Cyberbeveiligingswet per 15 augustus 2026: wat geldt nu
De klok is gaan lopen. Dit is de stand van zaken: wat er geldt, voor wie, per wanneer, en met welke bron erachter.
De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn en is op 15 augustus 2026 in werking getreden. De wet vervangt de Wbni uit 2018 en legt ruim 8.000 organisaties in achttien sectoren een registratieplicht, een zorgplicht en een meldplicht op. Zonder algemene overgangstermijn.
Deze pagina is voor bestuurders, CISO's en compliance-verantwoordelijken die willen weten wat er nú geldt, en die de bron erbij willen zien. Wij houden hem actueel. Laatst bijgewerkt: 16 augustus 2026.
Dit is een praktisch richtsnoer, geen juridisch advies.
Wat is de Cyberbeveiligingswet en wat vervangt zij?
De Cbw implementeert NIS2 in Nederland, vervangt de Wbni, en geldt sinds 15 augustus 2026.
Eén ding vooraf, omdat het structureel verkeerd wordt verteld: de wet is niet één document. Wie zoekt naar "de Cyberbeveiligingswet" en één tekst opent, mist driekwart van de verplichtingen. Er zijn vier instrumenten, en daaronder nog een laag ministeriële regelingen per sector.
| Instrument | Type | Publicatie | In werking |
|---|---|---|---|
| Cyberbeveiligingswet (Cbw) | Wet: NIS2-implementatie | Stb. 2026, 187 | 15 augustus 2026 |
| Wet weerbaarheid kritieke entiteiten (Wwke) | Wet: CER-implementatie | Stb. 2026, 188 | 15 augustus 2026 |
| Cyberbeveiligingsbesluit (Cbb) | AMvB: uitwerking Cbw | Stb. 2026, 189 | 15 augustus 2026 |
| Besluit weerbaarheid kritieke entiteiten | AMvB: uitwerking Wwke | Stb. 2026, 190 | 15 augustus 2026 |
De datum staat niet in de wet zelf maar in het besluit: "De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026" (art. 35 Cbb).
Daarnaast is er per departement een ministeriële regeling die de verplichtingen voor de eigen sectoren concretiseert, onder meer wannéér een incident gemeld moet worden. Ze staan in de Staatscourant: IenW, KGG, EZ, LVVN, JenV en BZK. Wie wacht tot alle lagen zijn uitgekristalliseerd, begint te laat.
De geconsolideerde wettekst staat op wetten.overheid.nl.
Ruim 8.000 organisaties vallen direct onder de Cbw, verdeeld over achttien sectoren. Daarnaast is de Wwke van toepassing op ongeveer 500 organisaties die als kritieke entiteit gelden (Rijksoverheid). Let op de formulering: die 500 zijn nog niet aangewezen. De ministeries wijzen per sector aan wie kritieke entiteit is, en dat gebeurt ná inwerkingtreding (RDI).
Wie valt onder de Cbw?
Organisaties in een van de aangewezen sectoren met 50 of meer medewerkers, of met een jaaromzet of balanstotaal boven €10 miljoen, plus een aantal typen organisaties die er ongeacht hun omvang onder vallen.
De drempel komt uit de Europese mkb-definitie waar NIS2 op teruggrijpt (Aanbeveling 2003/361/EG): bij de plafondtoets geldt omzet óf balanstotaal, niet allebei.
Let op bij het naslaan: de publiekspagina van het NCSC formuleert de financiële toets strenger, als "zowel je jaaromzet als je balanstotaal" (NCSC). De mkb-definitie waar de wet op teruggrijpt hanteert "of". Zit je organisatie dicht bij de grens, laat de toets dan toetsen.
De sectoren staan in twee bijlagen bij de wet. Bijlage 1 bevat de sectoren van hoge kriticiteit; daar zit je eerder in de categorie essentieel. Bijlage 2 bevat de overige kritieke sectoren, waar entiteiten in de regel belangrijk zijn.
| Bijlage 1: hoge kriticiteit | Bijlage 2: overige kritieke sectoren |
|---|---|
| Energie (elektriciteit, stadsverwarming en -koeling, aardgas, waterstof, aardolie) | Afvalstoffenbeheer |
| Bankwezen | Post- en koeriersdiensten |
| Infrastructuur financiële markt | Chemische stoffen |
| Vervoer (lucht, spoor, water, weg) | Levensmiddelen |
| Drinkwater | Vervaardiging (medische hulpmiddelen, ICT-producten, elektronica, machines, voertuigen) |
| Afvalwater | Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken) |
| Gezondheidszorg | Onderzoek |
| Digitale infrastructuur | Hoger onderwijs (nog niet in werking) |
| Beheer van ICT-diensten (MSP's en MSSP's) | |
| Ruimtevaart | |
| Overheid |
Bron: NCSC Informatiebrochure Cyberbeveiligingswet.
