NIS2 in juli 2026: de Cyberbeveiligingswet krijgt een startdatum

Na de stemming van 7 juli lag de datum vast

Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Het ministerie van Justitie en Veiligheid meldde diezelfde dag dat beide wetten op 15 augustus 2026 in werking treden, zoals we beschreven in Cyberbeveiligingswet als invulling van NIS2 per 15 augustus 2026. De Cbw is de Nederlandse invulling van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Vanaf 15 augustus gelden de nieuwe verplichtingen voor ruim 8.000 organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Tussen de stemming en de inwerkingtreding lagen nog geen 6 weken. Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de wet vallen, en die vraag had in die weken als 1e een antwoord nodig.

Voor de Wwke loopt het via een andere route. Die wet implementeert de Europese CER-richtlijn en geldt voor ongeveer 500 organisaties, die eronder vallen zodra de vakminister ze aanwijst als kritieke entiteit. Bij de Cbw ligt de toets bij de organisatie zelf.

De zelfevaluatietool van de RDI geeft een 1e indruk

Hoe die toets kan uitpakken, liet de RDI zien met de resultaten van haar NIS2-zelfevaluatietool. Tussen 1 januari 2023 en 30 september 2025 werd de tool 22.800 keer anoniem geraadpleegd door organisaties uit de 9 sectoren waarop de RDI toezicht gaat houden. Bij 58 procent viel de organisatie volgens de uitkomst onder de Cyberbeveiligingswet, bij 37 procent gold de NIS2 niet.

Van de organisaties waarvoor de wet geldt, zag 22 procent zich als essentiële en 28 procent als belangrijke entiteit. Dat verschil zit in de maatschappelijke impact bij uitval en bepaalt hoe intensief het toezicht is, terwijl de verplichtingen voor beide groepen dezelfde zijn. Volgens de RDI geeft de uitkomst een 1e indruk en is ze geen definitief besluit, en de cijfers gaan alleen over organisaties die de tool gebruikten.

Bij de 5 essentiële sectoren van de RDI hoort het beheer van ICT-diensten. Een IT-partner die diensten voor klanten beheert, kan daardoor zelf onder de wet vallen en doet de toets dan ook voor de eigen organisatie.

Registratie, zorgplicht en meldplicht volgen op elkaar

Op 1 juni 2026 was registratie in het nationale entiteitenregister nog vrijwillig, omdat de wet toen nog niet in werking was. Per 15 augustus wordt registratie via mijn.ncsc.nl verplicht, en volgens het ministerie hoort die bij de 1e stappen. Na registratie kan een organisatie aansluiten op de dienstverlening van haar CSIRT, met producten en diensten voor de weerbaarheid en ondersteuning bij een incident.

Voor de meldplicht maakt die volgorde uit. Significante cyberincidenten worden volgens de RDI binnen 24 uur gemeld bij het sectorale CSIRT, en organisaties informeren ook hun afnemers; het ministerie noemt het meldportaal als route naar het CSIRT en de bevoegde instantie. Wie bij een incident nog moet uitzoeken welk CSIRT bij de organisatie hoort, heeft binnen die 24 uur weinig ruimte.

De zorgplicht vraagt passende technische, organisatorische en operationele maatregelen, onder meer voor risicomanagement, incidentdetectie, beveiliging van de toeleveringsketen, toegangsbeheer, crisisplannen en audits. Eindverantwoordelijk voor de beheersing van cyberrisico's is het bestuur. Bestuurders moeten voldoende kennis hebben om risico's en maatregelen te beoordelen en volgen daarvoor een passende training. Voor 15 augustus komt het neer op deze punten.

• Toetsen of de Cbw geldt, en of de organisatie essentieel of belangrijk is
• Registreren in het entiteitenregister via mijn.ncsc.nl
• Vastleggen welk sectoraal CSIRT bij de organisatie hoort en hoe het meldportaal werkt
• Een werkwijze om significante incidenten binnen 24 uur te melden en afnemers te informeren
• Een passende training voor bestuurders

In Brussel lag tegelijk een vereenvoudiging van NIS2 op tafel

Terwijl Nederland de wet afrondde, werkte de EU aan gerichte wijzigingen van NIS2. Het cybersecuritypakket stond op 9 juni 2026 op de agenda van de Raad van telecomministers. Een herziene Cybersecurity Act (CSA2) vormt het 1e deel; die vereenvoudigt certificeringsschema's, versterkt de rol van ENISA en introduceert een EU-breed kader voor de beveiliging van betrouwbare ICT-toeleveringsketens. Daarnaast bevat het pakket een richtlijn die bedoeld is om een deel van de NIS2-bepalingen te vereenvoudigen.

Welke bepalingen dat zijn, stond niet in het bericht. Voor de voorbereiding in juli veranderde het pakket daardoor niets, want de Cbw gaat op 15 augustus in zoals de Eerste Kamer haar aannam. Het kader voor ICT-toeleveringsketens sluit wel aan op een punt uit de zorgplicht, de beveiliging van de toeleveringsketen. Een IT-partner zit zelf in de toeleveringsketen van de klanten en komt dat punt daardoor tegen in de eigen toets en in die van de klant.

Het bericht over het pakket verwees ook naar het IOCTA-rapport dat Europol in april 2026 publiceerde. Ransomware blijft daarin een dominante dreiging in de EU, met meer dan 120 actieve ransomwaremerken die Europol in 2025 zag.

De 1e stap voor 15 augustus is per organisatie de toets of de Cbw geldt, voor de 9 sectoren van de RDI met haar zelfevaluatietool. Valt de uitkomst positief uit, dan volgt de registratie via mijn.ncsc.nl.