De Cyberbeveiligingswet (CBW)

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (CBW) is de Nederlandse implementatie van de Europese NIS2-richtlijn (EU 2022/2555). Deze richtlijn verplicht EU-lidstaten om strengere cybersecurityeisen op te leggen aan organisaties in vitale en belangrijke sectoren.

De CBW vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en breidt het toepassingsgebied aanzienlijk uit. Waar de Wbni zich richtte op een beperkt aantal vitale aanbieders, geldt de Cyberbeveiligingswet voor duizenden Nederlandse organisaties in 18 sectoren.

Parlementaire tijdlijn

Het Cyberbeveiligingsbesluit (Cbb)

De wet zelf blijft op onderdelen abstract. De concrete invulling staat in het Cyberbeveiligingsbesluit: het Besluit van 8 juli 2026 houdende regels ter uitvoering van de Cyberbeveiligingswet, gepubliceerd op 10 juli 2026 als Stb. 2026, 189 en in werking getreden op 15 augustus 2026. Wie alleen de wet leest, mist de eisen waarop een toezichthouder toetst.

Het besluit regelt onder meer:

• De aanwijzing van de CSIRT's voor essentiele en belangrijke entiteiten
• De uitwerking van de beveiligingseisen: beveiligingsbeleid, risicobeheer, incidentbehandeling en bedrijfscontinuiteit
• De registratie in het nationale entiteitenregister en de gegevens die daarbij horen
• De meldingen van significante incidenten en de bijbehorende termijnen
• De kennis-, trainings- en certificeringseisen voor bestuurders

Verplichtingen onder de CBW

De Cyberbeveiligingswet legt vier kernverplichtingen op aan organisaties die als essentiele of belangrijke entiteit worden aangemerkt:

1. Zorgplicht: de tien minimummaatregelen

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om cybersecurityrisico's te beheersen. De wet schrijft tien minimummaatregelen voor (artikel 21 NIS2 / overeenkomstige bepaling in de CBW). Je bent niet alleen verantwoordelijk voor je eigen beveiliging, maar ook voor de risico's die via je toeleveranciers binnenkomen:

1. Beleid inzake risicoanalyse en beveiliging van informatiesystemen
2. Incidentenbehandeling (detectie, respons, herstel)
3. Bedrijfscontinuiteit, back-upbeheer en crisisbeheer
4. Beveiliging van de toeleveringsketen (inclusief beoordeling leveranciers en ICT-dienstverleners)
5. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen
6. Beleid en procedures voor het beoordelen van de effectiviteit van maatregelen
7. Basispraktijken voor cyberhygiene en opleiding
8. Beleid inzake het gebruik van cryptografie en versleuteling
9. Beveiligingsaspecten rond personeel, toegangsbeleid en activabeheer
10. Gebruik van multifactorauthenticatie en beveiligde communicatiesystemen

2. Meldplicht

Significante incidenten moeten in drie fasen worden gemeld bij het CSIRT (Computer Security Incident Response Team):

• Binnen 24 uur: een vroegtijdige waarschuwing met een eerste indicatie of het incident vermoedelijk door onrechtmatig of kwaadwillig handelen is veroorzaakt
• Binnen 72 uur: een incidentmelding met een eerste beoordeling van de ernst en impact, inclusief indicatoren van aantasting (IoC's)
• Binnen 1 maand: een eindverslag met een gedetailleerde beschrijving van het incident, de oorzaak, de genomen maatregelen en grensoverschrijdende impact

3. Registratieplicht en toezicht

Essentiele en belangrijke entiteiten moeten zich registreren in het entiteitenregister van het NCSC, te bereiken via mijn.ncsc.nl. Inloggen gaat met eHerkenning van minimaal niveau 3; rijksorganisaties gebruiken SSOnRijk. Bij de registratie leg je onder meer vast: naam en adres, sector, de EU-lidstaten waar je diensten levert, actuele contactgegevens en waar van toepassing je IP-reeksen. Wijzigingen moet je binnen twee weken doorgeven, bijvoorbeeld na een fusie of bij een gewijzigde IP-reeks.

De registratie is sinds 15 augustus 2026 verplicht en direct handhaafbaar: niet of onjuist registreren kan leiden tot een boete of een last onder dwangsom. Registratie sluit je bovendien aan op de dienstverlening van het NCSC als jouw CSIRT, waaronder waarschuwingen en dreigingsinformatie. Twijfel je of je in scope valt, dan biedt de RDI een zelfevaluatietool op zelfevaluatie.rdi.nl. De uitkomst van die tool is geen juridisch bindend oordeel; de eindverantwoordelijkheid voor scopebepaling ligt bij de organisatie zelf.

