Laatst bijgewerkt: 16 juli 2026
dinsdag 1 april 2025

Om de fysieke, digitale en economische weerbaarheid te versterken heeft de Europese Unie 2 richtlijnen aangenomen: de Network and Information Security Directive (NIS2-richtlijn) en de Critical Entities Resilience Directive (CER-richtlijn). Deze richtlijnen zijn omgezet in nationale wetgeving via de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). De wetten treden op 15 augustus 2026 in werking.

NIS2-richtlijn 

De Network and Information Security Directive (NIS2-richtlijn) stelt strengere eisen aan informatiebeveiliging en heeft daarmee belangrijke gevolgen voor gemeenten. In tegenstelling tot de oorspronkelijke NIS-richtlijn uit 2016 vallen ook (lokale) overheidsinstanties onder de reikwijdte van NIS2. Hierdoor moeten gemeenten voldoen aan aangescherpte eisen op het gebied van cyberbeveiliging en risicobeheersing. De richtlijn is in Nederland omgezet in de Cyberbeveiligingswet (Cbw).  

CER-richtlijn

Naast de NIS2-richtlijn is ook de Critical Entities Resilience Directive (CER-richtlijn) vastgesteld. Deze richtlijn richt zich op de weerbaarheid van kritieke entiteiten tegen fysieke dreigingen, zoals terrorisme, sabotage en natuurrampen. Wanneer een organisatie als kritieke entiteit onder de CER-richtlijn wordt aangewezen, valt de bijbehorende IT-omgeving automatisch ook onder de NIS2-richtlijn. Voorbeelden hiervan zijn systemen en voorzieningen die essentieel zijn voor mobiliteit en transport, zoals interfaces voor transportsystemen, mobiliteitsdata en het Nationaal Dataportaal Wegverkeer (NDW), waarvoor veel gemeenten gegevens aanleveren of afnemen. 

De CER-richtlijn wordt in Nederland omgezet via de Wet weerbaarheid kritieke entiteiten (Wwke). 

Verplichtingen

Met de Cbw wordt informatiebeveiliging nadrukkelijk onderdeel van bestuurlijke verantwoordelijkheid en aantoonbaar risicomanagement. De wet scherpt bestaande verplichtingen aan en introduceert nieuwe eisen rond onder meer incidentmelding, registratie en kennis bij bestuurders. Daarnaast wordt toezicht op naleving landelijk georganiseerd. 

De kern van de Cbw bestaat uit 3 samenhangende verplichtingen:  

Zorgplicht  

Het treffen, onderhouden en aantoonbaar borgen van passende technische, organisatorische en bestuurlijke maatregelen om cyberrisico’s te beheersen. De Baseline Informatiebeveiliging Overheid 2 (BIO2) is het verplichte normenkader waarmee gemeenten deze zorgplicht gestructureerd en aantoonbaar moeten invullen.  

Registratieplicht  

Het registreren en actueel houden van relevante informatie in het landelijk entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).  

Meldplicht  

Het tijdig melden van significante cyberincidenten. Significante cyberincidenten die de continuïteit van de dienstverlening bedreigen, moeten binnen 24 uur na kennisname worden gemeld via het portaal van het NCSC. In eerste instantie volstaat een voorlopige melding. De melding wordt vervolgens doorgeleid naar het sectorale CSIRT van de entiteit en naar de bevoegde toezichthouder.

Inzet VNG

De VNG zet zich in om gemeenten te ondersteunen met de implementatie van deze wetgeving. De haalbaarheid, betaalbaarheid en uitvoerbaarheid van de nieuwe wetgeving staan daarbij voorop. Er is nauw contact met onder meer de betrokken ministeries over de gevolgen van de wetgeving en de benodigde financiering voor lokale overheden. Het gaat daarbij onder meer om:

  • duidelijkheid over de scope en de verantwoordelijkheidsverdeling tussen de betrokken partijen; 
  • geharmoniseerd toezicht op informatiebeveiliging binnen de overheid;  
  • vermindering van de auditlast;  
  • structurele financiering voor de uitvoering. 

Op verschillende niveaus van de wetgeving heeft de VNG consultatiereacties uitgebracht:  

Rollen en verantwoordelijkheden 

De Cbw legt nadrukkelijk bestuurlijke verantwoordelijkheid voor cyberbeveiliging vast. Het bestuur, bij gemeenten het college van burgemeester en wethouders, is wettelijk eindverantwoordelijk voor de digitale veiligheid, de continuïteit van de dienstverlening en de beheersing van cyberrisico’s.  

