Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202636 764Regels ter implementatie van Richtlijn (EU)2022/2555 van het Europees Parlement en deRaad van 14 december 2022 betreffendemaatregelen voor een hoog gezamenlijk niveauvan cyberbeveiliging in de Unie, tot wijzigingvan Verordening (EU) nr. 910/2014 en Richtlijn(EU) 2018/1972 en tot intrekking van Richtlijn(EU) 2016/1148 (PbEU 2022, L 333)(Cyberbeveiligingswet)36 765Regels ter implementatie van Richtlijn (EU)2022/2557 van het Europees Parlement en deRaad van 14 december 2022 betreffende deweerbaarheid van kritieke entiteiten en totintrekking van Richtlijn 2008/114/EG van deRaad (PbEU 2022, L 333) (Wet weerbaarheidkritieke entiteiten)Nr. 32 VERSLAG VAN EEN WETGEVINGSOVERLEGVastgesteld 28 mei 2026 De vaste commissie voor Justitie en Veiligheid en de vaste commissievoor Digitale Zaken hebben op 23 maart 2026 overleg gevoerd met deheer Van Weel, Minister van Justitie en Veiligheid, over:–het wetsvoorstel Regels ter implementatie van Richtlijn (EU)2022/2555 van het Europees Parlement en de Raad van14 december 2022 betreffende maatregelen voor een hooggezamenlijk niveau van cyberbeveiliging in de Unie, totwijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU)2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148(PbEU 2022, L 333) (Cyberbeveiligingswet) (Kamerstuk36 764);–het wetsvoorstel Regels ter implementatie van Richtlijn (EU)2022/2557 van het Europees Parlement en de Raad van14 december 2022 betreffende de weerbaarheid van kritiekeentiteiten en tot intrekking van Richtlijn 2008/114/EG van deRaad (PbEU 2022, L 333) (Wet weerbaarheid kritieke entitei-ten) (Kamerstuk 36 765). kst-36764-32ISSN 0921 - 7371’s-Gravenhage 2026Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 321 Van dit overleg brengen de commissies bijgaand geredigeerd woordelijkverslag uit.De voorzitter van de vaste commissie voor Justitie en Veiligheid,EerdmansDe voorzitter van de vaste commissie voor Digitale Zaken,DekkerDe griffier van de vaste commissie voor Justitie en Veiligheid,Van TilburgTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 322 Voorzitter: KathmannGriffier: PaauweAanwezig zijn acht leden der Kamer, te weten: Van den Berg, El Boujdaini,Emiel van Dijk, Faber, Kathmann, Martens-America, Vermeer en Zwinkels,en de heer Van Weel, Minister van Justitie en Veiligheid.Aanvang 10.01 uur.De voorzitter:We gaan van start, want we hebben een drukke ochtend waarop we tweewetten bespreken: de Wet weerbaarheid kritieke entiteiten en de Cyberbe-veiligingswet. De heer Van den Berg, die naast mij zit, heeft superfancyboekjes, die hij nog uit gaat delen. Hij laat ze nu even zien. Voor straks bijde tweede termijn wil ik nog even de volgende bijsluiter geven. Omdat wijtwee wetten in één keer bespreken, is het handig voor de griffie als u bijhet indienen van moties even goed aangeeft bij welke wet de motie hoort.Dat gezegd hebbende, beginnen we bij de heer Vermeer, want ik weet dathij zich helaas rot rent van debat naar debat in dit gebouw. Hij moethelaas zo vertrekken, dus daarom geef ik als eerste graag het woord aande heer Vermeer van de fractie van BBB. Uiteraard ook van harte welkomaan de Minister.De heer Vermeer (BBB):Dank u wel, voorzitter. Heel hartelijk dank dat u mij toestaat aan devoorkant te spreken, zodat ik hier straks weer op een nette manier kanvertrekken.Voorzitter. Eind april 2025 rond 14.00 uur ’s middags werd het plotselingstil in twintig Nederlandse stadhuizen en provinciehuizen. Dat was nietomdat ambtenaren massaal aan de lunch zaten, maar omdat hun digitalevoordeur met brute kracht werd ingeramd. Websites van gemeenten enprovincies gingen plat door ddos-aanvallen van de pro-Russischehackersgroep NoName. Dit lijkt misschien een technisch incident, maarhet is in werkelijkheid een politiek signaal, dat laat zien in welke werelddeze Cyberbeveiligingswet landt. Dat is een wereld waarin digitaleontwrichting geen uitzondering meer is, maar een dagelijks instrument inwat we inmiddels «hybride oorlogsvoering» noemen. We moetendaarover eerlijk zijn. Cyberaanvallen zijn niet langer alleen het werk vancriminelen die geld willen verdienen. Steeds vaker zijn het geopolitiekeinstrumenten, gericht op onze democratische instituties, onze economieen het vertrouwen van burgers in de overheid. Wanneer lokale overheden,die het dichtst bij de burger staan, doelwit worden, dan raakt dat ookdirect het vertrouwen in onze publieke sector.Voorzitter. Onze soevereiniteit in het digitale domein staat steeds vakeronder druk. Die constatering is niet overdreven, zeker nu de internationaleverhoudingen veranderen en de geopolitieke rugdekking waarop Europalange tijd kon rekenen, minder vanzelfsprekend lijkt. Dat betekent datNederland zijn eigen digitale weerbaarheid op orde moet hebben. Wemoeten onze digitale ophaalbruggen kunnen optrekken wanneer datnodig is.Voorzitter. In dat licht begrijpt BBB heel goed waarom deze Cyberbeveili-gingswet er ligt. Met deze wet implementeren we de Europese cyberbe-veiligingsregels uit de NIS2-richtlijn. Het doel is het verhogen van dedigitale weerbaarheid van vitale en belangrijke organisaties. Dat onder-schrijven we, maar tegelijkertijd zien we een patroon dat we vaker zien bijde implementatie van Europese regelgeving: Nederland wil weer hetbraafste jongetje van de klas zijn. Boven op de Europese verplichtingenworden nationale koppen gezet. Regels worden zwaarder, breder ofingewikkelder dan strikt noodzakelijk is. Dat roept vragen op, zeker omdatTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 323 het Adviescollege toetsing regeldruk bij deze wet een kritisch en zelfsnegatief advies heeft gegeven over de regeldruk. De vraag aan deStaatssecretaris is dan ook simpel, of in dit geval aan de Minister; sorry.Waarom kiest dit kabinet ervoor om dit ondanks dat negatieve advies tochdoor te zetten, zonder eerst de uitvoerbaarheid volledig inzichtelijk temaken?Voorzitter. Vooral onze medeoverheden, provincies, gemeenten enwaterschappen, maken zich grote zorgen. Zij zijn immers niet alleenuitvoerders van beleid; ze worden met deze wet zelf ook onder toezichtgeplaatst. Organisaties zoals het Interprovinciaal Overleg en deVereniging van Nederlandse Gemeenten waarschuwen al langere tijd datde impact van deze wet zowel financieel als organisatorisch aanzienlijk zalzijn. Toch lezen wij in de stukken dat de kosten voor decentrale overhedennog in kaart moeten worden gebracht conform de Financiële-verhoudingswet. Dat baart mijn fractie zorgen. Daarom heb ik een aantalconcrete vragen aan de Minister. Waarom is er geen volledige Uitvoer-baarheidstoets Decentrale Overheden, een zogenaamde UDO, afgeronden gedeeld met de Kamer? Wanneer kan de Kamer die toets verwachten?Kan de Minister toezeggen dat de wet pas volledig in werking treedtwanneer duidelijk is dat provincies en gemeenten de uitvoering daadwer-kelijk aankunnen? Daarnaast speelt natuurlijk de financiële kant een rol,want we kennen allemaal het principe dat wie beleid maakt, ook betaaltvoor de uitvoering, oftewel: knaken moeten taken volgen. Toch blijft hetop dit punt stil. Is de Minister bereid expliciet te garanderen dat provinciesen gemeentes niet zelf voor de kosten van deze nieuwe verplichtingenopdraaien? Komt er structurele financiering vanuit het Rijk voor de extracyberbeveiligingstaken die deze wet oplegt? Kan hij inzicht geven in deorde van grootte van de kosten waar we hier over spreken?Voorzitter. Dan de waterschappen. Voor de BBB zijn onze waterschappeneen cruciale bestuurslaag. Zij zorgen er dagelijks voor dat Nederlanddroog blijft, dat we schoon drinkwater hebben en dat onze landbouw kanfunctioneren. In deze wet worden de waterschappen aangemerkt alsessentiële entiteiten. Dat begrijpen wij, want drinkwater en watervei-ligheid zijn vitale infrastructuur. Maar ook hier gaat het kabinet verder dande Europese richtlijn. Ook het keren en beheren van waterkwantiteit wordtonder de wet gebracht, maar dat is niet verplicht volgens de Europeseregels. Met andere woorden, opnieuw zien we een nationale kop. Daaromhebben wij de volgende vragen. Waarom kiest de regering ervoor omverder te gaan dan de Europese richtlijn voorschrijft? Welke concreterisicoanalyse rechtvaardigt deze uitbreiding? Heeft het kabinet de signalenvan de waterschappen serieus genomen dat juist de uitvoeringslast vanhet Cyberbeveiligingsbesluit voor hen groot kan worden? Met anderewoorden, voegen we hier daadwerkelijk veiligheid toe of vooral adminis-tratieve lasten?Voorzitter. Een ander punt van zorg ligt in de voedselketen. Voor BBB isdie uiteraard een essentieel onderwerp. De Wet weerbaarheid kritiekeentiteiten, oftewel Wwke, is een mond vol iets wat in de kern heel simpelzou moeten zijn: hoe beschermen we de zaken die ons land draaiendehouden? BBB vindt het dan ook een goede zaak dat de Wwke de sectorproductie, verwerking en distributie van levensmiddelen eindelijkbestempelt als kritiek en als een sector van maatschappelijk belang. Het isde erkenning waar BBB al jaren voor pleit, want zonder boeren, zondervoedselproductie, zonder transport staat Nederland stil. Een land dat zijneigen voedselketen niet op orde heeft, is chanteerbaar en kwetsbaar. Dieerkenning is terecht, maar erkenning alleen is niet genoeg. Wat hierdreigt, is een fundamentele tegenstrijdigheid in beleid. Wat hier gebeurt,is eigenlijk niet uit te leggen aan de mensen. Aan de ene kant bestem-pelen we de landbouw en voedselketen als kritiek, als onmisbaar vooronze nationale veiligheid en weerbaarheid, maar aan de andere kantstapelen we regels, verplichtingen en beperkingen op: stikstofbeleid,Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 324 geluidsnormen, geurnormen, vergunningen die op slot zitten. Hierdoorkrijgt juist diezelfde sector het steeds moeilijker om te blijven bestaan.Voorzitter. Dat is geen consistent beleid, dat is beleid dat zichzelftegenspreekt, bijvoorbeeld bij Mercosur. Hier zie je dat we de productiewillen beschermen, maar we zetten wel de deur open voor productentegen veel lagere standaarden uit Zuid-Amerika. Wat doet dit kabinet? Hetzegt tegen onze boeren «jullie zijn cruciaal», maar tegelijkertijd maakt ditkabinet het ze bijna onmogelijk om hun werk nog te doen. Dan dringt zichde fundamentele vraag op of dit kabinet het nu echt meent als het zegt datde voedselketen kritiek is. Of is het alleen een mooi label, terwijl het beleidin werkelijkheid gericht is op het steeds verder inperken en uit het landjagen van diezelfde sector? Wat gaat het kabinet hieraan doen? Graag eenreflectie van de Minister hierop. Geen verwijzing naar ontijdigheid ofandere Ministers a.u.b. Immers, als iets echt van levensbelang is voor jeland, ga je het beschermen, versterken en ondersteunen en niet uitknijpenmet steeds nieuwe regels.Voorzitter. BBB kiest duidelijk: wie cruciaal is voor Nederland, geef jeruimte. Juist daar wringt het. Als we kijken naar de praktijk, zien we ietsanders gebeuren. De wet legt verantwoordelijkheden bij grote bedrijven,maar die schuiven hun verplichtingen weer door naar hun leveranciers.Wie zijn dat? Bijvoorbeeld bij voedselveiligheid en voedselzekerheid zijndat de boeren, tuinders, transporteurs, mkb’ers. Dit zijn ondernemers dievaak niet eens onder deze wet vallen, maar wel geconfronteerd wordenmet eisen rond cyberveiligheid, certificering en rapportages. Het zijn eisenwaarvoor zij niet de middelen, kennis of schaal hebben.Voorzitter. We hebben het al eerder genoemd in diverse debatten, ookover rapportages rond duurzaamheid: er kan wel een uitzondering komenvoor bedrijven onder de 250 medewerkers, maar zoals de ketenverant-woordelijkheid en ketensystemen werken, vallen mkb-bedrijven daar ookautomatisch onder, want zij moeten juist de informatie aanleveren diegrote bedrijven moeten ... Uhm ... Ik wou «factureren» zeggen, maar ikmoet zeggen «rapporteren». Factureren doen ze zelf wel; daar maak ik mijgeen zorgen over. Zo wordt weerbaarheid in de praktijk een papierenwerkelijkheid, die vooral druk legt op de schouders van de kleinsteschakels in de keten, en dat terwijl juist die schakels essentieel zijn.Zonder boer geen voedsel, zonder mkb geen keten en zonder keten geenzekerheid.Voorzitter. Hoe voorkomt de Minister dat grote ketenpartners hunverantwoordelijkheden simpelweg afwentelen op kleine ondernemers?Komt er duidelijkheid over wat wel en niet redelijk is om van leverancierste eisen? Wordt, zoals het ATR, het Adviescollege toetsing regeldruk,adviseert, een volwaardige mkb-toets uitgevoerd, zodat de gevolgen voorkleine ondernemers vooraf inzichtelijk zijn? Als we de voedselketen echtals kritiek beschouwen, moeten we ’m ook beschermen, niet alleen tegencyberdreigingen, maar vooral tegen beleid dat ’m van binnenuit onderdruk zet.Voorzitter. Dan het toezicht.De voorzitter:Voordat u naar het toezicht gaat, heeft u een interruptie van mevrouwZwinkels van het CDA.Mevrouw Zwinkels (CDA):Ik begrijp het punt van de heer Vermeer als het gaat om het papierwerkdat druk kan leggen op het mkb, maar tegelijkertijd zie je in de waarde-ketens die de heer Vermeer beschrijft juist ook dat die kleinere bedrijvenenorm kunnen meeliften op de cyberbeveiligingsmaatregelen van degrotere bedrijven, en dat ze elkaar zo kunnen versterken en daaropkunnen samenwerken. Deelt de heer Vermeer dat met mij en kunnen wehet op die manier ook als een heel grote kans zien?Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 325 De heer Vermeer (BBB):Ik zie dat nog totaal niet voor me, dus als mevrouw Zwinkels eenvoorbeeld zou willen noemen van hoe ze daarvan kunnen profiteren, danhoor ik dat graag. Maar het is hier volgens mij niet de bedoeling omvragen terug te gaan stellen.De voorzitter:Nee, dat is niet de bedoeling. Maar het is wel aan mevrouw Zwinkels of zijnog een interruptie wil plaatsen. Zij heeft zo ook haar inbreng. Misschienkomt zij er daarin op terug. Ik kijk even naar mevrouw Zwinkels of ze nogeen interruptie heeft. Ja.Mevrouw Zwinkels (CDA):Ja, het kan kort. Ik denk dat er voldoende bedrijven zijn – bij een paar benik ook op bezoek geweest – waar dit aan de orde is, namelijk dat echtgrote bedrijven hun leveranciers juist betrekken bij het beleid opcybersecurity. Ik hoop dat de heer Vermeer net als ik die kansen ziet. Voorde rest ga ik er in mijn eigen inbreng verder op in.De heer Vermeer (BBB):Ik denk zeker dat grote bedrijven kleinere bedrijven betrekken bij hetbeleid rond cybersecurity, maar dat betekent nog lang niet dat ze daarmeepraktisch geholpen worden of dat überhaupt de kosten daarvoor gedeeldworden. Integendeel. Als er ook maar iets van een maatregel is diekostprijsverhogend werkt, dan is het over het algemeen zo – dat hebbenwe ook gezien bij de bakkers met de energieprijzen – dat men zegt «ja,maar dat is jullie bedrijfsaansprakelijkheid en jullie bedrijfsrisico; dat zijnjullie bedrijfskosten». Het klinkt dus mooier dan het is. Ik hoop datmevrouw Zwinkels dit met fantastische voorbeelden gaat onderbouwenen dat wij dat ook in de praktijk gaan zien. Maar ik heb er vanuit mijneigen ervaringen zware bedenkingen over hoe dat uiteindelijk uitpakt voorde kleinere bedrijven.De voorzitter:Meneer Vermeer, u kunt verder met uw betoog.De heer Vermeer (BBB):Voorzitter. Dan het toezicht. In verschillende sectoren zien we datmeerdere toezichthouders erbij betrokken raken. Een voorbeeld is denucleaire sector, waar de Autoriteit Nucleaire Veiligheid en Stralingsbe-scherming al toezicht houdt, terwijl in dit wetsvoorstel ook de Ministervan Infrastructuur en Waterstaat een rol krijgt. Het kabinet zegt dat ersamenwerkingsafspraken komen tussen de toezichthouders, maar eerlijkgezegd is dat nogal vaag en klopt het, denk ik, ook niet met de kaders entaken die zij toebedeeld gekregen hebben, omdat die duidelijk zijn overwat zij allemaal zelf moeten doen. Organisaties willen duidelijkheid. Zijwillen weten waar ze aan toe zijn als er een incident plaatsvindt. Daaromde volgende vragen. Hoe wordt voorkomen dat organisaties metmeerdere toezichthouders tegelijk te maken krijgen? Kan de Ministergaranderen dat één incident niet leidt tot meerdere onderzoeken enmeerdere sancties? Is de Minister bereid om, zoals het IPO voorstelt, eenwettelijk verbod op dubbele boetes op te nemen? Dat zou een hooponzekerheid wegnemen.Voorzitter. Dan de evaluatie van deze wet. Volgens het wetsvoorstel wordtde wet pas na vijf jaar geëvalueerd. Op veel beleidsterreinen is dat eenredelijke termijn, maar in de digitale wereld verandert alles razendsnel.Technologie ontwikkelt zich sneller dan wetgeving kan bijhouden. Daaromadviseert het ATR om al na één jaar een eerste evaluatie uit te voeren.Waarom wordt dit advies niet overgenomen? Is de Minister bereid om inieder geval een tussentijdse evaluatie na een of twee jaar te organiseren,Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 326 zodat we tijdig kunnen bijsturen? Deze wet raakt naar schatting ruim 8.000organisaties direct. Dan lijkt het BBB verstandig om eerder te luisterennaar de ervaringen uit de praktijk.Voorzitter, ik rond af. De digitale luwte waarin Nederland lange tijd heeftgeopereerd, bestaat niet meer. Cyberaanvallen worden agressiever,geopolitieke spanningen nemen toe en digitale infrastructuur is eenstrategisch doelwit geworden. Juist daarom is het belangrijk dat we onzedigitale weerbaarheid versterken. Laten we er echter ook voor zorgen datwe een ophaalbrug bouwen die daadwerkelijk beschermt, en niet eenconstructie die zo zwaar is dat onze eigen medeoverheden en onder-nemers eronder bezwijken.Dank u wel.De voorzitter:Dank u wel voor uw bijdrage. U heeft een interruptie van de heer Van denBerg van JA21.De heer Van den Berg (JA21):Dank aan de heer Vermeer voor zijn bijdrage. Ik hoor best wel watinteressante punten terugkomen. Wij delen dezelfde zorgen op het gebiedvan toezicht op elkaar door de ANVS, zoals benoemd, maar ook watbetreft de evaluatietermijn en als laatste ook nog de dubbele boetes. Zouhet in deze fase niet veel beter zijn om dat zelf als Kamer te amenderen,zodat we er zeker van zijn dat we zelf de regie kunnen pakken? Zoals uzegt, verandert de wereld namelijk inderdaad snel.De heer Vermeer (BBB):Als Kamer worden wij geacht kaders te stellen en te controleren. Ik hebliever dat de Minister, vanuit de volle overtuiging dat dit goede ideeënzijn, zelf nog met een nota van wijziging komt, dan dat wij dat allemaalmoeten gaan amenderen. Dat is niet omdat ik bang ben voor extra werk,want volgens mij liggen er al een aantal voorstellen van verschillendeleden voor, maar omdat ik vind dat hier ook binnen de ministeries goedover moet worden nagedacht en dat men dit ook moet internaliseren. Datwerkt beter als men het zelf aanpast dan als wij een onderdeeltje eruitgaan amenderen.De heer Van den Berg (JA21):Daar ben ik het eigenlijk ook helemaal mee eens. Ik heb zelf de stukkendoorgenomen en ik moet zeggen dat ik net als u wel verrast was dat dieevaluatietermijn op vijf jaar staat. Ik ben eigenlijk wel nieuwsgierig hoe deheer Vermeer ernaar kijkt dat het ministerie tot zulke conclusies isgekomen. Ik blijf dat bijzonder vinden.De heer Vermeer (BBB):Ik denk dat ministeries hun tijd liever niet aan evaluaties besteden, zekerop korte termijn. Als zo’n wet doorgevoerd wordt, duurt het vaak vrij langvoordat je daarvan de effecten zou kunnen zien. Dat is in ieder geval hetalgemene idee. Als je nu al ziet wat voor reacties er allemaal op de wetzijn, zou ik zeggen: ga hem eerst eens even aanpassen. Daarnaast lijkenevaluatietermijnen van twee of drie jaar veel redelijker, met name omdatdingen op het gebied van digitale zaken zo snel veranderen, zoals ikaangaf. Dan is een evaluatie op korte termijn het beste, al is het maar omde Kamer daarmee de kans te geven zich er even op te focussen envervolgens ook met wijzigingsvoorstellen te komen aan de hand vansignalen uit sectoren of juridische procedures et cetera.De voorzitter:Het woord is aan de heer Van den Berg van JA21.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 327 De heer Van den Berg (JA21):Dank, voorzitter, Minister en alle aanwezigen, fysiek en digitaal. Het isgoed dat de Cyberbeveiligingswet en de Wet weerbaarheid kritiekeentiteiten vandaag op de agenda staan. Cyberbeveiliging en een weerbaremaatschappij zijn tenslotte zeer belangrijk. Vandaag behandelen wij deimplementatie van de Network and Information Security Directive 2, dieeigenlijk al in 2024 geïmplementeerd had moeten worden. Het is duidelijkdat we deze termijn niet hebben gehaald. Hoewel deze wetten nauw metelkaar verbonden zijn, richten zij zich op verschillende terreinen enhebben zij een andere uitwerking. De Cyberbeveiligingswet richt zichvoornamelijk op de digitale veiligheid en de Wet weerbaarheid kritiekeentiteiten ziet op de fysieke weerbaarheid.Als je beide wetten inhoudelijk bekijkt, wordt al snel duidelijk dat groveverschillen zichtbaar zijn. De Cyberbeveiligingswet noemt specifiek deCSIRT’s, de Computer Security Incident Response Teams, voor bijstand bijincidenten. In de Wet weerbaarheid kritieke entiteiten wordt daarentegengeen specifiek fysiek Incident Response Team benoemd, maar ligt denadruk op ondersteuning door de vakminister, terwijl de Minister vanJustitie en Veiligheid als centraal contactpunt de nationale en interna-tionale coördinatie verzorgt. Ook wat betreft de meldplicht lijkt deCyberbeveiligingswet strikter. Om aan de meldplicht te voldoen, wordt demelder geacht vier fasen te doorlopen, in tegenstelling tot de meldplichtin de Wet weerbaarheid kritieke entiteiten, die slechts bestaat uit tweefasen. Eveneens ontbreekt in de Wet weerbaarheid kritieke entiteiten debestuurlijke trainingsverplichting in zijn geheel. Dit zijn pas enkeleverschillen. Of de wetten dan ook gezamenlijk besproken hadden moetenworden, gezien de complexiteit, blijft de vraag.Voorzitter. Nederland heeft belang bij heldere en goed werkendewetgeving. Deze twee wetten, die nu en in de toekomst van groot belangzullen zijn, moeten niet onderschat worden. Ondanks dat vele entiteitenduidelijkheid willen en behoefte hebben aan een snelle implementatievinden wij dat implementatie pas verantwoord is zodra alle onduidelijk-heden zijn weggenomen, zodat entiteiten daadwerkelijk weten waar zijaan toe zijn. Daarbij is het zo dat nog niet alle bedrijven zijn benoemd alsbelangrijke, essentiële of kritieke entiteit. Hoewel de entiteiten wordenondergebracht in een van de drie soorten entiteiten en de desbetreffendesector daarbij leidend is, zijn sommige entiteiten nog niet aangewezen.Als belangrijke of essentiële diensten zijn bijvoorbeeld wel de drinkwater-sector en de vervoersector aangewezen. Deze sectoren wordenbeschermd tegen ontwrichting. Als kritieke entiteiten zijn onder andere degassector, elektriciteitssector en de oliesector aangewezen. Deze sectorenmoeten beschermd worden tegen sabotage, natuurrampen en terroris-tische misdrijven. De wetten zijn al een aan aantal reparaties onder-worpen geweest, laten we de wetgeving dan ook pas implementeren alsdeze echt gereed is.Net zoals de Minister de belangrijke zaken vaak in blokjes bespreekt, zal ikook vandaag in blokjes de punten afgaan.Voorzitter. Het eerste blokje betreft de bestuurlijke boete. Dit is mijn eerstepunt. De Minister geeft in de schriftelijke beantwoording aan dat dehoogte van de maximale boetes voortvloeit uit de NIS2-richtlijn en dat bijde toepassing daarvan het evenredigheidsbeginsel uit de Algemene wetbestuursrecht leidend is. Maar juist op dat punt blijft voor mijn fractie eenbelangrijke vraag liggen. Het gaat hier namelijk om zeer substantiëlebedragen; boetes kunnen oplopen tot wel 7 à 10 miljoen euro of zelfs tot2% van de omzet – dus niet van de winst, maar van de omzet. Dat zijnbedragen die in absolute zin voor elke organisatie groot zijn, maar die inrelatieve zin heel verschillend kunnen uitpakken. Ondanks het feit datmicrobedrijven en kleine bedrijven buiten het toepassingsbereik van deCyberbeveiligingswet vallen, blijft er bij JA21 zorg bestaan voor demiddelgrote ondernemingen. Voor de mensen thuis: dit zijn dus entiteitenTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 328 met 50-plus werknemers en bedrijven die jaarlijks meer dan 10 miljoeneuro aan omzet genereren. Om het concreet te maken: een ondernemingmet een omzet van 100 miljoen euro wordt door een boete van bijvoor-beeld 7 miljoen euro relatief zwaarder geraakt dan een onderneming meteen omzet van 500 miljoen euro. In dat laatste geval is de financiëleimpact beperkter in verhouding tot de schaal van de organisatie.In tegenstelling tot de Cyberbeveiligingswet kan dit in de Wetweerbaarheid kritieke entiteiten ook kleinere kritieke entiteiten omvattenomdat het toepassingsbereik gebaseerd is op het belang van de entiteitvoor de fysieke infrastructuur, ongeacht de omvang van de organisatie.Dat verschil in reikwijdte maakt het extra belangrijk om helder te hebbenhoe de boetes en de handhavingspraktijk proportioneel en effectiefworden toegepast.Mevrouw Faber (PVV):Ik heb even een verhelderende vraag. De heer Van den Berg heeft het overde verhoudingen tussen een groot en een klein bedrijf. Hij sprak over500 miljoen omzet tegenover 100 miljoen omzet. Maar het gaat in feitetoch om de winst, om wat je overhoudt? Je kunt een bedrijf hebben met500 miljoen dat maar 1 miljoen winst heeft en je kunt een bedrijf hebbenvan 100 miljoen dat 50 miljoen winst heeft. Dus volgens mij gaat devergelijking enigszins mank.De heer Van den Berg (JA21):Ik snap dat punt van zorg, maar het gaat in deze wet alleen over een boetedie is gebaseerd op de omzet en niet op de winst. Daar wordt dusinderdaad geen rekening mee gehouden. Om het te illustreren hetvolgende. Stel dat je een bedrijf hebt met een omzet van 100 miljoen euro.Dan val je dus onder die maximale tranche van 10 miljoen euro aan boete.Dat is dus 10%. Maar voor een bedrijf dat 500 miljoen euro groter is, valtonder de boete van 2%. Kortom, hoe groter je bent, hoe lager de relatievezwaarte van de boete. Dat vinden wij een bezwaar.Mevrouw Faber (PVV):Ik vind toch dat u het winstaspect hierin niet meeneemt. Dat zou u juistwel mee moeten nemen, want hoeveel je overhoudt, heeft ook te makenmet winst. Dat bepaalt hoe zwaar de boete is. Ik geef toe dat als de omzethoger is, de boete lager kan zijn. Maar je moet het ook zien in relatie tot dewinst.De heer Van den Berg (JA21):Zoals ik al zei, ben ik het daarmee eens. Ik heb daartoe een amendementin voorbereiding dat zegt dat je dat proportionele aspect moet afwegen bijhet bedrijf: hoe staat het bedrijf ervoor en heeft het al eerder overtre-dingen begaan? Dan is het duidelijk wat het kader is. Ik denk dat winstdaar wellicht een onderdeel van zou kunnen zijn, maar feit is hier wel datbij een kleiner bedrijf de relatieve zwaarte van de boete in het meestongunstige geval toch hoger kan uitvallen. Dat vinden wij eigenlijk eenheel slecht signaal aan de markt. Daar moet je gewoon gelijk in zijn, of hetnou gaat om een groot of klein bedrijf.De voorzitter:Meneer Van den Berg, u kunt verder met uw betoog.De heer Van den Berg (JA21):In omliggende landen – denk aan Frankrijk, Estland, Duitsland en België –waar het wetsvoorstel reeds is geïmplementeerd of zich nog in deimplementatiefase bevindt, valt op dat dezelfde maxima wordengehanteerd, maar dat de praktische toepassing veel meer maatwerk kentdan vandaag bij ons voorligt. Dat werd al even genoemd. Boetes wordenTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 329 aangepast aan de omvang en financiële draagkracht van de organisatie, erwordt gewerkt met omzetgerelateerde berekeningen of gefaseerdehandhaving, en toezichthouders geven vaak eerst waarschuwingen ofrichten zich op het afdwingen van compliance voordat hoge boetesworden opgelegd, zodat kleine entiteiten niet disproportioneel zwaarworden getroffen. De Minister geeft aan dat ook in Nederland in depraktijk vaak eerst met waarschuwingen wordt gewerkt. Dat is op zichzelfpositief, maar het verschil lijkt te zijn dat het in andere landen meerstructureel en expliciet is ingericht, terwijl het hier vooral als praktijkwordt beschreven.Ik wil de Minister daarom ook het volgende vragen. Hoe kijkt hij naar dezemethode die andere landen hanteren? Ziet hij mogelijkheden om inNederland een vergelijkbare praktijk te volgen om zowel middelgrote alskleinere entiteiten te beschermen? Mijn volgende vraag aan de Minister is:hoe wordt in de praktijk voorkomen dat dit boetesysteem juist leidt tot eenongelijke uitwerking tussen kleine en grote entiteiten? De verwijzing naarhet evenredigheidsbeginsel is op zichzelf belangrijk, maar dat blijft ookvrij abstract. Kan de Minister daarom concreet toelichten op welke wijzebij het bepalen van de hoogte van een boete rekening wordt gehoudenmet de omvang en de draagkracht van een onderneming? Wordt daarbijbijvoorbeeld gekeken naar de omzet of andere financiële indicatoren zoalswinst? Als dat niet structureel gebeurt, hoe voorkomt de Minister dan datkleine organisaties in de praktijk relatief zwaarder worden getroffen dangrotere spelers, terwijl het doel van deze wet juist is om de weerbaarheidin de gehele breedte te versterken? Graag een nadere, concrete toelichtingop dit punt.Voorzitter. Als tweede punt wil ik namens de fractie van JA21 graagingaan op mogelijke groepsregistratie bij de meldplicht voor multinati-onals. Het gaat hierbij om grote organisaties die uit meerdere entiteitenbestaan, zoals moeder- en dochterondernemingen, waarbij de vraag ishoe de meld- en registratieplicht van de Cyberbeveiligingswet in depraktijk voor hen wordt vormgegeven. In een nota van toelichting op hetCyberbeveiligingsbesluit staat dat er wordt gewerkt aan een functionaliteitin het meld- en registratieportaal waarmee groepen van entiteitenmeerdere entiteiten binnen een groep kunnen bundelen voor registratiesen meldingen. Dat is een belangrijke stap. Kan de Minister toelichtenwanneer deze functionaliteit beschikbaar is en hoe precies wordtomgegaan met moeder- en dochterondernemingen? Hoe wordtvoorkomen dat een entiteit die in meerdere sectoren actief is, dubbel oftegenstrijdig wordt geregistreerd of gemeld?Voorzitter. Mijn derde punt: de samenloop tussen de Cyberbeveiligingsweten de Wet weerbaarheid kritieke entiteiten. Het uitgangspunt is dat alleenbinnen de digitale sector de Cyberbeveiligingswet als lex specialisvoorgaat. In andere gevallen kunnen entiteiten dus gewoon onder beidewetten vallen. Dat betekent dat niet alleen in de energiesector, maar ookin sectoren als vervoer, drinkwater, gezondheidszorg en de productie,verwerking en distributie van de levensmiddelensector, organisaties metbeide wetten te maken kunnen krijgen. Het kabinet geeft aan dat het doelis om administratieve lasten te beperken, onder andere door afstemmingen informatie-uitwisseling tussen de bevoegde autoriteiten. Dat is hetbelangrijkste uitgangspunt. Maar daarbij wordt vooral gekeken naar demeld- en registratieplicht. Zo wordt duidelijk dat er één centraal meldpuntzal komen en de risicobeoordeling samengenomen mag worden. Watechter onderbelicht blijft, is het risico op dubbel toezicht.Dit beeld wordt bevestigd door de Autoriteit Persoonsgegevens, dieaangeeft dat het huidige stelsel leidt tot inefficiënt toezicht. Waar sectoraletoezichthouders slechts zicht hebben op hun eigen domein, beschikt deAutoriteit Persoonsgegevens over een breder, sectoroverstijgend beeld.Juist dat totaaloverzicht ontbreekt nu in de samenwerking, terwijlcyberbedreigingen zich niet beperken tot één sector. DaarnaastTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3210 waarschuwt de Autoriteit Persoonsgegevens dat zonder goedeafstemming, organisaties bij incidenten met meerdere toezichthouders temaken kunnen krijgen die vergelijkbare informatie opvragen, wat incrisissituaties dan weer zeer onwenselijk is.De Minister benadrukt dat het uitsluiten van volledige overlap nietmogelijk is. Wel hebben toezichthouders op grond van artikel 55 Cyberbe-veiligingswet en artikel 25 Wet weerbaarheid kritieke entiteiten deverplichting om zo veel mogelijk samen te werken bij toezicht op deentiteiten. De heer Vermeer noemde dit net al. Tegelijkertijd blijft hetformeel zo dat het toezicht vanuit beide wetten naast elkaar blijft bestaan,met eigen bevoegdheden en verantwoordelijkheden. Samenwerking eninformatie-uitwisseling zijn natuurlijk belangrijk, maar bieden op zichzelfnog geen garantie dat dubbel toezicht in de praktijk wordt voorkomen.Mijn vragen. Hoe wordt voorkomen dat een en dezelfde entiteit te makenkrijgt met parallel toezicht door meerdere toezichthouders, ieder vanuiteen eigen wettelijk kader? Betekent dit in de praktijk dat bedrijven alsnogmet verschillende inspecties, beoordelingen en handhavingslijnen temaken kunnen krijgen? Kan de Minister concreet toelichten hoe dit wordtgecoördineerd? Is er sprake van één leidende toezichthouder of blijft hetbij samenwerking tussen meerdere autoriteiten? Hoe wordt geborgd datdit voor bedrijven daadwerkelijk leidt tot minder lasten in plaats van eenstapeling van toezicht? Kan de Minister bovendien reflecteren op eenalternatief waarbij de coördinatie sterker wordt geborgd, bijvoorbeelddoor te werken met één leidende toezichthouder per entiteit, een soortvan one audit-principe, of een meer geïntegreerde handhavingsaanpak?Voorzitter. Ik zou graag willen ingaan op mijn vierde punt. Artikel 18 vanhet Cyberbeveiligingsbesluit gaat over een specifieke en vergaandebevoegdheid van de overheid in het kader van nationale veiligheid. Opgrond van dit artikel kan een vakminister, in overeenstemming met deMinister van Justitie en Veiligheid, een entiteit verplichten om productenof diensten van bepaalde leveranciers te weren uit kritieke onderdelen vanhun netwerk en informatiesystemen. Deze bevoegdheid kan wordeningezet wanneer er risico’s zijn voor de nationale veiligheid, bijvoorbeeldals een leverancier mogelijk onder invloed staat van een staat dieoffensieve cyberactiviteit tegen Nederland ontplooit. Het gaat dus omsituaties waarin de betrouwbaarheid van leveranciers direct raakt aan deveiligheid van vitale infrastructuur. Het is wel wonderlijk dat de artikelenvan het Cyberbeveiligingsbesluit niet onder de relevante documenten zijngeschaard, maar dat dit document enige tijd geleden wel is verstuurd naarde Kamer en dat het Cyberbeveiligingsbesluit bovendien wel door deRaad van State wordt aangehaald.Voorzitter. De Minister heeft eerder duidelijk gemaakt dat artikel 18 van hetCyberbeveiligingsbesluit wordt gezien als een nadere uitwerking van dezorgplicht uit artikel 21 uit de Cyberbeveiligingswet, en dat het daarom ophet niveau van een algemene maatregel van bestuur is geregeld.Tegelijkertijd roept dit bij de fractie van JA21 wel een fundamentele vraagop. De bevoegdheid om specifieke leveranciers te weren uit kritiekeonderdelen van systemen is namelijk geen technische uitwerking, maareen zeer ingrijpende maatregel met grote gevolgen voor bedrijven. Kande Minister aangeven of dat besluit wel relevant is en of wij hier wel ofniet over stemmen? En, zo ja, wanneer zullen wij hierover stemmen? Kande Minister toelichten waarom ervoor is gekozen om deze bevoegdheidniet op wetsniveau zelf te regelen, maar in lagere regelgeving?Daarnaast blijft het punt van de totstandkoming knellen. Deze bepaling ispas in een laat stadium toegevoegd en heeft geen onderdeel uitgemaaktvan de formele internetconsultatie. De Minister geeft aan dat er welgesprekken zijn gevoerd met koepelorganisaties, maar kan hij toelichtenhoe breed en transparant deze consultatie is geweest en of alle relevantepartijen daar bij betrokken zijn? Wat is de achterliggende reden van hetfeit dat deze bepaling later is toegevoegd?Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3211 Tot slot op dit punt – niet getreurd, we zijn net over de helft – hoor ikgraag hoe de Minister de rechtszekerheid voor bedrijven waarborgt. Opbasis van welke concrete criteria wordt bepaald dat een leverancier eenrisico vormt en hoe voorspelbaar is dit voor bedrijven die afhankelijk zijnvan dergelijke leveranciers en, niet te vergeten, onderaannemers?Punt vijf, voorzitter. Naast de inhoudelijke bepalingen over boetes enzorgplicht wil ik namens JA21 ook ingaan op de evaluatie van deCyberbeveiligingswet. Artikel 94 van het Cyberbeveiligingsbesluit legt nuvast dat de eerste formele evaluatie uiterlijk vijf jaar na inwerkingtredingplaatsvindt en daarna elke drie jaar. In de Wet weerbaarheid kritiekeentiteiten is in artikel 41 een evaluatietermijn van vier jaar opgenomen,maar verder wordt er geen terugkerende evaluatietermijn genoemd.Mijn fractie overweegt het artikel te amenderen op korte termijn, zodat erwel een terugkerende evaluatietermijn aanwezig is. De fractie van JA21maakt zich zorgen over deze termijn, omdat digitale dreigingen enkwetsbaarheden in vitale sectoren snel kunnen veranderen. In eendreigingslandschap dat voortdurend evolueert kan een evaluatie van vijfof vier jaar betekenen dat cruciale knelpunten in de praktijk te langonopgemerkt blijven. Dit geldt bijvoorbeeld voor de meldplicht, dezorgplicht en de toepassing van bestuurlijke boetes. Een termijn vanmaximaal twee jaar zorgt ervoor dat de wet tijdig kan worden bijgestuurd,wanneer blijkt dat onderdelen niet effectief zijn of niet praktisch uitvoer-baar zijn zonder dat er grote risico’s voor entiteiten of de continuïteit vanvitale processen ontstaan. Bovendien sluit een kortere evaluatietermijnbeter aan bij het doel van de wet, namelijk het beschermen van vitaleinfrastructuur en het waarborgen van digitale veiligheid, terwijl bedrijvensnel duidelijkheid krijgen over wat er van hen verwacht wordt.De fractie van JA21 vindt een termijn van vier of vijf jaar voor de eersteevaluatie veel, maar dan ook veel te lang. Heel eerlijk: toen ik de wet voorhet eerst las, kon ik niet geloven dat we voor zo’n lange termijn hebbengekozen. De wereld verandert snel, zeker op het gebied van digitalisering.We begrijpen de wens om aan te sluiten bij de evaluatiecyclus van deEuropese Commissie, maar de risico’s voor Nederlandse entiteiten, vooralin vitale sectoren, kunnen sneller veranderen dan de EU-cyclus aangeeft.Hoewel de Minister aangeeft dat essentiële onderdelen via lagereregelgeving kunnen worden aangepast, geldt dat niet voor de kern van dewet, zoals de definitie van «essentiële entiteiten» of de zorg- en demeldplicht.Het Adviescollege toetsing regeldruk heeft bovendien geadviseerd éénjaar na de inwerkingtreding van zowel de Cyberbeveiligingswet als de Wetweerbaarheid kritieke entiteiten een invoeringstoets uit te voeren. Ookheeft het ATR aangegeven dat het kostenplaatje te rooskleurig enonvolledig is. Belangrijke kostenposten, zoals verplichte audits eninspecties, zijn nog niet volledig meegenomen. Daarom wijst het ATR opde eenmalige kennisnamekosten voor bedrijven, die oplopen tot circa7,8 miljoen voor de ruim 8.000 betrokken organisaties.Mevrouw Zwinkels (CDA):Ik vind het punt van een kortere evaluatietermijn wel interessant.Tegelijkertijd denk ik ook wel dat het praktisch ondoenlijk is om elk jaar ofelke twee jaar een hele uitgebreide evaluatie te doen en dan ook nog eenkeertje de wet te wijzigen. Als we bijna om het jaar de wet aanpassen enbedrijven weer moeten nadenken over waar ze nu weer aan moetenvoldoen, dan zou dat namelijk ook heel veel regeldruk met zichmeebrengen. Ik ben toch wel benieuwd of de heer Van den Berg het metmij eens is dat we in de wet een goede basis moeten neerzetten en we ertegelijkertijd in de praktijk voor moeten zorgen dat we met elkaar alleontwikkelingen bijhouden – dat deel ik van harte met hem – zodat webedrijven daarop kunnen bijsturen of van informatie kunnen voorzien omdaarop te reageren. Deelt hij dat met mij? Deelt hij, tot slot, ook met mijTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3212 dat we de evaluatietermijnen van beide wetten misschien met elkaar gelijkmoeten gaan trekken?De heer Van den Berg (JA21):Allereerst dank voor de kans om een slok water te nemen. Ik ben het welmet mevrouw Zwinkels eens dat je dat niet te frequent moet doen, maarfeit is wel dat het Adviescollege toetsing regeldruk niet voor niets heeftgeadviseerd eerst met zo’n invoeringstoets te beginnen. Dat is eigenlijk deeerste check, zo van: is dit nou goed gegaan en pakt de wet uit zoals webeoogd hebben? Daarna kan er natuurlijk een evaluatietermijn komen dieterugkerend en langer is. Maar specifiek voor de Cyberbeveiligingswet:vijf jaar? Vijf jaar geleden hadden we nog niet eens ChatGPT en vijf jaarvanaf nu is er wellicht al kwantumtechnologie. In dat perspectief denk ikdat vijf jaar veel te lang is. In die zin zou een evaluatietermijn van tweejaar een eerste stap zijn. Als blijkt dat dat te frequent is, kunnen we dataltijd nog bij zo’n evaluatietermijn weer verlengen.Ik ben het helemaal eens met het laatste punt van mevrouw Zwinkels overhet synchroniseren van die termijnen. Juist omdat we het hier vandaagsamen behandelen en die wetten ook zo veel samenhang hebben – denkbijvoorbeeld aan die meld- en zorgplicht en aan het feit dat als je kritiekbent voor de ene wet, je essentieel bent voor de andere – denk ik: er zit zoveel overlap in, dus synchroniseer dat inderdaad. Daar heb ik ook eenamendement voor. Ik denk dat dit uiteindelijk ook goed zou zijn voor hetwetgevingsproces hier omdat het sneller gaat en omdat het doel van dewet, namelijk weerbaarheid in de maatschappij, verder wordtondersteund.De voorzitter:Meneer Van den Berg, u kunt verder met uw betoog.De heer Van den Berg (JA21):Nogmaals dank. Voor de overheid gaat het om een structureel bedrag datoploopt tot circa 82,8 miljoen euro per jaar vanaf 2028, verdeeld overmeerdere ministeries, voor onder andere toezicht, het centralecontactpunt en de versterking van de CSIRT’s. Voor het bedrijfslevenwordt de structurele last van meldplicht geraamd op ongeveer € 400.000tot € 450.000 per jaar – dat is gebaseerd op zo’n 1.000 meldingen – en eenkostprijs van circa € 432 per melding. Dat roept de vraag op of we hierwel een volledig beeld hebben van de werkelijke regeldruk. In hetverlengde hiervan merken ook decentrale overheden, zoals de water-schappen, op dat een grondige impactanalyse voorafgaand aan deinwerkingtreding ontbreekt. Juist bij wetgeving die zo veel verantwoorde-lijkheid bij decentrale partijen legt, is het essentieel om vooraf inzicht tehebben in uitvoerbaarheid, kosten en capaciteit. Het risico bestaat nu datdeze toets pas achteraf plaatsvindt, terwijl bijsturen dan complexer enbovendien ook kostbaarder is.Hoe rechtvaardigt de Minister het feit dat decentrale partijen verantwoor-delijk worden gemaakt voor de uitvoering van deze wet, terwijl er voorafgeen volledig inzicht bestaat in de praktische en financiële gevolgen? Kande Minister verder toelichten of hij bereid is om de initiële evaluatiepe-riode te verkorten, bijvoorbeeld tot maximaal twee jaar, zodat Nederlandsneller kan bijsturen als blijkt dat onderdelen van de wet in de praktijk nietgoed werken? Hoe verhoudt zich dit tot de invoeringstoets die het ATRadviseerde? Kan de Minister bovendien toelichten of hij bereid is om,mede in het licht van de invoeringstoets, expliciet te bezien hoe dezekosten, zowel voor de overheid als voor het bedrijfsleven, verder kunnenworden beperkt? En kan hij toezeggen dat er bij de invoeringstoets nietalleen wordt gekeken naar de werking van de wet, maar ook concreet naarde daadwerkelijke regeldruk in de praktijk, zodat waar nodig tijdig kanworden bijgestuurd? Kan de Minister tot slot aangeven waarom er geenTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3213 terugkerende evaluatietoets aanwezig is bij de Wet weerbaarheid kritiekeentiteiten?Voorzitter. Dan punt zes. Verder wil ik ingaan op de problematiek rondomde invulling van de zorgplicht. De invulling van de zorgplicht blijft ruim envaag, waardoor het voor entiteiten lastig blijft om te bepalen of zij dezorgplicht op de juiste wijze hebben benaderd. Bedrijven moeten zelfinschatten wat proportioneel en effectief is voor hun specifieke risico’s,waardoor praktische onzekerheid blijft bestaan. Zodra de Wetweerbaarheid kritieke entiteiten in werking treedt, hebben entiteitenimmers tien maanden de tijd om die risicoanalyses uit te voeren. Partijenals FMO, VNO-NCW en de Unie van Waterschappen vroegen al om meerduidelijkheid bij het erkennen van bestaande normenkaders. Eveneensuitte de laatste instantie zorgen over het feit dat het zonder risicobeoor-deling vanuit het ministerie onmogelijk is om een eigen risicoanalyse uitte voeren op grond van de Wet weerbaarheid kritieke entiteiten.De Minister heeft eerder aangegeven dat het voor bedrijven inderdaadlastig blijft om te bepalen welke maatregelen passend en evenredig zijn.Wel zegt de Minister dat er verschillende maatregelen kunnen wordengenomen met betrekking tot het uitvoeren van de desbetreffendezorgplicht. Zo zegt de Minister dat de desbetreffende vakministerbijvoorbeeld ondersteuning kan bieden en dat er handreikingen opgesteldkunnen worden. Ook wordt momenteel een richtsnoer ontwikkeld door deEuropese Commissie. Eveneens zal de toezichthouder per sector bepalenof de entiteit aan de zorgplicht heeft voldaan. Tot slot kunnen nadereregels eventueel via ministeriële regelingen worden vastgesteld. Men kanzich afvragen of dit niet thuishoort in formele wetten. De Ministerbenadrukt dat de open norm leidend blijft. Voor entiteiten blijven daarmeeechter wezenlijke vragen onbeantwoord. Welke concrete eisen gelden tenaanzien van bijvoorbeeld firewalls? Welk niveau van monitoring wordtverwacht? En hoe verhouden nieuwe technologieën zoals kwantumen-cryptie zich tot deze open zorgplicht?Voorzitter. Wat JA21 ook opvalt in de beantwoording, is dat er vaak wordtgesproken in termen als «kan», «kunnen» en «zal worden ontwikkeld». Datwijst erop dat veel van de nadere invulling van de zorgplicht nog nietvastligt, maar invulling is van toekomstige uitwerkingen of beleidskeuzes,en dat de beoordeling daarvan kan verschillen per sector of toezicht-houder. Het feit dat er momenteel nog geen concrete en eenduidigemaatstaf bestaat, roept zorgen op bij mijn fractie. Kan de Ministertoelichten hoe wordt geborgd dat entiteiten op dit moment al voldoendeduidelijkheid hebben over wat er concreet van hen wordt verwacht? Hoewordt voorkomen dat hierdoor rechtsongelijkheid ontstaat tussensectoren en dat bedrijven geconfronteerd worden met verschillendeinterpretaties van dezelfde zorgplicht? Kan de Minister uitleggen hoe dezeopen norm zich verhoudt tot de mogelijkheid van hoge bestuurlijke boetesals voor bedrijven niet vooraf duidelijk is wanneer zij precies aan de normvoldoen? Kan de Minister eveneens toelichten wanneer deze verschillendehandvatten en duidelijke richtlijnen daadwerkelijk worden geboden in hetkader van de Cyberbeveiligingswet en de Wet weerbaarheid kritiekeentiteiten?Voorzitter. Dan de Cariben – een zonnige invalshoek. Mijn fractie wil ookgraag stilstaan bij de positie van Caribisch Nederland. In het coalitieak-koord is juist benadrukt dat deze delen van Nederland beter betrokkenmoeten worden bij nationale wetgeving, zeker waar het gaat omveiligheid en weerbaarheid. Ook zou deze wet expliciet geldig zijn in hetgehele Koninkrijk. Tegelijkertijd stelt de Minister dat de Cyberbeveili-gingswet en de implementatie van de NIS2-richtlijn op dit moment nietuitvoerbaar zijn voor Caribisch Nederland.Dat roept bij mijn fractie enkele vragen op. Betekent dit dat vitaleentiteiten in Caribisch Nederland voorlopig minder beschermd zijn tegendigitale dreigingen dan Europees Nederland? Daarnaast hoor ik graag vanTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3214 de Minister wat er precies wordt bedoeld met «niet uitvoerbaar». Gaat hetom capaciteit, om middelen of om wetgevingstechnische belemme-ringen? Kan de Minister een concreet tijdspad schetsen voor wanneer enop welke wijze Caribisch Nederland alsnog onder deze wetgeving zalvallen, zodat ook daar de digitale weerbaarheid op orde komt? Kan deMinister verder toelichten of de mogelijkheid aanwezig is dat de imple-mentatie van de wetten in Caribisch Nederland bijvoorbeeld kan plaats-vinden gezamenlijk met de eerste evaluatietermijn?Voorzitter, nu echt tot slot. De Algemene verordening gegevensbe-scherming, de AVG, is ook van belang voor de verwerking van persoons-gegevens onder de Wet weerbaarheid kritieke entiteiten en de Cyberbevei-ligingswet. Het verwerken van persoonsgegevens is een inmenging in hetrecht op de persoonlijke levenssfeer, vastgelegd in artikel 8 van het EVRM– ik had niet verwacht dat ik daar ooit aan zou refereren! Deze inmengingwordt gerechtvaardigd omdat deze bij wet is voorzien en noodzakelijk is inhet belang van de nationale veiligheid, de openbare veiligheid en heteconomisch welzijn. Zonder deze gegevens kunnen instanties zoals hetCSIRT immers geen bijstand verlenen of waarschuwingen sturen naar dejuiste personen binnen een organisatie.De bewaartermijn van 60 maanden tot 10 jaar voor bijzondere persoons-gegevens onder de Cyberbeveiligingswet wordt echter als erg langervaren. Zo merkte de Autoriteit Persoonsgegevens op dat de bewaar-termijn van 60 maanden steeds opnieuw zou gaan lopen bij elke wijzigingin het register. Omdat bedrijven hun gegevens actueel moeten houden,zouden deze persoonsgegevens in de praktijk nooit worden verwijderd.De Minister heeft naar aanleiding van dit advies de tekst aangepast. Inplaats van na de laatste wijziging begint de termijn nu te lopen vanaf delaatste bevestiging van juistheid.De Minister stelt dat het niet wenselijk is om gegevens te verwijderen dienog steeds relevant zijn voor wettelijke taken, maar benadrukt datgegevens nooit langer mogen worden bewaard dan strikt noodzakelijk.Voor de zeer bijzondere persoonsgegevens is de bewaartermijn voor hetCSIRT aanzienlijk verkort, van 60 maanden naar 12 maanden. Voortoezichthouders wordt echter uitgegaan van een bewaartermijn van60 maanden, in verband met de noodzaak van dossieropbouw, langdurigejuridische procedures en de uitvoerbaarheid van toezicht. Voor regulierepersoonsgegevens geldt zowel bij de Wet weerbaarheid kritieke entiteitenals de Cyberbeveiligingswet een bewaartermijn van maximaal120 maanden voor toezichthouders. Voor overige wettelijke taken geldteen maximale bewaartermijn van 60 maanden.Voorzitter. Een maximale termijn van tien jaar lijkt disproportioneel lang.De Minister benadrukt dat een dergelijke termijn noodzakelijk is vooronder andere de opbouw van het dossier en eventuele bestuursrechtelijkeprocedures. Tegelijkertijd gaat het hier om een zeer lange bewaartermijnvoor reguliere persoonsgegevens. Dit onderwerp is eveneens doorverschillende partijen en instanties nadrukkelijk ter discussie gesteld, enterecht. Zo hebben de G4-gemeenten hun zorgen geuit over de termijnvan 60 maanden voor loggegevens, onder meer vanwege de kosten en deuitvoerbaarheid. Mijn fractie vraagt zich af hoe deze termijn zich verhoudttot het proportionaliteitsbeginsel onder de AVG en artikel 8 van het EVRM.Kan de Minister nader onderbouwen waarom een kortere bewaartermijnniet volstaat? Denk bijvoorbeeld aan twaalf maanden, zoals bij anderetaken binnen dezelfde wet.Daarnaast hoor ik graag hoe wordt geborgd dat de maximale termijn in depraktijk niet standaard wordt, maar dat daadwerkelijk per dossier wordtbeoordeeld of eerder verwijderen mogelijk is. Kan de Minister bovendientoelichten hoe de termijn van 60 maanden zich precies verhoudt tot hetnoodzakelijkheidscriterium in de praktijk? In hoeverre wordt per dossierdaadwerkelijk beoordeeld of een kortere bewaartermijn mogelijk is? Offungeert deze termijn in de praktijk als de standaard?Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3215 Daarnaast blijft voor mijn fractie de vraag bestaan waarom het verschilmet het CSIRT zo groot is. Als het CSIRT kan volstaan met 12 maandenvoor bijzondere persoonsgegevens, kan de Minister dan nader onder-bouwen waarom voor toezichthoudende taken een termijn van60 maanden noodzakelijk is? Zijn er mogelijkheden om hier tot verdereverkorting of differentiatie te komen?Voorzitter, dat was het dan. Dank u wel.De voorzitter:Van harte dank voor uw bijdrage, meneer Van den Berg. Het woord is aanmevrouw Faber van de PVV.Mevrouw Faber (PVV):Dank u wel, voorzitter. Ik zal het alleen over de Wet weerbaarheid kritiekeentiteiten hebben. Het andere gedeelte doet mijn collega, meneer VanDijk.Voorzitter. Om onze democratische rechtsstaat overeind te houden, is hetvan belang dat wij vitale processen die gevoelig kunnen zijn voor onderandere terroristische aanslagen, beschermen. Stelt u zich eens voor dat destroom langdurig uitvalt; dat heeft niet alleen consequenties voor hethuiselijk comfort, maar ook de criminaliteit zal sterk toenemen. Hetvoorliggende wetsvoorstel ter implementatie van de CER-richtlijn heeft alsdoel om essentiële diensten, ook wel «kritieke entiteiten» genoemd, veiligte stellen. U kunt hierbij denken aan de eerste levensbehoefte, namelijkwater. Het is van levensbelang dat de drinkwaterbedrijven blijvenfunctioneren. Door dit wetsvoorstel krijgen zij en alle andere bedrijvenmet essentiële diensten verplichtingen, zoals het maken van eenrisicobeoordeling om alle relevante door de natuur en de mens veroor-zaakte risico’s in kaart te brengen. Daarnaast hebben ze een zorgplicht omde weerbaarheid te vergroten en een meldplicht bij een eventueelincident. Nederland kent op dit moment al een vergelijkbare methodedoor het staande beleid van de Aanpak vitaal. Dat beleid heeft veelraakvlakken met de CER-richtlijn en wordt door vitale aanbieders albeleidsmatig nagestreefd. Er is al veel samenwerking tussen departe-menten en door hen aangewezen vitale aanbieders om de weerbaarheidte versterken.Voorzitter. Dikwijls klopt het allemaal wel op papier, maar kan de praktijkweerbarstiger zijn. Het is positief dat het wetsvoorstel voorziet in eenzorgplicht die ook fysieke bescherming van gebouwen en infrastructuurbehelst, onder andere door middel van omheiningen, detectieapparatuuren toegangscontroles. De Franse opwerkingsfabriek La Hague wordtbewaakt door speciaal getrainde beveiligingsteams van de Franseoverheid, zelfs afweergeschut ontbreekt niet. Hoever gaan de maatregelendie voortkomen uit dit wetsvoorstel voor bijvoorbeeld een Nederlandsekerncentrale? Wordt deze ook beschermd door bijvoorbeeld Defensie?Het toezicht op de entiteiten ligt bij de vakministers. Zij zijn al debevoegde autoriteit in hun sectoren. De Minister van Justitie en Veiligheidheeft daarbovenop een coördinerende taak. De NCTV functioneert alscentraal contactpunt. De Minister kan een nationale kop plaatsen doormeer sectoren aan te wijzen dan verplicht is vanuit de richtlijn. Hiermeedrukt hij bedrijven in een ongelijk speelveld. Dat is ongewenst voor onsbedrijfsleven, dat toch al gebukt gaat onder verstikkende regelgeving enbijkomende kosten. De Minister zou in het kader van de nationaleveiligheid over deze bevoegdheid willen beschikken. Kan de Minister ditnader duiden? De PVV houdt niet zo van nationale koppen. 80% van devitale processen is in handen van private partijen die onder toezicht staanvan de vakministers, onafhankelijk. De resterende 20% betreft vitaleprocessen binnen de overheid. Die staan onder toezicht van de Ministervan Binnenlandse Zaken. Onafhankelijk, of toch niet? De overheidTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3216 controleert in dezen de overheid. Het is een dingetje zoals: de slager keurtzijn eigen vlees. Hoe gaat de Minister dit oplossen?Er is nog zo’n gevalletje van toezicht, namelijk het zelfstandig bestuurs-orgaan, afgekort zbo. Een zbo voert zelfstandig taken uit zonder directeaansturing van een Minister en neemt dan ook onafhankelijk beslissingen.Ik noem een voorbeeld. In de Kernenergiewet zijn toezicht- en handha-vingsbevoegdheden uitdrukkelijk toegekend aan de Autoriteit NucleaireVeiligheid en Stralingsbescherming, afgekort de ANVS. De reden dat deANVS een zbo werd, was dat die onafhankelijkheid noodzakelijk was opgrond van internationaal en Europees recht. Beslissingen van de ANVSmoesten namelijk genomen kunnen worden zonder druk van belangen diekunnen conflicteren met het belang van veiligheid, zo meende de regeringtoen.Voorzitter. Ik raak nu enigszins in verwarring. Aan de ene kant moesten zijzelfstandig kunnen besluiten in het belang van de veiligheid en aan deandere kant moet de Minister nu het heft in handen kunnen nemen. Maarhoe gaan we dan bijvoorbeeld om met een incident in een kerncentrale?Nu ligt het toezicht op de veiligheid van de kerncentrale bij de ANVS. Bijhet in werking treden van deze wet komt dit tevens te liggen bij deMinister van IenW. Kan de echte toezichthouder zich in dezen melden?Graag een reactie van de Minister.Er kunnen meerdere toezichthouders tegelijk bevoegd zijn als er een zbobij betrokken is of als meerdere vakministers betrokken zijn bij een entiteitdie in meerdere sectoren voorkomt. Het risico bestaat dan dat vakmi-nisters de hete aardappel bij de ander op de financiële plaat leggen. Ditgeldt vooral bij departementen met een krappe begroting. De Ministerheeft er dan namelijk niet voor gekozen om de kritieke entiteit financieel teondersteunen. De kosten daarvoor gaan af van de eigen begroting. Dit kanleiden tot een hoop getouwtrek met als gevolg dat geen van beidentoezicht houdt en handhaaft. Hoe gaat de Minister dit oplossen?Tot zover, voorzitter.De voorzitter:Dank u wel, mevrouw Faber. Er zijn geen interrupties. Dan is het woordaan mevrouw Martens-America van de VVD.Mevrouw Martens-America (VVD):Dank, voorzitter. De digitale wereld krijgt een steeds grotere rol in onzesamenleving. Belangrijke sectoren zoals zorg, onderwijs, energiebedrijvenen noem maar op, kunnen niet meer zonder een goedwerkende en veiligedigitale infrastructuur. Geopolitieke spanningen en het feit dat onzeoverheid volledig afhankelijk is van digitale netwerken, maken hetinvoeren van deze wetten urgenter dan ooit. Ons land wordt dagelijksgeconfronteerd met hybride dreigingen en aanvallen.Voorzitter. Een cyberaanval kan veel schade aanrichten bij bedrijven enkan daarmee ook onze economie en samenleving als geheel raken. Somsblijven de onlinewereld en de digitale infrastructuur abstracte begrippen,maar we hebben recent nog gezien welke gevolgen een hack bij bijvoor-beeld het bedrijf Odido kan hebben voor onze maatschappij. Dit is eenvoorbeeld van een zichtbare situatie, maar het overgrote deel wordt tijdigtegengehouden of bereikt nooit het publieke oog.Voorzitter. Mijn fractie hoopt dat Nederland en Europa met deze wetten dedigitale en fysieke weerbaarheid van belangrijke sectoren tegen cyberaan-vallen versterken. Wat de VVD betreft treden ze zo snel mogelijk inwerking. Toch heb ik daarover mijn eerste vraag aan de Minister. Waaromheeft de implementatie van deze twee wetten daadwerkelijk zo langgeduurd? Welke gevolgen heeft deze vertraging gehad voor onzecyberveiligheid en onze bedrijven? Hebben er zich in de tussentijdsituaties voorgedaan die ons hebben laten inzien dat er al extra stappennodig zouden moeten zijn boven op de bestaande wetten die we op ditTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3217 moment bespreken? Ik wil in mijn bijdrage graag de volgende drie puntenmaken: duidelijkheid voor ondernemers, de evaluatieperiode en hetinrichten van registratieloketten.Mijn eerste punt is de duidelijkheid voor ondernemers. Het beschermenvan onze bedrijven is ontzettend belangrijk en dat betekent dat we ook dewetgeving moeten aanpassen, processen anders moeten inrichten en, alshet tegenzit, de regels voor ondernemers mogelijk complexer moetenmaken. Wat de VVD betreft is het vooral belangrijk dat het voor onder-nemers helder is op welke manier zij met deze nieuwe extra handelingenkunnen bijdragen aan het grote collectief, namelijk de veiligheid van onsland. Het moet daadwerkelijk geen papieren tijger worden. Mijn vraag aande Minister is dan ook hoe we deze bedrijven en ondernemers meenemenin het belang hiervan. Dat is hier ook al eerder genoemd. Vooral de watkleinere bedrijven gaan toch een wat zwaardere rol spelen in het grotegeheel. Hoe maken we die bedrijven duidelijk dat ook zij essentieel zijn indeze uitdaging? Waar wordt bijvoorbeeld hun feedback op dit proces enop de implementatie van deze wetten daadwerkelijk verzameld? Hoe gaanwe ervoor zorgen dat zij gehoord worden?Daarnaast heb ik een vraag over de bedrijven die in meerdere sectorenactief zijn. Voor hen is het nu niet altijd duidelijk onder welke regelsbinnen de Cyberbeveiligingswet zij precies vallen. Kunnen de sectordefi-nities verduidelijkt worden, zodat ondernemers beter weten waar ze aantoe zijn? Tot slot op dit punt vraag ik hoe bestuurders worden geïnfor-meerd over al de te nemen stappen voor zowel de meldplicht, dezorgplicht en de registratieplicht. Hoe worden zij hierover geïnformeerd?Hoe voorkomt het kabinet dat bestuurders onnodig in de problemenkomen, omdat zij per ongeluk een verplichting missen? Dat is mij niethelemaal duidelijk. Misschien kan de Minister hier nog een toelichting opgeven.Dan kom ik op de evaluatieperiode. Daarover is al eerder een interruptie-debatje gegaan. Ik sluit me aan bij de zorgen van de heer Van den Bergdat de termijn van vijf jaar te lang is. De wetsvoorstellen worden namelijkna vijf jaar geëvalueerd. De Minister heeft al eerder naar aanleiding vanhet advies van het ATR aangegeven dat een evaluatie na één jaar te vroegzou zijn voor een zorgvuldige evaluatie. Ik wil de Minister vragen hoe ertoch eerder dan pas na vijf jaar een evaluatie zou kunnen wordenuitgevoerd met de argumentatie die de heer Van den Berg hier al heeftaangevoerd, namelijk dat we worden ingehaald door de dagelijkserealiteit. Mijn fractie voelt veel voor een evaluatietermijn van twee jaar.Dan het inrichten van het registratieloket. Zoals ik al eerder heb aange-geven, wil ik benadrukken dat deze wetten er toch wel echt snel moetenkomen. Het moment lijkt nu dan toch eindelijk daar. Er zal ook zorgvuldigmoeten worden gekeken naar het inrichten van bijvoorbeeld het registra-tieloket voor ondernemers. De registratieplicht verplicht organisaties omzich in te schrijven bij een nationaal register. Hier is echter nog veelonduidelijkheid over. Dat is ook de feedback die wij van veel bedrijvenhebben ontvangen. Wat kan deze Minister doen om informatie over ditloket dan ook zo snel mogelijk te delen met ondernemers, zodat onder-nemers goed weten waar ze aan toe zijn en ze ook zo snel mogelijk deeerste stappen van de voorbereiding kunnen zetten?Voorzitter. De VVD is blij met de wetten. Het beveiligen van systemen isurgenter dan ooit en vraagt dan ook om goede wetgeving. Dank u wel.De voorzitter:Dank u wel voor uw bijdrage. Het woord is aan mevrouw Zwinkels van hetCDA.Mevrouw Zwinkels (CDA):Dank u wel, voorzitter. Vandaag bespreken we twee wetsvoorstellen dienauw met elkaar samenhangen: de Wet weerbaarheid kritieke entiteitenTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3218 en de Cyberbeveiligingswet. Het eerste voorstel ziet vooral toe op defysieke en organisatorische weerbaarheid van kritieke entiteiten en hettweede op de digitale weerbaarheid van essentiële en belangrijkeentiteiten. Samen raken ze direct aan de bescherming van vitaleprocessen en daarmee aan de weerbaarheid van onze samenleving.Ik begin met de Wet weerbaarheid kritieke entiteiten. Met deze wet wordtde Europese CER-richtlijn geïmplementeerd. Daarmee wordt eenminimumniveau geïntroduceerd voor de weerbaarheid van essentiëlediensten in een aantal vitale sectoren tegen risico’s en bedreigingen. Hetgaat daarbij om diensten die van cruciaal belang zijn voor het functio-neren van onze maatschappij, economie, volksgezondheid, openbareveiligheid en milieu. Uitval van deze diensten kan verstrekkende enontwrichtende gevolgen hebben, niet alleen nationaal, maar ook voor deEuropese Unie. Dat zijn dus niet zomáár sectoren. Het zijn sectoren dieonze samenleving draaiende en veilig houden. Juist daarom is het vangroot belang dat hun weerbaarheid structureel wordt versterkt. Het CDAonderschrijft daarom ook het uitgangspunt van deze wet en het belangvan de voorgestelde risicobeoordelingen.Voorzitter. Op grond van de CER-richtlijn zijn lidstaten verplicht om eennationale risicobeoordeling op te stellen. Daarnaast moeten kritiekeentiteiten zelf periodiek een risicobeoordeling uitvoeren. Kan de Ministertoelichten hoe deze beoordelingen zich tot elkaar verhouden? Hoe wordtvoorkomen dat deze trajecten los van elkaar plaatsvinden of leiden totdubbelingen en vooral veel papierwerk? Hoe verhoudt dit zich tot denationale strategie, die ook nog moet worden opgesteld? Het CDA hechteraan dat deze instrumenten elkaar versterken en niet onnodig bijdragenaan extra regeldruk. We hadden het er al over.De Minister heeft in de schriftelijke vragenronde aangegeven dat kleinereentiteiten in het kader van het tegengaan van regeldruk zelf kunnenafwegen of zij de risicobeoordeling laten samenvallen met anderewettelijke verplichtingen, bijvoorbeeld met de in de cybersecuritywetvoorgestelde verplichtingen. Het CDA vindt het goed dat wordt gekozenvoor maatwerk, maar hoe borgt de Minister dat entiteiten weten wat zewel en niet moeten doen en welke risicobeoordelingen echt noodzakelijkzijn en welke niet?Voorzitter. Daarbovenop is er het beleid rondom de vitale infrastructuur,zoals de Aanpak vitaal van de NCTV, die sinds 2023 van kracht is. Mijncollega begon er al over. Ook deze aanpak richt zich op het vergroten vande weerbaarheid tegen allerlei soorten dreigingen. Kan de Ministeruiteenzetten hoe deze wet zich verhoudt tot de Aanpak vitaal en andererisicobeoordelingen die door deze wet tot stand moeten komen? Op welkemanier worden overlap en versnippering voorkomen? Hoe wordt ervoorgezorgd dat er één samenhangend stelsel is, waarin duidelijk is wiewaarvoor verantwoordelijk is? Ook ben ik benieuwd of de Ministerinmiddels met de Europese Commissie heeft gesproken over het borgenvan informatie-uitwisseling, vertrouwelijkheid en betrouwbaarheid.Voorzitter. Het lijkt het CDA een goede keuze om de vakministersverantwoordelijk te maken voor de toepassing van de elementen uit dezewet, terwijl de Minister van Justitie en Veiligheid medeverantwoordelijk is.Dat betekent dat de risicobeoordeling door de vakminister wordt gedaan,wat aansluit bij de sectorspecifieke kennis die nodig is. Gaat de Ministervan Justitie en Veiligheid dan ook waarborgen dat de kennis- en informa-tiedeling tussen de vakministers en de kritieke entiteiten op orde is? Hetlijkt mij nuttig dat zij niet steeds opnieuw het wiel moeten uitvinden engebruik kunnen maken van eerder toegepaste best practices. Hoe gaat deMinister voorkomen dat er te veel op eilandjes wordt gewerkt?Voorzitter. Daarnaast wil ik kort stilstaan bij de uitvoerbaarheid van dezewet, met name voor kleinere en publiek-private kritieke entiteiten. Hoewordt ervoor gezorgd dat verplichtingen proportioneel zijn en aansluitenbij de capaciteit en schaal van deze organisaties? Op welke wijzeTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3219 ondersteunt de overheid kritieke entiteiten bij het versterken van hunweerbaarheid, bijvoorbeeld via richtsnoeren of kennisdeling? Ook ben ikbenieuwd wat voor Nederland de precieze gevolgen gaan zijn van deniet-tijdige implementatie van de CER-richtlijn. De oorspronkelijkedeadline was 17 oktober 2024. Wordt Nederland daarvoor inderdaad eenboete opgelegd? Zijn andere lidstaten ook nog steeds bezig met deimplementatie of loopt alleen Nederland achter?Tot slot over dit eerste wetsvoorstel. Een goede samenhang tussen fysiekeen digitale weerbaarheid is essentieel. In een wereld waarin dreigingensteeds vaker hybride van aard zijn, kan een fysieke verstoring niet losworden gezien van cyberdreigingen. We zien deze wet dan ook als eenbelangrijke bouwsteen die goed moet aansluiten op andere wetgeving,zoals op de Cyberbeveiligingswet, waar ik het straks over ga hebben. Hoegaat de Minister deze samenhang borgen in de praktijk? De weerbaarheidvan kritieke entiteiten is geen luxe, maar een noodzaak. Met deze wetzetten we een stap vooruit.Vervolgens wil ik ingaan op de Cyberbeveiligingswet, waarmee Nederlandde digitale kant van de NIS2-richtlijn implementeert. Het CDA vindtcybersecurity van grote waarde. We hebben de afgelopen week in hetnieuws gezien wat de impact kan zijn. Van organisaties die essentiëlediensten leveren mag je verwachten dat ze hun digitale veiligheid op ordehebben. Dat geldt des te meer voor entiteiten die onze samenlevingdraaiende houden. Denk aan je telefoonprovider, je bank, de energieleve-rancier en de afvalinzamelaar, maar ook aan de gemeente. Het is goed dater een zorgplicht komt en dat we meldplichten en toezicht aanscherpen.Het raakt aan de weerbaarheid van onze samenleving. Tegelijkertijd geldtdat we door dit wetsvoorstel wel weer extra verplichtingen opleggen. Datkan noodzakelijk zijn, maar dan moeten we het stelsel wel robuust enuitvoerbaar maken. Juist wat dat betreft wil ik vandaag een paar puntenuitlichten.Allereerst noem ik samenhang, variatie en overlap in het toezicht. Hetkabinet erkent dat overlap in het toezicht niet altijd te voorkomen is endat, als er verschillende toezichthouders zijn, overlap zo veel mogelijkbeperkt moet worden door afstemming, samenwerkingsafspraken énstructureel overleg. Dat betekent in de praktijk: verschillende verplich-tingen, verschillende toezichthouders en mogelijk ook verschillendeinterpretaties. Toezicht zal worden uitgeoefend door sectorale toezicht-houders, die in meer of mindere mate al ervaring hebben op dit gebiedvan cyberbeveiliging. De mate en kwaliteit van het toezicht zullen, zeker inhet begin, waarschijnlijk wisselend zijn. De Autoriteit Persoonsgegevensgeeft aan dat als zij naast de NIS2-toezichthouders ook bevoegd is, nietduidelijk is wie er voorgaat bij het opleggen van een eventuele boete.Daarom vraag ik de Minister hoe de coördinatie er in de uitvoering preciesuitziet. Specifieker: is het voor organisaties helder wie wanneer hun eersteaanspreekpunt is bij toezicht, handhaving en incidentafhandeling metbetrekking tot de Cyberbeveiligingswet?De Afdeling advisering van de Raad van State vroeg in dit verband terechtom duidelijkheid over de invulling van de coördinerende rol en detaakafbakening in dit stelsel met vele sectoren en partijen. Het CDA wil datdit niet alleen op papier, maar ook in de praktijk strak geregeld is, juist omstapeling te voorkomen. Ik vraag daarom om een toezegging: kan deMinister ervoor zorgen dat de samenwerkingsafspraken tussen toezicht-houders tijdig publiekelijk, of anderszins, duidelijk zijn, zodat organisatiesvooraf weten waar zij aan toe zijn? Denk hierbij ook aan de kosten die,volgens het ATR, dat toeziet op het verminderen van de regeldruk,verbonden zijn aan kennisname van hoe het werkt en aan een eventuelebeveiligingsscan of beveiligingsaudit.Het volgende onderwerp is AI-gedreven cyberbedreigingen. Het CDA wileen punt aanstippen dat ook in ons gesprek met de Cyber Security Raadnadrukkelijk naar voren kwam. De razendsnelle ontwikkelingen rondomTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3220 artificial intelligence vergroten niet alleen onze mogelijkheden aan deverdedigende kant, maar ook de slagkracht van aanvallers. Gecoördi-neerde cyberaanvallen met een groot aantal AI-agents liggen op de loer.Juist daarom is het van belang dat kennis over dreigingen, kwetsbaar-heden en aanvalspatronen veel sneller en structureler worden gedeeld.Die kennisdeling is tot nu toe te beperkt en te versnipperd, zowel tussenorganisaties in Nederland als met landen die te maken hebben metvergelijkbare dreigingen. Is de Minister bereid om te bezien hoe diekennisdeling steviger kan worden georganiseerd, niet alleen tussenuitvoeringsorganisaties en bedrijven hier, maar ook met landen alsFrankrijk, Duitsland en het Verenigd Koninkrijk? In het kader van snelontwikkelende, AI-gedreven cyberdreigingen is het van belang dat we nietallemaal afzonderlijk het wiel blijven uitvinden.Dan kom ik bij de uitvoering door het Rijk. In de memorie van toelichtingstaat een tabel met de budgettaire gevolgen per departement. Die lopenstructureel op tot bijna 83 miljoen euro. Dat is fors. Op zich is dat ookprima, als het leidt tot aantoonbaar betere ondersteuning, respons entoezicht. Betreft dit bijvoorbeeld ook de extra capaciteit bij onze uitvoe-ringsdiensten zoals de ILT en de NVWA, zodat hier ook geen vertragingenof wachtlijsten ontstaan? Ook vraag ik aan de Minister welke concreteprestaties we hiervoor terug gaan zien in het toezicht. In dit verband is hetook relevant dat in de memorie wordt vermeld dat het Nationaal CyberSecurity Centrum de uitvoerbaarheid haalbaar acht, mits aan de randvoor-waarden wordt voldaan. Een daarvan betreft een realistisch groeipad. Kande Minister toelichten hoe dat groeipad er nu uitziet? Hoe wordt geborgddat toezicht en ondersteuning niet achterblijven bij de snelle verbredingvan de doelgroep? Welke rol kan de Rijksinspectie Digitale Infrastructuur,de RDI, hierin pakken? Zij is naast toezichthouder namelijk ook uitvoerder,en kan helpen met die centrale regie.Dan kom ik bij het risico op onbewuste non-compliance. De reikwijdte vandit wetsvoorstel is groot. In de stukken staat dat naar verwachting circa8.100 organisaties grotendeels automatisch van rechtswege onder deCyberbeveiligingswet zullen vallen. Ze worden niet individueel aange-wezen en niet actief op de hoogte gesteld. Ze zullen zelf moeten beoor-delen of ze onder de wet vallen, met ondersteuning van een zelfevalua-tietool. Dit creëert een risico dat het CDA heel serieus neemt: een risico oponbewuste non-compliance. Dat gebeurt niet uit onwil, maar omdatorganisaties simpelweg niet doorhebben dat ze onder de wet vallen, zekerals ze onderdeel zijn van een concernstructuur of als hun dienstverleningnet op een grens zit. Ook kunnen organisaties twijfelen of ze het goeddoen en dit willen laten toetsen, om eventuele overtredingen op een latermoment te voorkomen. Is de Minister bereid om met name het mkb enkleinere gemeenten hierin te faciliteren? Hoe voorkomen we dat juist dekwetsbare organisaties met minder capaciteit en expertise achterblijven?Het is ook mooi als bedrijven elkaars geleerde lessen kennen. Ikrefereerde daar net al even aan. Het werkt natuurlijk altijd goed als de eneondernemer het de andere vertelt. Op die manier is een hack of eenandere kwetsbaarheid geen taboe, maar sta je samen sterker en maak jeook je medewerkers digibewust en -bekwaam.We hebben ook de oproep ontvangen om organisaties die objectiefkenbaar tot taak hebben om de dreigingsinformatie en de informatie overcyberincidenten te delen, de zekerheid te geven dat ze ook onder de wetaangemerkt zullen worden als een relevante partij. Kan het kabinetzekerheid geven over de status van zulke schakelorganisaties inNederland? Hierin zit ook een element van wederkerigheid. We mogenveel vragen, maar dan moet de overheid ook leveren. Duidelijkheid,praktische hulpmiddelen en uniformiteit in de uitleg en het toezicht zijnhierbij onze uitgangspunten.Dan de onderwijsinstellingen. De CDA-fractie heeft eerder gevraagd naarde bepalingen over onderwijsinstellingen. In de nota naar aanleiding vanTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3221 het verslag geeft de regering aan te hebben besloten dat de bekostigdehbo- en wo-instellingen onder de reikwijdte van de wet worden gebrachtzonder onderscheid te maken tussen instellingen met kritieke onderzoeks-activiteiten. Dit gebeurt mede vanwege de samenwerking en onderlingeafhankelijkheid en vanwege de uitvoerbaarheid. Tegelijk wordt deaanwijzing van deze instellingen als een belangrijke of essentiële entiteitnog nader uitgewerkt. Mijn vraag is: bedoelt de regering dat de instel-lingen als geheel worden aangewezen of dat alle instellingen in dezecategorie onder het regime moeten vallen, ongeacht profiel, risico enaanwezigheid van de kritieke onderzoeksactiviteiten? Hoe borgt deMinister proportionaliteit, uitvoerbaarheid en de heldere criteria daarbij?Er leven hierover ook zorgen in de sector. Universiteiten van Nederlandwijst op de administratieve lasten, het risico op dubbelingen en deonduidelijkheid, juist in een tijd van financiële druk. Ook SURF heeftaandacht gevraagd voor de werkbaarheid en het voorkomen van extraadministratieve lasten. Het CDA zoekt hierin een duidelijke middenweg.Als we onderwijs aanwijzen, doe het dan op een manier waarop het vooriedereen werkt en wordt voortgebouwd op hun eerdere inspanningen.Dan kom ik bij gekwalificeerde vertrouwensdiensten. De AutoriteitPersoonsgegevens heeft haar zorgen met ons gedeeld over de verwerkingen het bewaren van persoonsgegevens. In de NIS2-richtlijn staat datlidstaten essentiële en belangrijke entiteiten moeten aanmoedigen omgekwalificeerde vertrouwensdiensten te gebruiken. In gewone taal gaathet om digitale middelen die helpen om online zekerder vast te stellenmet wie je zakendoet en of informatie of documenten echt enbetrouwbaar zijn. Voor dit soort vertrouwensdiensten bestaan al heel veelEuropese regels, maar ik zie nog niet duidelijk hoe Nederland het gebruikhiervan nu actief wil stimuleren. Kan de Minister daarop reflecteren? Is hijbereid toe te zeggen de Kamer daarover te informeren en bijvoorbeeldvoor de zomer met een brief te komen?Tot slot, voorzitter. Ik rond af. Het CDA steunt beide wetsvoorstellen in hundoel: het versterken van de weerbaarheid van onze samenleving, zowelfysiek als digitaal. Maar grote wetten met een grote reikwijdte moeten ookbegrijpelijk, uitvoerbaar en proportioneel zijn. Als we veel vragen vanorganisaties, moet de overheid ook zichtbaar leveren, zodat organisatiesweten waar ze aan toe zijn. Ik hoor graag de reactie van de Minister op degestelde vragen en de gevraagde toezeggingen.Dank u wel.De voorzitter:Dank u wel voor uw bijdrage. Dan gaan we naar mevrouw El Boujdainivan D66.Mevrouw El Boujdaini (D66):Dank u wel, voorzitter. Cyberveiligheid en weerbaarheid van kritiekeentiteiten klinkt voor veel mensen als iets abstracts, als iets voor expertsen techbedrijven, maar niets is minder waar. Cyberveiligheid gaat over hetdagelijks leven van mensen, over of je ’s ochtends je pinpas kangebruiken, of je de trein naar je werk haalt en of het licht het nog doetwanneer je thuiskomt. Het gaat over vertrouwen, erop vertrouwen dat desystemen waar we elke dag op leunen, het gewoon doen. Stel je namelijkeens voor dat dat vertrouwen wegvalt. Stel je voor dat het betalings-verkeer platligt, drinkwatervoorzieningen, de energievoorzieningen oftelecomnetwerken uitvallen en mensen letterlijk in het donker zittenzonder verwarming, bereik of toegang tot informatie. Dat zijn reëlescenario’s, die we in Europa al hebben zien gebeuren. Juist daarom is deweerbaarheid van onze kritieke entiteiten geen technisch detail, maar eenmaatschappelijke randvoorwaarde. Als we dit niet goed regelen, zijn hetniet systemen die falen. Mensen dragen de gevolgen en hebben er lastvan.