De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht. Daarmee is NIS2 in Nederland niet langer alleen een voorbereidingsthema. Organisaties die binnen de reikwijdte vallen, moeten hun registratie, risicobeheersing, incidentmelding en bestuurlijke verantwoordelijkheid nu aantoonbaar hebben georganiseerd.
Van Europese richtlijn naar Nederlandse verplichtingen
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen en geldt voor meer sectoren en organisaties dan haar voorganger. Niet alleen klassieke vitale infrastructuur valt binnen beeld. Ook onder meer digitale infrastructuur, ICT-beheerdiensten, overheid, zorg, productie, post, afvalbeheer, onderzoek en bepaalde digitale aanbieders kunnen ermee te maken krijgen.
Of een organisatie rechtstreeks onder de wet valt, hangt af van de precieze activiteit, sector, omvang en soms van uitzonderingen of concernrelaties. Een SBI-code of het type klant waaraan u levert is op zichzelf niet voldoende om de toepasselijkheid vast te stellen.
Vier onderwerpen die nu aandacht vragen
1. Registratie
Cbw-entiteiten moeten zich registreren in het nationale entiteitenregister via MijnNCSC. Hiervoor zijn onder meer organisatie-, contact- en netwerkgegevens nodig. Registratie is een afzonderlijke verplichting en betekent niet automatisch dat de overige onderdelen van de wet al op orde zijn.
2. Zorgplicht
Organisaties moeten risico’s voor hun netwerk- en informatiesystemen beheersen met passende technische, operationele en organisatorische maatregelen. Denk aan incidentrespons, continuïteit, back-up en herstel, toegangsbeheer, kwetsbaarhedenbeheer, opleiding en beveiliging van de toeleveringsketen.
3. Meldplicht
Een significant incident moet snel worden herkend, intern worden geëscaleerd en volgens de wettelijke fasering worden gemeld. Dat vraagt vooraf om duidelijke rollen, actuele contactgegevens, ernstcriteria en een geoefende procedure. Alleen een document op papier is daarvoor onvoldoende.
4. Bestuurlijke verantwoordelijkheid
Cybersecurity is onder de Cbw geen exclusieve taak van de IT-afdeling. Bestuurders moeten risico’s kunnen beoordelen, maatregelen goedkeuren en toezicht houden op de uitvoering. De RDI wijst daarnaast op de trainingsplicht voor bestuursleden.
Wat betekent dit voor leveranciers?
Een leverancier wordt niet automatisch Cbw-plichtig doordat een klant onder de wet valt. Opdrachtgevers moeten hun ketenrisico’s echter wel beheersen. Daardoor kunnen zij contractueel eisen stellen aan bijvoorbeeld MFA, incidentmelding, herstel, auditrechten, onderaannemers en aantoonbaarheid. Ook organisaties buiten de directe reikwijdte kunnen de gevolgen dus duidelijk merken.
Een praktisch startpunt voor deze maand
- Leg sector, hoofdactiviteit, omvang en concernrelaties vast in een korte scopenotitie.
- Controleer of registratie nodig is en wie deze beheert.
- Wijs per belangrijke maatregel een eigenaar en een deadline aan.
- Test minimaal de incidentmeldroute en het herstel van een kritieke dienst.
- Breng leveranciers met beheerrechten, gevoelige gegevens of grote uitvalimpact in kaart.
- Bewaar beleid, besluiten, testresultaten en verbeteracties op een vaste plaats.
Wilt u eerst een indicatie van uw positie? Start dan de gratis NIS2-check of lees hoe u zich stapsgewijs voorbereidt.
Gebruikte bronnen
Dit artikel is zelfstandig door NIS2 Kompas samengesteld en geschreven op basis van actuele officiële informatie. De bronnen zijn gebruikt voor feiten en juridische context; de uitleg en praktische duiding zijn van NIS2 Kompas.