4. Bestuurdersaansprakelijkheid en opleidingsplicht

Bestuurders zijn verplicht om de risicobeheersmaatregelen zelf goed te keuren en toezicht te houden op de uitvoering ervan. Bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Het bestuur blijft verantwoordelijk voor de wettelijke verplichtingen, ook wanneer de uitvoering is belegd bij een CISO of een externe partij.

Daarnaast geldt een formele opleidingsplicht. Uitvoerende bestuurders van essentiele en belangrijke entiteiten moeten voldoende kennis en vaardigheden hebben om cyberrisico's en de bijbehorende maatregelen te begrijpen en te beoordelen, en die kennis aantoonbaar actueel houden. Het gaat om strategisch inzicht, niet om technische diepgang.

Boetes en handhaving

De Cyberbeveiligingswet introduceert een streng handhavingsregime met gedifferentieerde boetes:

Naast boetes kan de toezichthouder bindende aanwijzingen geven, audits opleggen, een last onder dwangsom opleggen en in uiterste gevallen bestuurders tijdelijk schorsen van hun functie.

Sectoren onder de CBW

De Cyberbeveiligingswet geldt voor organisaties in 18 sectoren, verdeeld in essentiele (Bijlage I) en belangrijke (Bijlage II) sectoren:

Essentiele sectoren (Bijlage I - 11 sectoren)

Voor bankwezen en financiele marktinfrastructuur geldt een belangrijke nuance: DORA gaat als lex specialis voor op de CBW-eisen voor ICT-risicobeheer, incidentrapportage, testen en leveranciersbeheer.

Belangrijke sectoren (Bijlage II - 7 sectoren)

Hoger onderwijs (nationale toevoeging)

De NIS2-richtlijn biedt EU-lidstaten de keuze om het hoger onderwijs wel of niet onder de wet te laten vallen. Nederland heeft expliciet gekozen om dit wel te doen:

Universiteiten van Nederland (UNL) en de Vereniging Hogescholen hebben bezwaar aangetekend tegen het besluit, met name vanwege het ontbreken van financiele compensatie en de relatief korte voorbereidingstijd. De sector pleit voor minimaal vier jaar implementatietijd, voldoende middelen en sectorspecifieke beveiligingsnormen.

Essentieel of belangrijk: onderscheid op omvang

Binnen Bijlage I bepaalt de omvang van de organisatie of je als essentieel of belangrijk wordt aangemerkt. Het onderscheid bepaalt het toezichtsregime (proactief vs reactief) en het boeteplafond.

Niet weten of je in scope valt is een risico op zich. Wie hierop wacht tot het vanzelf duidelijk wordt, begint te laat. Onze NIS2 checklist geeft een eerste indicatie; de RDI-zelfevaluatie (zelfevaluatie.rdi.nl) is de officiele tool.

Verschil met de Wbni

De Cyberbeveiligingswet is geen opfrisbeurt van de Wbni. Het is een fundamenteel andere wet met een breder bereik:

Het CyFun-framework (CCB)

Voor de praktische invulling van NIS2-compliance wordt in de Benelux het CyFun-framework van het Belgische Centrum voor Cybersecurity (CCB) gebruikt. Dit framework biedt een gestructureerde aanpak om te toetsen of een organisatie voldoet aan de eisen van de NIS2-richtlijn.

CyFun onderscheidt vier maturiteitsniveaus (Basic, Important, Essential, en Top) en is specifiek ontworpen om NIS2-compliance meetbaar te maken. Wij gebruiken dit framework als basis voor onze quickscans en compliance-trajecten.

Wet weerbaarheid kritieke entiteiten (Wwke)

Parallel aan de Cyberbeveiligingswet geldt sinds 15 augustus 2026 ook de Wet weerbaarheid kritieke entiteiten (Wwke). Deze wet implementeert de Europese CER-richtlijn (EU 2022/2557) en richt zich op de fysieke weerbaarheid van kritieke entiteiten: bestendigheid tegen natuurrampen, ongevallen, sabotage en terroristische misdrijven.

Beide wetsvoorstellen zijn gezamenlijk behandeld en gelijktijdig aangenomen: door de Tweede Kamer op 15 april 2026 en door de Eerste Kamer op 7 juli 2026. Voor organisaties die onder beide wetten vallen, betekent dit dat zowel digitale als fysieke weerbaarheid aantoonbaar op orde moet zijn.

Samenhang met aanpalende regelgeving

De CBW en het Cyberbeveiligingsbesluit zijn niet het hele plaatje. Per sector komen ministeriele regelingen bovenop de generieke eisen, en er lopen EU-verordeningen naast de CBW met eigen reikwijdte en eigen termijnen. Bepaal per verplichting welk regime leidend is, anders bouw je maatregelen dubbel of laat je een gat vallen.