Een detail dat de telling verklaart: de bijlagen noemen negentien sectoren, terwijl de Rijksoverheid over achttien spreekt. Het hoger onderwijs is de negentiende, en die regeling is er nog niet.
Ongeacht omvang vallen deze typen organisaties eronder (de drempel van 50 medewerkers doet er dan niet toe): aanbieders van openbare elektronische communicatienetwerken en -diensten, (gekwalificeerde) verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen, DNS-dienstverleners, verleners van domeinnaamregistratiediensten, en alle overheidsorganisaties.
Er zijn nog twee routes naar scope die vrijwel nergens worden genoemd:
- Artikel 9 Cbw: je kunt worden aangewezen ongeacht je omvang als je "de enige aanbieder van een dienst die essentieel is voor kritieke activiteiten" bent, als verstoring "aanzienlijke gevolgen" zou hebben voor openbare veiligheid, openbare beveiliging of volksgezondheid, of als er sprake is van "aanzienlijk systeemrisico".
- Artikel 8 Cbw: ben je onder de Wwke aangewezen als kritieke entiteit, dan ben je van rechtswege een essentiële entiteit onder de Cbw.
En één categorie valt buiten het bekende tweetal: verleners van domeinnaamregistratiediensten zijn geen essentiële en geen belangrijke entiteit, maar staan wel in het register en kennen een eigen, lichter regime (art. 43 Cbw).
Twijfel je? Doorloop de scope-check, inclusief groepsstructuren en de vraag wat "niet in scope" betekent als je klanten wél in scope zijn.
Wat is de registratieplicht en hoe werkt die?
Registreren via Mijn.NCSC.nl met eHerkenning niveau 3 of SSOnRijk, verplicht vanaf 15 augustus 2026, en wijzigingen doorgeven binnen twee weken.
Het entiteitenregister wordt in Nederland beheerd via Mijn.NCSC.nl. Je logt in met eHerkenning, minimaal betrouwbaarheidsniveau 3; overheidsorganisaties gebruiken SSOnRijk (RDI).
Het NCSC schat de registratie zelf op tien minuten, mits je de gegevens vooraf hebt verzameld. Dat "mits" doet het werk: er worden zowel netwerk- als organisatiegegevens uitgevraagd, waardoor je CISO, netwerkbeheerder en bestuurder er alle drie aan te pas komen.
Wijzigingen meld je "onverwijld of in elk geval binnen twee weken na de datum van de wijziging" (art. 44 lid 2 Cbw). De minister herziet het register bovendien "ten minste elke twee jaren" (art. 43 lid 2).
Eén punt waarop veel andere pagina's de mist in gaan: er is geen deadline gepubliceerd waarvóór bestaande entiteiten zich geregistreerd moeten hebben. De verplichting geldt vanaf 15 augustus 2026. Meer staat er niet. Wij hebben op de sites van NCSC, RDI en NCTV geen uiterste registratiedatum kunnen vinden, en de NCTV schrijft simpelweg dat de plicht geldt "vanaf 15 augustus 2026, de datum waarop de Cyberbeveiligingswet in werking is getreden" (NCTV). Wie jou een concrete registratiedeadline voorhoudt, verzint die. De praktische conclusie blijft dezelfde: er is geen overgangstermijn, dus wachten heeft geen grond.
Wat houdt de zorgplicht in?
Passende en evenredige technische, operationele en organisatorische maatregelen op basis van een all-hazards-benadering, uitgewerkt in tien categorieën.
"All hazards" is geen stijlfiguur. Het betekent expliciet ook fysiek: brand in de serverruimte, stroomuitval en fysieke toegang zijn risico's waarop maatregelen nodig zijn. En het strekt zich uit tot je toeleveringsketen.
