In het kort
- De Cyberbeveiligingswet is de Nederlandse uitvoering van de Europese NIS2-richtlijn en treedt op 15 augustus 2026 in werking.
- De wet geldt voor ongeveer 8.000 organisaties in achttien kritieke en zeer kritieke sectoren, waarbij sector, omvang en uitzonderingen bepalend zijn.
- De drie centrale wettelijke plichten zijn de zorgplicht, registratieplicht en meldplicht.
- Besturen moeten risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis opdoen.
- ISO 27001 kan een belangrijk fundament vormen, maar certificering betekent niet automatisch dat aan alle wettelijke eisen is voldaan.
Wat zijn NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn die het niveau van cybersecurity in de Europese Unie moet verhogen. Omdat een richtlijn in nationale wetgeving moet worden omgezet, krijgt Nederland de Cyberbeveiligingswet (Cbw). De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen en maakt de verplichtingen in Nederland juridisch afdwingbaar.
De termen worden vaak door elkaar gebruikt. Juridisch is het onderscheid wel relevant: NIS2 is het Europese kader; de Cyberbeveiligingswet bevat de Nederlandse regels, bevoegde autoriteiten, meldroutes en handhavingsmogelijkheden.
Actuele status: de Eerste Kamer stemde op 7 juli 2026 met het wetsvoorstel in. De wet treedt op 15 augustus 2026 in werking. Organisaties kunnen de registratie op MijnNCSC al voorbereiden.
Valt uw organisatie onder de Cyberbeveiligingswet?
De toepasselijkheid wordt niet bepaald door één algemene checklist. In de kern kijkt u naar de sector waarin de organisatie actief is en de omvang van de organisatie. Daarnaast bestaan specifieke uitzonderingen en aanwijzingsmogelijkheden.
Sector en activiteit
De wet ziet op achttien kritieke en zeer kritieke sectoren, waaronder energie, vervoer, gezondheidszorg, digitale infrastructuur, overheidsdiensten, drinkwater, afvalwater, post- en koeriersdiensten, onderzoek en bepaalde digitale aanbieders.
Omvang en uitzonderingen
Voor veel categorieën spelen personeelsomvang en financiële omvang een rol. Sommige typen organisaties vallen ongeacht hun omvang onder de wet of kunnen afzonderlijk worden aangewezen.
Een organisatie kan daarnaast indirect met de wet te maken krijgen. NIS2-plichtige klanten moeten hun ketenrisico’s beheersen en zullen daarom vaker eisen stellen aan leveranciers. Dat is een contractuele of commerciële doorwerking; het maakt de leverancier niet automatisch zelf tot een wettelijke Cbw-entiteit.
Bekijk hoe Governancy de scope en huidige situatie in kaart brengt.
De wettelijke verplichtingen
1. Zorgplicht
Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico’s voor netwerk- en informatiesystemen te beheersen. Risicomanagement vormt de basis. De wet en NIS2 benoemen tien hoofdonderwerpen:
- beleid voor risicoanalyse en beveiliging van informatiesystemen;
- incidentenbehandeling;
- bedrijfscontinuïteit, back-ups, herstel en crisisbeheer;
- beveiliging van de toeleveringsketen;
- veilig verwerven, ontwikkelen en onderhouden van systemen, inclusief kwetsbaarhedenbeheer;
- beoordelen van de effectiviteit van beveiligingsmaatregelen;
- basismaatregelen voor cyberhygiëne en opleiding;
- beleid voor cryptografie en versleuteling;
- personeelsbeveiliging, toegangsbeheer en assetmanagement;
- multifactorauthenticatie of continue authenticatie en beveiligde communicatie, waar passend.
2. Registratieplicht
Essentiële en belangrijke entiteiten moeten zich registreren in het entiteitenregister. In Nederland verloopt dit via MijnNCSC. Wacht niet tot de inwerkingtredingsdatum met het verzamelen van gegevens, rollen en benodigde eHerkenningsmiddelen.
3. Meldplicht
Een significant incident moet gefaseerd worden gemeld. In de reguliere route geldt zo snel mogelijk en uiterlijk binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en in beginsel binnen één maand een eindrapport. Voor enkele sectoren en wettelijke regimes bestaan afwijkende termijnen.
| Moment | Doel | Wat moet beschikbaar zijn? |
|---|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing | Eerste indicatie van aard, mogelijke oorzaak, grensoverschrijdende impact en vermoeden van onrechtmatig handelen. |
| Binnen 72 uur | Incidentmelding | Actualisatie, eerste beoordeling van ernst en impact en waar mogelijk indicatoren van compromittering. |
| Binnen één maand | Eindrapport | Uitgebreide beschrijving, oorzaak, genomen en lopende maatregelen en eventuele grensoverschrijdende gevolgen. |
Bestuurlijke verantwoordelijkheid
Cybersecurity kan onder de Cbw niet uitsluitend aan de IT-afdeling worden overgelaten. Het bestuur moet de risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering en opleidingen volgen om risico’s en maatregelen voldoende te kunnen beoordelen.
Dat betekent niet dat iedere bestuurder bij iedere afwijking automatisch persoonlijk aansprakelijk is. Wel neemt het bestuurlijke en handhavingsrisico toe wanneer aantoonbare besluitvorming, toezicht, kennis en opvolging ontbreken.
