De Cyberbeveiligingswet gaat naar verwachting medio 2026 in Nederland van kracht. De wet is de nationale implementatie van de Europese NIS2-richtlijn, die al in oktober 2024 van kracht had moeten zijn, maar vertraging heeft opgelopen in het Nederlandse wetgevingsproces. Voor bedrijven in tientallen sectoren betekent dit dat de tijd om te beginnen met voorbereidingen nu is, niet pas als de wet officieel gepubliceerd wordt.
In dit artikel beantwoorden we de meest gestelde vragen over de Cyberbeveiligingswet: van de status van de wet en wie eronder valt, tot wat je concreet moet doen en wat de gevolgen zijn als je niets doet.
Is de Cyberbeveiligingswet al aangenomen in Nederland?
Nee, de Cyberbeveiligingswet is op het moment van schrijven (2026) nog niet definitief aangenomen in Nederland. Het wetsvoorstel is in behandeling bij de Tweede Kamer en bevindt zich in de afrondende fase van het wetgevingsproces. De inwerkingtreding wordt verwacht rond medio 2026, maar een exacte datum is nog niet officieel vastgesteld.
De vertraging heeft een achtergrond: de Europese NIS2-richtlijn had al op 17 oktober 2024 in nationale wetgeving omgezet moeten zijn door alle EU-lidstaten. Nederland liep daarin achter, net als een groot aantal andere lidstaten. De inhoudelijke eisen van NIS2 zijn echter al lang bekend en veranderen niet meer wezenlijk. Bedrijven die wachten op de officiële publicatiedatum, lopen het risico direct non-compliant te zijn zodra de wet van kracht wordt.
Het is dus geen reden om af te wachten. De richting staat vast, de eisen zijn duidelijk en de toezichthouders bereiden zich voor. TCA helpt organisaties al in deze aanloopfase met een concrete nulmeting, zodat je weet waar je staat voordat de wet je verplicht.
Welke bedrijven moeten zich houden aan de Cyberbeveiligingswet?
| Afspraak maken |
De Cyberbeveiligingswet geldt voor middelgrote en grote organisaties in sectoren die als essentieel of belangrijk worden aangemerkt. Concreet gaat het om bedrijven met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro, actief in sectoren zoals zorg, transport en logistiek, voedselproductie, energie, afvalbeheer, digitale infrastructuur en maakindustrie.
De wet maakt onderscheid tussen twee categorieën:
- Essentiële entiteiten: grote organisaties in kritieke sectoren zoals energie, drinkwater, gezondheidszorg en digitale infrastructuur. Zij vallen onder het zwaarste toezichtregime.
- Belangrijke entiteiten: middelgrote organisaties in een bredere set sectoren, waaronder transport, voedsel, post en chemie. Zij worden achteraf gecontroleerd, maar de verplichtingen zijn vergelijkbaar.
Een veelgemaakte fout is denken dat de wet alleen voor grote corporaties geldt. Ook een regionaal transportbedrijf met 60 medewerkers, een zorginstelling met 80 fte of een productiebedrijf dat levert aan essentiële sectoren kan er gewoon onder vallen. Bovendien speelt ketenverantwoordelijkheid een steeds grotere rol: opdrachtgevers in essentiële sectoren gaan compliance eisen van hun toeleveranciers, ook als die formeel buiten de directe reikwijdte van de wet vallen.
Twijfel je of jouw organisatie onder de Cyberbeveiligingswet valt? Een gratis securitycheck geeft binnen 48 uur inzicht in jouw situatie.
Wat zijn de gevolgen als je niet voldoet aan de Cyberbeveiligingswet?
De gevolgen van non-compliance zijn aanzienlijk. Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de omzet. Naast financiële sancties kan de toezichthouder ook operationele maatregelen opleggen.
Maar de financiële risico’s zijn niet het enige wat telt. De Cyberbeveiligingswet introduceert ook persoonlijke aansprakelijkheid voor bestuurders. Als een incident plaatsvindt en blijkt dat het management onvoldoende maatregelen heeft genomen of niet adequaat heeft gehandeld, kunnen individuele leidinggevenden persoonlijk aansprakelijk worden gesteld. Dit is een fundamentele verschuiving ten opzichte van de oude situatie, waarbij IT-verantwoordelijkheid impliciet bij de afdeling lag.
Daarnaast is er een commercieel risico dat vaak wordt onderschat: opdrachtgevers in essentiële sectoren zullen compliance steeds vaker als contractvoorwaarde stellen. Wie niet kan aantonen dat zijn organisatie aan de eisen voldoet, verliest opdrachten. Dat is geen theorie, het is al gaande in sectoren als zorg en overheid.
