Twee jaar lang was NIS2 iets wat eraan kwam. Sinds 15 augustus 2026 is het er: de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, is in werking getreden. Ruim 8.000 organisaties vallen eronder, er is geen overgangsperiode, en de verplichtingen gelden vanaf dag één. Dit artikel legt uit wat de wet vraagt, voor wie hij geldt en wat je moet doen als je nog niet klaar bent. En waarom het ook jou raakt als je er formeel niet onder valt.
Waar NIS2 vandaan komt
De eerste NIS-richtlijn uit 2016 gold voor een kleine groep vitale sectoren. NIS2, sinds 2023 van kracht in de EU, trekt het net veel breder: meer sectoren, meer organisaties en zwaardere eisen. Omdat een Europese richtlijn niet rechtstreeks voor bedrijven geldt, moest Nederland hem omzetten in eigen wetgeving. Dat is de Cyberbeveiligingswet, die de oude Wet beveiliging netwerk- en informatiesystemen vervangt. Tegelijk trad de Wet weerbaarheid kritieke entiteiten in werking, voor de fysieke weerbaarheid van een kleinere groep organisaties.
Voor wie de wet geldt
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten, afhankelijk van sector en omvang. Het gaat om organisaties in onder meer energie, water, transport, zorg, digitale infrastructuur, overheid, financiële markten, voedsel, chemie, afvalbeheer, industrie en digitale dienstverlening. Als vuistregel: middelgrote en grote organisaties in die sectoren vallen eronder, kleinere alleen in specifieke gevallen.
Je bent zelf verantwoordelijk om te toetsen of je onder de wet valt. Niemand stuurt een brief. De Rijksoverheid biedt daarvoor een zelfevaluatie; twijfel je, laat het dan onderbouwd vaststellen. De uitkomst bepaalt je verplichtingen en het toezicht.
De drie verplichtingen
De zorgplicht is de kern. Je moet passende maatregelen nemen om risico’s voor je netwerk- en informatiesystemen te beheersen. De wet benoemt daarbij onder andere risicoanalyse, beveiliging van de toeleveringsketen, toegangsbeheer en multifactorauthenticatie, incidentafhandeling, bedrijfscontinuïteit en back-ups, en bewustwording van medewerkers. Het bestuur is hiervoor verantwoordelijk en moet de maatregelen goedkeuren en erop toezien; bestuurders zijn verplicht zich hierin te scholen.
De meldplicht vraagt dat je significante incidenten meldt: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Dat lukt alleen als je incidenten daadwerkelijk ziet en er een proces voor hebt.
De registratieplicht is nieuw en praktisch: organisaties die onder de wet vallen moeten zich registreren bij het Nationaal Cyber Security Centrum. Daarna kun je aansluiten op de dienstverlening van je CSIRT, die je informeert over dreigingen en ondersteunt bij incidenten.
Toezicht en sancties
Sectorale toezichthouders controleren of organisaties aan de wet voldoen. Ze kunnen aanwijzingen geven, een last onder dwangsom opleggen en boetes uitdelen die kunnen oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten. Belangrijker dan het boetebedrag is de bestuurlijke verantwoordelijkheid: cybersecurity is met deze wet formeel een bestuurszaak geworden.
Waarom het ook jou raakt als je er niet onder valt
De zorgplicht omvat de toeleveringsketen. Organisaties die onder de wet vallen, moeten hun leveranciers beoordelen op digitale veiligheid en eisen stellen. Lever je software, diensten of onderdelen aan een zorginstelling, een energiebedrijf of een gemeente, dan krijg je die eisen op je bord. Niet omdat de wet jou aanwijst, maar omdat je klant geen andere keus heeft. Wie dat niet kan aantonen, verliest op termijn opdrachten aan wie dat wel kan.
Waar je begint
Stel vast of je onder de wet valt en leg de onderbouwing vast. Registreer je bij het NCSC als dat zo is. Doe daarna een gap-analyse tegen de maatregelen uit de wet; wie al met ISO 27001 of NEN 7510 werkt, heeft het grootste deel van de structuur al staan en kan die als basis gebruiken.
Begin bij de maatregelen die het vaakst ontbreken en het meeste risico afdekken: sterke authenticatie voor iedereen, tijdelijke beheerdersrechten, een werkend incidentproces en geteste back-ups. Richt daarna de cyclus in waarmee je het bijhoudt, want de wet vraagt niet om een eenmalige inspanning maar om aantoonbaar beheer. Compliant zijn op de dag van de audit is niet genoeg; het gaat erom dat je het kunt laten zien op de dag dat het misgaat.
Wil je weten of de wet voor jouw organisatie geldt en waar je als eerste aan werkt? Doe de Cyberbeveiligingswet-check: acht vragen, direct resultaat.