AI-tools, schaduw-IT en uw zorgplicht: de Cyberbeveiligingswet geldt sinds 15 augustus

Wat er op 15 augustus is ingegaan

De Cyberbeveiligingswet (Cbw) vervangt de Wet beveiliging netwerk- en informatiesystemen en implementeert de NIS2-richtlijn. Tegelijk trad de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, de implementatie van de Europese CER-richtlijn, die zich richt op de fysieke en organisatorische weerbaarheid van ongeveer 500 organisaties. Die tweede wet werkt anders: een organisatie valt er pas onder nadat de verantwoordelijke minister haar als kritieke entiteit heeft aangewezen, en pas dan gaan termijnen lopen, zoals een eigen risicobeoordeling binnen negen maanden na de aanwijzing. De Cyberbeveiligingswet wacht op niets en op niemand.

De Cbw rust op vier verplichtingen. U registreert uw organisatie in het nationale entiteitenregister via MijnNCSC. U voldoet aan een zorgplicht: een risicoanalyse, en op basis daarvan passende en evenredige maatregelen om de risico's voor uw netwerk- en informatiesystemen te beheersen. U meldt aanzienlijke incidenten binnen wettelijke termijnen bij uw CSIRT en uw toezichthouder. En het bestuur keurt die maatregelen goed en ziet toe op de uitvoering ervan.

Op één punt kent de wet wel een aanloop. Bestuursleden moeten volgens de RDI binnen twee jaar na inwerkingtreding, dus uiterlijk medio 2028, over de juiste kennis en vaardigheden beschikken. Voor de zorgplicht, de meldplicht en de registratieplicht geldt die coulance niet. Wie op 15 augustus onder de wet viel, viel er die dag volledig onder.

Staat uw organisatie in de wet? Sector alleen is niet genoeg

De toets bestaat uit twee stappen, en de eerste is de bekendste. Uw organisatie moet vallen onder een van de sectoren in bijlage 1 of bijlage 2 van de wet. Bijlage 1 bevat de sectoren met hoge kriticiteit: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart. Bijlage 2 bevat de overige kritieke sectoren: post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek. Samen achttien.

De tweede stap is de omvang. Volgens het NCSC voldoet u aan het omvangscriterium als u vijftig of meer medewerkers in fte heeft, of als u minder dan vijftig medewerkers heeft maar zowel uw jaaromzet als uw balanstotaal boven de tien miljoen euro ligt. Voor een klein aantal diensten, zoals aanbieders van vertrouwensdiensten en registers voor topleveldomeinnamen, geldt de wet ongeacht de omvang.

De stap die het vaakst wordt overgeslagen zit tussen die twee in. De bijlagen noemen niet alleen sectoren, maar per subsector ook de soorten entiteiten die eronder vallen. Dat is precies waar het voor logistiek en food interessant wordt, en waar een snelle conclusie duur kan uitpakken, in beide richtingen.

Vervoer en levensmiddelen: waar de grens werkelijk ligt

De sector vervoer in bijlage 1 valt uiteen in luchtvervoer, spoorvervoer, vervoer over water en wegvervoer, elk met eigen entiteitstypen. Bij luchtvervoer gaat het onder meer om luchtvaartmaatschappijen en luchthavenbeheerders, bij spoorvervoer om infrastructuurbeheerders en spoorwegondernemingen, bij vervoer over water om rederijen voor personen- en goederenvervoer en om havenbeheerders. Bij wegvervoer noemt de richtlijn wegenautoriteiten en exploitanten van intelligente vervoerssystemen.

