De Cyberbeveiligingswet is sinds afgelopen weekend, zaterdag 15 augustus, van kracht. Ruim achtduizend Nederlandse organisaties moeten zich registreren, incidenten melden en passende securitymaatregelen nemen. Tegelijk trad de Wet weerbaarheid kritieke entiteiten in werking, die voor ongeveer 500 organisaties geldt.
Nederland heeft de NIS2-richtlijn eindelijk in nationale wetgeving omgezet. De Cyberbeveiligingswet (Cbw) vervangt de Wet beveiliging netwerk- en informatiesystemen en geldt voor organisaties die essentiële of belangrijke diensten leveren in achttien sectoren. Daarbij moet gedacht worden aan onder andere energie, overheid, drinkwater, digitale infrastructuur, gezondheidszorg, onderzoek en vervoer.
Wie zijn die 8.000 organisaties?
De forse toename ten opzichte van de oude wetgeving zit in de combinatie van sector en bedrijfsgrootte. Waar voorheen alleen klassieke vitale infrastructuur onder toezicht stond, geldt de wet nu in principe voor alle middelgrote en grote ondernemingen (vanaf 50 medewerkers of minimaal 10 miljoen euro jaaromzet) binnen achttien sectoren.
Hierdoor vallen nu ook tal van reguliere bedrijven onder het regime, zoals partijen in de maakindustrie, voedselproductie en groothandel, afvalverwerking, post- en koeriersdiensten en digitale dienstverleners zoals SaaS-leveranciers en datacenters. Daarnaast raakt de wet indirect duizenden kleinere toeleveranciers. Door de wettelijke ketenzorgplicht stellen gereguleerde partijen strengere beveiligingseisen aan hun leveranciers en IT-partners, ongeacht hun omvang.
Die inwerkingtreding kwam er met flinke vertraging. Nederland haalde de oorspronkelijke EU-deadline van 17 oktober 2024 niet en de invoering werd meerdere keren uitgesteld. In mei 2025 stuurde de Europese Commissie een advies naar negentien lidstaten, waaronder Nederland, wegens onvolledige omzetting. De Tweede Kamer stemde eerder dit jaar in met beide wetsvoorstellen, waarbij enkele bepalingen al eerder golden.
Vier verplichtingen op een rij
Organisaties moeten zich registreren in het nationaal entiteitenregister, dat het NCSC beheert. Na registratie kunnen ze gebruikmaken van de dienstverlening van het NCSC of het CSIRT dat voor hun sector is aangewezen, inclusief informatie over cyberdreigingen en bijstand bij incidenten.
Daarnaast geldt een zorgplicht, waarbij passende en evenredige maatregelen worden genomen om risico’s voor netwerk- en informatiesystemen te beheersen. Significante incidenten moeten binnen de wettelijke termijnen worden gemeld bij het CSIRT en de bevoegde autoriteit, via het meldportaal van het NCSC. De drempelwaarden voor wat ‘significant’ is, staan in ministeriële regelingen en verschillen per sector.
Opvallend is de rol van het bestuur. Bestuurders moeten de zorgplichtmaatregelen goedkeuren, toezien op uitvoering en voldoende kennis hebben om risico’s te beoordelen. Daarvoor is een passende training verplicht. Organisaties bepalen zelf of ze onder de wet vallen, waarbij een zelfevaluatietool moet helpen.
Lees ook: Zorgplicht Cyberbeveiligingswet begint bij risicoanalyse
Toezichthouders controleren de naleving. Voor essentiële entiteiten kan de boete oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Voor belangrijke entiteiten is dat maximaal 7 miljoen euro of 1,4 procent, waarbij het hoogste bedrag geldt.
Ook fysieke weerbaarheid
De Wet weerbaarheid kritieke entiteiten (Wwke) implementeert de Europese CER-richtlijn en richt zich op sabotage, terrorisme, extreem weer en andere verstoringen. Ongeveer 500 organisaties worden door hun vakministerie aangewezen als kritieke entiteit. Zij moeten binnen negen maanden een risicobeoordeling uitvoeren, binnen tien maanden maatregelen hebben getroffen en incidenten binnen 24 uur melden.
Minister David van Weel van Justitie en Veiligheid roept organisaties op zich te registreren waar dat verplicht is. “Digitale aanvallen, sabotage en andere verstoringen kunnen grote gevolgen hebben voor onze samenleving”, aldus de minister.