De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn.

De wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en breidt de reikwijdte fors uit: waar de oude wet zich richtte op een beperkte groep vitale aanbieders, gelden de nieuwe regels voor organisaties in achttien aangewezen sectoren, van energie en drinkwater tot gezondheidszorg, digitale infrastructuur, voedingsmiddelen en de maakindustrie.

Uw organisatie valt in beginsel onder de Cbw als aan twee voorwaarden wordt voldaan:

  • Sector: u bent actief in een van de achttien aangewezen sectoren (Bijlage I of Bijlage II).
  • Omvang: u heeft ten minste 50 medewerkers, óf zowel een jaaromzet als een balanstotaal van meer dan 10 miljoen euro. Bij deze beoordeling kunnen gegevens van partner- en verbonden ondernemingen meetellen.

Sommige typen organisaties vallen ongeacht hun omvang altijd onder de wet: centrale en decentrale overheden, gekwalificeerde vertrouwensdienstverleners, aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners. Ook als u zelf niet direct onder de wet valt, kunt u de gevolgen merken: Cbw-plichtige klanten moeten risico's bij hun directe leveranciers en dienstverleners beheersen, en kunnen daarom proportionele beveiligings-, informatie- en auditvoorwaarden in hun contracten opnemen. Cyberweerbaarheid wordt zo voor veel mkb-bedrijven relevant om klant te blijven, ook zonder dat de wet hen formeel verplicht.

Binnen de reikwijdte van de wet maakt de Cbw onderscheid tussen twee categorieën, wat gevolgen heeft voor de intensiteit van het toezicht en de hoogte van boetes:

  • Essentiële entiteiten: doorgaans grote organisaties (250 of meer medewerkers, of een jaaromzet boven 50 miljoen euro mét een balanstotaal boven 43 miljoen euro) in de sectoren van Bijlage I. Centrale en decentrale overheden, gekwalificeerde vertrouwensdienstverleners, TLD-registries en DNS-dienstverleners zijn altijd essentiële entiteit, ongeacht hun omvang.
  • Belangrijke entiteiten: middelgrote organisaties in de sectoren van Bijlage I die niet aan de bovenstaande criteria voldoen, en middelgrote of grote organisaties in de sectoren van Bijlage II.

Essentiële entiteiten staan onder proactief toezicht: de toezichthouder controleert actief, ook zonder concrete aanleiding. Belangrijke entiteiten worden reactief gecontroleerd, doorgaans na een incident of signaal.

Registratieplicht. Organisaties die onder de wet vallen, registreren zich bij het Nationaal Cyber Security Centrum (NCSC) via mijn.ncsc.nl. Bij de registratie verstrekt u onder meer organisatie- en contactgegevens, sector- en subsectorinformatie, uw registratienummer en de door u publiek gebruikte domeinnamen. Wijzigingen moet u binnen de wettelijke termijn doorgeven.

Zorgplicht. U neemt passende technische, operationele en organisatorische maatregelen om de risico's voor uw netwerk- en informatiesystemen te beheersen. De zorgplicht is risicogebaseerd: u start met een risicobeoordeling en bepaalt daarna welke maatregelen in verhouding staan tot uw sector, omvang en dreigingsprofiel. Dit omvat onder meer incidentbehandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, kwetsbaarhedenbeheer en cyberhygiëne.

Meldplicht. Een significant incident meldt u onverwijld en uiterlijk binnen 24 uur nadat u ervan kennis heeft gekregen, als vroegtijdige waarschuwing. In beginsel volgt binnen 72 uur een incidentmelding, en uiterlijk een maand later een eindverslag. Dit verloopt via het centrale NCSC-portaal, dat de melding doorzet naar zowel uw sectorale CSIRT als de toezichthouder, zodat u niet dubbel hoeft te melden.

Naast de drie operationele verplichtingen legt de wet expliciete taken bij het bestuur. Het bestuur keurt de zorgplicht-maatregelen goed en houdt toezicht op de uitvoering. Bestuursleden moeten daarnaast over voldoende kennis en vaardigheden beschikken om cyberrisico's en de genomen maatregelen te kunnen beoordelen, aantoonbaar via een opleiding. Voor deze kennisverplichting geldt een specifieke termijn: bestuursleden krijgen in beginsel twee jaar vanaf de inwerkingtreding van de wet, of vanaf hun benoeming, om hieraan te voldoen.

Voor overtreding van bepaalde persoonlijke bestuursverplichtingen kan een individuele bestuurlijke boete van maximaal €25.000 worden opgelegd. Bij essentiële entiteiten kan de bevoegde autoriteit bij een essentiële entiteit die ondanks een handhavingsbesluit ernstig en voortdurend in gebreke blijft, de burgerlijke rechter verzoeken één of meer bestuursleden tijdelijk te schorsen. De rechter beslist over die maatregel. Dat is iets anders dan automatische persoonlijke civielrechtelijke aansprakelijkheid voor ieder incident: die ontstaat niet vanzelf, maar overtreding van de eigen bestuursverplichtingen is wel degelijk een persoonlijk risico.

De wet bevat zelf een invoeringstoets binnen achttien maanden en een eerste evaluatie binnen twee jaar, daarna iedere drie jaar.

