De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt sinds 15 augustus 2026 en vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen. Lees voor de basis eerst wat NIS2 betekent.
Voor organisaties binnen de reikwijdte brengt de Cbw verplichtingen mee rond registratie, risicobeheersing, incidentmelding, leveranciers en bestuurlijke verantwoordelijkheid. De wet vraagt daarmee om samenhang tussen techniek, organisatie en besluitvorming.
“De wet geeft de ondergrens. In de bestuurskamer wil ik vooral weten welke digitale risico’s de continuïteit raken, welke keuzes zijn gemaakt en hoe de organisatie weet dat maatregelen werken.”
Wouter Parent
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet stelt eisen aan de digitale weerbaarheid van essentiële en belangrijke entiteiten in achttien sectoren. De wet vertaalt de doelen van NIS2 naar Nederlandse verplichtingen, toezicht en handhaving.
De Cbw wordt aangevuld door het Cyberbeveiligingsbesluit. Daarin zijn onderdelen verder uitgewerkt, waaronder de zorgplicht en de training van uitvoerende bestuurders. Op de pagina over NIS2-wetgeving in Nederland lees je hoe richtlijn, wet en besluit zich tot elkaar verhouden.
Sinds wanneer geldt de Cbw?
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Sinds die datum gelden de wettelijke verplichtingen voor organisaties die binnen de reikwijdte vallen.
Dit betekent onder meer dat registratie in het entiteitenregister, de zorgplicht en de meldplicht geen voorbereidingsthema’s meer zijn. Ze horen bij de actuele wettelijke bedrijfsvoering.
Actuele overheidsinformatie: zie het dossier Cyberbeveiligingswet van de NCTV en de informatie van het NCSC.
Voor wie geldt de Cyberbeveiligingswet?
Of een organisatie onder de wet valt, hangt af van sector, entiteitstype, omvang en eventuele uitzonderingen of bijzondere aanwijzingen. De beoordeling moet op het niveau van de juiste juridische entiteit worden gemaakt.
Middelgrote en grote organisaties in onder meer energie, vervoer, zorg, digitale infrastructuur, overheid, productie, afval, chemie en voedsel kunnen rechtstreeks binnen scope vallen. Kleinere organisaties kunnen in bijzondere gevallen ook onder de wet vallen.
Gebruik voor een eerste beoordeling de pagina Wanneer is NIS2 verplicht? en controleer de uitkomst met de officiële zelfevaluatie.
Welke verplichtingen bevat de Cyberbeveiligingswet?
Registratieplicht
Organisaties die binnen de wettelijke reikwijdte vallen, registreren zich in het entiteitenregister. De registratie helpt het NCSC en bevoegde autoriteiten om organisaties te informeren en bij incidenten te ondersteunen.
Zorgplicht
De organisatie brengt risico’s voor netwerk- en informatiesystemen in kaart en neemt passende en evenredige maatregelen. Daarbij gaat het onder meer om incidentbehandeling, bedrijfscontinuïteit, toegangsbeveiliging, kwetsbaarheden, encryptie, training en beveiliging van de toeleveringsketen.
Meldplicht
Significante incidenten moeten volgens een gefaseerd proces worden gemeld. Dat vraagt om duidelijke criteria, bereikbaarheid, interne escalatie en vooraf afgestemde rollen. Een meldproces dat alleen op papier bestaat, is bij een incident onvoldoende.
Bestuurlijke verantwoordelijkheid
Het bestuur keurt de maatregelen voor de zorgplicht goed en houdt toezicht op de uitvoering. Uitvoerende bestuurders moeten beschikken over kennis en vaardigheden om cyberrisico’s en maatregelen te kunnen beoordelen.
Wat vraagt de Cbw van bestuurders?
Bestuurders hoeven het werk van de CISO of IT-afdeling niet over te nemen. Ze hebben wel voldoende inzicht nodig om keuzes te maken, prioriteiten vast te stellen en door te vragen.
Een bruikbare bestuurlijke aanpak bevat ten minste:
- een onderbouwde beoordeling van de wettelijke scope;
- zicht op kritieke processen, systemen, data en leveranciers;
- een actuele risicoanalyse en vastgestelde risicobereidheid;
- besluiten over maatregelen, budget, eigenaarschap en restrisico;
- periodieke rapportage over voortgang, incidenten en effectiviteit;
- een geoefend proces voor escalatie en wettelijke meldingen;
- aantoonbare deskundigheid van uitvoerende bestuurders.
De Cyberbeveiligingswet en leveranciers
De beveiliging van de toeleveringsketen is onderdeel van de zorgplicht. Organisaties moeten daarom weten welke leveranciers kritisch zijn, welke toegang en afhankelijkheden bestaan en welke afspraken nodig zijn over incidenten, continuïteit en bewijs.
Niet iedere leverancier valt automatisch zelf onder de Cbw. Ook buiten de formele scope kunnen organisaties via contracten, aanbestedingen en klantvragen met vergelijkbare eisen te maken krijgen. Lees hierover verder bij NIS2 ketenverantwoordelijkheid en NIS2 leveranciers.
Training onder de Cyberbeveiligingswet
De specifieke wettelijke trainingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten. De training moet hen in staat stellen risico’s te beoordelen en de gevolgen daarvan voor de organisatie en dienstverlening te begrijpen.
De NIS2 training voor bestuurders behandelt de voorgeschreven onderwerpen en vertaalt deze naar bestuurlijke beoordeling, vragen en besluiten. RvC, RvT en sleutelrollen kunnen vanuit hun eigen verantwoordelijkheid aansluiten bij een gezamenlijke boardroomsessie.
Veelgestelde vragen over de Cyberbeveiligingswet
Is de Cyberbeveiligingswet hetzelfde als NIS2?
NIS2 is de Europese richtlijn. De Cyberbeveiligingswet is de Nederlandse wet waarmee NIS2 nationaal is uitgewerkt.
Is de Cyberbeveiligingswet al van kracht?
Ja. De Cyberbeveiligingswet geldt sinds 15 augustus 2026.
Hoe weet ik of mijn organisatie onder de Cbw valt?
Beoordeel sector, entiteitstype, omvang, uitzonderingen en de juiste juridische entiteit. Gebruik daarnaast de officiële zelfevaluatie van de overheid.
Is ISO 27001 voldoende voor de Cyberbeveiligingswet?
ISO 27001 kan een sterke basis vormen. De wettelijke scope en de specifieke verplichtingen rond registratie, melding, bestuur en toezicht moeten afzonderlijk worden beoordeeld.
Geldt de Cbw-training voor alle medewerkers?
De specifieke wettelijke trainingsplicht geldt voor uitvoerende bestuurders. Medewerkers kunnen vanuit de zorgplicht wel passende bewustwording of functiegerichte training nodig hebben.
Van wet naar bestuurlijke actie
Breng de Cyberbeveiligingswet naar de bestuurskamer
Begin met de NIS2 quickscan, bekijk de NIS2 training voor bestuurders of plan een NIS2 Boardroom Training met bestuur, toezicht en sleutelrollen.