Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. Er is geen overgangsperiode: registratieplicht, zorgplicht en meldplicht zijn vanaf die dag van kracht en handhaafbaar.
De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Elk EU-land moest NIS2 omzetten in eigen wetgeving; in Nederland is dat de Cbw. Hij vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni), die alleen gold voor een kleine groep vitale aanbieders.
Het verschil met de oude situatie is groot. Waar de Wbni een beperkte groep vitale aanbieders raakte, vallen onder de Cbw ruim 8.000 organisaties in achttien sectoren. Op dezelfde dag trad ook de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, die zich richt op fysieke weerbaarheid.
In dit artikel lees je wie eronder valt, wat de drie plichten inhouden, wat er van je bestuur wordt verwacht en waar je begint.
Valt jouw organisatie onder de Cbw?
De wet legt de toetsing bij de organisatie zelf: niemand stuurt je een brief. Twee factoren bepalen of je eronder valt: je sector en je omvang.
Sector. De wet wijst achttien sectoren aan, waaronder energie, drinkwater, digitale infrastructuur, beheerde ICT-diensten, gezondheidszorg, overheid en vervoer. Kijk daarbij naar de dienst die je feitelijk levert, niet naar je SBI-code. Een softwarebedrijf dat systemen voor klanten beheert, levert een beheerde ICT-dienst, ook als het zichzelf een SaaS-bedrijf noemt.
Omvang. Als vuistregel val je in beginsel onder de wet als je in een aangewezen sector zit én meer dan 50 medewerkers of meer dan € 10 miljoen omzet hebt. Er zijn uitzonderingen in beide richtingen: voor sommige typen organisaties geldt de omvangsdrempel niet.
Essentieel of belangrijk. Wie eronder valt, is een essentiële of een belangrijke entiteit. Dat hangt af van sector en omvang, en het bepaalt de zwaarte van het regime:
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Toezicht | Vooraf (proactief) | Achteraf (na signalen of incidenten) |
| Verplichtingen | Zwaarste regime | Lichter regime |
| Boetemaximum (NIS2-systematiek) | Circa € 10 mln of 2% wereldwijde omzet | Circa € 7 mln of 1,4% wereldwijde omzet |
Groepsstructuur. Bij meerdere juridische entiteiten wordt per entiteit getoetst. Dat wordt in de praktijk vaak over het hoofd gezien: de holding valt er misschien niet onder, de werkmaatschappij wel.
Twijfel je? Dan is een onderbouwde toetsing per entiteit de eerste stap. Dat is precies wat de Cbw-impactanalyse oplevert.
De drie plichten: registreren, beveiligen, melden
Valt je organisatie onder de Cbw, dan gelden drie kernverplichtingen. Alle drie zijn sinds 15 augustus 2026 van kracht.
| Plicht | Wat het inhoudt | Waar het in de praktijk misgaat |
|---|---|---|
| Registratieplicht | Je registreert je organisatie in het entiteitenregister via het NCSC. | Organisaties weten niet dat ze eronder vallen en registreren dus niet. |
| Zorgplicht | Je neemt passende technische en organisatorische maatregelen tegen risico’s voor je netwerk- en informatiesystemen. | Maatregelen bestaan op papier, maar niemand kan aantonen dat ze werken. |
| Meldplicht | Je meldt significante incidenten bij het NCSC, volgens vaste termijnen. | Er is geen afgesproken route: wie beslist dat iets significant is, en wie meldt? |
De zorgplicht is doorlopend. Je vinkt hem niet éénmalig af. Risico’s veranderen, leveranciers wisselen, mensen vertrekken. Wie vandaag voldoet, voldoet over een jaar niet meer als niemand het bijhoudt.
De meldplicht vraagt voorbereiding. Op het moment van een incident is er geen tijd om uit te zoeken wie er meldt en wat er in de melding staat. Een meldprocedure met rollen, drempels en contactgegevens hoort klaar te liggen vóórdat je hem nodig hebt.
Het bestuur is eindverantwoordelijk
De Cbw maakt cyberbeveiliging een bestuurszaak. Alle bestuursleden zijn eindverantwoordelijk voor governance en risicobeheersing, inclusief cyberbeveiliging. Van bestuurders wordt bovendien verwacht dat zij training volgen in het herkennen en beoordelen van beveiligingsrisico’s.
Dat verandert de vraag die op tafel ligt. Het is niet langer “heeft IT het geregeld?”, maar “kan het bestuur laten zien dat het de risico’s kent en beheerst?”. Concreet betekent dat:
- het bestuur keurt de belangrijkste beveiligingsmaatregelen goed en volgt de uitvoering;
- risico’s worden bewust geaccepteerd door wie daartoe bevoegd is, en dat staat vastgelegd;
- bestuurders kunnen uitleggen welke keuzes er zijn gemaakt en waarom;
- er is aantoonbaar training gevolgd.