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3222 Voorzitter. Voor D66 betekent dit dat we de digitale infrastructuur net zoserieus moeten beschermen als onze fysieke infrastructuur. Daaromspreken we vandaag ook over de Wet weerbaarheid kritieke entiteiten ende Cyberbeveiligingswet. Dat is hard nodig, want Nederland loopt achtermet de implementatie, terwijl de dreiging toeneemt. Deze wetten moetenervoor zorgen dat kritieke entiteiten, zoals energievoorzieningen,drinkwatervoorzieningen, gemalen en telecombedrijven beter beschermdzijn bij en voorbereid zijn op incidenten, dat organisaties risico’s in beeldhebben, maatregelen nemen en samenwerken om schade te beperken, endat gemeentes en veiligheidsregio’s weten wat hun te doen staat. Devraag is niet óf we onze weerbaarheid versterken, maar hóé we dat gaandoen, met wetgeving die ambitieus is, maar ook helder en uitvoerbaar. Wekunnen digitaal en fysiek weerbaarder worden. Dat vraagt om een balanstussen veiligheid en uitvoerbaarheid, tussen toezicht en vertrouwen,tussen Europese verplichtingen en nationale aanpak. In dat licht wil ikvandaag een aantal punten bespreken. Allereerst sta ik stil bij de kwestierondom Odido. Daarna bespreek ik de Wet weerbaarheid kritiekeentiteiten, vervolgens de Cyberbeveiligingswet en tot slot hoe deze wettenvolgens onze fractie nog robuuster kunnen worden.Ik begin bij Odido, voorzitter. De Odidokwestie benadrukt waarom wijvandaag debatteren over deze wetten. Het maakt pijnlijk duidelijk hoekwetsbaar onze digitale infrastructuur is als beveiliging tekortschiet.Wanneer gegevens van miljoenen mensen op straat belanden, raakt datniet alleen hun privacy, maar ook het vertrouwen in de overheid enbedrijven, met risico’s als identiteitsfraude, misbruik en langdurigeonzekerheid. Dit raakt mensen dus echt. De Odidokwestie laat ook zien datwetgeving op zichzelf niet genoeg is. Vanuit de Telecomwet zijn er al eenmeldplicht en een zorgplicht rond cyberveiligheid, maar uiteindelijk moethet dus in de praktijk goed gaan en moet het gaan leven. Daarom mijnvraag: hoe gaan we ervoor zorgen dat de consequenties zo klein mogelijkzijn bij dit soort datalekken van zo’n omvang? Immers, helemaalvoorkomen kan jammer genoeg niet. Ziet de Minister dan ook dat deCyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten de kansop dit soort datalekken kunnen verkleinen?Voorzitter. Het grootschalige incident van Odido staat niet op zichzelf. Daaris veel misgegaan, maar een cyberaanval kan iedere sector overkomen.Naar verwachting zullen ruim 8.100 organisaties onder de Cyberbeveili-gingswet en de Wet weerbaarheid kritieke entiteiten vallen. Dat vraagt omeen zorgvuldige wetsbehandeling, zodat onze cruciale sectoren betervoorbereid zijn op cyberbedreigingen en daar snel op kunnen reageren.Zo voorkomen we dat incidenten zoals bij Odido een nieuwe realiteitworden, of in ieder geval de consequenties ervan.Voorzitter. Ik zei het al in mijn inleiding: de digitale wereld staat onderdruk, met gevolgen voor onze fysieke veiligheid. De Wet weerbaarheidkritieke entiteiten beoogt deze veiligheid te waarborgen door organisatiesdie diensten aanbieden die cruciaal zijn voor het goed functioneren vanonze maatschappij hier ook aan te laten voldoen. Een groot deel hiervanwas ook al het geval onder de Aanpak vitaal. In plaats van vitaleaanbieders worden er onder de nieuwe wet zogenaamde kritiekeentiteiten aangewezen, of althans: zij moeten zichzelf aanwijzen. Dat zijndus organisaties die een of meerdere essentiële diensten aanbieden dieonze maatschappij draaiende houden. Wanneer dit wordt verstoord enuitvalt door een cyberaanval, heeft dat dus grote gevolgen voor mensen.Het is daarom van groot maatschappelijk belang dat de overgang van deAanpak vitaal naar de Wet weerbaarheid kritieke entiteiten helder is voororganisaties. Daarom mijn volgende vragen. Welk deel van de Wetweerbaarheid kritieke entiteiten vervangt de Aanpak vitaal en hoeverhouden deze twee regimes zich straks ten opzichte van elkaar? Zijnstraks alle vitale aanbieders kritieke entiteiten onder de Wwke? Welkeorganisaties worden daar eventueel nog aan toegevoegd? Tot slot. Is erTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3223 een verschil tussen een kritieke entiteit en een essentiële entiteit onder deCyberbeveiligingswet? Een kritieke entiteit is namelijk ook automatischeen essentiële entiteit onder de Cyberbeveiligingswet.Verder wil ik toch nog aandacht vragen voor digitale soevereiniteit, wantweerbare kritieke entiteiten zijn belangrijker dan ooit, met name in hetlicht van het maatschappelijk debat over digitale soevereiniteit. Er moetenstrategische keuzes worden gemaakt: van wie wil je digitale dienstenafnemen en waarvoor? Waar deze worden ingekocht, doet er daadwer-kelijk toe. Digitale soevereiniteit gaat ook verder dan alleen de overheid.Dat laten deze wetten zien. Het gaat om de keuzes die andere organisatiesen bedrijven maken, want alleen wanneer overheid, samenleving enbedrijven hier samen aan werken, worden we als Nederland digitaalweerbaar. Veel organisaties, dus ook de kritieke entiteiten, staan voorhetzelfde vraagstuk als de overheid. Neem de betaalinfrastructuur,ziekenhuizen en onderwijsinstellingen. Hoe moeten zij digitaal soevereinworden? Kunnen we misschien een gezamenlijke aanpak maken? Daarommijn volgende vraag: kan de Minister aangeven of er gewerkt gaat wordenaan een aanpak om deze kritieke entiteiten ook meer digitaal soeverein temaken? Zo niet, is de Minister bereid om dit te doen?Voorzitter. Dan wil ik mijn licht nog laten schijnen op de particulierebeveiligingsbedrijven. Zij zijn ook vaak uitvoerders van weerbaarheids-maatregelen bij kritieke entiteiten. Vanuit die hoek hebben we ookverschillende geluiden gehoord. Dit zijn bedrijven die werken aantoegangscontroles, bewaking en detectie, maar bijvoorbeeld ook aanpersoneelsbeveiliging en crisisbeheersing. Scherp hebben wat hun positieis in het kader van de Wwke is dus cruciaal. Kan de Minister toelichten ofen hoe de structurele betrokkenheid van de particuliere beveiligingssectorbij oefeningen en scenario’s voor incidenten wordt geborgd, zodat we metz’n allen goed voorbereid zijn? Kan de Minister ook uiteenzetten of en hoedeze private beveiligingsbedrijven meer duidelijkheid kunnen krijgen overhun rollen, verantwoordelijkheden en aansprakelijkheden bij de imple-mentatie van deze wetten? En kan de Minister toelichten hoe wordtgeborgd dat er heldere afspraken komen over de noodzakelijkeinformatie-uitwisseling tussen publieke crisisorganisaties, kritiekeentiteiten en private veiligheidsbedrijven tijdens een crisis?De heer Van den Berg (JA21):Ik hoor mevrouw El Boujdaini van D66 net een punt maken over debehoefte van bedrijven aan soevereiniteit. Ze vroeg of de Minister daareventueel werk van wil maken. Hoe ziet mevrouw El Boujdaini dat voorzich in het kader van deze twee wetten? Ik vind het belangrijk, maar hoeziet mevrouw El Boujdaini dat in het kader van deze twee wetten voorzich?Mevrouw El Boujdaini (D66):Ik denk dat deze twee wetten heel goed laten zien hoe belangrijk het is datwij onze kritieke entiteiten beschermen. Volgens onze fractie gaat datverder dan alleen kijken naar wat hun taken zijn; het gaat ook om waar zijdaadwerkelijk gebruik van maken. We hebben de afgelopen maandengezien dat het uitmaakt voor welke leveranciers en aanbieders je kiest. Datgeldt ook voor overheidsorganisaties. Ook wij als overheidsorganisatiekunnen als «kritieke entiteit» bestempeld worden. Daarom vind ik hetbelangrijk dat wij een stukje verder kijken: voor welke leveranciers kiezenzij, en brengt dat misschien ook bepaalde risico’s met zich mee? Ook datkan er namelijk voor zorgen dat er bijvoorbeeld bepaalde cyberdreigingenom de hoek liggen.De voorzitter:De heer Van den Berg, volgende interruptie.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3224 De heer Van den Berg (JA21):Zou dat ook in het kader van artikel 18 van het Cyberbeveiligingsbesluitzijn, dat de vergaande bevoegdheid geeft aan de overheid om bedrijven inhet kader van de nationale veiligheid te dwingen om bepaalde dienstenniet meer af te nemen of juist wel af te nemen? Moet ik dat dan zo zien?Mevrouw El Boujdaini (D66):Het woord «dwingen» heb ik niet gebruikt. Ik denk in eerste instantie dathet goed is om te kijken naar een aanpak hiervoor. Of dat dan meteenafdwingbaar is of niet, ligt er eigenlijk aan of de wet daarop wordtaangepast. Ik vraag op dit moment niet om een amendement hierop. Datheb ik ook niet. Ik stel eerst de vraag aan de Minister of hij bereid is omzo’n aanpak op te zetten. Daarna kunnen we verder kijken, denk ik, enbezien wat we daadwerkelijk kunnen verplichten.De heer Van den Berg (JA21):De vraag was meer of u daartoe bereid bent. Daar hoor ik geen duidelijkantwoord op, maar wel de vraag aan de Minister om het wellicht teverplichten. Ik ben alsnog benieuwd naar de eigen visie van mevrouw ElBoujdaini op hoe we in het kader van deze wet, die echt gaat overcyberbeveiliging en over weerbare kritieke entiteiten, die soevereiniteitzouden kunnen stimuleren. Ik zou niet willen zeggen «borgen», omdat datlosstaat van deze wet. Ik probeer gewoon uit te denken hoe we datpraktisch zouden kunnen inpassen.Mevrouw El Boujdaini (D66):Volgens mij zijn deze wetten er juist voor dat wij als samenleving zo veiligmogelijk ons leven kunnen leiden, dat onze gegevens veilig staan en datorganisaties met een maatschappelijke verantwoordelijkheid, bijvoorbeeldin de energievoorziening, het verkeersmanagement of telecombedrijven,vanuit hun eigen systemen veilig zijn vanbinnen, zodat zij ons dieveiligheid ook kunnen garanderen. Nogmaals, ik denk dus dat we daar welnaar moeten kijken, omdat het daadwerkelijk uitmaakt welke software ensystemen je inkoopt als organisatie en wat er vervolgens wordt gebruiktom ons als samenleving die veiligheid te kunnen garanderen.Dit is natuurlijk een voorbeeld dat vaker wordt gebruikt, maar we hebbenvorig jaar allemaal gezien hoe het Internationaal Strafhof is geraakt doorMicrosoft. Een aantal mensen daarvan kon ineens hun diensten niet meergebruiken, omdat ze waren gesanctioneerd. Ik denk dat dat soortvoorbeelden heel erg tekenend zijn. We moeten niet willen dat bepaaldekritieke entiteiten ook zo kwetsbaar kunnen zijn en zo afhankelijk zijn inhun dienstverlening aan ons, omdat zij een keuze hebben gemaakt vooreen bepaalde leverancier. Het klopt dat daarover niks staat in deze wetten,vandaar dus ook mijn vraag aan de Minister; ik zou in het kader van deveiligheid die we moeten kunnen garanderen, wel willen vragen om eenaanpak.De voorzitter:Mevrouw El Boujdaini, u kunt verder met uw betoog.Mevrouw El Boujdaini (D66):Dan ga ik het over de Cyberbeveiligingswet hebben. Het is goed dat wedeze wet gelijktijdig behandelen met de Wwke. Een kritieke entiteit onderde Wwke is ook een essentiële entiteit onder de Cyberbeveiligingswet. Datgezegd hebbende wil ik het ook hebben over het lokaal bestuur, want hetlokaal bestuur is onze fractie veel waard. Wij zetten gemeenten dan ookgraag in hun kracht.Stelt u zich eens voor dat de aansturing van gemalen wordt verstoord endat dit wateroverlast veroorzaakt in woonwijken, of dat verkeersmanage-mentsystemen worden gehackt en het niet meer doen, wat chaos betekentTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3225 in het verkeer. Het zijn dan dus gemeenten die moeten ingrijpen om deinwoners te beschermen en de orde in hun eigen gemeente te herstellen.De burgemeesters zijn daar met de veiligheidsregio’s verantwoordelijkvoor. Zij moeten wel weten wat er precies aan de hand is en wat deoorzaak van het incident is, ook om in de toekomst preventieve maatre-gelen te kunnen nemen. Juist daarom is de uitvoering van de Cyberbevei-ligingswet zo cruciaal.Die wet is zo sterk als de informatie die wordt gedeeld en de partijen diedaarop kunnen handelen. Daarom vinden wij het belangrijk dat deburgemeesters en de veiligheidsregio’s weten wat zich afspeelt binnen degemeenten, om zo veiligheid te kunnen waarborgen. De Minister geeft inde schriftelijke beantwoording echter aan dat de Cyberbeveiligingswet hetNCSC geen ruimte biedt om informatie te delen die geen betrekking heeftop de eigen cyberveiligheid van de gemeente. Dat betekent dat degemeente als organisatie wel wordt geïnformeerd over de eigen cybervei-ligheid, maar niet over wat zich op het gebied van cyberveiligheid afspeeltbij belangrijke en essentiële entiteiten binnen de gemeentegrenzen, tenzijer sprake is van nationale opschaling van een incident. Juist die infor-matie hebben gemeenten nodig om de lokale impact van cyberbedrei-gingen op de openbare orde en veiligheid binnen hun gemeentegrenzente kunnen duiden.Om die reden heb ik hierover een amendement ingediend. Wij begrijpendat dit ook een extra verantwoordelijkheid is voor het NCSC, maar zijbeschikken al over deze informatie en wij vragen of zij deze informatiewillen delen met de burgemeesters en de voorzitters van de veiligheidsre-gio’s. Hiermee wordt voorkomen dat gemeenten ieder afzonderlijkaanvullende afspraken moeten maken met bepaalde organisaties binnenhun gemeentegrenzen. Dit versterkt de aanpak van cyberincidenten diegevolgen hebben voor de openbare orde en veiligheid. Het zorgt er ookvoor dat gemeenten zich veel beter kunnen voorbereiden op crisisinci-denten binnen hun gemeentegrenzen in de toekomst. Wij kijken dan ookuit naar de appreciatie van de Minister.Voorzitter. De Wwke en de Cyberbeveiligingswet zien op het Europeesdeel van Nederland; mijn collega Van den Berg begon er ook al over. Datis wetstechnisch begrijpelijk, omdat het hier gaat om de implementatievan Europese regelgeving. Tegelijkertijd mogen we het belang van hetCaribisch deel van Nederland niet uit het oog verliezen. Ook in hetCaribisch deel is het van groot belang dat de digitale weerbaarheid wordtversterkt. Zo was er in 2022 nog een ransomwareaanval op het enigewater- en elektriciteitsbedrijf van Sint-Maarten. Door de aanval verloor hetbedrijf de toegang tot financiële data, terwijl er geen recente back-upbeschikbaar was. Tot op de dag van vandaag ervaren mensen opSint-Maarten hiervan nog de consequenties. Op Aruba was er ook eenransomwareaanval, op een ziekenhuis. De aanval verstoorde de bedrijfs-voering en de operationele uitvoering van werkzaamheden. Dit hadimpact op de dienstverlening en de patiënten.Gemeenschappelijke voorzieningen, overheidsdiensten en bedrijven inhet Caribisch deel van Nederland zijn ook in toenemende mate afhankelijkvan digitale systemen. Het is daarom van belang dat ook inwoners vanhet Caribisch deel kunnen rekenen op een passend niveau van digitalebescherming en weerbaarheid. Er is al een veiligheidsstrategie voor hetKoninkrijk der Nederlanden. Dat is een goed begin, maar biedt nog nietgenoeg handelingsperspectief. Ik heb daarom de volgende vragen aan deMinister. Werkt het kabinet aan een concreet plan of een routekaart om tekomen tot een cybersecuritystelsel voor het Caribisch deel van Nederlanddat zo veel mogelijk aansluit op het niveau van digitale bescherming enweerbaarheid hier in Nederland? Wordt het Caribisch deel van hetKoninkrijk dan betrokken bij de ontwikkeling van dat stelsel? Zo ja, opwelke manier? Kan de Minister aangeven welk tijdpad het kabinet voorTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3226 ogen heeft om tot een dergelijk beschermingsniveau voor het Caribischdeel te komen?Voorzitter. Ik ben bijna klaar, maar wil het graag nog even hebben overtoezicht. Wij hechten aan een ambitieus maar ook helder en uitvoerbaarpakket maatregelen om onze cyberveiligheid te versterken. Voor onzefractie geldt daarbij vereenvoudigen waar kan, maar maatwerk waarnodig. Afstemming tussen toezichthouders is essentieel om dubbeletoezichtlasten te voorkomen. De Minister geeft aan dat hierover sectoralesamenwerkingsafspraken zullen worden gemaakt en dat de instanties dietoezicht houden op de Cyberbeveiligingswet samenwerken in het door deRDI opgerichte directeurenoverleg, het DTDW, om zo te werken aan eengezamenlijke en meer geharmoniseerde aanpak van toezicht op digitaleweerbaarheid. Mijn fractie ziet dit als wenselijke stappen. Tegelijkertijdhebben we nog wel enkele vragen. Worden deze samenwerkingsaf-spraken uiteindelijk in alle sectoren gemaakt of zijn er sectoren waar datnog niet gebeurt? Zijn in die zin daarmee dan alle blinde vlekken in hettoezicht in kaart gebracht en straks ook opgelost? Hoe verhouden decoördinerende taak en de stelselverantwoordelijkheid van de Minister zichtot het directeurenoverleg? Tot slot: in hoeverre worden organisaties dieonder dit toezicht vallen, betrokken of geconsulteerd bij de afspraken diein dit overleg worde gemaakt?Voorzitter, ik rond af. Deze wetten gaan uiteindelijk over mensen, over dezekerheid dat je ’s ochtends gewoon naar je werk kunt, dat het licht hetdoet, dat je water uit de kraan krijgt en dat je erop kunt vertrouwen dat jegegevens veilig zijn. De Wet weerbaarheid kritieke entiteiten en deCyberbeveiligingswet zijn belangrijke stappen om die zekerheid beter tebeschermen in een wereld waarin dreigingen steeds minder zichtbaar zijnmaar steeds ingrijpender worden. Duidelijke regels waar organisaties meeuit de voeten kunnen, zijn daarom belangrijk, opdat verplichtingen nietalleen op papier werken maar ook in de praktijk. Als we dat goed doen,bouwen we aan weerbaarheid en voorzieningen die blijven draaien. Mijnfractie ziet daarnaar uit.Dank u wel.De voorzitter:Dank voor uw bijdrage. U heeft verder geen interrupties. Dan gaan wenaar de heer Van Dijk van de PVV.De heer Emiel van Dijk (PVV):Dank u wel, voorzitter. De Cyberbeveiligingswet, de Nederlandse vertalingvan de Europese NIS2-richtlijn, is Brusselse regelgeving in optima forma.Het is weer een berg aan nieuwe regels die vanuit de EU wordenopgelegd aan Nederland. Het is waar, op papier klinkt het niet eens zoheel slecht: zorgen dat onze digitale systemen beter beschermd zijn tegenhackers, ransomware en andere cyberdreigingen. Want ja, niemand wildat de stroom uitvalt, treinen stilvallen, ziekenhuizen platliggen of bankengehackt worden. Maar zoals altijd met EU-regelgeving wordt het eenenorme administratieve rompslomp, met hoge kosten voor vooralbedrijven maar uiteindelijk ook voor de gewone Nederlander.Voorzitter. Deze wet treft zo’n 8.100 bedrijven en organisaties inNederland. Dat zijn er veel meer dan onder de oude regels. Denk aanenergiebedrijven, vervoerders, luchtvaart, spoor, wegen, scheepvaart,drinkwaterbedrijven, afvalbedrijven, ziekenhuizen, zorginstellingen,banken en financiële partijen, waarbij er deels overlap is met andereregels, grote cloudaanbieders, internetproviders, socialmediaplatforms,zoekmachines, postbedrijven; noem het maar op. Maar denk ook aangemeenten, waterschappen en sommige onderwijsinstellingen. Er wordtonderscheid gemaakt tussen essentiële entiteiten en belangrijkeentiteiten. Veel middelgrote en grote bedrijven vallen er automatischTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3227 onder als ze meer dan 50 werknemers hebben of meer dan 10 miljoeneuro omzet draaien.Wat moeten die bedrijven dan straks allemaal doen? Ze krijgen eenzorgplicht, moeten risico’s inschatten, maatregelen nemen om hacks tevoorkomen, systemen beter beveiligen, personeel trainen, hun toeleve-ranciers beschermen en zorgen voor een veilige ontwikkeling vansoftware en fysieke beveiliging van servers. Bij een serieuze cyberaanvalof storing moeten ze binnen 24 uur melding doen bij de overheid via eencentraal loket, gevolgd door updates en een eindrapport. Bestuurdersmoeten een cybertraining volgen en zich blijven bijscholen. Er komt ookeen registerplicht en er komen periodieke checks door toezichthouders.Wie niet meewerkt, riskeert boetes tot 10 miljoen euro of 2% van dewereldwijde omzet. Dat zijn forse bedragen, die een bedrijf kapot kunnenmaken.De kosten zijn niet mals. Bedrijven betalen het grotendeels zelf: audits,externe adviseurs, nieuwe software of hardware. Uit schattingen blijkt datmiddelgrote bedrijven structureel zo’n 1.246 uur per jaar kwijt zijn aan aldie regels. Dat is meer dan een halfjaar fulltime werk voor één persoon.Eenmalig investeren ze gemiddeld rond de € 25.000 en grote bedrijvenzelfs € 44.000 of meer, plus jaarlijks tienduizenden euro’s aan doorlo-pende kosten. Voor kleine ondernemers in de keten sijpelt het allemaaldoor. Hogere prijzen voor energie, zorg, vervoer of onlinediensten:uiteindelijk betaalt de burger het, met hogere rekeningen, duurdereboodschappen en tragere leveringen. En dat terwijl Nederland al kamptmet hoge lasten en een economie die kraakt onder de regeldruk. De PVVis daar geen voorstander van. Wij zeggen hier nee tegen. Cyberbeveiligingis belangrijk – we willen immers geen Chinese of Russische hackers dieons land lamleggen – maar dit moet nationaal en slim gebeuren, en nietvia dictaten uit Brussel met een one-size-fits-allaanpak ...De voorzitter:Meneer Van Dijk, u heeft eerst een interruptie van mevrouw Zwinkels, alsik het goed heb, en dan van mevrouw Martens-America.De heer Emiel van Dijk (PVV):... die kleine en grote bedrijven de nek omdraaien.De voorzitter:Ik had dus niet een goed moment gevonden! Ik dacht van wel. MevrouwZwinkels, van het CDA.Mevrouw Zwinkels (CDA):Op zich is het een terecht punt dat we de regeldruk in de gaten moetenhouden. Daar heb ik ook een punt van gemaakt in mijn inbreng. Alleenkan ik helemaal niet volgen welke kant dit nu op gaat met de PVV. Wehebben vorige week ook nog een debat gehad over Odido, naaraanleiding van de hacks die daar hebben plaatsgevonden. Dan blaast dePVV ook hoog van de toren met «hoe kan dit?», «schande», en weet ik hetallemaal. Dan denk ik bij mezelf: deze wetgeving is er juist voor bedoeldom dat grotendeels te voorkomen en ervoor te zorgen dat die bedrijvenzoals Odido ook een zorgplicht hebben naar hun klanten, burgers die daarhun data hebben. Het kan niet allebei waar zijn. Waarom is de PVV danniet bereid om hierin te investeren? Zien zij niet in dat hiermee heel veelrisico’s voor die bedrijven, en daarmee ook voor onze burgers,voorkomen kunnen worden?De heer Emiel van Dijk (PVV):Die databeschermingsregelgeving bestond bij Odido natuurlijk al. Zijhebben zich niet aan de regels gehouden. Ze hebben data onnodig langopgeslagen. Dat is dus met de huidige regelgeving al niet voorkomen. DeTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3228 huidige regelgeving verbiedt het om bepaalde data, zoals kopieën vanpaspoorten, rijbewijzen en adresgegevens, langer dan nodig te bewaren.Als dat nu al niet gehandhaafd wordt, wat heeft het dan voor nut om ernog zo’n hele lading Brusselse regelgeving op los te laten, terwijl Odido indie zaak juist bewezen heeft dat het al niet werkt zoals het nu gaat?Mevrouw Zwinkels (CDA):Heel simpel: dat is ook helemaal de reden waarom we dit beleid moetenaanscherpen met elkaar, waarom deze maatregelen nodig zijn. We zien inde praktijk dat het niet toereikend is. Dan hoor ik de PVV ook zeggen «wateen schande dat er allemaal boetes worden uitgedeeld», maar dan denk ikbij mezelf: ja, maar het is voor een bedrijf ook vrij duur als ze allemaallosgeld moeten betalen en als ze voor het dilemma komen te staan of zedat wel of niet gaan doen. Ik vraag me dan af of Odido volgens de PVVgeen boete zou moeten betalen. Ik volg gewoon totaal niet waar hetpleidooi van de PVV naartoe gaat. Ik hoop toch echt dat er wel iets meersteun kan komen voor hoe we samen weerbaarder gaan worden.De heer Emiel van Dijk (PVV):We zijn er als partij nog niet over uit wat we met dit pakket doen. Wehinken op twee benen. Aan de ene kant is het belangrijk dat je actieonderneemt voor je eigen cyberveiligheid. Aan de andere kant is dit weerBrusselse overregulering. Ik denk dat we de Europese Unie niet nodighebben om zelf onze zaakjes op orde te hebben. Om terug te komen ophet Odido-verhaal: dat is natuurlijk een compleet andere situatie. Er wasen is regelgeving actief. Ondanks dat we die regelgeving op haar plekhebben, heeft het bedrijf zich daar niet aan gehouden. De logica om danin een reflex te schieten van «de regelgeving die we nu hebben en die nuin werking is, daar houdt men zich niet aan, dus komen we met een helelading aan extra regelgeving», snap ik echt niet. Ik ga daar dan ook niet inmee.Mevrouw Zwinkels (CDA):Mijn punt ten aanzien van die boetes blijft staan. Daarvan denk ik: weregelen nu juist met elkaar om daar op een structurele manier een aanpakvoor te hebben.Tot slot over Europa. Juist voor bedrijven die in meerdere landen actiefzijn, is het echt heel erg belangrijk dat we niet allerlei verschillendeinterpretaties hebben, maar dat we zulke Europese wetgeving juistimplementeren op een zo uniform mogelijke manier en dat harmoniseren,zodat bedrijven daarvan op aan kunnen en weten waar ze aan toe zijn. Ikdenk dat het juist heel erg belangrijk is dat alle lidstaten niet los van elkaarallemaal regels gaan bedenken, maar dat we dit op een vergelijkbaremanier uitvoeren. Ik denk dat dat juist kan leiden tot minder regeldruk.De heer Emiel van Dijk (PVV):Het zou kunnen leiden tot minder regeldruk, maar in de praktijk zien wealtijd dat de Europese Unie niet zorgt voor minder regeldruk, maar enkelvoor meer regeldruk. Om terug te komen op het verhaal van Odido: als je7 miljoen adressen en persoonsgegevens en dergelijke op straat hebtlaten komen door nalatigheid, doordat je je niet aan de huidige funge-rende regelgeving hebt gehouden, dan zal je daar een boete voor kunnenkrijgen. Dat vind ik heel normaal. De klanten van Odido hebben namelijkgewoon het nakijken gehad. Als wij ergens een keuze moeten maken,kiezen we niet voor het bedrijf dat nalatig is geweest, maar voor de burgerdie de komende jaren misschien geconfronteerd wordt met identiteits-fraude en allerlei andere problemen rondom bankzaken en hypotheken ennoem het maar op.Mevrouw Martens-America (VVD):Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3229 Ik luister met een enigszins verontrustend gevoel naar de bijdrage van dePVV, ook omdat ik denk dat we anno 2026 de fase wel voorbij zijn dat jebedrijf veilig houden niet meer is dan een extra schuifje op de voordeur.Je verdienmodellen vinden op een andere manier plaats dan fysiek. Datvraagt ook dat we misschien tien of twintig stappen vooruit moetenzetten, in plaats van afwachten. Maar goed, iedere fractie kiest hiernatuurlijk haar eigen woorden. Het goede nieuws is – dat is ook niet altijdzo – dat ik de PVV zich zorgen hoor maken over onze ondernemers en hetbedrijfsleven. Mijn glas is dus halfvol. Ik grijp dat graag met beide handenaan. Is de heer Van Dijk het niet met mij eens dat we juist deze onder-nemers gaan helpen door op Europees niveau te zorgen dat de wet- enregelgeving gelijkgetrokken wordt? Daardoor wordt het concurrerendespeelveld tussen Europese landen namelijk steeds minder en daar wordende Nederlandse ondernemers alleen maar beter van. Ik snap de zorgenover afspraken op Europees niveau dus niet zo goed. Misschien kan deheer Van Dijk die nog even toelichten.De heer Emiel van Dijk (PVV):Een gelijk speelveld is natuurlijk perfect. Dat is waar de EuropeseEconomische Gemeenschap juist voor opgericht is. Het is nu echter eenpolitieke unie geworden. Ze willen een grote geopolitieke speler zijn enzullen niks nalaten als het gaat om regelgeving uitstrooien over delidstaten om daar verder stapjes in te zetten. Gelijk speelveld: ja. Politiekeunie: nee.Uw eerste vraag ging over de ondernemers. U zei dat we aan de kant vande ondernemers staan en dat dat positief was. Ja, dat heeft u goedgeconstateerd.Mevrouw Martens-America (VVD):Uw antwoord is natuurlijk in volledige abstractie. Dat snap ik, want u, zegik via de voorzitter, geeft geen antwoord op mijn vraag. U maakt er eengeopolitiek vraagstuk van. Dat mag. Mijn vraag is: welke negatievegevolgen zouden Europese ondernemers op dat niveau en op dit momentondervinden van afspraken op een gelijk speelveld? Welk nadeel gaanonze bedrijven hiervan ondervinden?De heer Emiel van Dijk (PVV):Dat is een beetje het probleem. Dat gelijke speelveld hadden we onder deEEG kunnen bereiken. Dat hoeft niet via de Europese Unie te lopen. Iksnap niet wat daar zo complex aan is. Europese economische samen-werking is prima, maar op het moment dat dat zich ontwikkelt tot eenBrusselse hegemonie op alle facetten van het leven, vind ik dat we daarpaal en perk aan moeten stellen. Daarom twijfelen wij ook of ditwetsvoorstel, dat een uitvoering is van de NIS2-richtlijn wel de manier isom dat aan te pakken.Mevrouw Martens-America (VVD):Ik ga proberen mijn vraag nog simpeler te stellen. Ik denk dat het welbelangrijk is dat, ondanks wat je vindt van de rol van de Europese Unie ...Mijn fractie maakt zich ook zorgen over nationale koppen op Europesewet- en regelgeving. Dit is nou juist zo’n wet die ervoor gaat zorgen datwij elkaar op Europees niveau niet blijven beconcurreren, omdat weelkaar aan dezelfde wet- en regelgeving moeten houden, die – laten weheel eerlijk zijn – van essentieel belang zijn voor u en ik, zeg ik via devoorzitter, om ervoor te zorgen dat onze persoonsgegevens daadwerkelijkveilig blijven. Welk nadeel gaan ondernemers ondervinden van Europesewet- en regelgeving als het gaat om uw en mijn veiligheid?De heer Emiel van Dijk (PVV):Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3230 Dat heb ik net aangestipt. Dat gaat over investeringen die ze moeten doen,over 1.250 uur per jaar die ze kwijt zijn aan regelgeving, over demeldplicht, over alle administratieve rompslomp en over de trainingen ende bijscholingen en dergelijke die ze moeten gaan doen. Nogmaals, datheeft dus niet voorkomen dat de data van Odido, dat zich gewoon aannationale regelgeving had moeten houden, alsnog op straat hebbengelegen. Ik zie dus het nut van extra regelgeving niet, als we de huidigeregelgeving niet handhaven. Een gelijk speelveld is prima, maar dan welin beperkte mate.De heer Van den Berg (JA21):Ik wil de heer Van Dijk toch wel bijvallen, want ik hoor volgens mij iets watik net ook inbracht in mijn bijdrage, namelijk dat er inderdaad een gelijkEuropees speelveld moet zijn en dat dit niet moet leiden tot extralastendruk. Mijn vraag aan de heer Van Dijk van de PVV is dan ook hoe hijer nou naar kijkt dat je in andere landen een meer coöperatieve houdingziet bij de toezichthouders en er dus niet gelijk wordt beboet, en dat hethier in Nederland nog niet zo strak in de wetgeving is opgenomen,waardoor dit wel zo kan uitpakken?De heer Emiel van Dijk (PVV):Daar ben ik geen voorstander van. Ik zou zeggen dat er iets van coulancemoet zijn. Het voorbeeld van Frankrijk dat u noemde, vind ik op zich demeest logische manier, zeker als je continu met ontwikkelingen te makenhebt die van invloed zijn op hoe die wet uitwerkt voor bedrijven. Het lijktme dat je niet meteen boetes gaat opleggen. We zijn er in Nederland heelgoed in om meteen overal boetes, aanmaningen, brieven en dergelijkevoor te sturen. Ik zou daarin wat milder zijn richting bedrijven in deuitwerking van deze wet, waarbij de vraag is of die doorgaat en in welkemate die doorgaat.De heer Van den Berg (JA21):Dan nog een open vraag aan de heer Van Dijk: wat zou er nou, tenopzichte van hoe die nu voorligt, concreet aan deze wet moeten veran-deren om die wel acceptabel te laten worden voor de heer Van Dijk en dePVV?De heer Emiel van Dijk (PVV):Ik had liever gezien dat het initiatief vanuit Nederland zelf was gekomenzonder dat wij daarvoor dictaten vanuit Brussel over ons heen gestrooidkrijgen. Dan kunnen we namelijk echt maatwerk leveren en hebben weniet te maken met het grotere ideaal van een Europees gelijk speelveld.Wat heeft een universiteit in Griekenland er voor baat bij dat eenuniversiteit in Nederland dezelfde cyberbeveiligingsstandaarden heeft? Ikzie daar het nut absoluut niet van in, maar tegelijkertijd moeten we ons erwel aan conformeren en geeft het ons een enorme bureaucratischerompslomp, die uiteindelijk aan de burger wordt doorberekend.Mevrouw El Boujdaini (D66):Er ligt heel veel nadruk op dat het iets heel negatiefs is voor bedrijven,maar als we dit vanuit Europa aanpakken, creëren we dus juist dat gelijkespeelveld. Ik hoor de heer Van Dijk ook veel over de boetes, maartegelijkertijd heeft de Europese Commissie ook ingeschat dat het per jaar180 miljard euro tot 290 miljard euro zou besparen op cyberincidenten.Dat is wat al die cyberincidenten ons op dit moment kosten. Ik denk dathet dus ook heel veel kansen biedt. Als we dit goed doen, goed oppakkenen ervoor zorgen dat het uitvoerbaar is, kunnen we bedrijven hierin juisthelpen, doordat het hen niet meer zulke grote bedragen kost aan wat zezelf moeten regelen op het moment dat er dus zo’n cyberincident heeftplaatsgevonden. Ik denk dat deze wetgeving ons enorm gaat helpen in hetTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3231 kader van «voorkomen is beter dan genezen». Is de heer Van Dijk dat metmij eens? Ziet hij wat ik net uitlegde ook zo?De heer Emiel van Dijk (PVV):Ik begrijp waar mevrouw El Boujdaini van D66 vandaan komt, maar ikdenk dat in essentie het grootste verschil tussen D66 en de PVV is dat wijliever zien dat we de regie nationaal houden, dat we onze soevereiniteitbehouden en dat als we vinden dat we geld zouden kunnen besparendoor onze cyberveiligheid op orde te krijgen, het initiatief uit Nederlandzou moeten komen, vanuit het ministerie of vanuit de Tweede Kamer alshet ministerie het zou nalaten. Nationale koppen op Brusselse regelgevingdoen natuurlijk iets anders dan een gelijk speelveld creëren. Als ik de lijnvan de collega’s volg, zouden we met de implementatie van deNIS2-richtlijn nu een gelijk speelveld moeten krijgen. Maar wat gebeurt erdan? Dan worden er nationale koppen op gezet. Ik snap dat niet, want dienationale koppen zorgen juist voor een ongelijk speelveld. Je hebt duseen gigantische toename van bureaucratie en regelgeving voor bedrijven,en tegelijkertijd creëer je een ongelijk speelveld door die nationale koppenerop te zetten.Mevrouw El Boujdaini (D66):Ik denk dat wat de heer Van Dijk benoemt, het verschil tussen de PVV enD66, wel klopt. Wij zien inderdaad zeker wel de meerwaarde van dezewetgeving vanuit Europa. Het mooie is juist dat we nog steeds de ruimtekrijgen voor maatwerk voor ons eigen Nederland, om te kijken wat er hetbeste past bij onze bedrijven en organisaties hier in Nederland en wat tengoede komt aan onze samenleving. Als laatste zou ik dus aan de heer VanDijk willen vragen om misschien toch ook te kijken naar de voordelen vandeze wetgeving voor bedrijven. Het is namelijk echt niet alleen negativiteiten het biedt ook echt wel kansen, ook om geld te besparen.De heer Emiel van Dijk (PVV):Afsluitend. Wij zijn altijd bereid om te kijken naar de voordelen. Wij zienhier echter alleen meer nadelen. Toch nog even een reactie. U zegt: «Het ismooi dat we van de EU de ruimte krijgen om ons eigen beleid te voeren.»Dat is dus precies het grote verschil tussen de partij van mevrouw ElBoujdaini en de PVV. Wij vinden het principe van soevereiniteit zobelangrijk dat het eigenlijk schandalig is dat we hier van de EU eenkruimeltje krijgen om ons eigen beleid te mogen voeren. Dat zou niet zomoeten zijn. Wij zouden in ons eigen land moeten kunnen bepalen hoe wede dingen aanvliegen, en niet blij moeten zijn dat de EU ons de ruimteheeft gegeven om binnen de richtlijnen en verordeningen die zij over onsuitstrooit nog kleine keuzes te maken.De voorzitter:Meneer Van Dijk, u kunt verder met uw betoog.De heer Emiel van Dijk (PVV):Dank u wel, voorzitter. Leg de focus op de echte vitale systemen van deoverheid, de gemeenten, kritieke infrastructuur, Defensie en telecom.Bescherm die sectoren streng met Nederlandse oplossingen die passenbij onze situatie en dus niet met EU-lagen die innovatie remmen en kostenopdrijven. Wij staan voor Nederland eerst. Sterke cyberweerbaarheid: ja,maar betaalbaar en zonder dat hardwerkende ondernemers en burgersopdraaien voor Brusselse overregulering. Stop met de eindelozeregelstroom die onze economie verder verzwakt. Investeer in eigencapaciteit bij de politie, inlichtingendiensten en experts om dreigingenaan te pakken in plaats van bedrijven te dwingen tot dure administratieveoefeningen. Wij willen een Nederland waarin bedrijven kunnen onder-nemen zonder overmatige bureaucratie vanuit de EU en waarin de burgerTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3232 niet direct op kosten wordt gejaagd door elke nieuwe EU-richtlijn.Cyberdreigingen aanpakken: absoluut, maar doe het op zijn Nederlands –proportioneel en zonder de gewone man en het mkb kapot te reguleren.Dank u wel.De voorzitter:Dank voor uw bijdrage. Dan vraag ik even aan de heer Van den Berg of hijhet voorzitterschap over wil nemen om het woord te kunnen geven aanhet lid Kathmann van GroenLinks-Partij van de Arbeid.Voorzitter: Van den BergDe voorzitter:At your service. Ik geef het woord aan mevrouw Kathmann vanGroenLinks-Partij van de Arbeid.Mevrouw Kathmann (GroenLinks-PvdA):Dank u wel, voorzitter. Veiligheid, weerbaarheid, het toverwoord «cyber»:het is het heetste onderwerp in de politiek – eindelijk, zou ik willen zeggen.Een onzekere wereld dwingt tot actie, en maar goed ook, want het denkenover onze infrastructuur moet radicaal anders. De computers waar onzeeconomie en ons land op draaien, zijn eindelijk onderwerp van gesprek.Het doet ertoe wie de baas is over die computers en hoe ze beveiligdworden, want door die kabels, chips en serverkasten blijft ons landovereind. Of je nou een ziekenhuis, een postbedrijf of een middelgrotegemeente bent, je hebt een verantwoordelijkheid. Te lang is dat niet zogeweest. Grote bedrijven en de overheid kochten hun ICT-spullen in alsofhet kantoorartikelen waren, niks meer dan pennen, printpapier en eennietmachine. Achteraf zijn we daar waarschijnlijk naïef in geweest, want inonze digitale infrastructuur kunnen we het hardst geraakt worden. Eéngerichte cyberaanval en een deel van onze economie functioneert nietmeer. Eén leverancier die zich terugtrekt en gemeenten liggen op hun gat.Digitale spionage en ddos-aanvallen zitten inmiddels in de gereed-schapskist van iedere boef. Maar ook ons denken over fysieke veiligheidmoet beter, want sabotage ligt niet alleen digitaal op de loer. Eenonbeschermde datakabel, een deur die te gemakkelijk opengaat of eenhek waar je zo een gat in knipt: ook dat zijn kwetsbare plekken. Op diemanier kunnen boeven toegang krijgen tot een sluis, een laboratoriummet kostbare spullen of een gemeentehuis. Als je rommelt met zulkebelangrijke organisaties, heeft dat hele grote gevolgen. Dat zijn namelijkkritieke entiteiten, die onmisbaar zijn voor ons land.Kortom, ik wil maar zeggen: goed dat deze wetten er zijn. GroenLinks-Partij van de Arbeid steunt de Cyberbeveiligingswet en de Wetweerbaarheid kritieke entiteiten. Met deze wetten gaan we samen metandere Europese landen één plan trekken voor onze cyberveiligheid envoor de fysieke veiligheid van belangrijke organisaties. Veiligheid hoortthuis aan elke bestuurstafel. Dat geldt met name voor cyberveiligheid.Deze wetten dwingen dat af.Maar met hoe groot deze wetten zijn, begin ik even bij stap één. Ik vraagde Minister het volgende. Kan hij heel concreet samenvatten wat er strakseigenlijk gaat veranderen als deze wetten worden aangenomen? Wat isnou precies een essentiële entiteit, een belangrijke entiteit en een kritiekeentiteit? Kan hij per entiteit een paar voorbeelden opnoemen? Op welkemanier wordt Nederland weerbaarder en veiliger van deze wetten? Watgaan burgers hiervan merken? Wat gaan de entiteiten merken van denieuwe wetten? Wat is de zorgplicht? Wat is de meldplicht? Hoe wordt ertoezicht gehouden? Welke crisisteams, de zogenaamde CSIRT’s, wordener straks aangewezen voor de sectoren? Welke nieuwe moeten er nogworden opgericht?Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3233 Ik stel die vragen omdat ik wil dat mensen begrijpen wat er nu eigenlijkgaat veranderen. Wij moeten duidelijk maken hoe we burgers veilighouden. Cyberveiligheid en weerbaarheid is iets voor ons allemaal. Hetzijn niet zomaar buzzwords voor bestuurders en politici om over tekletsen. Het is een belofte die wij aan burgers geven: dat wij hun recht opeen veilig leven ook serieus nemen.Ik wil wat langer doorgaan over de positie van de burger. Deze wettenrichten zich namelijk volledig op wat er binnen organisaties moetgebeuren. Het betreft de maatregelen die je moet nemen om je beter tebeschermen. Dat is de zogenaamde zorgplicht. Ook gaan ze over hoe jemelding moet maken als er iets misgaat. Dat is de meldplicht. Maar weleven niet op een eiland met alleen maar bestuurders, CEO’s en toezicht-houders, die samen afspraken maken. Een datalek of een aanval opinfrastructuur is allang geen kwestie van bedrijfsvoering meer. Het is eenkwestie van nationaal belang. Het heeft gevolgen voor mensen.Neem het voorbeeld van een groot datalek. We hoeven daar niet ver voorte zoeken, want we hebben het meegemaakt met de miljoenenOdidoklanten van wie de gegevens nu op straat liggen en met allevrouwen die getroffen zijn door het datalek bij het bevolkingsonderzoekbaarmoederhalskanker. Terwijl de ministeries, de toezichthouders en deorganisaties druk met elkaar in de weer zijn, blijven de slachtofferseigenlijk nog steeds bekaaid achter. Ze hebben hele terechte, praktischevragen. Wat moet ik doen om mezelf te beschermen? Waar moet ik opletten? Welke telefoontjes of mailtjes kan ik niet meer vertrouwen? Kan ikmijn burgerservicenummer vervangen om fraude te voorkomen? Dievragen krijg ik als Kamerlid binnen van de mensen die ik vertegen-woordig. Vergeet niet: hoe belangrijk de cyberveiligheid van bedrijven enoverheden wel niet is, als het misgaat zijn individuele klanten en burgersde allergrootste pineut.Met name denk ik aan de kwetsbare groepen in Nederland, mensen voorwie hun privacy een essentiële veiligheidsgarantie is. Denk aan slacht-offers van huiselijk geweld van wie het huisadres is gelekt, aan publiekepersonen die anonimiteit nodig hebben om ongestoord door de dag tekomen of aan lhbti’ers die voor hun eigen veiligheid zijn wegverhuisd ennu met één zoektocht op het darkweb weer vindbaar zijn geworden. Ik wileen wet die hun rechten beschermt.Daarom pleit ik ervoor om een wettelijke nazorgplicht te introduceren. Inzo’n wet staat precies hoe slachtoffers na een grote cyberaanval of eendatalek geïnformeerd en geholpen moeten worden. Als we niet stevigeropkomen voor slachtoffers, dan verliezen zij hun vertrouwen in deoverheid en in de grote bedrijven die onmisbaar zijn in ons land. Zonderdat vertrouwen breekt precies datgene af wat we met deze nieuwe wetwillen beschermen.Daarom vraag ik het volgende van de Minister. Hoe kijkt hij naar hetmaken van een nieuwe wet met een nazorgplicht? Is hij het met me eensdat dit de rechten van slachtoffers van een datalek meer zekerheid kangeven? Is de positie van slachtoffers goed genoeg vastgelegd in deCyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten? Welkeverplichtingen gelden er voor de overheid en entiteiten als eencyberaanval een hoop slachtoffers maakt? Op welke hulp kunnenslachtoffers zich beroepen? Is de Minister bereid om te verkennen hoehun rechten wettelijk vastgelegd kunnen worden met een nazorgplichtvoor de overheid en entiteiten?Dan het basispakket digitale veiligheid. Eerder pleitte ik ook voor eenbasispakket digitale veiligheid: een bundel van cybersecuritysoftware dieis gemaakt door het Nederlandse bedrijfsleven en die centraal wordtaangeboden door de overheid in samenwerking met diezelfde bedrijven.Ik weet dat er op de markt genoeg oplossingen zijn, maar als cyberse-curity alleen is weggelegd voor mensen die weten wat een VPN is en diesnappen welke wachtwoordmanager het beste uit de test komt, danTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3234 constateer ik dat het gewoon niet toegankelijk genoeg is. De opdracht ishelder: ook mijn oude buurvrouw moet online veilig zijn, niet alleen detechneut die thuis zijn eigen mailserver draait. GroenLinks-Partij van deArbeid wil een toegankelijk pakket met een VPN, een wachtwoordma-nager, antivirussoftware en een adblocker, gemaakt met gebruiksgemakvoor elke doelgroep en makkelijk te installeren op meerdere apparaten. Demotie die ik hierover heb ingediend, heb ik aangehouden, omdat deStaatssecretaris Digitale Economie tijd nodig had om die te appreciëren.De appreciatie is er nog niet, dus ik probeer het nog een keer in dit debat.Is de Minister het met me eens dat cyberveiligheid ook voor individueleburgers bereikbaar, betaalbaar en begrijpelijk moet zijn? Hoe kijkt deMinister naar mijn voorstel voor een basispakket digitale veiligheid? Opwelke manier zou dit samen met de markt vormgegeven kunnen worden?Is de Minister bereid om samen met Economische Zaken en BinnenlandseZaken te bezien hoe een basispakket digitale veiligheid gerealiseerd kanworden?Dan kom ik weer bij de wetten. Die roepen bij mij een hele hoop vragenop. Hoe blij ik ook ben dat ze er zijn, ook al zijn ze een beetje laat: er valtnog wel wat op af te dingen, onder andere wat betreft de hele waslijst aandingen die nog moeten worden uitgewerkt. Denk hierbij aan dehoeveelheid belangrijke zaken die niet eens in de wet staan, maar inregeltjes die nog moeten worden gemaakt. Ook een hoop praktischedingen en randgevallen zijn nog niet duidelijk. Ik zal er hier niet een aantalnoemen, want dat gaan heel lang duren. Maar ik heb hier al één, twee,een heleboel pagina’s voor me met onduidelijkheden. Ik noem bijvoor-beeld een meldportaal dat nog niet duidelijk is, de rol van de toezicht-houder en de nieuwe, maar nog onbekende taken van het Nationaal CyberSecurity Centrum. Dit is echt nog maar een hele kleine greep uit alles watnog boven de markt hangt. Over wetten die zo lang in de oven hebbengezeten, had ik eerlijk gezegd meer zekerheid verwacht. We tuigen eenheel nieuw systeem van regels, toezicht en handhaving op, maar niemandweet nog hoe dat er precies uit gaat zien.We nemen dus straks misschien wetgeving aan zonder te weten of hetallemaal uitvoerbaar is. In gesprekken met bedrijven, gemeenten enandere organisaties die straks aan de wetgeving moeten voldoen, hoor ikdit ook terug als een van hun grootste zorgen. Herkent de Minister diekritiek op de uitwerking van de wetten? Hoe zorgt hij ervoor dat denaleving niet een groot fiasco wordt als de wetten eenmaal zijn aange-nomen? Kan de Minister aangeven wanneer hij verwacht dat alle puntenzijn uitgewerkt? Ik heb die punten net dus niet allemaal opgenoemd, maardie zijn wel genoemd in allerlei memories van toelichting en beantwoor-dingen. Is de Minister bereid om schriftelijk een overzicht te geven vanalle punten waarop de wetten nog nader worden uitgewerkt, samen meteen tijdlijn van wanneer we een uitwerking kunnen verwachten?Dit brengt me meteen bij een belangrijk punt van kritiek op de wetten. Eris namelijk ontiegelijk veel uitgewerkt in lagere regelgeving. In normalemensentaal zegt dat eigenlijk: we hebben een wet geschreven, maar hoeje die regels eigenlijk naleeft, moet je maar zien in de bijlagen die we laternog wel gaan opsturen. In sommige gevallen snap ik dat echt, maar alshet gaat om twee wetten die zo lang op zich hebben laten wachten enwaar zo veel urgentie achter zit, snap ik het minder goed. We besprekentwee wetten met zware verplichtingen, die heel veel open eindjes hebben.Toen ik in de schriftelijke ronde vroeg waarom de zorgplicht pas in hetCyberbeveiligingsbesluit – dat is dus die bijlage waar ik het over had –staat, kreeg ik als antwoord dat dat alleen maar om een uitwerking gaat.Dat is niet helemaal zo. Ten eerste is de uitvoering ervan knetterpolitiek.Het is één ding om op te schrijven dat je meer aan je veiligheid moetdoen, maar het is nog steeds een politieke vraag wát je dan precies moetdoen. Wanneer ben je als entiteit cyberveilig? Hoe bescherm je je fysiekeinfrastructuur? Kortom, wanneer voldoe je aan de wet? Die vragen moetTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3235 je duidelijk kunnen beantwoorden. Als je de hele kern van een wet pas inlagere regels uitwerkt, is dat moeilijk.Gelukkig hebben we het Cyberbeveiligingsbesluit en het Besluitweerbaarheid kritieke entiteiten goed ontvangen. Maar ook daar staannog zaken in die niet uitgewerkt zijn. Voor de entiteiten én voor devolksvertegenwoordiging is dat lastig controleren. Ik heb daarover eenaantal vragen. Heeft de mate waarin dingen nog verder worden uitge-werkt te maken met haast? Is het te laat implementeren van de richtlijneneen reden geweest om veel dingen in lagere regelgeving te bepalen?Heeft de Minister overwogen om meer zaken al op het niveau van de wetduidelijk te maken? Waarom is de afweging gemaakt om vooral dezorgplicht, een heel zwaar middel, in algemene maatregelen van bestuurte zetten? Is de Minister bereid om in de evaluatie van de wetten, dieergens in de komende vier of vijf jaar plaatsvindt, te bezien of er met eenwetswijziging alsnog meer zaken in de wet zelf geregeld kunnen worden,en wat daar de voor- en nadelen van zijn? Dit is waarom ik voor allebei dewetten een amendement heb ingediend om een voorhangprocedure toete voegen. Als er iets aan de uitwerking van de wetten verandert, specifiekals het gaat om de zorgplicht, dan moet de Kamer daarover geïnformeerdworden. Zo wordt de uitvoering van de wetten beter controleerbaar engeven we onszelf de kans om in te grijpen als de wetten niet goed wordenuitgewerkt. Hoe kijkt de Minister naar mijn voorstel over het toevoegenvan een voorhang voor de zorgplicht bij beide wetten? Hoe gaat hij ervoorzorgen dat de uitwerking van de twee wetten zorgvuldig, transparant enmet zo veel mogelijk inspraak van zowel de entiteiten als de Kamerplaatsvindt?In die lage regelgeving staat iets heel zwaars. Dat gaat om deinterventiebevoegdheid.De voorzitter:Mevrouw Kathmann, ik zat al even te zoeken naar een moment, omdat ikuw vlammende betoog niet wilde onderbreken. Maar u heeft eeninterruptie van de heer Van den Berg van JA21 en dat ben ikzelf.Ik hoor u steun uitspreken voor beide wetten, zowel voor de Cyberbeveili-gingswet als voor de Wet weerbaarheid kritieke entiteiten. Maar ik hoortegelijkertijd ook een bak aan kritiek, die ik terecht vind. Er zijn heel veelvragen. U zegt onder andere dat er een wettelijke nazorgplicht moetkomen. U vraagt waarom het in lagere regelgeving is uitgewerkt en of erhaast bij is geweest. Als u al die kritiekpunten heeft en er nog zo veelmoet veranderen, waarom zou je dan aan de voorkant toch alvast steunuitspreken? Is dat niet de omgekeerde richting?Mevrouw Kathmann (GroenLinks-PvdA):Nee, de cyberveiligheid van Nederland, waar deze wetten een hoop voorgaan doen, is echt ongelofelijk belangrijk. Daar moet urgentie voor zijn endat moeten we gewoon zo snel mogelijk met elkaar willen doen. Ik benheel blij dat deze wetten er nu liggen. Ik heb alleen wel met volgens mijvier amendementen gepoogd om die onduidelijkheden eruit te halen viadie voorhang. Dan worden we als Kamer heel goed geïnformeerd over deverdere uitwerking. Daar kunnen we dan nog dingen aan veranderen. Uheeft ook gezegd: laten we de wet eerder evalueren. Ik heb de Minister netgevraagd: kunnen we bij de evaluatie kijken of we dan nog dingen in dewet willen regelen in plaats van in lage regelgeving of bij algemenemaatregel van bestuur? Er zijn nog een aantal dingen waarover ik peramendement of motie duidelijkheid probeer te scheppen. Het gaat mijvooral om die onduidelijkheid. Ik heb het idee dat de Minister dat ook welziet. Dat blijkt uit de beantwoording van eerdere vragen. Ik hoop vooraldat we vandaag heel veel zaken kunnen doen en dat we ook nog zakenkunnen doen als de wet geëvalueerd wordt.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3236 De voorzitter:Mevrouw Kathmann heeft dus wel het gevoel dat de wetten, als al diezaken worden doorgevoerd, allebei goed genoeg zijn om echt eenbijdrage te kunnen leveren aan de cyberveiligheid van Nederland?Mevrouw Kathmann (GroenLinks-PvdA):Ja, dat heb ik zeker. Dat is zeker zo als wij als Tweede Kamer onzecontrolerende taak beter kunnen borgen. Dat vind ik echt heel belangrijk.Ik ga het zo even hebben over de interventiebevoegdheid. Daar wil ikgewoon meer duidelijkheid over en ook, zoals ik net al zei, over devoorhang. Dat zijn op zich elementaire dingen, waardoor wij ons werkbeter kunnen doen en we de wet misschien in een later stadium nogkunnen aanscherpen. En dan zou ik zeggen: zo snel mogelijk gaan met diebanaan, want we kunnen gewoon niet langer wachten.De voorzitter:Dan geef ik als voorzitter het woord terug aan mevrouw Kathmann voorhet vervolg van haar betoog.Mevrouw Kathmann (GroenLinks-PvdA):In die lagere regelgeving staat iets heel zwaars. Het gaat om de interven-tiebevoegdheid, oftewel om artikel 18 van het Cyberbeveiligingsbesluit enartikel 13 van het Besluit weerbaarheid kritieke entiteiten. Dit is eenuitwerking van de zorgplicht die de vakminister de mogelijkheid geeft omdiensten en producten te verbieden, oftewel de interventiebevoegdheid.Laat ik vooropstellen dat het helemaal geen gek idee is. Als we weten datergens een component in een systeem zit, dat er ergens een stukjesoftware wordt gebruikt of dat er een bepaald onderdeeltje in de hardeinfrastructuur is dat ons kwetsbaar maakt, dan moeten we dat kunnenuitfaseren. GroenLinks-Partij van de Arbeid staat dus achter de interven-tiebevoegdheid, maar laten we wel wezen: het is een heel zwaar middel,dat niet even in een lagere regel moet worden neergezet, bijna uit hetniks, als een onderdeeltje van de zorgplicht. Dat is eigenlijk een groteverrassing. Daarom heb ik twee amendementen ingediend: eentje voor deCyberbeveiligingswet en eentje voor de Wet weerbaarheid kritiekeentiteiten. Die amendementen doen niks anders dan de interventiebe-voegdheid uit de lagere regels halen en netjes in de wet zetten.Voor de Cyberbeveiligingswet stel ik voor om artikel 21a toe te voegen.Dat is letterlijk dezelfde tekst als de Minister al wil plus een beetje. Ik stelnamelijk twee extra dingen voor. Ten eerste stel ik voor dat ingrijpen doorde vakminister een laatste redmiddel is, echt een last resort. Eerst moetvaststaan dat er geen andere maatregelen zijn die de risico’s voor denationale veiligheid wegnemen. Dat spreekt misschien voor zich, zou jedenken, maar door dit in de wet te zetten voorkom je dat we dit zwaremiddel zonder goede reden inzetten. Dat moet altijd gegrond zijn en datzorgt voor rechtszekerheid voor entiteiten.Ten tweede stel ik een inspanningsverplichting voor. De vakminister enhet sectorale crisisteam, het CSIRT, moeten samen met de entiteit die ietsmoet afsluiten, kijken of er ondersteuning bij nodig is. Je kunt niet zomaarverwachten dat entiteiten dit in hun eentje kunnen doen, vooral als hetgaat om een bijna onmisbaar deel van hun dienstverlening. «Er hoeft nikste gebeuren» kan ook een uitkomst zijn van de inspanningsverplichting.Als je een entiteit vraagt om iets helemaal uit te faseren, dan vind ik hetde verantwoordelijkheid van de vakminister en het crisisteam om daarbijte helpen. Daarbij blijft de dienstverlening van de entiteit ook overeind.Ik ga echt uit van de beste intenties bij het inzetten van de interventiebe-voegdheid, maar de vakminister zomaar op zijn of haar blauwe ogengeloven, is volgens mij niet hoe wij hier met elkaar wetgeving moetenbeoordelen. De manier waarop de bevoegdheid nu is opgeschreven, isdan ook echt te kort door de bocht. Met mijn amendement hoop ik opTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3237 meer zekerheid. Politieke willekeur van het kabinet hoop ik ook tevoorkomen, maar de mogelijkheid om in te grijpen blijft wel gewoonovereind, alleen met een paar nieuwe vangrails, zodat de vakministersniet uit de bocht kunnen vliegen.Voor de Wet weerbaarheid kritieke entiteiten gaat het trouwens om eenheel nieuw artikel 15a, dat een uitwerking is van de zorgplicht in artikel 15.Het amendement is vrijwel identiek, alleen gaat het om kritieke entiteitenen fysieke diensten en producten. In de inspanningsverplichting van ditamendement is er geen rol weggelegd voor de toezichthouder, omdatvoor deze wet een groepje aangewezen ambtenaren de toezichthoudendepartij is. Dat zou dus dubbelop zijn. Daarom is het de vakminister die ditsamen met de entiteit uitzoekt.Over mijn amendementen heb ik een paar vragen. Ten eerste ben ik heelbenieuwd hoe de Minister de amendementen beoordeelt. Het is vrijweldezelfde tekst als in de lage regelgeving, maar dan in de wet. Is hij het metme eens dat we op deze manier een duidelijker kader geven aan deinterventiebevoegdheid? Hoe kijkt hij specifiek naar de nieuwe toevoe-gingen, die stellen dat het een last-resortmaatregel moet zijn en dat er eeninspanningsverplichting moet komen? Hoe kijkt de Minister naar demogelijkheid om, als dat nodig wordt geacht, ook financiële steun televeren bij het weren van een dienst of product? Is de Minister daartoebereid en, zo ja, wat is de hoogte van zo’n bijdrage zonder dat diestaatssteun wordt?Ik zeg het even hardop: deze amendementen zijn een uitgestoken hand,want mijn doel is duidelijk. De interventiebevoegdheid moet blijven, maarhoort thuis in de wet, met een duidelijke grens. Dit weegt voor mijn fractiezwaar. Ik hoop dan ook dat de Minister niet met een harde «nee» komt,maar met mij meedenkt over hoe wij dit een beetje netjes in de wetkunnen krijgen. Zou hij anders in een schriftelijke beantwoordingalternatieven kunnen noemen, mochten de amendementen niet op zijnsteun kunnen rekenen?Over de interventiebevoegdheid heb ik nog één grote vraag. GroenLinks-Partij van de Arbeid heeft duidelijk gemaakt dat een van onze grootsteveiligheidsproblemen de totale eenzijdige afhankelijkheid van vooralAmerikaanse software en hardware is. De interventiebevoegdheid wordtingezet als er sprake is van diensten of producten van een bedrijf uit eenland dat op gespannen voet staat met Nederland, dat verplicht is ominlichtingen met de overheid te delen en uitgebreide toegang geeft totonze systemen. Daar is nu dus eigenlijk volop sprake van. In ons land zijnwij massaal afhankelijk van Amerikaanse ICT-diensten, waardoorbedrijfsgeheimen en burgergegevens direct onder de reikwijdte vanspionagewetten vallen. Denk aan de CLOUD Act, de Foreign IntelligenceSurveillance Act en aan Executive Order 12333.Over die interventiebevoegdheid heb ik wat vragen. Is de Minister bereidom die bevoegdheid in te zetten om gevaarlijke afhankelijkheden in onzedienstverlening terug te dringen? Kan hij klip-en-klaar uitleggen waaromICT-diensten uit de Verenigde Staten níet zouden voldoen aan devoorwaarden om deze interventiebevoegdheid in te zetten? Wanneer zouhier wel sprake van zijn? Kortom: kan de Minister heel duidelijk zeggenwanneer hij bereid is om de interventiebevoegdheid in te zetten? Volgensmij is mijn punt duidelijk: hoe, wanneer en waarom de interventiebe-voegdheid wordt ingezet, moet transparant en controleerbaar zijn. Ik roepde Minister op om dit zo concreet mogelijk te maken voordat de wetten inwerking treden.Straks worden duizenden organisaties aangemerkt als entiteiten als zijonder de nieuwe wetten vallen. Bij de Cyberbeveiligingswet wordtuitgegaan van zo’n 8.100 essentiële en belangrijke entiteiten. Let wel op:in het Cyberbeveiligingsbesluit is sprake van 7.550 entiteiten. Ik hoorgraag wat het echte aantal is. De Wet weerbaarheid kritieke entiteiten gaatuit van 500 organisaties die worden bestempeld als kritieke entiteiten. ErTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3238 is dus wel een schatting gemaakt, maar een organisatie moet zelfuitzoeken of zij ook echt zo’n entiteit is. Organisaties moeten eenvitaalbeoordeling uitvoeren om te achterhalen of zij daaronder vallen.Voor wetten die strenge, nieuwe verplichtingen opleggen, is dat toch bestvrijblijvend. Mijn zorg is dat er straks organisaties zijn die helemaal nietweten of zij onder deze wet vallen. Daarover heb ik wat vragen. Hoe zullenalle entiteiten zich volgens de Minister met zo’n vitaalbeoordelingidentificeren? Ziet hij het risico dat er organisaties zijn die de beoordelingniet doen en er dus niet van op de hoogte zijn dat zij onder de nieuwe wetvallen? Is er geen risico op onderrapportage doordat organisaties debeoordeling niet invullen om de verplichting uit de weg te gaan? Hoe snelverwacht de Minister dat alle entiteiten in kaart zijn gebracht? Hoe gaat hijalle vermoedelijke entiteiten zover krijgen om die beoordeling in tevullen?GroenLinks-Partij van de Arbeid vraagt zich af waarom het kabinet wél instaat is om zo’n schatting te maken, maar niet in staat is om die bedrijvenproactief aan te schrijven met het simpele bericht «u bent vermoedelijkeen entiteit; doe nu de test». Is de Minister bereid om alsnog alleorganisaties aan te schrijven waarvan hij volgens zijn eigen inschattingvermoedt dat zij entiteiten zijn? Kan hij via de voorzitter met de Kamerdelen hoe hij de inschatting van het aantal entiteiten heeft gemaakt? Kanhij dit getal uiteenzetten per sector en laten zien hoe hij die organisatiesgaat benaderen?Er is al een hele waslijst aan handreikingen, handboeken, infosheets,brochures en onlinetools gemaakt over de NIS2-richtlijn en deCER-richtlijn. Kan de Minister zeggen hoe vaak deze al zijn gebruikt? Is datin lijn met wat hij verwacht? Worden de beschikbare hulpmiddelen noggebundeld en op één centrale plek aangeboden, zodat organisaties heelmakkelijk alle informatie kunnen vinden?Het omschakelen van papier naar praktijk wordt een uitdaging. Met dezewet willen we alles opknippen in keurige sectoren met dezelfdestandaarden voor de maatregelen die je neemt en de manier waarop jeinformatie deelt. Maar hoe graag we dat ook willen, we weten maar al tegoed hoe weerbarstig de realiteit is. Volgens mij is al door een x-aantalpartijen gevraagd hoe gemeentes dat dan zouden moeten doen. Dit stukjekort ik daarom in.Wat overblijft, is de Uitvoerbaarheidstoets Decentrale Overheden. Die isniet uitgevoerd. Is de Minister bereid om die wel uit te voeren voordat dewetten in werking treden? Wat gaat de Minister doen om de rollen vanvakministers, toezichthouders en de sector zo goed mogelijk vast teleggen? Wanneer en hoe worden deze stelselafspraken gemaakt?De volgende vragen in mijn tekst kan ik volgens mij ook overslaan. Dat isal allemaal gevraagd.Een praktisch punt waar entiteiten mee te maken krijgen, is het doen vaneen melding. Melding doen van een cyberaanval is straks niet meervrijwillig; als je als entiteit aan een bepaalde drempelwaarde voldoet, ishet verplicht. Ik kijk ernaar met het motto «je bent een held als je meldt»,want we moeten echt zo veel mogelijk meldingen binnenkrijgen. Laten weervan uitgaan dat iedereen melding doet als er iets ergs gebeurt. Dat moetzo makkelijk mogelijk zijn, het liefst op één gestandaardiseerde maniervoor alle soorten meldingen, ook voor meldingen die je moet doen opgrond van andere sectorale wetgeving of die volgen uit de AVG wanneerer sprake is van persoonsgegevens. Kortom, ik pleit voor één integraal enoverzichtelijk meldloket voor entiteiten.Daarover heb ik een aantal vragen. Hoe kijkt de Minister aan tegen ééncentraal meldloket voor alle soorten meldingen die entiteiten moetendoen? Zijn er mogelijkheden om dit goed te bundelen en, zo ja, wat voorsoort meldingen kunnen centraal in één zo’n loket worden gebundeld? Isde Minister bereid om tot één meldloket te komen voor zo veel mogelijksoorten meldingen, om het voor entiteiten zo makkelijk mogelijk te makenTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3239 om informatie aan de toezichthouder door te geven? De meldingsbe-reidheid moet hoe dan ook omhoog. GroenLinks-Partij van de Arbeidvraagt zich af hoe het nu staat met de meldingsbereidheid. Kan deMinister aangeven hoe het er nu voor staat met de meldingsbereidheidonder organisaties die een lek, aanval of kwetsbaarheid aantreffen? Wordter in de meeste gevallen melding gemaakt?Dan gegevensdeling. Daar zijn volgens mij ook al een aantal vragen overgesteld. Ik kijk even of ik mijn tekst hierover nog een beetje kan inkorten.De cyberveiligheid van de CSIRT’s moet net zo waterdicht zijn als van alleentiteiten waar ze op toezien. Ik hoor de heer Van den Berg buiten demicrofoon al «ja» zeggen. Heeft hij daar vragen over gesteld?Wat betreft de bewaartermijn sluit ik mij aan bij de vragen van JA21. Ikheb nog wel de vraag hoe de Minister erop toeziet dat de gegevens die deCSIRT’s gaan verwerken, goed beveiligd worden. Kan hij vertellen welketechnische veiligheidsmaatregelen hij neemt om daarvoor te zorgen?Over de bewaartermijn zijn al de nodige vragen gesteld.De voorzitter:Ik heb wel een vraag aan mevrouw Kathmann van GroenLinks-Partij vande Arbeid. U sprak over een centraal meldpunt en de veiligheidseisen bijde CSIRT’s. U zei dat de veiligheid waterdicht moet zijn. Juist als zij diebijzondere gegevens heel erg lang bewaren, zijn zij zelf ook een doelwit,omdat vijandige mogendheden die gegevens bijvoorbeeld zouden willenhebben. Daar heb ik een amendement voor voorbereid. Daarin staat datwe minimale waarborgen moeten toevoegen voor onafhankelijk toezicht,zodat, als het onder een ministerie valt, datzelfde ministerie of eentoezichthouder van dat ministerie er geen toezicht op kan houden. Dat iseen beetje de slager die zijn eigen vlees keurt. Hoe kijkt mevrouwKathmann naar die aanpak? Zou dat goed zijn?Mevrouw Kathmann (GroenLinks-PvdA):Ja, dat zou een goede aanpak zijn. Ik ga zo met heel veel enthousiasmenaar uw amendement kijken. Ik heb op dat terrein wat vragen overge-slagen om tijd te winnen, maar die lopen we nu gewoon weer in. Ik ga duszeker met veel enthousiasme naar uw amendement kijken.De voorzitter:Hartstikke mooi. Gaat u verder met uw betoog.Mevrouw Kathmann (GroenLinks-PvdA):Ook onmisbaar in ons informatielandschap zijn de gegevens die publiek-privaat worden gedeeld. Hoewel we trots kunnen zijn op alle bedrijven diehun kostbare gegevens nu al met autoriteiten delen, past het niet dat wevoor ons dreigingsbeeld volledig afhankelijk zijn van private inlichtingen.Onze publieke instellingen moeten die competentie gaan kweken, maardie zijn daar niet van de ene op de andere dag toe in staat. Momenteel zijner organisaties die volgens de wet data mogen uitwisselen met hetNationaal Cyber Security Centrum, de zogenaamde OKTT-organisaties. Nuis er wat onduidelijkheid ontstaan over of dit onder de nieuwe wetten nogsteeds relevante partijen zijn die data mogen uitwisselen. Kan de Ministerbevestigen dat de OKTT-organisaties onder de twee nieuwe wetten nogsteeds relevante dreigingsinformatie mogen ontvangen om te delen methun achterban binnen de sectoren? Als dat niet het geval is, waarom danniet, en hoe wordt die taak dan wel ingevuld?De volgende grote zorg van GroenLinks-Partij van de Arbeid betreft decenten. Het verbeteren van je ICT-kennis, het opleiden van je bestuur, hetopstellen van een cyberplan en het nemen van allerlei maatregelen omjezelf digitaal en fysiek te beschermen, komt met een prijskaartje. Er zijnstraks duizenden organisaties die daarmee aan de bak moeten. Dat iskostbaar. Er komt ook een flinke nieuwe taak bij voor het bestaandeTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3240 personeel. Als organisaties zulke expertise van buiten moeten inkopen,vissen ze ook nog eens met z’n allen uit dezelfde vijver. Ik wil eigenlijk datiedereen klaar is voor deze start zodra de wetten zijn aangenomen, metgenoeg geld op de plank en een goed idee over welke stappen je alsorganisatie moet nemen om de wet te volgen.Kan de Minister helder schetsen wat er van entiteiten wordt verwacht inhet eerste jaar nadat de wetten zijn aangenomen? Welke deadlines geldener? Hoe moeten entiteiten of organisaties die dat waarschijnlijk zijn, zichvoorbereiden op de nieuwe wetten? Hoe maken zij een realistischeinschatting van de nieuwe taken en financiële lasten? Welke indicatiesheeft de Minister dat entiteiten voorbereid zijn op de nieuwe taken enfinanciële lasten van de nieuwe wetten? Verschilt deze paraatheid persector? Waar zitten de risico’s? Als er voor entiteiten praktische offinanciële drempels zijn om aan de wet te voldoen, welke publieke taakheeft de Minister dan om hen bij te staan?Al die nieuwe taken komen met een nieuw stelsel van toezicht. Sommigebestaande inspecties en waakhonden worden uitgebreid. Voor sommigesectoren komen er geheel nieuwe toezichthouders. Dat is maar goed ook,want elke sector verdient een aanspreekpunt en een handhaver van denieuwe wetten. GroenLinks-Partij van de Arbeid maakt vaker het punt datcyberwetgeving te weinig oog heeft voor de positie van de toezicht-houder. Veel te vaak wordt er gesteld dat er amper extra taken bij komen,dat het budget wel voldoende is en dat er altijd verdere afsprakengemaakt kunnen worden. Bij deze wetten ben ik er ook niet gerust op. Hettoezicht staat in Nederland namelijk al onder druk en er gaan al heel veelincidenten aan ons voorbij omdat we de tegenmacht niet genoeg knakengeven voor al hun taken. Dat mag bij de Cyberbeveiligingswet en de Wetweerbaarheid kritieke entiteiten niet gebeuren.Kijk naar de Inspectie Gezondheidszorg en Jeugd, waarvoor nu al wordtgesteld dat er mogelijk meer geld nodig is om de naleving van de wet tekunnen controleren. Hoe kun je dat nou zeggen en vervolgens ookaangeven dat je het pas zeker zal weten nadat de wet in werking isgetreden? Wat gaat de Minister doen om toezichthouders, zoals de IGJ,van tevoren al zekerheid te geven over hun budget? Als blijkt dattoezichthouders onvoldoende geld hebben, hoe gaat de Minister hen danondersteunen, zodat ze niet interen op hun eigen reserves?Kijk bijvoorbeeld ook naar de ANVS, de nucleaire toezichthouder. Die steltdat ze nu geen boetebevoegdheid heeft, maar wel onderdeel is van dewet. Ik kijk even naar mevrouw Faber. Had u daar nou vragen overgesteld? Dan kan ik die namelijk ook overslaan. Ja. Dan sluit ik me aan bijde vragen van mevrouw Faber. Dat scheelt weer heel veel tijd.Hetzelfde geldt eigenlijk voor de Nederlandse Voedsel- en Warenautoriteit.Die heeft mevrouw Zwinkels, van het CDA, al genoemd. GroenLinks-Partijvan de Arbeid sluit zich dus van harte aan bij die vragen.Dan sluit ik me ook van harte aan bij de vragen over Caribisch Nederland,die door JA21 en D66 zijn gesteld. Het is namelijk echt van heel grootbelang dat zij daar in ieder geval een stip op de horizon krijgen. Er warenhier vorig jaar een aantal vertegenwoordigers. Die zeiden ook: er zijngewoon piraten actief en ze hebben niet meer zo’n lapje voor hun ogen,maar het zijn allemaal cyberpiraten; het wordt tijd dat wij ons hier ook inhet Caribisch deel van het Koninkrijk maximaal tegen kunnenbeschermen.Het mag duidelijk zijn: GroenLinks-PvdA staat in voor de cyberveiligheiden de weerbaarheid van Nederland. Er woedt een oorlog achter deschermen. Van een van onze grootste economische spelers, onzeonmisbare leveringsketens en onze volledige overheid mag je dangewoon de opperste paraatheid verwachten, maar ik maakte al eerder hetpunt dat paraatheid niet alleen iets is voor bestuurders en CEO’s, maarvoor ons allemaal. Naast deze belangrijke wetgeving verwacht ik van hetkabinet een plan voor de veiligheid van alle Nederlanders, met praktische,Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3241 individuele oplossingen die je veilig houden in de onlinewereld. Er ishandelingsperspectief voor wat je zelf kan doen. Laten we ook toewerkennaar een nazorgplicht, een wettelijke plicht voor het omgaan met eenmassaal datalek of een cyberaanval waarbij persoonsgegevens vanNederlanders massaal worden buitgemaakt. Cyberveiligheid houdt niet opbij het beheersen van risico’s. Je moet nog veel meer doen. Je hebt alsburger recht op informatie en hulp als je data worden gestolen van eenbedrijf of overheid.Ik kijk uit naar de beantwoording van de Minister.De voorzitter:Ik zie verder geen interrupties meer. Dan wil ik mevrouw Kathmannhartelijk danken voor haar vurige bijdrage en geef ik het voorzitterschapgraag aan haar terug.Voorzitter: KathmannDe voorzitter:Dank. Ik kijk even naar rechts en naar de klok. Hoelang zou u willenschorsen, Minister? Wij zullen dat zeker met een lunchpauze combineren.Ik denk dat een uur goed is. Ik kijk even naar links. Ja. Dan schorsen wij tot13.30 uur.De vergadering wordt van 12.25 uur tot 13.34 uur geschorst.De voorzitter:We gaan weer van start met het bespreken van de Cyberbeveiligingsweten de Wet weerbaarheid kritieke entiteiten. We zijn bij de beantwoordingdoor de Minister, dus het woord is aan de Minister.Minister Van Weel:Dank, voorzitter. U ziet hier een hele stapel papier voor mij liggen. U heeftin een paar uur meer dan 230 vragen afgevuurd over deze twee wetten.Dat is bijna twee keer zoveel als het aantal schriftelijke vragen dat over dewet is gesteld door uw Kamer. Daarmee wil ik aangeven dat als ik dit nuvoorlees en ik één minuut per vraag neem, we al zo’n vierenhalf uur bezigzijn en dan heeft u nog geen interrupties kunnen plegen. Met uwwelnemen zou mijn voorstel zijn dat ik door de vragen heen ga en dat ikprobeer de vragen waarin feitelijk wordt gevraagd naar de weg zoals diein de wet beschreven staat, zo veel mogelijk achterwege te laten en tefocussen op de vragen waarin echt wordt gevraagd naar de implemen-tatie, of deze wet voldoet en of we daar verandering in willen hebben. Ditkan betekenen dat u aan het einde uw lijstje afkruist en zegt: ik heb nog45 vragen waarop ik geen direct antwoord heb gehad. Die kunnen we danook allemaal langslopen, maar dan krijgen we misschien een herhalingvan zetten daarin. Ik markeer dit alleen even aan het begin omdat dit besteen uitzonderlijke hoeveelheid is, ook voor mij, in wetsbehandelingen. Ikwil even bij u toetsen hoe ik dat in ieder geval wil aanvliegen. Dan kijkenwe wel hoe dat u bevalt, of niet.De voorzitter:Het is in ieder geval goed dat u deze bijsluiter geeft, want we hebbeninderdaad tot 16.00 uur. Dat is een redelijk harde deadline, hoewel hetnatuurlijk uiteindelijk aan ons is hoelang het gaat duren. Maar het is eengoede bijsluiter. Ik denk dat het in ieder geval goed is – ik zie namelijkverschillende mapjes en dan zijn er vaak ook verschillende blokjes – datwe steeds het hele blok afwachten en dan pas de vragen doen en kijken ofer nog iets mist. Dan kunnen we helemaal aan het einde even inventari-seren of Kamerleden nog vragen hebben openstaan. Mochten erKamerleden zijn die nog 45 vragen open hebben staan, dan kunnen weTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3242 misschien even kijken of we een deel bijvoorbeeld schriftelijk doen. Dangaan we het zo doen. Ik zou even iedereen vriendelijk willen verzoeken omin ieder geval kort te zijn in de interrupties. Als je toch een interruptiepleegt, stel dan een korte vraag, want dan kunnen we zo veel mogelijkmeters met elkaar maken. Het woord is aan de Minister.Minister Van Weel:Dank, voorzitter. Ik heb zo meteen een korte inleiding. Dan doe ik dealgemene vragen en de reikwijdte van de beide wetten. Dan kom ik op demeld- en zorgplicht. Daar waren een hoop vragen over. Dan ga ik in op hettoezicht. Ook daar waren een hoop vragen over. Vervolgens ga ik in op deactualiteit, waaronder bijvoorbeeld Odido. Bij de artikelen over het werenvan leveranciers wil ik even apart stilstaan. En dan heb ik nog een mapjeoverig, alvorens ik kom bij Caribisch Nederland en de aparte vragen dieecht ingaan op de Cbw en de aparte vragen die echt ingaan op de Wwke.Ten slotte wil ik aan het einde van mijn termijn in ieder geval deingediende amendementen alvast van een appreciatie voorzien.Voorzitter. Vandaag staan twee belangrijke wetsvoorstellen centraal: hetwetsvoorstel voor de Cyberbeveiligingswet en het wetsvoorstel voor deWet weerbaarheid kritieke entiteiten. Allereerst dank dat we deze tweewetsvoorstellen gezamenlijk kunnen behandelen in één debat, want zehangen nauw met elkaar samen. Het is belangrijk dat ze niet uit elkaargaan lopen, zowel wat betreft de inhoud, maar ook wat betreft het proces.Ze regelen belangrijke onderwerpen, namelijk de weerbaarheid en dedigitale veiligheid van bedrijven en organisaties die essentiële dienstenverlenen. Ze zijn ook hard nodig, want de Nederlandse vitale infra-structuur en onze digitale processen worden steeds vaker geconfronteerdmet een stapeling van dreigingen. Door toegenomen geopolitiekespanningen zijn onze vitale infrastructuur en digitale processen steedsvaker doelwit van aanvallen door statelijke actoren, cybercriminelen enandere kwaadwillenden. Dit kan leiden en heeft al geleid tot verstoring ofuitval van belangrijke processen.De continuïteit van onze vitale en digitale processen is essentieel voor hetgoed functioneren van onze maatschappij; meerderen van u hebben daaral aan gerefereerd. Grootschalige verstoring of uitval daarvan raakt onzesamenleving, onze economie en onze nationale veiligheid. Deze onder-werpen leven dan ook bij de inwoners van ons land. Dat zien we ook in delaatste Risico- en Crisisbarometer, het publieksonderzoek van de NCTVnaar de beleving van de inwoners van Nederland van risico’s endreigingen. Daaruit blijkt dat meer dan de helft van de inwoners zichzorgen maakt over cyberdreigingen en het stoppen van vitale processen.De risico’s voor de vitale infrastructuur zien we niet alleen in Nederland.We zagen vorig jaar ook een grote sabotage op Poolse spoorlijnen enbegin dit jaar zaten heel veel huishoudens en bedrijven in Berlijndagenlang zonder stroom, internet of verwarming. Ook dat kwam toendoor een sabotageactie. De uitval en verstoring van vitale infrastructuuren digitale processen houdt dus niet op bij onze grens. Daarom ben ik blij,zeg ik ook in antwoord op een interruptiedebat dat u onderling had, datwe hier een Europese NIS2-richtlijn en een CER-richtlijn hebben, die inNederland worden geïmplementeerd in de Cyberbeveiligingswet en deWet weerbaarheid kritieke entiteiten.Voor bedrijven en organisaties die onder de wetten komen te vallen, geldtstraks een wettelijke verplichting om maatregelen te nemen voor hunweerbaarheid en de beveiliging van hun netwerk- en informatiesystemen.Ook moeten zij grote incidenten melden. De impact van die wetsvoor-stellen is aanzienlijk. Daarom heb ik de omzetting van de richtlijnenzorgvuldig aangepakt. Ondertussen hebben we, samen met de anderebetrokken ministeries, bedrijven en organisaties, uitdrukkelijk opgeroepenom alvast aan de slag te gaan met de komst van beide wetten. De risico’sdie de bedrijven en de organisaties lopen, zijn er immers ook nu al.