Op 15 augustus 2026 treedt de Cyberbeveiligingswet officieel in werking. Daarmee wordt de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving en krijgen ruim 8.000 organisaties te maken met nieuwe verplichtingen op het gebied van cyberbeveiliging.

Voor veel organisaties betekent dit dat cybersecurity niet langer alleen een onderwerp is voor de IT-afdeling. Risicobeheersing, incidentrespons en digitale continuïteit worden nadrukkelijk een verantwoordelijkheid van de hele organisatie, inclusief het bestuur.

Wat verandert er precies? En belangrijker: welke stappen kun je nu nog zetten?

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet, afgekort als Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen en is bedoeld om de digitale weerbaarheid van essentiële en belangrijke organisaties te vergroten.

De wet is van toepassing op organisaties binnen achttien sectoren, waaronder:

• energie;
• drinkwater en afvalwater;
• gezondheidszorg;
• vervoer;
• digitale infrastructuur;
• overheid;
• financiële dienstverlening;
• productie;
• post- en koeriersdiensten;
• onderzoek.

Of een organisatie onder de wet valt, hangt onder meer af van de sector, het type dienstverlening, de omvang van de organisatie en de rol binnen de keten. Ook organisaties die zelf niet rechtstreeks onder de wet vallen, kunnen ermee te maken krijgen doordat klanten of opdrachtgevers strengere eisen aan hun leveranciers stellen.

Vier verplichtingen die je moet kennen

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met vier belangrijke onderdelen.

1. Registratieplicht

Organisaties moeten zich registreren in het entiteitenregister van het Nationaal Cyber Security Centrum. Deze registratie is vanaf 15 augustus verplicht.

Het is verstandig om de registratie nu al voor te bereiden. Na registratie kan een organisatie bovendien gebruikmaken van de dienstverlening van het bijbehorende Computer Security Incident Response Team, waaronder ondersteuning bij cyberincidenten.

2. Zorgplicht

De zorgplicht verplicht organisaties om passende maatregelen te nemen om cyberrisico’s te beheersen. Daarbij gaat het niet alleen om het voorkomen van incidenten, maar ook om het beperken van de impact wanneer een aanval toch slaagt.

De wet benoemt verschillende onderdelen die minimaal moeten worden meegenomen, zoals:

• risicoanalyses;
• incidentrespons;
• bedrijfscontinuïteit en herstel;
• back-upbeheer;
• beveiliging van de toeleveringsketen;
• cyberhygiëne en awareness;
• toegangs- en assetmanagement;
• sterke authenticatie;
• encryptie;
• periodieke toetsing van beveiligingsmaatregelen.

Welke maatregelen passend zijn, verschilt per organisatie. Een risicoanalyse vormt daarom het uitgangspunt. Je moet weten welke processen, systemen en gegevens essentieel zijn voordat je kunt bepalen hoe je deze beschermt.

3. Meldplicht

Significante cyberincidenten moeten binnen de wettelijke termijnen worden gemeld bij het betreffende CSIRT en de bevoegde toezichthouder.

De eerste waarschuwing moet zo snel mogelijk worden gedaan, maar uiterlijk binnen 24 uur nadat het incident is waargenomen. Dat vraagt om duidelijke afspraken: wie beoordeelt of een incident significant is, wie verzamelt de benodigde informatie en wie doet de melding?

Een meldprocedure die alleen op papier bestaat, is daarbij niet voldoende. Tijdens een cyberincident is er weinig tijd om rollen en verantwoordelijkheden nog uit te zoeken.

4. Bestuurlijke verantwoordelijkheid

De Cyberbeveiligingswet maakt cybersecurity expliciet een verantwoordelijkheid van het bestuur.

Bestuurders moeten voldoende kennis hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen. Uitvoerende bestuurders van organisaties die onder de wet vallen, moeten bovendien een passende cybersecuritytraining volgen. Binnen twee jaar na de inwerkingtreding moeten zij aantoonbaar over de vereiste kennis en vaardigheden beschikken.

Het aanstellen van een CISO of het uitbesteden van cybersecurity verandert deze verantwoordelijkheid niet. Het bestuur blijft eindverantwoordelijk en moet de maatregelen waarmee de organisatie aan de zorgplicht voldoet goedkeuren.

Compliance is niet hetzelfde als weerbaarheid

De nieuwe wetgeving kan aanleiding zijn om beleid, procedures en documentatie opnieuw te bekijken. Maar alleen documenten opstellen maakt een organisatie nog niet cyberweerbaar.

De belangrijkste vraag is niet alleen:

Kunnen we aantonen dat we maatregelen hebben genomen?

