Wet bevordering digitale weerbaarheid bedrijven — de wettelijke basis van het Digital Trust Center

Deze wet geeft de minister van Economische Zaken en Klimaat voor het eerst een expliciete wettelijke grondslag om het niet-vitale bedrijfsleven — het overgrote deel van het Nederlandse mkb, buiten de sectoren die onder de Cyberbeveiligingswet vallen — te informeren, te adviseren en tot onderlinge samenwerking te brengen op het gebied van digitale weerbaarheid. De wet legt zelf geen enkele verplichting op aan bedrijven: er is geen meldplicht, geen registratie en geen zorgplicht. Waar de Cyberbeveiligingswet aangewezen essentiële en belangrijke entiteiten dwingt tot risicobeheer en incidentmelding, regelt deze wet uitsluitend de bevoegdheid van de overheid om dat andere, veel grotere deel van het bedrijfsleven vrijwillig te ondersteunen — uitgevoerd door het Digital Trust Center, dat inmiddels is opgegaan in het NCSC.

Waarvoor is dit bedoeld

Het Digital Trust Center (DTC) informeerde en adviseerde niet-vitale bedrijven al sinds de oprichting in 2017, maar deed dat zonder een echte wettelijke basis. Deze wet regelt die grondslag alsnog: zij formuleert de taken van de minister van EZK om informatie en advies te verstrekken en samenwerking tussen bedrijven te bevorderen, zodat ook dit deel van het bedrijfsleven structureel met dreigingsinformatie en praktische hulp wordt bereikt.

Voor wie

Het niet-vitale bedrijfsleven: elk Nederlands bedrijf dat niet als essentiële of belangrijke entiteit onder de Cyberbeveiligingswet is aangewezen. Er gelden geen omvang- of omzetdrempels, en dat is ook niet nodig — de wet verplicht namelrijk niemand tot iets, zij regelt alleen dat de minister deze groep mag en moet bedienen.

Wat er niet onder valt

Bedrijven die al onder de Cyberbeveiligingswet vallen, hebben met het NCSC te maken in zijn wettelijke rol als CSIRT — met eigen meld- en zorgplichten. Deze wet regelt dat andere spoor niet; zij gaat over de dienstverlening aan de rest van het bedrijfsleven, waarvoor geen wettelijke verplichtingen gelden.

Wat je moet doen

Niets is verplicht. Een ondernemer die van de dienstverlening gebruik wil maken, meldt zich vrijwillig aan bij het NCSC (voorheen het DTC) voor nieuwsbrieven, dreigingsinformatie, basisscans en deelname aan samenwerkingsverbanden met andere bedrijven in dezelfde sector of regio.

Wat een ondernemer ervoor terugkrijgt

Praktische informatie en advies over digitale weerbaarheid, toegespitst op het mkb: waarschuwingen bij actuele dreigingen, handelingsperspectief bij kwetsbaarheden, en toegang tot een netwerk van sectorale en regionale samenwerkingsverbanden waarin bedrijven onderling ervaring en dreigingsinformatie delen.

Hoe je aan die informatie komt

Via ncsc.nl, waar digitaltrustcenter.nl automatisch naartoe doorverwijst sinds de fusie. Voor bedrijven die geen wettelijke meldplicht hebben, is dit het aanspreekpunt in plaats van het formele CSIRT-meldkanaal dat voor Cyberbeveiligingswet-plichtige entiteiten geldt.

Verplichting of vrijwilligheid

Nadrukkelijk vrijwillig. Er is geen sanctie op het niet gebruikmaken van de dienstverlening, en de wet regelt ook geen verplichting voor bedrijven om zelf informatie met de overheid te delen.

Wetgevingstraject

Ingediend bij de Tweede Kamer op 9 december 2022, aangenomen door de Tweede Kamer op 19 maart 2024 en door de Eerste Kamer op 9 juli 2024 (bij zitten en opstaan), gepubliceerd in het Staatsblad op 13 augustus 2024; het inwerkingtredingsbesluit is gepubliceerd op 12 september 2024.

Uitvoering door het DTC/NCSC

Het Digital Trust Center werd in 2017 opgericht als los overheidsloket voor het niet-vitale bedrijfsleven en is sindsdien opgegaan in het NCSC: digitaltrustcenter.nl leidt door naar ncsc.nl. Voor het mkb betekent dit één loket in plaats van twee gescheiden overheidsorganisaties.

Verhouding tot de Cyberbeveiligingswet

De Cyberbeveiligingswet, sinds 15 augustus 2026 in werking, regelt de verplichte kant: zorgplicht en meldplicht voor aangewezen essentiële en belangrijke entiteiten, met het NCSC als CSIRT. Deze wet regelt de vrijwillige kant voor de rest van het bedrijfsleven. Beide sporen lopen sindsdien via dezelfde organisatie, maar met een fundamenteel ander karakter: het ene verplicht, het andere biedt aan.

Toezicht NL

Niet van toepassing in de gebruikelijke zin: omdat de wet geen verplichtingen aan bedrijven oplegt, is er ook geen toezichthouder die op naleving door bedrijven controleert. De minister van EZK is politiek verantwoordelijk voor de uitvoering door het NCSC.

Boete

Geen. De wet kent geen sanctiebepalingen, omdat zij geen enkele verplichting aan bedrijven oplegt om na te leven. Naleving is dus geen thema — het gaat om een dienstverlenende taak van de overheid, niet om een gedragsnorm voor bedrijven.