De Europese Commissie heeft Nederland, samen met Ierland, Spanje en Frankrijk, verwezen naar het Hof van Justitie van de Europese Unie. Reden is het uitblijven van een volledige omzetting van de NIS2richtlijn in nationale wetgeving. De vier lidstaten hadden de richtlijn uiterlijk op 17 oktober 2024 moeten implementeren, maar meldden op dat moment geen volledige transpositie.
Van ingebrekestelling naar verwijzing
Het traject volgde de gebruikelijke stappen van een EU-inbreukprocedure. Op 28 november 2024 stuurde de Commissie een ingebrekestelling aan 23 lidstaten. Op 7 mei 2025 volgde een met redenen omkleed advies aan negentien landen die nog altijd niet volledig hadden omgezet, waaronder Nederland. Omdat ook na deze waarschuwing geen volledige notificatie volgde, besloot de Commissie de zaak nu voor te leggen aan het Hof. Daarbij vraagt zij ook om financiële sancties: een eenmalig bedrag en een dwangsom per dag totdat volledige omzetting alsnog is gemeld.
Nederland liep achter, maar heeft inmiddels ingehaald
De Nederlandse implementatie van NIS2, de Cyberbeveiligingswet (Cbw), doorliep een lang parlementair traject. De Tweede Kamer stemde op 15 april 2026 in, de Eerste Kamer volgde op 7 juli 2026. Samen met de Wet weerbaarheid kritieke entiteiten treedt de Cbw op 15 augustus 2026 in werking. Vanaf die datum gelden zorgplicht, meldplicht en bestuurdersaansprakelijkheid voor duizenden Nederlandse organisaties in kritieke sectoren. De verwijzing naar het Hof heeft betrekking op het feit dat er ten tijde van de reasoned opinion nog geen volledige transpositie was gemeld, en staat los van de inmiddels afgeronde parlementaire behandeling. Of de zaak bij het Hof daarmee grotendeels achterhaald raakt, is aan de Commissie om te beoordelen; procedureel loopt de verwijzing door totdat deze formeel wordt ingetrokken.
Waarom dit relevant blijft voor organisaties
NIS2 verplicht lidstaten tot eenduidige regels voor cyberbeveiliging in achttien kritieke sectoren, waaronder energie, gezondheidszorg, transport en digitale infrastructuur. Volgens de Commissie is volledige en tijdige implementatie essentieel voor de weerbaarheid en incidentresponscapaciteit van zowel publieke als private organisaties in de gehele Unie. Voor Nederlandse organisaties verandert de Hofverwijzing zelf niets aan de verplichtingen: die volgen rechtstreeks uit de nationale Cyberbeveiligingswet, die vanaf 15 augustus 2026 onverkort geldt.
https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1499
