer voor overtreding van de essentiële eisen uit bijlage I én van de verplichtingen uit de artikelen 13 en 14. De meldplicht zit dus in de zwaarste boetecategorie.
Wie is "fabrikant"? Hier zitten twee verrassingen.
De eerste: fabrikant ben je als je een product met digitale elementen ontwikkelt, laat ontwikkelen, en onder je eigen merknaam op de markt brengt. Betaald óf gratis. Maar je wordt óók als fabrikant behandeld als importeur of distributeur wanneer je een product onder je eigen naam of merk op de markt brengt, of er een substantiële wijziging op uitvoert. Neem je een opensourcebibliotheek, bouw je die in een product dat je onder je eigen naam levert. Dan ben je fabrikant. Niet steward. Fabrikant.
Voor de gemiddelde Nederlandse organisatie die denkt "CRA is voor hardwareleveranciers": white-label je software? Lever je een portaal onder je eigen merk? Dan is dit gesprek voor jou.
De tweede verrassing zit in de overgangsbepaling, en die is scherper dan hij oogt. Artikel 69 lid 2 zegt dat producten die vóór 11 december 2027 op de markt zijn gebracht alléén onder de CRA-eisen vallen als ze vanaf die datum substantieel gewijzigd worden. Dat klinkt als adem. Maar lid 3 maakt daar expliciet een uitzondering op:
"In afwijking van lid 2 zijn de verplichtingen van artikel 14 van toepassing op alle producten met digitale elementen die binnen het toepassingsgebied van deze verordening vallen en die vóór 11 december 2027 op de markt zijn gebracht."
Vertaald: de rest van de CRA wacht op je volgende substantiële wijziging. De meldplicht niet. Die geldt vanaf 11 september 2026 voor je hele geïnstalleerde basis. Voor dat product uit 2019 dat nog bij veertig klanten draait en waarvan de bouwer twee werkgevers verder is. Je hebt geen ontwerpplicht voor dat product. Je hebt wél een meldplicht, en die begint te lopen op het moment dat je "bekend wordt" met actief misbruik. Weet je wat er draait? Weet je wie het meldt? Weet je binnen hoeveel uur je dat hoort?
En voor de volledigheid, in één alinea: de financiële sector kent dit patroon al. DORA is sinds januari 2025 van toepassing en heeft de discussie daar al gevoerd: niet "zijn je gegevens veilig", maar "kun je blijven draaien als je technologie faalt". Wat de rest van Nederland op 15 augustus overkomt, hebben banken en verzekeraars al achter de rug. Dat is geen troost. Dat is een gratis vooruitblik op wat toezichthouders gaan vragen.
3. De brief die je niet krijgt
Nu het deel dat het vaakst verkeerd wordt verteld, meestal door mensen die iets willen verkopen.
Je hoort veel: "tienduizenden bedrijven vallen indirect onder NIS2." Dat is niet waar, en het is belangrijk om precies te zijn, want de waarheid is ongemakkelijker.
De Cbw legt toeleveranciers van Cbw-organisaties geen directe verplichtingen op. Sterker nog, het NCSC is er expliciet over: een toezichthouder houdt géén toezicht op toeleveranciers en legt hun dus ook geen boetes op. Geen brief. Geen boete. Geen registratieplicht.
Wat er wél gebeurt: artikel 21 lid 3 sub d verplicht Cbw-organisaties tot maatregelen ter beveiliging van hun toeleveringsketen, met inbegrip van de relaties met hun rechtstreekse toeleveranciers en dienstverleners. Bij het bepalen wat "passend" is, moeten ze rekening houden met de specifieke kwetsbaarheden van elke rechtstreekse leverancier én met de algemene kwaliteit van diens producten en beveiligingspraktijken, inclusief veilige ontwikkelprocedures.
Dus: de toezichthouder komt niet voor jou. Je klant wel.
Volgens het NCSC kom je waarschijnlijk in de risico-inventarisatie voor als je diensten of producten levert die raken aan de netwerk- en informatiesystemen van een Cbw-organisatie, als je een ICT-component levert, of als je toegang hebt tot hun systemen. De koffieleverancier niet. De beheerder van de kantoorautomatisering wel.
En hier zit de operationele pijn, die het NCSC eerlijk benoemt: de criteria staan niet in de wet. "Passende maatregelen" leidt per leverancier tot een maatwerkpakket van eisen. Lever je aan meerdere Cbw-organisaties, dan krijg je verschillende lijsten met maatregelen waarop je moet reageren. Vijf klanten, vijf vragenlijsten, vijf verschillende definities van hetzelfde.
Een certificaat helpt bij dat gesprek, want je laat snel zien welke standaarden je hanteert. Maar het NCSC waarschuwt er in dezelfde adem voor: het biedt géén garantie dat het geïnventariseerde ketenrisico daadwerkelijk is afgedekt. ISO 27001 of CYRA kunnen handig zijn. De Cbw schrijft ze niet voor.