Aantoonbaarheid voor het bestuur: leg besluiten vast, wijs eigenaren aan, rapporteer over risico’s en incidenten, bespreek effectiviteit en rest-risico’s periodiek en documenteer gevolgde opleidingen.
Leveranciers en ketenverantwoordelijkheid
De zorgplicht omvat beveiliging van de toeleveringsketen. Organisaties moeten risico’s beoordelen die voortkomen uit directe leveranciers en dienstverleners. Dat vraagt meer dan een leverancierslijst: kriticiteit, toegang, dataverwerking, afhankelijkheden, contractvoorwaarden, assurance en monitoring moeten samenkomen.
| Direct onder de wet | Indirect geraakt via klanten |
|---|---|
| De organisatie voldoet zelf aan de wettelijke criteria of is aangewezen. Zij heeft eigen registratie-, zorg- en meldplichten en staat onder wettelijk toezicht. | De organisatie valt zelf niet onder de Cbw, maar klanten stellen beveiligingseisen via contracten, inkoopvoorwaarden, audits of vragenlijsten. |
| Bewijsvoering moet aansluiten op de eigen wettelijke verplichtingen en sectorale eisen. | Bewijsvoering moet aansluiten op het risicoprofiel en de eisen van de klant. ISO 27001, auditrapporten en gerichte assurance kunnen helpen. |
Hoe verhouden NIS2 en ISO 27001 zich tot elkaar?
ISO/IEC 27001 biedt een gestructureerd managementsysteem voor informatiebeveiliging. Onderwerpen zoals risicoanalyse, beleid, rollen, leveranciersbeheer, incidentmanagement, continuïteit, interne audits en managementevaluatie sluiten sterk aan op de Cyberbeveiligingswet.
De overlap betekent niet dat een ISO 27001-certificaat alle wettelijke verplichtingen automatisch afdekt. De Cbw bevat onder meer specifieke toepasselijkheidscriteria, bestuurlijke eisen, registratie, meldtermijnen en toezicht. Maak daarom een expliciete mapping en leg ontbrekende maatregelen vast.
Praktisch stappenplan voor de voorbereiding
Bepaal de formele scope
Onderzoek sector, activiteit, omvang, uitzonderingen en eventuele groepsstructuur. Leg de juridische redenering en bronnen vast.
Maak eigenaarschap bestuurlijk
Wijs een bestuurlijk opdrachtgever, verantwoordelijke functies en proceseigenaren aan. Plan opleiding en besluitvorming.
Voer een gap-analyse uit
Toets beleid én praktijk tegen de zorgplicht, meldplicht, registratieplicht en relevante sectorale eisen.
Prioriteer op risico
Start met kritieke diensten, identiteiten en toegang, incidentrespons, continuïteit, leveranciers en kwetsbaarhedenbeheer.
Richt meld- en crisistructuren in
Maak beslisbomen, escalatieroutes, bereikbaarheidslijsten en formats die binnen de wettelijke termijnen bruikbaar zijn.
Toets en borg
Oefen incidenten, voer interne controles uit, rapporteer aan het bestuur en houd bewijsstukken en verbeteracties actueel.
Veelgestelde vragen
Wanneer treedt de Cyberbeveiligingswet in werking?
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Vanaf die datum gelden de wettelijke verplichtingen voor organisaties die als essentiële of belangrijke entiteit onder de wet vallen.
Valt iedere leverancier van een NIS2-organisatie automatisch onder de wet?
Nee. Een leveranciersrelatie maakt een organisatie niet automatisch zelf tot essentiële of belangrijke entiteit. Klanten kunnen wel contractuele beveiligingseisen, meldtermijnen en assuranceverplichtingen doorleggen.
Is ISO 27001 voldoende om aan de Cyberbeveiligingswet te voldoen?
ISO 27001 biedt een sterk fundament voor risicomanagement, beleid, audits en continue verbetering, maar is geen automatische of volledige vrijstelling van de wettelijke verplichtingen. Een aanvullende juridische en inhoudelijke mapping blijft nodig.
Bestaat er een officieel NIS2-certificaat?
Nee. De Cyberbeveiligingswet schrijft geen algemeen officieel NIS2-certificaat voor. Certificaten en assuranceverklaringen kunnen wel onderdeel zijn van de bewijslast.
Zijn bestuurders automatisch persoonlijk aansprakelijk bij een tekortkoming?
Nee, dat volgt niet automatisch uit iedere tekortkoming. Het bestuur moet de risicobeheersmaatregelen goedkeuren, toezicht houden en voldoende kennis verwerven. Afhankelijk van de situatie kunnen handhaving en aansprakelijkheidsrisico’s ontstaan.
Officiële bronnen
Deze pagina is gebaseerd op primaire en officiële bronnen. Controleer bij besluiten altijd de actuele wetstekst en informatie van de bevoegde toezichthouder.
- Rijksoverheid: Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
- NCSC: centraal dossier Cyberbeveiligingswet (NIS2)
- NCSC: valt mijn organisatie onder de Cbw?
- NCSC: zorgplicht
- NCSC: meldplicht
Van wettelijke verplichting naar aantoonbare beheersing
Governancy helpt bij de scopebepaling, gap-analyse, bestuurlijke inrichting, implementatie en toetsing van maatregelen voor de Cyberbeveiligingswet.