De Cyberbeveiligingswet uitgelegd

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (CBW) van kracht: de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 Nederlandse organisaties moeten sindsdien aantoonbaar hun digitale beveiliging op orde hebben. Geen certificaat halen, wel kunnen bewijzen dat het geregeld is.

Voor wie geldt de wet

De wet geldt voor organisaties die actief zijn in een van de aangewezen sectoren en een bepaalde omvang hebben: vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet. De sectoren staan in twee bijlagen:

Grote organisaties in bijlage I zijn essentiële entiteiten (zwaarste regime, proactief toezicht). De rest is belangrijke entiteit (toezicht achteraf, verder vrijwel dezelfde plichten). Enkele diensten, zoals DNS en vertrouwensdiensten, vallen ongeacht omvang onder de wet. Twijfelt u? Doe de gratis check.

De drie hoofdverplichtingen

1. Registratieplicht

U moet uw organisatie aanmelden in het entiteitenregister van de rijksoverheid. Lees hoe de registratie werkt.

2. Zorgplicht

U moet passende maatregelen nemen om uw netwerk- en informatiesystemen te beveiligen. De wet noemt tien concrete onderwerpen, van risicoanalyse tot leveranciersbeveiliging. Zie de 10 verplichte maatregelen en de zorgplicht uitgelegd.

3. Meldplicht

Ernstige incidenten meldt u binnen 24 uur bij het CSIRT, met een volledige melding binnen 72 uur. Zie de meldplicht uitgelegd.

Het bestuur is verantwoordelijk

Nieuw ten opzichte van eerdere regels: het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zelf een opleiding volgen. Bij ernstige nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Cybersecurity is hiermee formeel een bestuurskamerthema geworden.

Boetes en toezicht

De toezichthouder (voor veel sectoren de Rijksinspectie Digitale Infrastructuur) kan boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten. Lees meer over boetes en handhaving.

Wat u nu moet doen

• Stel vast of u onder de wet valt: gratis check (2 minuten)
• Registreer uw organisatie in het entiteitenregister
• Loop de NIS2-checklist door om te zien wat er al staat en wat ontbreekt
• Werk de tien maatregelen af en leg alles vast in een dossier

Wat er verandert ten opzichte van de oude wet

De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Die oude wet gold voor een paar honderd aanbieders van essentiële diensten en digitale dienstverleners. De nieuwe wet trekt die kring fors open. Drie verschillen bepalen wat u merkt.

De belangrijkste praktische omslag is die laatste rij. Doordat organisaties in de wet hun leveranciers moeten beoordelen, komt de vraag naar beveiligingsafspraken terecht bij duizenden bedrijven die zelf helemaal niet onder de wet vallen. Zij krijgen geen boete van de toezichthouder, maar wel een vragenlijst van hun grootste klant.

Zelf bepalen of u eronder valt

Er komt geen brief. Niemand wijst u aan. U moet zelf vaststellen of de wet voor u geldt, en dat is bewust zo geregeld: de wetgever gaat ervan uit dat een organisatie haar eigen sector en omvang kent. Loop deze drie vragen langs.

• Zit uw hoofdactiviteit in bijlage I of II? Kijk naar wat u feitelijk doet, niet naar uw SBI-code. Een bedrijf dat machines bouwt valt onder de maakindustrie, ook als de KvK iets anders vermeldt.
• Haalt u de omvangsdrempel? Vanaf 50 medewerkers, of meer dan 10 miljoen euro jaaromzet en een balanstotaal boven 10 miljoen euro. Tel medewerkers van dochterondernemingen mee als u zeggenschap heeft.
• Geldt er een uitzondering? Voor sommige diensten, zoals DNS-aanbieders, registers van topleveldomeinnamen en vertrouwensdiensten, geldt de wet ongeacht hoe klein u bent.

Is het antwoord op de eerste twee vragen ja, dan valt u eronder. Twijfelt u bij de sectorvraag, dan is dat vaak omdat uw organisatie meerdere dingen doet. Kijk in dat geval naar de activiteit waar de omzet vandaan komt en waar een storing de meeste schade zou veroorzaken.

Wie houdt er toezicht

Er is niet één toezichthouder. Welke instantie u aanspreekt, hangt af van uw sector. Voor het grootste deel van het bedrijfsleven, waaronder digitale infrastructuur, beheerde ICT-diensten en de maakindustrie, is dat de Rijksinspectie Digitale Infrastructuur. In de financiële sector, de zorg en het vervoer zijn het de toezichthouders die daar al actief waren.

Voor het melden van incidenten geldt een aparte route: die loopt via het CSIRT, in de meeste gevallen het Nationaal Cyber Security Centrum. Melden bij het CSIRT en toezicht door de inspectie zijn twee verschillende dingen. Een melding is geen bekentenis en leidt niet automatisch tot een onderzoek.

Wat als u te laat bent

De wet geldt al. Wie nu nog moet beginnen, is formeel in overtreding, maar dat is niet hetzelfde als een boete. Toezichthouders beginnen in de praktijk met informatieverzoeken en aanwijzingen, en kijken vooral of een organisatie aantoonbaar bezig is. Een gedateerd plan met een realistische planning en een bestuursbesluit erachter is een wezenlijk ander verhaal dan een lege la.

De volgorde die het snelst iets oplevert: bepaal uw positie, registreer u, leg vast wat u al doet, en pak daarna de gaten aan. Veel organisaties ontdekken bij die derde stap dat ze al zeven van de tien maatregelen deels hebben ingevuld, maar nergens hebben opgeschreven. Opschrijven is dan de goedkoopste winst die er is.

Veelgestelde vragen

Moet ik ISO 27001 halen voor de Cyberbeveiligingswet?

Nee. De wet eist geen enkel certificaat. Een ISO 27001-certificering helpt wel, omdat u dan de meeste maatregelen al heeft ingericht en gedocumenteerd, maar het is een dure route als u het alleen voor deze wet zou doen.

Geldt de wet ook voor mijn leverancier?

Alleen als die zelf in een aangewezen sector zit en groot genoeg is. Maar u bent wel verplicht uw leveranciers te beoordelen op beveiliging, dus in de praktijk krijgen ook kleine toeleveranciers ermee te maken via hun contracten.

Wat gebeurt er als ik me niet registreer?

Registratie is een zelfstandige verplichting. Het niet of te laat registreren is een overtreding, los van de vraag of uw beveiliging op orde is. Het is bovendien het eerste wat een toezichthouder controleert, omdat het openbaar en eenvoudig te zien is.

Valt de gemeente of een schoolbestuur er ook onder?

Overheidsorganisaties staan in bijlage I, maar welke bestuurslagen precies onder de wet vallen is per land ingevuld. Voor gemeenten en uitvoeringsorganisaties geldt de wet in de regel wel; voor onderwijsinstellingen hangt het af van hun rol, bijvoorbeeld als ze onderzoeksinstelling zijn.