- Betekenis
- Nederlandse omzetting van de NIS2-richtlijn
- Afkorting
- Cbw
- Vindplaats
- Stb. 2026, 187
- In werking sinds
- 15 augustus 2026
- Nationaal CSIRT
- NCSC
- Bijgewerkt
- juni 2026
- Redactie
- Compliance Compass
Wat is de Cyberbeveiligingswet?
Nieuw: Cyberbeveiligingswet . Deze wet, bekendgemaakt in Stb. 2026, 187 en in werking sinds 15 augustus 2026, zet de Europese NIS2-richtlijn 2022/2555 om in Nederlands recht. EU-richtlijnen gelden niet rechtstreeks: pas de nationale wet maakt de eisen voor Nederlandse organisaties juridisch bindend en afdwingbaar. De gangbare afkorting Cbw wordt in de praktijk gebruikt voor de wet. Inhoudelijk vervangt zij de Wet beveiliging netwerk- en informatiesystemen (Wbni) en breidt zij de kring van gereguleerde organisaties fors uit; het Cyberbeveiligingsbesluit en sectorale regelingen werken haar verder uit.
Sinds wanneer zij geldt
De wet geldt sinds 15 augustus 2026 en daarmee zijn de cybersecurityplichten bindend voor de entiteiten die eronder vallen; het is geen aanbeveling meer, maar wettelijke plicht. Ook de Registratieplicht geldt sinds 15 augustus 2026 ; wijzigingen in de geregistreerde gegevens moeten binnen veertien dagen worden doorgegeven.
Wat zij concreet verlangt
- Registratieplicht in het entiteitenregister, inclusief de eigen indeling als essentiële of belangrijke entiteit.
- Risicomanagement en passende technische en organisatorische maatregelen naar de stand van de techniek.
- Naleving van de getrapte Meldplichten bij significante incidenten: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindverslag binnen een maand.
- Verantwoordelijkheid, goedkeuring en toezicht op de maatregelen door het Leidinggevend orgaan en regelmatige scholing.
Juridisch kader: welke regels naast de Cyberbeveiligingswet gelden
De Cyberbeveiligingswet staat niet op zichzelf. Zij wordt uitgewerkt in het Cyberbeveiligingsbesluit en in sectorale regelingen, en zij verving de Wet beveiliging netwerk- en informatiesystemen. De belangrijkste bouwstenen op een rij:
| Rechtsbron | Waar het over gaat |
|---|---|
| Cyberbeveiligingswet (Cbw) | De wet zelf, Stb. 2026, 187, in werking sinds 15 augustus 2026. Zij zet richtlijn (EU) 2022/2555 om in Nederlands recht en verving de Wet beveiliging netwerk- en informatiesystemen (Wbni). |
| Uitvoering: Cyberbeveiligingsbesluit en sectorale regelingen | Uitwerking van de wet. Hierin staan de nadere regels over risicomanagement, registratie en meldingen, naast de rol van het NCSC als nationaal CSIRT en de bevoegdheden van de sectorale toezichthouders. |
| EU-richtlijn NIS2 (2022/2555) | De Europese basis. Zij werkt niet rechtstreeks op organisaties, maar pas via de Nederlandse wet. |
Wat er concreet verandert
- De kring van gereguleerde entiteiten is veel breder dan onder de oude Wet beveiliging netwerk- en informatiesystemen – nu vallen ook veel middelgrote organisaties uit achttien sectoren eronder.
- Wat vrijblijvend was, wordt een afdwingbare zorgplicht: wie maatregelen nalaat, riskeert een bestuurlijke boete.
- De meldketen krijgt een bindend ritme: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindverslag binnen een maand.
- Nieuw: Leidinggevend orgaan moet de cybersecuritymaatregelen goedkeuren en op de uitvoering toezien; bestuurders riskeren tot 25.000 euro als zij de scholingsplicht verzuimen, na een overgangstermijn van twee jaar.
Wie houdt toezicht en wie helpt?
Het toezicht is sectoraal verdeeld: RDI, ILT, DNB, AFM, IGJ, NVWA, ANVS en de Inspectie van het Onderwijs zijn elk voor hun eigen sector bevoegde autoriteit. Het NCSC is het nationale CSIRT en beheert het entiteitenregister, maar houdt geen toezicht. De bevoegde autoriteiten kunnen bewijs opvragen, aanwijzingen geven en bij overtreding een bestuurlijke boete opleggen: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet bij essentiële entiteiten, tot 7 miljoen euro of 1,4 % bij belangrijke entiteiten. Bij essentiële entiteiten is het toezicht proactief, bij belangrijke entiteiten reactief.
Voorbeeld: een regionaal drinkwaterbedrijf stelt vast dat het onder de wet valt. Het toetst zijn positie, deelt zichzelf in als essentiële entiteit en schrijft zich in in het entiteitenregister; daarna legt het zijn risicomanagement vast, richt het een meldproces voor significante incidenten in en laat het de directie de maatregelen formeel goedkeuren, zodat de kernplichten van de wet sluitend aantoonbaar zijn.
Wat moet u concreet doen?
- Toets uw positie: valt uw organisatie qua sector en omvang onder de Cyberbeveiligingswet?
- Schrijf u in in het entiteitenregister op mijn.ncsc.nl – dat is verplicht sinds 15 augustus 2026, en wijzigingen geeft u binnen veertien dagen door.
- Leg risicomanagement en technische maatregelen naar de stand van de techniek vast.
- Richt een meldproces in voor de termijnen van 24 en 72 uur en test het.
- Schol het leidinggevende orgaan en leg de goedkeuring van de maatregelen schriftelijk vast.
Meer informatie: NCSC – informatie over de Cyberbeveiligingswet (NIS2)
Veelgestelde vragen
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse omzetting van de EU-richtlijn NIS2 (2022/2555). Omdat een EU-richtlijn niet rechtstreeks geldt, maakt pas deze nationale wet de eisen bindend voor Nederlandse organisaties. Zij is bekendgemaakt in Stb. 2026, 187, geldt sinds 15 augustus 2026 en verving de Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet legt zorgplichten op zoals risicomanagement, de getrapte meldplicht en de inschrijving in het entiteitenregister voor essentiële en belangrijke entiteiten.
Sinds wanneer geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Daarmee zijn de cybersecurityplichten voor entiteiten die eronder vallen geen aanbeveling meer, maar wettelijke plicht. Ook de registratieplicht loopt vanaf die datum: entiteiten schrijven zich in in het entiteitenregister en geven wijzigingen binnen veertien dagen door. Naast de wet gelden het Cyberbeveiligingsbesluit en sectorale regelingen.
Wie houdt toezicht op de Cyberbeveiligingswet?
Het toezicht is sectoraal verdeeld: de RDI voor digitale infrastructuur, energie en de gehele overheid, de ILT voor transport en water, DNB voor banken, de AFM voor de financiële marktinfrastructuur, de IGJ voor de zorg, de NVWA voor voedsel, de ANVS voor nucleaire installaties en de Inspectie van het Onderwijs voor onderwijs. Essentiële entiteiten staan onder proactief toezicht, belangrijke entiteiten onder reactief toezicht. Bij overtreding kan een bestuurlijke boete volgen: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet bij essentiële entiteiten, tot 7 miljoen euro of 1,4 % bij belangrijke entiteiten. Bestuurders riskeren tot 25.000 euro als zij de scholingsplicht verzuimen, na een overgangstermijn van twee jaar.