De Cyberbeveiligingswet uitgelegd
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (CBW) van kracht: de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 Nederlandse organisaties moeten sindsdien aantoonbaar hun digitale beveiliging op orde hebben. Geen certificaat halen, wel kunnen bewijzen dat het geregeld is.
Voor wie geldt de wet
De wet geldt voor organisaties die actief zijn in een van de aangewezen sectoren en een bepaalde omvang hebben: vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet. De sectoren staan in twee bijlagen:
| Bijlage I (zeer kritiek) | Bijlage II (kritiek) |
|---|---|
| Energie, drinkwater en afvalwater, vervoer, bankwezen en financiële markten, gezondheidszorg, digitale infrastructuur (cloud, datacenters, DNS), beheerde ICT-diensten (MSP's), overheid, ruimtevaart | Post en koeriers, afvalstoffenbeheer, chemie, levensmiddelen, maakindustrie (o.a. machines, elektronica, medische hulpmiddelen, voertuigen), digitale aanbieders, onderzoek |
Grote organisaties in bijlage I zijn essentiële entiteiten (zwaarste regime, proactief toezicht). De rest is belangrijke entiteit (toezicht achteraf, verder vrijwel dezelfde plichten). Enkele diensten, zoals DNS en vertrouwensdiensten, vallen ongeacht omvang onder de wet. Twijfelt u? Doe de gratis check.
De drie hoofdverplichtingen
1. Registratieplicht
U moet uw organisatie aanmelden in het entiteitenregister van de rijksoverheid. Lees hoe de registratie werkt.
2. Zorgplicht
U moet passende maatregelen nemen om uw netwerk- en informatiesystemen te beveiligen. De wet noemt tien concrete onderwerpen, van risicoanalyse tot leveranciersbeveiliging. Zie de 10 verplichte maatregelen en de zorgplicht uitgelegd.
3. Meldplicht
Ernstige incidenten meldt u binnen 24 uur bij het CSIRT, met een volledige melding binnen 72 uur. Zie de meldplicht uitgelegd.
Het bestuur is verantwoordelijk
Nieuw ten opzichte van eerdere regels: het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zelf een opleiding volgen. Bij ernstige nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Cybersecurity is hiermee formeel een bestuurskamerthema geworden.
Boetes en toezicht
De toezichthouder (voor veel sectoren de Rijksinspectie Digitale Infrastructuur) kan boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten. Lees meer over boetes en handhaving.
Wat u nu moet doen
- Stel vast of u onder de wet valt: gratis check (2 minuten)
- Registreer uw organisatie in het entiteitenregister
- Loop de NIS2-checklist door om te zien wat er al staat en wat ontbreekt
- Werk de tien maatregelen af en leg alles vast in een dossier
Weet binnen 2 minuten waar u staat
Beantwoord een paar vragen en zie direct of de Cyberbeveiligingswet voor uw organisatie geldt en wat u dan moet regelen.
Doe de gratis NIS2-check