Vragen over de persoonlijke aansprakelijkheid van individuele bestuurders zijn juridisch van aard. Daarvoor schakel je een advocaat in.
Buiten scope? De keten vindt je toch
Ook als je organisatie zelf niet onder de Cbw valt, krijg je er vaak mee te maken. Organisaties die wel onder de wet vallen, moeten de risico’s in hun keten beheersen. Die eisen geven ze contractueel door aan hun leveranciers.
Dat merk je aan vragen als:
- een uitgebreide beveiligingsvragenlijst bij een aanbesteding of contractverlenging;
- een verzoek om een ISO 27001-certificaat of een vergelijkbaar bewijs;
- nieuwe contractclausules over incidentmelding en auditrecht.
De groep organisaties die zo indirect met de Cbw te maken krijgt, is vele malen groter dan de ruim 8.000 organisaties die er rechtstreeks onder vallen. Het verschil zit in de vorm: geen wettelijke plicht, maar een eis van je klant. In de praktijk weegt die vaak net zo zwaar, want zonder antwoord verlies je de opdracht.
Het sterkste antwoord op ketenvragen is een aantoonbaar werkend ISMS. Met Audit Ready 90 richt je dat in 90 dagen in op basis van ISO 27001.
Andersom geldt het ook: val je zelf wel onder de wet, dan moet je eisen stellen aan je eigen leveranciers. Denk aan je IT-beheerder, je cloudleverancier en je softwareleveranciers.
De Cbw naast ISO 27001, NEN 7510 en BIO2
Heb je al een ISMS op basis van ISO 27001, NEN 7510 (zorg) of BIO2 (overheid)? Dan heb je een flinke voorsprong. Deze normen dekken een groot deel van de maatregelen die de zorgplicht vraagt, zoals risicobeheer, toegangsbeveiliging, leveranciersbeheer en incidentbeheer.
Een certificaat is alleen geen automatisch bewijs dat je aan de Cbw voldoet. Drie onderwerpen vragen meestal extra aandacht:
| Onderwerp | Wat de Cbw vraagt | Wat er vaak ontbreekt |
|---|---|---|
| Meldplicht | Significante incidenten melden bij het NCSC, binnen vaste termijnen | Een meldroute met drempels, rollen en termijnen |
| Rol van het bestuur | Eindverantwoordelijkheid en aantoonbare training van bestuurders | Bestuurlijke betrokkenheid buiten de jaarlijkse directiebeoordeling |
| Keten | Risico’s bij leveranciers actief beheersen | Eisen die in contracten staan, maar niet worden gecontroleerd |
De slimste route is daarom niet een tweede, los systeem voor de Cbw, maar je bestaande ISMS uitbreiden waar het tekortschiet. Zo voorkom je dubbel werk en houd je één plek waar je bewijs staat.
Toezicht en boetes
Het toezicht is per sector belegd bij verschillende toezichthouders, zoals de Rijksinspectie Digitale Infrastructuur (RDI) voor digitale infrastructuur. Voor essentiële entiteiten is het toezicht proactief, voor belangrijke entiteiten reageert de toezichthouder vooral op signalen en incidenten.
De boetemaxima volgen de NIS2-systematiek: circa € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en circa € 7 miljoen of 1,4% voor belangrijke entiteiten. Hoe de Nederlandse toezichthouders die bevoegdheden gaan inzetten, moet nog blijken: zij zijn net begonnen.
Een nuchtere kanttekening: boetes zijn zelden de beste reden om in actie te komen. De echte schade van een incident zit in stilstand, herstel en verloren vertrouwen van klanten. En de vraag van je klant of je aantoonbaar in control bent, komt vaak eerder dan die van de toezichthouder.
Waar begin je? Vijf eerste stappen
De wet geldt al, maar paniek helpt niemand. Een groot deel van de organisaties die eronder vallen, weet het nog niet. Met deze vijf stappen breng je in korte tijd orde aan:
- Bepaal of je eronder valt. Per juridische entiteit: sector, dienst en omvang. Leg de onderbouwing vast, ook als de uitkomst “nee” is.
- Controleer je registratie. Val je eronder en ben je nog niet geregistreerd bij het NCSC, regel dat dan als eerste.
- Breng het bestuur aan tafel. Bespreek wat de Cbw van bestuurders vraagt en plan de training.
- Leg je huidige maatregelen naast de zorgplicht. Wat is er al, wat werkt aantoonbaar en wat ontbreekt?
- Richt de meldprocedure in. Wie beslist, wie meldt, binnen welke termijn en met welke gegevens?
Wil je dit niet zelf uitzoeken? De Cbw-impactanalyse van Amplify Security geeft je in vijf dagen een onderbouwd antwoord: of je eronder valt, wat er ontbreekt en wat je bestuur moet kunnen aantonen. Valt je organisatie er niet onder, dan zeggen we je dat eerlijk, en krijg je het zwart op wit.
