Wat is de Cyberbeveiligingswet?

U bent de term Cyberbeveiligingswet ergens tegengekomen — in het nieuws, via een leverancier, in een brief van de overheid — en wilt weten wat het precies is en of het iets voor uw organisatie betekent. Dat is een terechte vraag: de wet is sinds 15 augustus 2026 volledig van kracht, zonder overgangsperiode, en wie de wet niet kent of verwart met iets vrijblijvends, loopt vanaf dag één reëel risico. Dit artikel legt in gewone taal uit wat de Cyberbeveiligingswet inhoudt, waar de wet vandaan komt, wanneer die is ingegaan en wat dit praktisch voor uw organisatie betekent.

Wat is de Cyberbeveiligingswet precies?

De Cyberbeveiligingswet is de Nederlandse wet die de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) omzet in nationale wetgeving. Dit artikel is de definitie-basis onder onze bredere aanpak voor NIS2-voorbereiding en cybersecurity compliance: hier leest u wat de wet inhoudt, op die pagina leest u hoe wij organisaties helpen om eraan te voldoen.

De wet is op 15 augustus 2026 in werking getreden en vervangt vanaf die datum de Wet beveiliging netwerk- en informatiesystemen (Wbni) volledig — zonder overgangsperiode. Vanaf de eerste dag gelden de nieuwe verplichtingen onverkort. Volgens de Rijksoverheid gelden de nieuwe verplichtingen sinds die datum voor ruim 8.000 organisaties in Nederland op het gebied van cyberbeveiliging.

Kort samengevat verplicht de wet organisaties in aangewezen sectoren tot een risicogebaseerde zorgplicht voor hun informatiebeveiliging, tot het melden van ernstige incidenten binnen korte termijnen, tot registratie bij de toezichthouder en tot actieve betrokkenheid van het bestuur. Belangrijk om vooraf te weten: de Cyberbeveiligingswet is geen certificeringsschema. Er is geen keurmerk of certificaat te behalen zoals bij ISO 27001 — de wet werkt via direct overheidstoezicht, niet via een onafhankelijke certificerende instelling.

Waar komt deze wet vandaan? (van EU-richtlijn naar Nederlandse wet)

De Cyberbeveiligingswet ontstaat niet op zichzelf, maar is de Nederlandse uitwerking van Europese regelgeving. De Europese Unie nam de NIS2-richtlijn op 14 december 2022 aan; vanaf 16 januari 2023 was de richtlijn van kracht op EU-niveau. Een Europese richtlijn verplicht echter niet rechtstreeks bedrijven — een richtlijn verplicht lidstaten om binnen een bepaalde termijn eigen, nationale wetgeving te maken die hetzelfde doel bereikt. Dat proces heet transponeren.

Nederland moest de richtlijn uiterlijk op 17 oktober 2024 hebben omgezet in nationale wet- en regelgeving, maar haalde die deadline niet — net als een groot deel van de andere EU-lidstaten. Tot de nieuwe wet er was, bleef de bestaande Wbni gewoon van kracht. Na behandeling in de Tweede Kamer (aangenomen op 15 april 2026) en de Eerste Kamer (aangenomen op 7 juli 2026, wetsvoorstel 36.764) is de Cyberbeveiligingswet uiteindelijk het Nederlandse antwoord op de NIS2-richtlijn geworden.

Wanneer is de wet ingegaan?

De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Er geldt geen overgangsperiode: vanaf die datum moeten organisaties die onder de wet vallen, direct voldoen aan de volledige set verplichtingen. Dat is een wezenlijk andere situatie dan bij veel andere wetgeving, waar een ingroeiperiode van maanden of jaren gebruikelijk is.

Praktisch betekent dit dat de voorbereidingstijd voor de meeste organisaties al achter u ligt op het moment dat u dit leest, niet dat die nu pas begint. Een zorgplicht inrichten, een meldproces optuigen en bestuurders aantoonbaar betrekken is geen weekendklus. Wilt u exact weten wanneer u precies moet voldoen, inclusief de volledige tijdlijn richting 15 augustus 2026? Dat artikel gaat daar specifiek op in.

Wat verandert er ten opzichte van de Wbni?

Een veelgemaakte misvatting is dat de Cyberbeveiligingswet "gewoon NIS2 met een andere naam" is, zonder nieuwe juridische lading. Dat klopt niet. De Wbni implementeerde de oorspronkelijke, smallere NIS-richtlijn en gold voor een beperkte groep aanbieders van essentiële diensten en digitale dienstverleners. De Cyberbeveiligingswet implementeert de aanzienlijk bredere NIS2-richtlijn en brengt drie belangrijke verschuivingen met zich mee:

• Een breder bereik: aanzienlijk meer sectoren en organisaties vallen onder de wet dan onder de Wbni het geval was, inclusief veel middelgrote organisaties die voorheen buiten schot bleven.
• Concretere verplichtingen: waar de Wbni relatief algemeen geformuleerd was, benoemt de Cyberbeveiligingswet de zorgplicht in specifieke maatregelen (zie hieronder) en stelt duidelijke termijnen aan de meldplicht.
• Directe bestuurdersverantwoordelijkheid: het bestuur van een organisatie kan persoonlijk worden aangesproken op onvoldoende toezicht op de naleving — dat was onder de Wbni niet op deze manier belegd.

De wet vervangt de Wbni dus niet als naamswijziging, maar als een wezenlijk zwaardere opvolger.

Wie krijgt hiermee te maken?

