De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de NIS-2 Richtlijn (EU) 2022/2555 en treedt op 15 augustus 2026 in werking. Zij verplicht organisaties in essentiële en belangrijke sectoren tot registratie in een nationaal entiteitenregister, het nemen van aantoonbare technische en organisatorische beveiligingsmaatregelen en het melden van significante incidenten, onder toezicht van de Rijksdienst voor Digitale Infrastructuur en sectorale toezichthouders.
Van Wbni naar Cbw: wat verandert er per 15 augustus 2026?
De Wet beveiliging netwerk- en informatiesystemen (Wbni) vervalt op het moment dat de Cyberbeveiligingswet van kracht wordt. De overgang is geen cosmetische naamswijziging: de Cbw vergroot zowel de reikwijdte als de diepte van de verplichtingen aanzienlijk.
Onder de Wbni vielen primair aanbieders van essentiële diensten in zeven sectoren, aangewezen via een formeel besluit. De Cbw volgt de NIS-2 systematiek en breidt dit uit naar achttien sectoren, verdeeld in twee categorieën: essentiële entiteiten (onder andere energie, drinkwater, transport, bankwezen, gezondheidszorg en digitale infrastructuur) en belangrijke entiteiten (onder andere post, afvalverwerking, chemie, voedsel en digitale dienstverleners). De aanwijzing is niet langer afhankelijk van een apart overheidsbesluit per organisatie: elke organisatie die aan de drempelwaarden voldoet, valt automatisch onder de wet.
Praktisch betekent dit dat organisaties hun bestaande beveiligingsbeleid, leverancierscontracten en incidentresponsplannen moeten doorlichten. De Cbw stelt namelijk expliciete eisen aan onderwerpen die in de Wbni slechts globaal waren beschreven, zoals beveiliging van de toeleveringsketen, multi-factor authenticatie en het gebruik van cryptografie.
Registratieplicht en het entiteitenregister via mijn.ncsc.nl
Iedere organisatie die onder de Cbw valt, moet zich registreren in het nationaal entiteitenregister. Dit register wordt beheerd via het portaal mijn.ncsc.nl, dat wordt geëxploiteerd door het Nationaal Cyber Security Centrum (NCSC).
Het NCSC beschrijft zijn eigen rol als volgt: “Het NCSC ondersteunt organisaties bij het begrijpen van hun verplichtingen onder de nieuwe wetgeving en faciliteert de registratie via het digitale portaal mijn.ncsc.nl.”
Bij de registratie moet een organisatie minimaal de volgende gegevens aanleveren:
- Naam en rechtsvorm van de organisatie, inclusief KvK-nummer
- De relevante sector(en) en subsector(en) conform de Cbw-bijlagen
- Contactgegevens van de verantwoordelijke voor cyberbeveiliging en van het meldpunt voor incidenten
- IP-adresreeksen en domeinnamen die de organisatie gebruikt (voor essentiële entiteiten)
- De lidstaten van de Europese Unie waar de organisatie grensoverschrijdend diensten aanbiedt, indien van toepassing
De registratie moet plaatsvinden binnen de termijn die bij algemene maatregel van bestuur wordt vastgesteld. Organisaties die pas na 15 augustus 2026 onder de wet vallen, bijvoorbeeld door groei of een sectorwijziging, moeten zich binnen drie maanden na het bereiken van de drempelwaarden registreren.
De zorgplicht: wat moet een organisatie technisch en organisatorisch regelen?
De kern van de Cbw is de zorgplicht: organisaties nemen passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen.
De NIS-2 Richtlijn, waarop de Cbw is gebaseerd, benoemt in artikel 21 een minimumset van maatregelencategorieën. De Europese Commissie stelde hierover: “Organisaties moeten passende en evenredige technische en organisatorische maatregelen nemen om de risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen.” (NIS-2 Richtlijn (EU) 2022/2555, overweging 79.)
