Het overleg vond gisteren (9 november 2026) plaats tussen diverse leden van die vaste Kamercommissie en drie bewindsleden. Naast minister David van Weel (J&V) waren ook staatssecretaris Willemijn Aerdts van Digitale Economie en Soevereiniteit en Eric van der Burg, staatssecretaris Koninkrijksrelaties en Slagvaardige Overheid, bij dit debat aanwezig.
Minister van Weel kondigde onder meer aan dat het Landelijk Crisisplan Digitaal (wat stamt uit 2022) nog dit jaar wordt geactualiseerd. Ook wil hij het Anti-Phishing Shield verder uitbreiden. Aanleiding voor een belangrijk deel van de discussie in de Tweede Kamer gisteren waren de recente kwetsbaarheid in PHP-software en de cyberaanval op supermarktketen Ahold, die tot een schadepost van 75 miljoen euro leidde.
Volgens Van Weel laten beide incidenten zien hoe kwetsbaar de gedigitaliseerde samenleving is geworden. Daarbij zorgt de opkomst van AI voor een extra uitdaging. Met behulp van AI kunnen kwetsbaarheden in software steeds sneller worden opgespoord en misbruikt.
Dat vraagt volgens de minister om een andere aanpak. Organisaties kunnen het zich niet langer veroorloven om wekenlang te wachten voordat een beveiligingsprobleem wordt verholpen. Het Nationaal Cyber Security Centrum (NCSC) speelt daarbij een belangrijke rol door organisaties tijdig te waarschuwen en handelingsperspectief te bieden.
Wie neemt de regie bij een cyberaanval?
Een belangrijk discussiepunt tijdens het debat was de verdeling van verantwoordelijkheden bij cyberincidenten. Van Weel is als minister van Justitie en Veiligheid verantwoordelijk voor de landelijke coördinatie van cybersecurity, maar onder de op 15 augustus in werking getreden Cyberbeveiligingswet dragen vakministers de verantwoordelijkheid voor de digitale veiligheid binnen hun eigen sectoren.
Dat betekent bijvoorbeeld dat bij een cyberaanval op een ziekenhuis in eerste instantie de minister van Volksgezondheid aan zet is. Bij een sectoroverstijgende kwetsbaarheid, zoals die in PHP, ligt het voortouw bij Van Weel en het NCSC.
Lees ook:
Kamerlid Henk Vermeer (BBB) vroeg hoe het kabinet bepaalt welke bewindspersoon bij een incident het aanspreekpunt is. Barbara Kathmann (GroenLinks-PvdA) drong aan op meer duidelijkheid over de overkoepelende verantwoordelijkheid. Cyberaanvallen kunnen immers gevolgen hebben voor meerdere sectoren tegelijk. Zij wilde weten wie ervoor zorgt dat kwetsbaarheden in kaart worden gebracht, lessen worden gedeeld en de communicatie naar burgers goed verloopt.
Van Weel erkende die bredere verantwoordelijkheid. Het NCSC moet volgens hem fungeren als centraal punt waar informatie over cyberdreigingen samenkomt en van waaruit lessen met andere sectoren worden gedeeld. Bij incidenten die de nationale veiligheid raken of uitgroeien tot een crisis, treedt de landelijke crisisstructuur in werking.
Cyberbeveiligingswet: in de praktijk bewijzen
De recente cyberaanval op Ahold illustreert volgens Van Weel waarom de nieuwe Cyberbeveiligingswet (Cbw) noodzakelijk is. De wet verplicht organisaties onder meer om passende beveiligingsmaatregelen te treffen en significante cyberincidenten te melden.
Dat laatste blijkt in de praktijk nog niet vanzelfsprekend. Volgens de minister meldde Ahold de aanval in eerste instantie niet uit eigen beweging. Pas na gesprekken met de overheid, tot op het hoogste niveau, kwam de melding alsnog tot stand. Ook het doen van aangifte vons pas in tweede instantie, na aandringen, plaats. Van Weel benadrukte dat dergelijke meldingen niet alleen van belang zijn voor het getroffen bedrijf, maar ook om andere organisaties tijdig te kunnen waarschuwen voor vergelijkbare aanvallen.
NCSC krijgt ruimte voor proactieve detectie
Staatssecretaris Aerdts wees daarnaast op het belang van goede detectie en monitoring. Organisaties moeten kunnen vaststellen wat er op hun netwerken gebeurt en of bijvoorbeeld gegevens worden buitgemaakt. Als dat inzicht ontbreekt, kan het noodzakelijk zijn om complete systemen uit voorzorg af te sluiten.
