De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn en treedt op 15 augustus 2026 in werking. Ze verplicht zo'n achtduizend organisaties in achttien sectoren tot een zorgplicht en een meldplicht, en maakt ook bestuurders persoonlijk verantwoordelijk. Valt jouw organisatie eronder, dan is nu het moment om je voor te bereiden.
Even de stand van zaken, want die is op het moment van schrijven behoorlijk actueel. Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Dat is over een kleine twee weken. De wet is de Nederlandse invulling van de Europese NIS2-richtlijn, en hij raakt naar schatting achtduizend organisaties direct. Misschien ben jij daar wel een van, en dan is het goed om te weten wat er precies op je afkomt. We nemen je mee langs de hoofdlijnen: van richtlijn naar wet, wie eronder valt, wat de wet van je vraagt, en vooral wat je nu al kunt doen.
In het kort
De basis ligt in Europa. De NIS2-richtlijn (voluit Network and Information Security, de tweede versie) moest de digitale weerbaarheid van de hele Unie omhoog brengen. Een Europese richtlijn werkt niet rechtstreeks, elk land moet haar in eigen wetgeving vertalen. In Nederland gebeurt dat via de Cyberbeveiligingswet, die de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt.
Eerlijk is eerlijk, het heeft even geduurd. De Europese deadline was 17 oktober 2024, maar net als de meeste lidstaten haalde Nederland die niet. Het wetgevingsproces is nu eenmaal groot en complex. Inmiddels is de wet aangenomen door beide Kamers en staat de datum vast. Tegelijk met de Cyberbeveiligingswet treedt trouwens ook de Wet weerbaarheid kritieke entiteiten in werking, die zich richt op fysieke weerbaarheid. In dit artikel houden we het bij de digitale kant.
Dit is voor de meeste organisaties de eerste en belangrijkste vraag. De wet maakt onderscheid tussen twee soorten organisaties. Essentiële entiteiten zijn de grote spelers in de meest kritieke sectoren. Op hen wordt actief toezicht gehouden, ook als er niets aan de hand is. Belangrijke entiteiten zijn doorgaans de middelgrote organisaties. Bij hen kijkt de toezichthouder vooral achteraf, als er signalen zijn dat het niet goed zit.
Als richtsnoer geldt de omvang van je organisatie. Grofweg vallen organisaties vanaf vijftig medewerkers eronder, de grote spelers vanaf ongeveer tweehonderdvijftig. Kleine organisaties blijven meestal buiten schot. Let op: het aantal sectoren is flink uitgebreid, van zeven onder de oude wet naar achttien nu. Denk aan nieuwe categorieën als afvalwaterbeheer, levensmiddelen, post- en koeriersdiensten, digitale aanbieders, chemie en de overheid zelf. En sommige organisaties vallen er altijd onder, ongeacht hun omvang. Alle gemeenten bijvoorbeeld, en aanbieders van telecom- en vertrouwensdiensten.
Een belangrijk punt: je bent zélf verantwoordelijk om te bepalen of je onder de wet valt. Er valt geen brief op de mat. Twijfel je, kijk dan op de pagina van de NCTV over welke organisaties eronder vallen.
Val je onder de wet, dan krijg je met twee kernverplichtingen te maken. De eerste is de zorgplicht. Simpel gezegd moet je passende en evenredige maatregelen nemen om je netwerk- en informatiesystemen te beschermen. De wet noemt tien categorieën, waaronder een risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit met back-ups en herstelplannen, beveiliging van je toeleveringsketen, cryptografie, basis-cyberhygiëne met training, en meervoudige authenticatie.
Dat lijkt veel, maar het startpunt is altijd hetzelfde: een goede risicoanalyse. Daaruit volgt vanzelf welke maatregelen voor jou passend zijn. Een klein adviesbureau heeft nu eenmaal andere risico's dan een energieleverancier. Zorg ervoor dat je die analyse goed vastlegt, want ze is de onderbouwing van alles wat je daarna doet.
De tweede verplichting is de meldplicht. Krijg je te maken met een significant incident, dan moet je dat melden in drie stappen. Binnen 24 uur doe je een eerste, korte melding. Binnen 72 uur volgt een uitgebreidere melding. En binnen een maand lever je een eindrapportage aan. Belangrijk om te weten: de klok start op het moment dat je kennis hebt van het incident, niet pas als je precies weet wat er is gebeurd.