DORA: voorrang voor de financiele sector

Voor financiele entiteiten is DORA (Verordening (EU) 2022/2554, van toepassing sinds 17 januari 2025) lex specialis. NIS2 bepaalt zelf dat sectorspecifieke Uniewetgeving met ten minste gelijkwaardige eisen voorgaat. Concreet: waar DORA het ICT-risicobeheer, de incidentrapportage, het testen van weerbaarheid en het beheer van ICT-dienstverleners regelt, gelden de DORA-eisen en niet de overeenkomstige CBW-verplichtingen. Toezicht ligt bij DNB en de AFM, niet bij de RDI.

Dat betekent niet dat de CBW voor deze organisaties irrelevant is. Voor onderwerpen die DORA niet regelt, kan de CBW aanvullend werken. Val je onder beide, bepaal dan expliciet per verplichting welk regime leidend is en leg die keuze vast. Anders ontstaat er dubbel werk, of erger: een aanname dat het andere regime het wel afdekt.

AVG: een incident, twee meldketens

Een ransomware-incident dat persoonsgegevens raakt, is tegelijk een significant incident onder de CBW en een datalek onder de AVG. Dat zijn twee losse meldingen met twee klokken: binnen 24 uur een vroegtijdige waarschuwing bij het CSIRT (gevolgd door 72 uur en een eindverslag binnen een maand), en binnen 72 uur een melding bij de Autoriteit Persoonsgegevens. Een melding bij het NCSC vervangt de datalekmelding niet, en andersom. Beoordeel bij elk incident beide sporen afzonderlijk.

Productwetgeving: CRA en Machineverordening

De Cyber Resilience Act (Verordening (EU) 2024/2847) is volledig van toepassing vanaf 11 december 2027, maar een onderdeel geldt eerder: vanaf 11 september 2026 moeten fabrikanten van producten met digitale elementen actief misbruikte kwetsbaarheden en ernstige incidenten melden bij de bevoegde autoriteiten.

De Machineverordening (Verordening (EU) 2023/1230) vervangt vanaf 20 januari 2027 de Machinerichtlijn 2006/42/EG en stelt voor het eerst als harde eis dat veiligheidsfuncties beschermd zijn tegen manipulatie, opzettelijk of onopzettelijk. Voor machinebouwers wordt cybersecurity daarmee een voorwaarde voor CE-markering.

Beide raken vooral de sector vervaardiging, die onder de CBW als belangrijke sector geldt. Waar de CBW jouw organisatie reguleert, reguleren CRA en Machineverordening jouw product. Dat is een andere afdeling, een andere toezichthouder en een ander bewijsdossier, maar wel dezelfde onderliggende beveiligingsmaatregelen.

Cyberbeveiligingsregeling voor de Zorg (CbrZ)

Op 14 augustus 2026, een dag voor de inwerkingtreding, is de Cyberbeveiligingsregeling voor de Zorg gepubliceerd in de Staatscourant. Deze regeling beschrijft hoe de wettelijke verplichtingen binnen de zorgsector worden toegepast: welke zorgaanbieders in scope vallen, hoe risicobeheer en incidentmelding worden ingevuld en hoe registratie en toezicht verlopen. Zorgorganisaties die alleen naar de generieke wettekst kijken, missen hun eigen sectorale invulling.

Wat moet je nu doen?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026, zonder overgangs- of gedoogperiode. Zorgplicht, meldplicht en registratieplicht zijn nu van toepassing. Implementatie kost typisch 6 tot 12 maanden. Wie nu nog moet starten, voldoet in die periode dus niet aan de wet en moet die periode zo kort mogelijk houden. Begin met de onderdelen die direct handhaafbaar zijn.

1. Bepaal of je eronder valt - Check je sector en omvang tegen de drempelwaarden. Onze NIS2 checklist helpt hierbij, de RDI-zelfevaluatie is de officiele tool.
2. Registreer direct als je in scope valt - Registratie via mijn.ncsc.nl is het meest direct handhaafbare onderdeel en kost weinig tijd. Uitstel hiervan is niet te verdedigen.
3. Voer een quickscan uit - Breng in kaart waar je staat ten opzichte van de CBW-eisen en het Cyberbeveiligingsbesluit. In 2 dagen heb je een helder beeld.
4. Stel een plan op - Prioriteer de gaps en maak een realistisch implementatieplan.
5. Implementeer gefaseerd - Begin met de hoogste risico's: incidentrespons, toegangsbeheer, leveranciersbeoordeling.
6. Borg governance - Zorg dat bestuurders de maatregelen aantoonbaar goedkeuren, toezicht houden op de uitvoering en hun opleidingsplicht plannen richting 15 augustus 2028.

Veelgestelde vragen over de CBW