Afgelopen vrijdag, 15 augustus 2026, is de Cyberbeveiligingswet officieel in werking getreden. Deze nieuwe wet verplicht duizenden Nederlandse organisaties om hun digitale beveiliging op orde te brengen en incidenten te melden. Wie er niet aan voldoet, riskeert forse boetes. Voor veel bedrijven begint nu de klok te tikken.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet — ook wel de NIS2-wet genoemd — is de Nederlandse uitwerking van de Europese NIS2-richtlijn. NIS staat voor ‘Network and Information Systems’. De wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en stelt aanmerkelijk strengere eisen aan digitale weerbaarheid. Het doel is om de cyberbeveiliging in de hele Europese Unie naar een hoger niveau te tillen.
Waar de vorige wet nog relatief weinig organisaties raakte, gaat de Cyberbeveiligingswet gelden voor meer dan 8.000 Nederlandse bedrijven en instellingen. Zij moeten voldoen aan nieuwe verplichtingen op het gebied van risicobeheer, beveiliging van hun systemen en het melden van ernstige cyberincidenten.
Voor wie geldt de wet?
De wet richt zich op organisaties die essentiële of belangrijke diensten verlenen in achttien sectoren. Denk aan: energie, drinkwater, digitale infrastructuur, gezondheidszorg, transport, financiële dienstverlening en de overheid zelf. Bedrijven in deze sectoren worden ingedeeld in twee categorieën: ‘essentiële entiteiten’ en ‘belangrijke entiteiten’. Essentiële entiteiten worden strenger gecontroleerd en krijgen hogere boetes bij overtredingen.
Maar ook organisaties die niet direct onder de wet vallen, krijgen er indirect mee te maken. Tienduizenden toeleveranciers van ziekenhuizen, banken, energiebedrijven en datacenters zullen door hun afnemers worden aangesproken op hun cyberveiligheid. De wet heeft daarmee een groot keteneffect op de Nederlandse economie.
Welke verplichtingen gelden er?
Organisaties die onder de Cyberbeveiligingswet vallen, moeten aan drie hoofdverplichtingen voldoen:
1. Registratieplicht: Organisaties moeten zich inschrijven in het nationale entiteitenregister via het portaal MijnNCSC (het Nationaal Cyber Security Centrum). Deze registratie was per 15 augustus 2026 verplicht.
2. Zorgplicht: Organisaties zijn verplicht om passende technische en organisatorische maatregelen te nemen om cyberrisico’s te beheersen. Dit omvat onder meer het uitvoeren van risicobeoordelingen, het beveiligen van netwerken en systemen, het gebruik van encryptie, en het opstellen van herstelplannen bij incidenten.
3. Meldplicht: Significante cybersecurity-incidenten moeten binnen 24 uur gemeld worden bij de bevoegde autoriteit. Denk aan een ransomware-aanval die de bedrijfsvoering verstoort, of een datalek met grote gevolgen.
Nieuw ten opzichte van de oude wet is ook de bestuurdersverantwoordelijkheid: directeuren en bestuurders zijn persoonlijk verantwoordelijk voor naleving van de wet en zijn verplicht om een cybersecurity-training te volgen. Bestuurders kunnen bij ernstige overtredingen zelfs tijdelijk worden uitgesloten van hun functie.
Wat zijn de gevolgen bij overtreding?
De toezichthouders — afhankelijk van de sector zijn dat onder anderen het NCSC, de ACM en De Nederlandsche Bank — kunnen bij overtredingen aanzienlijke boetes opleggen. Voor essentiële entiteiten kunnen de boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, al naargelang welk bedrag hoger is. Voor belangrijke entiteiten gelden maxima van 7 miljoen euro of 1,4% van de omzet.
Wat betekent dit voor ondernemers?
Bent u ondernemer in een van de genoemde sectoren? Dan is direct actie vereist. Controleer eerst of uw organisatie onder de wet valt via de zelfregistratietool op MijnNCSC. Vervolgens is het zaak om een risicoanalyse uit te voeren en een cybersecurity-beleid op te stellen. Laat indien nodig een juridisch of cybersecurityadvies inwinnen.
Ook als uw bedrijf niet rechtstreeks onder de wet valt, maar u levert aan grote organisaties in de genoemde sectoren, dan is het verstandig te onderzoeken welke eisen uw afnemers aan u gaan stellen. Contractuele doorwerking van de NIS2-verplichtingen in de leveranciersketen is een reëel en groeiend risico.
Conclusie
De inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 is een ingrijpende stap voor de digitale veiligheid in Nederland. Meer dan 8.000 organisaties moeten nu aantoonbaar voldoen aan strikte beveiligingseisen, en de wet heeft een groot indirect effect op de bredere bedrijfsketen. Bestuurders die de wet negeren, lopen een persoonlijk risico. De boodschap is duidelijk: cyberveiligheid is geen IT-kwestie meer, maar een juridische verantwoordelijkheid voor de hele organisatie.
De informatie in dit artikel is van algemene aard en geen juridisch advies.
