NIS2 en AI: wat de Cyberbeveiligingswet vraagt van uw AI-gebruik
Kort antwoord
NIS2 regelt geen AI, maar raakt het wel: een AI-dienst is onderdeel van uw netwerk- en informatiesystemen en van uw leveranciersketen. In Nederland geldt de richtlijn sinds 15 augustus 2026 via de Cyberbeveiligingswet. Essentiële en belangrijke entiteiten moeten de risico’s van hun AI-leveranciers beheersen, incidenten binnen 24 uur vroegtijdig melden, en hun bestuur is verantwoordelijk voor die maatregelen.
NIS2 in Nederland: de Cyberbeveiligingswet
De Europese NIS2-richtlijn (2022/2555) moest in oktober 2024 zijn omgezet. Nederland deed dat met de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden, samen met de Wet weerbaarheid kritieke entiteiten. Ruim achtduizend organisaties in onder meer energie, zorg, vervoer, digitale infrastructuur, afvalwater, voedsel, maakindustrie en overheid vallen eronder, als essentiële of belangrijke entiteit. De meldtermijnen en de afspraken met AI-leveranciers staan in NIS2-meldplicht en AI-leveranciers.
Valt uw organisatie eronder, dan moet u zich registreren, passende beveiligingsmaatregelen nemen en ernstige incidenten melden. Het NCSC en de sectorale toezichthouders geven invulling aan het toezicht.
Waar NIS2 en AI elkaar raken
- Risicobeheer (artikel 21): AI-toepassingen horen in uw risicoanalyse, net als elk ander informatiesysteem. Welke gegevens gaan erin, wie heeft toegang, wat als de dienst uitvalt?
- Beveiliging van de toeleveringsketen: een externe AI-dienst is een leverancier. NIS2 vraagt dat u de beveiligingspraktijken van leveranciers beoordeelt en afspraken maakt. Bij een grote buitenlandse AI-leverancier hebt u daar weinig grip op.
- Meldplicht (artikel 23): een significant incident meldt u binnen 24 uur vroegtijdig, binnen 72 uur met een eerste beoordeling en binnen een maand met een eindrapport. Een AI-incident, zoals het weglekken van gegevens via een AI-dienst, kan daaronder vallen.
- Bestuur (artikel 20): het bestuur keurt de maatregelen goed, ziet toe op de uitvoering, moet zelf training volgen en kan aansprakelijk worden gesteld.
Vijf vragen die uw bestuur over AI moet kunnen beantwoorden
- Welke AI-diensten gebruikt de organisatie, officieel en onofficieel? Zie Shadow AI.
- Welke gegevens gaan daarin, en bij welke leveranciers liggen ze?
- Wat gebeurt er als een AI-dienst uitvalt of zijn voorwaarden wijzigt?
- Kunnen we een incident met een AI-dienst binnen 24 uur signaleren en melden?
- Kunnen we aantonen wie wat met AI heeft gedaan? Zie AI Act in 2026 voor de overlap met de AI Act.
De leveranciersketen verkorten
Hoe meer externe AI-diensten, hoe meer leveranciers u moet beoordelen, contractueel moet vastleggen en moet monitoren. Wie AI op eigen infrastructuur draait, haalt die schakel uit de keten: er is geen externe modelleverancier die gegevens verwerkt of kan uitvallen.
Met werqly draaien open-weight modellen op een eigen node in uw serverruimte, gekoppeld aan uw identity provider. De audit log van werqly AI Control gaat naar uw SIEM, zodat een AI-incident in dezelfde detectie en meldprocedure valt als de rest van uw systemen. In eigen beheer is werqly vooral softwareleverancier; bij werqly Pro beheer of werqly Cloud is werqly een leverancier in uw keten, die u net als andere leveranciers beoordeelt. Het ISO 27001-certificeringstraject van werqly loopt. Zie ook Wat is private AI?
Veelgestelde vragen
Vragen over dit onderwerp
Sinds wanneer geldt NIS2 in Nederland?
Sinds 15 augustus 2026, via de Cyberbeveiligingswet. Die trad in werking samen met de Wet weerbaarheid kritieke entiteiten. Organisaties die eronder vallen, moeten zich registreren, maatregelen nemen en ernstige incidenten melden.
Valt een AI-dienst onder de leveranciersketen van NIS2?
Ja. Een externe AI-dienst verwerkt uw gegevens en is onderdeel van uw informatiesystemen. NIS2 vraagt dat u de beveiliging van zulke leveranciers beoordeelt en daar afspraken over maakt, net als bij andere ICT-leveranciers.
Moet een datalek via een AI-chatbot onder NIS2 gemeld worden?
Als het een significant incident is, ja: binnen 24 uur vroegtijdig, binnen 72 uur met een eerste beoordeling. Los daarvan geldt de meldplicht voor datalekken onder de AVG, bij de Autoriteit Persoonsgegevens.
Is het bestuur persoonlijk verantwoordelijk onder NIS2?
Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering en zelf training volgen. Het kan worden aangesproken als het die taken niet vervult. AI-risico’s horen daarom op de bestuursagenda.
Bronnen
- Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht
- NCSC — Cyberbeveiligingswet (NIS2)
- NIS2-richtlijn — Richtlijn (EU) 2022/2555
Dit artikel is algemene informatie, geen juridisch advies. Regels en richtsnoeren veranderen; controleer bij twijfel de genoemde bronnen of vraag uw jurist of FG.