De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. Volgens het NCSC gaat het om ruim 8.000 organisaties die essentiële of belangrijke diensten leveren. Zij hebben een zorgplicht, een meldplicht en een registratieplicht. Val je er zelf niet onder, dan kan het je toch raken: klanten die onder de wet vallen, stellen vaker eisen aan de beveiliging van hun leveranciers.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet, afgekort Cbw, is de Nederlandse wet die de Europese NIS2-richtlijn invoert. Het doel is dat organisaties die belangrijk zijn voor de samenleving en economie zich beter beschermen tegen digitale aanvallen. Volgens de Rijksoverheid is de wet op 15 augustus 2026 van kracht geworden.
Het Nationaal Cyber Security Centrum (NCSC) spreekt over ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen. Dat is een veel grotere groep dan onder de oude wet.
Hoe weet je of je eronder valt?
Of je onder de wet valt, hangt vooral af van je sector en je omvang. Je moet het zelf nagaan. Het NCSC wijst erop dat de omvang niet altijd doorslaggevend is: sommige soorten organisaties vallen er altijd onder, ongeacht hun grootte, zoals aanbieders van openbare elektronische communicatienetwerken en DNS-dienstverleners.
Begin bij de informatie van het NCSC over de Cyberbeveiligingswet. Daar staat welke sectoren onder de wet vallen en hoe je het voor jouw organisatie controleert. Twijfel je, vraag het dan na bij je brancheorganisatie of een specialist.
Welke plichten heb je als je eronder valt?
| Plicht | Wat houdt het in? |
|---|---|
| Zorgplicht | Zelf je risico's in kaart brengen en passende beveiligingsmaatregelen nemen. Het bestuur keurt die maatregelen goed. |
| Meldplicht | Significante incidenten melden via MijnNCSC, in stappen: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. |
| Registratieplicht | Je organisatie registreren in het entiteitenregister via MijnNCSC en wijzigingen actueel houden. |
De termijnen voor de meldplicht staan op de meldplicht-pagina van het NCSC. Een melding gaat daar automatisch door naar het juiste team en de toezichthouder.
Wat als je levert aan een bedrijf dat eronder valt?
Ook als je zelf niet onder de wet valt, kun je ermee te maken krijgen. Organisaties die onder de Cbw vallen, moeten ook kijken naar de risico's in hun keten. Daardoor vragen zij steeds vaker aan leveranciers hoe die hun beveiliging hebben geregeld.
Denk als installateur aan een klant in de zorg of energie, of als adviseur aan een grotere zakelijke relatie. Die kan je vragen om een vragenlijst in te vullen of afspraken over beveiliging in een contract te zetten. Wie de basis al op orde heeft, kan die vragen snel beantwoorden. Dat kan zelfs een voordeel zijn bij een offerte.
Draait je website nog op WordPress met veel plug-ins? Dan is bijhouden van updates extra belangrijk. Lees WordPress of een statische website.
AI en automatisering, veilig ingericht
GrowthMaster bouwt AI-assistenten en klantsystemen met eigen accounts per gebruiker, tweestapsverificatie en duidelijke afspraken over gegevens, zodat je een vragenlijst van een klant met een gerust hart invult.
Bekijk AI-automatisering →Wat vraagt een klant je dan concreet?
Als een zakelijke klant onder de wet valt, kan hij jou als leverancier een vragenlijst sturen. De vragen verschillen per klant, maar gaan vaak over dezelfde onderwerpen:
| Onderwerp | Voorbeeld van een vraag |
|---|---|
| Toegang | Wie in je bedrijf heeft toegang tot onze gegevens of systemen? |
| Accounts | Gebruik je tweestapsverificatie op e-mail en belangrijke systemen? |
| Updates | Hoe zorg je dat software en apparaten up-to-date zijn? |
| Back-ups | Maak je back-ups en test je of je ze terug kunt zetten? |
| Incidenten | Wat doe je als je gehackt wordt, en hoe snel laat je het ons weten? |
Kun je die vragen met "ja, zo doen we dat" beantwoorden, dan ben je een betrouwbare leverancier. Lukt dat nog niet, dan weet je meteen waar je moet beginnen.
Een incidentenplan op één A4
Een eenvoudig plan voor als het misgaat, helpt ieder bedrijf, of je nu onder de wet valt of niet. Zet op één pagina:
- Wie bel je eerst? Je IT-leverancier of webbouwer, met telefoonnummer.
- Wat doe je meteen? Wachtwoorden wijzigen, getroffen apparaten loskoppelen, niets weggooien.
- Wie moet het weten? Klanten van wie gegevens betrokken zijn, en bij een datalek mogelijk de Autoriteit Persoonsgegevens.
- Waar staan je back-ups en hoe zet je ze terug?
- Wie houdt bij wat er gebeurt? Noteer tijden en stappen; dat heb je later nodig.
Hang het plan op een plek waar iedereen het kan vinden, ook als de computer het niet doet. Een geprinte versie in de la is geen overbodige luxe.
Welke basis regel je sowieso? Een checklist
- Tweestapsverificatie aan op e-mail, boekhouding en andere belangrijke accounts.
- Software en telefoons automatisch laten updaten.
- Back-ups van belangrijke bestanden, op een plek die los staat van je gewone systemen.
- Per medewerker eigen accounts, en accounts van vertrokken medewerkers direct uitzetten.
- Een kort plan: wie bel je en wat doe je als je gehackt wordt?
- Weten welke leveranciers toegang hebben tot je systemen of gegevens.
Dit zijn geen wettelijke eisen voor iedereen, maar wel maatregelen die bij vrijwel elk bedrijf de kans op schade verkleinen. Het NCSC heeft meer informatie voor organisaties die zich willen voorbereiden.
Gebruik je AI-tools of een klantsysteem? Laat ze inrichten met eigen accounts en tweestapsverificatie: bekijk AI-automatisering en een eigen klantsysteem.
Veelgestelde vragen
Sinds wanneer geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet is volgens de Rijksoverheid en het NCSC op 15 augustus 2026 van kracht geworden. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn.
Moet een klein bedrijf zich registreren bij het NCSC?
Alleen als het onder de Cyberbeveiligingswet valt. Dat hangt af van je sector en omvang, en sommige soorten organisaties vallen er altijd onder. Controleer het via de informatie van het NCSC. Val je er niet onder, dan hoef je je niet te registreren.
Binnen hoeveel tijd moet je een incident melden?
Organisaties die onder de wet vallen, melden een significant incident in stappen: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Dat gaat via MijnNCSC.
Moet ik als klein bedrijf iets doen als ik niet onder de wet val?
Wettelijk niet, maar het is verstandig. Klanten die onder de wet vallen, stellen vaker eisen aan leveranciers. Met basismaatregelen zoals tweestapsverificatie, updates, back-ups en een incidentenplan ben je goed voorbereid.
Bronnen
- Rijksoverheid: Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
- NCSC: Over de Cbw
- NCSC: Meldplicht
- NCSC: Cyberbeveiligingswet (NIS2)
- NCSC: Voldoen aan wetgeving
Kelly is al meer dan tien jaar marketingstrateeg. Ze werkte voor kleine start-ups, snelgroeiende bedrijven van meer dan 100 miljoen en merken als IKEA, TUI, Holidu, vidaXL en Johnson & Johnson, altijd met het oog op slimmere processen. Haar overtuiging: handmatig werk en opvolging kun je prima met AI opvangen, zonder dat alles door AI gedreven wordt. AI waar het tijd scheelt, een mens waar het telt.
LinkedIn
