Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die de Europese NIS2-richtlijn (Network and Information Security Directive 2) uitvoert en essentiële en belangrijke entiteiten verplicht om zich te registreren, passende cybersecuritymaatregelen te nemen en significante cyberincidenten te melden. De wet geldt voor ruim 8.000 organisaties in achttien sectoren, van energie en drinkwater tot chemie en maakindustrie. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en raakt nadrukkelijk ook OT-omgevingen zoals procesbesturing en SCADA.
🗓️ Sinds wanneer geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet en het bijbehorende Cyberbeveiligingsbesluit zijn op 15 augustus 2026 in werking getreden. Vanaf die datum gelden de zorgplicht, de meldplicht en de registratieplicht direct, zonder algemene overgangsperiode. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni), die sinds november 2018 de eerste NIS-richtlijn uitvoerde.
| Datum | Mijlpaal |
|---|---|
| 16 januari 2023 | De NIS2-richtlijn treedt in werking |
| 17 oktober 2024 | Uiterste datum voor omzetting in nationale wetgeving |
| 7 juli 2026 | De Eerste Kamer neemt de Cyberbeveiligingswet aan |
| 15 augustus 2026 | Cyberbeveiligingswet, Cyberbeveiligingsbesluit en Wwke treden in werking; de Wbni vervalt |
Nederland zette NIS2 daarmee bijna twee jaar te laat om. Alleen instellingen voor hoger onderwijs krijgen een overgangstermijn: de minister van OCW wijst hen specifiek aan, en zij krijgen drie jaar extra om aan de zorgplicht te voldoen.
🎯 Wat is het doel van de Cyberbeveiligingswet?
- Uitvoering van NIS2 - Nederland neemt de Europese minimumeisen voor digitale weerbaarheid grotendeels één-op-één over
- Bredere reikwijdte dan de Wbni - waar de Wbni alleen aangewezen aanbieders van essentiële diensten raakte, bepalen nu sector en omvang wie eronder valt
- Hoger en uniform beveiligingsniveau - dezelfde eisen voor IT- en OT-systemen die nodig zijn voor de dienstverlening
- Snellere detectie en melding - zodat het NCSC en de toezichthouders vroeg zicht hebben op aanvallen en andere organisaties kunnen waarschuwen
- Bestuurlijke verantwoordelijkheid - cybersecurity wordt een bestuurstaak, geen IT-taak
🧱 Voor wie geldt de Cyberbeveiligingswet?
Of uw organisatie onder de Cbw valt, hangt af van twee vragen: zit u in een sector uit bijlage I of II van NIS2, en bent u minimaal een middelgrote onderneming? Middelgroot betekent 50 of meer medewerkers, of een jaaromzet én balanstotaal van elk meer dan 10 miljoen euro. Dit heet de size-cap-regel. De wet geldt voor organisaties die in Nederland zijn gevestigd. Een volledig stappenplan, inclusief groepsstructuren en uitzonderingen, staat in valt uw organisatie onder de Cbw?
| Bijlage | Sectoren |
|---|---|
| I - zeer kritieke sectoren (11) | Energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart |
| II - andere kritieke sectoren (7) | Post- en koeriersdiensten, afvalbeheer, chemische stoffen, levensmiddelen, maakindustrie, digitale aanbieders, onderzoek |
Binnen die sectoren onderscheidt de wet twee categorieën. De verplichtingen zijn gelijk; het verschil zit in het toezicht en de maximale boete.
| Kenmerk | Essentiële entiteit | Belangrijke entiteit |
|---|---|---|
| Wie | Grote organisaties in bijlage I, kritieke entiteiten onder de Wwke en enkele aanbieders ongeacht omvang (zoals DNS-diensten) | Middelgrote organisaties in bijlage I en middelgrote en grote organisaties in bijlage II |
| Toezicht | Vooraf (ex ante) en achteraf (ex post) | Alleen achteraf, na signalen of incidenten |
| Maximale boete | 10 miljoen euro of 2% van de wereldwijde jaaromzet, als dat hoger is | 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, als dat hoger is |
🔐 Welke verplichtingen legt de Cyberbeveiligingswet op?
De Cbw kent vier hoofdverplichtingen.
