Sinds 15 augustus 2026 is de Nederlandse Cyberbeveiligingswet van kracht. Deze wet is de nationale uitwerking van de Europese NIS2-richtlijn en legt verstrekkende verplichtingen op aan duizenden Nederlandse organisaties. Voor veel bedrijven en instellingen is het een ingrijpende verandering: wie onder de wet valt, moet aantoonbaar investeren in digitale weerbaarheid, incidenten melden en zich laten controleren door een toezichthouder.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (afgekort: Cbw) vervangt de eerdere Nederlandse wet die de NIS1-richtlijn implementeerde. Met de komst van NIS2 heeft de Europese Unie de lat hoger gelegd: meer sectoren, meer organisaties en strengere eisen. Nederland had de richtlijn al in oktober 2024 moeten omzetten, maar dat lukte — net als in veel andere lidstaten — niet op tijd. Uiteindelijk is de wet op 15 augustus 2026 alsnog in werking getreden.
De wet richt zich op organisaties die essentiële of belangrijke diensten verlenen. Denk aan bedrijven in de energiesector, drinkwatervoorziening, gezondheidszorg, digitale infrastructuur, transport en de overheid zelf. In totaal vallen zo’n 10.000 grote organisaties direct onder de wet, verdeeld over achttien sectoren.
Welke verplichtingen gelden er?
Organisaties die onder de Cyberbeveiligingswet vallen, hebben drie kernverplichtingen:
1. Registratieplicht. Alle betrokken entiteiten moeten zich registreren in het nationale entiteitenregister via het MijnNCSC-portaal van het Nationaal Cyber Security Centrum. Zonder registratie voldoet een organisatie niet aan de wet.
2. Zorgplicht. Organisaties zijn verplicht passende en evenredige technische en organisatorische maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. Daarbij gaat het niet alleen om het nemen van maatregelen, maar ook om het kunnen aantonen en onderbouwen ervan. Bestuurders worden persoonlijk verantwoordelijk gehouden voor de naleving.
3. Meldplicht. Significante cyberincidenten moeten worden gemeld bij het bevoegde Computer Security Incident Response Team (CSIRT) én de toezichthouder. De eerste melding moet binnen 24 uur na ontdekking worden gedaan. Een volledigere melding volgt binnen 72 uur.
Gevolgen voor leveranciers
De impact van de wet reikt verder dan die 10.000 direct betrokken organisaties. Bedrijven die als leverancier werken voor een entiteit die onder de wet valt, krijgen indirect ook te maken met de nieuwe eisen. De wet verplicht grote organisaties namelijk om risico’s in hun leveranciersketen te beheersen. In de praktijk betekent dit dat ziekenhuizen, energiebedrijven en datacenters hun toeleveranciers — van schoonmaakbedrijven tot softwareleveranciers — zullen vragen om aan te tonen dat zij veilig werken.
Experts schatten dat tienduizenden kleinere bedrijven hierdoor indirect met de wet te maken krijgen. Wie als leverancier niet kan aantonen dat hij voldoet aan de beveiligingseisen, riskeert het verliezen van opdrachten en contracten.
Toezicht en handhaving
Er zijn tien bevoegde toezichthouders aangewezen, elk voor hun eigen sector. Zij houden zowel proactief als reactief toezicht en kunnen inspecties uitvoeren. Organisaties die de wet overtreden, riskeren forse boetes. Voor essentiële entiteiten kan de maximale boete oplopen tot 10 miljoen euro of twee procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
Wat moet u nu doen?
Valt uw organisatie mogelijk onder de Cyberbeveiligingswet? Controleer dan allereerst of u in een van de achttien sectoren actief bent en of uw organisatie de drempelwaarden voor omvang en medewerkers overschrijdt. Is dat het geval, dan is registratie via MijnNCSC de eerste stap. Vervolgens is het zaak om een risicoanalyse uit te voeren, beveiligingsmaatregelen te implementeren en een intern proces in te richten voor het melden van incidenten.
Ook als uw organisatie niet direct onder de wet valt, is het verstandig om na te gaan of u als leverancier werkt voor een organisatie die dat wel doet. In dat geval kunt u verwachten dat uw klanten u binnenkort om bewijs van naleving zullen vragen.
De informatie in dit artikel is van algemene aard en geen juridisch advies.
