Na jaren van voorbereiding is het zover: op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Daarmee wordt de Europese NIS2-richtlijn definitief vertaald naar Nederlandse wetgeving. Voor duizenden organisaties betekent dat nieuwe verplichtingen rond cybersecurity. Maar wat verandert er nu echt?
Wie de ontwikkelingen rond NIS2 heeft gevolgd, kan het bijna niet zijn ontgaan dat de invoering in Nederland langer heeft geduurd dan gepland. De Europese deadline voor de omzetting van NIS2 verstreek al op 17 oktober 2024. Nederland had meer tijd nodig voor het wetgevingstraject, maar vanaf 15 augustus 2026 gelden de verplichtingen uit de Cyberbeveiligingswet dan echt.
Is de Cyberbeveiligingswet hetzelfde als NIS2?
De twee termen worden vaak door elkaar gebruikt, maar betekenen juridisch niet precies hetzelfde. NIS2 is de Europese richtlijn; de Cyberbeveiligingswet (Cbw) is de Nederlandse wet die deze richtlijn omzet in nationale regels.
In de praktijk kun je de Cyberbeveiligingswet dus zien als de Nederlandse uitwerking van NIS2. En die uitwerking raakt veel meer organisaties dan de wetgeving die eraan voorafging, de Wet beveiliging netwerk- en informatiesystemen (Wbni). Niet alleen bekende vitale sectoren zoals energie, vervoer en gezondheidszorg vallen binnen het bereik. Ook organisaties in onder meer de levensmiddelenindustrie, digitale dienstverlening, afvalwater, post- en koeriersdiensten en andere sectoren kunnen ermee te maken krijgen.
Of dat voor jouw organisatie geldt, hangt onder andere af van de sector, omvang van je organisatie en specifieke activiteiten. Twijfel je daarover, dan is dat de eerste vraag om te beantwoorden.
Wat vraagt de Cyberbeveiligingswet concreet van organisaties?
Eén van de belangrijkste begrippen in de wet is de zorgplicht. Dat klinkt juridisch, maar het principe erachter is praktisch: weet welke risico's je loopt en neem passende maatregelen om die risico's te beheersen.
Dat gaat zeker niet alleen over technische beveiliging. Natuurlijk zijn goed beveiligde systemen belangrijk, maar de wet kijkt breder. Hoe reageert de organisatie op een cyberincident? Wie heeft toegang tot kritieke systemen? Kun je blijven functioneren wanneer systemen uitvallen? Zijn medewerkers voldoende bewust van cyberrisico's? En hoe veilig zijn de leveranciers waarvan je afhankelijk bent?
Vooral de beveiliging van de toeleveringsketen wordt volgens Robbert Santifoort, advocaat bij Eversheds Sutherland, nog onderschat. Organisaties moeten de cybersecurityrisico's van hun directe leveranciers en dienstverleners actief beheersen. Dat vraagt volgens hem om meer dan een clausule in een overeenkomst: ook structureel beleid, periodieke toetsing en contractuele waarborgen zijn nodig.
De zorgplicht vraagt daarmee vooral om een andere manier van kijken naar cybersecurity. Niet als verzameling losse beveiligingsproducten of jaarlijkse controles, maar als een continu proces van risico's herkennen, maatregelen nemen en verbeteren.
En wat als het toch misgaat?
Zelfs met goede beveiliging zijn incidenten nooit volledig uit te sluiten. Daarom bevat de Cyberbeveiligingswet naast de zorgplicht ook een meldplicht voor significante incidenten.
Niet ieder klein beveiligingsincident hoeft dus direct bij de overheid te worden gemeld. Het gaat om incidenten die bijvoorbeeld een ernstige verstoring van de dienstverlening of aanzienlijke schade kunnen veroorzaken. Is daarvan sprake, dan moet een organisatie snel handelen: de eerste waarschuwing moet zo snel mogelijk en uiterlijk binnen 24 uur worden gedaan.
Dat klinkt misschien vooral als iets om tijdens een incident over na te denken, maar juist het tegenovergestelde is waar. Als systemen uitvallen of je onder vuur ligt, wil je niet dán pas ontdekken dat niemand weet wie verantwoordelijk is voor het melden van het incident. Een duidelijk incidentproces, met vooraf afgesproken rollen en verantwoordelijkheden, wordt daarom belangrijker.
Cybersecurity komt nadrukkelijker op de bestuurstafel
De grootste verandering door de Cyberbeveiligingswet vindt misschien wel plaats in de boardroom. Cybersecurity kan niet langer uitsluitend als verantwoordelijkheid van IT of de securityafdeling worden beschouwd.
Bestuurders moeten de maatregelen voor cyberrisicobeheersing goedkeuren, toezicht houden op de uitvoering en over voldoende kennis beschikken om de risico's te kunnen beoordelen. Dat betekent niet dat iedere bestuurder technisch specialist moet worden. Wel moet het bestuur kunnen begrijpen waar de organisatie kwetsbaar is, welke keuzes worden gemaakt en of voldoende maatregelen worden genomen.
Die bestuurlijke betrokkenheid past bij de bredere gedachte achter NIS2: digitale weerbaarheid is geen IT-project, maar een organisatievraagstuk.
Nog niet klaar voor NIS2? Begin bij de basis
Misschien weet je inmiddels dat je organisatie onder de Cyberbeveiligingswet valt, maar is er in de praktijk nog weinig gebeurd. Waar begin je dan?
Volgens Santifoort is het vooral belangrijk om niet te wachten op perfectie. Begin met de basis en verbeter van daaruit verder. Hij adviseert organisaties daarbij de volgende stappen:
- Bepaal hoe de wet op jouw organisatie van toepassing is. Onderzoek of je organisatie kwalificeert als essentiële of belangrijke entiteit. Een NIS2-checker kan helpen om een eerste beeld te krijgen van wat de wet voor jouw organisatie betekent.
- Betrek het bestuur en wijs een verantwoordelijke aan. Zorg dat duidelijk is wie binnen de organisatie eigenaar is van het Cbw-traject en dat het bestuur weet welke verantwoordelijkheden de wet met zich meebrengt.
- Breng in kaart waar je nu staat. Voer een nulmeting of gap-analyse uit. Kijk daarbij onder andere naar risicomanagement, incidentrespons, bedrijfscontinuïteit, cyberhygiëne, toegangsbeheer en de beveiliging van de toeleveringsketen.
- Zorg dat je een incident kunt melden. Richt een proces in waarmee significante incidenten tijdig kunnen worden herkend, beoordeeld en gemeld volgens de wettelijke termijnen.
- Breng je kritieke leveranciers in beeld. Inventariseer van welke leveranciers en dienstverleners je sterk afhankelijk bent en beoordeel hoe zij met cybersecurityrisico's omgaan.
- Zorg dat bestuurders voldoende kennis hebben. Plan de verplichte bestuurderstraining en zorg dat cybersecurity niet alleen op de agenda van IT, maar ook op die van het bestuur staat.
- Registreer je bij het NCSC. Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren via het meld- en registratieportaal.
Vanaf 15 augustus is de Cyberbeveiligingswet geen regelgeving meer die ergens aan de horizon ligt. Tegelijkertijd is die datum geen eindstreep. De kern van NIS2 is juist dat organisaties cybersecurity structureel onderdeel maken van hun risicomanagement.
