RICHTLIJN • 12 MEI 2026 • REF: REG-CBW-WWKE

Wettelijke zorgplicht & NIS2-richtlijn: Luchtruimbeveiliging voor de Nederlandse vitale sector.

Handvatten voor compliance officers en chief security officers om de fysieke veiligheid van het luchtruim te toetsen aan de handhavingsrichtlijnen van de Cyberbeveiligingswet (Cbw) en Wwke.

BESTUURLIJKE VERANTWOORDELIJKHEID (CBW / NIS2) Onder de Cyberbeveiligingswet (Cbw) draagt het bestuur van essentiële en belangrijke entiteiten de wettelijke plicht om risicobeheersmaatregelen goed te keuren (Art. 24 lid 1) en te beschikken over aantoonbare kennis en training ten aanzien van fysieke en digitale dreigingen (Art. 24 lid 2-5). Bij het niet-naleven van deze verplichtingen riskeren bestuursleden persoonlijke bestuurlijke boetes (Art. 93) of schorsing via de rechtbank (Art. 78).

1. De Transformatie van Cyberbeveiliging naar Fysieke Omgevingsveiligheid

De Cyberbeveiligingswet (Cbw) trekt een directe lijn tussen digitale continuïteit en fysieke omgevingsbeveiliging. Artikel 21 lid 3 Cbw schrijft een 'all-hazards'-benadering voor die verplicht tot het beschermen van netwerk- en informatiesystemen én hun fysieke omgeving.

Een ongeautoriseerde drone boven een vitale locatie vormt een hybride dreiging (optische spionage, draadloze datainterceptie of fysieke sabotage). Zonder adequate detectie- en scopingmaatregelen ontstaat een direct risico op fysieke ontregeling en data-exfiltratie.

2. Juridische Matrix: Cbw / NIS2 Verplichtingen voor Luchtruimbeveiliging

Cbw / NIS2 Vereiste	Wetsverwijzing (Stb. 2026, 187)	Impact op Luchtruimbeveiliging	Vereist Bewijsstuk
Risicobeheersing & Zorgplicht	Art. 21 Cbw	Periodieke kwetsbaarheidsaudit van het luchtruim en fysieke perimeter	Onafhankelijk Audit- & Risicorapport
Incidentenmelding (24u)	Art. 25 & 26 Cbw	Actieve detectie en logging van illegale droneflights (vroegtijdige waarschuwing binnen 24u)	C-UAS Event Logging Protocol & Incidentsensoriek
Ketenbeveiliging	Art. 21 sub d & Art. 21a Cbw	Uitsluiten van veiligheidsrisico's in hardware/software van C-UAS leveranciers	Leveranciersaudit & Soevereiniteitsverklaring
Governance & Bestuur	Art. 24, 78 & 93 Cbw	Bestuurders moeten beveiligingstraining volgen en risicobeleid formeel goedkeuren	Boardroom Compliance Dossier & Certificaten

3. Stappenplan voor Compliance Officers & CISO's

Om bij een audit door de Rijksinspectie Digitale Infrastructuur (RDI) of de vakdepartementale toezichthouders de naleving van de zorgplicht aan te tonen, dient het volgende faseringsmodel doorlopen te worden:

Stap 01. Uitvoering van de geanonimiseerde risico-scoping

Voer een nulmeting uit op de fysieke kwetsbaarheid van het luchtruim. Leg vast welke specifieke assets risico lopen op blinde vlekken of sensor-degradatie door elektromagnetische invloeden.

Stap 02. Opstellen leveranciersneutraal Programma van Eisen (PvE)

Vertaal de uitkomsten van de scoping naar functionele eisen. Voorkom dat hardware-fabrikanten hun eigen gesloten specificaties dicteren om vendor lock-in en soevereiniteitsrisico's uit te sluiten.

Stap 03. Formele boardroom-borging & auditing

Leg de gecertificeerde risicoanalyse en het PvE voor aan het bestuur ter goedkeuring conform Art. 24 Cbw. Borg hiermee de aantoonbare naleving van de bestuurlijke zorgplicht.

Toets uw asset aan de Cbw / NIS2 richtlijnen

DroneProtector helpt compliance officers bij het opstellen van een juridisch en technisch waterdicht C-UAS scoping dossier.

Start Geanonimiseerde Scoping →