Het EU-plan voor AI-cybersecurity raakt Nederland al op 15 augustus

Twee dossiers die vaak apart worden besproken, kwamen deze week ineens naast elkaar te liggen. In Brussel presenteerde de Europese Commissie een actieplan voor cybersecurity en kunstmatige intelligentie. In Den Haag stemde de Eerste Kamer in met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Voor Nederlandse bestuurders, IT-teams en leveranciers is de combinatie belangrijker dan de losse persberichten. AI verandert het tempo van cyberaanvallen, terwijl Nederland vanaf 15 augustus een zwaarder wettelijk kader krijgt voor digitale weerbaarheid.

Het Europese actieplan is geen nieuwe algemene AI-wet. Die basis ligt al bij de AI Act en bij bestaande cyberregels zoals NIS2, de Cyber Resilience Act en DORA voor de financiële sector. De Commissie probeert nu vooral de uitvoering praktischer te maken. Het plan gaat over geavanceerde AI-modellen die kunnen helpen bij het opsporen van kwetsbaarheden, het analyseren van incidenten en het beschermen van kritieke infrastructuur. Dezelfde modellen kunnen ook worden misbruikt om zwakke plekken sneller te vinden, aanvallen te automatiseren en incidenten groter te maken.

Daar zit de kern. Cybersecurity was altijd al een wedstrijd in tijd. Hoe snel wordt een kwetsbaarheid ontdekt, gemeld, begrepen, gepatcht en gecontroleerd? ENISA, het EU-agentschap voor cybersecurity, beschrijft frontier AI in een nieuw stuk niet als een volgende hype, maar als een structurele verschuiving in het tempo van aanval en verdediging. Het agentschap waarschuwt dat de klassieke kwetsbaarheidscyclus kan worden samengedrukt van jaren of maanden naar uren of minuten. Dat betekent niet dat elk bedrijf morgen door autonome AI wordt aangevallen. Het betekent wel dat trage inventarisatie, uitgestelde patches en onbekende verouderde systemen sneller duur worden.

De Nederlandse timing maakt dit concreet. Het NCSC meldt dat de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten op 15 augustus 2026 in werking treden. De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de Wbni. Volgens het NCSC gaat het om ruim 8.000 organisaties. Zij moeten zelf beoordelen of zij onder de wet vallen. Voor wie onder de wet valt, komen onder meer registratie bij het NCSC, een zorgplicht voor cybersecurity, een meldplicht voor significante incidenten, aantoonbare cyberkennis bij bestuurders en risicobeheer van leveranciers in beeld.

Het EU-plan voegt daar niet simpelweg nog een formulier aan toe. De Commissie wil de Europese capaciteit versterken om AI-modellen te beoordelen voordat zij op de EU-markt komen. Zij wil met ENISA werken aan een blauwdruk voor veilige toegang tot geavanceerde AI-systemen voor cybersecuritydoeleinden. Ook komt er een beveiligde testomgeving voor organisaties in kritieke sectoren, zoals energie, vervoer, gezondheid, financiën en openbaar bestuur. Dat klinkt technisch, maar de achterliggende les is eenvoudig: AI in beveiliging moet eerst in een gecontroleerde omgeving bewijzen wat het kan en waar het faalt.

Voor Nederlandse organisaties is dat een bruikbare correctie op de verkooptaal rond AI. Een beveiligingstool die belooft logs te lezen, incidenten samen te vatten of kwetsbaarheden te rangschikken, is niet automatisch geschikt voor productie. De vragen zijn alledaags. Welke data gaan erin? Worden persoonsgegevens of bedrijfsgeheimen naar een externe dienst gestuurd? Welke acties mag het systeem zelfstandig voorstellen of uitvoeren? Hoe wordt gecontroleerd of het model geen valse rust geeft? Wie tekent af wanneer een AI-samenvatting de basis wordt voor een incidentmelding?

De open-sourcekant verdient ook nuance. De Commissie schrijft dat organisaties AI, inclusief open-sourcemodellen waar passend, kunnen gebruiken om kwetsbaarheden sneller te detecteren en aan te pakken. Dat is geen vrijbrief om elk model op een netwerk los te laten. Open source kan helpen bij controleerbaarheid, reproduceerbaarheid en onafhankelijkheid van één leverancier. Maar ook een open model moet worden bijgewerkt, getest, gelogd en begrensd. Voor kleinere organisaties kan de verleiding groot zijn om met goedkope of gratis tooling snel te beginnen. Juist dan is scheiding tussen proefomgeving en productie geen luxe.

De eerste stap is daarom niet een AI-roadmap met grote woorden. Het is een actuele lijst van systemen, diensten, leveranciers, softwareversies en ondersteuningsdata. ENISA noemt assetinventarisatie, patchdiscipline en aandacht voor niet-ondersteunde componenten als directe prioriteiten. Onder de Cyberbeveiligingswet past daar een bestuursvraag bij: weet de directie welke systemen essentieel zijn voor dienstverlening, welke leveranciers kritiek zijn en hoe snel een significant incident kan worden gemeld? Als het antwoord onduidelijk is, lost een AI-tool dat niet op. Hij maakt hoogstens zichtbaar waar het werk bleef liggen.

Hetzelfde geldt voor incidentrespons. AI kan helpen om veel meldingen te groeperen, patronen te herkennen en technische tekst leesbaar te maken. Maar bij een meldplicht telt de verantwoordelijkheid, niet alleen de snelheid. Organisaties moeten oefenen wie beslist, wie meldt, welke feiten minimaal bekend moeten zijn en welke gegevens niet onnodig gedeeld worden. Een model dat een melding opstelt, is handig. Een organisatie die niet weet of die melding klopt, blijft kwetsbaar.

Voor lezers buiten grote instellingen is dit minder ver weg dan het lijkt. Veel bedrijven vallen zelf misschien niet direct onder de strengste categorie, maar leveren wel aan zorg, vervoer, overheid, digitale infrastructuur of energie. Leveranciersrisico’s zijn onderdeel van het nieuwe kader. Een kleine softwareleverancier kan dus vragen krijgen over patchbeleid, logging, toegang, back-ups en het gebruik van AI-diensten. Wie die antwoorden nu voorbereidt, heeft straks minder haast en minder juridische ruis.

De nuchtere conclusie is dat AI-cybersecurity geen apart speeltje naast compliance wordt. Het wordt een stresstest voor de gewone beveiligingshygiëne. Brussel wil veilige testpaden en Europese capaciteit bouwen. Nederland zet vanaf 15 augustus meer organisaties onder duidelijke verplichtingen. De praktische opdracht begint vandaag: weten wat je hebt, weten wie erbij kan, weten wie verantwoordelijk is, en nieuwe AI-hulpmiddelen eerst bewijzen laten leveren voordat ze vertrouwen krijgen.