Tijdens de behandeling in de Tweede Kamer zijn diverse moties aangenomen:

  • Geen dubbele beboeting. De regering is verzocht te voorkomen dat voor hetzelfde feitencomplex en hetzelfde beschermde belang zowel op grond van de Cbw als de Wwke een punitieve sanctie wordt opgelegd. Dit sluit afzonderlijke handhaving onder andere regimes, zoals de AVG, niet uit. Dit garandeert niet dat u nooit onder verschillende regimes (bijvoorbeeld Cbw én AVG) afzonderlijk gesanctioneerd kunt worden.
  • Harmonisatie met BIO en ENSIA. De regering is verzocht de uitvoerings- en toezichtpraktijk zo veel mogelijk te harmoniseren met deze bestaande kaders. Naleving van BIO of ENSIA staat daarmee niet automatisch gelijk aan volledige naleving van de Cbw.
  • Eén centraal meldloket. Voor Cbw-meldingen bestaat al één centraal portaal. Daarnaast is de regering gevraagd te werken aan een breder meldloket voor meldingen uit meerdere nationale en sectorale regimes; de uitwerking daarvan volgt nog.
  • Onderzoek naar een nazorgplicht bij grote datalekken. De regering is verzocht te onderzoeken of een wettelijke nazorgplicht voor getroffen personen wenselijk en uitvoerbaar is, met rapportage aan de Kamer uiterlijk in het derde kwartaal van 2026. Een dergelijke nazorgplicht maakt op dit moment nog geen onderdeel uit van de Cyberbeveiligingswet.

Voor bepaalde overtredingen van de zorg-, meld- en bestuursverplichtingen geldt voor essentiële entiteiten een maximum van 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten bedraagt dat maximum bij die overtredingen 7 miljoen euro of 1,4%. Voor andere overtredingen kan een lager wettelijk maximum gelden.

Voor de registratie-, zorg- en meldplicht geldt geen algemene invoeringsperiode na 15 augustus 2026: deze verplichtingen gelden zodra de wet in werking treedt. Voor de kennisverplichting van bestuursleden geldt wel een specifieke termijn van twee jaar, zoals hierboven beschreven. De risico's die de wet adresseert, bestaan overigens nu al — wachten op de daadwerkelijke inwerkingtreding levert dus geen tijdwinst op, alleen tijdsdruk. Wij adviseren organisaties in de aangewezen sectoren om nu te bepalen of, en zo ja hoe, zij onder de wet vallen, of zij essentiële of belangrijke entiteit zijn, welke maatregelen voor hun risicoprofiel passend zijn, en hoe bestuur en organisatie dit aantoonbaar op orde krijgen.

Een Cbw/NIS2-scan eindigt niet bij de rapportage. De uitkomst vraagt om keuzes: welk risiconiveau accepteert de organisatie, waar prioriteer je investeringen, en welke maatregelen zijn structureel versus eenmalig. Die keuzes zijn strategisch van aard.

Lees hoe wij deze verplichting en een strategie laten samenkomen →

Bottomline om mee te beginnen:

De Wwke geldt voor uw organisatie na een aanwijzing door een minister.

De criteria, volgens de NCTV

De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) stelt dat de organisatie actief moet zijn in Nederland en haar kritieke infrastructuur zich hier bevindt, geheel of gedeeltelijk, inclusief luchtruim en territoriale wateren.

Haar activiteiten zijn noodzakelijk om een essentiële dienst te verlenen.

Een incident bij deze organisatie zou aanzienlijke verstorende effecten hebben op die dienstverlening, direct of via cascade-effecten op andere essentiële diensten.

De sectoren

Vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid, ruimtevaart, productie en distributie van levensmiddelen, meteorologie, nucleair, chemie, en waterkering en waterbeheer.

Onder andere de Rijksinspectie Digitale Infrastructuur (RDI) heeft ook Energie expliciet genoemd. Ministeries kunnen daarnaast aanvullende sectoren aanwijzen.

Het proces

Elk verantwoordelijk ministerie wijst binnen zijn sector organisaties aan. Een organisatie ontvangt eerst een brief met het voornemen tot aanwijzing, met daarin waarom en waarvoor, per post en digitaal. Na aanwijzing heeft een organisatie, uw organisatie, 9 maanden voor een risicobeoordeling en 10 maanden om aan de zorgplicht en meldplicht te voldoen. Het gaat naar schatting om zo'n 500 organisaties, tegenover ruim 8000 onder de Cbw.

Lexent voert een juridische en technische scan uit die vaststelt of, en in welke mate, uw organisatie onder de Cyberbeveiligingswet valt — direct of via de keten. Deze scan is checklist-gebaseerd en wordt door onze specialisten zelf uitgevoerd; wij zetten hier bewust geen geautomatiseerde AI voor in, omdat de juridische duiding van uw specifieke situatie geen ruimte laat voor hallucinaties. Daarnaast verzorgen wij bestuurstrainingen die aansluiten bij de kennisverplichting uit de wet, en begeleiden wij organisaties bij het inrichten van een zorgplicht die aantoonbaar past bij hun risicoprofiel.

Wilt u weten waar uw organisatie staat ten opzichte van de Cyberbeveiligingswet? Neem contact met ons op voor een vrijblijvend gesprek.

Ook als u een voornemen tot aanwijzing Wwke heeft ontvangen.