Dat laatste is de reden dat Transport en Logistiek Nederland zijn leden expliciet waarschuwt voor een te snelle conclusie. In het actuele TLN-dossier over de Cyberbeveiligingswet vallen binnen transport en logistiek vooral luchtvaartmaatschappijen, spoorwegondernemingen, binnenvaart, kust- en zeevervoer en wegbeheerders in de categorie essentieel; wegtransportbedrijven en logistieke dienstverleners als opslagbedrijven en expediteurs horen daar volgens TLN niet bij. Klassiek beroepsgoederenvervoer over de weg, warehousing en expeditie vallen dus niet als vanzelf onder de wet. Zij kunnen wel in de categorie belangrijk terechtkomen, en TLN noemt daarvoor vier routes: post- en koeriersdiensten, afvalstoffenbeheer inclusief inzameling, vervoer en sorteren, distributie van chemische stoffen en distributie van levensmiddelen. Ook dan geldt de omvangstoets. TLN tekent daarbij aan dat de zelfevaluatie van de overheid niet goed aansluit op logistieke dienstverlening, omdat veel ondernemers deel uitmaken van verschillende toeleveringsketens. Toezichthouder voor de vervoerssectoren is de Inspectie Leefomgeving en Transport.

Bij levensmiddelen is de omschrijving smaller dan de sectornaam suggereert. Het gaat om levensmiddelenbedrijven zoals gedefinieerd in artikel 3, punt 2, van Verordening (EG) nr. 178/2002 die zich bezighouden met groothandelsdistributie en industriële productie en verwerking. Een productie- of verwerkingslocatie en een groothandel in levensmiddelen vallen daar bij voldoende omvang onder; toezichthouder is de NVWA, die daarvoor een eigen pagina heeft ingericht.

En daarmee is de derde sector waarin wij werken beantwoord, want die vraag is te vaak met een aanname afgedaan. Primaire productie is iets anders dan industriële productie en verwerking. Een teler die gewassen teelt en oogst en die afzet via een afzetorganisatie, houdt zich niet bezig met groothandelsdistributie of industriële verwerking en valt langs die weg dus niet onder de sector levensmiddelen. Zodra dezelfde onderneming wel sorteert, verwerkt, verpakt of zelf groothandelsdistributie voert, verandert dat beeld, en dan telt bovendien de omvangstoets mee. Neem dit dus niet aan, maar toets het: de rijksoverheid biedt daarvoor de NIS2-zelfevaluatie, en het NCSC beschrijft de toets stap voor stap. Valt u eronder, dan registreert u zich via MijnNCSC; die registratie is uw eigen verantwoordelijkheid en niemand stuurt u er een brief over.

Ook wie er niet onder valt, krijgt de vragen

Er is een reden waarom deze wet ook relevant is voor bedrijven die de toets net niet halen. Een van de tien zorgplichtmaatregelen is het veilig maken van de toeleveringsketen: entiteiten die onder de wet vallen moeten de beveiliging bij hun directe leveranciers en dienstverleners in kaart brengen en meewegen. Zij kunnen die verplichting niet naar u doorschuiven, maar zij moeten er wel iets van vinden.

TLN verwoordt het gevolg voor de sector nuchter: tienduizenden leveranciers, ook bedrijven in transport en logistiek, krijgen via hun grote klanten met nieuwe eisen te maken, en cybersecurity wordt daarmee een randvoorwaarde om zaken te doen. Dat is geen juridische verplichting maar een commerciële. In de praktijk komt zij binnen als een vragenlijst bij een aanbesteding, een clausule in een raamcontract of een audit door een klant.

Voor uw voorbereiding maakt dat het onderscheid tussen wel en niet onder de wet vallen minder scherp dan het lijkt. De vraag die u hoe dan ook krijgt, is welke systemen en welke leveranciers uw bedrijfsvoering raken. En daar begint het onderwerp van dit artikel.

Waarom uw AI-tools hier binnenkomen

In de bedrijven waarmee wij werken wordt AI allang gebruikt, met of zonder toestemming. Een planner laat een klantmail herschrijven, QA vat een auditrapport samen, een teamleider bouwt een dienstrooster in een gratis assistent, iemand koppelt een notitietool aan de agenda. Wij hebben daar eerder over geschreven in ons stuk over ChatGPT en Copilot veilig op de werkvloer, met de AVG en de AI-verordening als kader. De Cyberbeveiligingswet voegt daar een derde kader aan toe, en dat is bestuurlijk het zwaarste van de drie.

