De Cyberbeveiligingswet is in Nederland nog niet officieel van kracht, maar de invoering wordt verwacht rond medio 2026. De wet is de Nederlandse vertaling van de Europese NIS2-richtlijn, die al in oktober 2024 van kracht had moeten zijn. Nederland loopt achter op het implementatieschema, maar de richting is duidelijk: de wet komt eraan, en bedrijven in tientallen sectoren krijgen ermee te maken. In dit artikel beantwoorden we de meest gestelde vragen over de timing, de gevolgen en de eerste stappen die je als MKB-bedrijf kunt zetten.
Is de Cyberbeveiligingswet al van kracht in Nederland?
Nee, de Cyberbeveiligingswet is in 2026 nog niet officieel van kracht in Nederland. De Europese NIS2-richtlijn had uiterlijk 17 oktober 2024 omgezet moeten zijn in nationale wetgeving, maar Nederland heeft die deadline niet gehaald. Het wetsvoorstel ligt momenteel bij de Tweede Kamer en wordt naar verwachting in de loop van 2026 aangenomen.
Dat Nederland de Europese deadline heeft gemist, betekent niet dat bedrijven achterover kunnen leunen. De Europese Commissie kan lidstaten die te laat zijn aanspreken, en zodra de wet eenmaal wordt aangenomen, geldt er geen ruime overgangstermijn meer. Bedrijven die nu beginnen, hebben een voorsprong. Bedrijven die wachten, lopen straks achter de feiten aan.
Bovendien geldt de NIS2-richtlijn zelf al als Europees recht. Dat betekent dat de inhoudelijke verplichtingen die erin staan al de richting aangeven waar de Nederlandse wet op uit zal komen. Wie de richtlijn als leidraad neemt, bereidt zich al op de juiste manier voor.
Wanneer verwacht Nederland de Cyberbeveiligingswet in te voeren?
| Afspraak maken |
De meest realistische verwachting is dat de Cyberbeveiligingswet in Nederland in de tweede helft van 2026 in werking treedt. Het wetsvoorstel doorloopt momenteel het parlementaire traject. Na aanname door de Tweede Kamer volgt nog behandeling door de Eerste Kamer, waarna publicatie in het Staatsblad en inwerkingtreding volgen.
Een exacte datum is niet te geven, want wetgevingsprocessen kennen vertragingen. Wat wel zeker is: de politieke wil om de wet door te voeren is aanwezig, en de druk vanuit Europa neemt toe. Reken erop dat de wet er in 2026 komt, mogelijk eerder dan je denkt.
Voor MKB-bedrijven is dit relevant omdat de wet na inwerkingtreding direct van kracht is. Er is geen ruime aanlooptijd zoals bij sommige andere wetgeving. Wie dan nog niets heeft gedaan, staat meteen onder toezicht van de bevoegde autoriteiten.
Wat gebeurt er als mijn bedrijf niet op tijd compliant is?
Bedrijven die niet voldoen aan de Cyberbeveiligingswet riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bovendien legt de wet de verantwoordelijkheid expliciet bij het management: bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten de juiste maatregelen te treffen.
Naast financiële sancties zijn er ook operationele risico’s. Toezichthouders krijgen de bevoegdheid om bedrijven te verplichten bepaalde activiteiten te staken totdat ze aan de eisen voldoen. Dat kan betekenen dat je tijdelijk geen diensten mag leveren aan opdrachtgevers in kritieke sectoren.
Een risico dat veel MKB-bedrijven onderschatten, is de ketenverantwoordelijkheid. Grote opdrachtgevers in sectoren zoals zorg, transport en overheid zijn zelf ook NIS2-plichtig en moeten aantonen dat hun leveranciers veilig werken. Wie geen compliance kan aantonen, verliest contracten. Dat is voor veel bedrijven een grotere directe bedreiging dan een boete.
Welke sectoren moeten nu al beginnen met de Cyberbeveiligingswet?
