D66 wil opheldering over registratiekloof Cyberbeveiligingswet

D66 wil weten waarom duizenden organisaties zich niet registreerden voor de Cyberbeveiligingswet en vindt extra maatregelen nodig als de overheid hen onvoldoende actief heeft geïnformeerd, zegt Kamerlid Sarah El Boujdaini.

Voor wie nog niet in het entiteitenregister staat, verschuift daarmee de vraag. De registratieplicht geldt sinds 15 augustus en is handhaafbaar, dus de deadline ligt al vier dagen achter je. In Den Haag gaat het gesprek nu niet over de vraag of die plicht blijft staan, maar over wie het gat had moeten dichten. Dat maakt op korte termijn voorlichting en ondersteuning waarschijnlijker dan een golf boetes, terwijl de politieke aandacht voor het dossier juist toeneemt.

De wet was aangekondigd, de doelgroep niet bereikt

El Boujdaini beheert bij D66 de portefeuille Digitale Zaken en adviseerde eerder als ambtenaar de CIO en CDO van het ministerie van Infrastructuur en Waterstaat. Over NIS2 is jarenlang uitvoerig gesproken, stelt zij, dus de komst van regels die organisaties met kritieke diensten dwingen hun beveiliging in te richten kan voor niemand een echte verrassing zijn. ‘Het is nu echt tijd om actief met effectieve implementatie bezig te zijn’, zegt ze, met ai en quantumcomputing als redenen om beveiligingsbeleid niet langer voor zich uit te schuiven.

Onwil of een te ingewikkelde wet ziet zij vooralsnog niet als verklaring. Zij trekt de vergelijking met de vrachtwagenheffing, waarvoor een bewustwordingscampagne nodig was voordat eigenaren met een werkend tolkastje de weg op gingen, en met de AVG, waarbij bedrijven hulp nodig bleken te hebben om vooral de beveiliging op orde te krijgen. ‘Naast het creëren van meer bewustzijn ligt op de overheid de taak om hulp en ondersteuning te bieden.’

Een aangenomen motie zet er een datum onder

De politieke druk begon niet vandaag. Tijdens het wetgevingsoverleg van 18 juni diende El Boujdaini een motie in die constateert dat Nederland op de National Cyber Security Index is gedaald van de 20ste naar de 36ste plek en die de regering vraagt uiterlijk voor het einde van 2026 een plan van aanpak te sturen, inclusief de bijdrage van legacyvernieuwing daaraan. Bij de stemming van 23 juni waren alle fracties voor en geen enkele tegen.

Die index geeft ook de orde van grootte. Op de ranglijst van de e-Governance Academy staat Nederland op plek 37 met 81,67 van de 100 punten, gemeten op indicatoren als cybersecuritybeleid, incidentrespons en crisisbeheersing. Het volgende dossier ligt intussen al klaar: op 1 juli vroeg hetzelfde Kamerlid om de Uitvoeringswet cyberweerbaarheid nog voor Prinsjesdag te behandelen.

Wat dit doet met het handhavingstempo

Aan de harde kant van de wet verandert niets. Registreren bij het NCSC is verplicht en de Rijksinspectie Digitale Infrastructuur kan bij niet of onjuist registreren een boete of een last onder dwangsom opleggen. Dat kader lag er al toen de wet inging met 2.942 registraties tegenover naar schatting acht- tot tienduizend plichtige organisaties, en een Kamer die de overheid op haar voorlichting aanspreekt haalt dat niet weg.

Wat wel verandert is het moment waarop dit terugkomt. Een plan van aanpak voor het einde van 2026 betekent dat de registratiecijfers dit najaar opnieuw op tafel liggen, ditmaal met een politieke opdracht eronder. Voor een organisatie die nog twijfelt of zij binnen de achttien sectoren valt, is dat reden om de scope-check niet langer uit te stellen: of je belangrijke dan wel essentiële entiteit bent bepaalt welke zorgplicht, meldtermijnen en keteneisen voor je gelden.

Den Haag leest de registratiekloof nu vooral als een communicatieprobleem van de overheid en niet als onwil van bedrijven. Die uitleg bepaalt de volgorde van wat er volgt: eerst campagne en ondersteuning, daarna de vraag of dat heeft geholpen. Voor de duizenden organisaties die nog buiten het register staan, loopt daarmee vooral de periode af waarin onbekendheid met de wet nog als verklaring meetelt.