De Cyberbeveiligingswet moet ervoor zorgen dat organisaties hun digitale beveiliging beter op orde brengen. De verantwoordelijkheid daarvoor ligt nadrukkelijk ook bij bestuurders, benadrukte Van Weel tijdens het debat. Op vragen van Vermeer over de effectiviteit van de wet antwoordde Van Weel dat deze twee jaar na inwerkingtreding wordt geëvalueerd. De Tweede Kamer wordt over de uitkomsten geïnformeerd. Daarnaast moeten vakministers periodiek beoordelen of de drempelwaarden voor het melden van incidenten nog voldoen.
Betere bescherming vitale sectoren
De Wet weerbaarheid kritieke entiteiten moet volgens de minister van J&V bijdragen aan een betere bescherming van vitale sectoren, waaronder de voedselvoorziening, waterbeheer en elektriciteitsvoorziening.
Van Weel kondigde verder aan dat de overheid het Anti-Phishing Shield verder wil uitbreiden. Deze voorziening helpt organisaties om zich op een laagdrempelige manier tegen phishing te beschermen en is volgens de minister juist waardevol voor bedrijven die daarvoor zelf onvoldoende capaciteit hebben. Ook in de Tweede Kamer klinkt de roep om bredere bescherming tegen phishing. ChristenUnie-Kamerlid Don Ceder diende een motie in om het Anti-Phishing Shield uiterlijk eind 2027 landelijk beschikbaar te maken via internetaanbieders, kosteloos voor consumenten en standaard ingeschakeld. Het kabinet wil eerst onderzoeken of een dergelijke standaardbescherming met een opt-out mogelijk is.
Subsidieregelingen voor het mkb
CDA-Kamerlid Jantine Zwinkels vroeg daarnaast aandacht voor de subsidieregelingen die het mkb helpen bij cybersecurity. Zij wees erop dat de subsidie cybersecurity volgens de begroting eind 2026 afloopt, terwijl de Kamer eerder een motie had aangenomen over het belang van ondersteuning en kennisuitwisseling voor kleinere bedrijven.
Zwinkels wilde daarom weten of de regelingen worden voortgezet. Van Weel verwees deze vraag door naar staatssecretaris Aerdts (Digitale Economie en Soevereiniteit), die hier later in het debat op terugkwam. Zij kon de zorgen over de financiering van cybersecurity deels wegnemen. Volgens haar blijft vanuit de begroting van het ministerie van Economische Zaken en Klimaat structureel 12,3 miljoen euro per jaar beschikbaar voor cybersecuritybeleid. Daarmee worden onder meer subsidies gefinancierd die de digitale weerbaarheid van kleine bedrijven versterken, evenals onderzoek en de ontwikkeling van innovatieve cybersecurityoplossingen. Ook bevestigde Aerdts dat het NCSC een deel van de middelen van het voormalige Digital Trust Center kan inzetten om kwetsbaarheden proactief op te sporen.
AI inzetten tegen cyberaanvallen
Aerdts benadrukte daarnaast dat AI niet alleen nieuwe cyberdreigingen met zich meebrengt, maar ook kansen biedt om de digitale weerbaarheid te versterken. AI wordt volgens haar al breed toegepast om kwetsbaarheden sneller te detecteren, phishing tegen te gaan en automatisch te reageren op cyberaanvallen. Het kabinet stimuleert dergelijke innovaties onder meer via de Nationale Technologiestrategie, onderzoeks- en innovatiesubsidies en publiek-private samenwerking.
Een initiatief dat aansluit bij de oproep tot meer samenwerking is Prometheus, waarin publieke en private partijen de krachten bundelen om Nederland digitaal weerbaarder te maken. Binnen dit initiatief onder de vlag van Digital Holland, waarbij twaalf koplopers – onder meer TNO, het NCSC en verschillende cybersecuritybedrijven – betrokken zijn, wordt onderzocht hoe AI kan worden ingezet om kwetsbaarheden in digitale systemen sneller op te sporen en aan te pakken.
Landelijk Crisisplan Digitaal wordt dit jaar vernieuwd
Een concrete toezegging van Van Weel betreft het Landelijk Crisisplan Digitaal. Dit plan beschrijft hoe de overheid moet optreden bij grootschalige digitale ontwrichting en welke rollen en verantwoordelijkheden daarbij horen. VVD-Kamerlid Queeny Rajkowski vroeg of bij de crisisvoorbereiding voldoende rekening wordt gehouden met de onderlinge afhankelijkheid van sectoren. Een organisatie die op zichzelf niet vitaal lijkt, kan bij grootschalige uitval van andere systemen immers ineens cruciaal worden.
