Cybersecurity Cwb/NIS2 compliance scan

Q: Heeft uw organisatie vastgesteld of zij actief is in een van de sectoren die onder de Cyberbeveiligingswet vallen?

De Cbw geldt voor achttien aangewezen sectoren, waaronder energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, financiële diensten en overheid. Valt u er niet rechtstreeks onder, dan kunt u alsnog indirect worden geraakt: steeds meer organisaties in die sectoren stellen cybersecurityeisen aan hun leveranciers en toeleveranciers. De ketendruk is daarmee ook voor niet-verplichte organisaties een reële factor.

Dit is indicatief, de exacte criteria liggen gecompliceerder.

Q: Heeft uw organisatie meer dan 50 medewerkers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro, of levert u aan organisaties die daar wel aan voldoen?

Boven die drempelwaarden valt u automatisch onder de Cbw als essentiële of belangrijke entiteit. Kleinere organisaties vallen er in principe buiten, maar kunnen alsnog worden aangewezen als zij een kritieke rol in een keten vervullen. Voor overheidsorganisaties gelden de omvangsdrempels niet: gemeenten, provincies, waterschappen en rijksdiensten vallen ongeacht hun omvang onder de wet. Ook zonder directe verplichting geldt: als uw klanten onder de Cbw vallen, zullen zij u als leverancier steeds vaker op uw cybersecuritymaatregelen aanspreken.

Dit is indicatief, de exacte criteria liggen gecompliceerder.

Q: Heeft uw organisatie zich geregistreerd bij het NCSC, of bereidt u zich voor op de registratieplicht?

Registratie is verplicht vanaf 15 augustus 2026, de datum waarop de Cbw in werking treedt (aangenomen door de Eerste Kamer op 7 juli 2026). Er geldt geen overgangsperiode: vanaf die dag moet u geregistreerd zijn. Vrijwillige, vroegtijdige registratie is al mogelijk via mijn.ncsc.nl en geeft toegang tot sectorspecifieke dreigingsinformatie van het NCSC. Overheidsorganisaties die al zijn opgenomen in het Register voor Overheidsorganisaties (ROO) kunnen gebruikmaken van een koppeling met het NCSC-portaal.

Q: Heeft u een gedocumenteerde risicobeoordeling voor uw netwerk- en informatiesystemen?

De zorgplicht onder de Cbw (die de Wbni gaat vervangen) vereist dat alle maatregelen zijn gebaseerd op een aantoonbare risicoanalyse. Een bestaand ISO 27001-, NEN 7510- of BIO-kader kan hiervoor als basis dienen, maar vervangt de vereiste risicobeoordeling niet.

Q: Heeft u op elk van de tien zorgplichtgebieden van de Cbw maatregelen getroffen die u kunt aantonen?

De Cbw benoemt tien verplichte gebieden, waaronder toegangsbeheer, versleuteling, back-upbeleid, patchbeheer, beveiliging van de toeleveringsketen en incidentrespons [hier de volledige lijst]. Ontheffing van afzonderlijke gebieden is niet mogelijk; u moet op elk gebied iets kunnen laten zien. De precieze invulling is risicogebaseerd en afhankelijk van uw sector en omvang. Verwerkt u persoonsgegevens, dan geldt daarnaast artikel 32 AVG, dat onafhankelijk van de Cbw passende technische en organisatorische beveiliging vereist. De twee verplichtingen liggen inhoudelijk dicht bij elkaar, maar kennen een andere grondslag en een andere toezichthouder.

Q: Heeft u cybersecurityeisen gesteld aan uw leveranciers en ziet u toe op naleving daarvan?

Supply chain-beveiliging is een expliciete verplichting onder de Cbw. Een incident bij een leverancier kan uw eigen meldplicht activeren. Omgekeerd: als uw klanten onder de Cbw vallen, zullen zij u als toeleverancier contractueel aanspreken op uw beveiligingsniveau. Dit maakt ketenbeveiliging relevant voor vrijwel elke organisatie die zakelijk opereert in of rondom aangewezen sectoren.

Q: Weet u wanneer u een cyberincident moet melden, bij wie en binnen welke termijnen?

Significante incidenten moeten gelaagd worden gemeld: een vroegtijdige waarschuwing binnen 24 uur, gevolgd door een formele melding binnen 72 uur en een eindverslag binnen een maand. Dit regime geldt nu onder de Wet beveiliging netwerk- en informatiesystemen (Wbni). Vanaf 15 augustus 2026 verankert de Cyberbeveiligingswet (Cbw) deze termijnen explicieter in de wet en vergroot zij de reikwijdte aanzienlijk: waar de Wbni alleen gold voor aangewezen essentiële dienstverleners, geldt de Cbw automatisch voor alle essentiële en belangrijke entiteiten in achttien aangewezen sectoren.

Voor veel organisaties is de meldplicht daarmee nieuw (zie de Cbw lijst).

Bij een cyberincident waarbij ook persoonsgegevens zijn betrokken, moet u op twee plekken melden: een vroegtijdige waarschuwing bij het NCSC binnen 24 uur op grond van de Wbni (straks: Cbw), en een formele datalekmelding bij de Autoriteit Persoonsgegevens binnen 72 uur op grond van de AVG. Beide meldingen hebben eigen drempelcriteria en eigen formats. Een gezamenlijk intern protocol voorkomt dat een van beide wordt gemist.

Q: Is uw bestuur aantoonbaar betrokken bij cybersecurity beslissingen en beschikt het over de vereiste kennis?

De Cbw legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur. Bestuurders moeten maatregelen goedkeuren, toezien op uitvoering en beschikken over voldoende kennis om risicoafwegingen te maken. Daarvoor geldt een wettelijke verplichting voldoende kennis te verwerven en actueel te houden. Bij grove nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld, naast eventuele sancties voor de organisatie.

Overgangsnotitie: onder de huidige Wbni rust de zorgplicht op de organisatie als geheel; het bestuur wordt niet afzonderlijk geadresseerd en persoonlijke aansprakelijkheid is niet wettelijk verankerd. Deze verplichting treedt per 15 augustus 2026 in werking met de Cbw, zonder overgangsperiode. Een "Nee" op deze vraag is dus geen huidig verzuim, maar wel een verplichting die op zeer korte termijn ingaat en waarvoor nu voorbereiding nodig is.

Q: Voldoet uw organisatie, voor zover van toepassing, aan de aanvullende vereisten van DORA?

DORA (Digital Operational Resilience Act) is sinds januari 2025 van kracht en stelt aanvullende eisen aan digitale operationele weerbaarheid, ICT-risicobeheer, incidentrapportage en ketenbeheer. Voor financiële entiteiten geldt DORA naast de Cbw. Ook ICT-aanbieders die als kritiek zijn aangemerkt vallen onder DORA-toezicht, ongeacht of zij zelf een financiële instelling zijn.

Q: Werkt uw organisatie, voor zover van toepassing als overheidsorganisatie, met de BIO als invulling van de zorgplicht?

De Baseline Informatiebeveiliging Overheid (BIO) is voor overheden de aangewezen standaard onder de Cbw. Een BIO 2.0-implementatie vormt de erkende basis voor de zorgplicht binnen de publieke sector, maar vervangt niet alle Cbw-verplichtingen. Niet-overheidsorganisaties kunnen deze vraag overslaan.