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3243 Tot slot dank voor de vragen die u heeft gesteld, maar daar hadden we hetal even over.De voorzitter:Alle 230.Minister Van Weel:Ik zal nu overgaan tot de beantwoording en begin met het kopjealgemeen. Hoe wordt Nederland weerbaarder en veiliger van deze wettenen wat gaan burgers hiervan merken? Dat was een vraag van mevrouwKathmann. Wat gaan ook de betrokken entiteiten merken van deze nieuwewet? Als we kijken naar deze twee wetten, dan is het doel van deCyberbeveiligingswet echt om de digitale weerbaarheid van Nederland tevergroten. Met deze wet komt er een zorgplicht voor een groot aantalorganisaties en bedrijven die onder die wet gaan vallen. Ze moetenmaatregelen nemen om de risico’s van de beveiliging van hun netwerk-en informatiesystemen te beheren. Ze krijgen ook een meldplicht of, metandere woorden, de verplichting om grote incidenten te melden bij dedaarvoor aangewezen instanties. Daarop vindt ook toezicht plaats. Langsdie lijnen zal ik ook zo meteen ook de wetten behandelen, want dat zijn dekernelementen daaruit.Als het gaat om de Wet weerbaarheid kritieke entiteiten gaat het, zoalsgezegd, om kritieke entiteiten voor het doorgaan van processen in onsland. Dat gaat breder dan alleen cyber. Dat is niet helemaal nieuw. Er werdal gewezen op de Aanpak vitaal die al een aantal jaren loopt binnen mijndepartement. Een hoop van die vitale aanbieders gaan nu naadloos op inde kritieke entiteiten zoals we die in de Wet weerbaarheid kritiekeentiteiten zien. Een aantal leden vroeg ook wat er dan voor hen verandert.Onder andere dat nu een aantal dingen wettelijk geregeld worden. Datgeldt dus ook weer voor die zorgplicht, die meldplicht en dat toezicht.Voor diegenen die daar niet onder vallen, loopt de Aanpak vitaal gewoondoor zoals die al deed. Voor de entiteiten die onder de Wwke komen tevallen, is de Wwke hun nieuwe Aanpak vitaal. Ik denk dat we gezorgdhebben dat beide implementaties naadloos op elkaar aansluiten.Ook de Cyberbeveiligingswet komt niet uit het niets. We hadden al de Wetbeveiliging netwerk- en informatiesystemen. Daar bouwt de Cyberbeveili-gingswet op voort. Maar het grootste verschil is denk ik dat het aantalsectoren en het aantal entiteiten dat eronder valt, enorm is uitgebreid. Hetaantal van 8.100 werd al genoemd. Ik kom later terug op de onder-bouwing van die schatting.Herkent de Minister de kritiek op de uitwerking van de wetten? Uiteraardniet, zou ik zeggen tegen mevrouw Kathmann. Dat meen ik oprecht. Ditzijn hele omvangrijke wetten en ik denk dat daar ook de voornaamstereden in zit voor de vertraging die we hebben gezien in de implementatie.Zonder te willen wijzen denk ik dat een aantal landen hebben gemeld datzij deze wet geïmplementeerd hebben, waarbij je je vervolgens kanafvragen of alles wat daaronder zit aan uitvoering, aan toezicht, aansystemen, aan de registratie van bedrijven, dan allemaal al gebeurd is.Daar kun je grote vraagtekens bij zetten. Nogmaals, ik zal geen namennoemen. Wij hebben ervoor gekozen om dat op een hele degelijke manierte doen. Met andere woorden, wij willen ook zeker weten dat weuiteindelijk een wet van kracht laten gaan, die ook kan rekenen opsystemen die werken, op bedrijven die weten wat ze moeten doen, dat erloketten zijn waar mensen heen kunnen gaan, dat toezichthouders metelkaar samenwerken. Ook daar komen we natuurlijk op te spreken. Datheeft tijd gekost.We hebben ook geprobeerd om zo veel mogelijk bedrijven en organisatieste benaderen, want ja, bedrijven moeten zelf die zelftoets doen, maar danmoeten we natuurlijk wel zorgen dat wij onze plicht hebben gedaan doorte zorgen dat dat zo veel mogelijk bekend is. Er zijn brochures, flyers,Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3244 nieuwsbrieven, webinars, vakbladen en Q&A’s op alle websites ingezet.Daarmee hebben we geprobeerd om daar invulling aan te geven.Dan zijn we nog niet klaar. Een hoop van u refereerden er al aan; er zijnecht een hoop zaken die nog nader moeten uitgewerkt in ministeriëleregelingen of AMvB’s. Ik denk dat we ook daarmee op schema liggen. Hetis natuurlijk ook geen vreemde methodiek; we kennen het van wetten datje zaken erna uitwerkt in onderliggende en lagere regelgeving.We komen zo specifiek nog even te spreken over de leverantie-interventies en waar die dan mogelijk thuishoren; daar is ook eenamendement over ingediend. In de kern is dat denk ik wel hoe wettenuitvoerbaar blijven. Dat zeg ik ook in reactie op de vraag van de heer Vanden Berg of je een hoop van die zaken niet naar een hoger niveau vanwetgeving zou willen hebben. Nogmaals, tijd is niet de bepalende factorgeweest in het wel of niet opnemen van dingen in de wet. Dat is voorna-melijk het niveau waarvan wij vinden dat iets erop thuishoort, maar tentweede ook de veranderlijkheid van zaken.De zaken die het snelst veranderen, wil je niet in de wet zelf geregeldhebben; een aantal van u refereerden daar al aan. Je wil die juist in eenAMvB geregeld hebben, want je wil dat die wet in principe gewoon dekomende tien, vijftien jaar door kan. Als je je realiseert dat die technolo-gische veranderingen heel snel gaan – kwantum werd al genoemd – danwil je dus een wet hebben die het raamwerk creëert waarbinnen je ookdaarop kan anticiperen, maar wil je de ruimte houden om in een AMvB,zo’n ministeriële regeling, heel snel in te kunnen spelen op zaken die zichdaarbij voordoen. Dan kan ik me voorstellen – want dat kunnen heelrelevante ontwikkelingen zijn – dat de Kamer zegt: daar willen we dan welbij betrokken zijn, daar willen we ook wat van vinden. In die zin heeft eenaantal van u ook aandacht gevraagd voor de voorhang van AMvB’s ofwijzigingen die op deze wet of in ministeriële regelingen komen. Daar kanik mij alles bij voorstellen, dus dat zult u zo in de appreciatie ook van mijhoren. Ik denk dat dat het samenspel is tussen kabinet en parlement: omhier een weg in te vinden waarmee we wel die snelheid kunnen creërenwaar die nodig is, maar de zorgvuldigheid en de politieke toets kunnenbehouden waar die gewenst is en nodig is.Kan ik een schriftelijk overzicht geven van wanneer ik verwacht dat allehiervoor genoemde punten duidelijk zijn uitgewerkt? Ja, dat wil ik doen,want we weten welke stappen er gezet moeten worden. Aan sommige kanik een datum hangen en aan andere nog niet, want ik ben ook afhankelijkvan collega-Ministers. Maar dat is geen punt. Ik kan wat betreft een aantalpunten wel toelichten waar we op dit moment staan. Van de AMvB’s weetu inmiddels; die zijn er voor beide wetten. Bedrijven en organisatieskunnen zich op dit moment al registreren en kunnen ook al een meldingdoen. Ze hebben nu al een CSIRT en een toezichthouder. Daarmee kunnende bedrijven ook nu al aan de slag conform de wet, maar het behoeft nogwel nader beleidswerk aan de uitvoeringsafspraken. Daarmee proberenwe nou juist zo veel mogelijk aan te sluiten bij bestaande processen.Een ander punt dat velen van u terecht hebben aangekaart, is deregeldruk. Hoe houden we de regeldruk, zeker voor bedrijven, zo laagmogelijk? Dat is onder andere door aan te sluiten bij toezichthouders dieze al hebben, en niet bij een nieuwe toezichthouder, zodat de sectoren inieder geval al bekend zijn met de toezichthouder en vice versa. Dat doenwe bijvoorbeeld ook – ik kom zo nog terug op de gemeenten – door aan tesluiten bij nu al bestaande processen of nu al gestelde eisen, zoals deBIO-eisen, waar gemeenten nu al aan voldoen. Het is wat dat betreft eenbeetje zoeken. Het verschilt ook per sector hoever men is, wat men aanmiddelen heeft en wat de makkelijkste manier is voor sectoren, bedrijvenen overheidsorganisaties om te voldoen aan de plichten uit deze tweewetten. Dat is dan ook meteen de vaagheid die sommigen van u daar nogin lezen. Hoe ga je dat exact invullen? Liefst op een manier die zo veelmogelijk aansluit bij de behoeften van de sector, maar die er wel voorTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3245 zorgt dat de waarborgen uit de wet worden gehanteerd. Dat betekent datde zorgplicht nog niet in beton is gegoten. Als we die nu namelijk in betonzouden gieten voor elk bedrijf en elke organisatie, groot of klein, in welkebranche dan ook, dan lopen we het risico dat we dingen zwaarderoptuigen of onnodig bureaucratischer maken dan ze hoeven te zijn.Nogmaals, de beginselen zitten hierin, maar daarom hecht ik er ook aandat er vanuit de vakministers ministeriële regelingen komen voor hetdomein waarvoor zij verantwoordelijk zijn, omdat je dan ook kunt inzettenop die dingen doen waar het nodig is. Ik kom daar zo wat betreftonderwijs nog op terug, want dat is, denk ik, een heel aansprekendvoorbeeld van hoe je daar maatwerk moet kunnen leveren. Daar komt nogbij dat we uit regeldrukonderzoeken en het mkb-panel rondom deze wetteruggekregen hebben dat bedrijven zich vaak al bewust zijn van de roldie ze hebben en die ze ook moeten spelen onder deze wet. Wat datbetreft is cybersecurity de afgelopen tien jaar natuurlijk ook binnen deboardrooms en de directies van bedrijven een steeds belangrijkeronderwerp geworden. Deze wet komt dus niet uit het niets vallen.Dan is er de vraag of deze wetten begrijpelijk en proportioneel zijn, en inhoeverre er een nationale kop op zit. Het antwoord op het tweede is, heelkort gezegd, «nee». We implementeren hiermee de NIS2-richtlijn en weimplementeren hiermee de CER-richtlijn. Het enige wat wij doen, isgebruikmaken van sommige mogelijkheden die de wetten bieden om opnationaal niveau bepaalde sectoren bijvoorbeeld toch onder te brengenbinnen de reikwijdte van deze wet. Dit werd in uw inbreng «het keren enweren van water» genoemd. Keren en weren van water is in een hooplanden nice to have, maar ik denk dat het evident is dat het voorNederland nou juist absoluut een kritiek element voor onze veiligheid is. Ukunt zich voorstellen dat het verkrijgen van toegang in technische zin totonze Deltawerken enorme gevaren kan opleveren voor onze gezondheidhier en voor ons land in den brede. Dit is waarom we onder andere dieuitzondering hebben gemaakt.Over het onderwijs ligt er de vraag of het niet met name gaat omspecifieke kennisveiligheid binnen een deel van dat onderwijs. Moet jedan wel alles doen? Ik denk dat daar voor ons de vraag gestart is inhoeverre wij willen dat hogescholen hierbij komen te staan. Een aantaljaar geleden hebben we een hack gehad op een van onze hogescholen,met grote gevolgen destijds. Uiteindelijk is het de afweging geweest dathogescholen al op een behoorlijk niveau van voldoen aan de Cyberbeveili-gingswet zitten. Het wordt juist moeilijker om binnen die onderwijssectorte gaan separeren tussen welke opleidingen wel en welke niet, welkeinstellingen wel en welke niet. De Minister van OCW heeft er daarom voorgekozen, overigens in overleg met mij, om de volledige sector eronder telaten vallen. Zij krijgen wel meer tijd om hun eigen pad aan te brengen inhoe zij die zorg, die meldplicht, gaan inregelen.Hoe kom je tot een essentiële entiteit, een belangrijke entiteit of eenkritieke entiteit, vroeg mevrouw Kathmann. De Cyberbeveiligingswet kenttwee categorieën: de essentiële en de belangrijke. Zoals ik altijd eindigmet het kopje overige belangrijke vragen, is «belangrijk» de laagstecategorie, maar wel nog steeds een relevante categorie in het kader vandeze wet. In de bijlages bij de wet kun je specifiek zien welke sectorenvallen onder welke categorie. Binnen de Wet weerbaarheid kritiekeentiteiten heb je dus de kritieke entiteiten. Een kritieke entiteit is automa-tisch ook een essentiële entiteit, maar het omgekeerde is niet per se hetgeval. Er zijn dus essentiële entiteiten die geen kritieke entiteit zijn voorhet voortbestaan van de overheid, maar die vanuit cyberopzicht nogsteeds wel een essentiële entiteit zijn.De voorzitter:Mevrouw Zwinkels, heeft u een vraag?Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3246 Mevrouw Zwinkels (CDA):Volgens mij wilde u eventueel gemiste vragen per blokje doen. Toch,voorzitter? Maar kan een interruptie tussendoor wel?De voorzitter:Het is het handigst om alles, interrupties én vragen, aan het einde van hetblokje te doen.Mevrouw Zwinkels (CDA):Prima. Dan wacht ik nog even.De voorzitter:Dus we maken eerst het hele blokje af. Er zijn namelijk zó veel vragengesteld dat we hier anders vanavond nog zitten.Mevrouw Zwinkels (CDA):Ja, dat ben ik met u eens.Minister Van Weel:Dan de vraag over de AMvB’s en in het verlengde daarvan de voorhang.Ja, er is een uitgebreide internetconsultatie geweest via de websites,onder andere die van de NCTV. Burgers en bedrijven hebben ookgereageerd op de AMvB’s. We hebben die kritiek of suggesties ookmeegenomen. Ik had het net al even over hoe we daar in de toekomstmee omgaan, met AMvB’s en de rol van uw Kamer. Die internetconsul-tatie gaan we sowieso altijd doen. Dat spreekt voor zich. Dat geeftburgers, bedrijven en medeoverheden de gelegenheid om daarop tereageren. Mevrouw Kathmann heeft ook twee amendementen ingediendom een voorhangprocedure te regelen voor de uitwerking van dezorgplicht in de AMvB’s. Daar sta ik positief in, vooral omdat die zien optoekomstige wijzigingen. We hoeven nu het proces dus niet om te keren,maar we moeten daar voor de toekomst wel rekening mee houden. Dit isnog niet mijn appreciatie, hoor, maar ik loop er wel een beetje op vooruit.Ik zie de griffier al kijken, van: hoe moet ik hiermee omgaan? Ik geef alleeneen voorschot, dat mogelijk in de discussie kan helpen.Kan ik schetsen wat er van entiteiten wordt verwacht in het eerste jaarnadat de wetten zijn aangenomen, en welke deadlines daarbij gelden? Datwas een vraag van mevrouw Kathmann. Alle bedrijven en organisaties dieonder die wet vallen, moeten voldoen aan de zorgplicht. Dat is dus deverplichting om maatregelen te nemen om de risico’s voor de beveiligingvan netwerk- en informatiesystemen te beheersen. Daarnaast moeten zevoldoen aan de meldplicht. Nogmaals, de meldmogelijkheid is er nu al,maar de meldplicht wordt dan echt van kracht. Dat betekent dat je groteincidenten moet melden bij de aangewezen instanties. Daar vindt in zijngeheel toezicht op plaats. Dat is de kern van wat er gebeurt op hetmoment dat deze wet van toepassing wordt. Die geldt vanaf dan dus ookvoor alle organisaties.Hoe helpen we die organisaties – we kwamen zelf op een schatting van8.100 – om die weg te vinden? Weten ze dat dan wel? Wat kunnen we daarnog meer aan doen? Daar heeft de RDI een zelfevaluatietool voorgelanceerd. Gemeenten zijn aangewezen in de wet. Daarmee is het voorhen in ieder geval duidelijk dat zij hieronder zullen gaan vallen. Voor degemeenschappelijke regelingen zijn gemeenten door het Ministerie vanBinnenlandse Zaken gevraagd om een validatie te doen of zij onder deCbw vallen. Dat is gevraagd door middel van een brief. Bij vragen hebbenwe uiteraard nader contact met hen.Vanwege het grote aantal entiteiten, met name de private, is het nietmogelijk om vanuit het Rijk voor iedere entiteit te bepalen of die onder dewet gaat vallen. In plaats daarvan is er juist zo veel mogelijk aan gedaanom ze met campagnes, Q&A’s, websites en verwijzingen de juisteTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3247 informatiepositie te geven om die beoordeling zelf te kunnen doen.Vervolgens kunnen organisaties, als ze die evaluatietool hebbendoorlopen, zich gaan voorbereiden op wat dat betekent. Daarvoor hebbenwe stappenplannen aangeboden op de website van het NCSC, hetNationaal Cyber Security Centrum, en op de website van de NCTV. Er isgeen inschatting gemaakt van de kosten. Dat is ook in het kader van deregeldruk. Het zijn ingeschatte gemiddelden. Per entiteit kan datverschillen, bijvoorbeeld wanneer er juist tekortkomingen zijn in dedigitale weerbaarheid die moeten worden gerectificeerd, terwijl bedrijvendie eigenlijk al aan de hoge kant zitten wat betreft cyberbeveiligingwellicht juist geen kosten zullen hoeven maken. Het hangt er dus echt vanaf waar de organisatie staat.De heer Van den Berg vroeg of er afzonderlijk wordt gestemd over hetCyberbeveiligingsbesluit en, zo ja, wanneer. Het is een AMvB, dus in diezin kent die geen parlementaire behandeling. Maar we hebben wel – datheb ik ook toegezegd voor het vervolg – voor de zomer een conceptvoorgehangen, hier in de Kamer, om u daarin mee te nemen. In deverslagen over het wetsvoorstel hebben verschillende Tweede Kamer-fracties gereageerd op dat concept, ook van de AMvB. Die reacties hebbenwe meegenomen in de nota naar aanleiding van het verslag. In die zinhebben we dus wel degelijk een wisseling van gedachten kunnen hebben,zij het niet in formele zin.Waarom gaan we door na het negatieve advies van het Adviescollegetoetsing regeldruk? Dat is vanwege het bijzondere karakter van deze tweewetten. Dat heeft te maken met het feit dat je het niveau van je cybervei-ligheid landelijk niet op een hoger niveau kunt krijgen als je daarbij nietook verplichtingen oplegt aan bedrijven en organisaties om hier iets meete doen. Er werden al een aantal voorbeelden genoemd uit de actualiteit.Ik zal daar vanuit het kabinet niet per se een oordeel over hebben. Op ditmoment gaan organisaties en bedrijven vrij divers om met hun cyberbe-veiliging. Het is gewoon noodzakelijk, juist vanwege de essentie van deservices die ze bieden, voor ons als bevolking, zeg ik via de voorzittertegen mevrouw Kathmann, dat daar een bepaald basisniveau is, zodat wegeen incidenten hebben waarbij vitale processen in gevaar komen of weer achteraf achter komen dat er eigenlijk met de pet is gegooid naar decyberbeveiliging. Dat is wat deze wetten doen. Dat kun je nou eenmaalniet doen door dat op een bepaalde manier toch in regels te vatten.Dat brengt dus altijd iets van een last met zich mee, maar daar hebben wewel een aantal mitigerende maatregelen voor genomen. Ten eerste deproportionaliteit. Dat is echt een leidend principe geweest bij deze wetten.Daarom zijn ze ook risicogebaseerd. Iedere organisatie moet maatregelennemen die passend zijn voor de organisatie zelf. Daarom is het maatwerk.Daarom zeg je soms: waarom is dit niet tot achter de komma uitgewerkt?Dat heeft dus ook te maken met het proberen te verminderen van dieregeldruk. Zoals ik al eerder zei, komt in die regeldrukonderzoeken ooknaar voren dat een hoop bedrijven zich eigenlijk wel realiseren dat ze hierwat te doen hebben en een rol in te spelen hebben. Het is dus niet per sezo dat deze wet voor een heleboel bedrijven die zich er al bewust van zijn,heel veel meer met zich meebrengt, want die opereren eigenlijk al via datprincipe.Kunnen we bij de invoeringstoets kijken naar de daadwerkelijkeregeldruk? Dat is een vraag van de heer Van den Berg. De invoeringstoetsis echt bedoeld om grote knelpunten zo snel mogelijk op te kunnenlossen, om ervoor te zorgen dat de wet alsnog ingevoerd kan worden. Ikwil daar echter wel naar gaan kijken bij de evaluatie. Laat ik de koemeteen bij de hoorns vatten. Een aantal van u heeft het daarover gehaden vindt vijf jaar te lang. Het helpt ons dat we enigszins verlaat zijn met deinvoering van de wet, waardoor het punt waarop de Commissie met haareerste evaluatie komt al dichterbij komt. Dat is volgend jaar al. Ik wil kijkenof we spoedig na de evaluatie van de Commissie – laten we zeggen:Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3248 binnen twee jaar na invoering van de wet – een evaluatie kunnen doen.Daar nemen we dan ook de regeldruk in mee.Dat waren alweer zes vragen, denk ik, voorzitter.Waarom wordt de verantwoordelijkheid voor de uitvoering ook bij dedecentrale overheden neergelegd? De uitvoering van de Cyberbeveili-gingswet en de Wet weerbaarheid kritieke entiteiten wordt niet bijdecentrale overheden belegd. Er worden sectoren aangewezen die onderde wet vallen, en onder die sectoren vallen ook decentrale overheden. Hetis dus niet iets wat zij als een service doen. Het is niet een taak die wijoverhevelen van het Rijk naar gemeenten. Ik hoorde al iets over deknaken-en-takendiscussie. Nee, elke entiteit die wordt aangewezen onderdeze twee wetten, zal daar zelf maatregelen op moeten nemen. Dat betreftdus ook gemeenten. In die zin volgt het dus een andere systematiek. Westeunen de lokale overheden daar natuurlijk wel bij. Daar zijn voldoendemiddelen voor. We hebben dit overigens ook overlegd.Dat brengt mij bij de UDO, de Uitvoerbaarheidstoets DecentraleOverheden. Die is ook hier gedaan. Dat is overigens geen document meteen rapport en een stempel van de UDO-dienst. Nee, dat is een proces,waarin je samen met de lokale decentrale overheden bekijkt hoe we dewet daar op een zo goed mogelijke manier invoeren en tegen welkeknelpunten we aan lopen. Die zijn dus ook meegenomen in de memorievan toelichting bij het wetsvoorstel en in de wijze van implementatie. Daarvindt u de uitkomsten daarvan terug.De mkb-toets is een andere toets die vaak wordt gedaan. Er is eenvolwaardige mkb-toets uitgevoerd. Ik heb al gezegd dat regeldruk eenbelangrijk punt was voor de manier waarop we deze wet invoeren. Uit diemkb-toets bleek steun voor de risicogebaseerde aanpak, want dat isnatuurlijk wat het uiteindelijk behapbaarder maakt.Daarnaast is in de wet en in de omliggende besluiten verduidelijkt datbijvoorbeeld de risicobeoordeling onder beide wetten zo veel mogelijkdoor bedrijven kan worden gecombineerd. Ze hoeven dus niet twee keereen risicobeoordeling te doen, maar één middel volstaat voor deverplichting onder beide wetten. Ook dat is een poging om die regeldruknaar beneden te brengen.Dan nog meer over de samenhang tussen de fysieke en digitaleweerbaarheid. Mevrouw Zwinkels vroeg hierover: hoe gaan we datborgen? We behandelen tenslotte die wetten hier vandaag samen. Datheeft zijn reden. Ze zijn in samenhang door ons opgesteld. Dat geldt ookvoor de Europese richtlijnen waarvan ze afgeleid zijn. Om dat in depraktijk te borgen, werken we dus aan de inrichting van één meldpuntvoor beide wetten. Dat meldportaal zal door het Nationaal Cyber SecurityCentrum worden beheerd. Ik zei net al dat de risicobeoordeling van beidewetten door bedrijven die onder beide vallen ook gezamenlijk kan wordengedaan, waardoor die in ieder geval niet twee keer een risicobeoordelinghoeven op te stellen en alle dreigingen in één keer meegenomen kunnenworden.Dan nog even over die evaluatie. Mevrouw Kathmann en meneer Van denBerg vroegen: als we in die evaluatie zaken toch liever in de hogerewetgeving zouden willen hebben, staan we daar dan ook voor open? Ja,uiteraard. Ik denk dat de evaluatie dat ons ook moet geven. Nogmaals, ikvind niet dat we er ons hierbij met een jantje-van-leiden van af hebbengemaakt. Er zit echt een gedachte achter: wat staat er wel in die wet enwat zit er in lagere regelgeving? Als uit de evaluatie blijkt dat je dat beteranders kunt doen, zullen we dat te zijner tijd natuurlijk niet nalaten.Misschien moet ik het nog even hebben over decentrale overheden. Ookde provincies werden nog genoemd. Wat ons betreft is er nog geennoodzaak tot algemene compensatie van medeoverheden voor deimplementatie van deze wet, omdat in de praktijk een hoop van dieverplichtingen al van toepassing zijn op dat niveau. Ik noemde al de BIO,maar ik kan nu ook zeggen waar dat ook alweer voor staat. Dat is deTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3249 Baseline Informatiebeveiliging Overheid. Ook voor de meldplichtcriteria isaangesloten bij hetgeen zij al moesten doen. Die meldplicht gold namelijkal voor hen. We hebben daarin geen wijzigingen aangebracht in deze wet.Er zijn marginale extra verplichtingen voor decentrale overheden, zoals deregistratieplicht en de trainingsplicht voor bestuurders. Die werd ook aldoor enkelen aangehaald. Naar verwachting zijn de financiële gevolgenvoor de medeoverheden daarmee beperkt. BZK, Binnenlandse Zaken,bekijkt samen met de medeoverheden hoe ze kunnen worden onder-steund. Dat geldt natuurlijk met name voor de kleinere organisaties. Denkbijvoorbeeld aan gezamenlijk opleidingen volgen, waardoor gemeentendat niet allemaal afzonderlijk hoeven in te vullen.In dit blokje heb ik nog de antwoorden op twee vragen, voorzitter.Waarom is er een verschil in bewaartermijnen? Heb ik trouwens niet eenapart kopje AVG? Nee. Oké, dan behandel ik deze vraag nu. Waarom is hetverschil in bewaartermijn tussen die CSIRT’s, de Cyber Security IncidentResponse Teams, en de toezichthouders zo groot? Dat heeft te maken metde andere taakopvatting die ze hebben. Voor de CSIRT’s gaat het, op hetmoment dat zij een melding krijgen, om helpen bij het oplossen van hetprobleem dat er is, om andere organisaties te informeren en zo hopelijkverdere uitbreiding van de problemen te voorkomen, en om daarvoor decontacten te leggen die nodig zijn, bijvoorbeeld met andere partijen diezouden kunnen ondersteunen. Dat is allemaal gericht op het hier en nu.Dat is wat CSIRT’s doen en wat ze het leukste vinden. Die zitten niet inarchiefkasten te neuzelen naar het verleden. Dat moeten toezichthoudersnatuurlijk af en toe wel doen, omdat die uiteindelijk bestuurlijke dwang-middelen moeten kunnen inzetten. Je kunt je beroepsprocedures, boeteset cetera voorstellen. Denk aan de meest zware variant, waarin eenbestuurder persoonlijk aansprakelijk wordt gesteld. Dat kunnen zaken zijndie rustig een paar jaar voortduren. Daarom moet de toezichthouder welover ruimere middelen kunnen beschikken dan de korte bewaartermijn diewe wel graag voor die CSIRT’s willen hanteren.Dan weer een heel ander onderwerp. Kan ik er al iets over zeggen hoevaak de bestaande hulptools zijn gebruikt door bedrijven en entiteiten?We zien dat ze in toenemende mate worden gebruikt en dat die actievemediacampagne daar ook wel bij helpt. De eerste stap is checken ofbedrijven onder de Cyberbeveiligingswet gaan vallen. De zelfevaluatietoolwaarmee je dat kunt doen, is tot nu toe meer dan 205.000 keer geraad-pleegd. Dat is wel echt heel veel. Dat is een positieve stap. Steeds meerorganisaties gaan na die eerste stap ook naar de website van hetNationaal Cyber Security Centrum om de daar beschikbare middelen entools te gaan gebruiken. Ik denk dat dat een goede eerste stap is. Dequickscan tool waarmee organisaties inzicht krijgen in hoe de cyberbevei-liging van een organisatie ervoor staat, is 31.000 keer doorlopen. 6.100organisaties hebben de scan volledig ingevuld. Van oudsher draagt hetNationaal Cyber Security Centrum de hulptools, handleidingen eninfosheets actief uit via relatiebeheerders. Sinds vorig jaar zetten ze ookonlinewebinars op om de hulptools et cetera op grotere schaal toe telichten. Per webinar zien we dat er meer dan 1.500 organisatiesdeelnemen. Ook dat is dus echt aanzienlijk. De LinkedInpagina van hetNCSC – je telt niet mee als je die niet hebt – heeft inmiddels 70.000volgers. Die volgen dus ook de wekelijkse posts over de Cyberbeveili-gingswet. In die zin denk ik dat de outreach een geslaagd onderdeel isgeweest van deze wet en dat het met de bekendheid echt wel goed zit.Dat was mijn eerste blokje.De voorzitter:Als ik het goed heb, was dit het blokje reikwijdte. We gaan dus nog naarzorgplicht en toezicht; dat komt er allemaal nog aan. Dit was het blokjereikwijdte. Ik kijk even naar links om te zien of mensen vinden dat er nogvragen zijn blijven liggen.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3250 Mevrouw Zwinkels (CDA):Ik had eigenlijk één interruptie naar aanleiding van een antwoord. Ik benblij met de antwoorden ten aanzien van kleinere gemeenten. Dat is goedom te horen. Ook ten aanzien van de coördinatie werden er al wat puntenaangehaald. Maar ik maak me toch wel zorgen over de onderwijssector.Het antwoord was «de hele sector valt er gewoon onder», maar wehebben juist proportionaliteit hoog in het vaandel staan en we willen juistdat het risicogebaseerd is. Dat zie ik niet helemaal terugkomen als hetgaat om de reikwijdte voor het onderwijs. Ik wil dus toch graag aan deMinister vragen of hij ons er op de een of andere manier over gerust kanstellen dat er ook wordt getracht om proportionaliteit te borgen richtinghet onderwijs.Minister Van Weel:Zeker, maar wat betreft proportionaliteit lopen we ook juridisch tegen eenaantal begrenzingen aan. Daar zullen we nog over komen te spreken ineen ander format als het gaat over kennisveiligheid. Het is ontzettendmoeilijk om te bepalen welk deel van een onderwijssector nou onder eenander regime moet vallen dan het overige deel van een onderwijssector.Dat is juridisch moeilijk, dat ligt bij bonden moeilijk en dat is ook in deuitvoering niet altijd makkelijk, omdat je het ook kunt hebben over delenbinnen één onderwijsorganisatie. Daar zou je dan verschillende regimesop van toepassing moeten verklaren en dan vallen bestuurders deels welonder de Cyberbeveiligingswet en deels niet. Dat is dus echt heelcomplex. Daarom heeft de Minister van Onderwijs gezegd: we hebben alde organisatie van onze eigen CSIRT’s – «SURFcert» heet dat binnen deonderwijssector – die nu al de volledige sector bedient, dus laten we danook de volledige sector naar datzelfde niveau brengen. Ook dat is deelsproportionaliteit: ervoor zorgen dat je het niet complexer maakt voor desector door ze eronder te brengen, terwijl je vanuit de inhoud zou zeggendat het grootste risico natuurlijk ligt bij sommige delen van die sector. Datben ik helemaal met u eens.Mevrouw Zwinkels (CDA):Tot slot op dit punt. Dit antwoord stelt mij al iets meer gerust. De Ministergaf ook aan: we geven het onderwijs wat meer tijd; het tijdpad is watruimer. Kan er dan worden toegezegd dat op die manier samen met hetonderwijs, met SURF en andere partijen die al veel inspanningen hebbenverricht, kan worden gekeken wat prioriteit krijgt, wat we eerst doen enwat ook later kan?Minister Van Weel:Zeker. Dat zeg ik mede namens de Minister van Onderwijs. Ik wil, zeg ik inalgemene zin, namelijk zeker niet de algemeen verantwoordelijke wordenvoor alle sectoren. Ik was juist erg blij dat dat risico in ieder geval in dewet gespreid is. Zij zal dat dus doen. Zoals gezegd hebben ze 36 maandenom te voldoen aan de verplichtingen vanuit de wet. Die zullen wordenbenut om dat op een verantwoorde en proportionele manier te doen.De heer Van den Berg (JA21):Een vervolgvraag na mevrouw Zwinkels van het CDA. Wij hebben eenamendement in voorbereiding dat eigenlijk het volgende stelt. Je hebt dehele sector qua hoger onderwijs. De NIS2-richtlijn laat expliciet de ruimteom ervoor te kiezen om instellingen al dan niet onder de wet te brengen.We zouden, denk ik, een lid kunnen toevoegen dat zegt: «het hogeronderwijs en het wetenschappelijk onderzoek die kritieke onderzoeksacti-viteiten verrichten». Volgens mij is het best proportioneel om in teschatten of hogescholen het wel of niet doen en die instellingen zodoendewel of niet onder de wet te brengen. Kortom, doen we dat niet, dankrijgen we overbodige regeldruk. Hoe kijkt de Minister daarnaar?Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3251 Minister Van Weel:Ik schetste het net al even, meneer Van den Berg. U zegt namelijk: «deinstellingen die». Onder de woorden die u daarna kiest, gaat een helewereld schuil. Die zul je dan namelijk in wetgeving moeten definiëren; diezul je verder moeten uitwerken. Dan loop je tegen hele complexe zakenaan. Wanneer is iets nou kritisch, zeker waar het gaat om kennisover-dracht? Er zijn een aantal voorbeelden uit het verleden waarbij het wél totmogelijkheden heeft geleid – denk aan het weren van bepaalde studentenbij opleidingen tot kernfysicus – maar in bredere zin is het voor iets alsinformatica of lucht- en ruimtevaart ontzettend moeilijk om te doen. Jeloopt namelijk al heel snel aan tegen ofwel discriminatie ofwel selectiviteitofwel de inhoudelijke afweging om onderscheid te maken tusseninstellingen, vandaar dat ik zeg: die weg leek ook de Minister vanOnderwijs niet begaanbaar voor dit doeleinde. Bovendien vallen ze albinnen één cyberbeveiligingsregime. Je zou dus ook meer druk creërendoor het weer op te knippen, vandaar de keuze om het toch in zijn geheelte doen.De heer Van den Berg (JA21):Dan zou het in de praktijk dus zo zijn – dat zeg ik niet alleen omdat ik zelfchristen ben – dat de hogeschool voor theologie ook onder deze wet zouvallen. Ik durf met zekerheid te stellen dat die geen kritieke onderzoeksac-tiviteiten verricht in het kader van deze wet. Ik hoor dat het een stukmoeilijker zou zijn. Is de Minister het desondanks met me eens dat deuitkomst is dat hogescholen die hier niks mee te maken hebben, tochmoeten rapporteren, met de bijkomende lastendruk?Minister Van Weel:Eén. Het kan een faculteit theologie zijn binnen een universiteit die welinteressante vakgebieden heeft. Die hebben dan één ICT-systeem. Er zijnzelfs meerdere hogescholen die gezamenlijk één IT-organisatie hebben.Daar ga je dan dus alweer in knippen. Bovendien is de gevoeligeinformatie niet alleen de inhoudelijke informatie. Die moet je beschermen.Soms kun je het op inhoud ook wat verder aanscherpen. Maar het gaathier ook om de algemene cybersecurity. Ook de persoonsgegevens vanstudenten zijn al interessante informatie voor criminelen. Dat hebben wemet de Odidohack gezien. Ik noem ook het überhaupt op zwart kunnenzetten van een systeem. Theologiestudenten willen op een gegevenmoment afstuderen. Dan moet er wel een systeem beschikbaar zijn. Iksnap de kennisveiligheidsroute, maar ik denk dat het in praktische zin tochmakkelijker is om de sector als geheel aan te wijzen.De voorzitter:Ik kijk even naar de Minister. Daarnet werden de bewaartermijnen al evenaangeraakt. Was dit ook het blokje over de bewaartermijnen?Minister Van Weel:Ik heb best een goed geheugen, maar ... Ik heb ze alle 233 gelezen, maar ikweet niet ... Die vragen komen bij het blokje overig, hoor ik van mijnondersteuning. Gelukkig heb ik een extern geheugen!De voorzitter:O, het kwam heel even voorbij, maar dan wacht ik daarop. Dan is hetwoord weer aan de Minister voor het volgende blok. O, de heer Van denBerg heeft nog een vraag.De heer Van den Berg (JA21):Het waren inderdaad een hoop vragen, dus ook ik moest het overzichtweer even zoeken. Als ik het goed hoorde, gaf de Minister dus eigenlijkaan dat er inderdaad de facto twee jaar na invoering van de wet eenTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3252 eerste evaluatie komt. Hoe zit het dan met een terugkerende evaluatie? Bijde Wet weerbaarheid kritieke entiteiten is zo’n evaluatie helemaal nietvoorzien en bij de Cyberbeveiligingswet staat die, als ik het goed zeg, opdrie jaar doorlopend. Of is het vijf jaar? Nu begin ik zelf ook te twijfelen.Maar hoe kijkt de Minister ernaar dat die evaluatie bij de Wetweerbaarheid kritieke entiteiten in zijn geheel ontbreekt?Minister Van Weel:Je hoeft niet alle wetten continu te evalueren. Wat mij betreft is het geenuitgangspunt dat je continu evaluaties hebt. Dat is natuurlijk wel vanbelang als je iets invoert, want dan wil je gewoon op enige termijn kunnenconstateren of de wet haar werk heeft gedaan, wat ermee gebeurd is,hoeveel keer er boetes zijn uitgedeeld en of dat heeft geleid tot eenveranderend beeld. Ik denk dat de cyberwereld wat dat betreft dusdanigfluïde is dat die driejaarlijkse terugkerende evaluatie, dus na 36 maanden,heel nuttig kan zijn. Ik zie dat nut op voorhand niet per se bij de Wwke. Alsje dit systeem hebt ingeregeld, is het verder in principe een redelijk stabielbeeld, want we weten wat die kritieke entiteiten zijn. Ik denk dat dat hetonderscheid is tussen die twee werelden. Dat wil niet zeggen dat er verderniks gebeurt wat betreft de aanscherping van beleid.De heer Van den Berg (JA21):Exact. Dat ben ik met de Minister eens. Maar we hebben hier te makenhebben met een best wel verregaande samenhang tussen de Cyberbevei-ligingswet en de Wet weerbaarheid kritieke entiteiten. Het werd net algenoemd: als je een kritieke entiteit bent, dan ben je tegelijkertijd ook eenessentiële instelling in het kader van de Cbw. Als er dus nuttige punten,punten van verbetering, uit die evaluaties komen, ziet de Minister dan eenandere manier om die ook in de Wet weerbaarheid kritieke entiteiten meete nemen, zodat dat wel synchroon blijft? Kan hij dat toezeggen?Minister Van Weel:Ja, dat lijkt me werkbaar. Dan zou je bekijken wat de implicaties zijn vanhet meenemen van de uitkomsten van de evaluatie van de Cyberbeveili-gingswet, die je elke drie jaar doet, op de Wwke. Dat is een lightvorm vanevalueren, maar dan blijven die twee inderdaad wel gelijklopen. Watbetreft de leveranciersclausule – ik bedenk maar wat, hoor – zou jebijvoorbeeld niet willen dat dat uit elkaar gaat lopen.De heer Van den Berg (JA21):Ik ga het overwegen. Dank u wel.De voorzitter:De Minister kan verder met het volgende blok.Minister Van Weel:Dat blok gaat over de meld- en zorgplicht. Een waren een hoop vragenover of we kunnen komen tot één meldloket. Ik lichtte net al een tipje vande sluier op: ja, dat gaan we op een lastenluwe manier inrichten; we gaandat bundelen in één meldpunt. Dat meldpunt komt bij het Nationaal CyberSecurity Centrum. Zowel voor de Cyberbeveiligingswet-meldingen alsvoor de Wwke-meldingen komt er dus één loket. Daarnaast kan ditmeldpunt ook worden gebruikt voor meldingen op basis van de DigitalOperational Resilience Act voor de financiële sector, en de netcode voorde elektriciteitssector. In die zin vangen we dus nog twee andererichtlijnen en verordeningen onder dat ene meldpunt. We gaan ook kijkenof het haalbaar en uitvoerbaar is om voor andere cybermeldingen eennationaal meldloket in te richten, voor meerdere wetgevende kaders. Datgebeurt dus buiten de Cyberbeveiligingswet om. Dat onderzoek loopt nog.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3253 Hoe worden bestuurders geïnformeerd over alle stappen die zij moetennemen? Bestuurders en CISO’s zijn in de communicatie die ik net alnoemde de belangrijkste doelgroepen die wij proberen te bereiken. Diecommunicatie loopt ook actief. Ik heb net een aantal van de middelendaarvoor toegelicht, waaronder de webinars. Ze worden niet alleengeïnformeerd, maar ook ondersteund bij het nemen van de nodigestappen voor de meldplicht, de zorgplicht en de registratieplicht. Bij deWwke werkt het nog wat directer. Daar worden de bestuurders gewoondirect benaderd door de verschillende vakdepartementen en dus vanuit deoverheid.De heer Van den Berg vroeg: hoe kun je rechtsongelijkheid voorkomentussen sectoren bij de verschillende interpretaties van die zorgplicht? DeCyberbeveiligingswet en de Wwke maken het mogelijk om via ministeriëleregelingen sectorspecifieke regels te maken voor de invulling van dezorgplichtmaatregelen. De vakministers hebben hier ook gebruik vangemaakt. Een groot deel van deze ministeriële regelingen zijn innovember van het afgelopen jaar in consultatie gegaan. Het is uiteindelijkaan de toezichthouder om te beoordelen of de entiteit voldoende invullingheeft gegeven aan de zorgplichtmaatregelen. Die zal daarbij ook risicoge-baseerd te werk gaan om rechtsongelijkheid te voorkomen.Waarom mogen entiteiten zelf inschatten wat proportioneel en effectief is?Waarom zijn er geen heldere normen? Dit borduurt daar een beetje opvoort. Dat gebeurt, weer, om die regeldruk zo veel mogelijk te vermijden.Dat hangt echt af van de risicoanalyse die ze zelf moeten gaan maken. Datzal uiteindelijk de basis zijn voor de maatregelen die je dan neemt. Datverschilt echt per entiteit. Door die ruimte te laten, doen we ook recht aande sectorale verschillen die er zijn. We hadden het net al over deonderwijssector en over hoe je binnen één sector al verschillen kuntcreëren. Bij die beoordeling kunnen ze gebruikmaken van bestaandenormenkaders, zoals de ISO 27001 en verschillende hulpmiddelen vanuitde Rijksoverheid.In dat verlengde stelde de heer Van den Berg ook vragen over termen als«kan» en «kunnen». Dat vloeit precies voort uit het feit dat we entiteitende ruimte willen geven om op hun eigen manier invulling te geven aandie zorgplicht. De maatregelen en de evenredigheid daarvan kunnen perentiteit verschillen, vandaar de open normen. Maar de kaders zijn welhetzelfde, namelijk de ISO-norm en datgene wat wij bieden vanuit deRijksoverheid.Hoe verhoudt de open norm van de zorgplicht zich tot hele hogebestuurlijke boetes? Laten we eerlijk zijn: die hoge boetes zijn eeneindstation en geen beginstation. Elke boete die uiteindelijk zal wordenopgelegd, zal afgestemd worden op de ernst van de overtreding en demate waarin die verwijtbaar is aan de entiteit. U kunt zich voorstellen datalle rechtsbeginselen die gelden in ons algemeen bestuursrecht ook vantoepassing zijn op deze wet. Dat zal echt betekenen dat niet altijd demaximale boete wordt opgelegd. Een boete zal altijd proportioneelmoeten zijn en toetsbaar aan de normen die zijn neergelegd, in hetbijzonder aan de ministeriële regelingen die uiteindelijk per sector komen.Er zijn ook heel veel best practices voorhanden, ook van het NCSC,waardoor entiteiten ongeveer weten wat er voor hen van toepassing is,wat ze mogen verwachten.Ik weet niet of de dubbele beboeting nog terugkomt, maar dat kanüberhaupt niet in het Nederlandse stelsel. Volgens de Algemene wetbestuursrecht kun je niet twee boetes opleggen voor hetzelfde delict, dusdat kan ook in dit geval niet voorkomen, zelfs al zouden verschillendetoezichthouders daar op onverklaarbare wijze toe komen.Hoe zit het met de verschillende toezichthouders en de mogelijke overlapdaartussen? Gezegd is al dat we zo veel mogelijk aansluiten bij detoezichthouders die de organisaties en de entiteiten al kennen, juist omdatwe dan niet weer een extra laag creëren en niet weer een extra rechts-Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3254 persoon waarmee entiteiten zaken moeten doen. Die toezichthoudersmoeten elkaar vinden. Dat is essentieel en dat hoor ik ook terug in devragen. Als dat niet goed gaat, krijg je dus wel overlap. In de praktijk vindtde samenwerking nu al plaats in het Samenwerkend Toezicht DigitaleWeerbaarheid en het Directeurenoverleg Toezicht Digitale Weerbaarheid.Ze werken inderdaad aan toezichtprotocollen om dat voor iedereenduidelijk en transparant te maken en om toezichtlasten te voorkomen. Devraag was of we daarover kunnen communiceren als dat uiteindelijk totwasdom is gekomen. Dat zullen we gaan doen.Wat nou als grote organisaties uit meerdere entiteiten bestaan? Wanneeris groepsregistratiefunctionaliteit operationeel? Grote organisaties die uitmeerdere entiteiten bestaan kunnen zich straks als groep registreren endan kan ervoor gekozen worden om alle meldingen door één contact-persoon of één individu te laten verrichten namens de gehele groep. Diefunctionaliteit zal met ingang van 1 april operationeel worden, dus vanafdat moment hebben we ook de groepsregistratie.Hoe voorkom je dat je je op meerdere plekken moet registreren of dat ertegenstrijdig wordt geregistreerd? Dat was ook een vraag van de heer Vanden Berg met betrekking tot de beide wetten. Er is slechts één meld- enregistratieportaal waar alle bevoegde autoriteiten en de CSIRT’s toegangtoe krijgen voor zover dat relevant is voor hun werkzaamheden. Er zullendaarom geen meerdere of tegenstrijdige registraties zijn. Als eenorganisatie zich met haar unieke KvK-nummer registreert, dan kan dezeniet nog een keer worden geregistreerd in hetzelfde systeem. Ook daarkan dus geen dubbeling in komen. De beschikbare informatie wordt doormiddel van eHerkenning bij de Kamer van Koophandel opgehaald. Bijoverheden worden de gegevens daarvoor uit het Register van Overheids-organisaties gehaald.Voor de Wwke geldt geen registratieplicht, want die entiteiten wordenaangewezen door de overheid. Mochten organisaties door meerderedepartementen worden aangewezen, dan zal dit onderling moetenworden afgestemd. Bij het doen van een melding kan een organisatieaanvinken onder welke wet zij deze melden doet. Daarbij kunnen beidewetten worden aangevinkt. Dat geldt dus voor de meldplicht.Hoe voorkomt een kabinet dat bestuurders in de problemen komen,omdat ze een meldtermijn hebben gemist. Dat was een vraag vanmevrouw Martens. De meldplichttermijn moet natuurlijk gehaald worden.Daar zal de toezichthouder primair op toezien. Die zal de rechtspersoondaar ook op aanspreken. Ik durf het wel aan om te zeggen dat hetschorsen van bestuurders vanwege het eerste missen van de meldplichtniet snel de eerste stap zal zijn die een toezichthouder daarin neemt. Dat isook niet de manier waarop toezichthouders omgaan met bestuurders. Danis er wel wat meer aan de hand. Laat ik het zo zeggen.Over moeder- en dochterondernemingen heb ik het al gehad. Dat gaatover de groepsmelding.Ik denk dat ik daarmee aan het einde ben van de meld- en zorgplicht. Hetvolgende blokje is het blokje toezicht.De voorzitter:Dit was het blokje meld- en zorgplicht. Hierna volgt toezicht. Ik kijk evennaar links. Zijn er nog Kamerleden die vragen hebben gemist? Ja, in iedergeval mevrouw Faber. Daarna mevrouw Zwinkels en de heer Van denBerg. Mevrouw Faber.Mevrouw Faber (PVV):Even ter verduidelijking: viel hier ook toezicht onder? Of komt dat noglater? O, dat komt nu. Dan houd ik nog even mijn mond.Mevrouw Zwinkels (CDA):Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3255 Ik was net als mevrouw Faber even in de war, want het ging al veel overtoezicht. Ik ga mijn vraag toch stellen, want de Minister ging daar al op in.Mijn vraag gaat over het kunnen opleggen van twee boetes voor hetzelfdedelict. Ik vroeg net vooral naar de overlap: meer toezichthouders kunnenzich geroepen voelen om een bedrijf of een andere organisatie tot de ordete roepen. Is straks ook vastgelegd welke toezichthouder voorrang krijgt?Ik ben daar toch wel benieuwd naar. Welke van de twee gaat dandaadwerkelijk een procedure starten, zodat zaken niet dubbel wordengedaan of naast elkaar lopen, nog los van wat uiteindelijk het oordeel zalzijn? Wat is het antwoord van de Minister daarop?De voorzitter:Ik kijk ook even naar de Minister. Valt dat misschien toch onder toezicht?Minister Van Weel:Ik heb het zelf een beetje uitgelokt door de toezichthouders al te noemenbij de meld- en zorgplicht. Op de eerste vraag: twee boetes voor hetzelfdekan niet. Twee toezichthouders voor één organisatie kan wel. Sommigeorganisaties vallen ook zonder deze wet al onder meerdere toezicht-houders.Bij de Cbw en de Wwke moeten de toezichthouders samenwerkingsaf-spraken gaan maken. Daarin moeten dit soort zaken en protocollen noujuist naar voren komen: als een overtreding van een van beide wettenwordt geconstateerd, welke toezichthouder handhaaft dan bij wat voorovertreding? Die samenwerkingsafspraken is men in het directeuren-overleg aan het uitwerken en wil men voor de invoering van de wetgereed hebben. Ik zei al dat ik daarover met uw Kamer wil communicerenals die er zijn, maar in principe moeten die aan de organisaties helderheidgaan geven.De voorzitter:Dan de heer Van den Berg. O, sorry, meneer Van den Berg. MevrouwZwinkels.Mevrouw Zwinkels (CDA):Heel kort, voorzitter. Ik ben blij met die toezegging. Ik verwacht dat die alin april of iets dergelijks onze kant op kunnen komen, want net verwees deMinister naar 1 april. Ik heb ook gevraagd welke rol de RijksinspectieDigitale Infrastructuur nog eventueel kan spelen om die centrale regie watmeer op te pakken. Daar ben ik ook benieuwd naar.Minister Van Weel:Dat laatste doet ze. De datum van 1 april was gerelateerd aan demogelijkheid om zich als groep te registreren als entiteit. Ik wil die 1 aprildus niet per se ophangen aan de samenwerkingsafspraken. Of heb ik dateerder wel gezegd? Nee, toch? Ik kijk even naar rechts. Nee. Maar dieafspraken komen wel voor de invoering van de wet.De voorzitter:De Minister zegt toe: voor de invoering van de wet. De heer Van den Berg.De heer Van den Berg (JA21):Wederom volgend op mevrouw Zwinkels: het is goed dat er onderlingwordt gecoördineerd. Als ik het goed begrijp, is die onderlingeafstemming echter niet geborgd in de wet en volgens mij wordt van deonderlinge afspraken die gemaakt zullen worden, ook geen meldinggedaan in de Staatscourant. Ik zou de Minister willen vragen hoe hijdaarnaar kijkt. Is het niet beter om die afspraken te borgen door die in deStaatscourant openbaar en transparant te maken? Hij onderkent zelf datdie belangrijk zijn.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3256 Minister Van Weel:Ik vrees dat dit niet met een schaartje te knippen is. Je zult moeilijk opwetsniveau kunnen vastleggen welke toezichthouder het voortouw heeftbij de implementatie van deze wetten. Bij vastleggen in de wet zou je dusniet verder komen dan het listen van alle toezichthouders die hierbijbetrokken zijn, en dat heeft dan weer weinig toegevoegde waarde. Hetging immers juist om het creëren van helderheid: wie is in the lead? Ikdenk dat die samenwerkingsafspraken ons in ieder geval gaan helpen ommeer helderheid te geven aan de kritieke entiteiten, maar ik denk niet datje ’m kunt aanwijzen in de wet zelf, juist vanwege de diversiteit van hetlandschap.De heer Van den Berg (JA21):Oké, dank. Als laatste nog over de zorgplicht. Ik hoor de Minister zeggendat ze één melding kunnen doen bij het punt en dat niet gelijk een boetezal worden opgelegd. Uiteindelijk zouden ze met één toezichthouder temaken hebben. Is de Minister het desondanks met mij eens dat heel veelbedrijven de kaders, de criteria van de zorgplicht, toch onduidelijk vindenen daar zorgen over hebben? Zij begrijpen niet goed wanneer ze daar nuwel aan hebben voldaan en wanneer niet. Kan de Minister daaropreflecteren? Hoe kan dat nu alsnog duidelijker gemaakt worden?Minister Van Weel:Dat is het werk dat nu moet gebeuren op basis van de Cyberbeveili-gingswet zelf, en datgene wat er al aan handelingskader online staat bij deNCTV en het NCSC. Het self-assessment dat bedrijven kunnen doen, geeftveel inzicht in wat die zorgplicht zou behelzen. Uiteindelijk komen daar deministeriële regelingen overheen, die per sector door de vakministerszullen worden uitgegeven. Die zullen nadere richtlijnen voor de specifiekesectoren bevatten, die ook houvast geven aan de bedrijven. Uiteindelijkzullen de toezichthouders in overleg met bedrijven uit de sectoren komenmet nieuwe casussen die zij tegenkomen. Een aantal casussen zullen zij indie samenwerkingsafspraken al naar voren brengen. Dat netwerk bouwtzich langzaam op. We hebben er juist voor gekozen om dat niet vanaf hetbegin vanuit de ivoren toren in Den Haag te doen, maar dat over te latenaan de bedrijven en de sectoren, die meer kennis hebben over wat erspecifiek nodig is in het kader van die zorgplicht.Nogmaals, wat betreft de samenwerkingsafspraken kan ik 1 april nogsteeds niet toezeggen, maar ik kan wel toezeggen dat deze zullen wordengepubliceerd in de Staatscourant om die helderheid te creëren. Dat gaatook over de betrouwbaarheid: wat u van toezichthouders kunt verwachtenen wat een toezichthouder van u verwacht.De voorzitter:Dan heb ik nog een vraag over die loketfunctie. Ik ben heel blij met detoezegging dat dat loket er komt. Alleen sprak de Minister toch nog overeen ander loket voor twee andere richtlijnen. Onder het loket voor dezetwee wetten worden ook nog andere dingen geschaard. Dat gaat dus oméén loket. Maar daarnaast komt er toch nóg een loket. O, toch niet; ik ziede Minister nee schudden. De vraag is: komen er nu twee loketten of gaathet zo veel mogelijk naar één loket?Minister Van Weel:Het gaat zo veel mogelijk naar één loket. Daarbij komen ook de tweeandere richtlijnen die op andere sectoren van toepassing zijn samen.Eigenlijk krijg je een soort one-size-fits-all. De makkelijkheid voorbedrijven en entiteiten is dat ze één nummer bellen en naar één puntgaan. Dan is het aan ons om dat verder te geleiden.De voorzitter:Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3257 Ik ben blij met deze beantwoording. Volgens mij kunnen we dan door naarhet blokje toezicht.Minister Van Weel:Ja, daar zaten we al volop in. Ik zal even kijken welke vragen nog niet zijnbeantwoord.De samenwerkingsprotocollen komen eraan; dat is helder.Ik heb ook uitgelegd waarom het niet mogelijk is om al op wetsniveauspecifiek één toezichthouder aan te wijzen. Dat zou echt uit de samen-werking tussen de bestaande toezichthouders moeten blijken.Een vraag van mevrouw El Boujdaini: hoe verhoudt de stelselverantwoor-delijkheid van de Minister zich tot het directeurenoverleg? Het directeu-renoverleg is een van de onderdelen van het stelsel en is specifiek gerichtop het toezicht. Het bestaat daarmee naast de andere onderdelen van hetstelsel, zoals de samenwerking tussen CSIRT’s onderling en de publiek-private informatie-uitwisseling. In het kader daarvan is er regelmatigcontact over de afstemming tussen de toezichthouders en de NCTV. Dierapporteren dan weer aan mij als Minister. Zo zitten we samen in hetspeelveld.Worden die samenwerkingsafspraken uiteindelijk in alle sectorengemaakt? Ja, uiteindelijk dekken die alle sectoren af.Worden organisaties ook nog geconsulteerd bij de afspraken die erworden gemaakt? In principe is het nu strikt een samenwerkingsafspraaktussen de toezichthouders zelf. Die kennen hun sectoren natuurlijk welheel goed. In die zin denk ik dat de belangen van organisaties wel zullenworden meegenomen in diverse vraagstukken, maar zij zitten daar nietaan tafel om hun eigen toezicht in te regelen. Uiteindelijk horen detoezichthouders wel wat er speelt in een organisatie. Ik ga ervan uit dat zijdat ook meenemen.Is het helder wie het eerste aanspreekpunt is bij toezicht, handhaving enincidentenafhandeling? Ja, er zit een doorverwijsboom bij de Cyberbevei-ligingswet. Die staat op de website van de NCTV. Daarnaast gaan desamenwerkingsafspraken daar natuurlijk nog meer helderheid in creëren,met name voor bedrijven die tussen verschillende toezichthoudersopereren.Er werd gevraagd hoe ik aankijk tegen boetes en de methodes van anderelanden. Ik denk dat die niet afwijken van de praktijk die we in Nederlandzullen zien. Ook hier zul je niet in één keer de maximale boete krijgen. Datis niet het enige sanctiemiddel. Ook hier zullen toezichthouders beginnenmet waarschuwingen en pas bij herhaaldelijk overtreden overgaan totsancties. Dat is normaal in onze rechtsgang in dit land.Ik heb het gehad over dubbele beboetingen. Dat betreft overigensartikel 5:43 van de Algemene wet bestuursrecht.Zien de structurele middelen in de memorie van toelichting ook op deextra capaciteit bij uitvoeringsdiensten zoals de ILT en de NVWA? Ja. Dedoor de vakdepartementen geraamde structurele middelen geven eenintegraal financieel beeld. Dat is dus inclusief de toezichtslasten. Dat isindirect ook een antwoord op de vraag van mevrouw Kathmann oftoezichthouders hiervoor worden uitgerust. De Cyberbeveiligingswet zietop een significante uitbreiding van de taken en de scope van dedoelgroep. Dat betekent dus ook dat die ziet op toezichtveranderingen metfinanciële gevolgen. De capaciteit voor het toezicht moet groeien vanwegede toename van het aantal entiteiten. Daarmee is rekening gehouden indeze wet.Worden boetes dan ook proportioneel gezien ten opzichte van schaal,draagkracht en omzet van een entiteit? Omzet, schaal en draagkracht zijnrelevante aspecten bij het bepalen van de hoogte van een boete.Toezichthouders zijn altijd gehouden aan de Algemene wet bestuursrechten aan de algemene beginselen van behoorlijk bestuur. Een boete wordtdus altijd afgestemd op de ernst van de overtreding en de mate waarinTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3258 die een entiteit te verwijten is. Dat geldt ook voor het proportionaliteitsbe-ginsel. Dat betekent dus dat de nadelige gevolgen van een boete voor eenentiteit, een bedrijf, niet onevenredig mogen zijn in verhouding tot de methet besluit te dienen doelen. Dat ondervangt dus in algemene zin hetrisico dat werd genoemd dat een bedrijf een boete als fooi beschouwtversus dat zo’n boete voor een bedrijf bijna desastreus zou zijn. Dat wordtondervangen met dit proportionaliteitsbeginsel. Meestal hebbentoezichthoudende instanties in hun boetebeleid ook een omschrijving vanhoe ze de omvang van de organisatie meewegen in de hoogte van deboetes. Draagkracht telt daarin mee.Toezicht op de kerncentrale. Wie houdt het toezicht op een incident bij eenkerncentrale: de Minister of de ANVS? Dat was een vraag van mevrouwFaber. De ANVS houdt toezicht op de kerncentrale voor de stralingsbe-scherming en de nucleaire veiligheid. Daarvoor is al uitgebreide sectoralewetgeving. De RDI is de instantie die toezicht houdt vanuit het perspectiefvan de leveringszekerheid van elektriciteit. Een kerncentrale kent dusalweer verschillende entiteiten. Uiteindelijk is de afweging om daar alsDefensie ook nog bescherming aan te leveren. Die hangt dan weer vastaan de nationale dreiging die er wordt gezien jegens een bepaald object.Die wordt door sommige landen ook anders gewogen dan door andere.De voorzitter:Bent u klaar met het blokje?Minister Van Weel:Ik heb er nog twee.De voorzitter:Oké, nog twee. Dan kom ik daarna gelijk bij u, mevrouw Faber.Minister Van Weel:Hoe borgen we dat het toezicht en de ondersteuning niet achterblijven bijde enorme uitbreiding van de doelgroep? Dat is dus meegenomen in desamenwerkingsafspraken, de memorie van toelichting en de intensive-ringsgelden die daarvoor zijn genoemd.Dat was al de laatste vraag. De kosten van toezicht zijn daarmee dusgedekt, via de vakdepartementen.De voorzitter:Dat brengt ons meteen bij mevrouw Faber.Mevrouw Faber (PVV):Even over de kerncentrale. Er moest toen een zbo worden opgetuigdomdat men zelfstandig moest kunnen beslissen inzake de veiligheid, maarer zijn natuurlijk ook andere belangen. De Minister gaf al aan dat eenandere organisatie gaat over het leveren van elektriciteit, maar dan isnatuurlijk wel de vraag wat dan voorgaat. Gaat de veiligheid voor of gaatvoor dat men elektriciteit moet kunnen leveren? Ik denk namelijk dat datop zich een essentiële vraag is. Het kan namelijk best zo zijn dat eenkerncentrale onder druk staat en eigenlijk stilgelegd moet worden, maardat het gevaarlijk kan zijn omdat men zegt: je moet leveren. Wat is dan dedoorslaggevende factor in dezen?Minister Van Weel:Dat vind ik een interessante vraag. Daar heb ik oprecht het antwoord nietop. Ik weet ook niet of ik dat voor de tweede termijn heb. Ik wil dat in iedergeval meegeven aan een van de toezichthouders als een van de casussen.Ik kom daar dan op een later moment schriftelijk op terug.Mevrouw Faber (PVV):Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3259 Ik had nog een andere vraag. Die ging ook over meerdere toezicht-houders, ook als er bijvoorbeeld een zbo is. De Minister heeft namelijkaangegeven dat er niet financieel ondersteund wordt. De Minister heeft erniet voor gekozen dat kritieke entiteiten financieel ondersteund worden.Maar stel dat er twee vakministers zijn voor één entiteit en men dat uit deeigen begroting moet doen. Dan is er de kans dat ze de zaak naar elkaartoe schuiven om niet hun eigen begroting te belasten. En dan? Ik bedoel:is dat afgevangen?Minister Van Weel:Ja, ik vrees het wel. De afvanger zit hier voor u, want uiteindelijk ben ik decoördinerende Minister voor het hele stelsel. Ik zal dan de beide vakmi-nisters bij elkaar moeten brengen en zorgen dat daar een oplossing voorkomt.Mevrouw Faber (PVV):Dan de laatste vraag, voorzitter. Het is zo dat 80% van de entiteitencommerciële instellingen zijn. Daar heeft ook het Rijk toezicht op. Maaralles wat met de overheid te maken heeft, valt onder Binnenlandse Zaken.Daar is de Minister van Binnenlandse Zaken toezichthouder op. Maar dancontroleert de overheid de overheid. Hoe gaat u dat dan scheiden, vraagik via de voorzitter.Minister Van Weel:We kennen natuurlijk binnen de overheid meerdere toezichthouders, dieweliswaar onder ministeriële verantwoordelijkheid vallen – bijna allemaalin ieder geval – maar zonder dat dit de onafhankelijkheid van hunbevindingen in de weg staat. De overheid kan de overheid controleren –denk bijvoorbeeld aan de AP – zonder dat dit compleet los hoeft te staanvan de overheid.Mevrouw Faber (PVV):Ik denk dat de Minister dit wel met de goede intenties vertelt, maar ik vindhet toch een beetje vreemd. We hebben natuurlijk wel meer organisatiesop afstand gezet van de overheid. Is dat dan bijvoorbeeld een zbo die datdoet? Welke constructie is er dan?Minister Van Weel:De RDI is een onafhankelijke instantie. De RDI valt weliswaar binnen deoverheid, maar is wel een onafhankelijke instantie. Wat betreft de vraag ofde RDI een zbo is, kijk ik of ik het antwoord daarop voor de tweede termijnvoor u kan achterhalen. De RDI staat in ieder geval op afstand en heeft dieonafhankelijkheid.De heer Van den Berg (JA21):Is het niet een beter idee om wettelijk te regelen dat het onafhankelijktoezicht op de overheidsinstanties op die manier wordt geborgd? Juistomdat we het hier hebben over kritieke entiteiten zijn juist de mensen dietoezicht houden op deze entiteiten in principe kwetsbaar voor statelijkeactoren, die deze mensen wel heel interessant zouden kunnen vinden. Zouhet om de wet te versterken niet juist goed zijn om die aspecten wettelijkte borgen, zodat we nooit een samenloop hebben van belangen entoezicht?Minister Van Weel:We doen nu echt de overheid en de manier waarop wij ons toezichthebben georganiseerd tekort. Ik heb zelf ook de Inspectie Justitie enVeiligheid. Ik heb geen enkele twijfel over de onafhankelijkheid van dezeorganisatie. Die geeft mij ook gevraagd en ongevraagd adviezen,inspecteert en neemt die toezichthoudende taak uiterst serieus. Ik weet alsTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3260 bestuurder ook donders goed dat ik daar niet met mijn vingers tussenmoet gaan zitten. We hebben talloze toezichtsorganen binnen deoverheid, die weliswaar overheidsorganen zijn – daar zou niemand andersvoor willen betalen namelijk – maar zonder dat we daarbij inhoudelijktegen problemen aanlopen. Dat is bij de RDI, de toezichthouder in ditgeval, dus ook het geval, maar ik kijk nog wel even naar wat precies debestuursvorm is die daarvoor is gekozen, om die onafhankelijkheid teborgen. Dat heb ik aan mevrouw Faber toegezegd.De heer Van den Berg (JA21):Nou, hartstikke fijn. Ik weet niet of de Minister dat zo bedoelde, maar ik wilwel onderstrepen dat ik niet een directe aanval wilde inzetten op deonafhankelijkheid van ambtenaren, want daar heb ik alle vertrouwen in.Mijn punt is natuurlijk meer dat als je dat kan scheiden en die belangenvan elkaar kan ontvlechten ... Het is natuurlijk wel een feit dat we juist bijdeze entiteiten met zeer gevoelige informatie te maken hebben. Dierisico-inschattingen gaan natuurlijk juist over onze kritieke processen.Juist daar moet je zeer vertrouwelijk mee omgaan. In die zin vind ik datwel heel belangrijk. Maar dan nog over de toezichthouders. Ik hebbegrepen dat er meerdere stelsels zijn waarin enerzijds het toezicht vanuitde overheid zelf wordt bekostigd. Andere zitten in een breder systeem,waarin bedrijven er gelden voor afstaan. Dat is in deze wet dan weer nietgeregeld. Zou het in het kader van deze wet niet ook gewoon goed zijn alsde overheid de bekostiging van de inspecties of de audits voor haarrekening neemt? Hoe kijkt de Minister daarnaar?Minister Van Weel:Dat doen we al. In de memorie van toelichting is aangegeven wat devakdepartementen denken nodig te hebben voor de implementatie vandeze wetgeving. Daar zit de bekostiging van de individuele toezicht-houders die zij hiermee belasten, al in. De reden waarom dat niet allemaalcentraal is geregeld in deze wet, is omdat je nu eenmaal meerderetoezichthouders hebt. Die kun je niet afbakenen. We gebruiken debestaande instituties en dat is dan ook weer in het kader van het verlagenvan de regeldruk een van de proportionaliteitsmaatregelen van deze wet.De heer Van den Berg (JA21):Ik had van de audit een bedrag van volgens mij € 432 in mijn hoofd, dat ikzag staan, maar daar kom ik dan nog even op terug. Als laatste nog deproportionaliteit van de boete. Het is heel fijn dat de Minister eropreflecteert dat we inderdaad altijd een bredere afweging maken, bijvoor-beeld de zwaarte van de overtreding en of het een herhaling is enzovoort.Maar het blijft naar mijn idee toch zo dat wanneer een bedrijf dat kleiner is– laten we zeggen met een omzet van 100 miljoen euro – een boete krijgtvan in principe 10 miljoen euro, we te maken hebben met een zwaarte van10%. Het blijft een feit dat wanneer een bedrijf groter is, 2% van de omzetwel het maximale boetebedrag blijft. Dat klopt volgens mij. Kunnen we erniet voor kiezen om dat te allen tijde proportioneel te houden, ondanks dezorgvuldige afweging van de toezichthouders?Minister Van Weel:Zoals ik al zei, hebben die dus vaak al boetebeleid, waar die proportiona-liteit in staat en waarin dit soort aspecten worden meegewogen. Het feitdat een bedrijf over de kop zou gaan als het 2% van de jaaromzet moetafstaan, wordt dus meegewogen voordat de sanctie wordt opgelegd. Datwordt dan ook weer afgewogen tegen wat iemand heeft gedaan en tegende vraag of die daar wat aan kon doen. Die hele set van maatregelen isonderdeel van goed bestuur en dat zit al ingebakken bij die toezicht-houders. Een maximumbedrag dat je meegeeft, is niet meer dan dat. Hetis geen leidraad voor hoe zo’n toezichthouder uiteindelijk in de praktijkTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3261 omgaat met die boetes, want die toezichthouder heeft gewoon te makenmet de rechtsbeginselen van goed bestuur.De heer Van den Berg (JA21):Laatste vraag. Oké, fijn. Maar wat als we nu met een zeer groot bedrijf temaken hebben, bijvoorbeeld eentje met een jaaromzet van meerderemiljarden? Stel, je wilt zo’n bedrijf toch beboeten voor een overtreding dieze hebben begaan. Dan zitten we alsnog vast aan die maximale boete van2% van de jaaromzet. In dat geval is de prikkel die we ze daarmee kunnengeven, dan weer relatief licht. Dat zie ik toch goed dan?Minister Van Weel:Nou, 2% van een heleboel of 2% van wat minder is in het eerste geval eenheleboel. 2% van de jaaromzet van Apple zou ik graag terugzien op mijnbegroting, laat ik het zo zeggen. Dat voelen die bedrijven ook.De voorzitter:U kunt verder met uw volgende blok en dat is volgens mij – u weet datbeter dan ik – actuele onderwerpen.Minister Van Weel:Ja, actueel en dat is vrij kort. Dat zijn maar twee onderwerpen, namelijkOdido en digitale soevereiniteit. Gaan deze wetten helpen om zaken zoalsdie bij Odido zijn gebeurd, te voorkomen? Dat kun je nooit garanderen,want we weten ook nog niet alle details van wat er bij Odido allemaalgoed en fout is gegaan. Daar zal nog onderzoek naar gedaan worden.Maar de zorgplicht is er natuurlijk wel op gericht om dit soort incidentente voorkomen. Daar zitten allerlei maatregelen achter, die de kans datzoiets gebeurt, moeten verkleinen. Of het nu gaat over de omgang metdata, de externe beveiliging, de training van personeel, cyberhygiëne,toegangsbeleid, beheer van assets: die hele waslijst valt onder dezorgplicht. Ik denk dat dat wel de drempel verhoogt, ook voor grotereorganisaties, om dit soort zaken beter te kunnen voorkomen. En hettoezicht gaat daarbij helpen, denk ik. Nogmaals, ik wil niet impliceren datik weet wat er bij Odido allemaal verkeerd is gegaan, maar ik denk datdeze wetten in algemene zin gaan helpen om dit soort incidenten tevoorkomen in de toekomst.Dan de digitale soevereiniteit. Kunnen we deze wet daar ook voorgebruiken? Ik wil het in mijn beantwoording houden bij de relatie tussendeze wetten direct. Ik wil de discussie over digitale soevereiniteit nietwegkapen bij mijn collega, de Staatssecretaris van EZK. Maar deze beidewetten bieden wel de mogelijkheid om de risico’s van de toeleveranciers-keten aan te pakken. De vakminister kan entiteiten de verplichtingopleggen om in bepaalde gevallen geen gebruik te maken van productenof diensten van specifieke leveranciers, wanneer dit noodzakelijk is voorde nationale veiligheid. We komen daar zo nog wat uitgebreider over tespreken. Dat is niet direct gericht op het vergroten van de digitalestrategische autonomie, maar ik denk dat het wel een onderdeel is vaneen stap daarnaartoe. Entiteiten zullen die ook meewegen in huninrichting en ook in hun strategische afhankelijkheden, die ze hebbenlaten gebeuren door hun afhankelijkheid van een bepaalde leverancier. Depreventieve werking die dus mogelijk uitgaat van deze wetten, los van despecifieke ingrepen op nationale veiligheid, gaat in dat kader wel watdoen, denk ik. Verder zou ik de bredere discussie graag willen doorge-leiden naar mijn collega.De voorzitter:Dit was het blokje actuele onderwerpen. Ik kijk nog even naar links om tezien of er nog vragen zijn. We kunnen naar het volgende blokje:leveranciers.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3262 Minister Van Weel:Tot mijn spijt moet ik u wel zeggen dat mijn linkerblokje nog steeds hogeris dan het rechterblokje. Ik toets dat regelmatig aan u, maar wat datbetreft ben ik nog niet door de helft van mijn stapel papier.De voorzitter:Wij doen ons best aan deze kant van de Kamer.Minister Van Weel:Ik weet het. Ik geef u een update.Waarom hebben we het weren van leveranciers in lagere regelgevingopgenomen in plaats van op wetsniveau? Dat hebben we gedaan omdatwe het ook zien als de uitwerking van een zorgplicht. Dan is het niveauvan een AMvB passend. Je wil ook niet alles in wetgeving vastleggen,omdat je ook wil kunnen inspelen op technologische ontwikkelingen. Erliggen ook nog twee amendementen voor met betrekking hiertoe en ik lietal even doorschemeren dat ik bereid ben om daar welwillend naar tekijken. Ik kom daar dus zo in de appreciatie nog op terug.Overigens hebben we wel geluisterd naar het bedrijfsleven, dat natuurlijknaar aanleiding van de opname in de Cyberbeveiligingswet brieven naarons heeft gestuurd. Die hebben we meegenomen in de nota vantoelichting die bij de AMvB zit. We hebben daarin helder neergezet welkecriteria gelden, om de voorspelbaarheid van het nemen van dit besluit envan de investeringen die ze moeten doen, groter te maken voor bedrijven.Daarbij wordt telkens getoetst aan dezelfde criteria en die staan nu dus inde nota van toelichting. Ook is daarin beschreven hoe de procedure voorde vakminister voorafgaand aan het nemen van het besluit dient te lopen.De betrokkenheid van de entiteit is ook meegenomen in die procedure.Bovendien kan de entiteit nog bezwaar en beroep instellen tegen hetbesluit.Welke concrete criteria bepalen dat een leverancier een risico vormt? Erwordt gekeken of de leverancier de intentie heeft om schade aan terichten bij een entiteit of dat een entiteit nauwe banden heeft met of ondercontrole staat van een partij met kwade intenties. Dan kunt u denken aanleveranciers die via wetgeving verplicht kunnen worden om mee tewerken met een buitenlandse overheid. Dat is dus een van de criteria,zoals ook door enkelen van u in vragen neergezet. Denk aan statelijkeactoren met een offensief programma gericht tegen Nederlandsebelangen. Al deze criteria staan in de toelichting van de AMvB.Willen we daarbij ook kijken naar de mogelijkheid om financiële steun tegeven bij het weren van een dienst of product? Dat was een vraag vanmevrouw Kathmann. De Algemene wet bestuursrecht en daarbinnen deregels over nadeelcompensatie bepalen in elk geval op welke financiëlevergoeding men recht heeft als de overheid tussendoor de spelregelsverandert, want daar komt het hier op neer, om goede redenen weliswaar.Dan is er automatisch sprake van recht op nadeelcompensatie. Dat zalelke keer door de vakminister worden bekeken. Ik kan daar dus niet inalgemene zin uitspraken over doen. Ik zou willen voorkomen dat we opvoorhand alle schade voor een leverancier vergoeden als we zo’n besluitzouden nemen, want daarmee halen we ook een stuk incentive weg bijentiteiten om zelf kritisch te kijken naar hun toeleveranciersketen, omdatde overheid, als het dan toch een keer aan het licht komt, daarvoor wel deportemonnee trekt. Dat zou ik ons collectief niet willen aandoen. Ik denkdus dat de nadeelcompensatie voldoet.Dan ben ik bij overige belangrijke onderwerpen, voorzitter.De voorzitter:Ik kijk even naar links om te zien of mensen nog vragen hebben bij ditblokje. Dit was het blokje leveranciers. Nee, overig, toch? Nee, leveran-ciers; hierna komt overig.