15 augustus 2026
Cyberbeveiligingswet van kracht
Cyber-beveiligingswet van kracht
De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden. De wet moet Nederland digitaal weerbaarder en veiliger maken en geldt voor organisaties die essentiële of belangrijke diensten verlenen.
TEKST: REDACTIE BEELD: ENVATO
Met de Cyberbeveiligingswet is de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving. De Cbw vervangt de voormalige Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor meer organisaties. Voor organisaties die onder de wet vallen, gelden onder meer een registratieplicht, zorgplicht en meldplicht. Ook wordt de verantwoordelijkheid van bestuurders voor cyberrisicobeheersing expliciet vastgelegd.
Organisaties zijn verplicht passende maatregelen te nemen tegen risico’s voor de beveiliging van hun netwerk- en informatiesystemen en moeten significante incidenten melden. De Rijksinspectie Digitale Infrastructuur (RDI) is een van de toezichthouders op de Cbw en houdt onder meer toezicht op de energiesector, de digitale infrastructuur en de overheid.
Zelfevaluatietool
Organisaties zijn er zelf verantwoordelijk voor om te bepalen of zij onder de Cbw vallen. De RDI roept organisaties op om dit zo snel mogelijk te doen. Hiervoor kunnen zij gebruikmaken van een zelfevaluatietool.
“
Registratie zorgt ervoor dat organisaties tijdig kunnen worden bereikt door de overheid
Registratieplicht
Organisaties die onder de Cbw vallen moeten zich zo snel mogelijk registreren. Registratie zorgt ervoor dat organisaties tijdig kunnen worden bereikt door overheid, toezichthouders of hun Computer Security Incident Response Team (CSIRT), bijvoorbeeld voor waarschuwingen, dreigingsinformatie en ondersteuning bij cyberincidenten. Organisaties kunnen zich registreren in het Nationaal Entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).
Zorgplicht
Organisaties waarvoor de Cbw geldt moeten passende maatregelen nemen om cyberrisico’s te beheersen, incidenten te voorkomen en de gevolgen daarvan te beperken.
“
Van bestuurders wordt verwacht dat zij een passende training volgen
Meldplicht
Organisaties die onder de Cbw vallen zijn verplicht om significante cyberincidenten te melden. Een significant incident moet binnen 24 uur na ontdekking worden gemeld bij het betreffende CSIRT en de bevoegde toezichthouder.
Bestuurlijke verantwoordelijkheid en trainingsplicht
Alle leden van het bestuur zijn eindverantwoordelijk voor governance en risicobeheersing van de organisatie als geheel. Dit geldt ook voor de cyberbeveiliging van de organisatie. Van bestuurders wordt verwacht dat zij een passende training volgen, waarin zij leren risico’s voor de beveiliging van hun organisatie te herkennen en te beoordelen. 
Cbw in het kort
- In werking sinds 15 augustus 2026
- Voor essentiële en belangrijke entiteiten
- Registratieplicht
- Zorgplicht
- Meldplicht
- Bestuurlijke verantwoordelijkheid
Registreren
Zorg dat overheid, toezichthouder en CSIRT de organisatie kunnen bereiken.
Beveiligen
Neem passende maatregelen om cyberrisico’s te beheersen.
Melden
Meld significante incidenten binnen 24 uur.
Besturen
Bestuurders zijn eindverantwoordelijk en moeten passende training volgen.
