Op 15 augustus 2026 zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking getreden. De Eerste Kamer stemde op 7 juli 2026 in met beide wetten.
Wat regelt de wet?
De Cbw staat ook bekend als de Nederlandse invulling van de Europese NIS2-richtlijn. Ze geldt voor organisaties die essentiële of belangrijke diensten leveren in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, zorg, overheid en transport. Volgens de Rijksoverheid krijgen ruim 8.000 organisaties met nieuwe verplichtingen te maken.
De Wwke richt zich op ongeveer 500 organisaties die door de verantwoordelijke minister worden aangewezen als kritieke entiteit.
De belangrijkste verplichtingen
- Registratieplicht: organisaties moeten zich registreren in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC). Dat is verplicht vanaf 15 augustus 2026.
- Zorgplicht: organisaties moeten maatregelen nemen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen, en incidenten te voorkomen of de gevolgen ervan te beperken.
- Meldplicht: significante incidenten moeten binnen de wettelijke termijnen worden gemeld bij het CSIRT en de bevoegde autoriteit.
- Bestuurlijke verantwoordelijkheid: het bestuur is uiteindelijk verantwoordelijk voor het beheersen van cyberrisico’s en moet voldoende kennis hebben en passende training volgen.
Ook interessant als je zelf niet onder de wet valt
Organisaties die wel onder de wet vallen, werken vaak met leveranciers voor hosting, e-mail en netwerk. Onze inschatting is dat opdrachtgevers daardoor vaker vragen gaan stellen over hoe de omgeving van een leverancier is beveiligd. Dit staat niet in de wet zelf, maar is een logisch gevolg van de zorgplicht.
Een paar algemene dingen die je nu al op orde kunt brengen:
- Controleer via het NCSC of jouw organisatie onder de wet valt.
- Zorg dat updates en back-ups van je website, e-mail en systemen geregeld zijn, en dat je een back-up ook echt kunt terugzetten.
- Spreek af wie wat doet als er een incident is en wie het meldt.
- Gebruik sterke wachtwoorden en tweestapsverificatie waar het kan.
Heb je vragen over de omgeving waar je website of e-mail draait? Neem contact met ons op.