Wetgeving over informatiebeveiliging
Organisaties in Nederland hebben te maken met meerdere wetten en normen voor informatiebeveiliging. De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026 en is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Daarnaast gelden de AVG voor persoonsgegevens en de BIO voor overheden. Per wet lees je voor wie hij geldt en wat hij vraagt.
- AVG en informatiebeveiliging
De AVG (Algemene verordening gegevensbescherming) is de Europese privacywet die sinds 25 mei 2018 geldt. Artikel 32 verplicht organisaties om persoonsgegevens te beveiligen met passende technische en organisatorische maatregelen. Een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. De Cyberbeveiligingswet beschermt netwerk- en informatiesystemen en kan tegelijk met de AVG gelden.
- BIO: Baseline Informatiebeveiliging Overheid
De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor informatiebeveiliging van het Rijk, provincies, gemeenten en waterschappen. De opvolger BIO2 is gebaseerd op ISO 27001 en ISO 27002 en voegt verplichte overheidsmaatregelen toe. Sinds 15 augustus 2026 is de BIO2 via de Cyberbeveiligingswet wettelijk verplicht voor overheidsorganisaties die onder die wet vallen.
- Cyber Resilience Act (CRA)
De Cyber Resilience Act (CRA) is Verordening (EU) 2024/2847, die cybersecurity-eisen stelt aan hardware en software met digitale elementen. Fabrikanten moeten producten veilig ontwerpen, kwetsbaarheden minimaal 5 jaar verhelpen en actief misbruikte kwetsbaarheden melden. De meldplicht geldt sinds 11 september 2026; alle eisen gelden vanaf 11 december 2027.
- Cyberbeveiligingswet (NIS2)
De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die de Europese NIS2-richtlijn uitvoert. De wet geldt sinds 15 augustus 2026 voor ruim 8.000 organisaties in 18 sectoren. Die organisaties moeten zich registreren bij het NCSC, passende beveiligingsmaatregelen nemen en een significant incident binnen 24 uur melden. Het bestuur moet de maatregelen goedkeuren.
- DORA (Digital Operational Resilience Act)
DORA staat voor Digital Operational Resilience Act: Verordening (EU) 2022/2554 over de digitale weerbaarheid van de financiële sector. Sinds 17 januari 2025 moeten banken, verzekeraars, pensioenfondsen en andere financiële entiteiten hun ICT-risico's beheersen, ernstige ICT-incidenten melden, hun weerbaarheid testen en ICT-leveranciers beheren. In Nederland houden DNB en de AFM toezicht.
- NEN 7510: informatiebeveiliging in de zorg
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 en ISO 27002. Zorgaanbieders moeten er sinds 2008 wettelijk volgens werken; de huidige grondslag is het Besluit elektronische gegevensverwerking door zorgaanbieders. Een certificaat is niet verplicht. De Inspectie Gezondheidszorg en Jeugd houdt toezicht.