Maar ook:

Kunnen we blijven functioneren wanneer onze belangrijkste systemen uitvallen?

Een organisatie kan technisch goed beveiligd zijn en toch dagen of weken stilliggen na een ransomware-aanval. Bijvoorbeeld omdat niet duidelijk is welke processen als eerste hersteld moeten worden, back-ups nooit zijn getest of beslissingen tijdens een crisis te lang op zich laten wachten.

Cybersecurity richt zich op het voorkomen, detecteren en beperken van aanvallen. Cyber resilience gaat een stap verder: hoe zorg je ervoor dat de organisatie ook tijdens en na een incident kan blijven functioneren?

Welke stappen kun je nu zetten?

15 augustus komt snel dichterbij. Organisaties die nog niet volledig zijn voorbereid, kunnen het beste beginnen met de volgende vragen:

– Valt onze organisatie onder de wet?

Voer de officiële zelfevaluatie uit en kijk niet alleen naar je eigen sector en omvang. Breng ook in kaart welke rol je vervult binnen de keten en welke eisen klanten of opdrachtgevers aan je kunnen gaan stellen.

– Welke processen en systemen zijn bedrijfskritisch?

Bepaal welke dienstverlening absoluut door moet kunnen gaan. Welke applicaties, identiteiten, communicatiemiddelen en data zijn daarvoor minimaal noodzakelijk?

Dit vormt de basis voor je risicoanalyse, continuïteitsplan en herstelstrategie.

– Zijn verantwoordelijkheden duidelijk belegd?

Leg vast wie verantwoordelijk is voor preventie, detectie, incidentrespons, communicatie, herstel en wettelijke meldingen. Betrek hierbij niet alleen IT en security, maar ook directie, juridische zaken, communicatie en operationele teams.

– Kunnen we binnen 24 uur handelen?

Test of je organisatie een incident daadwerkelijk snel kan herkennen, beoordelen en melden. Zijn de contactgegevens beschikbaar? Is duidelijk welke informatie nodig is? En kan de procedure ook worden uitgevoerd wanneer reguliere systemen niet beschikbaar zijn?

– Zijn onze maatregelen aantoonbaar effectief?

Beleid en tooling zijn slechts het begin. Test back-ups, voer crisisoefeningen uit, beoordeel leveranciers, train medewerkers en controleer periodiek of maatregelen in de praktijk werken.

Van wettelijke verplichting naar digitale weerbaarheid

De Cyberbeveiligingswet zorgt ervoor dat organisaties structureler naar cyberrisico’s moeten kijken. Maar voldoen aan de wet zou niet het einddoel moeten zijn.

De maatregelen zijn vooral waardevol wanneer ze bijdragen aan een organisatie die aanvallen kan voorkomen, incidenten snel kan beheersen en kritieke dienstverlening kan voortzetten.

OpenSight helpt organisaties om de eisen uit de Cyberbeveiligingswet te vertalen naar een werkbare aanpak. Van risicoanalyses en governance tot incidentrespons, awareness, monitoring en herstel.

Niet alleen om op papier compliant te zijn, maar om in de praktijk weerbaar te blijven.

Wil je weten waar jouw organisatie nu staat en welke stappen nog nodig zijn richting 15 augustus?

De samenwerking tussen NetApp en Commvault bestaat al langer, maar krijgt nu opnieuw extra kracht. Met hun hernieuwde gezamenlijke focus op cyber resilience laten beide partijen zien waar het vandaag echt om draait: niet alleen data veilig opslaan, maar ook dreigingen sneller signaleren en systemen gecontroleerd kunnen herstellen wanneer het misgaat.

NetApp en Commvault zetten met deze versterkte samenwerking nadrukkelijk in op een geïntegreerde aanpak voor enterprise data protection en cyber resilience in hybride omgevingen. Daarbij combineren ze NetApp’s data-infrastructuur en AI-gedreven ransomwaredetectie met de resilience-, protection- en recovery-capaciteiten van Commvault.

Voor organisaties is dat een relevante ontwikkeling. De impact van cyberincidenten wordt namelijk niet alleen bepaald door óf je een back-up hebt, maar vooral door hoe snel je afwijkingen herkent, hoe goed je kritieke data is afgeschermd en hoe betrouwbaar je kunt herstellen zonder onnodige verstoring van de bedrijfsvoering. In dat opzicht verschuift de aandacht steeds meer van alleen beschikbaarheid naar aantoonbare weerbaarheid.