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3263 De heer Van den Berg (JA21):We hebben leveranciers gehad en nu gaan we naar overig.Ik heb een vraag over de concrete criteria waarop we baseren dat eenleverancier een risico voor de nationale veiligheid vormt. Ik hoorde deMinister zeggen dat het bijvoorbeeld statelijke actoren zijn die eenoffensief cyberprogramma hebben richting ons. Op basis van welke feitenen omstandigheden stellen we deze landen vast? Ik kan me namelijk ookvoorstellen dat daar een AIVD- dan wel een MIVD-component aan zit.Kortom, hoe kunnen we dit als parlement controleren?Minister Van Weel:Daar zit zeker een AIVD- en MIVD-component aan, en ook eenNCTV-component. Maar er zit ook een openbare component aan. Weproberen juist met dit soort zaken ook op structurele basis – dit gaat overindividuele gevallen, maar ik heb het dus over de structurele basis – zoveel mogelijk van het dreigingsbeeld zoals wij en de diensten dat zien metuw Kamer te delen. Een voorbeeld daarvan is het DreigingsbeeldStatelijke Actoren. In het laatste dreigingsbeeld wordt ook ingegaan op devraag welke landen offensieve cyberprogramma’s hebben tegen ons enwelke risico’s en concrete gevallen we daarvan zien. Dat is allemaal opongerubriceerd niveau, maar geeft, denk ik, wel een aardig aankno-pingspunt, ook voor entiteiten om te lezen waar ze beter niet mee in zeekunnen gaan of waar ze op enig moment het risico lopen om tegen eenknelpunt in de keten aan te lopen. Daarmee proberen we dus wel tehelpen bij de afwegingen die entiteiten daarbij maken.De heer Van den Berg (JA21):Dat kan ik alleen maar ondersteunen. Dank u wel.De voorzitter:Minister, we kunnen naar het volgende blokje.Minister Van Weel:Het blokje overig. Ik begin bij de positie van slachtoffers. Is de positie vanslachtoffers goed genoeg vastgelegd in deze wetten? Voor significanteincidenten regelt de Cyberbeveiligingswet dat de betrokken entiteitenontvangers van een dienst in kennis moeten stellen indien dat incidenteen nadelige invloed kan hebben op de verlening van die dienst. Ookwordt hierin geregeld dat de entiteit ontvangers van een dienst die dooreen significante dreiging in relatie tot die dienst kunnen worden getroffen,mee moet nemen in de vraag welke maatregelen zij daarvoor kunnentreffen. Er is echter geen specifieke regeling over de positie van slacht-offers opgenomen. Ik wil wel verwijzen naar een aangenomen motie vanhet lid Rajkowski waarin gevraagd wordt om te kijken naar de positie vanslachtoffers en nadeelcompensatie. Ik zie een aantal van uw leden nuknikken. Dat proces loopt natuurlijk nog, maar staat los van dezeCyberbeveiligingswet. Dat gaat nadrukkelijk om slachtoffers.Kunnen we kennisdeling over dreiging en kwetsbaarheden en aanvalspa-tronen beter organiseren, niet alleen in Nederland maar ook met landenom ons heen? Ja. Het doel met deze wet is juist om het delen vankwetsbaarheden en dreigingen, waaronder ook AI-gegenereerdecyberdreigingen, beter te organiseren en beter te verbreden. Het CSIRTkrijgt hiervoor een specifieke grondslag in deze wet. Nationaal werken deCSIRT’s al met elkaar samen in het CSIRT-netwerk. Ook internationaal is ereen CSIRT-netwerk waarin dagelijks op operationeel niveau informatiewordt uitgewisseld. Nederland is ook actief in het CyCLONe-netwerk voorsamenwerking bij crisissen en incidenten, en in de NIS CooperationGroup, waarin experts van Europese lidstaten leren van elkaarservaringen en best practices. Daarnaast biedt de CyberbeveiligingswetTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3264 een nadrukkelijke grondslag om makkelijk informatie met derde landenzoals het Verenigd Koninkrijk te delen, ook informatie over aanvalspa-tronen.Tot slot moeten we opmerken dat we naast de AI-gegenereerdedreigingen ook steeds meer AI-gegenereerde verdediging zien. Uitein-delijk gaat ons dat ook helpen. Ik kan me nog levendige discussiesherinneren met de topmannen van Apple en Google over de vraag of deverdediging nou meer baat heeft bij AI of de aanval. Ik zal het u nietverklappen, maar de twee waren in ieder geval tegenovergesteld in hunopvattingen hierover. Ik denk dat de nabije toekomst het ons gaat leren.Dan de informatie-uitwisseling in crisis, kritieke entiteiten en privatebeveiligingsbedrijven. Kunnen we daarbij versnippering en inefficiëntievoorkomen, was een vraag van mevrouw El Boujdaini. In eerste instantiemoeten kritieke entiteiten zelf de verantwoordelijkheid nemen voor eencrisisrespons en de daarbij behorende informatie-uitwisseling. Ze kunnendaar zeker private beveiligingsbedrijven in meenemen. De meeste doendat overigens ook als zij een incident van een bepaalde omvang hebben.Elk ministerie neemt daarnaast maatregelen op het eigen beleidsterreinom crisissen aan te pakken. Daarvoor hebben ze allemaal een departe-mentaal crisiscoördinatiecentrum. Bij een nationale crisis – het is niethelemaal in beton te gieten wanneer dat gaat spelen, maar op enigmoment schalen we op – is er een nationaal crisiscentrum. Dat valt dancoördinerend onder mijn verantwoordelijkheid. Dat is een24/7-informatieloket en ondersteunt ook de nationale crisisstructuur enalle partijen. Daarnaast zijn er sectorale afspraken gemaakt overinformatie-uitwisseling. Een voorbeeld hiervan is het NCSC, dat binnenhet cyberdomein zorgt voor gerichte informatiedeling tussen publieke enprivate partijen. Daarmee wordt versnippering voorkomen en efficiënteinformatievoorziening tijdens crises gewaarborgd.Mevrouw El Boujdaini vroeg ook hoe deze private beveiligingsbedrijvenmeer duidelijkheid kunnen krijgen over hun rollen. Ze hebben geenformele rol in deze wetten. Het is echt de verantwoordelijkheid van dekritieke entiteit om passende maatregelen te nemen, maar natuurlijkzullen zij gebruikmaken van private partijen – daar is ook geen verbod op– om te helpen bij de implementatie en naleving van deze wet.De heer Vermeer vroeg of er duidelijkheid komt over wat wel of nietredelijk is om van leveranciers te eisen. Ja. Onder deze Cyberbeveili-gingswet moeten entiteiten uitsluitend inzicht krijgen in leveranciers dievan invloed kunnen zijn op de beveiliging van haar netwerk of informatie-systeem. Dat is meteen een afkadering voor hoe diep je in die food chain,zeg ik hier maar even letterlijk, moet gaan om te kijken waar het relevantis en waar niet. De entiteiten toetsen of er door de leveranciers wordtvoldaan aan de beveiligingseisen. Dat kan met een certificering van detoeleveranciers of clausules in de leveringsovereenkomsten die zij sluiten.Hoe voorkomen we dat grote ketenpartners hun verantwoordelijkhedenafwenden op kleine ondernemers? Die verantwoordelijkheid kán nietworden afgewenteld door grote entiteiten; die staan per definitie aan delat in het kader van deze beveiligingswet. Zij moeten zelf inzicht krijgen enuiteindelijk toetsen kunnen doen voor hun toeleveranciers, maar er ligtdus ook een gedeelde verantwoordelijkheid om die te certificeren.Voorzitter. Als het gaat om de bewaartermijnen, ben ik even in handen vanuw Kamer. Ik heb gezegd waarom er een onderscheid is tussen de CSIRT’sen de toezichthouders, maar ik weet niet of dat voldoende helder was. Ikkan er alleen aan toevoegen dat elke toezichthouder wel per dossier kijktof de termijn van 60 maanden noodzakelijk is. Daar hebben ze alprocessen voor. In die zin sluiten deze wetten aan bij wat al gebruikelijk isvoor toezichthouders in een toezichthoudende rol in den brede.De motie van mevrouw Rajkowski over het handelingskader voorslachtoffers van datalekken had ik al genoemd. Die was van 10 maart.Daar wordt aan gewerkt.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3265 Dat was het einde van mijn blokje.De voorzitter:Dit was het blokje overig. De heer Van den Berg heeft een vraag, en danheeft mevrouw Zwinkels een vraag.De heer Van den Berg (JA21):Nog even over het opslaan van de gegevens. Als ik het goed lees, zou hetgaan om maximaal 120 maanden voor de toezichthouders. Voor overigewettelijke taken geldt een maximale bewaartermijn van 60 maanden. Hoekijkt de Minister dan naar die tien jaar? Is dat niet veel te lang? Zou datniet korter kunnen? Kan de Minister bevestigen dat die tijd niet elke keeropnieuw gaat lopen? Volgens mij is het zo aangepast dat de juistheid vande gegevens bevestigd moet worden. Ik vraag mij af wat nu het ijkpunt isdat bepaalt wanneer de opslag van die gegevens verlengd wordt.Minister Van Weel:Die termijn van 120 maanden is echt gericht op die gevallen waarin erspecifieke juridische procedures lopen. Die kunnen echt rustig vijf jaar inbeslag nemen. Ik ken deze zaken ook nu binnen het ministerie. Er zijngewoon zaken die zo’n lange looptijd hebben. Als je dan aanloopt tegende wettelijke bewaartermijn van je gegevens, dan komt zo’n zaak ingevaar, terwijl je een zaak ook niet sneller kunt laten gaan dan die gaat.Het betreft dus wel echt een maximumtermijn. Het is niet zo dat hetstreven is om al die gegevens tien jaar te bewaren. Als je al die trajectendoorloopt van een zaak, en dan het beroep en het hoger beroep, kun jeuiteindelijk wel tegen die termijnen aan lopen, maar dat is zeker niet denorm.De heer Van den Berg (JA21):Helder. Maar hoe werkt het dan in de praktijk? Hoe wordt per dossierbeoordeeld of een kortere bewaartermijn toch mogelijk is? Hoe wordtervoor gezorgd dat het in de praktijk niet alsnog zo uitpakt dat we diegegevens gewoon laten staan?Minister Van Weel:Daar hebben toezichthouders hun eigen procedures voor. Die zijn eroverigens niet naar aanleiding van deze wetten, maar dat geldt voor alleswat ze aan toezichthoudend werk doen. De criteria op basis waarvan zehun bestanden vegen, zijn dus een-op-een van toepassing hierop. Daaromsluiten we ook aan bij de termijnen zoals ze die kennen, ook voor hunreguliere toezichtwerk.Mevrouw Zwinkels (CDA):Ik ben blij met het antwoord rondom de cyberaanvallen die tot standkomen met AI. Ik ben ook benieuwd of we daarover kunnen wordengeïnformeerd als het gaat om de samenwerking met andere Europeselidstaten te zijner tijd. Mijn vraag is eigenlijk tweeledig. Ik heb nog tweegemiste vragen, want dit was het blokje overig en volgens mij het laatsteblokje.De voorzitter:Nee, niet het laatste blokje. Hierna komen we pas bij de wet.Mevrouw Zwinkels (CDA):O, oké. Dan kan ik het heel kort aankondigen. Dan weet ik of de Minister ernog op ingaat. Ik had nog een vraag over de gekwalificeerde vertrouwens-diensten en over de uitvoeringscapaciteit bij ILT en NVWA. Als die aanbod komen, zijn mijn vragen verder allemaal beantwoord vandaag.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3266 Minister Van Weel:Dat houden we in ieder geval in gedachten. Die tweede vraag heb ikbeantwoord. Die gaat over dat in de memorie van toelichting is meege-nomen dat vakdepartement datgene wat nodig is aan capaciteit bij deverschillende toezichthouders, waaronder de twee die u noemt ... Diezitten ook in deze wet. De eerste vraag hoop ik nog tegen te komen, wantit doesn’t ring a bell now.De voorzitter:Anders kijken we zo naar die twee blokjes.Minister Van Weel:Voorzitter, ik denk dat ik een heleboel uit die wetsblokken al gehad heb,maar ik zal er met prudentie doorheen gaan.De voorzitter:Ik heb nog twee vragen voor u. De eerste gaat over de slachtoffers. Ik hadhet over letterlijk een nazorgplicht opnemen in de wet. U wijst terechtnaar de motie over het handelingskader van mevrouw Rajkowski, wantdat is niet voor niks een heel breed ondersteunde motie. Zij vroeg of er inieder geval een groter handelingskader zou komen, zodat we in iedergeval iets kunnen, want we hebben gewoon gezien, zowel na het lek bijhet bevolkingsonderzoek baarmoederhalskanker als nu bij Odido, datmensen echt in paniek zijn. Bij het baarmoederhalskankeronderzoek zijnnog steeds heel veel vraagtekens. Mensen weten veel gewoon niet. Waarmoeten ze heen als ze willen weten wat er is gelekt? Waar moeten ze heenals ze iets willen vervangen? Hoe regelen ze dat? Waar krijgen ze hulp?Het handelingskader van mevrouw Rajkowski is dus fantastisch, alleen isde vraag: zouden we niet toch nog echt expliciet iets in de wet willenopnemen hierover?Minister Van Weel:Ik heb een aantal specifieke punten genoemd die wel zien op zorg naarafnemers van diensten, op entiteiten en op de verplichting die bedrijvenop basis van de Cyberbeveiligingswet hebben om daar wat mee te doen.Ik sta niet onsympathiek tegenover uw gedachten over nazorg, maar ikzou het heel graag willen koppelen aan de verkenning die we doen naaraanleiding van de motie-Rajkowski en dat daar ook in meenemen, zodatwe ook een gedegen grond hebben op basis waarvan we dan beleid gaanmaken. Ik voel uw gedachten dus zeker.De voorzitter:Dank voor deze beantwoording. Ik heb toch nog een vraag. Ik vondnamelijk dat de Minister best kort door de bocht ging over de bewaarter-mijnen. Het is heel fijn dat er echt goed wordt nagedacht. Soms kan jegewoon minder lang opslaan dan wettelijk noodzakelijk. Maar we wetennu al hoe vaak het misgaat met: wettelijk noodzakelijk is het niet, maar wedoen het lekker toch. Hoe gaan we er echt goed op toezien dat gewistwordt wat gewist kan worden? Hoe gaan we dat explicieter maken, zodatwe daar als Kamer gewoon beter zicht op hebben en dat echt gaatgebeuren? Daar gaan namelijk juist de grote risico’s van uit.Minister Van Weel:Dat ben ik met u eens. Ik denk alleen niet dat deze groep daarin degrootste risicogroep is. Over het algemeen zijn toezichthouders redelijkprudent met betrekking tot de omgang met gegevens. Ik denk dat dit inbredere zin een issue is. Dat heeft het Odidolek ook wel op de kaart gezet.In hoeverre wordt er toegezien op het wissen van gegevens op hetmoment dat het niet langer noodzakelijk is om die te bewaren? Dat geldtvoor overheidsinstanties en evengoed voor bedrijven en hun omgang metTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3267 persoonsgegevens. Ik vind dat dus een bredere vraag. Ik vind ook dat wedie moeten oppakken, maar niet binnen de scope van deze wet, want dietermijnen zien echt op de toezichthouders en daar heb ik eigenlijk deminste zorgen over.De voorzitter:Dan gaan we naar het een-na-laatste blokje, de Cbw.Minister Van Weel:Nou, ik begin nog even met Caribisch Nederland en de toepassing. Sorry,voorzitter, die heb ik er nog even tussen gefietst. Daarmee wil ik zeker nietzeggen dat we dit niet van belang vinden, want natuurlijk willen weCaribisch Nederland op hetzelfde niveau krijgen als de rest vanNederland. Maar we hebben wel te maken met de lokale uitvoeringscapa-citeit. Dat beïnvloedt het tijdpad dat we daar kunnen lopen. We moetendus gaan voor een verantwoorde stapsgewijze invoering. We gaan eerstbekijken welke ondersteuning we daarbij kunnen bieden zonder dat weafbreuk doen aan de lokale verantwoordelijkheid die er daarvoor ligt. Ikheb trouwens wel de ambitie om voor het Caribisch deel van hetKoninkrijk te komen tot een cybersecuritystelsel op hetzelfde niveau. Datzit ook in de Veiligheidsstrategie van het Koninkrijk der Nederlanden.Daarom zit Caribisch Nederland ook specifiek in het Cyberweerbaarheids-netwerk. We hebben een eerste verkenning gedaan naar de uitrol van hetbouwplan. Daaruit blijkt dat er behoefte is aan verankering van de digitaleweerbaarheid en het cybersecuritystelsel in Caribisch Nederland.Vanwege de digitale afhankelijkheden erkennen we de noodzaak omhierin gezamenlijk op te treden met Aruba, Curaçao en Sint-Maarten,maar daarbij moeten we natuurlijk ook wel letten op de autonome statusvan deze landen, want zij bepalen hun eigen landniveaus met betrekkingtot cybersecurity. Zij moeten dus ook het belang zien van het samen-werken hierin, maar daar spannen we ons wel voor in.Ik heb hier nog wat varianten op hetzelfde. Ik kan er nog een ding aantoevoegen, namelijk dat het mogelijk is om de toepassing van de wet meete nemen richting de eerste evaluatietermijn. Die toezegging kan ik deheer Van den Berg wel doen, maar ik heb wel gezegd dat de randvoor-waarden ter plekke gaan bepalen hoe snel we hierin kunnen gaan. Datgaan we in gezamenlijkheid doen. Dat was het blokje Cariben.De voorzitter:Dit was wel het einde van het blokje. Ik kijk even naar links om te zien ofde Kamerleden vragen hebben. Er is een vraag van mevrouw El Boujdaini.Mevrouw El Boujdaini (D66):Dank voor de beantwoording, zeg ik via de voorzitter. Ik ben blij te horendat in ieder geval wel wordt gezien dat het belangrijk is dat ook daar hetbeschermings- en weerbaarheidsniveau echt op orde zijn. Ik heb metmensen van daar gesproken. Er is daar wel echt heel veel behoefte aanmeer inzicht in wanneer we daar dan kan kunnen komen en wat daarprecies voor nodig is. We hebben inderdaad de Veiligheidsstrategie vanhet Koninkrijk. Dat is een goede basis, maar die is nog niet echt toereikendgenoeg. Daarom wil ik de Minister toch vragen of er een routekaart zoukunnen komen om wat meer perspectief te kunnen bieden op hoe we nouecht tot dat beschermings- en weerbaarheidsniveau kunnen komen enwanneer we dat voor elkaar kunnen krijgen, samen met hen natuurlijk.Minister Van Weel:Ik ga die vraag doorgeleiden naar mijn collega, de Staatssecretaris vanBZK, omdat die naar de integraliteit van het Koninkrijkspakket kijkt. Ikvraag hem dit mee te nemen.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3268 De voorzitter:Dan gaan we naar het een-na-laatste blok.Minister Van Weel:Ik ga er zo snel als ik kan doorheen, voorzitter: de Cbw. Waarom heeft deimplementatie zo lang geduurd? Ik denk dat ik dat aan het begin van mijninleiding eigenlijk al gezegd heb. Wij hebben ervoor gekozen om ervoor tezorgen dat alles werkt voordat we verklaren dat de wet van toepassing is,in plaats van de wet van toepassing verklaren en dan maar kijken hoe wehet gaan invullen. Dat kost tijd, maar komt de zorgvuldigheid ten goede,en uiteindelijk ook de werkbaarheid, denk ik. Wat dat betreft ben ik blij datwe er zijn.Over evalueren hebben we het gehad.Mevrouw Kathmann vroeg welke CSIRT’s worden aangewezen voor desectoren en welke nieuwe er nog worden opgericht. Voor de meesteentiteiten wordt de Minister van Justitie als CSIRT aangewezen. Debijbehorende taken worden namens mij uitgevoerd door het NCSC. Deandere Cyber Security Incident Response Teams zijn Z-CERT voor dezorgsector, CERT Watermanagement – de naam zegt het eigenlijk al eenbeetje, maar dan in het Engels – de Informatiebeveiligingsdienst voorgemeenten en SURFcert voor de onderwijssector. Op dit moment hebbenwe geen zicht op nieuwe CSIRT’s die worden opgericht.Hoe kunnen de gegevens van die CSIRT’s nou goed beveiligd worden?Welke technische veiligheidsmaatregelen zijn er daarvoor? DeNIS2-richtlijn stelt hele strenge eisen aan CSIRT’s. Een van die eisen is datde ondersteunende informatiesystemen zich op beveiligde locatiesbevinden. Een andere eis is de betrouwbaarheid en de vertrouwelijkheidvan de activiteiten van het CSIRT. Die zijn bij ons vastgelegd in hetCyberbeveiligingsbesluit, dus in de AMvB. In aanvulling daarop kunnenbij ministeriële regeling nadere functionele, technische en organisato-rische eisen worden geregeld. Verder ga ik in het openbaar niet heel veeluitspraken doen over de techniek, om evidente redenen.Dan de vraag van mevrouw El Boujdaini over tijdige informatiedeling metde burgemeesters en de voorzitters van de veiligheidsregio’s. Laat ikbeginnen door te zeggen dat ik ook voorzitter ben van het Veiligheids-beraad en van het Landelijk Overleg Veiligheid en Politie. Ik ben dus zeerbegaan met onze nationale veiligheid, de structuren die we daarvoorhebben en de individuele verantwoordelijkheden. Maar ik worstel eenbeetje met de manier waarop de informatiedeling op basis van deze wetzou moeten verlopen, omdat het voor de CSIRT’s die bezig zijn met decalamiteit at hand onmogelijk is om te overzien welke fysieke gevolgenvoor de openbare orde en veiligheid dat dan waar zou hebben. Denk aanwat er is gebeurd met Odido. Odido heeft een hoofdkantoor,waarschijnlijk ergens op de Zuidas in Amsterdam. Is het dan relevant voorde burgemeester van Amsterdam om te worden ingelicht over een datalekbij Odido? Ik denk het niet direct. Ik denk dat dit een landelijk kadervereist. Dat hebben we ook gezien; dat groeit dan automatisch. Maar als jebijvoorbeeld een hack hebt bij een waterschap, dat impact heeft op eenbepaalde polder en gemeenschap, dan wil je natuurlijk dat de informatiewel daar terechtkomt. Maar dan loopt de lijn eigenlijk vaker via de kritiekeentiteiten dan via CSIRT en de Cyberbeveiligingswet. Ik ben dus huiverigom die triagetaak, om het zo maar te zeggen, neer te leggen bij demensen die bezig zijn met het cyberincident, omdat ze dan ook nogmoeten afwegen of er een link is met de fysieke openbare orde of niet enwat ze dan moeten doen. Eigenlijk heb ik tot nu toe altijd gezien dat als degevolgen groter worden – denk aan geen treinverkeer – de route van defysieke openbare orde en veiligheid zich wel redt, maar dan buiten dezewet om.Dan de vraag van mevrouw Kathmann over Amerikaanse ICT-diensten. Ikheb het gehad over de criteria die gelden, maar ik wil hier nu niet ingaanTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3269 op specifieke landen, casussen of wat dan ook. Ik denk dat de criteriavoldoende aanknopingspunten bieden, ook voor entiteiten, om na tekunnen denken. Ik wil me nu alleen even niet wagen aan landen.Mogen de OKTT-organisaties nog steeds relevante dreigingsinformatieontvangen om te delen met hun achterban? Het antwoord is ja. Zij zijn inde Cyberbeveiligingswet een andere relevante partij en daarmee hebbenze die bevoegdheid nog steeds.Gekwalificeerde vertrouwensdiensten – daar is ie! Namens de Staatsse-cretaris Digitale Economie en Soevereiniteit kan ik vertellen dat gepro-beerd wordt om het gebruik van gekwalificeerde vertrouwensdiensten opte nemen in de «pas toe of leg uit»-lijst. Dit is een set van verplichte openstandaarden voor ICT-inkoop door de overheid. De «pas toe of leguit»-verplichting over het gebruik van open standaarden geldt voorgemeenten, provincies, het Rijk, waterschappen en alle uitvoeringsorgani-saties. Dat betekent dat de standaarden die op de lijst staan in principemoeten worden gebruikt, tenzij er serieuze redenen zijn dat ze niet kunnenworden gebruikt. Dat heeft tevens een krachtig effect op en uitstralingnaar de private sector. Het is echter niet zeker of opname op de lijst gaatlukken. Daarom zal samen met de Staatssecretaris worden onderzochtwelke alternatieven daarvoor zijn. Zij verwacht uw Kamer hierover voorhet einde van het jaar te kunnen informeren. Ik zie dat er een vraag is,maar ik hoor de voorzitter aangeven dat die aan het einde van het blokjemoet. Ik leg het mapje voor de zekerheid even apart!Het basispakket cyberveiligheid, zoals geopperd door mevrouwKathmann. Ook ik vind dat cyberveiligheid ook voor individuele burgers,ongeacht de draagkracht, van belang is. Je kunt immers tegenwoordigniet meer om het digitale leven heen, wat verder ook je leefomstandig-heden zijn. Tijdens het wetgevingsoverleg BZK heeft u hierover gesprokenmet mijn collega’s. Mijn collega van EZK heeft hierover opgemerkt:«Diverse marktpartijen bieden veiligheidspakketten aan. Een deel van degenoemde producten wordt gratis aangeboden.» Zij heeft aangegeven datze met de aanbieders van deze producten de inhoud en de toeganke-lijkheid van het aanbod wil bezien en dat ze wil kijken hoe die eventueelverbeterd kunnen worden. Wat haar betreft moet de overheid nietconcurreren met de markt. Dat mag volgens de Wet markt en overheidnamelijk ook niet. Het is wel belangrijk dat dergelijke pakketten door demarkt worden aangeboden. U heeft tijdens dat debat inderdaad een motieaangehouden, mevrouw Kathmann.Mevrouw Kathmann vroeg ook wat ik ga doen om de rollen van devakministers, de toezichthouders en de sector zo goed mogelijk vast teleggen. Ik noemde de doorverwijsboom al. Die geeft helderheid over waarje in het landschap hoort. Hij geeft in ieder geval een overzicht van welkepartijen erbij betrokken zijn. Onderling hebben we het al gehad over desamenwerkingsprotocollen en afspraken van bijvoorbeeld de toezicht-houders. Die moeten meer helderheid geven voor individuen.Dat is volgens mij de Cyberbeveiligingswet, voorzitter.De voorzitter:Dan zijn we aan het einde van het blokje. Mevrouw Zwinkels had sowiesoeen vraag. Daarna komt mevrouw El Boujdaini.Mevrouw Zwinkels (CDA):Mijn vraag gaat over de gekwalificeerde vertrouwensdiensten. Ik begrijpvan de Minister dat hij ook namens de Staatssecretaris beantwoordt. Ikkan me dus voorstellen dat het lastig is om er inhoudelijk verder op in tegaan. Ik ben blij met de toezegging om er voor het einde van het jaar opterug te komen, maar ik zou natuurlijk ook graag willen weten waarom heteventueel niet lukt om het op de lijst te krijgen waar de Minister het overhad. Dan zou ik daar vanuit de Kamer namelijk wellicht op kunnenbijsturen. Nogmaals, ik snap dat de inhoudelijke beantwoording voor nuTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3270 misschien tot hier reikt, maar ik zou het kabinet via de Minister willenmeegeven dat ik daar tijdig over wil worden geïnformeerd. Zo kunnen wedaar voor het einde van het jaar eventueel nog iets aan doen.Minister Van Weel:Deze boodschap neem ik graag mee naar mijn collega van EZK.Mevrouw El Boujdaini (D66):Ik wil graag terugkomen op de beantwoording van de Minister van mijnvraag over de informatiepositie van burgemeesters en de veiligheidsre-gio’s. We zijn eigenlijk op zoek naar een wettelijke grondslag om op tekunnen voortbouwen. De burgemeesters en de veiligheidsregio’s zijnverantwoordelijk voor crisisbeheersing en ordehandhaving. We willenjuist hen meer in hun kracht zetten. Ik heb ook voorbeelden uit de praktijk.Afgelopen jaar was er hier in Den Haag een stroomstoring. Daardoor vielbijvoorbeeld het ov stil en ontstond er verkeerschaos. De gemeente zelfwas in de veronderstelling dat het ging om een cyberincident, eencyberaanval, terwijl landelijk het NCC al een analyse had gemaakt en hadgeconcludeerd dat het niet om een cyberaanval ging. Lokaal waren zedaar nog niet van op de hoogte. Lokaal kan het de gemeentes dus juistenorm versterken als ze dit soort informatie krijgen. Zo kunnen ze werkenaan preventie voor in de toekomst, maar ook sneller ingrijpen en snellerbeslissen wat er nodig is om de orde te handhaven en de crisis tebeheersen. Ziet de Minister het ook zo, als ik het op deze manier en metdit voorbeeld uitleg?Minister Van Weel:Ik vind het op zich een aansprekend voorbeeld, maar het hoort voor mijthuis in de categorie dat dingen op een gegeven moment impact gaan enkunnen hebben op de openbare orde en veiligheid. Ik zie dan al heel sneleen taak voor mijzelf dan wel voor mijn vakcollega’s naar boven komen.Op het moment dat er een grote verstoring is in het ov, staat de Staatsse-cretaris van IenW daarvoor aan de lat en pakt die dat samen met hetlokale en regionale bestuur op, zoals ik dat doe als het gaat om – ik noemmaar wat – de dreiging richting de Joodse gemeenschappen in heelNederland. Als er dan fysiek iets moet gebeuren, is dat uiteindelijk aan deburgemeesters en de veiligheidsdiensten. Ik zie mezelf dan als de hoedervan die informatie.Ik vind het lastig om wettelijk vast te leggen dat er een brengplicht is vanspecialistische organisaties naar specifieke burgemeesters, waarvan ergmoeilijk op voorhand is in te schatten of er überhaupt een relatie met deopenbare orde en veiligheid is of niet. En als die er wel is, is die dan heellokaal af te bakenen? Waar moet die dan neerslaan? Dat vind ik buiten descope. Ik zou daar dan weer mensen van mijn crisiscentrum op moetenzetten die continu met die bril kunnen kijken naar alles wat er afgehandeldwordt, terwijl ik het eigenlijk andersom zie: op een gegeven momentbereikt iets een bepaalde schaal, waarna deze raderen in bewegingkomen. Ik zit dus even te denken of we u nog kunnen helpen middels eenmotie die de geste hiervan draagt, namelijk dat er zorg gedragen moetworden voor, indien relevant, informatie richting burgemeesters als eensignificant cyberincident een lokaal gevolg zou kunnen hebben voor deopenbare orde. We kunnen dan iets vrijer laten wie dat moet doen en opwelk moment, zodat het ook niet heel diep in die wet zit. Dan zou ik er welvoor openstaan om daarover mee te denken.Mevrouw El Boujdaini (D66):Fijn dat de Minister ervoor openstaat om mee te denken. De andere kanthiervan is namelijk wel dat als we dit niet goed regelen, het weer aan degemeenten zelf is om afspraken te maken met de verschillende kritiekeentiteiten. Het is best een grote uitvoeringslast voor de gemeenten om perTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3271 kritieke entiteit te kijken hoe je informatie uitwisselt. Eigenlijk is er al eencentraal informatiepunt, want het NCSC heeft een monitoringsverant-woordelijkheid. Dat heeft de informatie sowieso al en hoeft die in principealleen door te geleiden. Ik denk dat ze lokaal inderdaad ook best wel goedkunnen inschatten wanneer ze welke informatie kunnen gebruiken. Zoalsik eerder al aangaf in mijn betoog, heb ik hier ook een amendement opingediend. Ik denk dat we later nog op de appreciatie daarvan komen.Laten we die afwachten. Anders sta ik er zeker voor open om te kijken watwe wat dat betreft middels een motie kunnen doen, maar het liefst heb iknatuurlijk het amendement.De voorzitter:Dank. Minister, wilt u nog ...Minister Van Weel:Ik had al zo’n vermoeden. Kijk, informatie is waardeloos zonder duiding.Als Minister van nationale crises ben ik het meest beducht voor mensendie zomaar informatie neerleggen op plekken zonder dat daar eenhandelingsperspectief of wat dan ook bij komt. Het NCSC is naar mijnmening niet in staat om de informatie met die duiding en het hande-lingsperspectief op de goede manier neer te leggen bij de burgemeester.Ik zie wel een taak voor mezelf op het moment dat iets groter wordt, ofvoor de NCTV vanuit de crisisstructuur die we hebben. Dus ik zie hetprobleem. Alleen, ik voorzie een andere weg naar de oplossing. Ik neem uecht heel serieus wat dat betreft, maar ik wil voorkomen dat mijn lievemensen van het NCSC een rol gaan spelen in de lokale crisisbeheersing inplaats van gewoon de digitale problemen op te lossen.De voorzitter:Mevrouw El Boujdaini, ik zie dat u nog een vraag heeft.Mevrouw El Boujdaini (D66):Nog één laatste, ja. Misschien is het niet helemaal een vraag. Het isinderdaad niet de bedoeling van mijn fractie om heel veel uitvoeringslastneer te leggen bij het NCSC. Juist omdat het NCSC sowieso al het centralepunt is voor informatieverzameling, is het relatief ten opzichte van degemeentes die anders zelf een-op-een afspraken moeten maken met dekritieke entiteiten om bepaalde informatie binnen te halen. We hebbengeprobeerd om daarin een balans te vinden. Ik zou het heel fijn vinden alswe een weg kunnen vinden om dit voor iedereen werkbaar te maken ende lokale bestuurders in hun kracht te zetten. Fijn dat de Minister mee wildenken.De voorzitter:Voordat we naar het laatste blok gaan, heb ik nog even een vraag en eenmededeling. Onze ondersteunde staf is weer zo flexibel geweest om tezeggen: tot 17.00 uur, daar doen we ook wel aan mee. Dat kan gelukkig.Heel veel dank daarvoor, want 16.00 uur gaan we niet halen. Ik weet datdeze Minister zich ook graag flexibel opstelt, maar dan moet dat welmogelijk zijn. Ik kijk dus even naar de Minister. Is er een mogelijkheid omuit te lopen tot 17.00 uur?Minister Van Weel:Ik ben niet op reis en de Koning heeft mij ook niet ontboden, dus dan hoorik nergens anders te zijn dan hier.De voorzitter:Dat is fijn. Ik denk dat we 17.00 uur wel moeten halen. Dan gaan we nunaar het laatste blokje.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3272 Minister Van Weel:Ik vind 16.00 uur ook nog steeds goed, hoor.De voorzitter:Dat zou een prestatie zijn. Ik ga voor 16.00 uur, maar mocht dat nietlukken, dan hebben we tot 17.00 uur.Minister Van Weel:Ik denk dat we een heleboel al gehad hebben, ook rondom de Wwke,maar ik loop nog even specifiek dingen langs, bijvoorbeeld de verhoudingtot de Aanpak vitaal. Ik heb in het begin gezegd hoe die twee zich totelkaar verhouden, namelijk dat het voor de bedrijven en entiteiten die deWwke ingaan, naadloos aansluit, maar dat ze nu een wettelijkeverplichting hebben. Voor de rest van de entiteiten loopt de Aanpak vitaalgewoon door.Hoe voorkomen we overlap en versnippering binnen de Wwke en hoehebben we een duidelijk samenhangend stelsel? Dat was een vraag vanmevrouw Zwinkels. Als coördinerend bewindspersoon voel ik meverantwoordelijk voor de bescherming van de vitale infrastructuur. Ik zaldus kijken naar de samenhang tussen verschillende sectoren. Devakministers zijn de bevoegde autoriteit en moeten in principe zelf vanuithun beleidsverantwoordelijkheid de sectoren bedienen, want zij hebbende kennis en expertise van de sector die ik niet in alle gevallen heb. Ikdenk dat het samenspel tussen die twee, dus wel een nationalesamenhang en toch een sectorspecifieke aanpak, het beste model is. Datsluit ook meteen aan op de vraag van mevrouw Zwinkels hoe je voorkomtdat ze op eilandjes gaan werken. Deels vind ik eilandjes prettig, want daarkan men de diepte in qua kennis en expertise, maar er moeten ookbruggen geslagen worden tussen de eilandjes. Daarvoor ben ik dan weeren namens mij de NCTV.Hoe verhouden de nationale risicobeoordeling en de risicobeoordelingdoor kritieke entiteiten zich tot elkaar? De nationale risicobeoordeling voorde Wet weerbaarheid kritieke entiteiten wordt per sector uitgevoerd doorde vakminister en gaat in op de risico’s van een bepaalde sector. Derisicobeoordeling van de kritieke entiteit zelf volgt daarna en die gaat weerin op de risico’s die specifiek zijn voor die organisatie. Het gaat dus eencategorie specifieker naarmate je dichterbij komt. De Minister van IenWmaakt bijvoorbeeld een risicobeoordeling voor de sector luchtvaart in zijngeheel en daarbinnen maken de kritieke entiteiten dan weer een eigenrisicobeoordeling die ze kunnen gebruiken voor de specifieke risico’s voorhun entiteit en organisatie. Die bouwt voort op wat de Minister sectoraalheeft neergelegd.Hoe voorkom je dat die beoordelingen los van elkaar plaatsvinden? Dat zit’m in de volgordelijkheid. Eerst heb je de sectorale risicobeoordeling ende specifieke risicobeoordelingen van de entiteiten zelf sluiten daaropaan. Daarbij moeten ze natuurlijk wel samenwerken, want anders mis je inde sectorale beoordeling weer elementen die uiteindelijk toch een rolgaan spelen bij de lokale beoordeling.Hoe verhoudt de uitvoeringsstrategie voor de Wwke zich tot de nationalestrategie, die ook nog moet worden opgesteld? Ook dat is een vraag vanmevrouw Zwinkels. De uitvoeringsstrategie zal ik vaststellen samen metde vakministers en die bevat strategische doelstellingen en prioriteitenom de gehele weerbaarheid te vergroten. Dat is dus eigenlijk de stip op dehorizon voor het geheel. Daaronder hangen de sectorale risicobeoorde-lingen en daaronder dan weer de organisatiespecifieke. Het is dus eenboom die zich vertakt onder hetzelfde bladerdak.Mevrouw Kathmann vroeg hoe alle entiteiten zich naar mijn verwachtingmet zo’n vitaalbeoordeling identificeren. Zien we ook het risico dat erorganisaties zijn die de vitaalbeoordeling niet doen en er daarom niet vanop de hoogte zijn dat ze onder deze wet vallen? Dat hoeft niet in het gevalTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3273 van de Wwke, want ze worden gewoon aangewezen. Een kritieke entiteithoeft dus niet zelf te bepalen of die kritiek is en of die onder de wet valt.Het is juist aan de vakministers om kritieke entiteiten aan te wijzen opbasis van de risicobeoordeling en de afweging van de criteria. Eenaangewezen entiteit – dat is anders dan bij de Cyberbeveiligingswet –wordt altijd direct geïnformeerd door de vakminister en ook voorafgeïnformeerd over de mogelijke aanwijzing.Hoe snel hebben we alle entiteiten in kaart? Gaan we ze allemaal zo verkrijgen om die beoordeling in te vullen? Zoals ik zei, kunnen ze dat nietzelf doen. De eerste aanwijzingen door vakministers zullen binnen eenmaand na de inwerkingtreding plaatsvinden. Er kunnen altijd weerontwikkelingen zijn, technologisch, geopolitiek of anderszins, waardoor jein een later stadium alsnog aanvullende entiteiten zou willen aanwijzen.Die ruimte biedt de wet ook. Ik hoef ze dus ook niet aan te schrijven. Allekritieke entiteiten krijgen bericht van de bevoegde vakminister. In die zinweten ze vanaf dat moment waar ze aan toe zijn. Daar worden ze voorafover geïnformeerd.Hoe ondersteunen we de kritieke entiteiten bij het versterken van hunweerbaarheid? Gebeurt dat bijvoorbeeld via richtsnoeren? Dat was eenvraag van mevrouw Zwinkels. Dat loopt via de vakministers. Zij gevenadvies en zorgen voor de uitwisseling van informatie, maar verlenen ookbijstand. De NCTV ondersteunt weer de vakdepartementen en wij nemende sectoroverstijgende acties en initiatieven op, zoals de afhankelijkhe-denanalyses tussen sectoren. Voor het digitale terrein hebben wenatuurlijk het NCSC. Daar hebben we het al eerder over gehad. Deinlichtingen- en veiligheidsdiensten helpen met relevante dreigingsinfor-matie binnen de kaders die zij daarvoor hebben.Hoe komen we aan de schatting van die 500? Dat aantal is met namegebaseerd op het huidige aantal vitale aanbieders en op de nieuwesectoren waarin nu nog geen vitale aanbieders zijn aangemerkt, bijvoor-beeld de sector gezondheidszorg en de sector productie, verwerking endistributie van levensmiddelen. Zoals ik zei, is dit uiteindelijk aan devakministers, maar op basis daarvan zijn wij tot de 500 gekomen.Hoe borgen we dat de kennis- en informatiedeling tussen vakministers enkritieke entiteiten op orde is? Ook dat was een vraag van mevrouwZwinkels. Tijdig informeren bij dreigingen is absoluut van belang. Debasis hiervoor is de structurele en intensieve informatie-uitwisseling.Daarom werken we, een, aan een informatie- en waarschuwingssysteem,om informatiedeling te faciliteren, en, twee, aan een veilig platform enaan regulier contact tussen de kritieke entiteiten, de vakdepartementen ende veiligheidsdiensten. Ten derde kijken we naar afspraken rondomsectortafels, waar we ook de inlichtingendiensten kunnen latenaanschuiven, bijvoorbeeld om een algemeen dreigingsbeeld te geven: watkunt u nou verwachten van statelijke actoren of criminele samenwerkings-verbanden?Hebben we inmiddels met de Europese Commissie gesproken over hetborgen van de informatie-uitwisseling, de vertrouwelijkheid en debetrouwbaarheid? Dat zijn natuurlijk ontzettend belangrijke randvoor-waarden voor het uitwisselen van informatie. Het Nationaal Crisiscentrumis voor mij het nationaal aanspreekpunt voor grensoverschrijdendeincidenten. Daarnaast zit de NCTV in de Europese expertgroep voor deweerbaarheid van kritieke entiteiten, de Critical Entities Resilience Group.In dit gremium brengt de NCTV dit vraagstuk regelmatig onder deaandacht van de Europese Commissie.Hoe zorgen we ervoor dat de verplichtingen onder deze wet proportioneelzijn, ook voor kleinere ondernemers en entiteiten? De proportionaliteit ishierbij een van de uitgangspunten en is daarom risicogebaseerd, net alsbij de Cyberbeveiligingswet. Iedere organisatie moet dus maatregelennemen die passend zijn bij die organisatie, die in verhouding zijn enevenredig zijn. Dat maakt dus wel dat het maatwerk is, ook tussen deTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3274 verschillende sectoren. Gezondheidszorg is namelijk echt iets anders dande productie van levensmiddelen of bedrijven die iets meer richting devitale dienstverlening en de hightech zitten. Ik ben al een paar jaar bezigmet weerbaarheid. Als je spreekt met bedrijven in sectoren, dan blijkt juistheel vaak dat zij heel goed weten tegen welke risico’s zij zich moetenwapenen. De overheid hoeft daar vaak niet heel veel aan toe te voegen.In antwoord op de heer Vermeer kan ik hier nog zeggen dat ik uiteraardniet verantwoordelijk ben voor de voedselketen, maar die is natuurlijk welvan cruciaal belang voor Nederland. Voedselzekerheid is een opgave waarwe elke dag aan werken. De Wwke draagt daar naar mijn mening aan bijdoor ook deze vitale sector onder die wet te laten vallen.Op de evaluatietermijn ben ik al ingegaan.Krijgen wij een boete voor het niet tijdig implementeren van deCER-richtlijn? Ik hoop het niet, zeg ik daar maar op voorhand bij, maar deEuropese Commissie is wel een inbreukprocedure tegen Nederlandgestart. We zitten nu echt nog in de eerste administratieve fase. Daarnazou de Commissie kunnen besluiten om bij het Europese Hof van Justitieeen zaak aanhangig te maken. Dat zou kunnen leiden tot een boete, maarinmiddels zijn we zo ver in het wetgevingstraject – zoals ik al zei, kunnenwij ook goed onderbouwen waarom wij zijn begonnen met het leggen vaneen goed fundament onder deze wet voordat we die behandeld hebben –dat ik ervan uitga dat dat goed gaat. We zijn echt niet het enige land datachterloopt of de richtlijn nog niet volledig heeft geïmplementeerd. Onderandere Frankrijk en Spanje zijn daar ook nog mee bezig.Voorzitter. Ik denk dat ik in mijn eerste termijn dan alleen nog de amende-menten heb.De voorzitter:Dan kijk ik even naar de Kamerleden aan de linkerkant om te zien of datklopt. Ik zie dat er geknikt wordt, behalve natuurlijk door de heer Van denBerg. Ik had ook niet anders verwacht. Meneer Van den Berg.De heer Van den Berg (JA21):Ik durf bijna niet meer, voorzitter, maar het zijn maar korte vragen. HetCyberbeveiligingsbesluit staat nu nog als concept in de interne stukken opParlis. Wat voor status heeft dat document nu? Is het nog hetzelfde als hetconcept dat toen naar de Kamer is gestuurd, zijn er nog wijzigingen inaangebracht of komen er nog wijzigingen? Daar ben ik wel benieuwdnaar.Laat ik mijn vragen maar gelijk clusteren. Ik heb nog een openstaandevraag over in hoeverre kwantumencryptie wordt meegenomen, zowel bijkritieke entiteiten als in de Cyberbeveiligingswet.Dan de laatste. Ik las dat de kosten voor de overheid structureel oplopentot zo’n 83 miljoen euro vanaf 2028. Ziet de Minister nog mogelijkhedenom daar meer efficiëntie in aan te brengen?Minister Van Weel:In reactie op uw eerste vraag: ja, die versie is nog actueel. Het documentligt nu bij de Raad van State voor advies. Dat is de laatste versie.Wat betreft kwantumencryptie: deze wetten zijn juist technologieonafhan-kelijk, om ruimte te houden voor technologische ontwikkelingen, zodat weniet een wet hebben waarin kwantum niet wordt genoemd, maar AI wel,en we over drie jaar weer een nieuwe wet moeten maken. De wet dekt datvolledig, maar uiteindelijk zul je het in de uitvoering daarover moetenhebben. 