Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. De wet vervangt de Wet beveiliging netwerk en informatiesystemen en is de Nederlandse uitwerking van de Europese NIS2 richtlijn. Tegelijk is met de Wet weerbaarheid kritieke entiteiten ook de Europese CER richtlijn omgezet in Nederlandse wetgeving. Beide wetten zijn op dezelfde dag ingegaan.
Rechtstreeks geldt de Cyberbeveiligingswet voor ruim achtduizend organisaties in Nederland, aldus de Nationaal Coördinator Terrorismebestrijding en Veiligheid. Dat is een beperkte groep, maar de verplichtingen die voor hen gelden reiken verder dan hun eigen organisatie, en dat is precies waar dit voor veel andere bedrijven relevant wordt.
Wie valt eronder
Of een organisatie onder de wet valt, is geen vrije keuze. De NCTV beschrijft dit als een proces in drie stappen.
Eerst wordt gekeken of de organisatie actief is in een van de sectoren die in de wet zijn opgenomen. Dat gaat om een brede lijst, van energie, vervoer, bankwezen en zorg tot digitale infrastructuur, afvalwaterbeheer en onderzoek. Vervolgens telt de omvang mee: het aantal medewerkers, de jaaromzet en het balanstotaal. Voor een aantal categorieën gelden deze omvangscriteria niet en vallen organisaties altijd onder de wet, ongeacht hun grootte. Dat geldt onder meer voor aanbieders van openbare elektronische communicatienetwerken en diensten, gekwalificeerde vertrouwensdienstverleners, aanbieders van topleveldomeinregisters, DNS dienstverleners en overheidsinstanties.
Wie binnen de wet valt, krijgt vervolgens een van twee statussen. Een essentiële entiteit staat onder proactief toezicht, wat betekent dat de naleving actief wordt gecontroleerd, ook zonder concrete aanleiding. Een belangrijke entiteit staat onder reactief toezicht, waarbij controles vooral plaatsvinden naar aanleiding van signalen of meldingen. Organisaties zijn zelf verantwoordelijk om te bepalen onder welke categorie zij vallen. De Rijksoverheid biedt hiervoor een zelfevaluatietool aan.
Het indirecte effect: de toeleveringsketen
De directe doelgroep is beperkt tot die ruim achtduizend organisaties, maar een van de tien verplichte zorgmaatregelen uit de wet gaat expliciet over de beveiliging van de toeleveringsketen, inclusief de relatie met leveranciers en dienstverleners. Een organisatie die onder de wet valt, moet dus ook de digitale weerbaarheid van haar eigen leveranciers in kaart brengen.
Dat raakt in de praktijk een veel grotere groep bedrijven dan alleen de ruim achtduizend die rechtstreeks onder de wet vallen. Levert uw bedrijf aan een ziekenhuis, een energiebedrijf, een vervoerder of een andere organisatie die wel onder de Cyberbeveiligingswet valt, dan is de kans reëel dat die klant op enig moment vraagt hoe uw eigen beveiliging is ingericht. Een officiële schatting van het aantal bedrijven dat op deze manier indirect wordt geraakt, is er niet, maar de verplichting zelf staat wel zwart op wit in de wet.
De tien zorgmaatregelen
De kern van de wet is de zorgplicht: organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico’s voor hun netwerk en informatiesystemen te beheersen. Deze plicht is risico gebaseerd, dus eerst inzicht in de eigen risico’s in kaart brengen en vervolgens de maatregelen daarop afstemmen. De wet noemt tien gebieden waarop in ieder geval maatregelen nodig zijn.
- Beleid over risicoanalyse en beveiliging van netwerk en informatiesystemen.
- Incidentenbehandeling.
- Bedrijfscontinuïteit, waaronder backupbeheer, herstelplannen en crisisbeheer.
- Beveiliging van de toeleveringsketen, inclusief de relatie met leveranciers.
- Beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, waaronder omgang met kwetsbaarheden.
- Beleid en procedures om de effectiviteit van genomen maatregelen te beoordelen.
- Basispraktijken op het gebied van cyberhygiëne en opleiding.
- Beleid voor het gebruik van cryptografie en encryptie.
- Beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen.
- Waar passend: multifactor authenticatie, beveiligde communicatie en noodcommunicatie.
Een aantal van deze maatregelen raakt rechtstreeks netwerkbeveiliging: een firewall met actief onderhouden bescherming en logging ondersteunt de maatregelen rond incidentenbehandeling, toegangsbeleid en de beveiliging van de toeleveringsketen. Een firewall is daarmee een van de meer voor de hand liggende bouwstenen, maar niet de volledige invulling van de zorgplicht. De overige maatregelen, van bedrijfscontinuïteit tot personeelsbeleid, vragen om een bredere aanpak dan alleen techniek.
Meldplicht: drie momenten
Bij een significant incident geldt een meldplicht bij het aangewezen Computer Security Incident Response Team en de bevoegde toezichthouder. Via het centrale meldportaal op MijnNCSC volstaat één melding voor beide partijen. Een incident is significant wanneer het een ernstige verstoring of financieel verlies voor de eigen organisatie veroorzaakt, of wanneer het andere organisaties treft met aanzienlijke schade tot gevolg. De precieze drempelwaarden verschillen per sector.
De meldplicht kent drie momenten. Een vroegtijdige waarschuwing binnen 24 uur nadat het incident bekend is geworden. Een incidentmelding binnen 72 uur, met een eerste inschatting van ernst, impact en mogelijke oorzaak. En een eindverslag uiterlijk een maand na de incidentmelding, met de oorzaak, de gevolgen en de genomen herstelmaatregelen. Voor sommige organisaties gelden afwijkende termijnen.
Het bestuur is verantwoordelijk, niet alleen de IT afdeling
De wet legt de verantwoordelijkheid voor cyberbeveiliging nadrukkelijk bij het bestuur, niet uitsluitend bij een IT afdeling of een CISO. Het bestuur moet de genomen maatregelen goedkeuren en toezien op de uitvoering ervan.
Daarnaast geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten een verplichte training, die risico’s, gevolgen en de te nemen maatregelen behandelt. Bestuurders moeten uiterlijk twee jaar na de inwerkingtreding van de wet over deze kennis beschikken, aantoonbaar via een certificaat, en die kennis vervolgens actueel houden. Toezichthoudende en niet uitvoerende bestuurders vallen niet onder deze trainingsplicht. Ook wanneer de uitvoering bij een CISO ligt, blijft het bestuur eindverantwoordelijk voor de wettelijke verplichtingen.
Wat kunt u nu doen
Weet u niet zeker of uw organisatie onder de wet valt, begin dan met de zelfevaluatietool van de Rijksoverheid. Valt u eronder, dan is registratie in het entiteitenregister via MijnNCSC een van de eerste stappen.
Valt u er niet rechtstreeks onder, maar levert u wel aan organisaties die dat wel doen, dan is het verstandig om zelf alvast te toetsen hoe uw organisatie scoort op de tien zorgmaatregelen. Een klant die zelf onder de wet valt, kan die vraag namelijk ook aan u stellen.
Twijfelt u wat dit voor uw organisatie betekent? Neem contact met ons op, dan denken we mee over de technische kant van uw beveiliging.
Bron: Nationaal Coördinator Terrorismebestrijding en Veiligheid, Cyberbeveiligingswet
