Nederlandse organisaties krijgen meer regels voor digitale veiligheid, maar de naleving blijft achter. In aanloop naar NIS2 in 2024 en de Europese AI-verordening (AI Act) met gevolgen voor de overheid klinkt dezelfde boodschap: niet méér regels, maar betere uitvoering. Bedrijven en overheden in Nederland en de EU missen vaak basismaatregelen, waardoor incidenten blijven gebeuren. Dat vergroot risico’s als datalekken, verstoringen en hoge boetes.
Naleving blijft zwakke schakel
De juridische kaders zijn ruimschoots aanwezig: de AVG, de Baseline Informatiebeveiliging Overheid (BIO), ISO 27001 en straks NIS2. Toch laten recente incidenten zien dat basisbeveiliging vaak niet op orde is. Het probleem zit minder in nieuwe regels en meer in het aantoonbaar toepassen van bestaande eisen.
Toezichthouders als de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) zien dat organisaties moeite hebben met structurele verbeteringen. Processen worden op papier ingericht, maar niet geborgd in de operatie. Daardoor keert hetzelfde risico terug bij updates, leveranciers of personeelswisselingen.
Ook voor kunstmatige intelligentie verandert dit beeld niet. De AI Act legt nadruk op risicobeheersing, datasetkwaliteit en logging, maar deze punten vallen of staan met dagelijkse praktijk. Zonder duidelijke verantwoordelijkheden en meetbare controles blijft compliance theoretisch.
NIS2 verhoogt druk op sectoren
De NIS2-richtlijn breidt de zorgplicht voor cybersecurity uit naar meer sectoren, zoals zorg, vervoer, digitale diensten en productie. Nederland werkt aan implementatie in nationale wetgeving, met zwaardere eisen aan risicobeheer en rapportage. De toezichtlast en mogelijke sancties nemen toe.
Organisaties moeten incidenten sneller melden, leveranciersrisico’s actief managen en bestuurdersbetrokkenheid aantonen. Dit vraagt om concrete maatregelen, zoals actuele assetlijsten, continue monitoring en geoefende responsprocessen. ENISA publiceert hiervoor praktische richtlijnen die helpen bij prioritering.
De RDI is in Nederland een kernspeler bij toezicht op vitale en essentiële diensten. Andere sectorale toezichthouders sluiten daarop aan, afhankelijk van het domein. Dit maakt coördinatie tussen compliance, IT en directie belangrijker dan ooit.
Papieren controles missen praktijk
Veel audits toetsen documenten, maar minder vaak of maatregelen echt werken. Zo staat multi-factorauthenticatie soms wel in beleid, maar niet op alle beheerdersaccounts. Hetzelfde geldt voor patchbeheer dat op schema lijkt, terwijl kritieke systemen achterlopen.
Effectieve naleving betekent daarom meten in plaats van afvinken. Denk aan drempelwaarden voor patch-tijden, maximaal aantal lokale admin-accounts en verplichte netwerksegmentatie. Deze indicatoren verbinden beleid met operationele realiteit.
Ook ketenrisico’s vragen om harde eisen. Contracten met leveranciers zouden technische controles moeten opnemen, zoals versleuteling, logdeling en hersteltests. Zonder deze afspraken blijft de keten een zwart gat in de beveiliging.
“Naleving is het aantoonbaar werken volgens wet- en normenkaders, niet alleen op papier.”
Basismaatregelen nog onvoldoende
De Nationale Cyber Security Centrum (NCSC)-richtlijnen en de CIS Controls geven een helder startpunt. Toch ontbreken nog vaak basiselementen als strikte toegangsrechten, offline back-ups en tijdige loganalyse. Ransomware en misbruik van gestolen inloggegevens blijven hierdoor kansrijk.
De BIO vraagt overheidsorganisaties om risicogestuurd werken, inclusief continue verbetering. Dat betekent onder meer periodieke tests, zoals phishing-simulaties en herstel-oefeningen. Zonder oefenen blijft een incidentplan theorie.
Publieke diensten en zorginstellingen kampen daarnaast met verouderde systemen en krappe begrotingen. Gerichte prioritering helpt: begin bij kritieke processen en zichtbare kwetsbaarheden. Versleuteling, netwerksegmentatie en MFA leveren dan snel risicoreductie op.
AI-systemen vragen extra borging
AI brengt nieuwe risico’s, zoals datalekken via trainingsdata en prompt-injecties die modeluitvoer manipuleren. Praktische handvatten komen van OWASP Top 10 for LLM Applications en NCSC-adviezen over dataminimalisatie. Deze richtlijnen vertalen zich naar toegangsbeheer, inputvalidatie en strikte logging.
De AI Act verplicht voor hoog-risico systemen onder meer risicobeheer, datasetdocumentatie, menselijk toezicht en incidentrapportage. Voor overheden betekent dit extra administratie én technische waarborgen. Op het moment van schrijven bereiden Nederlandse ministeries en toezichthouders de inrichting van deze taken voor.
Leveranciersmanagement wordt cruciaal bij het inkopen van modellen en cloud-diensten. Vraag om modelkaarten, gegevensstromen en beveiligingsattesten, bijvoorbeeld ISO 27001 of SOC 2. Zonder transparantie is naleving lastig te bewijzen.
Toezicht en bestuur scherper
De combinatie van NIS2, AVG en de AI Act versterkt bestuurlijke verantwoordelijkheid. Raden van bestuur moeten keuzes kunnen uitleggen en onderbouwen met meetbare resultaten. Dit vereist dashboards die risico’s, incidenten en voortgang zichtbaar maken.
Autoriteiten als de AP, RDI en mogelijk de ACM spelen een rol bij toezicht, elk vanuit hun mandaat. Coördinatie over privacy, continuïteit en AI-veiligheid is nodig om dubbel werk te voorkomen. Op het moment van schrijven werkt Nederland aan verdere uitwerking van rollen en loketten.
De kern blijft: minder beleidstekst, meer werkende controles. Begin bij basisbeveiliging, leg AI-risico’s vast en borg de keten. Zo worden regels niet alleen nageleefd, maar leveren ze ook echte weerbaarheid op.