Bestuursleden moeten aantoonbaar beschikken over voldoende kennis en vaardigheden op het gebied van cyberrisico’s. Daarom geldt een opleidingsplicht: binnen twee jaar na inwerkingtreding van de wet moeten collegeleden een passende opleiding hebben gevolgd.   

Ook raadsleden, gemeentesecretarissen, Chief Information Security Officers (CISO’s), lijnmanagers en proceseigenaren hebben een belangrijke rol te vervullen als het gaat om informatieveiligheid. 

Zie ook: Rollen en verantwoordelijkheden onder de Cyberbeveiligingswet - veelgestelde vragen voor gemeenten

Gemeentelijke samenwerkingsverbanden  

De Cbw raakt niet alleen individuele gemeenten, maar ook organisaties waarmee zij nauw samenwerken. Denk aan gemeenschappelijke regelingen, omgevingsdiensten, regionale samenwerkingsverbanden en IT-dienstverleners binnen de gemeentelijke keten.  

Voor deze verbonden organisaties kan de wet zelfstandig van toepassing zijn of gevolgen hebben via contractuele en ketenverantwoordelijkheden. Het is van belang om helder te hebben hoe rollen, verantwoordelijkheden en verplichtingen zich binnen de samenwerkingsstructuur verhouden. Gemeenten blijven daarbij verantwoordelijk om voldoende inzicht te hebben in risico’s en incidenten die gevolgen kunnen hebben voor de continuïteit van hun dienstverlening.  

Verbonden organisaties dienen zelf na te gaan of zij onder de Cbw vallen. Hiervoor is een zelfevaluatie beschikbaar. Echter, aan de uitkomsten kunnen geen rechten worden ontleend. Iedere organisatie blijft zelf verantwoordelijk om na te gaan of zij onder de Cbw valt.  

Toezicht 

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op gemeenten voor de naleving van de Cbw en geeft aan dit toezicht proportioneel in te richten, met de nadruk op het bevorderen van naleving en het stimuleren van verantwoordelijkheid voor continue verbetering van de digitale weerbaarheid van organisaties. Wanneer tekortkomingen worden geconstateerd, zal de RDI in eerste instantie inzetten op herstel en verbetering. De toezichthouder kan zo nodig handhavend optreden, waarbij bestuurlijke boetes tot de beschikbare instrumenten behoren. 

ENSIA  

De jaarlijkse ENSIA-rapportage in mei/juni is hét instrument waarmee gemeenten inzicht krijgen in en verantwoording afleggen over de staat van informatiebeveiliging. ENSIA ondersteunt gemeenten niet alleen bij het aantonen dat zij ‘in control’ zijn richting raad, stelselhouders en toezichthouders binnen de rijksoverheid, maar geeft ook jaarlijks inzicht in risico’s die moeten worden geadresseerd en helpt gemeenten hun informatiebeveiliging verder te verbeteren. 

Onder de nieuwe Cyberbeveiligingswet wordt de ENSIA-rapportage nog belangrijker, omdat gemeenten hiermee kunnen aantonen in hoeverre zij voldoen aan de zorgplicht. De RDI kan ook gebruik maken van deze informatie voor het toezicht dat zij houdt op de Cbw. Stimuleer daarom het goede gesprek over de staat van de informatiebeveiliging binnen het college en de raad. 

Meer over ENSIA 

IBD als CSIRT 

Voor gemeenten en gemeentelijke samenwerkingsverbanden die onder de reikwijdte van de Cbw als essentiële entiteit zijn aangewezen, vervult de Informatiebeveiligingsdienst (IBD) de rol van sectoraal Computer Security Incident Respons Team (CSIRT). Daarmee ondersteunt de IBD deze organisaties onder meer met het analyseren en afhandelen van meldingen van cyberincidenten, het ondersteunen bij respons en herstel, het monitoren van dreigingen en kwetsbaarheden, en het delen van advies en informatie. De dienstverlening van de IBD in deze rol wordt de komende periode, in samenwerking met gemeenten en het Rijk, verder doorontwikkeld. 

Meer informatie

Eerdere nieuwsberichten  

Contact 

De VNG staat klaar om gemeenten te helpen, dus neem vooral contact met ons op via teamadv@vng.nl