Geen wet die je dwingt. Wel een markt die je beoordeelt. Dat is geen zachtere variant van compliance. Dat is compliance zonder duidelijke eisen en zonder duidelijk eindpunt, en het begint op 15 augustus, wanneer 8.000 organisaties tegelijk beginnen te vragen.
4. De val: "ooit audit-ready" versus "nu in control"
Ik test systemen in. Dat is mijn vak. En het patroon is elke keer hetzelfde.
Ik kom binnen bij organisaties die hun audit hebben gehaald. Het certificaat hangt er. Het beleid is vastgesteld, de risicoanalyse is uitgevoerd, de maatregelen zijn "geïmplementeerd". En dan blijkt het serviceaccount uit de migratie van 2023 nog te bestaan, met rechten die niemand meer kan verklaren, buiten het bereik van elk offboardingproces, omdat het aan geen mens gekoppeld is.
Dat serviceaccount staat in geen enkel auditrapport. Niet omdat de auditor slecht was. Omdat een audit een momentopname is.
Dat is de hele kwestie. Een audit bewijst dat je het op één dinsdag op orde had. Aanvallers kiezen een andere dinsdag. En vanaf 15 augustus doen toezichthouders dat ook: bij essentiële entiteiten zonder aanleiding, zonder incident, zonder aankondiging.
De ruimte tussen die twee dinsdagen is waar mijn werk plaatsvindt. Het is ook precies de ruimte waar "compliant" ophoudt en "in control" begint.
Het verschil is niet retorisch, het is toetsbaar. Stel jezelf deze vier vragen, en accepteer alleen antwoorden met een tijdstempel:
- Kun je aantonen dat een maatregel vandaag werkt, of alleen dat hij in maart is beschreven?
- Als je nu wordt gebeld over actief misbruik: hoeveel uur kost het je om te bepalen of het je raakt? Je hebt er 24 tot de eerste melding, en die klok begint bij "bekend worden", niet bij "begrepen".
- Wie drukte er vorige keer op de knop bij de melding, en is die persoon er nog?
- Als de toezichthouder morgenochtend om bewijs vraagt, kost dat je een export of drie weken?
Een programma dat op de vierde vraag "drie weken" antwoordt, is niet in control. Het is gedocumenteerd. Dat is iets anders, en het verschil kost je 24 uur die je niet hebt.
Compliance beschrijft wat je zou doen. Control is wat er gebeurt als het misgaat, om kwart over drie 's nachts, in augustus, als de helft van je team op vakantie is.
Dat is trouwens geen retorische vakantie. 15 augustus valt midden in de zomervakantie.
5. De komende 90 dagen: wat er gedaan, getest en aantoonbaar moet zijn
Geen roadmap van achttien maanden. Drie fasen, en ze zijn níet op comfort geordend maar op de twee data. Wat vóór 15 augustus wettelijk verplicht is, staat in fase 1. Punt. Wat de CRA-klok raakt, in fase 2. En fase 3 is waar "in control" wordt bewezen, in de eerste weken dat je onder de wet draait.
Fase 1 · Vóór 15 augustus: de niet-onderhandelbare punten
Alles hier moet af zijn op de dag dat de wet ingaat. Niet "in gang gezet". Af.
- Baken je scope af. Essentiële of belangrijke entiteit? Het onderscheid bepaalt je boeteplafond én of je proactief toezicht krijgt. Ook "wij vallen er niet onder" is een besluit dat je moet kunnen verdedigen, met datum.
- Registreer. Regel eHerkenning nú, verzamel de netwerk- en organisatiegegevens vooraf (NCSC-checklist), zet CISO, netwerkbeheerder en bestuurder in één afspraak, en registreer via mijn.ncsc.nl. Verplicht per 15 augustus.
- Regel de bestuurstraining en bewaar het certificaat van deelname. Dit is geen formaliteit; het is het bewijsstuk waar het persoonlijke-aansprakelijkheidsverhaal op landt.
- Laat het bestuur tekenen op de restrisico's, met datum. Aansprakelijkheid die niet is belegd, ligt bij je bestuurders zonder dat ze het weten.
- Aantoonbaar op 15 augustus: registratiebevestiging, trainingscertificaten, een gedateerd scopebesluit, een ondertekend bestuursbesluit.
Fase 2 · Vóór 11 september: de CRA-klok
- Bepaal of je fabrikant bent onder de CRA. Breng je iets onder je eigen merk op de markt, of wijzig je iets substantieel? Dan waarschijnlijk wel, ook als je jezelf geen fabrikant vindt.
- Breng je geïnstalleerde basis in kaart. Álle producten die vóór 11 december 2027 op de markt zijn, vallen onder de meldplicht van artikel 14. Weet wat er draait, bij wie, in welke versie.