Dat dit geen theoretisch punt is, blijkt uit een publicatie van het Britse National Cyber Security Centre van 7 september 2026 over de verborgen risico's van schaduw-AI. Het NCSC omschrijft schaduw-AI als het gebruik van AI-technologie die niet is opgenomen in de goedgekeurde systemen en processen van een organisatie, en verwijst naar onderzoek van Microsoft waaruit blijkt dat 71 procent van de ondervraagde werknemers AI-tools gebruikt die hun werkgever niet heeft goedgekeurd. Dat is een Brits cijfer uit één onderzoek en geen Nederlandse meting; wij nemen het hier over als indicatie van de omvang, niet als norm voor uw organisatie.

Belangrijker dan het percentage zijn de drie risico's die het NCSC benoemt. Gevoelige bedrijfs- of klantinformatie kan weglekken, met verlies van intellectueel eigendom en schending van regelgeving tot gevolg. De organisatie verliest het zicht op haar eigen informatie, omdat data die in consumentendiensten belandt daar bewaard of voor modelverbetering gebruikt kan worden, buiten de eigen beveiligings- en governanceafspraken om. En AI-agents zijn software met kwetsbaarheden: wie zo'n agent compromitteert, krijgt toegang tot dezelfde data, diensten en rechten als de agent zelf.

Het NCSC trekt daar een conclusie uit die wij delen en die in ons policy-artikel al de kern was: verbieden werkt niet. Zolang het beveiligingsbeleid niet aansluit bij wat medewerkers nodig hebben, zullen zij nieuwe AI-diensten blijven aanschaffen. Het doel is het risico verkleinen, niet doen alsof het weg te nemen is.

De tien zorgplichtmaatregelen, gelezen met een AI-tool in de hand

De Cyberbeveiligingswet schrijft tien zorgplichtmaatregelen voor waaraan organisaties ten minste moeten voldoen. Het NCSC vat ze samen als: een risicoanalyse maken, incidentrespons inrichten, u voorbereiden op uitval, uw toeleveringsketen veilig maken, cyberhygiëne op orde brengen, netwerk- en informatiesystemen beveiligen, personeel, toegang en assetbeheer versterken, passkeys gebruiken voor authenticatie, cryptografiebeleid opstellen en de effectiviteit van maatregelen beoordelen. Die achtste maatregel is scherper geformuleerd dan de gebruikelijke samenvatting suggereert: het NCSC adviseert passkeys op basis van de FIDO2-standaard in plaats van wachtwoorden, en multifactorauthenticatie op de plaatsen waar nog wachtwoorden nodig zijn. Wat er precies passend is, bepaalt u zelf op basis van uw risicoanalyse.

Leg die tien naast een AI-tool die een medewerker vorige week op eigen initiatief in gebruik nam, en het probleem wordt zichtbaar. Niet omdat AI een aparte categorie risico is, maar omdat een tool die niemand kent in geen van de tien maatregelen voorkomt:

• Risicoanalyse: een systeem dat niet in beeld is, kan niet worden gewogen. De analyse die u aan uw toezichthouder laat zien, mist dan precies de toepassing waar bedrijfsgegevens doorheen gaan.
• Personeel, toegang en assetbeheer: assetbeheer begint bij weten wat u heeft. Een account op naam van een medewerker, betaald met een privécreditcard, staat in geen enkel overzicht en wordt bij uitdiensttreding ook niet ingetrokken.
• Beveiliging van de toeleveringsketen: een AI-dienst is een leverancier. Zonder inkooproute is er geen verwerkersovereenkomst, geen beoordeling en geen contactpersoon als er iets misgaat.
• Passkeys en authenticatie: het NCSC vraagt om passkeys, en om multifactorauthenticatie waar nog met wachtwoorden wordt gewerkt, in elk geval op accounts die vanaf het internet bereikbaar zijn. Op een zakelijk account kunt u dat afdwingen. Op een privé-account dat toevallig voor werk wordt gebruikt, kunt u dat niet.
• Cyberhygiëne en opleiding: deze maatregel omvat expliciet opleiding op het gebied van cyberbeveiliging. Medewerkers die niet weten welke gegevens waar wel en niet in mogen, kunnen die afweging ook niet maken.
• Incidentrespons: als niemand weet dat een tool bestaat, meldt niemand het wanneer die tool iets doet wat niet klopt. En dan begint de klok pas te lopen wanneer het via een andere weg alsnog boven tafel komt.

Vierentwintig uur, en de klok begint zodra u het weet

De meldplicht kent volgens het NCSC drie stappen. Binnen 24 uur stuurt u een vroegtijdige waarschuwing, waarin u aangeeft of het incident vermoedelijk kwaadwillig is en of er grensoverschrijdende gevolgen zijn. Binnen 72 uur volgt de eigenlijke incidentmelding, met een eerste beoordeling van de ernst en de gevolgen. En binnen één maand na die melding volgt het eindverslag, met een beschrijving van het incident, de oorzaak en de genomen maatregelen. Let op waar die maand aan hangt: aan uw melding, niet aan het moment waarop u het incident heeft opgelost. Alleen wanneer het incident na die maand nog loopt, stuurt u op dat moment een voortgangsverslag, en volgt het eindverslag binnen één maand nadat u het incident heeft afgehandeld. Uw CSIRT of uw toezichthouder kan daarnaast tussentijds om een verslag vragen.

Twee details bepalen of dat schema haalbaar is. Ten eerste tellen de termijnen vanaf het moment dat u zich bewust wordt van het incident, niet vanaf het moment waarop de oorzaak duidelijk is. Ten tweede meldt u in één handeling via het portaal op MijnNCSC bij zowel uw sectorale CSIRT als uw toezichthouder. Wanneer een incident aanzienlijk is, staat niet in de wet zelf maar in drempelwaarden in ministeriële regelingen die per sector verschillen; die hoort u dus voor uw eigen sector op te zoeken en niet uit een algemene checklist over te nemen.

Vierentwintig uur is weinig als het incident zich afspeelt in een systeem dat op uw netwerktekening staat. Het is niet te doen als het zich afspeelt in een dienst waarvan de directie het bestaan die ochtend voor het eerst hoort. Daar komt bij dat één gebeurtenis twee meldplichten tegelijk kan raken: belandt er een klantbestand in een publieke chatbot, dan is dat mogelijk ook een datalek onder de AVG, met een eigen afweging en een eigen termijn van 72 uur richting de Autoriteit Persoonsgegevens. Dat betekent niet twee losse processen, maar wel één procedure die beide uitgangen kent.

Het bestuur kan dit niet wegdelegeren

Dit is het punt waarop de Cyberbeveiligingswet verder gaat dan de meeste regelgeving die de afgelopen jaren op logistiek en food is afgekomen. Het bestuur moet de maatregelen goedkeuren die de organisatie neemt om aan de zorgplicht te voldoen, en moet toezien op de uitvoering daarvan. De NCTV is daarover expliciet: ook wanneer de uitvoering van cyberbeveiliging is belegd bij bijvoorbeeld een CISO, blijft het bestuur verantwoordelijk voor zijn wettelijke taken. De RDI formuleert het in dezelfde geest: het bestuur is eindverantwoordelijk voor governance en risicobeheersing, ook als taken zijn gedelegeerd.

Daar hoort een opleidingsplicht bij. Alle bestuursleden moeten een training over cyberbeveiliging volgen, met een certificaat als bewijs, en moeten binnen twee jaar na inwerkingtreding over de juiste kennis en vaardigheden beschikken. Die kennis moet daarna aantoonbaar actueel blijven. Dat sluit nauw aan bij een verplichting die u waarschijnlijk al kent: sinds 2 februari 2025 vraagt artikel 4 van de EU AI-verordening om voldoende AI-geletterdheid bij iedereen die beroepsmatig met AI-systemen werkt. Twee wetten, twee grondslagen, maar in de praktijk grotendeels dezelfde zaal en dezelfde middag.