Bedrijven in de volgende sectoren moeten nu al beginnen met de voorbereiding op de Cyberbeveiligingswet: zorg, transport en logistiek, voedselproductie en -distributie, maakindustrie, afvalbeheer, digitale dienstverlening en zakelijke dienstverlening in de keten van essentiële bedrijven. De wet onderscheidt twee categorieën: essentiële entiteiten en belangrijke entiteiten, met verschillende eisen per categorie.
De grens ligt bij bedrijven met minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Kleinere bedrijven vallen in principe buiten de scope, tenzij ze een kritieke rol spelen in een sector of keten. De zelfevaluatietools van de overheid geven een eerste indicatie, maar geen definitief antwoord.
Twijfel je of jouw bedrijf onder de wet valt? Dat is begrijpelijk, want de sectoromschrijvingen zijn breed en de grensgevallen zijn talrijk. Een security baseline assessment geeft snel inzicht in waar je staat en of de wet op jou van toepassing is. Wachten op duidelijkheid is geen strategie: als de wet eenmaal van kracht is, ben je al te laat om dan nog te beginnen.
Hoe lang duurt het om compliant te worden aan de Cyberbeveiligingswet?
| Afspraak maken |
De doorlooptijd om compliant te worden aan de Cyberbeveiligingswet varieert, maar reken voor een gemiddeld MKB-bedrijf op drie tot zes maanden voor de technische en organisatorische basismaatregelen. Een volledige implementatie inclusief beleidsdocumentatie, medewerkerstraining en ketenafspraken kan zes tot twaalf maanden in beslag nemen, afhankelijk van de huidige situatie.
De doorlooptijd hangt af van meerdere factoren: hoe volwassen je huidige beveiliging is, hoe groot de organisatie is en hoeveel capaciteit er intern beschikbaar is voor het traject. Bedrijven die al werken met een gestructureerde aanpak rondom informatiebeveiliging, zoals het ISO 27001-raamwerk, hebben een aanzienlijke voorsprong.
Het goede nieuws: je hoeft niet alles tegelijk te doen. Een gefaseerde aanpak werkt beter dan proberen alles in één keer te regelen. Begin met een nulmeting om te weten waar de grootste risico’s zitten, pak die als eerste aan en bouw van daaruit verder. Zo lever je direct aantoonbare voortgang, ook als het totale traject nog loopt.
Wat is de eerste stap om te starten met de Cyberbeveiligingswet?
De eerste stap is een nulmeting: een objectieve beoordeling van waar je organisatie nu staat op het gebied van informatiebeveiliging, en wat het verschil is met wat de Cyberbeveiligingswet vereist. Zonder dat inzicht weet je niet wat je moet aanpakken, hoeveel tijd het kost en wat het gaat kosten.
TCA biedt een gratis online assessment waarmee je binnen 48 uur een persoonlijk rapport ontvangt. Dat rapport laat zien welke maatregelen al op orde zijn, waar de grootste risico’s zitten en wat de prioriteiten zijn voor de volgende stap. Zo begin je met feiten in plaats van aannames.
Na de nulmeting volgt een concreet stappenplan: technische maatregelen zoals endpoint protection, netwerksegmentatie en back-upbeleid, maar ook organisatorische zaken zoals een incidentresponseprocedure en meldplichtprotocollen. TCA werkt hierbij op basis van het ISO 27001-raamwerk, de internationale norm voor informatiebeveiliging. Die certificering draagt TCA zelf al sinds 2017, wat aantoont dat de aanpak niet theoretisch is maar in de praktijk werkt.
Wil je weten hoe TCA MKB-bedrijven begeleidt van eerste securitycheck tot doorlopende compliance? Lees meer over wie TCA is en hoe ze werken als managed IT-partner. Of ga direct naar de security diensten van TCA voor een overzicht van wat er mogelijk is. De Cyberbeveiligingswet komt eraan: de enige verkeerde stap is geen stap zetten.