Vanaf vandaag, 15 augustus 2026, gelden in Nederland de nieuwe Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten.

Voor duizenden organisaties betekent dit dat digitale en fysieke veiligheid niet langer alleen een kwestie van goed beleid is, maar ook van wettelijke verplichtingen. De overheid wil hiermee voorkomen dat een cyberaanval, sabotage, extreem weer of een andere verstoring grote gevolgen heeft voor essentiële diensten. Voor bedrijven en organisaties die onder de nieuwe regels vallen, is het dus tijd om de beveiliging serieus onder de loep te nemen.

Cyberbeveiligingswet moet Nederland digitaal sterker maken

De Cyberbeveiligingswet, kortweg Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De nieuwe wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en richt zich op organisaties die essentiële of belangrijke diensten leveren.

Daarbij gaat het om maar liefst 18 sectoren. Denk bijvoorbeeld aan energie, drinkwater, gezondheidszorg, vervoer, digitale infrastructuur en overheidsdiensten. Ook andere sectoren kunnen onder de wet vallen. Organisaties moeten zelf beoordelen of zij onder de Cyberbeveiligingswet vallen.

Dat maakt de nieuwe wet interessant én een beetje spannend voor bestuurders. Het is namelijk niet voldoende om ergens een antivirusprogramma te hebben draaien en te hopen dat het goed komt. Cyberveiligheid vraagt om een structurele aanpak waarbij risico’s worden vastgesteld en passende maatregelen worden genomen.

Bestuur krijgt meer verantwoordelijkheid

Een belangrijk onderdeel van de Cyberbeveiligingswet is de verantwoordelijkheid van het bestuur. Bestuurders moeten de maatregelen die nodig zijn voor de zorgplicht goedkeuren en toezicht houden op de uitvoering daarvan.

Ook moeten bestuurders voldoende kennis hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen. Daar hoort een passende training bij. Cybersecurity wordt daarmee steeds meer een onderwerp dat niet alleen bij de systeembeheerder of IT-afdeling op het bureau ligt.

Voor organisaties betekent dit in de praktijk dat digitale veiligheid hoger op de agenda komt te staan. Een gehackte computer is vervelend, maar een aanval waardoor bijvoorbeeld een ziekenhuis, energievoorziening of digitaal netwerk langere tijd uitvalt, kan veel grotere gevolgen hebben.

Wet weerbaarheid kritieke entiteiten

Naast de Cyberbeveiligingswet gaat vandaag ook de Wet weerbaarheid kritieke entiteiten, oftewel Wwke, in. Deze wet richt zich op organisaties die van groot belang zijn voor het functioneren van de maatschappij.

De Wwke komt voort uit de Europese CER-richtlijn. Het doel is om kritieke organisaties beter bestand te maken tegen verschillende soorten dreigingen. Daarbij gaat het niet alleen om cyberaanvallen, maar ook om bijvoorbeeld sabotage, terroristische misdrijven, extreem weer en andere verstoringen.

Ongeveer 500 organisaties vallen onder deze wet. Het gaat onder meer om sectoren zoals energie, vervoer, drinkwater, gezondheidszorg, overheid, digitale infrastructuur, bankwezen, chemie, afvalwater, ruimtevaart, nucleaire activiteiten en voedselproductie en -distributie.

Risico’s moeten daadwerkelijk in kaart worden gebracht

Organisaties die als kritieke entiteit worden aangewezen, krijgen duidelijke verplichtingen. Zo moeten zij binnen negen maanden na hun aanwijzing een eigen risicobeoordeling uitvoeren.

Daarbij wordt gekeken welke risico’s de continuïteit van essentiële diensten kunnen bedreigen en welke gevolgen een verstoring kan hebben. Vervolgens moeten passende technische, organisatorische en fysieke maatregelen worden genomen.

Voor die maatregelen geldt een termijn van tien maanden na aanwijzing. Het gaat dus niet alleen om digitale beveiliging. Ook fysieke veiligheid en de manier waarop een organisatie is voorbereid op verstoringen spelen een belangrijke rol.

Incidenten moeten snel worden gemeld

Een andere belangrijke verandering is de meldplicht. Organisaties die onder de Wet weerbaarheid kritieke entiteiten vallen, moeten incidenten binnen 24 uur melden wanneer deze een aanzienlijke verstoring veroorzaken of kunnen veroorzaken van essentiële diensten.

Dat klinkt misschien streng, maar snelle informatie kan volgens de overheid helpen om sneller te reageren. De bevoegde autoriteit en het verantwoordelijke ministerie kunnen daardoor beter beoordelen wat er aan de hand is en waar mogelijk ondersteuning bieden.

Wat betekent dit voor bedrijven?

Voor organisaties die onder de nieuwe wetgeving vallen, begint vandaag feitelijk een nieuwe fase. Het is verstandig om eerst vast te stellen welke verplichtingen precies van toepassing zijn. Daarna kunnen risico’s, beveiligingsmaatregelen, verantwoordelijkheden en procedures worden gecontroleerd.

Een organisatie die denkt dat de IT-afdeling alles wel oplost, kan volgens de nieuwe regels van een koude kermis thuiskomen. Cybersecurity is steeds meer een zaak van het hele bedrijf. Medewerkers, bestuurders, leveranciers en IT-specialisten spelen allemaal een rol.

Ook leveranciers kunnen indirect met de nieuwe regels te maken krijgen. Een kwetsbaarheid bij een leverancier kan immers gevolgen hebben voor een organisatie die essentiële diensten levert. Goede afspraken over beveiliging en incidenten worden daardoor steeds belangrijker.

Nederland wil beter voorbereid zijn op verstoringen

De nieuwe wetgeving komt op een moment waarop digitale aanvallen en andere verstoringen steeds meer aandacht krijgen. Een samenleving die sterk afhankelijk is van internet, digitale systemen, energievoorziening, transport en communicatie is kwetsbaar wanneer belangrijke systemen uitvallen.

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten moeten daarom bijdragen aan een weerbaarder Nederland. Het uitgangspunt is simpel: problemen helemaal voorkomen lukt waarschijnlijk nooit, maar organisaties kunnen zich wel beter voorbereiden op een aanval of andere verstoring.

Voor de gemiddelde Nederlander verandert er vandaag misschien weinig zichtbaar. De computer gaat gewoon aan, de kraan blijft water geven en de supermarkt is gewoon open. Achter de schermen verandert er echter behoorlijk wat. Duizenden organisaties krijgen nieuwe verantwoordelijkheden en moeten aantoonbaar werk maken van digitale en fysieke weerbaarheid.

De boodschap van de overheid is dan ook duidelijk: wachten tot het misgaat is geen strategie meer. Met de nieuwe cyberwetten wordt preventie een wettelijke verantwoordelijkheid.