Van Weel zegde toe dat het Landelijk Crisisplan Digitaal nog in 2026 wordt geactualiseerd, mede naar aanleiding van de nieuwe Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. “Daarbij zal expliciet aandacht worden besteed aan de sectoroverstijgende gevolgen van cyberincidenten”, aldus Van Weel.
Nationale cybercrisisoefening ISIDOOR
Ook de publiek-private nationale cybercrisisoefening ISIDOOR kwam ter sprake. Tijdens deze oefening werken overheid en bedrijven samen aan de voorbereiding op grootschalige digitale incidenten. Rajkowski pleitte ervoor dergelijke oefeningen vaker en eventueel op kleinere schaal te organiseren, omdat cyberdreigingen zich snel ontwikkelen. Van Weel wees op de omvangrijke voorbereiding die ISIDOOR vergt en benadrukte dat er daarnaast andere oefeningen plaatsvinden. Ook gaf hij aan dat de oefeningen worden aangepast aan de nieuwe wettelijke verantwoordelijkheden.
Digitale weerbaarheid belangrijker dan ooit
Volgens Van Weel is het onmogelijk om alle cyberaanvallen te voorkomen. De uitdaging is vooral om de gevolgen ervan te beperken en na een incident zo snel mogelijk te herstellen. De minister erkende dat organisaties steeds afhankelijker worden van digitale systemen en verbonden apparatuur. Terugkeren naar volledig analoge processen is volgens hem niet realistisch en vaak ook niet wenselijk, omdat digitalisering grote economische en maatschappelijke voordelen oplevert.
Juist daarom moeten bedrijven en overheden beter voorbereid zijn op verstoringen. Dat betekent niet alleen investeren in preventie, maar ook in monitoring, crisisvoorbereiding en herstelvermogen. Van Weel verwees daarbij naar het recent verschenen Cybersecuritybeeld Nederland 2026, waarin de toenemende dreiging en de opkomst van AI bij cyberaanvallen worden gesignaleerd. De boodschap van de minister was duidelijk: cyberincidenten zullen blijven plaatsvinden, maar Nederland moet ervoor zorgen dat de gevolgen ervan beheersbaar blijven.
Actieagenda Cybersecurity Technologies
Onder regie van Digital Holland is in nauwe samenwerking met het veld de Actieagenda Cybersecurity Technologies opgesteld. In deze actieagenda is concreet uitgewerkt wat er moet gebeuren om de ambities uit de Nationale Technologiestrategie (NTS) te realiseren. De ambitie luidt: ‘Nederland is in 2035 intrinsiek digitaal veilig’. Benieuwd wat er in de Actieagenda staat?
Voor de sleuteltechnologieën AI en Data stelde Digital Holland, samen met belanghebbende partijen uit het bedrijfsleven, de wetenschap en bij de overheid, eveneens een actieagenda op. Benieuwd wat daarin staat?
Manifest 'Samen sneller dan de dreiging'
Prometheus is nadrukkelijk groter dan de twaalf koplopers. Dat bleek al bij de presentatie van het manifest ‘Samen sneller dan de dreiging’, dat op 25 september 2026 werd overhandigd aan staatssecretaris Aerdts. Ook vertegenwoordigers van essentiële en belangrijke sectoren, ketenpartners en (koepel)organisaties verbonden hun naam aan de gezamenlijke oproep.
Inmiddels heeft een brede groep organisaties zich aangesloten. Daaronder bevinden zich onder meer ABN AMRO, CIO Rijk, SURF, FME, Techleap, UWV, Atos, Stedin, de Cyber Security Raad, HSD, NIDV, ROM-Nederland, regionale ontwikkelingsmaatschappijen, zoals de BOM in Brabant, en verschillende cybersecurity- en kennisorganisaties.
"De beweging groeit, maar hoe breder het draagvlak, hoe sterker de gezamenlijke digitale weerbaarheid. Daarom roept Digital Holland organisaties, brancheverenigingen, koepels en andere relevante partijen op om zich bij het manifest ‘Samen sneller dan de dreiging’ aan te sluiten", aldus Eddy Boot, Lead Actieagenda Cybersecurity Technologies bij Digital Holland. Dit kan door een mail te sturen naar eddy.boot@digital-holland.nl.