De Cyberbeveiligingswet gaat op 15 augustus 2026 in: is jouw organisatie er klaar voor?

Op 15 augustus 2026 treedt de Cyberbeveiligingswet officieel in werking. Daarmee wordt de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving en krijgen ruim 8.000 organisaties te maken met nieuwe verplichtingen op het gebied van cyberbeveiliging.

Voor veel organisaties betekent dit dat cybersecurity niet langer alleen een onderwerp is voor de IT-afdeling. Risicobeheersing, incidentrespons en digitale continuïteit worden nadrukkelijk een verantwoordelijkheid van de hele organisatie, inclusief het bestuur.

Wat verandert er precies? En belangrijker: welke stappen kun je nu nog zetten?

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet, afgekort als Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen en is bedoeld om de digitale weerbaarheid van essentiële en belangrijke organisaties te vergroten.

De wet is van toepassing op organisaties binnen achttien sectoren, waaronder:

• energie;
• drinkwater en afvalwater;
• gezondheidszorg;
• vervoer;
• digitale infrastructuur;
• overheid;
• financiële dienstverlening;
• productie;
• post- en koeriersdiensten;
• onderzoek.

Of een organisatie onder de wet valt, hangt onder meer af van de sector, het type dienstverlening, de omvang van de organisatie en de rol binnen de keten. Ook organisaties die zelf niet rechtstreeks onder de wet vallen, kunnen ermee te maken krijgen doordat klanten of opdrachtgevers strengere eisen aan hun leveranciers stellen.

Vier verplichtingen die je moet kennen

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met vier belangrijke onderdelen.

1. Registratieplicht

Organisaties moeten zich registreren in het entiteitenregister van het Nationaal Cyber Security Centrum. Deze registratie is vanaf 15 augustus verplicht.

Het is verstandig om de registratie nu al voor te bereiden. Na registratie kan een organisatie bovendien gebruikmaken van de dienstverlening van het bijbehorende Computer Security Incident Response Team, waaronder ondersteuning bij cyberincidenten.

2. Zorgplicht

De zorgplicht verplicht organisaties om passende maatregelen te nemen om cyberrisico’s te beheersen. Daarbij gaat het niet alleen om het voorkomen van incidenten, maar ook om het beperken van de impact wanneer een aanval toch slaagt.

De wet benoemt verschillende onderdelen die minimaal moeten worden meegenomen, zoals:

• risicoanalyses;
• incidentrespons;
• bedrijfscontinuïteit en herstel;
• back-upbeheer;
• beveiliging van de toeleveringsketen;
• cyberhygiëne en awareness;
• toegangs- en assetmanagement;
• sterke authenticatie;
• encryptie;
• periodieke toetsing van beveiligingsmaatregelen.

Welke maatregelen passend zijn, verschilt per organisatie. Een risicoanalyse vormt daarom het uitgangspunt. Je moet weten welke processen, systemen en gegevens essentieel zijn voordat je kunt bepalen hoe je deze beschermt.

3. Meldplicht

Significante cyberincidenten moeten binnen de wettelijke termijnen worden gemeld bij het betreffende CSIRT en de bevoegde toezichthouder.

De eerste waarschuwing moet zo snel mogelijk worden gedaan, maar uiterlijk binnen 24 uur nadat het incident is waargenomen. Dat vraagt om duidelijke afspraken: wie beoordeelt of een incident significant is, wie verzamelt de benodigde informatie en wie doet de melding?

Een meldprocedure die alleen op papier bestaat, is daarbij niet voldoende. Tijdens een cyberincident is er weinig tijd om rollen en verantwoordelijkheden nog uit te zoeken.

4. Bestuurlijke verantwoordelijkheid

De Cyberbeveiligingswet maakt cybersecurity expliciet een verantwoordelijkheid van het bestuur.

Bestuurders moeten voldoende kennis hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen. Uitvoerende bestuurders van organisaties die onder de wet vallen, moeten bovendien een passende cybersecuritytraining volgen. Binnen twee jaar na de inwerkingtreding moeten zij aantoonbaar over de vereiste kennis en vaardigheden beschikken.

