Waarom deze regelgeving relevant is
Cybersecurity staat inmiddels hoog op de agenda van bestuurders, toezichthouders en verzekeraars. Europese regelgeving zoals DORA en NIS2 verandert fundamenteel hoe organisaties moeten omgaan met digitale risico's, operationele weerbaarheid en ketenaansprakelijkheid. In Nederland wordt deze ontwikkeling bovendien verankerd in nationale wetgeving via de Cyberbeveiligingswet.
De Cyberbeveiligingswet vormt de Nederlandse implementatie van de Europese NIS2-richtlijn en zal naar verwachting in de loop van 2026 in werking treden. De wet introduceert strengere verplichtingen voor organisaties die essentieel of belangrijk zijn voor de continuïteit van de samenleving en economie. Denk daarbij aan organisaties binnen onder meer de zorg, industrie, logistiek, IT, digitale infrastructuur, financiële dienstverlening en life sciences.
Met de komst van deze wet verschuift cybersecurity definitief van een technisch IT-thema naar een strategisch bestuursvraagstuk. Organisaties worden geacht aantoonbaar grip te hebben op cyberrisico's, incidentmanagement, leveranciersketens en crisisbeheersing.
Wat verandert er voor ondernemingen?
DORA versus NIS2
Wat is DORA?
DORA staat voor de Digital Operational Resilience Act en is Europese regelgeving die specifiek gericht is op de financiële sector. De regelgeving is sinds 17 januari 2025 van toepassing binnen de Europese Unie.
DORA verplicht financiële instellingen om hun digitale operationele weerbaarheid structureel te versterken. De focus ligt niet alleen op het voorkomen van cyberincidenten, maar vooral op het vermogen om verstoringen tijdig te detecteren, beheersen, herstellen en rapporteren.
De regelgeving raakt onder andere:
- Banken
- Verzekeraars
- Pensioenuitvoerders
- Betaalinstellingen
- Vermogensbeheerders
- Financiële intermediairs
- Kritieke ICT-dienstverleners
DORA introduceert verplichtingen rondom:
- Governance en bestuurdersverantwoordelijkheid
- ICT-risk management
- Incident reporting
- Weerbaarheidstesten
- Leveranciers- en cloudrisicobeheer
- Continuïteitsplanning
- Auditability en documentatie
Voor veel organisaties betekent dit een forse professionaliseringsslag op het gebied van cybersecurity governance en operationele resilience.
Wat is NIS2?
NIS2 is de herziene Europese netwerk- en informatiebeveiligingsrichtlijn en heeft een veel bredere reikwijdte dan DORA. Waar DORA specifiek de financiële sector adresseert, richt NIS2 zich op essentiële en belangrijke organisaties binnen uiteenlopende sectoren.
Voorbeelden hiervan zijn:
- Energie
- Zorg
- Transport en logistiek
- Maakindustrie
- Chemie
- Digitale infrastructuur
- Cloud- en IT-dienstverleners
- Overheidsdiensten
- Life sciences en medische technologie
NIS2 verplicht organisaties om passende technische, operationele en organisatorische maatregelen te nemen om cyberrisico's te beheersen.
Daarbij ligt veel nadruk op:
- Supply chain security
- Incident response
- Risicobeoordelingen
- Business continuity
- Governance
- Meldplicht van significante incidenten
- Bewustwording en training
Ook bestuurders krijgen onder NIS2 een expliciete verantwoordelijkheid. Toezichthouders verwachten dat cyberrisico's actief worden meegenomen in de governance- en besluitvormingsstructuur van organisaties.
Relatie met cyberverzekering
Waarom deze regelgeving directe impact heeft op verzekerbaarheid
DORA, NIS2 en de Cyberbeveiligingswet hebben niet alleen gevolgen voor compliance, maar ook voor de verzekerbaarheid van organisaties.
Cyberverzekeraars kijken steeds kritischer naar de cyber maturity van ondernemingen. Waar enkele jaren geleden basismaatregelen voldoende waren, worden vandaag veel hogere eisen gesteld.
Verzekeraars beoordelen onder andere:
- Multi-factor authenticatie (MFA)
- Endpoint detection & response (EDR/XDR)
- Back-up- en herstelprocedures
- Supplier management
- Patchmanagement
- Monitoring en logging
- Incident response plannen
- Awareness-trainingen
- Betrokkenheid van bestuur en directie
Organisaties die onvoldoende aantoonbare beheersing hebben, lopen steeds vaker tegen:
- hogere premies
- strengere polisvoorwaarden
- uitsluitingen
- hogere eigen risico's
- of beperkte verzekerbaarheid aan
Cybersecurity en verzekerbaarheid raken daardoor steeds sterker met elkaar verweven.
Bestuurders en toezicht
Toenemende aandacht voor bestuurdersaansprakelijkheid
De nieuwe regelgeving vergroot ook de focus op governance en accountability. Na cyberincidenten wordt steeds vaker onderzocht of bestuurders voldoende toezicht hebben gehouden op digitale risico's.
Vragen die daarbij kunnen spelen zijn onder meer:
- Zijn cyberrisico's structureel besproken op bestuursniveau?
- Waren kwetsbaarheden bekend?
- Zijn waarschuwingen adequaat opgevolgd?
- Is er voldoende toezicht gehouden op leveranciers?
- Was er een adequaat crisis- en herstelplan?
Hierdoor neemt ook de relevantie van bestuurdersaansprakelijkheidsverzekeringen verder toe.
Praktische aandachtspunten
Supply chain security wordt cruciaal
Een belangrijk onderdeel van zowel DORA als NIS2 is ketenverantwoordelijkheid. Organisaties moeten niet alleen hun eigen beveiliging op orde hebben, maar ook actief risico's beoordelen bij leveranciers, softwarepartners en cloudproviders.
Veel grote cyberincidenten ontstaan inmiddels via:
- softwareleveranciers
- managed service providers
- externe IT-partners
- cloudomgevingen
- third-party toegang
De beveiliging van de supply chain wordt daarmee een essentieel onderdeel van risicobeheer én verzekerbaarheid.
Operationele weerbaarheid
Van compliance naar aantoonbare resilience
De kern van DORA, NIS2 en de Cyberbeveiligingswet draait uiteindelijk om aantoonbare digitale weerbaarheid.
Organisaties moeten kunnen laten zien dat zij:
- cyberrisico's identificeren
- passende maatregelen nemen
- incidenten kunnen beheersen
- operationeel weerbaar zijn
- afhankelijkheden begrijpen
- en continu verbeteren
Cybersecurity ontwikkelt zich daarmee steeds meer tot een integraal onderdeel van governance, risicomanagement en ondernemingsstrategie.
Gerelateerde expertise