Misschien hoorde je het al in een bestuursvergadering, of kreeg je de vraag van een klant: "Vallen jullie onder de Cyberbeveiligingswet?". Het is geen nieuws meer dat de wet sinds 15 augustus 2026 van kracht is. Tijd dus om te begrijpen wat er concreet van je gevraagd wordt en wat het voor jouw organisatie betekent.
Even kort: wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet, afgekort Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. NIS2 is de opvolger van de eerste NIS-richtlijn uit 2016 en heeft als hoofddoel: een hoog én gelijk niveau van cyberbeveiliging in heel Europa. De Cbw vervangt de huidige Wbni, te weten de Wet beveiliging netwerk- en informatiesystemen. Het grote verschil is de scope. Waar de oude wet een relatief kleine groep aansprak, gaat de Cyberbeveiligingswet over ruim 8.000 organisaties in Nederland, verspreid over zo'n achttien sectoren. En precies daarom vonden wij het belangrijk om daar dieper in te duiken.
Wie valt onder de Cyberbeveiligingswet?
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Dat onderscheid hangt af van de sector én omvang van jouw organisatie. Essentiële entiteiten, denk aan energiebedrijven, zorgaanbieders en digitale infrastructuur, worden strenger gecontroleerd. Belangrijke entiteiten krijgen een lichter toezicht, maar de verplichtingen zijn grotendeels hetzelfde. Dat zijn bijvoorbeeld organisaties in chemie, afvalbeheer en koeriersdiensten.
Voor maakbedrijven is het vaak minder vanzelfsprekend dan je denkt. Bedrijven die machines, elektrische apparatuur of voertuigonderdelen maken, staan in de bijlage van de richtlijn, vanaf een bepaalde omvang. Voor transport en logistiek ligt het in veel gevallen duidelijker: vervoerders en bepaalde logistieke dienstverleners vallen onder de Cyberbeveiligingswet. In de zorg geldt het voor de meeste zorgaanbieders van enige omvang. Ook (semi-)overheden moeten er vaak aan voldoen, maar niet alle typen. Stichtingen en onderwijsinstellingen moeten dat per geval nagaan, want ook daar zijn sector en daadwerkelijke activiteiten bepalend.
Twijfel je? Wacht dan niet tot je een brief van de toezichthouder krijgt. Loop nu na of je onder de wet valt en wat dat voor je betekent. We maakten er een simpele test voor, maak daar gerust gebruik van: https://score.innvolve.nl/cbw.
Wat zijn de verplichtingen in de Cyberbeveiligingswet?
De Cyberbeveiligingswet legt drie hoofdverplichtingen op:
- Registratie. Organisaties die onder de wet vallen, moeten zich registreren bij het Nationaal Cyber Security Centrum (NCSC). Dat klinkt makkelijk, en dat is het eigenlijk ook. Toch heeft een groot deel van de organisaties die zich moeten melden, dat nog niet gedaan.
- Risicomanagement. Ook wel bekend als de zorgplicht. Dat houdt in dat je passende technische en organisatorische maatregelen moet treffen op het gebied van informatiebeveiliging. De richtlijn noemt onder meer risicoanalyse, afhandeling van incidenten, bedrijfscontinuïteit en back-upbeheer, beveiliging van de toeleveringsketen, kwetsbaarheidsbeheer, multi-factor authenticatie en training van werknemers. Dat maakt het wat concreter.
- Incidentmelding. Tot slot moet je als organisatie bij een cyberincident snel schakelen. De standaardtermijnen uit de Cyberbeveiligingswet zijn duidelijk: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur, en een eindrapport binnen een maand.
Het bestuur is verantwoordelijk
Een nieuwe factor aan de Cyberbeveiligingswet, ten opzichte van regelgevingen die we eerder al kenden, is de bestuurlijke aansprakelijkheid en daarmee verantwoordelijkheid. Bestuurders moeten de cyberbeveiligingsmaatregelen goedkeuren en toezicht houden op de (technische) uitvoering. Hiervoor wordt dus ook enige kennis verwacht van het bestuur, en ze kunnen persoonlijk aansprakelijk worden gesteld als ze hun taak verwaarlozen. Informatiebeveiliging is dus geen IT-onderwerp dat je bij de systeembeheerder neerlegt, maar een bestuurlijk onderwerp. We blijven het roepen.
Wat zijn de boetes? Volgens de Europese richtlijn kunnen essentiële entiteiten maximaal 10 miljoen euro of 2% van de wereldwijde omzet krijgen, en belangrijke entiteiten maximaal 7 miljoen euro of 1,4%. Tel daar de reputatieschade bij op en de boodschap is duidelijk.
Wat verwacht de toezichthouder technisch?
De richtlijn somt in artikel 21 een heleboel maatregelen op die je minimaal moet nemen. Denk aan beleid voor risicoanalyse en informatiesystemen, incidentafhandeling, business continuity met back-ups en noodherstel, beveiliging van de leveranciersketens, veilige ontwikkeling en onderhoud van systemen, het beoordelen van de effectiviteit van maatregelen, basishygiëne en training, cryptografie waar nodig, en beveiliging van personeel, toegangsbeheer en MFA.
Veel organisaties die al werken met een managementsysteem voor informatiebeveiliging herkennen die lijst. Dat is niet toevallig. Een ISMS volgens ISO 27001 dekt namelijk een groot deel van de NIS2-maatregelen af. Daarover meer weten? Lees het blog over ISO 27001. Let wel op: een ISO-certificaat is geen NIS2-certificaat. De registratie, meldplicht en de bestuurlijke verantwoordelijkheid moet je apart regelen.
Hoe en waar begin je?
Je hoeft niet alles in één keer op orde te hebben, maar je moet wel aantoonbaar bezig zijn. Wij raden aan om de volgende volgorde aan te houden:
- Check of je onder de wet valt. Kijk naar je sector en omvang, en leg dat vast. Gebruik hiervoor de korte check
- Registreer je bij het NCSC, als dat voor jou geldt
- Betrek het bestuur. Zorg dat het management de risico's kent en de aanpak goedkeurt
- Doe een nulmeting. Waar staat je organisatie nu tegenover de maatregelen uit de richtlijn?
- Maak een risicoanalyse en stel prioriteiten op basis daarvan
Heb je daar de tijd of de interne kennis niet voor? Dan kan een externe CISO veel werk uit handen nemen. Die zet de aanpak op, begeleidt het bestuur en houdt de voortgang bij, zonder dat je direct een fulltime CISO hoeft aan te nemen. Ontdek onze CISO-as-a-Service oplossing.
Conclusie
De Cyberbeveiligingswet levert werk op, maar met een goed doel. Jouw organisatie veiligstellen voor cyberdreigingen. Het is een kans om structureel te bepalen waar je organisatie staat en wat je moet beschermen. Begin nu, dan hoef je straks niet onder tijdsdruk te reageren.
Wil je weten of jouw organisatie onder de wet valt en/of waar je moet beginnen? Neem contact met ons op en we kijken er samen (en vrijblijvend!) naar!
