Laatst bijgewerkt: 24 juli 2026
dinsdag 1 april 2025

Om de fysieke, digitale en economische weerbaarheid te versterken heeft de Europese Unie 2 richtlijnen aangenomen: de Network and Information Security Directive (NIS2-richtlijn) en de Critical Entities Resilience Directive (CER-richtlijn). Deze richtlijnen zijn omgezet in nationale wetgeving via de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). De wetten treden op 15 augustus 2026 in werking.

NIS2-richtlijn 

De Network and Information Security Directive (NIS2-richtlijn) stelt strengere eisen aan informatiebeveiliging en heeft daarmee belangrijke gevolgen voor gemeenten. In tegenstelling tot de oorspronkelijke NIS-richtlijn uit 2016 vallen ook (lokale) overheidsinstanties onder de reikwijdte van NIS2. Hierdoor moeten gemeenten voldoen aan aangescherpte eisen op het gebied van cyberbeveiliging en risicobeheersing. De richtlijn is in Nederland omgezet in de Cyberbeveiligingswet (Cbw).  

CER-richtlijn

Naast de NIS2-richtlijn is ook de Critical Entities Resilience Directive (CER-richtlijn) vastgesteld. Deze richtlijn richt zich op de weerbaarheid van kritieke entiteiten tegen fysieke dreigingen, zoals terrorisme, sabotage en natuurrampen. Wanneer een organisatie als kritieke entiteit onder de CER-richtlijn wordt aangewezen, valt de bijbehorende IT-omgeving automatisch ook onder de NIS2-richtlijn. Voorbeelden hiervan zijn systemen en voorzieningen die essentieel zijn voor mobiliteit en transport, zoals interfaces voor transportsystemen, mobiliteitsdata en het Nationaal Dataportaal Wegverkeer (NDW), waarvoor veel gemeenten gegevens aanleveren of afnemen. 

De CER-richtlijn wordt in Nederland omgezet via de Wet weerbaarheid kritieke entiteiten (Wwke). 

Verplichtingen

Met de Cbw wordt informatiebeveiliging nadrukkelijk onderdeel van bestuurlijke verantwoordelijkheid en aantoonbaar risicomanagement. De wet scherpt bestaande verplichtingen aan en introduceert nieuwe eisen rond onder meer incidentmelding, registratie en kennis bij bestuurders. Daarnaast wordt toezicht op naleving landelijk georganiseerd. 

De kern van de Cbw bestaat uit 3 samenhangende verplichtingen:  

Zorgplicht  

Het treffen, onderhouden en aantoonbaar borgen van passende technische, organisatorische en bestuurlijke maatregelen om cyberrisico’s te beheersen. De Baseline Informatiebeveiliging Overheid 2 (BIO2) is het verplichte normenkader waarmee gemeenten deze zorgplicht gestructureerd en aantoonbaar moeten invullen.  

Registratieplicht  

Het registreren en actueel houden van relevante informatie in het landelijk entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).  

Meldplicht  

Significante cyberincidenten die de continuïteit van de dienstverlening bedreigen, moeten binnen 24 uur na kennisname worden gemeld via het portaal van het NCSC. In eerste instantie volstaat een voorlopige melding. De melding wordt vervolgens doorgeleid naar de bevoegde toezichthouder en, waar van toepassing, het sectorale CSIRT van de entiteit. 

Inzet VNG

De VNG zet zich in om gemeenten te ondersteunen met de implementatie van deze wetgeving. De haalbaarheid, betaalbaarheid en uitvoerbaarheid van de nieuwe wetgeving staan daarbij voorop. Er is nauw contact met onder meer de betrokken ministeries over de gevolgen van de wetgeving en de benodigde financiering voor lokale overheden. Het gaat daarbij onder meer om:

  • duidelijkheid over de scope en de verantwoordelijkheidsverdeling tussen de betrokken partijen; 
  • geharmoniseerd toezicht op informatiebeveiliging binnen de overheid;  
  • vermindering van de auditlast;  
  • structurele financiering voor de uitvoering. 

Op verschillende niveaus van de wetgeving heeft de VNG consultatiereacties uitgebracht:  

Rollen en verantwoordelijkheden 

De Cbw legt nadrukkelijk bestuurlijke verantwoordelijkheid voor cyberbeveiliging vast. Het bestuur, bij gemeenten het college van burgemeester en wethouders, is wettelijk eindverantwoordelijk voor de digitale veiligheid, de continuïteit van de dienstverlening en de beheersing van cyberrisico’s.   

Bestuursleden moeten aantoonbaar beschikken over voldoende kennis en vaardigheden op het gebied van cyberrisico’s. Daarom geldt een trainingsplicht: elk lid van het college moet binnen twee jaar na inwerkingtreding van de Cbw aantonen voldoende kennis te bezitten om digitale risico’s te begrijpen en te beoordelen. Deze kennis moet daarna worden bijgehouden. 

Ook raadsleden, gemeentesecretarissen, Chief Information Security Officers (CISO’s), lijnmanagers en proceseigenaren hebben een belangrijke rol te vervullen als het gaat om informatieveiligheid. 

Lees verder over de rollen en verantwoordelijkheden op de website van de informatiebeveiligingsdienst en bekijk het overzocht van hulpmiddelen om de rollen en verantwoordelijkheden juist in te vullen. 

Gemeentelijke samenwerkingsverbanden  

De Cbw raakt niet alleen individuele gemeenten, maar ook organisaties waarmee zij nauw samenwerken. Denk aan gemeenschappelijke regelingen, omgevingsdiensten, regionale samenwerkingsverbanden en IT-dienstverleners binnen de gemeentelijke keten.  

Voor deze verbonden organisaties kan de wet zelfstandig van toepassing zijn of gevolgen hebben via contractuele en ketenverantwoordelijkheden. Het is van belang om helder te hebben hoe rollen, verantwoordelijkheden en verplichtingen zich binnen de samenwerkingsstructuur verhouden. Gemeenten blijven daarbij verantwoordelijk om voldoende inzicht te hebben in risico’s en incidenten die gevolgen kunnen hebben voor de continuïteit van hun dienstverlening.  

Verbonden organisaties dienen zelf na te gaan of zij onder de Cbw vallen. Hiervoor is een zelfevaluatie beschikbaar. Echter, aan de uitkomsten kunnen geen rechten worden ontleend. Iedere organisatie blijft zelf verantwoordelijk om na te gaan of zij onder de Cbw valt.  

Toezicht 

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op gemeenten voor de naleving van de Cyberbeveiligingswet. Het toezicht is risicogericht en heeft als doel de digitale weerbaarheid van gemeenten te vergroten. Daarbij ligt de nadruk op het bevorderen van naleving, het stimuleren van continue verbetering en het delen van kennis. 

Gemeenten en gemeenschappelijke regelingen die onder de Cbw vallen zijn zelf verantwoordelijk voor het naleven van de verplichtingen uit de Cbw. De RDI kan hiervoor informatie opvragen, inspecties uitvoeren en, indien nodig, onderzoek doen naar aanleiding van een incident. 

Wanneer tekortkomingen worden geconstateerd, zal de RDI in eerste instantie inzetten op herstel en verbetering. Als dat nodig is, kan de toezichthouder handhavend optreden. Daarbij beschikt de RDI over verschillende instrumenten, waaronder een last onder dwangsom en een bestuurlijke boete. 

Meer informatie over hoe de RDI het toezicht inricht is te vinden op de website van de RDI. 

ENSIA  

De jaarlijkse ENSIA-rapportage is hét instrument waarmee gemeenten inzicht krijgen in en verantwoording afleggen over de staat van informatiebeveiliging. ENSIA ondersteunt gemeenten niet alleen bij het aantonen dat zij ‘in control’ zijn richting raad, stelselhouders en toezichthouders binnen de rijksoverheid, maar geeft ook jaarlijks inzicht in risico’s die moeten worden geadresseerd en helpt gemeenten hun informatiebeveiliging verder te verbeteren.   
 
Onder de Cbw wordt de ENSIA-rapportage nog belangrijker, omdat gemeenten hiermee kunnen aantonen in hoeverre zij voldoen aan de zorgplicht. De RDI heeft als toezichthouder recht op deze informatie. De wijze waarop de RDI deze informatie gebruikt binnen haar toezicht wordt nog verder uitgewerkt. Stimuleer ook daarom het goede gesprek over de staat van de informatiebeveiliging binnen het college en de raad.   

Meer over ENSIA 

IBD als CSIRT 

Voor gemeenten en gemeentelijke samenwerkingsverbanden die onder de reikwijdte van de Cbw als essentiële entiteit zijn aangewezen, vervult de Informatiebeveiligingsdienst (IBD) de rol van sectoraal Computer Security Incident Respons Team (CSIRT). Daarmee ondersteunt de IBD deze organisaties onder meer met het analyseren en afhandelen van meldingen van cyberincidenten, het ondersteunen bij respons en herstel, het monitoren van dreigingen en kwetsbaarheden, en het delen van advies en informatie. De dienstverlening van de IBD in deze rol wordt de komende periode, in samenwerking met gemeenten en het Rijk, verder doorontwikkeld. 

Meer informatie

Eerdere nieuwsberichten  

Contact 

De VNG staat klaar om gemeenten te helpen, dus neem vooral contact met ons op via teamadv@vng.nl