Melden doe je via het portaal van het Nationaal Cyber Security Centrum (NCSC). Die 24 uur klinkt kort, en dat is het ook. Je wilt niet op het moment suprême gaan uitzoeken wie er mag melden en hoe dat portaal ook alweer werkt. Dit is dus typisch iets om vooraf in te regelen en een keer te oefenen.
Nieuw en niet onbelangrijk: de wet legt de verantwoordelijkheid nadrukkelijk bij de top. Het bestuur is eindverantwoordelijk voor de beheersing van cyberrisico's. Dat betekent concreet dat bestuurders of directeuren de maatregelen moeten goedkeuren, moeten toezien op de uitvoering, en zelf verplichte cyberbeveiligingstraining volgen. Cybersecurity is dus geen ver-van-mijn-bed-onderwerp meer dat je volledig bij de IT-afdeling parkeert.
En het heeft tanden. Bij aantoonbare nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Daarnaast staan er stevige boetes op niet-naleven, oplopend tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Genoeg reden om het serieus te nemen.
Naast de zorg- en meldplicht is er een registratieplicht. Organisaties die onder de wet vallen moeten zich registreren bij het NCSC. Dat heeft ook een voordeel: als geregistreerde organisatie ontvang je gerichte dreigingsinformatie. Het toezicht ligt bij verschillende sectorale toezichthouders. De Rijksinspectie Digitale Infrastructuur (RDI) is er daar een van, de Inspectie Leefomgeving en Transport een andere. Welke toezichthouder voor jou geldt, hangt van je sector af.
Genoeg theorie, want de vraag die telt is natuurlijk: wat doe je nu? Ook al is de wet net van kracht, je hoeft niet in paniek te raken. Je kunt gestructureerd aan de slag, en veel ervan is precies waar een managementsysteem als Normity voor gemaakt is. Een paar concrete stappen:
Hier komt het mooie: veel van deze eisen overlappen sterk met wat je uit ISO 27001 of, in de zorg, NEN 7510 al kent. Werk je al met zo'n norm, dan heb je een flinke voorsprong. In Normity beheer je je risicoanalyse, je incidenten, je leveranciersbeoordelingen en je beleidsdocumenten op één plek, en je koppelt dat aan het normenkader dat voor jou geldt. Voor NIS2 hebben we bovendien samen met de NCOD een kant-en-klaar normenkader gemaakt, zodat je de eisen niet zelf hoeft over te typen. Zo maak je van de Cyberbeveiligingswet geen los brandje, maar een onderdeel van je bestaande managementsysteem.
De wet is er, de datum staat vast, en de eisen zijn duidelijk. Het goede nieuws is dat je niet alles tegelijk hoeft te doen. Begin bij de basis: bepaal of je eronder valt en doe een eerste risicoanalyse. Van daaruit rolt de rest vanzelf. En bedenk: het gaat uiteindelijk niet om het afvinken van een wet, maar om een organisatie die beter bestand is tegen digitale ellende. Dat is sowieso de moeite waard.
Wil je meer weten over de wet zelf, kijk dan op de overzichtspagina van Digitale Overheid. En wil je sparren over hoe je dit slim in Normity aanpakt, neem gerust contact met ons op of vraag een demo aan. We denken graag met je mee.
De vragen die we het vaakst krijgen over de Cyberbeveiligingswet, met korte en feitelijke antwoorden.
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. De wet is op 15 april 2026 aangenomen door de Tweede Kamer en op 7 juli 2026 door de Eerste Kamer. Ze vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).
Dat hangt af van je sector en je omvang. In de regel vallen middelgrote en grote organisaties (grofweg vanaf 50 medewerkers) in achttien aangewezen sectoren eronder. Sommige organisaties vallen er altijd onder, ongeacht hun omvang, zoals telecomaanbieders en alle gemeenten. Je bent zelf verantwoordelijk om te bepalen of je onder de wet valt.
De zorgplicht verplicht je om vooraf passende maatregelen te nemen om je netwerk- en informatiesystemen te beschermen. De meldplicht verplicht je om een significant incident achteraf snel te melden. De zorgplicht gaat dus over voorkomen, de meldplicht over reageren.
Bij een significant incident doe je binnen 24 uur een eerste melding, binnen 72 uur een uitgebreidere melding en binnen een maand een eindrapportage. De klok start zodra je kennis hebt van het incident. Melden doe je via het portaal van het NCSC.
Ja. Het bestuur is eindverantwoordelijk voor de beheersing van cyberrisico's, moet de maatregelen goedkeuren en toezien op de uitvoering, en verplicht training volgen. Bij aantoonbare nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld.