Hoe kom je van Europese cyberwetgeving naar nationale werking?

Fase 1: Europese wetgevingsfase

1. Europese Commissie doet een voorstel
(De eerste stappen van de NIS2 kwamen al in 2020)

2. Onderhandelingen en aanpassingen
Door Raad van de EU (lidstaten) en Europees Parlement (triloogfase).

3. Stemming in het Europees Parlement en de Raad
Richtlijn wordt formeel aangenomen. Voor NIS2 was dit eind 2022.

4. Richtlijn treedt in werking (publicatie in het Publicatieblad van de EU)
Lidstaten krijgen een termijn om deze om te zetten naar nationale wetgeving. Bij NIS2 is dit 21 maanden (tot oktober 2024).

Fase 2: Nationale implementatie in Nederland

5. Ministerie schrijft conceptwet (implementatiewet)
In Nederland is het ministerie van EZK ermee bezig, maar ook I en W, J en V, BZK en Defensie zijn betrokken bij cyberwetgeving.

6. Consultatie van de conceptwet
Conceptversie wordt online gezet via internetconsultatie.nl – publieke en sectorale input.

7. Advies Raad van State
De Raad van State beoordeelt juridische consistentie, grondrechten en uitvoerbaarheid.

8. Wet wordt officieel ingediend bij de Tweede Kamer
Dit is gedaan op 4 juni 2025

9. Behandeling en stemming in Tweede Kamer
Na de zomer 2025

10. Behandeling en stemming in Eerste Kamer
Nadat de Tweede Kamer klaar is.

11. Publicatie in het Staatsblad
Nadat gestemd is en besloten is tot inwerkingtreding.

12. Wet treedt in werking
Vaak wordt ook een AMvB (Algemene Maatregel van Bestuur) of ministeriële regeling opgesteld om praktische uitwerking te geven. Bijvoorbeeld: welke sectoren precies onder de wet vallen, wie de toezichthouders zijn, hoe meldplichten werken, etc. In dit geval is de AMvB wel in consultatie geweest maar nog niet aangeleverd bij de Tweede Kamer.

Belangrijke kenmerken bij cyberwetgeving:

• Multidisciplinair: Meerdere ministeries, toezichthouders (zoals NCSC, DTC, CCB, ACM, ILT) en sectorpartijen spelen een rol.
• Lange doorlooptijd: Door afstemming en complexiteit (bijv. bij NIS2) kan implementatie vertraagd worden.