Zorgplicht
Organisaties brengen de risico’s voor hun netwerk- en informatiesystemen in kaart en nemen passende en evenredige technische, operationele en organisatorische maatregelen. Het Cyberbeveiligingsbesluit (artikelen 5 tot en met 19) werkt dit uit: een vastgesteld en schriftelijk beveiligingsbeleid, risicomanagement met een risicoanalysemethode en criteria voor risicoacceptatie, en de tien maatregelcategorieën uit NIS2. Daaronder vallen incidentbehandeling, bedrijfscontinuïteit en back-ups, ketenbeveiliging en supply chain-risico’s, kwetsbaarhedenbeheer, cyberhygiëne en training, cryptografie, toegangsbeleid en multifactorauthenticatie. Technische maatregelen als firewalls, IDS en SIEM helpen die invulling aantoonbaar te maken.
Meldplicht
Een significant incident meldt u gefaseerd aan het CSIRT en de toezichthouder, via het meldportaal van het NCSC. Voor de meeste sectoren is het NCSC het CSIRT; voor de waterschappen is dat CERT-WM. De minister van VWS wil Z-CERT aanwijzen voor de zorg; tot dat moment vervult het NCSC die rol. Drempels, inhoud per melding en een OT-voorbeeld staan in meldplicht onder de Cbw.
| Termijn | Melding | Inhoud |
|---|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing | Vermoeden van kwaadwillig handelen en mogelijke grensoverschrijdende impact |
| Binnen 72 uur | Incidentmelding | Eerste beoordeling van ernst en impact, indicatoren van compromittering |
| Binnen 1 maand | Eindrapport | Gedetailleerde beschrijving, oorzaak, genomen maatregelen en impact |
Registratieplicht
Organisaties registreren zich zelf, zo snel mogelijk, in het nationale entiteitenregister via MijnNCSC. Wie zich niet of onjuist registreert, riskeert een last onder dwangsom of een boete.
Bestuurlijke verantwoordelijkheid
Het bestuur keurt de maatregelen goed en ziet toe op de uitvoering. Elk bestuurslid volgt een training over cyberrisico’s, risicomanagement en risicobeoordelingsmethoden en moet dat met een certificaat kunnen aantonen. Toezichtmaatregelen kunnen zich ook tegen individuele bestuurders richten; bij essentiële entiteiten kan een bestuurder bij ernstige overtredingen tijdelijk worden geschorst. Dat maakt cybersecurity een vast onderdeel van governance.
⚖️ Wie houdt toezicht op de Cyberbeveiligingswet?
Het toezicht is per sector verdeeld over verschillende toezichthouders, met de Rijksinspectie Digitale Infrastructuur (RDI) als coördinerende toezichthouder. Het NCSC is de CSIRT voor de meeste sectoren.
| Toezichthouder | Sectoren |
|---|---|
| RDI (coördinerend) | Energie, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart, post en koeriers, maakindustrie (behalve medisch), digitale aanbieders, onderzoek |
| ILT | Vervoer, drinkwater, afvalwater, afvalbeheer, chemie |
| IGJ | Gezondheidszorg en medische hulpmiddelen |
| NVWA | Levensmiddelen |
| DNB / AFM | Bankwezen en financiële marktinfrastructuur |
| ANVS | Nucleaire installaties |
Toezichthouders kunnen audits, inspecties en scans uitvoeren, bindende aanwijzingen geven en dwangsommen en boetes opleggen. Hoe vaak en hoe intensief zij inspecteren, hangt af van het risicoprofiel van de organisatie.
🔄 Hoe verhoudt de Cbw zich tot de Wwke, BIO2 en andere wetgeving?
- Wwke - de Wet weerbaarheid kritieke entiteiten trad op dezelfde dag in werking en regelt de fysieke en organisatorische weerbaarheid van kritieke infrastructuur; kritieke entiteiten zijn onder de Cbw altijd essentieel
- BIO / BIO2 - voor overheidsorganisaties is de Baseline Informatiebeveiliging Overheid 2 via de Cyberbeveiligingsregeling overheid gekoppeld aan de zorgplicht
- ISO 27001 - het Cyberbeveiligingsbesluit gebruikt ISO 27001 en NEN 7510 als uitgangspunt, maar schrijft geen certificering voor
- Cyber Resilience Act - stelt eisen aan producten met digitale elementen; de Cbw aan de organisaties die ze gebruiken
- AVG - een datalek kan tegelijk een Cbw-incident zijn, met een aparte melding aan de Autoriteit Persoonsgegevens
🏭 Wat betekent de Cyberbeveiligingswet voor OT en industrie?
De zorgplicht geldt voor alle netwerk- en informatiesystemen die nodig zijn voor de dienstverlening, dus ook voor SCADA-systemen, PLC’s en historians in kritieke processen. Een ransomware-aanval die een waterzuivering of productielijn stillegt, kan een meldplichtig incident zijn. In OT zijn patchen, MFA en een volledig assetoverzicht lastig, omdat installaties tientallen jaren meegaan en beschikbaarheid voorop staat. IEC 62443 sluit daarom beter aan op de OT-praktijk dan een puur IT-gericht kader.
Praktische eerste stappen voor een industriële organisatie:
- Scope bepalen en registreren - controleer sector, omvang en categorie, en registreer via MijnNCSC
- Assets in kaart brengen - een actuele asset-inventaris van besturingen, netwerken en externe verbindingen
- Risico’s analyseren - met een business impact analyse en een zone-gebaseerde risicobeoordeling volgens IEC 62443-3-2
- Netwerk scheiden - netwerksegmentatie volgens het zones-en-conduits-model en defense in depth
- Leveranciers borgen - eisen aan systeemintegratoren en remote access vastleggen, ook voor leveranciers buiten de EU
- Detecteren en melden - OT-monitoring en een incidentresponsplan dat de 24-uurstermijn haalbaar maakt
- Bestuur betrekken - trainingen plannen en het ISMS periodiek laten toetsen
❓ Veelgestelde vragen
Is de Cyberbeveiligingswet hetzelfde als NIS2?
NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet die NIS2 uitvoert. Nederlandse organisaties moeten zich dus aan de Cyberbeveiligingswet houden, die sinds 15 augustus 2026 van kracht is.
Hoeveel organisaties vallen onder de Cyberbeveiligingswet?
Volgens het NCSC vallen ruim 8.000 Nederlandse organisaties onder de Cyberbeveiligingswet. Dat zijn er veel meer dan onder de Wbni, omdat nu sector en omvang bepalen wie eronder valt in plaats van aanwijzing door een ministerie.
Moet uw organisatie zich registreren onder de Cyberbeveiligingswet?
Ja, elke essentiële en belangrijke entiteit moet zich onder de Cyberbeveiligingswet zelf registreren in het entiteitenregister via MijnNCSC. De registratieplicht geldt sinds 15 augustus 2026; niet of onjuist registreren kan leiden tot een dwangsom of boete.
Is ISO 27001-certificering verplicht onder de Cyberbeveiligingswet?
ISO 27001-certificering is onder de Cyberbeveiligingswet niet verplicht. Het Cyberbeveiligingsbesluit gebruikt ISO 27001 wel als uitgangspunt, en een ISMS aangevuld met IEC 62443 voor OT is een gangbare manier om de zorgplicht aantoonbaar in te vullen.
Geldt de Cyberbeveiligingswet ook voor OT-systemen?
De Cyberbeveiligingswet geldt voor alle netwerk- en informatiesystemen die nodig zijn voor de dienstverlening, dus ook voor OT zoals SCADA, PLC’s en procesbesturingen. Een incident dat de productie of levering verstoort, kan daardoor meldplichtig zijn.
Wie houdt toezicht op de Cyberbeveiligingswet in de maakindustrie?
In de maakindustrie houdt de Rijksinspectie Digitale Infrastructuur (RDI) toezicht op de Cyberbeveiligingswet. De RDI is ook de coördinerende toezichthouder; chemie, drinkwater en vervoer vallen onder de Inspectie Leefomgeving en Transport (ILT).
📌 Samengevat
De Cyberbeveiligingswet is sinds 15 augustus 2026 de Nederlandse uitvoering van NIS2 en verplicht ruim 8.000 essentiële en belangrijke entiteiten om zich te registreren, hun IT én OT risicogestuurd te beveiligen en significante incidenten binnen 24 uur te melden.
De wet vervangt de Wbni, legt de verantwoordelijkheid bij het bestuur en wordt gehandhaafd door sectorale toezichthouders onder coördinatie van de RDI. Samen met de Wwke vormt de Cbw het wettelijke fundament voor de digitale en fysieke weerbaarheid van vitale sectoren in Nederland.