Waarom alleen back-up niet meer voldoende is

Back-up blijft een essentieel onderdeel van een moderne IT-strategie, maar het is niet langer voldoende als enige maatregel. In hybride IT-landschappen zijn data, applicaties en workloads verspreid over on-premises omgevingen, private cloud en public cloud. Dat maakt de afhankelijkheden groter en hersteltrajecten complexer. Wanneer een organisatie pas tijdens een incident ontdekt welke data kritiek is, waar kwetsbaarheden zitten of hoe recovery precies moet verlopen, gaat kostbare tijd verloren.

Juist daarom is cyber resilience breder dan traditionele back-up. Het gaat om het totaalplaatje: preventie, detectie, bescherming, governance en herstel. De hernieuwde verdieping in de samenwerking tussen NetApp en Commvault sluit daar direct op aan, doordat beide partijen inzetten op een end-to-end benadering van databescherming en recovery.

Wat deze samenwerking concreet toevoegt

De kracht van deze samenwerking zit in de combinatie van infrastructuur en herstel. NetApp brengt een enterprise dataplatform met ingebouwde intelligentie en AI-gedreven ransomwaredetectie in. Commvault voegt daar oplossingen aan toe voor resilience, bescherming en recovery op enterprise-schaal. Samen moet dat leiden tot sneller herstel, betere beheersing van risico’s en meer grip op bedrijfskritische data.

Dat is belangrijk, omdat cyber resilience in de praktijk vaak stukloopt op versnippering. Veel organisaties hebben wel tooling voor opslag, losse securitymaatregelen en back-upvoorzieningen, maar missen samenhang. Daardoor ontstaan blinde vlekken tussen IT-beheer, security-operaties en recoveryprocessen. Een geïntegreerde aanpak helpt om die losse onderdelen beter op elkaar te laten aansluiten.

De vertaalslag naar de praktijk

Voor organisaties draait het uiteindelijk niet om de technologie op zichzelf, maar om de vraag: zijn wij in staat om onder druk te blijven functioneren? Dat vraagt om heldere keuzes in drie gebieden.

Allereerst is er de datafundering. Organisaties moeten weten welke data bedrijfskritisch is, waar die zich bevindt, hoe die wordt beschermd en welke afhankelijkheden er zijn met applicaties en infrastructuur. Zonder die basis blijft cyber resilience reactief.

Daarnaast is er cyberweerbaarheid. Dat betekent niet alleen bescherming tegen dreigingen, maar ook het inrichten van processen, verantwoordelijkheden en controles die ervoor zorgen dat afwijkingen tijdig worden gesignaleerd en er adequaat gehandeld kan worden.

Tot slot is er herstelbaarheid. Niet alleen de vraag of data teruggezet kan worden, maar ook hoe snel, gecontroleerd en betrouwbaar dat gebeurt. Een recoveryplan moet in de praktijk uitvoerbaar zijn, ook als de druk hoog is en meerdere systemen geraakt zijn.

Waar Idaita en OpenSight elkaar versterken

Juist op dat punt komt de samenwerking tussen Idaita en OpenSight logisch samen.

Idaita helpt organisaties bij het bouwen van een sterke en toekomstbestendige datafundering. Door data, infrastructuur en cloud slim in te richten, ontstaat de basis die nodig is om systemen beschikbaar, beheersbaar en herstelbaar te houden.

OpenSight versterkt die basis met een duidelijke focus op cyberweerbaarheid en herstel. Daarbij gaat het niet alleen om technologie, maar ook om de processen, verantwoordelijkheden en keuzes die nodig zijn om als organisatie veerkrachtig te blijven bij dreigingen of incidenten.

Samen ontstaat daarmee een aanpak waarin data, infrastructuur, processen en security niet los van elkaar worden bekeken, maar als onderdelen van één weerbare keten. En juist die samenhang is essentieel voor organisaties die cyber resilience structureel willen versterken.

Van technologiekeuze naar continuïteitsvraagstuk

De versterkte samenwerking tussen NetApp en Commvault is daarom meer dan alleen technologienieuws. Het onderstreept een bredere ontwikkeling in de markt: cyber resilience wordt steeds minder gezien als een technisch deelonderwerp en steeds meer als een continuïteitsvraagstuk. Bestuurders en IT-teams willen niet alleen weten welke oplossing er draait, maar vooral of de organisatie bestand is tegen verstoring en hoe snel de impact kan worden beperkt wanneer zich een incident voordoet.

Voor veel organisaties ligt daar nog werk. Niet omdat er helemaal geen maatregelen zijn, maar omdat de samenhang ontbreekt tussen dataopslag, detectie, beveiliging, recovery en operationele besluitvorming. Juist daar zit de waarde van een integrale benadering.

