Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht — de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet vergroot de digitale weerbaarheid van Nederlandse organisaties en geldt voor ruim 8.000 organisaties in achttien sectoren. In deze blog leggen we uit wat de wet inhoudt, voor wie hij geldt, welke verplichtingen erbij horen en hoe je je organisatie stap voor stap voorbereidt.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Waar digitale veiligheid vroeger vaak een keuze was, wordt het voor een groeiende groep organisaties nu een wettelijke norm. De achterliggende reden is duidelijk: cyberaanvallen, ransomware en verstoringen komen steeds vaker voor, en één incident bij één organisatie kan doorwerken in een hele keten van bedrijven, overheden en burgers.
Belangrijk om te weten: er is géén overgangstermijn. De eisen gelden direct vanaf de inwerkingtreding. Samen met de Cbw trad op dezelfde dag ook de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, gericht op de fysieke en organisatorische weerbaarheid van kritieke organisaties.
Voor wie geldt de wet?
Of jouw organisatie onder de Cbw valt, hangt af van twee dingen: de sector waarin je actief bent en de omvang van je organisatie. De wet ziet toe op organisaties in achttien (zeer) kritieke sectoren, waaronder energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur, overheid en onderzoek.
Qua omvang geldt in de meeste sectoren de zogeheten ‘size cap’. Je organisatie valt doorgaans onder de wet als één van deze situaties geldt:
- 50 of meer medewerkers (in fte); of
- minder dan 50 medewerkers, maar zowel een jaaromzet als een balanstotaal van meer dan € 10 miljoen.
Let op: tel ook partner- en verbonden ondernemingen mee. Voor sommige organisaties geldt géén omvangseis. Zij vallen altijd onder de wet, zoals overheidsorganisaties, DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en -diensten en verleners van vertrouwensdiensten.
Organisaties zijn zélf verantwoordelijk om te toetsen of ze onder de wet vallen. De Rijksinspectie Digitale Infrastructuur (RDI) biedt hiervoor de NIS2-Zelfevaluatie, waarmee je bepaalt of de wet voor jou geldt en of je als ‘essentiële’ of ‘belangrijke’ entiteit wordt aangemerkt.
Essentieel of belangrijk? Het verschil zit in het toezicht
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Dat onderscheid bepaalt hoe het toezicht wordt ingericht:
- Essentiële entiteiten staan onder proactief toezicht: de naleving wordt actief gecontroleerd, ook zonder aanwijzing van een overtreding.
- Belangrijke entiteiten vallen onder reactief toezicht: controles vinden achteraf plaats, bijvoorbeeld na een melding of signaal.
De belangrijkste verplichtingen op een rij
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen onder meer te maken met de volgende verplichtingen:
- Registratieplicht: registreer je organisatie in het nationale entiteitenregister via Mijn.NCSC.nl.
- Zorgplicht: voer een risicobeoordeling uit en neem passende en evenredige maatregelen om je netwerk- en informatiesystemen te beveiligen en incidenten te voorkomen of te beperken.
- Meldplicht: meld significante incidenten binnen de wettelijke termijnen bij je CSIRT en de toezichthouder — in de meeste gevallen een eerste melding binnen 24 uur.
- Bestuurlijke verantwoordelijkheid: het bestuur is eindverantwoordelijk voor cyberrisicobeheersing, moet maatregelen goedkeuren en voldoende kennis hebben van de risico’s (inclusief passende training).
- Toezicht en handhaving: toezichthouders controleren de naleving; niet-naleving kan leiden tot maatregelen zoals boetes of een last onder dwangsom.
De zorgplicht is verder uitgewerkt in tien concrete maatregelen van risicoanalyse, toegangsbeheer en een bedrijfscontinuïteitsplan tot cyberhygiëne, cryptografie en beveiliging van de toeleveringsketen. Voldoen aan de wet gaat dus veel verder dan alleen antivirus of multifactor-authenticatie; het vraagt om structurele risicobeheersing.
Ook indirect kun je ermee te maken krijgen
Valt jouw organisatie niet rechtstreeks onder de Cyberbeveiligingswet? Dan kun je er alsnog indirect mee te maken krijgen. Organisaties die wél onder de wet vallen, moeten namelijk ook de risico’s in hun toeleveringsketen beheersen. Klanten en samenwerkingspartners kunnen daarom aanvullende beveiligingseisen stellen aan hun leveranciers. Denk aan eisen rond veilige toegang, patchmanagement, accountbeheer en het melden van incidenten. Cyberweerbaarheid wordt zo steeds vaker een voorwaarde om zaken te blijven doen.
Zo doe je dit in 5 concrete stappen.
- Doe de check. Gebruik de NIS2-Zelfevaluatie van de RDI om te bepalen of de wet voor jou geldt en of je essentieel of belangrijk bent.
- Registreer op tijd. Val je onder de wet, schrijf je organisatie dan in via Mijn.NCSC.nl en houd de gegevens actueel.
- Breng je risico’s in kaart. Voer een risicoanalyse uit en vertaal deze naar passende maatregelen op basis van de tien zorgplichtmaatregelen.
- Regelgovernance en melding. Beleg verantwoordelijkheid bij het bestuur, zorg voor training en richt een meldproces in dat aansluit op de 24-uurstermijn.
- Kijk naar je keten. Beoordeel je leveranciers en leg afspraken over beveiliging en incidentmelding vast.
Hulp nodig? Neem contact met ons op.