De tien categorieën komen uit artikel 21 lid 2 van de wet, dat artikel 21(2) van de NIS2-richtlijn omzet.
| Art. 21 lid 2 | Verplichting | Wat het in de praktijk betekent | Typisch bewijs |
|---|---|---|---|
| a | Risicoanalyse en beveiligingsbeleid | Een vastgesteld, actueel risicobeeld met eigenaar per risico | Risicoregister, informatiebeveiligingsbeleid, bestuursbesluit |
| b | Incidentbehandeling | Detectie, triage en afhandeling die aantoonbaar werkt | IR-procedure, ticketing-historie, evaluaties |
| c | Bedrijfscontinuïteit, back-upbeheer en crisisbeheer | Herstel dat is getest, niet alleen beschreven | BCP/DRP, hersteltests met datum en uitkomst, RTO/RPO |
| d | Beveiliging van de toeleveringsketen | Zicht op directe leveranciers en afspraken die je kunt afdwingen | Leveranciersregister, contractclausules, beoordelingen |
| e | Beveiliging bij verwerving, ontwikkeling en onderhoud, inclusief kwetsbaarhedenbeheer | Patchen en kwetsbaarheden afhandelen met doorlooptijden | Patchrapportages, CVD-beleid, scanresultaten |
| f | Beoordeling van de effectiviteit van maatregelen | Toetsen of maatregelen werken, niet of ze bestaan | Interne audits, pentests, managementreview |
| g | Cyberhygiëne en opleiding | Basismaatregelen plus training voor medewerkers | Trainingsregistratie, phishing-simulaties |
| h | Cryptografie en waar passend encryptie | Vastgelegd beleid over waar je versleutelt en met welke sleutels | Cryptobeleid, sleutelbeheer, configuratiebewijs |
| i | Personeelsbeveiliging, toegangsbeleid en assetbeheer | Weten wie waarbij kan en waarom | Toegangsmatrix, screeningbeleid, assetinventaris |
| j | Multifactorauthenticatie en beveiligde communicatie | MFA waar passend, plus beveiligde (nood)communicatie | MFA-dekkingsrapport, configuratie |
Deze tien zijn de kern van elke discussie over bewijs. Wie al een ISMS heeft, dekt hier een groot deel van af, maar niet alles, en de gaten zitten op voorspelbare plekken. Dat werken we uit in Telt ISO 27001 als bewijs voor de Cbw-zorgplicht?.
Hoe werkt de meldplicht?
Vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindverslag binnen één maand. Eén melding die automatisch bij zowel het sectorale CSIRT als de toezichthouder terechtkomt.
| Stadium | Termijn | Aan wie | Inhoud |
|---|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur na kennisname van een significant incident | Sectoraal CSIRT + toezichthouder, via Mijn.NCSC.nl | Eerste signaal: vermoedelijke aard, of er sprake lijkt van onrechtmatig handelen, mogelijke grensoverschrijdende gevolgen |
| Incidentmelding | Binnen 72 uur na kennisname | Idem | Bijgewerkte beoordeling, ernst en impact, indicatoren van compromittering |
| Tussentijds verslag | Op verzoek van CSIRT of toezichthouder | Idem | Actuele stand van zaken |
| Eindverslag | Uiterlijk één maand na de incidentmelding | Idem | Beschrijving incident, ernst en gevolgen, oorzaak, getroffen en genomen maatregelen |
Twee nuances die zelden worden genoemd. Vertrouwensdiensten hebben 24 uur voor de incidentmelding in plaats van 72. En het ontvangende CSIRT is het sectorale CSIRT: het NCSC vervult die rol voor de meeste sectoren, maar niet voor alle. Waterschappen vallen bijvoorbeeld onder CERT-WM. "Melden bij het NCSC" is dus net te kort door de bocht, ook al loopt de indiening via één portaal.
De klok begint bij kennisname, niet bij het incident. Dat maakt de vraag "wie mag besluiten dat de klok loopt, en is die persoon in het weekend bereikbaar?" belangrijker dan het sjabloon zelf.
Wie houdt toezicht op mijn organisatie?
