De Cyberbeveiligingswet (Cbw) is vanaf 15 augustus 2026 van kracht. Organisaties die onder de wet vallen, moeten voldoen aan eisen op het gebied van cyberbeveiliging, incidentmelding en bestuurlijke verantwoordelijkheid.
De Europese NIS2-richtlijn en de Nederlandse uitwerking daarvan, de Cyberbeveiligingswet (Cbw), roepen bij veel ondernemers vragen op.

We zetten de belangrijkste feiten op een rij.

Over NIS2 en Cbw
NIS2 staat voor de Network and Information Security Directive 2. Deze Europese richtlijn heeft als doel de digitale weerbaarheid van organisaties en vitale sectoren binnen de Europese Unie te vergroten. De richtlijn is een antwoord op het groeiende aantal cyberdreigingen en de toenemende afhankelijkheid van digitale systemen.

Nederland heeft deze richtlijn vertaald naar nationale wetgeving: de Cyberbeveiligingswet (Cbw). Organisaties die onder de wet vallen, moeten passende maatregelen nemen om cyberrisico’s te beheersen en kunnen aantonen dat deze maatregelen effectief zijn en aansluiten bij de risico’s van de organisatie.

Voor wie geldt de Cbw?
De Cyberbeveiligingswet geldt voor middelgrote en grote organisaties die essentiële of belangrijke diensten leveren, zoals organisaties in de sectoren energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en transport.
Van middelgrote en grote organisaties is in dit verband sprake bij bedrijven met minimaal vijftig medewerkers en/of een jaaromzet of balanstotaal van meer dan tien miljoen euro. Voor bepaalde organisaties, zoals overheden en aanbieders van vertrouwensdiensten, geldt deze omvangsgrens niet.
Ook toeleveranciers en dochterondernemingen kunnen via ketenverplichtingen met de nieuwe eisen te maken krijgen.

De vijf belangrijkste verplichtingen
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met vijf kernverplichtingen:

  • Registratieplicht: registratie in het entiteitenregister via mijn.ncsc.nl.
  • Zorgplicht: een risicoanalyse uitvoeren en op basis daarvan passende technische en organisatorische beveiligingsmaatregelen treffen.
  • Meldplicht: significante cyberincidenten melden bij het CSIRT en de toezichthouder voor de betreffende sector.
  • Informatieplicht: klanten informeren wanneer sprake is van een significant incident.
  • Bestuurlijke verantwoordelijkheid: bestuurders moeten voldoende kennis hebben om cyberrisico’s te beoordelen en volgen hiervoor een opleiding.

Cybersecurity wordt hiermee definitief een bestuurlijk vraagstuk. Het is niet langer uitsluitend een IT-aangelegenheid, maar een onderdeel van governance, risicomanagement en de dagelijkse bedrijfsvoering.
Ketenverantwoordelijkheid vraagt extra aandacht. Voor veel organisaties ligt een belangrijke uitdaging in de keten. De Cyberbeveiligingswet maakt duidelijk dat uitbesteden geen overdracht van verantwoordelijkheid betekent. Organisaties blijven verantwoordelijk voor risico’s bij IT-, cloud- en andere kritieke leveranciers.
Daar komt bij dat de wet niet alleen vraagt om maatregelen te nemen, maar ook om aan te tonen dat deze maatregelen daadwerkelijk werken. Klanten, ketenpartners en toezichthouders verwachten steeds vaker inzicht in de effectiviteit van de getroffen beheersmaatregelen en de cyberweerbaarheid van de organisatie.

Ook organisaties die zelf niet rechtstreeks onder de wet vallen, kunnen via klanten en ketenpartners met aanvullende eisen te maken krijgen. Aantoonbare cyberweerbaarheid wordt steeds vaker een voorwaarde om zaken te doen.