Het aanstellen van een CISO of het uitbesteden van cybersecurity verandert deze verantwoordelijkheid niet. Het bestuur blijft eindverantwoordelijk en moet de maatregelen waarmee de organisatie aan de zorgplicht voldoet goedkeuren.

Compliance is niet hetzelfde als weerbaarheid

De nieuwe wetgeving kan aanleiding zijn om beleid, procedures en documentatie opnieuw te bekijken. Maar alleen documenten opstellen maakt een organisatie nog niet cyberweerbaar.

De belangrijkste vraag is niet alleen:

Kunnen we aantonen dat we maatregelen hebben genomen?

Maar ook:

Kunnen we blijven functioneren wanneer onze belangrijkste systemen uitvallen?

Een organisatie kan technisch goed beveiligd zijn en toch dagen of weken stilliggen na een ransomware-aanval. Bijvoorbeeld omdat niet duidelijk is welke processen als eerste hersteld moeten worden, back-ups nooit zijn getest of beslissingen tijdens een crisis te lang op zich laten wachten.

Cybersecurity richt zich op het voorkomen, detecteren en beperken van aanvallen. Cyber resilience gaat een stap verder: hoe zorg je ervoor dat de organisatie ook tijdens en na een incident kan blijven functioneren?

Welke stappen kun je nu zetten?

15 augustus komt snel dichterbij. Organisaties die nog niet volledig zijn voorbereid, kunnen het beste beginnen met de volgende vragen:

– Valt onze organisatie onder de wet?

Voer de officiële zelfevaluatie uit en kijk niet alleen naar je eigen sector en omvang. Breng ook in kaart welke rol je vervult binnen de keten en welke eisen klanten of opdrachtgevers aan je kunnen gaan stellen.

– Welke processen en systemen zijn bedrijfskritisch?

Bepaal welke dienstverlening absoluut door moet kunnen gaan. Welke applicaties, identiteiten, communicatiemiddelen en data zijn daarvoor minimaal noodzakelijk?

Dit vormt de basis voor je risicoanalyse, continuïteitsplan en herstelstrategie.

– Zijn verantwoordelijkheden duidelijk belegd?

Leg vast wie verantwoordelijk is voor preventie, detectie, incidentrespons, communicatie, herstel en wettelijke meldingen. Betrek hierbij niet alleen IT en security, maar ook directie, juridische zaken, communicatie en operationele teams.

– Kunnen we binnen 24 uur handelen?

Test of je organisatie een incident daadwerkelijk snel kan herkennen, beoordelen en melden. Zijn de contactgegevens beschikbaar? Is duidelijk welke informatie nodig is? En kan de procedure ook worden uitgevoerd wanneer reguliere systemen niet beschikbaar zijn?

– Zijn onze maatregelen aantoonbaar effectief?

Beleid en tooling zijn slechts het begin. Test back-ups, voer crisisoefeningen uit, beoordeel leveranciers, train medewerkers en controleer periodiek of maatregelen in de praktijk werken.

Van wettelijke verplichting naar digitale weerbaarheid

De Cyberbeveiligingswet zorgt ervoor dat organisaties structureler naar cyberrisico’s moeten kijken. Maar voldoen aan de wet zou niet het einddoel moeten zijn.

De maatregelen zijn vooral waardevol wanneer ze bijdragen aan een organisatie die aanvallen kan voorkomen, incidenten snel kan beheersen en kritieke dienstverlening kan voortzetten.

OpenSight helpt organisaties om de eisen uit de Cyberbeveiligingswet te vertalen naar een werkbare aanpak. Van risicoanalyses en governance tot incidentrespons, awareness, monitoring en herstel.

Niet alleen om op papier compliant te zijn, maar om in de praktijk weerbaar te blijven.

Wil je weten waar jouw organisatie nu staat en welke stappen nog nodig zijn richting 15 augustus?