Cyberbeveiligingswet van kracht: wat betekent dat voor uw organisatie?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. Tegelijk is ook de Wet weerbaarheid kritieke entiteiten (Wwke) in werking getreden. Voor veel organisaties in Nederland betekent dit voldoen aan nieuwe, concrete verplichtingen op het gebied van digitale weerbaarheid.
Let op: de Cbw werkt door in de hele keten. Ook uw contracten met afnemers en leveranciers kunnen dus ineens een cyberbeveiligingscomponent nodig hebben.

Hoog tijd dus om te weten waar u aan toe bent; In drie korte vragen praten we u bij.

Wat is het?

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn, waarin maatregelen staan voor een hoog gezamenlijk niveau van cyberbeveiliging in de EU.

Het doel van de Cbw is om belangrijke maatschappelijke en economische processen beter te beschermen tegen digitale dreigingen, zodat een cyberincident niet meteen de hele samenleving platlegt. De wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en legt de lat meteen een stuk hoger.

Wat staat erin?

De Cbw wijst de organisaties aan die hun cyberrisico’s moeten inventariseren en beheersen, die incidenten zoveel mogelijk moeten voorkomen en de gevolgen ervan moeten beperken. De genoemde organisaties hebben drie kernverplichtingen: een registratieplicht, een zorgplicht en een meldplicht.

• Registratieplicht – wil zeggen dat de organisatie moet worden geregistreerd in het nationaal entiteitenregister bij het Nationaal Cyber Security Centrum (NCSC), via mijn.ncsc.nl.
• Zorgplicht – behelst een 10-tal maatregelen die de organisatie in ieder geval moet nemen, waaronder het opstellen van beleid, het waarborgen van continuïteit van de organisatie ná een incident en het doorlichten van de toeleveringsketen.
• Meldplicht – is de verplichting om significante incidenten te melden binnen de wettelijke termijn (in beginsel binnen 24 uur), bij het CSIRT (Computer Security Incident Response Team) en de toezichthouder.

Belangrijk detail: de wet legt de eindverantwoordelijkheid nadrukkelijk bij het bestuur. Bestuurders moeten voldoende kennis hebben om de risico’s en te nemen maatregelen te kunnen beoordelen. Voor bestuurders en medewerkers is aan te raden om daarvoor zo nodig een training te volgen.

Voor welke organisaties geldt de wet?

Valt uw organisatie eronder? Dat bepaalt u in drie stappen, zie ook de website van de NCTV:

1. Sector – De wet geldt voor achttien sectoren, zoals energie, vervoer, bankwezen, drinkwater, digitale infrastructuur en gezondheidszorg.
2. Omvang – Vervolgens kijkt u naar het aantal werknemers, de jaaromzet en het balanstotaal.
3. Essentieel of belangrijk? – Blijkt u onder de wet te vallen, dan bepaalt u of u een essentiële of een belangrijke entiteit bent. Het verschil zit in het toezicht: bij essentiële entiteiten is dat proactief, bij belangrijke entiteiten reactief (controle achteraf).

Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de wet vallen. De website van de NCTV (Nationaal Coördinator Terrorismebestrijding en Veiligheid) biedt een handige zelfevaluatietool.

Wat betekent dit voor u?

De Cyberbeveiligingswet is meer dan een IT-kwestie – het is een juridische én bestuurlijke verantwoordelijkheid die doorwerkt in uw beleid én in uw contracten. Wij denken graag met u mee: van de vraag óf u onder de wet valt, tot het verankeren van cyberbeveiligingsafspraken in uw overeenkomsten met klanten en leveranciers.

Vragen over de Cyberbeveiligingswet, of wilt u sparren of uw organisatie eronder valt? Neem gerust contact op.