Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) officieel in werking getreden. Deze wet is de Nederlandse uitvoering van de Europese NIS2-richtlijn en legt verstrekkende verplichtingen op aan duizenden organisaties in Nederland. Voor veel bedrijven en instellingen betekent dit: ingrijpende veranderingen in hoe zij omgaan met digitale beveiliging.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en is bedoeld om Nederland weerbaarder te maken tegen cyberaanvallen. De wet vloeit voort uit de Europese NIS2-richtlijn, die lidstaten verplicht hun cybersecuritywetgeving te moderniseren en aan te scherpen. Tegelijk met de Cyberbeveiligingswet trad ook de Wet weerbaarheid kritieke entiteiten in werking — een wet die de fysieke beveiliging van vitale sectoren regelt.
Wie valt onder de wet?
De reikwijdte is aanzienlijk uitgebreid ten opzichte van de oude wetgeving. Naar schatting vallen ruim 8.000 organisaties in Nederland onder de Cyberbeveiligingswet. Het gaat om bedrijven en instellingen in zogenoemde kritieke sectoren, zoals energie, water, transport, gezondheidszorg, digitale infrastructuur en financiën. Maar ook aanbieders van digitale diensten, overheidsinstellingen en een groot deel van de maakindustrie kunnen onder de wet vallen.
De wet maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten — zoals drinkwaterbedrijven, ziekenhuizen en energienetbeheerders — krijgen te maken met de strengste eisen en het zwaarste toezicht. Belangrijke entiteiten, zoals middelgrote IT-dienstverleners of bepaalde productiebedrijven, hebben iets minder strenge verplichtingen, maar moeten ook voldoen aan de nieuwe regels.
Wat zijn de verplichtingen?
De kern van de wet bestaat uit drie pijlers:
1. Risicobeheer: Organisaties zijn verplicht een risicoanalyse uit te voeren en op basis daarvan passende technische en organisatorische maatregelen te treffen. Denk aan toegangsbeveiliging, versleuteling van gegevens, back-upprocedures en veilige leveranciersketens.
2. Meldplicht: Significante cyberincidenten moeten worden gemeld bij de bevoegde autoriteit. Binnen 24 uur moet een eerste melding worden gedaan; binnen 72 uur volgt een volledigere rapportage. Ernstige incidenten moeten ook aan klanten of gebruikers worden gecommuniceerd wanneer dat relevant is.
3. Registratieplicht: Organisaties die onder de wet vallen, zijn verplicht zich te registreren bij het Nationaal Cyber Security Centrum (NCSC) via mijn.ncsc.nl. Deze registratie was per 15 augustus al verplicht.
Wat zijn de gevolgen bij niet-naleving?
De handhaving is een van de meest opvallende aspecten van de nieuwe wet. Toezichthouders kunnen bij overtreding boetes opleggen van maximaal 10 miljoen euro of 2% van de wereldwijde jaarlijkse omzet, afhankelijk van welk bedrag hoger is voor essentiële entiteiten. Voor belangrijke entiteiten gelden maximumboetes van 7 miljoen euro of 1,4% van de mondiale omzet. Bestuurders kunnen in uitzonderlijke gevallen persoonlijk aansprakelijk worden gesteld.
Wat moeten organisaties nu doen?
Organisaties die nog niet in actie zijn gekomen, hebben geen tijd meer te verliezen. De wet is al in werking. De eerste prioriteit is vaststellen of de organisatie onder de wet valt en in welke categorie. Vervolgens is registratie bij het NCSC vereist. Daarna volgt het uitvoeren van een risicobeoordeling en het treffen van de benodigde beveiligingsmaatregelen.
Voor kleinere bedrijven die als toeleverancier werken voor grotere organisaties in vitale sectoren, geldt dat zij indirect ook te maken kunnen krijgen met de eisen — via contractuele verplichtingen vanuit hun opdrachtgevers. De verwachting is dat grote organisaties hun leveranciers zullen verplichten te voldoen aan NIS2-eisen als onderdeel van het ketenbeheer.
Conclusie
De inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 markeert een nieuw tijdperk voor digitale veiligheid in Nederland. De wet heeft een brede reikwijdte, stevige handhaving en concrete verplichtingen die voor duizenden organisaties direct van toepassing zijn. Wie nog niet heeft gehandeld, loopt risico op forse boetes. Laat uw organisatie controleren of u onder de wet valt en welke stappen u moet nemen.
De informatie in dit artikel is van algemene aard en geen juridisch advies.
