Cyberbeveiligingswet (Cbw): wat betekent het en hoe werkt het?

De Cyberbeveiligingswet, vaak afgekort als Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Voor veel organisaties betekent dat geen kleine aanscherping, maar een andere werkelijkheid: cybersecurity wordt niet langer benaderd als een technisch aandachtspunt, maar als een bestuurlijk onderwerp met zorgplicht, meldplicht, registratieplicht en toezicht. De Tweede Kamer stemde op 15 april 2026 in met het wetsvoorstel. De volgende stap is behandeling in de Eerste Kamer. De beoogde inwerkingtreding blijft het tweede kwartaal van 2026, afhankelijk van dat tempo.

Voor organisaties die onder de wet vallen, draait het niet om een papieren exercitie. De kern is dat je als organisatie aantoonbaar in control bent: je kent je risico’s, je hebt passende maatregelen getroffen, je kunt incidenten tijdig melden en je kunt laten zien wie verantwoordelijk is voor besluitvorming en opvolging. Dat is precies waar het in de praktijk vaak misgaat. Niet door een gebrek aan goede intenties, maar door versnipperde tooling, losse spreadsheets, verschillende registers en afhankelijkheid van een paar sleutelfiguren. Dat maakt voorbereiding traag, bewijsvoering dun en board reporting kwetsbaar.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet implementeert NIS2 in Nederlandse wetgeving en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet is bedoeld om de digitale weerbaarheid van belangrijke en essentiële organisaties te verhogen. In de Nederlandse uitwerking worden drie hoofdverplichtingen wettelijk verankerd: zorgplicht, meldplicht en registratieplicht. Daarnaast komt er toezicht op naleving. Het NCSC geeft aan dat zijn werkterrein hierdoor uitbreidt naar meer dan circa 8.000 organisaties.

 

Waarom is de Cbw relevant voor bestuur en niet alleen voor IT?

Veel organisaties framen cyberbeveiliging nog als een operationeel of technisch dossier. De Cbw doet het tegenovergestelde. De wet legt nadruk op risicobeoordeling, passende maatregelen, meldingen, toezicht en bestuurlijke betrokkenheid. Het bestuur moet de maatregelen goedkeuren, toezicht houden op de uitvoering en daarvoor ook opleiding volgen.
Daarmee verschuift cyber van “iets van security” naar een dossier over governance, continuïteit, leveranciersafhankelijkheid, audittrail en bestuurlijke verantwoordelijkheid.

Voor een CISO betekent dat: betere bestuurlijke verankering, maar ook hogere eisen aan board reporting en aantoonbaarheid.
Voor een ISO of Security Manager betekent het: minder ruimte voor losse acties en meer noodzaak voor structurele normkoppeling, eigenaarschap en auditvoorbereiding.
Voor een Compliance Officer betekent het: cyber kan niet meer los gezien worden van governance en controle.
Voor een FG/DPO is vooral relevant dat meldingen, verantwoordelijkheden en bewijsvoering goed traceerbaar moeten zijn.
Voor bestuur en directie geldt: je moet kunnen uitleggen welke risico’s je accepteert, welke maatregelen je neemt en hoe je grip houdt op incidenten en ketenafhankelijkheden.

Voor wie geldt de Cyberbeveiligingswet?

De Cbw geldt voor essentiële en belangrijke entiteiten. Welke categorie op een organisatie van toepassing is, hangt af van sector, type dienstverlening en in veel gevallen ook omvang. Sommige typen organisaties vallen ongeacht hun omvang onder de wet, waaronder overheidsorganisaties, gekwalificeerde vertrouwensdienstverleners, aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners. Aanbieders van openbare elektronische communicatienetwerken en -diensten vallen eveneens onder de wet; middelgrote aanbieders kwalificeren daarbij als essentiële entiteit.

De wet maakt onderscheid in toezicht:

  • Essentiële entiteiten vallen onder proactief toezicht.
  • Belangrijke entiteiten vallen onder reactief toezicht.

Voor digitale dienstverleners kan de beoordeling complexer zijn, vooral bij internationale structuren. De NCTV noemt expliciet hoofdvestiging, vertegenwoordiging binnen de EU en grensoverschrijdende dienstverlening als relevante factoren. Juist daar ontstaan in de praktijk veel verkeerde aannames: organisaties denken dat één Nederlandse bv automatisch leidend is, terwijl de feitelijke governance- en besluitstructuur bepalend kan zijn.

Hoe weet je of jouw organisatie onder de Cbw valt?

Het NCSC adviseert om dit niet op gevoel te doen. Organisaties kunnen gebruikmaken van de NIS2 Zelfevaluatie van de RDI en van de flowcharts en handreikingen van NCSC en NCTV. Voor organisaties met meerdere entiteiten, vestigingen of grensoverschrijdende activiteiten is er aparte ondersteuning voor complexe bedrijfsmodellen.

Dat lijkt een detail, maar hier begint de echte beheersing. Want zolang niet helder is:

  • welke entiteit precies onder de wet valt,
  • welke diensten in scope zijn,
  • wie formeel verantwoordelijk is,
  • en welke toezichthouder en CSIRT van toepassing zijn,

blijft voorbereiding fragmentarisch. Dan ontstaan parallelle lijstjes, verschillende interpretaties en discussies vlak voor een audit of incidentmelding. De Cbw straft dat soort vrijblijvendheid niet alleen juridisch af, maar vooral operationeel: op het moment dat snelheid, bewijs en eigenaarschap nodig zijn, blijkt de structuur niet op orde.

Hoe werkt de Cyberbeveiligingswet in de praktijk?

De Cbw werkt in de kern via vier stappen:

1. Vaststellen of je onder de wet valt

Eerst bepaal je of jouw organisatie een essentiële of belangrijke entiteit is. Dat doe je aan de hand van sector, type dienstverlening, omvang en, waar relevant, vestigings- en governance-structuur.

2. Risicomanagement

  • Identificeren van dreigingen en kwetsbaarheden

  • Classificeren van informatie

  • Implementeren van passende beheersmaatregelen

3. Technische en organisatorische maatregelen

  • Toegangsbeveiliging

  • Logging en monitoring

  • Back-up en herstelprocedures

  • Beveiliging van leveranciers en cloudoplossingen

4. Bewustwording en gedrag

  • Training van medewerkers

  • Duidelijke procedures bij incidenten

  • Meldplicht datalekken

Kies IRM360

Met IRM360 bent u verzekerd van een veilige en compliant toekomst op een schaalbare, praktische en kosteneffectieve manier.
Met onze andere beheersystemen voor onder andere Privacy, Business Continuity, Artificial Intteligence en Risk Awareness kunt u uw controle eenvoudig in uw tempo uitbreiden.
Neem vandaag nog contact met ons op voor meer informatie of vraag een online demo aan van onze software.
Klik hier om een online demo aan te vragen.