- Bouw één meldrunbook met twee klokken. Cbw: 24 u → 72 u → 1 maand. CRA art. 14: 24 u → 72 u → 14 dagen (1 maand bij ernstige incidenten). Zet ze naast elkaar; ze zijn niet identiek. Leg vast wie "bekend worden" vaststelt en hoe dat moment gelogd wordt.
- Test het ENISA Single Reporting Platform tijdens de testperiode, vóór 11 september, niet erna.
- Aantoonbaar op 11 september: een getest runbook, een besliskaart met namen en 06-nummers, een productregister, en een gemeten tijd-tot-eerste-melding.
Fase 3 · De eerste weken eronder: waar "in control" wordt bewezen
Dit is waarom het "de volgende 90 dagen" heet en niet "de laatste 30". De wet halen is fase 1 en 2. Aantónen dat je in control bent, gebeurt hierna, en het is precies wat een proactieve toezichthouder komt controleren.
- Adopteer één controlebasis en map die op beide wetten. ISO 27001 of NIST CSF 2.0, in kaart gebracht op de zorgplicht en (als fabrikant) op bijlage I van de CRA. De mappingtabel (control → wettelijke eis → bewijs → eigenaar → laatst geverifieerd) is het belangrijkste document dat je deze zomer maakt.
- Leg bewijs continu vast, in het proces, niet in een kwartaalsprint. Een control zonder verse bewijsdatum is een aanname.
- Draai je meldrunbook opnieuw met een vakantierooster. 15 augustus valt in de zomer.
- Bereid je voor op proactief toezicht (essentiële entiteiten): controle zonder incident, zonder aankondiging.
- Zet een kwartaalcyclus op waarin bewijs veroudert en opnieuw wordt bevestigd.
- Aantoonbaar, doorlopend: één mappingtabel met een eigenaar per control en een datum per bewijsstuk.
6. Eén control, meerdere kaders
Bij het lezen van fase 3 zul je iets gedacht hebben in de trant van: dit is twee keer hetzelfde werk.
Dat hoeft het niet te zijn, en dat is het beste nieuws in dit hele stuk.
Toegangsbeheer is toegangsbeheer. Loggen is loggen. Continuïteit is continuïteit. Diezelfde control verschijnt in de zorgplicht van de Cbw, in bijlage I van de CRA, in ISO 27001, in DORA en in de AVG: met andere woorden, andere nummering, andere toezichthouder. De meeste organisaties bouwen hem vier keer, bewijzen hem vier keer, en verdedigen hem vier keer, omdat het compliancewerk per wet is georganiseerd in plaats van per control.
Draai het om. Bouw de control één keer. Leg het bewijs één keer vast. Breng die ene control in kaart op elke wet die hem opeist.
Dat is geen truc om minder te doen. Het is de enige manier om deze negentig dagen te overleven zónder het werk te verdubbelen, en het is meteen de reden waarom de mappingtabel uit fase 3 het belangrijkste document is dat je deze zomer maakt. Niet omdat een toezichthouder ernaar vraagt. Omdat het het enige artefact is dat je vertelt welk bewijs je mist vóórdat iemand anders die vraag stelt.
7. Wat "operated, not archived" betekent
Ik heb Soveryne gebouwd omdat ik te vaak hetzelfde zag: organisaties met een prima beleidsmap en een serviceaccount uit 2023 dat nog open stond, bewijs dat geldig was op de dag dat het werd verzameld en op geen enkele dag daarna, in een compliancestack die zelf buiten de EU-jurisdictie draaide waarvoor hij bewijs moest leveren. Bewijs dat meeloopt met je systemen in plaats van eromheen, binnen de jurisdictie waarin je het moet verantwoorden: dat is het verschil tussen een programma dat je operates en een programma dat je archiveert.
Verder verkoop ik je hier niets. Als je één ding uit dit stuk meeneemt, laat het de mappingtabel zijn. Die kun je maandag in een spreadsheet beginnen.
8. Nog een paar weken
Terug naar de aftelling.
Op 15 augustus stelt iemand je een vraag. Misschien een toezichthouder, misschien je grootste klant, misschien je eigen bestuurder die net heeft begrepen wat "persoonlijk aansprakelijk" betekent. De vraag is niet "zijn we compliant?" Die vraag heeft een antwoord dat je in maart hebt opgeschreven.
De vraag is: kun je het aantonen, vandaag, met een datum erop?
Als het antwoord "geef me drie weken" is, weet je wat je de komende negentig dagen te doen staat. Als het antwoord een export is, ben je in control.
Er is geen overgangstermijn. Dat is niet bedreigend bedoeld. Het is gewoon de datum.
Zelf aan de slag met de komende negentig dagen? Soveryne Command is in early access en het instappunt is een gratis intake. Vertel ons wat je moet kunnen aantonen, en wanneer. Meld je aan
Ilke Tosunoğlu is ethical hacker en penetratietester, en oprichter van Soveryne. Reageren of verder praten over de aftelling? LinkedIn.
