Vanaf 15 augustus 2026 zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) officieel van kracht. Duizenden Nederlandse organisaties moeten nu voldoen aan nieuwe wettelijke verplichtingen op het gebied van cybersecurity en fysieke weerbaarheid. Het gaat om twee wetten die voortvloeien uit Europese richtlijnen en directe gevolgen hebben voor bestuurders, ondernemers en organisaties in vitale sectoren.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederlands recht en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen binnen achttien sectoren, waaronder energie, drinkwater, gezondheidszorg, digitale infrastructuur, overheid en vervoer.
Organisaties die onder de wet vallen, krijgen te maken met vier kernverplichtingen. Ten eerste een registratieplicht: zij moeten zich inschrijven in het nationaal entiteitenregister van het Nationaal Cyber Security Centrum (NCSC). Na registratie hebben zij toegang tot dreigingsinformatie en hulp bij cyberincidenten. Ten tweede een zorgplicht: organisaties moeten passende technische en organisatorische maatregelen nemen om risico’s voor hun netwerk- en informatiesystemen te beheersen en incidenten te voorkomen of te beperken.
Daarnaast geldt een meldplicht: significante incidenten moeten binnen wettelijke termijnen worden gemeld aan het bevoegde CSIRT (Computer Security Incident Response Team) en de toezichthoudende autoriteit. Ten slotte legt de wet bestuurlijke verantwoordelijkheid bij het management: bestuurders zijn persoonlijk verantwoordelijk voor het goedkeuren en bewaken van beveiligingsmaatregelen, en moeten aantoonbaar voldoende kennis hebben van cyberrisico’s. Een passende training is verplicht.
Wat is de Wet weerbaarheid kritieke entiteiten?
Naast de Cyberbeveiligingswet treedt tegelijkertijd de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Deze wet implementeert de Europese CER-richtlijn en richt zich op de fysieke weerbaarheid van ongeveer vijfhonderd organisaties in sectoren als energie, vervoer, drinkwater, levensmiddelen, chemie en nucleaire infrastructuur.
Organisaties die door hun ministerie worden aangewezen als kritieke entiteit, moeten binnen negen maanden een eigen risicobeoordeling uitvoeren. Binnen tien maanden na aanwijzing moeten zij passende maatregelen hebben getroffen. Ook hier geldt een meldplicht: incidenten die een aanzienlijke verstoring van essentiële diensten veroorzaken, moeten binnen 24 uur worden gemeld.
Wat betekent dit voor ondernemers en bestuurders?
Minister van Justitie en Veiligheid David van Weel benadrukte bij de inwerkingtreding: “Digitale aanvallen, sabotage en andere verstoringen kunnen grote gevolgen hebben voor onze samenleving. Ik roep organisaties op om hun verantwoordelijkheid te nemen, zich te registreren en de benodigde maatregelen te treffen.”
Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen — de wet kent geen automatische aanwijzing. Dit betekent dat ondernemers en bestuurders actief moeten nagaan of hun organisatie in een van de achttien sectoren opereert en of de drempelwaarden voor omzet en aantal medewerkers van toepassing zijn.
Wie de verplichtingen niet naleeft, riskeert boetes van toezichthouders. De toezichthouders controleren actief of organisaties aan de wet voldoen. Op 3 september 2026 organiseert het NCSC een webinar over toezicht op de Cyberbeveiligingswet voor wie meer wil weten.
Actie vereist
Valt uw organisatie mogelijk onder de Cyberbeveiligingswet of de Wet weerbaarheid kritieke entiteiten? Controleer dit via de zelfscan op de website van het NCSC en registreer u tijdig. Voor organisaties die nog niet in actie zijn gekomen, is dit het moment: de wet is nu van kracht en toezicht volgt.
De informatie in dit artikel is van algemene aard en geen juridisch advies.