De sanctiekant is navenant. Volgens de NCTV kent de regelgeving voor essentiële entiteiten een bestuurlijke boete van maximaal tien miljoen euro of twee procent van de wereldwijde jaaromzet, en voor belangrijke entiteiten maximaal zeven miljoen euro of 1,4 procent, waarbij het hoogste bedrag geldt. Daarnaast kent de Cbw volgens de RDI de mogelijkheid om aan individuele bestuurders een boete of een last onder dwangsom op te leggen. Het toezicht verschilt bovendien per categorie: op essentiële entiteiten wordt proactief toezicht gehouden, ook zonder incident, terwijl bij belangrijke entiteiten reactief wordt gekeken, bijvoorbeeld na signalen of na een incident.

Vertaald naar de vergadertafel: de vraag welke AI-tools er in uw organisatie draaien, is geen ICT-vraag meer die bij de systeembeheerder kan blijven liggen. Het is een vraag waarop het bestuur zelf een antwoord moet kunnen geven, en die het bij goedkeuring van de maatregelen impliciet beantwoordt.

Wat u deze maand doet: van schaduw naar register

Hiervoor hoeft u geen programma op te tuigen. Vijf stappen zijn in september al te zetten, en ze bouwen op elkaar voort.

• Stel eerst vast of u onder de wet valt, met de NIS2-zelfevaluatie van de rijksoverheid en de sectorbeschrijving van uw eigen toezichthouder, en registreer u bij een bevestigend antwoord in het entiteitenregister. Valt u er niet onder, dan blijft de rest van deze lijst zinvol, want uw klanten stellen dezelfde vragen.
• Maak een inventarisatie van de AI-tools die feitelijk in gebruik zijn. Vraag het per afdeling en zonder consequenties, want een lijst die mensen niet durven aan te vullen is waardeloos. Noteer per tool wie hem gebruikt, welke gegevens erin gaan, op wiens naam het account staat en wie ervoor betaalt.
• Leg die lijst naast de tien zorgplichtmaatregelen en markeer per tool wat ontbreekt: staat hij in de risicoanalyse, in het assetoverzicht, op de leverancierslijst, en staan er passkeys of ten minste multifactorauthenticatie op het account.
• Vertaal de uitkomst naar het afsprakenkader met tool-niveaus uit ons stuk over [ChatGPT en Copilot op de werkvloer](/insights/chatgpt-copilot-veilig-werkvloer-avg-ai-act) en zorg dat er voor elk gebruik dat u wilt beperken een goedgekeurd alternatief klaarstaat. Zonder alternatief verplaatst het gebruik zich naar de privételefoon.
• Oefen de eerste 24 uur één keer droog, met een AI-scenario in plaats van een ransomwarescenario. Wie stelt vast dat het een incident is, wie beoordeelt of het aanzienlijk is, wie doet de melding via MijnNCSC, en wie beoordeelt tegelijk of er ook een datalek onder de AVG speelt.

De mens beslist en tekent, en hier is dat het bestuur

Bij AIBA hanteren we als uitgangspunt dat de mens beslist en tekent. Bij dit onderwerp is die mens bij naam aan te wijzen. De wet legt de goedkeuring van de maatregelen en het toezicht op de uitvoering bij het bestuur, en laat die verantwoordelijkheid daar ook liggen wanneer de uitvoering elders is belegd. Een leverancier kan u helpen, een CISO kan het werk doen, maar de handtekening blijft van u.

Dat maakt dit onderwerp ook een goede aanleiding om de losse verplichtingen bij elkaar te leggen in plaats van ze los te blijven behandelen. De inventarisatie die de zorgplicht van u vraagt, is grotendeels dezelfde inventarisatie die de classificatie en documentatie van AI in operationele processen nodig heeft. De opleidingsplicht voor bestuurders uit de Cbw en de AI-geletterdheidsverplichting uit de AI-verordening overlappen in de praktijk. En de afspraken over datatoegang die u vastlegt bij de aanschaf van machines en systemen, waarover wij schreven naar aanleiding van de Dataverordening van 12 september, horen thuis in dezelfde leveranciersbeoordeling die de zorgplicht van u verlangt.

Begin daarom niet bij de wettekst maar bij de lijst. Wie in kaart heeft welke tools er draaien, welke gegevens erdoorheen gaan en wie ervoor tekent, heeft het grootste deel van het werk gedaan, ongeacht of de toezichthouder ooit langskomt.