Zeven toezichthouders verdelen de sectoren, en essentiële entiteiten krijgen proactief toezicht, waar belangrijke entiteiten vooral achteraf worden gecontroleerd.
| Toezichthouder | Sectoren |
|---|---|
| RDI | Digitale infrastructuur, energie, beheer van ICT-diensten, overheid, ruimtevaart, post- en koeriersdiensten, vervaardiging (niet-medisch), digitale aanbieders, onderzoek |
| ILT | Vervoer, drinkwater, afvalwater, keren en beheren, afvalstoffenbeheer, chemie, meteorologie |
| DNB | Bankwezen |
| AFM | Infrastructuur financiële markt |
| NVWA | Levensmiddelen |
| ANVS | Nucleair |
| IGJ | Gezondheidszorg, vervaardiging van medische hulpmiddelen |
Bron: NCSC, Toezicht op de Cyberbeveiligingswet.
Het verschil in toezichtstijl is geen detail. De RDI schrijft: "Voor essentiële entiteiten geldt proactief toezicht. De RDI kan bijvoorbeeld om informatie vragen of bij u langskomen." En: "Voor belangrijke entiteiten vindt toezicht voornamelijk achteraf plaats, bijvoorbeeld in geval van een incident" (RDI). De wet zelf splitst de handhaving ook in twee aparte paragrafen.
De volledige tabel (per sector, met toezichtstijl en contactroute) staat in Welke toezichthouder houdt toezicht op mijn organisatie?.
Wat zijn de boetes, en wat moet het bestuur zelf doen?
Tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en €7 miljoen of 1,4% voor belangrijke entiteiten. En daarnaast moet het bestuur de maatregelen zelf goedkeuren en zich laten opleiden.
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Boetemaximum | €10.000.000 of 2% van de wereldwijde jaaromzet, als dat hoger is | €7.000.000 of 1,4% van de wereldwijde jaaromzet, als dat hoger is |
| Toezichtstijl | Proactief, ook zonder incident | Voornamelijk achteraf |
| Handhavingsparagraaf | § 15.2 (art. 70–80) | § 15.3 (art. 81–87) |
Over de bedragen: die zijn breed gerapporteerd en consistent met de richtlijn, maar wij hebben de letterlijke wetstekst van de boeteartikelen niet kunnen inzien. De hoofdstukken achterin het Staatsblad zijn niet geautomatiseerd op te halen. De paragraafindeling hierboven komt wél uit de officiële inhoudsopgave; de bedragen ontlenen wij aan advocatenkantoor Houthoff en presenteren wij als secundaire bron. Controleer de exacte artikelen in Stb. 2026, 187 voordat je ze in een bestuursstuk overneemt.
De NIS2-richtlijn kent daarnaast de mogelijkheid om een bestuurder tijdelijk een leidinggevende functie te ontzeggen (art. 32(5)(b)). Of en hoe de Cbw die bevoegdheid heeft overgenomen, hebben wij niet kunnen vaststellen. Wij noemen dat liever dan dat we het invullen; als je het wél hebt geverifieerd, horen we het graag.
Wat wél hard is, is wat er van het bestuur wordt gevraagd. Artikel 24 lid 1 is kort en ondubbelzinnig: "De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur." Niet kennisnemen, niet delegeren: goedkeuren. Daarbovenop geldt een opleidingsplicht: bestuurders moeten binnen twee jaar na inwerkingtreding een training hebben gevolgd (dus omstreeks 15 augustus 2028) en nieuwe bestuurders binnen twee jaar na hun benoeming (Digitale Overheid). De handhaving daarvan heeft een eigen paragraaf in de wet (§ 15.5, art. 92–93).
Let op het onderscheid tussen verantwoordelijkheid en aansprakelijkheid. Dat zijn niet dezelfde dingen, en voor overheidsorganisaties gelden de aansprakelijkheidsbepalingen uit NIS2 niet. Wat het betekent om van verplichting naar aantoonbaarheid te gaan, beschrijven we in Van verplichting naar assurance.
Wat geldt er voor overheidsorganisaties?
Voor de sector overheid schrijft de Cyberbeveiligingsregeling sector overheid sinds 15 augustus 2026 de beheersmaatregelen van ISO/IEC 27002:2022 voor, met BIO2 versie 1.3 als ondergrens.
De regeling is op 3 juli 2026 ondertekend, op 5 augustus 2026 gepubliceerd in de Staatscourant (Stcrt. 2026, 27679) en treedt volgens artikel 7 gelijktijdig met de Cbw in werking.
Artikel 5 lid 1 is preciezer dan de samenvattingen die erover circuleren: "De essentiële entiteit gebruikt ten minste de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 … omvatten ten minste de voor haar relevante overheidsmaatregelen van de Baseline Informatiebeveiliging Overheid 2, versie 1.3."