Een tweede veelgemaakte misvatting is dat de Cyberbeveiligingswet alleen relevant is voor grote, kritieke-infrastructuurbedrijven — energiebedrijven, telecomproviders, ziekenhuizen. Dat beeld is te beperkt. De wet richt zich op organisaties in aangewezen essentiële en belangrijke sectoren, waaronder energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur en overheid (essentiële sectoren), en digitale aanbieders, post, voeding, chemie, onderzoek en productie (belangrijke sectoren). Binnen die sectoren geldt de wet doorgaans vanaf een omvang van circa 50 medewerkers of een jaaromzet boven de 10 miljoen euro, met een zwaardere categorie voor de grootste organisaties. Een beperkt aantal kleinere, specifieke organisaties valt automatisch onder de wet, ongeacht omvang.

Ook als uw organisatie zelf onder de drempel blijft, kunt u alsnog te maken krijgen met vergelijkbare eisen — namelijk als belangrijke leverancier van een organisatie die wél onder de wet valt. Wilt u zeker weten of uw organisatie hieronder valt? Dat artikel behandelt de officiële drempelwaarden en sectoren in detail, inclusief de leveranciersroute.

Wat houdt de wet inhoudelijk in?

De verplichtingen van de Cyberbeveiligingswet vallen uiteen in vijf herkenbare onderdelen. Ze grijpen op elkaar in, maar zijn goed te onderscheiden.

Zorgplicht

De zorgplicht verplicht organisaties om passende, risicogebaseerde technische en organisatorische maatregelen te nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen. Het gaat onder meer om risicobeheer, toegangsbeveiliging, incidentafhandeling, continuïteit en leveranciersbeveiliging, in verhouding tot de risico's die voor uw organisatie relevant zijn. Wij hebben de tien zorgplicht-maatregelen die de wet onderscheidt stuk voor stuk uitgewerkt.

Meldplicht

De meldplicht is iets anders dan de zorgplicht en wordt in de praktijk vaak door elkaar gehaald: de zorgplicht gaat over preventie, de meldplicht over wat u doet zodra er toch iets misgaat. Organisaties moeten significante incidenten binnen korte, wettelijk vastgelegde termijnen melden bij de toezichthouder — doorgaans met een eerste melding binnen 24 uur, gevolgd door uitgebreidere rapportage. Een vooraf ingericht meldproces, met duidelijke rollen en escalatie, is nodig om die termijn te kunnen halen.

Registratieplicht

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren bij het NCSC, via mijn.ncsc.nl. Die registratie is de basis waarmee de toezichthouder weet welke organisaties onder de wet vallen en hoe zij in geval van een incident te bereiken zijn.

Bestuurdersverantwoordelijkheid

De wet legt de verantwoordelijkheid voor toezicht op de naleving expliciet bij het bestuur. Bestuurders moeten voldoende kennis hebben om de genomen maatregelen te kunnen beoordelen — desnoods via training — en kunnen persoonlijk worden aangesproken als toezicht structureel ontbreekt. Dat maakt cyberweerbaarheid een bestuursonderwerp, niet alleen een IT-onderwerp.

Toezicht (RDI en NCSC)

Het toezicht op de Cyberbeveiligingswet ligt bij twee partijen. De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op een groot deel van de aangewezen sectoren. Het NCSC is het nationale meld- en registratiepunt en heeft, sinds het de taken van het voormalige Digital Trust Center heeft overgenomen, een rol richting een brede groep Nederlandse organisaties — zowel in voorlichting als in incidentopvolging.

Wat betekent dit praktisch voor uw organisatie?

Het praktische risico van de Cyberbeveiligingswet zit niet in de wet zelf, maar in het ontbreken van een overgangsperiode. Organisaties die de wet niet kennen, of die aannemen dat ze nog tijd hebben om zich voor te bereiden, lopen vanaf 15 augustus 2026 een reëel nalevingsrisico — niet omdat de wet onredelijk is, maar omdat de verplichtingen vanaf dag één gelden.

Dit artikel geeft algemene voorlichting over de Cyberbeveiligingswet op basis van officiële bronnen. Het is geen juridisch advies en vervangt geen individuele beoordeling van uw specifieke situatie, sector en risico's.

Vanuit het perspectief van een onafhankelijke auditor is één ding belangrijk om scherp te houden: de Cyberbeveiligingswet is een wet met rechtstreeks overheidstoezicht, geen certificeringsschema zoals ISO 27001. Er is geen certificaat te behalen en geen eenmalig "geslaagd of gezakt"-moment — wél een doorlopende verplichting om aantoonbaar te voldoen. Heeft uw organisatie al een ISO 27001-managementsysteem, dan is dat een sterke basis: Wie al een ISMS heeft, ligt ver voor, omdat risicobeheer, toegangsbeveiliging en leveranciersbeveiliging meestal al zijn ingericht. Lees ook hoe ISO 27001 als voorsprong werkt: een ISMS dekt een groot deel van de zorgplicht af, maar niet automatisch de volledige meldplicht, bestuursbetrokkenheid en leveranciersketen-eisen van de Cyberbeveiligingswet.

Een praktisch stappenplan begint met het vaststellen van uw eigen toepasselijkheid, gevolgd door een gerichte gap-analyse tegen de zorgplicht-maatregelen en het meldproces, en eindigt niet bij een eenmalig project maar bij doorlopende monitoring — de zorgplicht is nadrukkelijk risicogebaseerd en dus nooit "af".

NCSC — Cyberbeveiligingswet en NIS2 (officiële bron).