Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht

Op 15 augustus 2026 treedt de Cyberbeveiligingswet (Cbw) in werking, de Nederlandse invulling van de Europese NIS2-richtlijn. De Tweede Kamer stemde er op 15 april 2026 mee in, de Eerste Kamer volgde op 7 juli 2026. Tegelijk met de Cyberbeveiligingswet wordt ook de Wet weerbaarheid kritieke entiteiten (Wwke) van kracht.

Met de nieuwe wet wil de overheid de digitale weerbaarheid van Nederland verhogen. Organisaties in kritieke sectoren moeten hun beveiliging aantoonbaar op orde hebben, incidenten melden en zich registreren bij de toezichthouder. Naar schatting krijgen zo’n 8.000 organisaties met de wet te maken.

Voor wie geldt de wet?

De Cyberbeveiligingswet richt zich op organisaties in negentien sectoren, waaronder energie, digitale infrastructuur, drinkwater, transport, de overheid, de zorg, de levensmiddelensector, ruimtevaart en onderzoek. Binnen die sectoren gaat het vooral om middelgrote en grote organisaties: bedrijven met vijftig of meer medewerkers, of met een jaaromzet of balanstotaal van tien miljoen euro of meer.

De wet maakt onderscheid tussen twee groepen. Zeer kritieke (“essentiële”) organisaties moeten aan de strengste eisen voldoen en krijgen actiever toezicht. Belangrijke organisaties hebben iets minder strikte verplichtingen, maar moeten bijvoorbeeld wel incidenten met grote impact melden.

Ook organisaties die zelf niet direct onder de wet vallen, kunnen er via de keten mee te maken krijgen. Bedrijven die onder de wet vallen zijn namelijk medeverantwoordelijk voor de beveiliging in hun toeleveringsketen. Leveranciers van die organisaties kunnen daardoor de vraag krijgen om hun informatiebeveiliging aantoonbaar te maken.

Welke verplichtingen komen erbij?

De wet legt organisaties drie hoofdverplichtingen op.

Zorgplicht. Organisaties nemen passende technische en organisatorische maatregelen om hun diensten en gegevens te beschermen en de continuïteit te waarborgen. Denk aan risicobeheer, toegangsbeveiliging, back-ups en incidentbeheer.

Meldplicht. Een significant incident moet snel worden gemeld, in stappen:

  • een eerste melding binnen 24 uur na ontdekking;
  • een vervolgmelding binnen 72 uur;
  • een eindrapport uiterlijk een maand na de eerste melding.

Registratieplicht. Organisaties die onder de wet vallen, moeten zich vanaf 15 augustus 2026 registreren. Dat kan via het Nationaal Cyber Security Centrum (NCSC) op mijn.ncsc.nl.

Verantwoordelijkheid tot in de bestuurskamer

Nieuw is dat de wet cyberbeveiliging expliciet bij de bestuurders van een organisatie neerlegt. Zij moeten de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering ervan en over voldoende kennis beschikken om die rol te kunnen vervullen. Cyberveiligheid is daarmee niet langer alleen een zaak van de IT-afdeling, maar een verantwoordelijkheid van de leiding.

Toezicht en handhaving liggen onder meer bij de Rijksinspectie Digitale Infrastructuur (RDI). Bij het niet naleven van de verplichtingen kunnen forse boetes worden opgelegd, oplopend tot enkele miljoenen euro’s.

Wat betekent dit nu?

Hoewel de wet pas op 15 augustus 2026 ingaat, is de voorbereiding voor veel organisaties nu al relevant. Wie moet inschatten of de wet van toepassing is, kan beginnen met de vraag of de eigen organisatie of belangrijke afnemers in een van de aangewezen sectoren vallen. Vanaf de ingangsdatum gelden de zorgplicht, de meldplicht en de registratieplicht.

Meer informatie over de wet en de verplichtingen is te vinden bij het NCSC, de RDI en op de website van de Rijksoverheid.

Afbeelding van een virtuele werkplek

Jouw virtuele werkplek in de cloud

Microsoft NCE

Prijswijzigingen en inflatiecorrectie per 1 februari 2025

GOsensit behaalt ISO 27001-certificering