Cyberbeveiligingswet treedt in werking

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Met deze wet implementeert Nederland de Europese NIS2-richtlijn. De Cyberbeveiligingswet vervangt daarmee de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni), waarin de eerste Europese NIS-richtlijn in Nederland is geïmplementeerd. De nieuwe wet heeft een aanzienlijk ruimer toepassingsbereik dan de Wbni, waardoor meer organisaties te maken krijgen met wettelijke verplichtingen op het gebied van cyberbeveiliging. Of een organisatie onder de wet valt en wordt aangemerkt als essentiële of belangrijke entiteit, hangt onder meer af van het type organisatie, de sector waarin zij actief is en haar omvang.

Voor organisaties die onder de Cyberbeveiligingswet vallen, betekent dit onder meer dat zij zich moeten registreren (registratieplicht) en passende maatregelen moeten treffen om cyberrisico’s te beheersen (zorgplicht). Daarnaast moeten zij significante incidenten tijdig melden (meldplicht). Deze meldplicht kan ook betrekking hebben op incidenten die niet het gevolg zijn van een cyberaanval, maar wel een significante verstoring van de dienstverlening opleveren of schade veroorzaken. Met de registratieplicht, zorgplicht en meldplicht beoogt de Cyberbeveiligingswet de digitale weerbaarheid van organisaties te vergroten en de gevolgen van cyberdreigingen en incidenten voor de samenleving en economie te beperken.

Voor welke organisaties geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt voor bepaalde typen organisaties die actief zijn in de sectoren die zijn opgenomen in bijlage 1 en bijlage 2 van de wet. Of een organisatie onder de wet valt en wordt aangemerkt als essentiële of belangrijke entiteit, hangt in beginsel af van drie factoren: de sector waarin zij actief is, het type organisatie en haar omvang. Waar de oorspronkelijke NIS-richtlijn slechts een beperkte groep organisaties omvatte, breidt de Cyberbeveiligingswet de reikwijdte aanzienlijk uit. Hierdoor vallen meer organisaties van rechtswege onder de nieuwe verplichtingen.

De Cyberbeveiligingswet onderscheidt twee categorieën sectoren. Bijlage I bevat de zogenoemde zeer kritieke sectoren, waaronder energie, vervoer, het bankwezen, financiëlemarktinfrastructuren, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstbeheer, overheidsdiensten en de ruimtevaart. Bijlage II bevat andere kritieke sectoren, zoals post- en koeriersdiensten, afvalbeheer, de levensmiddelenindustrie, de chemische sector, de maakindustrie, onderzoeksinstellingen en bepaalde digitale aanbieders.

Of een organisatie vervolgens wordt aangemerkt als een essentiële of belangrijke entiteit hangt niet uitsluitend af van de sector waarin zij actief is, maar ook van het type organisatie, de omvang en de uitzonderingen die de wet kent.

In beginsel worden grote organisaties die onder bijlage 1 vallen aangemerkt als essentiële entiteiten. Middelgrote organisaties uit bijlage 1 en middelgrote en grote organisaties uit bijlage 2 worden in beginsel aangemerkt als belangrijke entiteiten. Voor de beoordeling van de omvang wordt onder meer gekeken naar het aantal werknemers en de jaaromzet of het balanstotaal. Daarnaast gelden voor bepaalde categorieën organisaties uitzonderingen op deze hoofdregels, waardoor zij ongeacht hun omvang als essentiële of belangrijke entiteit kunnen worden aangemerkt.

Uitzonderingen op de omvangscriteria

Hoewel de Cyberbeveiligingswet zich in de meeste gevallen richt op middelgrote en grote organisaties, vallen bepaalde micro- en kleine ondernemingen vanwege de aard van hun dienstverlening automatisch onder de richtlijn. Dit geldt onder meer voor aanbieders van vertrouwensdiensten, registers voor topleveldomeinen (TLD's), domeinnaamregistratiediensten, DNS-dienstverleners en aanbieders van openbare elektronische communicatienetwerken en -diensten.

Daarnaast kan de verantwoordelijke minister op grond van artikel 9 van de Cyberbeveiligingswet een organisatie die behoort tot een type entiteit uitbijlage 1 of 2 bij regeling of besluit aanwijzen als essentiële entiteit. Dit kan bijvoorbeeld het geval zijn wanneer de entiteit in Nederland de enige aanbieder is van een dienst die essentieel is voor de instandhouding van kritieke maatschappelijke of economische activiteiten, wanneer een verstoring van haar dienstverlening aanzienlijke gevolgen kan hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid, wanneer sprake is van een aanzienlijk systeemrisico of wanneer de entiteit vanwege haar specifieke nationale of regionale belang als kritiek wordt beschouwd. Indien een dergelijke aanwijzing plaatsvindt, wordt de betreffende organisatie hiervan op de hoogte gesteld.

Valt uw organisatie onder de Cyberbeveiligingswet?

Organisaties zijn zelf verantwoordelijk voor de beoordeling of zij onder de Cyberbeveiligingswet vallen. Met de NIS2-zelfevaluatie van de Rijksinspectie Digitale Infrastructuur (RDI) kunt u een eerste indicatie krijgen van de toepasselijkheid van de wet en van de mogelijke kwalificatie van uw organisatie als essentiële of belangrijke entiteit. Deze zelfevaluatie geeft niet in alle gevallen een definitief antwoord: vooral bij complexe bedrijfsstructuren, meerdere activiteiten of dienstverlening in verschillende EU-lidstaten kan een nadere beoordeling nodig zijn. Wanneer uw organisatie onder de Cyberbeveiligingswet valt, moet zij vanaf 15 augustus 2026 voldoen aan de toepasselijke verplichtingen, waaronder de registratieplicht, zorgplicht en meldplicht.