Lees dat goed. De norm is ISO/IEC 27002:2022, met BIO2 v1.3 als minimum daarbinnen. Niet "BIO2 is nu verplicht" en verder niets. Voor een overheidsorganisatie die al op BIO2 stuurt is dat goed nieuws; voor een leverancier van gemeenten betekent het dat de vraag "welke ISO-maatregelen kun je aantonen?" concreter wordt gesteld dan voorheen.
De regeling stelt daarnaast sectorspecifieke drempels voor de meldplicht vast, en sluit waterschappen expliciet uit. Die vallen onder de regeling van IenW.
Waar Soveryne past
Het lastige aan de Cbw is niet het lezen van de wet; het is aantoonbaar maken dat de tien categorieën van artikel 21 daadwerkelijk draaien, op de dag dat iemand ernaar vraagt. Soveryne Command koppelt beheersmaatregelen aan assets, bewijs en raamwerken als NIS2, ISO 27001 en DORA, zodat de gap-analyse en het bewijsmateriaal meebewegen met het werk in plaats van één keer per jaar in een spreadsheet te worden gereconstrueerd. Counsel, onze AI-assistent voor security en compliance, beantwoordt vragen over deze regelgeving met een bronverwijzing erbij en draait op een platform dat wij zelf beheren binnen de EU.
Veelgestelde vragen
Is er een overgangstermijn voor de Cyberbeveiligingswet? Nee. Er is geen algemene overgangstermijn; de verplichtingen gelden vanaf 15 augustus 2026. De enige uitzonderingen met een eigen tijdpad zijn de opleidingsplicht voor bestuurders (twee jaar) en het hoger onderwijs, dat nog niet onder de wet valt.
Moet ik me registreren als ik onder de 50 medewerkers zit? Meestal niet, maar wel als je tot een van de typen behoort die ongeacht omvang onder de wet vallen, zoals aanbieders van openbare communicatiediensten, vertrouwensdiensten, DNS-dienstverleners of overheidsorganisaties. Ook een aanwijzing op grond van artikel 9 kan je in scope brengen, ongeacht je omvang.
Wat als ik leverancier ben van een essentiële entiteit? Dan heb je geen zelfstandige verplichting onder de Cbw, tenzij je zelf in scope valt. Maar je klant heeft er wel één: ketenbeveiliging is onderdeel van diens zorgplicht (art. 21 lid 2 sub d). In de praktijk bereikt de wet je via contracten en vragenlijsten.
Telt een ISO 27001-certificaat als bewijs voor de zorgplicht? Het is sterk bewijs voor een groot deel ervan, maar geen vrijstelling: registratieplicht, het meldplichtproces en de bestuurlijke goedkeuring vallen buiten de scope van ISO 27001. Zie de uitgebreide analyse.
Wie is verantwoordelijk als het misgaat? Het bestuur moet de maatregelen goedkeuren (art. 24 lid 1) en toezien op de uitvoering, en moet zich laten opleiden. Verantwoordelijkheid is niet hetzelfde als persoonlijke aansprakelijkheid, en voor overheidsorganisaties gelden de NIS2-aansprakelijkheidsbepalingen niet.
Wat is het verschil met de Wbni? De Wbni (2018) implementeerde NIS1 en gold voor een aanzienlijk kleinere groep. De Cbw vervangt haar, breidt het bereik uit naar achttien sectoren en ruim 8.000 organisaties, voegt een registratieplicht toe, legt expliciete verplichtingen bij het bestuur en verhoogt de boetemaxima.
Bronnen
Primair
- Cyberbeveiligingswet, Stb. 2026, 187 · geconsolideerde tekst
- Wet weerbaarheid kritieke entiteiten, Stb. 2026, 188
- Cyberbeveiligingsbesluit, Stb. 2026, 189
- Cyberbeveiligingsregeling sector overheid, Stcrt. 2026, 27679
- Rijksoverheid: inwerkingtreding 15 augustus 2026
- NCSC: Valt mijn organisatie onder de Cbw? · Informatiebrochure (PDF) · Meldplicht · Toezicht
- RDI: Registratieplicht · Toezicht · Sectoren onder toezicht
- NCTV: Meldplicht · Registratieplicht · Wetten en regelgeving
- Digitale Overheid: verplichtingen
- NIS2-richtlijn (EU) 2022/2555
Secundair (als zodanig gebruikt)
