Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens de overheid gelden er daarmee nieuwe verplichtingen voor ruim 8000 organisaties in Nederland. Een overgangsperiode is er niet: de verplichtingen gelden direct.
In dit artikel leest u voor wie de wet geldt, wat u moet regelen en waarom de wet ook gevolgen kan hebben als uw bedrijf er zelf niet onder valt.
Voor wie geldt de Cyberbeveiligingswet?
De wet geldt voor organisaties in sectoren die belangrijk zijn voor de samenleving en de economie. De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Voorbeelden van sectoren die onder de wet vallen:
- energie, vervoer, bankwezen en financiële marktinfrastructuur
- gezondheidszorg, drinkwater en afvalwater
- digitale infrastructuur, zoals datacenters, cloudaanbieders en DNS-diensten
- beheer van ICT-diensten, zoals managed service providers
- post- en koeriersdiensten, afvalbeheer en chemische stoffen
- productie, verwerking en distributie van levensmiddelen
- maakindustrie, zoals machines, elektronica, medische hulpmiddelen en voertuigen
- digitale aanbieders, zoals online marktplaatsen en zoekmachines
Daarnaast speelt de omvang van uw organisatie mee. Als vuistregel vallen middelgrote en grote organisaties in deze sectoren onder de wet: vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet. Sommige organisaties vallen er ongeacht hun omvang onder, bijvoorbeeld aanbieders van DNS-diensten. Op de website van de overheid staat per sector uitgewerkt wie er precies onder valt.
Wat moet u regelen als u eronder valt?
1. Registreren
Organisaties die onder de wet vallen, moeten zich registreren. Voor veel organisaties loopt die registratie via het Nationaal Cyber Security Centrum (NCSC).
2. Zorgplicht
U moet passende maatregelen nemen om uw netwerk- en informatiesystemen te beveiligen en de continuïteit van uw dienstverlening te waarborgen. Denk aan:
- een risicoanalyse van uw systemen en processen
- een procedure voor het afhandelen van incidenten
- back-ups en een plan om na een incident weer op te starten
- beveiliging van de toeleveringsketen: welke leveranciers hebben toegang tot uw systemen?
- veilig beheer van systemen, inclusief tijdig updaten
- toegangsbeheer en multifactorauthenticatie
- versleuteling waar dat nodig is
- bewustwording en training van medewerkers
3. Meldplicht
Een significant incident moet u melden bij uw CSIRT en uw toezichthouder. Daarbij gelden vaste termijnen: een eerste waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand.
4. Verantwoordelijkheid van het bestuur
Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering en zelf een training volgen. Cybersecurity is daarmee nadrukkelijk een taak van de directie, niet alleen van de IT-afdeling.
5. Toezicht en boetes
Er komt toezicht per sector. Bij overtreding kunnen boetes oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
Valt u er niet onder? Dan kan het u toch raken
Veel mkb-bedrijven vallen niet zelf onder de wet. Toch kunnen zij ermee te maken krijgen. Organisaties die wel onder de wet vallen, moeten namelijk ook de risico's in hun toeleveringsketen beheren. Levert u software, IT-diensten, onderdelen of andere diensten aan zo'n organisatie, dan kunt u vragen verwachten over uw beveiliging. Bijvoorbeeld:
- Hoe zijn uw back-ups geregeld en zijn ze getest?
- Hoe snel worden beveiligingsupdates geïnstalleerd?
- Wie heeft toegang tot welke systemen, en is die toegang beveiligd met multifactorauthenticatie?
- Hoe snel meldt u een incident dat ook uw klant raakt?
Wie daar nu al een goed antwoord op heeft, staat sterker bij de volgende aanbesteding of contractverlenging.
Waar begint u?
- Stel vast of u onder de wet valt. Kijk naar uw sector en uw omvang, en controleer dat aan de hand van de informatie van de overheid.
- Breng uw systemen en leveranciers in kaart. Welke servers, applicaties en clouddiensten gebruikt u, en wie beheert ze?
- Regel de basis. Actuele updates, multifactorauthenticatie, back-ups op een aparte locatie en een geteste herstelprocedure.
- Leg een incidentprocedure vast. Wie doet wat als het misgaat, en wie meldt het binnen 24 uur?
- Betrek de directie. De wet legt de verantwoordelijkheid bij het bestuur. Zorg dat zij weten wat er speelt.
Hoe WiseNET helpt
Met IT-consultancy helpen wij u bepalen wat de wet voor uw organisatie betekent en welke maatregelen zinvol zijn. Met managed services en Linux systeembeheer zorgen wij dat uw servers actueel, gemonitord en goed beveiligd zijn, met back-ups die ook echt teruggezet kunnen worden.
Bronnen
Dit artikel geeft algemene informatie en is geen juridisch advies. Twijfelt u of uw organisatie onder de wet valt, controleer dat dan bij de officiële bronnen of uw toezichthouder.
