Cyberbeveiligingswet vanaf 15 augustus 2026: wat betekent dit voor jouw organisatie?

De Nederlandse Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Deze wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en moet organisaties beter beschermen tegen cyberaanvallen, digitale verstoringen en uitval van belangrijke diensten.

De nieuwe wet geldt voor ruim 8.000 organisaties in Nederland. Toch is de Cyberbeveiligingswet niet alleen relevant voor bedrijven die rechtstreeks onder de wet vallen. Ook leveranciers en IT-dienstverleners kunnen te maken krijgen met strengere beveiligingseisen van hun klanten.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet, vaak afgekort tot Cbw, vervangt de huidige Wet beveiliging netwerk- en informatiesystemen. De wet richt zich op organisaties die essentiële of belangrijke diensten leveren binnen achttien sectoren.

Denk bijvoorbeeld aan organisaties binnen:

• gezondheidszorg;
• energie en drinkwater;
• vervoer en logistiek;
• digitale infrastructuur;
• overheid;
• productie;
• afvalwater en afvalbeheer;
• post- en koeriersdiensten.

Of een organisatie onder de wet valt, hangt onder meer af van de sector, het soort dienstverlening en de omvang van de organisatie. Organisaties zijn zelf verantwoordelijk voor het controleren of zij onder de Cyberbeveiligingswet vallen.

Welke verplichtingen gaan gelden?

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met een aantal belangrijke verplichtingen.

Registratieplicht

Organisaties moeten zich registreren in het nationale entiteitenregister van het Nationaal Cyber Security Centrum. Deze registratie wordt vanaf 15 augustus 2026 verplicht voor organisaties die onder de wet vallen.

Zorgplicht

Organisaties moeten digitale risico’s onderzoeken en passende maatregelen nemen om hun netwerk- en informatiesystemen te beschermen.

Dit betekent onder andere dat aandacht nodig is voor:

• toegangsbeveiliging;
• updates en patchbeheer;
• back-ups en herstel;
• incidentafhandeling;
• bedrijfscontinuïteit;
• beveiliging van leveranciers;
• bewustwording en training van medewerkers.

De Cyberbeveiligingswet schrijft tien onderdelen voor die binnen de zorgplicht ten minste aandacht moeten krijgen. Welke maatregelen precies nodig zijn, hangt af van de risico’s en de situatie van de organisatie.

Meldplicht

Een significant cyberincident moet zo snel mogelijk worden gemeld. De eerste melding moet in ieder geval binnen 24 uur worden gedaan bij het juiste Computer Security Incident Response Team en de bevoegde toezichthouder. Het gaat hierbij om incidenten die de dienstverlening aanzienlijk verstoren of mogelijk kunnen verstoren.

Verantwoordelijkheid van het bestuur

Cybersecurity wordt nadrukkelijk een bestuurlijk onderwerp. Het bestuur moet beveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering ervan. Bestuurders moeten bovendien voldoende kennis hebben om digitale risico’s en maatregelen te kunnen beoordelen.

Wat betekent dit voor leveranciers?

Een bedrijf dat niet rechtstreeks onder de Cyberbeveiligingswet valt, krijgt niet automatisch dezelfde wettelijke verplichtingen. Toch kunnen de gevolgen merkbaar zijn.

Organisaties die wel onder de wet vallen, moeten namelijk ook aandacht besteden aan de veiligheid van hun toeleveringsketen. Zij kunnen daarom aanvullende eisen stellen aan leveranciers, zoals afspraken over beveiliging, incidentmeldingen, toegangsbeheer, back-ups en continuïteit.

Het is daarom verstandig om niet alleen te controleren of je zelf onder de wet valt, maar ook of jouw klanten of samenwerkingspartners eronder vallen.

Wat kun je nu al doen?

Wachten tot 15 augustus is niet nodig. Veel maatregelen uit de Cyberbeveiligingswet zijn sowieso verstandig voor iedere organisatie.

Begin bijvoorbeeld met de volgende stappen:

1. Breng belangrijke systemen en gegevens in kaart

Bepaal welke systemen noodzakelijk zijn om jouw organisatie te laten functioneren. Denk aan Microsoft 365, bedrijfssoftware, servers, telefonie en gegevensopslag.

2. Controleer accounts en toegangsrechten

Zorg dat medewerkers alleen toegang hebben tot de informatie en systemen die zij nodig hebben. Schakel multifactorauthenticatie in en sluit accounts van vertrokken medewerkers direct af.

3. Installeer updates op tijd

Verouderde software en apparaten kunnen bekende kwetsbaarheden bevatten. Zorg daarom voor centraal update- en patchbeheer.

4. Controleer back-ups

Controleer niet alleen óf er back-ups worden gemaakt, maar ook of gegevens daadwerkelijk kunnen worden teruggezet. Bewaar bij voorkeur een beveiligde kopie die niet rechtstreeks bereikbaar is vanuit de normale werkomgeving.

5. Maak een incidentplan

Leg vast wie moet handelen bij een cyberincident, wie klanten of medewerkers informeert en bij welke partijen een melding moet worden gedaan.

6. Kijk naar leveranciers

Breng in kaart welke leveranciers toegang hebben tot systemen of belangrijke gegevens verwerken. Maak duidelijke afspraken over digitale veiligheid en incidenten.

Cybersecurity wordt een continu proces

De Cyberbeveiligingswet draait niet om één controle of een eenmalige lijst met maatregelen. Digitale veiligheid vraagt om voortdurend beheer, duidelijke verantwoordelijkheden en regelmatige controle.

Ook wanneer jouw organisatie niet rechtstreeks onder de wet valt, helpt een goede beveiligingsbasis om storingen, gegevensverlies en cyberincidenten te voorkomen. Bovendien ben je beter voorbereid wanneer klanten strengere eisen gaan stellen aan hun leveranciers.

IT SolutionS-Center helpt organisaties bij het inzichtelijk maken van digitale risico’s en het verbeteren van onder andere toegangsbeheer, beveiliging, monitoring, back-ups en herstel.

Wil je weten welke stappen binnen jouw organisatie nog nodig zijn?

Bespreek jouw cybersecurity met IT SolutionS-Center.