Tot slot

De hernieuwde verdieping in de samenwerking tussen NetApp en Commvault bevestigt een beweging die al langer zichtbaar is: cyber resilience vraagt om meer dan alleen back-up. Het vraagt om een slimme combinatie van datamanagement, beveiliging, detectie en herstel, ingebed in de dagelijkse realiteit van de organisatie.

Met Idaita als partner voor een sterke datafundering en OpenSight voor cyberweerbaarheid en herstel, helpen we organisaties om beschikbaar, beschermd en herstelbaar te blijven. Want alleen wanneer die drie samenkomen, ontstaat de veerkracht die nodig is om met vertrouwen te blijven ondernemen en innoveren.

In 2025, attackers became faster, smarter, and above all, less visible. The CrowdStrike 2026 Global Threat Report paints a threat landscape in which adversaries are increasingly exploiting trust: legitimate accounts, trusted cloud services, SaaS integrations, and software supply chains. The result is a type of attack that is difficult to distinguish from normal activity—with an impact that can materialize in minutes.

At the same time, 2025 is the year in which AI adversaries truly ramped up their activities. AI has enabled the acceleration of phishing, the automation of reconnaissance, and the “troubleshooting” of attack techniques. And it doesn’t stop there: AI systems themselves are becoming a new target and part of the attack surface

Key findings from the 2025 report

1. Attacks are happening faster than ever
   The average ‘breakout time’ (the time between initial access and lateral movement) dropped to 29 minutes in 2025. This is a 65% increase in speed compared to 2024. CrowdStrike’s fastest observed breakout took just 27 seconds.
2. A growing number of intrusions are malware-free
   In 2025, 82% of detections were malware-free. Attackers use valid credentials, admin tools and ‘living off the land’ techniques to avoid detection.
3. AI accelerates and democratizes attack capabilities
   CrowdStrike observed an 89% year-over-year increase in attacks by AI-enabled adversaries. AI not only increases the scale of attacks but also empowers less sophisticated actors to carry out operations that previously required greater expertise.
4. Cloud and identity are at the center of attention
   Cloud-related intrusions increased by 37% in 2025. Among state-affiliated actors, this figure was as high as 266%. Furthermore, valid account abuse accounted for 35% of cloud-related incidents, clearly indicating that identity is the main battleground.
5. Zero-day exploits and edge devices are narrowing the defense window
   The number of zero-day exploits prior to public disclosure increased by 42%. In 2025, activity linked to China surged by 38%, and in 67% of the vulnerabilities they exploited, the flaw provided direct system access. Furthermore, 40% of these exploits targeted internet-facing edge devices, such as VPNs, firewalls and gateways.
6. The blast radius is being expanded by supply chain attacks
   Attackers are increasingly compromising ‘upstream’ organizations, such as software vendors, repositories and CI/CD, in order to impact downstream organizations at scale. The report describes, among other things, the largest reported crypto theft ever: $1.46 billion, made possible through a supply chain compromise.

Manufacturing companies increasingly targeted

Attacks on industrial organizations and their supply chains led to disruptions in production processes. The speed at which attackers can move within networks makes strict separation between IT and OT, as well as clear chain agreements, essential.

Recommended measures (based on the recommendations in the report)

1. Secure AI: Protect AI Systems as well as AI Usage
   • Ensure that AI governance and monitoring align with how employees use AI tools.
   • Implement access controls and data classification to minimize data breaches.
   • Protect your AI workloads against runtime attacks, such as prompt injection.
   • Evaluate the suppliers and supply chains involved in the development and integration of AI.
2. Treat identity and SaaS as primary attack surfaces
   • Implement phishing-resistant MFA wherever possible.
   • Enforce the principle of least privilege for service accounts and non-human identities as well.
   • Monitor anomalous token and SaaS activity (OAuth, sessions, API keys).
3. Eliminate cross-domain blind spots
   • Consolidate telemetry across endpoints, the cloud, identity, SaaS, and the network.
   • Cross-domain correlation and detection (XDR + next-gen SIEM workflows).
   • Automate data enrichment with threat intelligence to identify attack paths more quickly.
4. Secure the software supply chain and developer workflows
   • Harden developer endpoints en CI/CD.
   • Validate dependencies and package integrity (scanning, signing, policy).
   • Conduct third-party risk assessments on tools and suppliers.
5. Prioritize the patching and monitoring of edge devices
   • Triage en patch internet-facing systemen versneld (streef naar uren/dagen, niet weken)
   • Accelerate the triage and patching of internet-facing systems, aiming for hours or days rather than weeks.
   • Segment to limit lateral movement from the perimeter

In short

2025 showed us that the most successful attacks are not necessarily the ‘newest’ ones, but rather those that are faster, smarter and better concealed through identity, the cloud, SaaS and supply chains. In 2026, the organization that will make a difference are those that organize their defenses to be just as cross-domain and agile as their adversaries’ operations.