Wat moet je concreet doen om te voldoen aan de Cyberbeveiligingswet?
Om te voldoen aan de Cyberbeveiligingswet moet je organisatie aantoonbare maatregelen treffen op het gebied van risicobeheer, technische beveiliging, incidentmelding en ketenverantwoordelijkheid. De wet schrijft geen specifieke technische oplossingen voor, maar verlangt wel dat je kunt bewijzen dat je de risico’s serieus neemt en beheerst.
Technische maatregelen
Op technisch vlak gaat het om een solide beveiligingsbasis: netwerksegmentatie, endpoint protection, sterk wachtwoordbeleid, multifactorauthenticatie, versleuteling van gevoelige data en een robuust back-upbeleid. Daarnaast is continue monitoring van je IT-omgeving vereist, zodat incidenten snel worden gedetecteerd. Een security baseline biedt hiervoor een gestructureerd vertrekpunt.
Organisatorische maatregelen
Naast techniek vraagt de wet om aantoonbaar beleid. Dat betekent een gedocumenteerd informatiebeveiligingsbeleid, een incidentresponseprocedure en een meldprotocol. Incidenten met significante impact moeten binnen 24 uur gemeld worden bij de bevoegde toezichthouder. Medewerkers moeten getraind zijn in het herkennen van dreigingen en het opvolgen van procedures. Ook ketenafspraken met leveranciers en verwerkers vallen hieronder.
Hoe verschilt de Cyberbeveiligingswet van de oude NIB-wetgeving?
De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni), die de eerste NIS-richtlijn implementeerde. Het verschil is groot: de oude wet gold voor een beperkte groep aanbieders van essentiële diensten en digitale dienstverleners. De nieuwe wet trekt het toepassingsbereik aanzienlijk breder en voegt nieuwe sectoren toe.
De belangrijkste verschillen op een rij:
- Breder bereik: waar de Wbni alleen de grootste spelers in een handvol sectoren raakte, valt nu een veel grotere groep middelgrote bedrijven onder de nieuwe wet.
- Strengere eisen: de beveiligingseisen zijn uitgebreider en specifieker, met expliciete aandacht voor risicobeheer in de keten.
- Bestuurdersaansprakelijkheid: de nieuwe wet legt verantwoordelijkheid expliciet bij het management, niet alleen bij de IT-afdeling.
- Hogere boetes: de maximale sancties zijn fors hoger dan onder de oude wet.
- Actieve meldplicht: incidenten moeten binnen 24 uur gemeld worden, met een volledige rapportage binnen 72 uur.
Organisaties die dachten buiten de boot te vallen omdat ze niet onder de Wbni vielen, moeten hun positie nu opnieuw beoordelen.
Wanneer moet je beginnen met de voorbereidingen?
| Afspraak maken |
Je moet nu beginnen met de voorbereidingen voor de Cyberbeveiligingswet. De wet treedt naar verwachting medio 2026 in werking en biedt geen overgangsperiode: op de dag van inwerkingtreding moet je aantoonbaar voldoen aan de eisen. Een volledige implementatie kost gemiddeld meerdere maanden, afhankelijk van de huidige volwassenheid van je beveiliging.
De logische eerste stap is een nulmeting: breng in kaart waar je organisatie nu staat op het gebied van informatiebeveiliging en waar de grootste hiaten zitten ten opzichte van de NIS2-eisen. Zonder die meting weet je niet wat er moet gebeuren en kun je geen realistische planning maken.
Vervolgens werk je toe naar een implementatieplan met concrete mijlpalen: technische maatregelen, beleidsvorming, training van medewerkers en ketenafspraken. Dit is geen eenmalig project, maar een doorlopend proces: de wet verwacht dat je beveiliging actueel blijft en dat je periodiek herbeoordeelt.
TCA begeleidt organisaties door dit hele traject, van eerste securitycheck tot doorlopende compliance. De aanpak is gebaseerd op het ISO 27001-raamwerk, een norm waarop TCA al gecertificeerd is sinds 2017. Dat betekent dat je niet alleen advies krijgt, maar een partner die de maatregelen ook daadwerkelijk implementeert en bewaakt.
Wacht niet tot de wet officieel van kracht is. Plan een gratis nulmeting in en weet binnen 48 uur waar je organisatie staat.
Gerelateerde artikelen
- Hoe stel je een effectief back-upbeleid in voor je bedrijf?
- Wat zijn de beste werkwijzen op het gebied van cyberbeveiliging?
- Wat is cybersecurity voor het mkb en waarom is het belangrijk?
- Wat moet ik als directeur weten over cybersecurity en NIS2 in 2026?
- Hoe registreer ik mijn bedrijf bij de toezichthouder voor NIS2?