De wet geldt sinds 15 augustus 2026
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet is op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen en geldt voor veel meer organisaties en sectoren dan de oude wet.
Voor de kernplichten geldt geen overgangsperiode. Valt uw organisatie onder de wet, dan moet u er nu aan voldoen.
De vier kernplichten
De wet legt essentiële en belangrijke entiteiten een aantal verplichtingen op.
- Registratieplicht: u registreert uw organisatie bij het NCSC, via eHerkenning op basis van uw KvK-nummer.
- Zorgplicht: u neemt passende maatregelen om risico’s voor uw netwerk- en informatiesystemen te beheersen.
- Meldplicht: u meldt significante incidenten binnen vaste termijnen.
- Bestuurdersplichten: het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt een training.
Toezicht en sancties
Elke sector heeft een eigen toezichthouder. De Rijksinspectie Digitale Infrastructuur houdt onder meer toezicht op digitale infrastructuur en digitale dienstverleners. Essentiële entiteiten staan onder proactief toezicht: de toezichthouder kan ook zonder incident controleren. Belangrijke entiteiten krijgen reactief toezicht, bijvoorbeeld na een incident of signaal. Bij overtreding van de zorgplicht of meldplicht kan een essentiële entiteit een boete krijgen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, als dat hoger is. Voor belangrijke entiteiten ligt het maximum lager.
Wat pakt u als eerste op?
Stel eerst vast of uw organisatie onder de wet valt en in welke categorie. Registreer u daarna als dat nog niet is gebeurd. Richt vervolgens het meldproces in, omdat een incident zich op elk moment kan voordoen. Breng daarna de zorgplichtmaatregelen in kaart met een gap-analyse en maak een verbeterplan met prioriteiten. Betrek het bestuur vanaf het begin; het is formeel verantwoordelijk.
Ook als u er niet onder valt
Organisaties die zelf niet onder de wet vallen, merken de gevolgen vaak via hun klanten. Een essentiële of belangrijke entiteit moet ook de risico’s in haar toeleveringsketen beheersen en stelt daarom eisen aan leveranciers. Wie aantoonbaar basismaatregelen heeft genomen, staat sterker bij aanbestedingen en contractverlengingen.