Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). Het is de Nederlandse versie van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens de Rijksoverheid krijgen ruim 8.000 organisaties te maken met nieuwe verplichtingen. Er is geen overgangsperiode: wie onder de wet valt, moet er nu aan voldoen.
In dit artikel lees je in gewone taal voor wie de wet geldt, wat je moet doen, en waarom de wet ook gevolgen heeft voor bedrijven die er zelf níet onder vallen.
Voor wie geldt de Cyberbeveiligingswet?
De wet geldt voor organisaties in 18 sectoren die als belangrijk voor de samenleving zijn aangewezen. Denk aan energie, drinkwater, transport, gezondheidszorg, digitale infrastructuur, ICT-dienstverlening, overheid, post- en koeriersdiensten, afvalbeheer, chemie, voeding en maakindustrie.
Daarnaast telt de omvang van je organisatie. Als vuistregel val je eronder als je in zo'n sector werkt én:
- 50 of meer medewerkers hebt, of
- meer dan € 10 miljoen jaaromzet én balanstotaal hebt.
Kleinere bedrijven vallen er in principe buiten. Er zijn wel uitzonderingen: overheidsorganisaties, DNS-aanbieders, beheerders van topleveldomeinen en aanbieders van vertrouwensdiensten vallen er altijd onder, ongeacht hun omvang. En een minister kan een kleiner bedrijf aanwijzen als het een cruciale rol speelt; dan krijg je daar bericht over.
Essentieel of belangrijk?
De wet kent twee categorieën:
- Essentiële entiteiten: vooral grote organisaties (250+ medewerkers, of meer dan € 50 miljoen omzet en € 43 miljoen balanstotaal) in de meest kritieke sectoren. Hierop wordt proactief toezicht gehouden: de toezichthouder kan controleren, ook zonder dat er iets is gebeurd.
- Belangrijke entiteiten: middelgrote organisaties in die sectoren, en middelgrote en grote organisaties in de overige sectoren. Hier is het toezicht reactief: er wordt gekeken na een incident of een signaal dat het niet goed gaat.
De plichten zijn voor beide categorieën grotendeels hetzelfde. Het verschil zit vooral in het toezicht en de hoogte van boetes.
Twijfel je? Gebruik de NIS2-zelfevaluatietool op regelhulpenvoorbedrijven.nl. Die geeft in een paar minuten een indicatie. Je bent zelf verantwoordelijk om vast te stellen of de wet voor jou geldt.
Ook als je er niet onder valt: je klanten vragen het wel
Dit is het punt dat veel mkb-bedrijven missen. Organisaties die onder de Cbw vallen, moeten ook de beveiliging van hun toeleveringsketen regelen. Ben jij leverancier van een ziekenhuis, een energiebedrijf, een gemeente of een logistiek bedrijf? Dan is de kans groot dat zij jou vragen om aan te tonen dat je beveiliging op orde is: in contracten, vragenlijsten of audits.
De KVK noemt een paar dingen die klanten in de praktijk vragen: tweefactorauthenticatie op alle accounts, regelmatige updates en back-ups, een plan voor als het misgaat, snelle meldingen van incidenten, en trainingen voor medewerkers. Wie dat kan laten zien, wint opdrachten. Wie dat niet kan, valt af.
De vier plichten op een rij
1. Registratieplicht
Je meldt je organisatie aan in het entiteitenregister van het NCSC, via mijn.ncsc.nl. Daarvoor heb je eHerkenning niveau 3 (of hoger) nodig. Je geeft onder meer je bedrijfsgegevens, sector, de EU-landen waar je actief bent, contactgegevens en, waar van toepassing, je IP-ranges door. Verandert er iets, zoals een fusie of nieuwe IP-adressen, dan heb je twee weken om dat door te geven.
2. Zorgplicht
Je brengt je risico's in kaart en neemt passende technische en organisatorische maatregelen. De wet noemt tien onderwerpen die je in elk geval moet regelen, van risicoanalyse en incidentafhandeling tot back-ups, toegangsbeheer en multifactorauthenticatie. "Passend" betekent: in verhouding tot je risico's en je omvang. In ons artikel NIS2-checklist voor het mkb werken we de tien onderwerpen praktisch uit.
3. Meldplicht
Een significant incident meld je in stappen: een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Je meldt bij het CSIRT voor je sector (vaak het NCSC) en de toezichthouder, en in sommige gevallen informeer je ook je klanten. Hoe dat werkt, lees je in Meldplicht onder NIS2: 24 uur, 72 uur, een maand.
4. Het bestuur is verantwoordelijk
Cybersecurity is onder de Cbw nadrukkelijk een bestuurszaak. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering, en bestuurders moeten zelf voldoende kennis hebben en een passende training volgen. Bij ernstige nalatigheid kunnen bestuurders persoonlijk worden aangesproken.
Toezicht en boetes
Per sector is er een toezichthouder. Voor digitale infrastructuur en ICT-diensten is dat de Rijksinspectie Digitale Infrastructuur (RDI), voor transport de Inspectie Leefomgeving en Transport (ILT). Toezichthouders kunnen scans en audits laten uitvoeren, bindende aanwijzingen geven, lasten onder dwangsom opleggen en boetes uitdelen. De Europese NIS2-richtlijn schrijft voor dat de maximale boete minstens € 10 miljoen of 2% van de wereldwijde jaaromzet is voor essentiële entiteiten, en minstens € 7 miljoen of 1,4% voor belangrijke entiteiten (het hoogste bedrag telt).
Wat kun je nu doen?
- Stel vast of je eronder valt. Doe de zelfevaluatie en leg je conclusie vast, ook als die "nee" is.
- Registreer je via mijn.ncsc.nl als je eronder valt. Regel eHerkenning niveau 3 als je dat nog niet hebt.
- Maak een nulmeting. Loop de tien maatregelen langs en noteer wat er al is en wat ontbreekt.
- Regel je meldproces. Wie beslist of iets significant is, wie meldt, en waar staan de contactgegevens?
- Zet het op de bestuursagenda en plan de training voor bestuurders.
- Bereid je voor op vragen van klanten, ook als je zelf buiten de wet valt.
Hoe OZAG Security helpt
OZAG Security is gemaakt voor bedrijven zonder eigen securityteam dat 24/7 meekijkt. Het platform bewaakt je systemen dag en nacht, koppelt losse meldingen aan echte incidenten, zodat je binnen de 24 uur weet wat er speelt, en maakt NIS2-rapporten die je aan bestuur, toezichthouder of klant kunt laten zien. Je kunt het 14 dagen gratis proberen, zonder creditcard.
Dit artikel is algemene informatie en geen juridisch advies. Twijfel je over jouw situatie, raadpleeg dan het NCSC of een jurist.