83 miljoen euro vind ik een koopje, moet ik zeggen, voor een zeeromvangrijke wet, zeker als u hoort hoeveel verschillende actoren erbijbetrokken zijn, van toezichthouders tot instanties zoals het NCSC. Wegaan naar een enorme toename van entiteiten, dus ik voorzie weinigmogelijkheden, maar er is in ieder geval dekking voor het genoemdebedrag.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3275 De voorzitter:Dan kijk ik nog een keer naar de Kamerleden aan de linkerkant. Allevragen zijn beantwoord. Dan brengt ons dan bij de tweede termijn van dezijde van de Kamer. O nee, eerst nog de amendementen. Excuses. Ik kijktoch weer naar de Minister.Minister Van Weel:De ingediende amendementen, zeg ik daarbij. Ik heb er drie bij deCyberbeveiligingswet: twee van mevrouw Kathmann en een vanmevrouw El Boujdaini. Bij de Wwke heb ik er ook drie: twee van mevrouwKathmann en een van mevrouw Faber.Ik begin met het amendement op stuk nr. 12 (36 764) van mevrouwKathmann. Die gaat over het overhevelen van de verplichting naar de wet.Ik geef u twee varianten. Het vierde lid van het amendement, zoals dat ernu staat, voorziet in de inspanningsverplichting voor de vakminister; datvind ik moeilijk. Daarmee verschuift de verantwoordelijkheid volledig naarde overheid. Ik noemde het net al even in mijn eerste termijn: ik wilinvesteringen niet compleet derisken. Ik vind dat leveranciers en entiteitenop dat gebied ook een eigen verantwoordelijkheid hebben te nemen. Wehebben natuurlijk al de nadeelcompensatie en de Algemene wet bestuurs-recht, die, denk ik, ook in dit geval heel goed toepasbaar zijn. Met hetvierde lid moet ik het amendement dus ontraden, maar zonder het vierdelid geef ik het oordeel Kamer.De voorzitter:Dan pas ik het amendement aan. Ik maak er dan gewoon twee amende-menten van: één zonder lid vier en één met alleen lid vier. Ik pas het dusaan zoals u zegt. Excuses voor de verwarring.Minister Van Weel:Het amendement met alleen het vierde lid geef ik bij dezen het oordeelontraden, om de reden die ik net heb genoemd. Dat hoeft u dus nietopnieuw in te dienen.Dan het amendement op stuk nr. 13 (36 764) over de voorhangprocedurevoor de uitwerking van de zorgplicht. Ik heb hier eerder al iets overgezegd. Zeker omdat hier toekomstige wijzigingen mee bedoeld worden,geef ik dit amendement oordeel Kamer.Dan het amendement op stuk nr. 14 (36 764) van mevrouw El Boujdaini.Met referte aan de discussie we net hebben gehad, ontraad ik ditamendement. Ik ben gaarne bereid om mee te denken over een motie diematerieel regelt wat u wilt, maar niet via de wettelijke plicht op basis vande Cyberbeveiligingswet zelf.Mevrouw El Boujdaini (D66):Als het amendement wordt aangepast, is er dan wel de mogelijkheid dathet oordeel Kamer krijgt? Het gaat mij er namelijk heel erg om dat er eenwettelijke grondslag komt, zodat – ik herhaal mezelf misschien ook wel –het lokale bestuur informatie kan krijgen, niet alleen over verschillendeincidenten, maar bijvoorbeeld ook over wat überhaupt de kritiekeentiteiten zijn. Over die informatie beschikken zij namelijk niet. Er staatook niet in de wet dat zij die informatie kunnen krijgen van het NCSC. Opde vragen vanuit de Kamer heeft het kabinet namelijk geantwoord dat erinderdaad geen wettelijke grondslag voor is dat het NCSC dit soortinformatie mag delen. Ik stel dus toch de vraag of er nog een mogelijkheidis om het amendement hier en daar wat aan te passen, zodat het danmisschien toch wel oordeel Kamer krijgt.Minister Van Weel:Ik ben bang van niet. Dat zit ’m in het fundamentele aspect dat deze wetziet op hoe wij omgaan met cyberbeveiligingsincidenten in Nederland.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3276 Dat heeft in een heleboel gevallen helemaal niets te maken met de fysiekeopenbare orde. Het feit dat er zich dus een essentiële entiteit bevindt inAmsterdam – dat zijn er wel honderd in de vorm van IT-bedrijven rondomAmsterdam – heeft niks te maken met de openbare orde en veiligheid inAmsterdam. Er is in dit opzicht dus geen enkele relatie met de taak van deburgemeester. Het hoofdkantoor van Odido is geen bedreiging. Nou ja,dat kan het worden. Dan vraag je aan mensen van het NCSC, van hetCSIRT, om elke keer de afweging te maken of dit nu een incident is bij eenkritieke entiteit die ten eerste überhaupt iets te maken heeft met openbareorde en veiligheid. Dat kost mij al capaciteit, want die capaciteit zit daarniet. Dat is niet hun werk. Ten tweede vraag je die dan om de afweging temaken om een lijntje te leggen met het lokale bestuur. Maar ik heb dielijntjes veel liever via de reguliere lijnen die ik heb voor openbare orde enveiligheid. Daar komt de NCSC-informatie vaak wel binnen. Mij bereikt hetnamelijk wel op het moment dat zoiets speelt. Daarvoor heb ik dan weergeen wettelijke grondslag in de Cyberbeveiligingswet nodig. Dat kunnenwe dan gewoon doen via de nationale crisisstructuur. Dat voelt voor mijfijner, want dan word ik gebeld door een burgemeester en weet ik ookwaarover het gaat. Als het NCSC daarin zelf een afweging maakt, al danniet op basis van de juiste gronden, wordt het rommelig, vandaar dat ikdus weinig mogelijkheden zie in dit amendement, maar heel veel in eenmotie die de facto zorgt voor wat u wilt, namelijk dat ik op het momentdat er iets is wat effect heeft op de openbare orde bij mijn gemeente,daarover word geïnformeerd.Mevrouw El Boujdaini (D66):Dan overweeg ik het amendement in te trekken en zal ik kijken naar eenmotie voor straks, in de tweede termijn.Minister Van Weel:Dan de drie amendementen bij de Wwke.Het amendement op stuk nr. 9 (36 765) van mevrouw Faber, over hetvervallen van de grondslag om extra organisaties aan te wijzen, ontraad ikmet het oog op de toekomst. Kwantum en crypto werden al evengenoemd. Stel je voor dat wij hier een nieuwe kritieke entiteit krijgen, diejuist ziet op dat vlak, dat cruciaal wordt voor onze nationale veiligheid inde toekomst. Dan moeten we extra organisaties kunnen toevoegen. Dathebben we nu dus specifiek voor Nederland gedaan waar het gaat om hetkeren en het weren van water, juist vanwege de specifieke situatie inNederland. Ik denk dus dat er altijd aanleiding kan zijn om toch extraorganisaties onder de Wwke te gaan brengen. Daar voorziet dezegrondslag in. Ik wil daarbij opmerken dat ik het dus ook geen nationalekop vind, omdat we gebruikmaken van een expliciete voorziening die doorde wet wordt gegeven. Het is niet iets wat we erbij verzinnen.Mevrouw Faber (PVV):Wat de Minister nu noemt, is in feite gewoon een instrument dat al onderde sectoren valt. Daar is dus in feite al in voorzien. Stel dat er nou eenentiteit komt waarvan u zegt: dat is iets nieuws. Dan zou u altijd bijvoor-beeld een spoedwet kunnen indienen. De Kamer hier is daar dol op, dusvolgens mij moet dat dan heel snel kunnen.Minister Van Weel:Nou, daar hebben wij wat andere ervaringen mee. Er gaat ook niks mis alswe deze grondslag behouden om in voorkomend geval heel makkelijk ensnel over te kunnen gaan tot zo’n aanwijzing. Ik denk dat we nu niks doenwat valt buiten de orde van deze wet, raar is of leidt tot extra inspan-ningen. Ik behoud die dus graag, vandaar dat ik het ontraad.Mevrouw Faber (PVV):Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3277 Ik kan er wel op reageren. Kijk, ik zie dat anders. Het is toch wel prettig omals parlement de controle te houden over de entiteiten die toegevoegdmoeten worden. Als echt de nood aan de man is, weet ik wel dat, zoals weook hebben gezien met bijvoorbeeld de coronamaatregelen, men heelsnel kan acteren als dat moet.Minister Van Weel:Wij hangen alles voor. Dat hebben we net ook afgesproken. In die zinkomt het sowieso in enige vorm langs uw Kamer, ook als het niet per wetis.Dan het amendement op stuk nr. 10 (36 765) van mevrouw Kathmann. Datis mutatis mutandis hetzelfde.De voorzitter:Dus hier haal ik de inspanningsverplichting eruit en dan krijgt het oordeelKamer. Er komt dan een apart amendement waar de inspanningsver-plichting in staat en dat amendement wordt dan ontraden.Minister Van Weel:Ik had het niet beter kunnen verwoorden, voorzitter.Dan het amendement van mevrouw Kathmann op stuk nr. 11 (36 765) overde voorhangprocedure. Daar geldt hetzelfde voor als voor het andere.Omdat het ziet op toekomstige wijzigingen geef ik dat oordeel Kamer.De voorzitter:Dat brengt ons wel bij de tweede termijn van de Kamer. Dan kijk ik gelijknaar de heer Van den Berg van JA21.De heer Van den Berg (JA21):Ik weet niet hoe de rest erin staat, maar is er wellicht ruimte voor een helekorte sanitaire stop?De voorzitter:Nou, ik denk dat het handig is ...De heer Van den Berg (JA21):In reactie op wat mevrouw Faber buiten de microfoon zegt: die inschattinglaat ik voor haar!De voorzitter:Meneer Van den Berg, ik denk dat het handig is om nu heel snel detweede termijn te doen en dan hebben we sowieso even een kleineschorsing.De heer Van den Berg (JA21):Kunnen we anders de sprekersvolgorde even omwisselen?De voorzitter:Oké. Mevrouw Faber. Uw tweede termijn? Nee, u maakt daar geen gebruikvan. Dan mevrouw Martens-America.Mevrouw Martens-America (VVD):Dank, voorzitter. Dank aan de Minister. Wij zijn blij met de toezeggingenmet betrekking tot de evaluatietermijn, dat er nu dus gekeken gaat wordennaar twee jaar. Dank voor de beantwoording.De voorzitter:Mevrouw Zwinkels.Mevrouw Zwinkels (CDA):Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3278 Dank, voorzitter. Ik wil nog een motie indienen in de tweede termijn. Die isalleen nog onderweg, dus misschien kan ik straks aan de beurt komen?De voorzitter:Ja. Dan mevrouw El Boujdaini.Mevrouw El Boujdaini (D66):Ik wil graag twee moties indienen.Ik begin bij de motie over het versterken van de informatiepositie vanburgemeesters en veiligheidsregio’s. Ik zal ’m even oplezen.Motie De Kamer,gehoord de beraadslaging,constaterende dat de burgemeester op grond van de Gemeentewetverantwoordelijk is voor de handhaving van de openbare orde binnen degemeente en dat de voorzitter van de veiligheidsregio is belast metcrisisbeheersing op regionaal niveau;constaterende dat cyberincidenten bij organisaties in de gemeente, zoalsziekenhuizen, energiebedrijven of vervoerders, directe gevolgen kunnenhebben voor de openbare orde;verzoekt de regering de informatiepositie van burgemeesters envoorzitters van de veiligheidsregio’s te versterken bij cyberincidenten metgevolgen voor de openbare orde en hiervoor indien nodig een grondslagte creëren voor informatiedeling met burgemeesters en voorzitters van deveiligheidsregio’s,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid El Boujdaini.Zij krijgt nr. 15 (36 764).De Cbw heeft dossiernummer 36 764. Betreft dit inderdaad de Cbw?Mevrouw El Boujdaini (D66):Ja, dit gaat om de Cbw.De voorzitter:Dan noteren we bij deze motie dossiernummer 36 764.Mevrouw El Boujdaini (D66):Oké.Dan een tweede motie, ook over de Cbw, dus 36 764. Deze motie gaatover een plan of een routekaart voor een cybersecuritystelsel voor hetCaribisch deel van het Koninkrijk.Motie De Kamer,gehoord de beraadslaging,Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3279 constaterende dat het Caribisch deel van het Koninkrijk ook te makenheeft met cyberdreigingen en digitale bescherming en weerbaarheid daarook cruciaal is;constaterende dat de Veiligheidsstrategie van het Koninkrijk der Neder-landen een goed begin is, maar nog niet toereikend genoeg;verzoekt het kabinet aan een concreet plan of een routekaart te werken omte komen tot een cybersecuritystelsel voor het Caribisch deel van hetKoninkrijk dat zo veel mogelijk aansluit bij het niveau van digitalebescherming en weerbaarheid in Europees Nederland, en dit samen methet Caribisch deel te doen,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door de leden El Boujdaini en Kathmann.Zij krijgt nr. 16 (36 764).Mevrouw El Boujdaini (D66):Dan wil ik de Minister nog graag bedanken voor de beantwoording en ookvoor de suggestie en het meedenken over de motie.De voorzitter:Dan is het woord aan mevrouw Zwinkels.Mevrouw Zwinkels (CDA):Dank u wel, voorzitter. Ik wil beginnen met het bedanken van de Ministervoor de beantwoording en de diverse toezeggingen. We hebben hiervandaag een goed debat gehad.Ik heb tot slot één motie en die gaat over de ketensamenwerking tussenbedrijven.Motie De Kamer,gehoord de beraadslaging,constaterende dat digitale weerbaarheid niet alleen afhangt van debeveiliging van afzonderlijke organisaties, maar ook van de samen-werking en kennisdeling binnen ketens;overwegende dat cyberdreigingen zich snel ontwikkelen en dat binnenketens een gedeeld belang bestaat om de digitale beveiliging op orde tehebben;overwegende dat kleinere bedrijven baat kunnen hebben bij beteretoegang tot dreigingsinformatie en de geleerde lessen;verzoekt de regering in kaart te brengen hoe de uitwisseling vandreigingsinformatie en geleerde lessen binnen ketens kan wordenversterkt, in het bijzonder zodat ook kleinere bedrijven daarvan beterkunnen profiteren, en de Kamer hierover te informeren,en gaat over tot de orde van de dag.De voorzitter:Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3280 Deze motie is voorgesteld door het lid Zwinkels.Zij krijgt nr. 17 (36 764).Dit is ook 36 764, hè? Dit gaat over de Cbw?Mevrouw Zwinkels (CDA):Ja, dit gaat over de Cyberbeveiligingswet.De voorzitter:Ja, dat klopt. Ik kijk even of de heer Van Dijk behoefte heeft ... Nee, hijheeft geen behoefte aan een tweede termijn.Dan kijk ik naar de heer Van den Berg, want ik kan ook, hè. Zeg het maar.De heer Van den Berg (JA21):Nee, we zijn nu toch bezig, voorzitter. Allereerst dank aan de Minister vooralle uitleg en de toelichting op alle gestelde vragen. Het waren erinderdaad behoorlijk veel. Het is ook fijn om in dit debat een keer metMinister van Weel te sparren.Het was al even te zien: dit zijn de moties en amendementen die nog nietzijn ingediend. In ieder geval is wel helder waar de Minister heen wil enwaar wel en niet draagvlak voor is. Wij zullen onze amendementen enmoties nog indienen, maar dan natuurlijk wel rekening houdend met dediscussie die we hier met elkaar hebben gevoerd. Een discussie dieoverigens zeer constructief was. Laat ik het daar voor nu bij houden.Dank u wel.De voorzitter:Dan draag ik het voorzitterschap even over voor de tweede termijn vanhet lid Kathmann van GroenLinks-Partij van de Arbeid.Voorzitter: Van den BergMevrouw Kathmann (GroenLinks-PvdA):Ook ik wil in de eerste plaats de Minister van harte danken voor dezorgvuldige beantwoording. Het is inderdaad heel helder op welke lijn deMinister zit.Ik heb nog wel een aantal moties. De eerste betreft dossiernummer36 764.Motie De Kamer,gehoord de beraadslaging,constaterende dat de Cyberbeveiligingswet een zorgplicht en eenmeldplicht introduceert om cyberveiligheidsrisico’s te voorkomen enbeheersen;overwegende dat een grootschalig datalek directe gevolgen heeft voorslachtoffers wier persoonsgegevens worden buitgemaakt, zoals bij deOdidohack en het lek bij het bevolkingsonderzoek baarmoederhalskanker;overwegende dat er nog geen wettelijk kader bestaat voor hoe individueleslachtoffers geholpen en geïnformeerd moeten worden in de nasleep vaneen grootschalig datalek;verzoekt de regering om een wettelijke nazorgplicht te onderzoeken voorincidenten waarin op grote schaal persoonsgegevens worden gelekt, metTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3281 als doel om de rechten van individuele slachtoffers en de plichten voor degetroffen instantie(s) in de wet vast te leggen;verzoekt de regering om dit onderzoek uiterlijk in Q3 van 2026 af teronden en de Kamer hierover te informeren,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Kathmann.Zij krijgt nr. 18 (36 764).Mevrouw Kathmann (GroenLinks-PvdA):Motie De Kamer,gehoord de beraadslaging,constaterende dat de Cyberbeveiligingswet en de Wet weerbaarheidkritieke entiteiten een meldplicht introduceren waarvoor een meldloketwordt ingericht;overwegende dat entiteiten baat hebben bij één centraal en overzichtelijkmeldloket, dat bruikbaar is voor alle soorten meldingen die volgen uitnationale en sectorale wetgeving;verzoekt de regering om één centraal meldloket in te richten waarbinnenalle relevante soorten meldingen gedaan kunnen worden;verzoekt de regering om de Kamer in Q4 van 2026 te informeren over deinrichting van het centrale meldloket,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Kathmann.Zij krijgt nr. 19 (36 764).Mevrouw Kathmann (GroenLinks-PvdA):Deze motie wil ik mogelijk aanhouden of intrekken, want de Minister heefthier een uitgebreide toezegging over gedaan. Alleen wil ik wel weten ofdie toezegging echt is bedoeld inclusief alle meldmogelijkheden die nu algelden voor bijvoorbeeld ... Ik weet niet precies hoe het heet; is hetCeveso-wetgeving of Seveso-wetgeving? Volgens mij valt het onder IenW,de AVG en andere sectorale regels. Gaat het echt over één loket dat allesbundelt, zodat straks op één plek alles samen kan komen? Als dat detoezegging is – het was al een mooie toezegging – dan zou dat helemaalmooi zijn. Het zou mooi zijn als daar ook een termijn aan verbonden konworden, want dan kan ik die motie gewoon intrekken.Motie De Kamer,Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3282 gehoord de beraadslaging,constaterende dat het kabinet heeft ingeschat dat tussen de 7.550 en 8.100entiteiten onder de Cyberbeveiligingswet zullen vallen, en 500 entiteitenonder de Wet weerbaarheid kritieke entiteiten;overwegende dat het kabinet vooralsnog uitgaat van het vrijwilliguitvoeren van een nationale vitaalbeoordeling door deze entiteiten,waaruit blijkt of ze aan de wetgeving moeten voldoen;verzoekt de regering om organisaties die vermoedelijk aan de Cyberbevei-ligingswet en de Wet weerbaarheid kritieke entiteiten moeten voldoen,proactief op te roepen om de vitaalbeoordeling uit te voeren en hierop toete zien;verzoekt de regering om dezelfde organisaties gelijktijdig te wijzen oprelevante informatie en deadlines voor organisaties die als entiteit wordenaangemerkt,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Kathmann.Zij krijgt nr. 20 (36 764).Mevrouw Kathmann (GroenLinks-PvdA):Motie De Kamer,gehoord de beraadslaging,constaterende dat er binnen vier tot vijf jaar na de inwerkingtreding vande Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten eenevaluatie wordt gedaan naar de effectiviteit van de wetten;overwegende dat dit een logisch moment is om te bezien of er aanvul-lende aanpassingen wenselijk en mogelijk zijn, zoals het onderbrengenvan zaken uit de lagere regelgeving op het niveau van de wet, en hetuitbreiden van de reikwijdte naar de Caribische delen van het Koninkrijk;verzoekt de regering om bij de evaluatie van de Cyberbeveiligingswet ende Wet weerbaarheid kritieke entiteiten te bezien of, en zo ja, hoe, dewetten aangepast kunnen worden zodat verplichtingen uit de lagereregelgeving zo veel mogelijk op het niveau van de wet zijn geregeld en dereikwijdte van de wetten binnen een redelijke termijn wordt uitgebreidnaar heel het Koninkrijk,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Kathmann.Zij krijgt nr. 21 (36 764).Voorzitter: KathmannDe voorzitter:Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3283 Dan heeft iedereen volgens mij zijn tweede termijn achter de rug. Ik kijkeven naar de Minister met de vraag hoeveel tijd er nodig is. O, de heerVan den Berg heeft toch nog even iets toe te voegen aan zijn tweedetermijn.De heer Van den Berg (JA21):Jazeker. Ik had van tevoren al even gecheckt of wij de moties eventueellater nog kunnen indienen. Er was even een misverstand. Ik moet mijnmooie boekje dus gaan opofferen en de moties eruit scheuren. U heeft ereen voor me? Nee, daar komt natuurlijk nog de steun uit. Ik ga het tocheven zo doen. We zijn creatief.Motie De Kamer,gehoord de beraadslaging,constaterende dat entiteiten in de praktijk tegelijk onder de Cyberbeveili-gingswet en de Wet weerbaarheid kritieke entiteiten kunnen vallen endaardoor met meerdere bevoegde autoriteiten, audits, informatiever-zoeken en bewijssets te maken kunnen krijgen;overwegende dat effectieve weerbaarheid vraagt om zo min mogelijkdubbel werk en dat toezichtlast niet onnodig mag afleiden van feitelijkebeveiligings- en weerbaarheidsmaatregelen;verzoekt de regering om voor entiteiten die onder beide wetten vallen uitte werken dat één gecoördineerd dossier, één auditkalender, één zo veelmogelijk herbruikbare bewijsset en één coördinerend aanspreekpunt hetuitgangspunt zijn, en dat dubbele informatieverzoeken alleen plaatsvindenindien dat aantoonbaar noodzakelijk is,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Van den Berg.Zij krijgt nr. 22 (36 764).De heer Van den Berg (JA21):Dan moet ik wel de achterkant nog even terug hebben, want daar staatook nog een motie op. Prachtig, dit.Motie De Kamer,gehoord de beraadslaging,constaterende dat voor overheidsorganisaties de uitwerking van deCyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten kansamenlopen met de BIO (Baseline Informatiebeveiliging Overheid) enENSIA (Eenduidige Normatiek Single Information Audit);overwegende dat dubbele verantwoordings-, audit- en bewijsstructurencapaciteit wegnemen die juist nodig is voor feitelijke weerbaarheid;Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3284 verzoekt de regering om bij de uitwerking van lagere regelgeving,handreikingen en toezichtpraktijk onder de Cyberbeveiligingswet en deWet weerbaarheid kritieke entiteiten voor overheidsorganisaties expliciette borgen dat verplichtingen, bewijslasten, auditlogica en verantwoor-dingsinformatie zo veel mogelijk worden geharmoniseerd met BIO enENSIA, en de Kamer hierover vóór de inwerkingtreding te informeren,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Van den Berg.Zij krijgt nr. 23 (36 764).De heer Van den Berg (JA21):Dan heb ik de achterkant van die andere motie nog even nodig. Creati-viteit, maar het komt goed.Motie De Kamer,gehoord de beraadslaging,constaterende dat artikel 34 van de Wet weerbaarheid kritieke entiteiteneen ruime vertrouwelijkheidsregeling bevat en dat bij of krachtens deWwke leveranciersmaatregelen kunnen worden getroffen die diepingrijpen in bedrijfsvoering, eigendom en continuïteit;overwegende dat de Kamer ook op deze onderdelen haar controlerendetaak moet kunnen uitoefenen zonder operationele belangen, kwetsbaar-heden of veiligheidsbelangen te schaden;verzoekt de regering om de Kamer vanaf de inwerkingtreding van deWwke halfjaarlijks vertrouwelijk en geaggregeerd te informeren over detoepassing van artikel 34 Wwke in zwaarwegende gevallen en over detoepassing van leveranciersmaatregelen, met in elk geval informatie overaantallen, betrokken sectoren, de algemene aard van het risico en destand van eventuele bezwaar- en beroepsprocedures,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Van den Berg.Zij krijgt nr. 12 (36 765).De heer Van den Berg (JA21):Dan zijn we rond. Ik mis wel een beetje het scheureffect.Motie De Kamer,gehoord de beraadslaging,constaterende dat entiteiten die onder zowel de Cyberbeveiligingswet alsde Wet weerbaarheid kritieke entiteiten vallen met meerdere bevoegdeTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3285 autoriteiten te maken kunnen krijgen en dat in het dossier is gewezen ophet risico van meervoudige beboeting voor hetzelfde feitencomplex;overwegende dat effectieve handhaving niet mag ontaarden in dubbelpunitief optreden voor dezelfde feiten en hetzelfde beschermde belang;verzoekt de regering om bij de uitwerking van samenwerkingsafspraken,handhavingsbeleid en lagere regelgeving te borgen dat voor hetzelfdefeitencomplex en hetzelfde beschermde belang niet meer dan éénpunitieve sanctie wordt opgelegd onder de Cbw en de Wwke, en deKamer vóór de inwerkingtreding te informeren hoe dit is geborgd,en gaat over tot de orde van de dag.De voorzitter:Deze motie is voorgesteld door het lid Van den Berg.Zij krijgt nr. 24 (36 764).De heer Van den Berg (JA21):Dank. Alles komt weer tot een goed einde.De voorzitter:Dan kijk ik toch nog één keer naar de heer Van den Berg. Dit was ’m, hè?De heer Van den Berg (JA21):Jazeker.De voorzitter:Dan zijn we echt klaar met de tweede termijn van de zijde van de Kamer.Ik kijk heel even hoeveel tijd de Minister nodig heeft. We gaan drieminuten schorsen.De vergadering wordt van 16.08 uur tot 16.14 uur geschorst.De voorzitter:Achter de schermen is er weer keihard gewerkt om alles klaar te hebben.We wachten niet op de motie op stuk nr. 12 (36 765) en de motie op stuknr. 24 (36 764), maar die komen er wel nog aan. Zo kunnen we alvastbeginnen met de appreciatie van de moties. Het woord is aan de Minister.Minister Van Weel:Dank, voorzitter. Dank ook aan de leden voor de inbreng in tweedetermijn. Ik ga in sneltreinvaart door de moties heen.De motie op stuk nr. 15 (36 764), van mevrouw El Boujdaini, gaat overlokale overheden. Oordeel Kamer.De motie op stuk nr. 16 (36 764) gaat over de routekaart voor het Caribischdeel van het Koninkrijk. Oordeel Kamer.De motie op stuk nr. 17 (36 764), van mevrouw Zwinkels, gaat over deketensamenwerking. Oordeel Kamer.De motie op stuk nr. 18 (36 764), van mevrouw Kathmann, gaat over denazorgplicht. Oordeel Kamer, als ik de motie zo mag opvatten dat we hetgevraagde betrekken bij de uitwerking van de motie-Rajkowski die ophetzelfde onderwerp ziet.De voorzitter:Zeker. Vindt u het prettig als ik dat als indiener aanpas in de tekst?Minister Van Weel:Dat helpt.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3286 De voorzitter:Dank; dan zal ik dat doen.Minister Van Weel:Dank.Dan de motie op stuk nr. 19 (36 764). Ik was erg scheutig met het centraalmeldpunt, maar zo scheutig als u mij hier wil laten zijn, kan ik toch net nietzijn. De reikwijdte die u noemt, wordt te groot. Die gaat over te veelverschillende sectoren heen. We riskeren daarmee een one-size-fits-allwaarbij je eerst een kwartier door een belmenu heen moet, omdat hetaantal instanties die erachter zitten te breed is. We proberen om er zo veelmogelijk onder te brengen wat echt betrekking heeft op de Cyberbeveili-gingswet en de Wwke; ik noemde al twee richtlijnen die we er ook bijonderbrengen. We zullen continu kijken naar het centraliseren, maargezien de reikwijdte van dit dictum moet ik deze motie helaas ontraden.De motie op stuk nr. 20 (36 764) kan ik oordeel Kamer geven als ik die zomag interpreteren dat wij «proactief oproepen» niet verstaan alsindividueel aanschrijven maar als ertoe oproepen via media, social media,webinars et cetera. Voor de Wwke is het sowieso geen probleem, want dieorganisaties krijgen allemaal al individueel een benadering door devakminister. Met deze interpretatie: oordeel Kamer.De voorzitter:Zo kan die geïnterpreteerd worden, zeg ik via de voorzitter.Minister Van Weel:Dank.De motie op stuk nr. 21 (36 764) gaat over de evaluatie en over bezienwelke onderdelen naar wetgeving kunnen. Die motie wil ik oordeel Kamergeven, maar ik wil daarbij wel zeggen dat het deel van het dictum dat zegt«zo veel als mogelijk» niet mijn enige leidende criterium is. Ik zou zeggen«waar nodig en opportuun». Met die tekst kan ik de motie oordeel Kamergeven. Maar het is geen doel op zich om alles vast te leggen in hogereregelgeving, omdat dat ons ook weer vast kan zetten voor toekomstigeontwikkelingen. Als ik de motie zo mag interpreteren, kan deze oordeelKamer krijgen.De voorzitter:Ja, dat kan, zeg ik ook weer via de voorzitter. Mevrouw Zwinkels?Mevrouw Zwinkels (CDA):Het is niet mijn eigen motie, maar ik ben altijd kritisch op ruime interpre-taties van moties. Ten aanzien van een punt zoals dit kan ik mij voorstellendat het belangrijk is dat we de motie in de boeken hebben staan zoals dieook bedoeld is. Ik ga er niet voorliggen, maar vind het hier best welwezenlijk dat ... Dit zou aangepast kunnen worden, laat ik het zo zeggen.De voorzitter:Als voorzitter kan ik alleen maar zeggen: dat is genoteerd. Dan denk ik dathet aan de indiener is om even aan te geven of de tekst zal wordenaangepast.Minister Van Weel:Mijn advies voor de aanpassing zou zijn om in plaats van «zo veelmogelijk», «waar nodig en opportuun» te schrijven.De voorzitter:Dan zegt de indiener dat het aangepast gaat worden.Minister Van Weel:Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3287 Dank, voorzitter.De motie op stuk nr. 22 (36 764) krijgt oordeel Kamer.De motie op stuk nr. 23 (36 764): oordeel Kamer.De motie op stuk nr. 12 (36 765): oordeel Kamer.De motie op stuk nr. 24 (36 764): oordeel Kamer. En dat is niet omdat het16.15 uur is.De voorzitter:Dan kijk ik even naar mijn linkerzijde. Volgens mij is iedereen tevreden. Ikdank de Minister voor de beantwoording, de toezeggingen en deappreciatie van de moties en amendementen. We hebben natuurlijk nogeen aantal toezeggingen staan. Die zal ik even met u doornemen.–Een. De Minister van JenV zegt toe een schriftelijk overzicht met deKamer te delen over de punten in de Cyberbeveiligingswet die nognader uitgewerkt dienen te worden, inclusief, waar het kan, eenvernoeming van termijnen waarop deze uitgewerkt zullen worden.Dan is nog wel even de vraag binnen welke termijn dat naar de Kamerkan.Minister Van Weel:Voor de inwerkingtreding. Ik hoop natuurlijk dat dat ergens voor de zomerzal zijn, maar de inwerkingtreding is hier wat mij betreft leidend voor.De voorzitter:Dan komt daarbij «voor de inwerkingtreding van de wet».–De tweede. De Minister van JenV zegt toe om de Cyberbeveiligingswetbinnen twee jaar na invoering van de wet te gaan evalueren, wel na deevaluatie van de betreffende commissie, de regeldruk hierin mee tenemen en de relevante punten voortvloeiend uit de periodiekeevaluatie van de Cyberbeveiligingswet die implicaties hebben voor deWet weerbaarheid kritieke entiteiten mee te nemen in de verdereuitvoering van de Wet weerbaarheid kritieke entiteiten.–Drie. De Minister van JenV zegt toe om de samenwerkingsafsprakendie zullen worden gemaakt tussen toezichthouders bij het directeuren-overleg voor de invoering van de Cyberbeveiligingswet met de Kamerte delen en in de Staatscourant te publiceren.–Vier. De Minister van JenV zegt toe schriftelijk terug te komen op dedoor het lid Faber genoemde casus inzake de Wet weerbaarheidkritieke entiteiten en de afhankelijkheid van het toezicht, bijvoorbeeldin het geval van de kerncentrale.Wanneer komt dat richting de Kamer?Minister Van Weel:Voor de zomer.De voorzitter:Voor de zomer komt dat naar de Kamer.–Vijf. De Minister van JenV zegt toe de vraag over een nazorgplicht voorslachtoffers van cyberaanvallen, gesteld door het lid Kathmann, mee tenemen in de verdere uitwerking van de betreffende motie van het lidRajkowski.–Zes. De Minister van JenV zegt toe het door het lid Van den Berggevraagde tijdspad over de uitwerking van de Cyberbeveiligingswetrichting Caribisch Nederland mee te nemen in de eerste evaluatie vande wet en aan de Staatssecretaris Koninkrijksrelaties de vraag van hetlid El Boujdaini, inzake een algemene routekaart voor hetcyberbeschermings- en weerbaarheidsniveau van Caribisch Neder-land, door te geleiden.–Zeven. De Staatssecretaris Digitale Economie en Soevereiniteit en deMinister van JenV zullen in samenwerking voor het eind van het jaarTweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3288 de Kamer informeren over de vragen van het lid Zwinkels inzakegekwalificeerde vertrouwensdiensten en mogelijke alternatieven ingehanteerde werkwijzen hierbij.Dan knikt ook iedereen. Ik kijk toch nog even naar het lid Kathmann vanGroenLinks-Partij van de Arbeid voor de eenloketgedachte. Er was in iedergeval wel een toezegging om één loket te doen, maar dan wel in debewoording die de Minister daaraan heeft gegeven.Minister Van Weel:Ja.De voorzitter:Dan zijn we er. Mevrouw El Boujdaini heeft nog een vraag.Mevrouw El Boujdaini (D66):Ik zat even te denken. Mijn vragen over het Caribisch deel van Nederlandzouden kunnen worden ondervangen als mijn motie over die routekaartgewoon wordt aangenomen. Het ligt er even aan. Als die motie wordtaangenomen, dan hoeft die vraag ook niet meer door de StaatssecretarisKoninkrijksrelaties te worden beantwoord.Minister Van Weel:Ik hoor een stemadvies.De voorzitter:Ja, dit was een soort campagne voor de motie. We hebben net eencampagne achter de rug! Mevrouw Zwinkels.Mevrouw Zwinkels (CDA):Ik had nog één vraag over een toezegging die ik had gekregen ten aanzienvan die samenwerkingsafspraken tussen toezichthouders. Is daar nou welof niet een termijn aan gekoppeld? Die hoorde ik zojuist niet. Die termijnkan ook zijn «t.z.t., zodra dat gereed is en gepubliceerd kan worden in deStaatscourant».De voorzitter:Daar staat expliciet bij: voor de invoering van de Cyberbeveiligingswetmet de Kamer te delen. Dat is dus voor de invoering van de wet.Mevrouw Zwinkels (CDA):Prima.De voorzitter:Volgens mij is dan echt iedereen tevreden. Dan dank ik de Minister eniedereen achter de schermen voor de goede zorgen. Ik kijk even naar links,want ik vergeet iets. Wat moet ik nog doen? Volgende week stemmen weover de moties en de week daarop stemmen we over de amendementenen het wetsvoorstel. Ik sluit de vergadering.Sluiting 16.23 uur.Tweede Kamer, vergaderjaar 2025–2026, 36 764, nr. 3289
Bron, video en gesprek →0debatten
1.202bijdragen
0interrupties
0woorden in uitspraken
Partijen door de tijd: JA21 (2021-03-31–heden) · Groep Eerdmans-van Schijndel (2006-09-25–2006-11-29) · LPF (2002-05-23–2006-09-24) ·