Concreet gaat het om de volgende verplichte aandachtsgebieden:
| Maatregel | Toelichting |
|---|---|
| Risicoanalyse en beveiligingsbeleid | Gedocumenteerd beleid met aantoonbare risicoafweging |
| Incidentbehandeling | Procedures voor detectie, respons en herstel; meldplicht binnen 24 uur |
| Bedrijfscontinuïteit en back-up | Geteste back-up- en herstelplannen, inclusief crisismanagement |
| Beveiliging toeleveringsketen | Contractuele en technische eisen aan leveranciers en dienstverleners |
| Verwerving en onderhoud van systemen | Security-by-design bij inkoop en ontwikkeling |
| Toegangsbeheersing en MFA | Multi-factor authenticatie als minimumstandaard voor beheertoegang |
| Cryptografie | Gebruik van versleuteling voor data in rust en data in transit |
| Personeelsbewustzijn | Aantoonbare trainingen en bewustwordingsprogramma’s |
Voor organisaties die werken met cloudoplossingen van aanbieders buiten de Europese Economische Ruimte, zoals Amerikaanse hyperscalers, is de maatregel rond de toeleveringsketen bijzonder relevant. Wet- en regelgeving zoals de US CLOUD Act kan Amerikaanse aanbieders verplichten toegang te verlenen aan Amerikaanse overheidsinstanties, ongeacht waar de data fysiek is opgeslagen. Dit is een risico dat bij de risicoanalyse expliciet moet worden beoordeeld en gedocumenteerd.
Handhaving door RDI en sectorale toezichthouders
De handhavingsstructuur onder de Cbw is gedecentraliseerd. De Rijksdienst voor Digitale Infrastructuur (RDI) treedt op als aangewezen toezichthouder voor entiteiten in sectoren waarvoor geen sectorale toezichthouder is aangewezen. Voor sectoren met eigen toezichthouders, zoals de Autoriteit Financiële Markten (financiële sector) of de Nederlandse Zorgautoriteit (zorg), blijft die sectorale toezichthouder primair verantwoordelijk.
Het NCSC vervult geen handhavende rol maar fungeert als centraal meldpunt en ondersteunende instantie. Incidentmeldingen verlopen via mijn.ncsc.nl en worden vervolgens door het NCSC doorgezet naar de bevoegde toezichthouder.
In het eerste jaar na inwerkingtreding zullen toezichthouders naar verwachting starten met het inrichten van hun toezichtcapaciteit en het uitvoeren van risicogebaseerde controles. De Cbw geeft toezichthouders de bevoegdheid tot:
- Het opvragen van documenten, audits en beveiligingsinformatie
- Het uitvoeren van inspecties, ook onaangekondigd
- Het geven van bindende aanwijzingen en herstelmaatregelen
- Het opleggen van tijdelijke verboden op leidinggevende functionarissen bij herhaalde overtredingen (voor essentiële entiteiten)
- Het opleggen van bestuurlijke boetes
Boetes en bestuursrechtelijke sancties
De sancties onder de Cbw zijn aanzienlijk hoger dan wat de Wbni mogelijk maakte en zijn afgestemd op de NIS-2 Richtlijn.
Essentiële entiteiten riskeren een boete van maximaal 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten riskeren een boete van maximaal 7 miljoen euro of 1,4% van de totale wereldwijde jaaromzet. Deze bedragen gelden per overtreding en kunnen worden gecombineerd met andere sancties.
De NIS-2 Richtlijn vergroot daarnaast het aantal sectoren dat onder toezicht valt van 7 naar 18, waardoor aanzienlijk meer Nederlandse organisaties voor het eerst met deze sanctieregimes te maken krijgen.