Welke verplichtingen brengt de Cyberbeveiligingswet met zich mee?

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met verschillende wettelijke verplichtingen. De belangrijkste daarvan zijn de registratieplicht, de zorgplicht, de meldplicht en verplichtingen voor het bestuur.

Registratieplicht

Essentiële en belangrijke entiteiten moeten gegevens aanleveren voor het nationale entiteitenregister. In Nederland vindt deze registratie plaats via MijnNCSC, het online portaal van het Nationaal Cyber Security Centrum (NCSC). Het register geeft Nederland en de Europese Unie beter zicht op de essentiële en belangrijke entiteiten die onder de NIS2-regelgeving vallen. Na registratie kunnen organisaties aansluiten bij de dienstverlening van hun sectorale Computer Security Incident Response Team (CSIRT). Dit team verstrekt informatie en ondersteuning om de digitale weerbaarheid te vergroten en kan hulp bieden bij cyberincidenten.

Zorgplicht

Organisaties dienen passende technische, organisatorische en operationele maatregelen te nemen om cyberrisico's te beheersen. Deze maatregelen omvatten onder meer het uitvoeren van een risicobeoordeling, incidentenbehandeling, het waarborgen van de bedrijfscontinuïteit, de beveiliging van de toeleveringsketen, kwetsbaarhedenbeheer, cyberhygiëne, toegangsbeheer en het toepassen van cryptografie en multifactorauthenticatie. Het doel hiervan is om de continuïteit van de dienstverlening te waarborgen en de vertrouwelijkheid, integriteit en beschikbaarheid van informatie en systemen te beschermen.

Meldplicht

Daarnaast introduceert de Cyberbeveiligingswet een meldplicht. Zo dient zonder onredelijke vertraging en uiterlijk binnen 24 uur na kennisname van een significant incident een vroegtijdige waarschuwing te worden ingediend aan de bevoegde toezichthouder. Vervolgens moet uiterlijk binnen 72 uur na kennisname van het incident een incidentmelding worden gedaan en uiterlijk een maand na de incidentmelding dient een eindverslag te worden ingediend bij de bevoegde toezichthouder. Bij cyberincidenten geldt bovendien ook, naast de melding aan de bevoegde toezichthouder, een meldplicht aan het Computer Security Incident Response Team (CSIRT).

Of een incident als significant wordt aangemerkt, hangt onder meer af van de ernst van de operationele verstoring, de mogelijke financiële verliezen en de materiële of immateriële schade voor andere personen of organisaties. Ook kan worden gekeken naar factoren zoals de duur van het incident, het aantal getroffen gebruikers en de geografische spreiding van de gevolgen.

Bestuurlijke verantwoordelijkheid en trainingsplicht

Het bestuur moet de maatregelen voor het beheersen van cyberbeveiligingsrisico’s goedkeuren en toezicht houden op de uitvoering daarvan. Daarnaast moeten bestuursleden een training volgen, zodat zij voldoende kennis en vaardigheden hebben om cyberrisico’s te herkennen en de gevolgen daarvan voor de organisatie te beoordelen.

Toezicht op de naleving

Essentiële en belangrijke entiteiten vallen onder verschillende toezichtregimes. Essentiële entiteiten staan onder proactief toezicht. Dit betekent dat de toezichthouder de naleving van de wet ook kan controleren zonder dat eerst sprake hoeft te zijn van een incident of concrete aanwijzing van niet-naleving. Belangrijke entiteiten staan in beginsel onder reactief toezicht. Bij deze entiteiten vindt toezicht vooral plaats wanneer er aanwijzingen zijn dat zij de wet niet naleven, bijvoorbeeld naar aanleiding van een incident of andere signalen.

De bevoegde toezichthouder kan controleren of organisaties voldoen aan onder meer de registratieplicht, zorgplicht, meldplicht en bestuurlijke verplichtingen.

Bereid uw organisatie tijdig voor

Hoewel de Cyberbeveiligingswet op 15 augustus 2026 in werking treedt, is het raadzaam om niet te wachten met de voorbereiding. Met de NIS2-zelfevaluatie kan uw organisatie eerst beoordelen of zij mogelijk onder de wet valt. Vervolgens kan een NIS2-quickscan inzicht geven in hoeverre uw organisatie al aan de nieuwe verplichtingen voldoet en welke verbetermaatregelen nog nodig zijn. Organisaties die onder de Cyberbeveiligingswet vallen, doen er goed aan om tijdig hun registratie voor te bereiden, cyberbeveiligingsrisico’s in kaart te brengen, passende beveiligingsmaatregelen te treffen en procedures voor het melden van incidenten in te richten. Ook moeten de verantwoordelijkheden van het bestuur duidelijk worden belegd. Zo is uw organisatie beter voorbereid wanneer de nieuwe verplichtingen op 15 augustus 2026 van kracht worden. PrivacyTeam kan u ondersteunen bij de beoordeling of uw organisatie onder de Cyberbeveiligingswet valt en bij het in kaart brengen van de benodigde vervolgstappe

Naar het overzicht