Would you like to discuss what these insights mean for your organization (identity, SaaS, cloud, and edge)? Contact OpenSight for a tailored risk analysis and concrete steps for improvement.

For many organizations, 2026 feels like “just another year.” That is, until you see how rapidly cyberattacks are changing. This is not only because attackers are becoming smarter, but also because our technology and rules are evolving. Machines are becoming more digital and therefore more vulnerable, scams are becoming more convincing thanks to GenAI, and the question “What if it goes down for a while?” is slowly changing to “What if it goes down tomorrow?”

Are you also curious about our Cybersecurity Review of 2025, in which we look back on the most notable cybersecurity issues?

Below are the four trends that are expected to make a difference in 2026.

Machinery Regulation 2027: cyber becomes machine safety

The EU Machinery Regulation (Regulation (EU) 2023/1230) will apply from January 20, 2027, replacing the Machinery Directive from 2006. This makes 2026 the last full year of preparation.

Many people are surprised to learn that this regulation explicitly addresses the reality of modern machines. Today’s machines do more than just perform mechanical tasks; they run software, connect to networks, receive updates, and communicate with other systems. The recitals cite the emergence of digital technologies, such as AI, the Internet of Things (IoT), and robotics, as the reason why there were gaps in existing legislation that are now being closed.

Even more importantly for OT (operational technology), the text includes requirements that directly affect cyber resilience. For instance, there is a crucial health and safety component regarding “protection against corruption” (i.e., manipulation or undesirable influence via links or external connections), and it even references EU cybersecurity certification as a means of demonstrating compliance with certain requirements. It has been made clear that “cyber” is no longer just IT, but also part of product and machine safety.

GenAI phishing: the scammer gets a copywriting agency

Phishing is already a major issue, but by 2026, it will primarily involve large-scale, high-quality phishing attacks. Generative AI has drastically lowered the threshold for creating credible text. Poor grammar and odd phrasing used to be warning signs, but now, attackers can generate neat, businesslike emails in perfect English tailored to the industry, role, and tone in a matter of seconds.

ENISA (the EU’s cybersecurity agency) still cites phishing as the dominant entry point for cyberattacks. In their Threat Landscape report, they mention phishing as a very common starting point for cyberattacks and note the growing trend of AI accelerating and refining this type of social engineering.

Furthermore, ENISA reports that AI-assisted phishing now constitutes a significant portion of global social engineering activity. In other words, AI is no longer just a “gimmick”; it is quickly becoming the norm.

Minimum Viable Company: downtime becomes the real expense

The fourth trend is not about a new hack, but about the question: what happens to your company if something does go wrong? More and more organizations are shifting from the idea of “we must prevent everything” to “we must be able to continue working if it does happen.” This fits in with the concept of the Minimum Viable Company (MVC): the smallest functioning company that can still deliver, invoice, communicate, and meet basic requirements while the rest recovers.

Consulting firms and resilience frameworks use MVC to emphasize that, in a crisis, it is not necessary to immediately return to full capacity. Rather, the focus should be on maintaining a minimal, safe business operation. MVC can now be seen as an important boardroom topic because cyberattacks, outages, and supply chain problems are increasingly becoming “normal” business risks. MVC helps you focus on core processes, critical infrastructure, essential personnel, and key data so that, in the event of an incident, you know what “must stay alive” and don’t get lost in priorities.

For SMEs, this is perhaps the most practical lesson for 2026: not because you suddenly become immune, but because you prevent a single incident from turning into weeks of downtime.

Finally, 2026 will be the year of making mature choices

If you add up the four lines, you see the pattern: cyber is shifting from an “IT problem” to a “business reality.” Machines and OT are becoming more prominent due to the Machine Regulation. Phishing is becoming more convincing and widespread thanks to GenAI. AI tools are becoming more productive, but also more sensitive when it comes to data. The winners are organizations that already know in advance what their “minimum business” looks like.

In that respect, it makes sense that more and more organizations are looking for tools and partners that make AI use manageable and can protect data flows. Zscaler, for example, explicitly positions Zscaler AI around secure AI use and data protection. OpenSight is also an official Zscaler partner and guides organizations in these kinds of processes, precisely where technology, policy, and practice come together.

Would you like to know where your company will stand in 2026? Then it would be wise to conduct a risk assessment of your company.

See also our Cybersecurity Review 2025, in which we discuss the most notable cybersecurity issues in a white paper.