Overmorgen, op 15 augustus 2026, treedt de Cyberbeveiligingswet in werking — de Nederlandse uitvoering van de Europese NIS2-richtlijn. Voor duizenden bedrijven en organisaties in Nederland betekent dit dat zij per direct moeten voldoen aan nieuwe, ingrijpende verplichtingen op het gebied van digitale beveiliging. Wie er niet klaar voor is, riskeert forse boetes en reputatieschade.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (afgekort: Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn. NIS2 staat voor Network and Information Security Directive en is de opvolger van de eerste NIS-richtlijn uit 2016. De wet stelt concrete eisen aan de beveiliging van netwerk- en informatiesystemen van organisaties in sectoren die van groot maatschappelijk en economisch belang zijn. Denk aan energie, drinkwater, transport, gezondheidszorg, financiën en digitale infrastructuur.
De wet is op 7 juli 2026 aangenomen door het Nederlandse parlement en treedt nu — bijna twee jaar later dan de oorspronkelijke Europese deadline van oktober 2024 — eindelijk in werking.
Wie valt onder de wet?
De Cyberbeveiligingswet is van toepassing op zo’n 8.000 organisaties in Nederland die actief zijn in zogeheten essentiële of belangrijke sectoren. Dit zijn voornamelijk middelgrote en grote bedrijven. Maar de impact reikt veel verder: via de toeleveranciersketen worden naar schatting 133.000 mkb-bedrijven indirect geraakt, omdat zij als leverancier werken voor organisaties die wél direct onder de wet vallen.
Niet zeker of uw bedrijf eronder valt? De Rijksdienst voor Ondernemend Nederland (RVO) biedt een online zelfscan waarmee u kunt controleren of u binnen de reikwijdte van de wet valt.
Welke verplichtingen gelden er?
Organisaties die onder de Cyberbeveiligingswet vallen, moeten voldoen aan drie kernverplichtingen:
1. Zorgplicht — U bent verplicht aantoonbare maatregelen te nemen om cyberrisico’s te beheersen. Dit betekent onder meer: risicobeheer, toegangsbeveiliging, back-upbeleid, encryptie en beleid rondom beveiliging van de toeleveranciersketen.
2. Meldplicht — Significante cyberincidenten moeten binnen 24 uur worden gemeld bij de toezichthouder. Denk aan ransomware-aanvallen, datalekken of uitval van kritieke systemen. Binnen 72 uur volgt een uitgebreidere melding.
3. Registratieplicht — Organisaties moeten zich registreren bij de bevoegde nationale autoriteit. In Nederland is dat afhankelijk van de sector: het Nationaal Cyber Security Centrum (NCSC), de Autoriteit Persoonsgegevens (AP) of een sectorspecifieke toezichthouder.
Bestuurders persoonlijk aansprakelijk
Een opvallend nieuw element van de Cyberbeveiligingswet is de persoonlijke aansprakelijkheid van bestuurders. Cybersecurity is niet langer uitsluitend een technisch vraagstuk voor de IT-afdeling — het is een bestuurlijke verantwoordelijkheid. Bestuurders van organisaties die onvoldoende maatregelen nemen of een incident niet tijdig melden, kunnen persoonlijk aansprakelijk worden gesteld. Dit is een significante verschuiving ten opzichte van de oude situatie.
Wat zijn de sancties bij overtreding?
De toezichthouders krijgen ruime bevoegdheden om te handhaven. Voor essentiële entiteiten (de grootste en meest kritieke organisaties) kunnen boetes oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten gelden maxima van € 7 miljoen of 1,4% van de jaaromzet.
Wat moet u nu doen?
Als uw organisatie onder de Cyberbeveiligingswet valt en u nog niet heeft gehandeld, is het zaak om onmiddellijk in actie te komen. Stel in ieder geval vast of u onder de wet valt, inventariseer uw huidige cyberbeveiligingsmaatregelen, zorg voor een incidentresponsplan en registreer u bij de juiste toezichthouder. Schakel zo nodig een juridisch adviseur of cybersecurityspecialist in om te beoordelen waar de lacunes zitten.
Ook voor mkb-bedrijven die indirect worden geraakt via hun grote opdrachtgevers, is het verstandig om proactief in gesprek te gaan over de eisen die aan hen als leverancier worden gesteld.
Conclusie
De inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 is een mijlpaal in de Nederlandse aanpak van digitale weerbaarheid. De wet legt de lat hoog: strenge verplichtingen, korte meldtermijnen en persoonlijke aansprakelijkheid voor bestuurders. Organisaties die nog niet hebben gehandeld, hebben nog maar twee dagen. Voor de langere termijn geldt: wie cybersecurity serieus neemt, voldoet niet alleen aan de wet — maar verkleint ook de kans op een kostbare aanval.
De informatie in dit artikel is van algemene aard en geen juridisch advies.