Bij het bepalen van de hoogte van een boete houdt de toezichthouder rekening met factoren als de ernst en duur van de overtreding, de mate van nalatigheid, eventuele eerdere overtredingen en de schade die is ontstaan. Een organisatie die zich niet heeft geregistreerd terwijl zij daartoe verplicht was, loopt het risico dat de toezichthouder ook de naleving van de zorgplicht niet kan beoordelen, wat de positie bij eventuele handhaving verslechtert.
Praktische voorbereiding voor compliance officers en IT-beslissers
Organisaties in de overheids-, juridische en zorgsector die al werken aan GDPR-compliance of die een migratie overwegen van cloudoplossingen met extraterritoriaal risico, kunnen hun Cbw-voorbereiding koppelen aan bredere soevereiniteitsdoelstellingen. De zorgplicht vereist een gedocumenteerde risicoanalyse van de gehele toeleveringsketen, inclusief cloudproviders. Wie deze analyse grondig uitvoert, krijgt tegelijkertijd inzicht in jurisdictionele risico’s en kan gerichte mitigerende maatregelen nemen, zoals end-to-end versleuteling, contractuele verwerkersovereenkomsten met Europese aanbieders of de inzet van on-premise of Zwitsers gehoste alternatieven.
De combinatie van de Cbw-zorgplicht, GDPR-vereisten rond internationale doorgifte en sectorspecifieke regels maakt het noodzakelijk dat compliance officers en IT-beslissers hun beveiligingsprogramma niet silo-gewijs inrichten, maar als geïntegreerd geheel. De registratie via mijn.ncsc.nl is het startpunt, maar de inhoudelijke voorbereiding, het opstellen van beleid, het testen van incidentrespons en het doorlichten van leveranciers, vraagt minimaal zes tot twaalf maanden.
Veelgestelde vragen
Moet mijn organisatie zich altijd registreren, of gelden er drempelwaarden?
De Cbw hanteert de NIS-2 drempelwaarden: middelgrote ondernemingen met 50 of meer medewerkers of een jaaromzet van 10 miljoen euro of meer in aangewezen sectoren zijn registratieplichtig. Kleine organisaties kunnen alsnog verplicht zijn als zij als essentieel worden aangemerkt door de overheid, bijvoorbeeld kritieke infrastructuuraanbieders.
Wat gebeurt er als mijn organisatie al voldeed aan de Wbni?
De Wbni vervalt per 15 augustus 2026. Bestaande Wbni-verplichtingen gaan niet automatisch over: organisaties moeten zich opnieuw registreren via mijn.ncsc.nl en controleren of hun maatregelenpakket voldoet aan de uitgebreidere Cbw-zorgplicht, die meer specifieke technische eisen stelt dan de Wbni.
Binnen welke termijn moet een cyberincident worden gemeld?
De Cbw verplicht tot een vroege melding binnen 24 uur na ontdekking van een significant incident, gevolgd door een gedetailleerde tussenrapportage binnen 72 uur en een eindrapport uiterlijk één maand na de melding. Dit is strenger dan de meldtermijnen onder de oude Wbni.
Wie houdt toezicht op mijn organisatie: RDI of een sectorale toezichthouder?
Voor sectoren met een aangewezen sectorale toezichthouder, zoals de Autoriteit Financiële Markten voor de financiële sector of de Autoriteit Consument en Markt voor bepaalde aanbieders, houdt die sectorale toezichthouder primair toezicht. De RDI fungeert als restcategorie-toezichthouder voor entiteiten in sectoren zonder aangewezen toezichthouder.
Telt de bewaarlocatie van data mee voor de beoordeling van de zorgplicht?
De Cbw schrijft geen specifieke geografische bewaarlocatie voor, maar vereist passende technische maatregelen waaronder encryptie en toegangsbeheersing. Organisaties in gereguleerde sectoren moeten ook rekening houden met sectorspecifieke regels en GDPR-vereisten, die extraterritoriale toegang door derde landen, zoals via de US CLOUD Act, als een risico aanmerken dat moet worden geadresseerd in de risicoanalyse.
