Cyberbeveiligingswet als invulling van NIS2 per 15 augustus 2026

De Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn, treedt op 15 augustus 2026 in werking.

Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke), meldde het ministerie van Justitie en Veiligheid diezelfde dag. Vanaf 15 augustus gelden nieuwe verplichtingen op het gebied van cyberbeveiliging voor ruim 8.000 organisaties in Nederland. De minister van Justitie en Veiligheid riep organisaties op om tijdig aan de nieuwe verplichtingen te voldoen. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Onder de wet vallen organisaties die essentiële of belangrijke diensten verlenen, in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Organisaties zijn zelf verantwoordelijk om te toetsen of ze eronder vallen. 1 van de eerste stappen is registratie in het entiteitenregister van het NCSC via mijn.ncsc.nl, wat per 15 augustus verplicht is. Na registratie kunnen organisaties aansluiten op de dienstverlening van hun CSIRT, met producten en diensten voor hun weerbaarheid en ondersteuning bij een incident.

Daarnaast gelden een zorgplicht en een meldplicht. Organisaties nemen maatregelen om de risico's voor hun netwerk- en informatiesystemen te beheersen en om incidenten te voorkomen of de gevolgen te beperken. Significante incidenten melden ze binnen de wettelijke termijnen aan hun CSIRT en de bevoegde instantie, via het meldportaal.

Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten voldoende kennis hebben om risico's en beveiligingsmaatregelen te beoordelen en volgen daarvoor een passende training. Toezichthouders controleren of organisaties aan de verplichtingen voldoen.

De Wwke implementeert de Europese CER-richtlijn, die kritieke infrastructuur en economische activiteiten in Europa moet beschermen tegen dreigingen als terroristische misdrijven, sabotage en natuurrampen. Die wet is van toepassing op ongeveer 500 organisaties, onder meer in energie, vervoer, bankwezen, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ruimtevaart en de productie en distributie van levensmiddelen. Een organisatie valt onder die wet zodra de vakminister haar aanwijst als kritieke entiteit. Die aanwijzing gaat formeel in op 15 augustus 2026.