De Cyberbeveiligingswet (CBW)

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (CBW) is de Nederlandse implementatie van de Europese NIS2-richtlijn (EU 2022/2555). Deze richtlijn verplicht EU-lidstaten om strengere cybersecurityeisen op te leggen aan organisaties in vitale en belangrijke sectoren.

De CBW vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en breidt het toepassingsgebied aanzienlijk uit. Waar de Wbni zich richtte op een beperkt aantal vitale aanbieders, geldt de Cyberbeveiligingswet voor duizenden Nederlandse organisaties in 18 sectoren.

Parlementaire tijdlijn

Verplichtingen onder de CBW

De Cyberbeveiligingswet legt vier kernverplichtingen op aan organisaties die als essentiele of belangrijke entiteit worden aangemerkt:

1. Zorgplicht: de tien minimummaatregelen

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om cybersecurityrisico's te beheersen. De wet schrijft tien minimummaatregelen voor (artikel 21 NIS2 / overeenkomstige bepaling in de CBW). Je bent niet alleen verantwoordelijk voor je eigen beveiliging, maar ook voor de risico's die via je toeleveranciers binnenkomen:

1. Beleid inzake risicoanalyse en beveiliging van informatiesystemen
2. Incidentenbehandeling (detectie, respons, herstel)
3. Bedrijfscontinuiteit, back-upbeheer en crisisbeheer
4. Beveiliging van de toeleveringsketen (inclusief beoordeling leveranciers en ICT-dienstverleners)
5. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen
6. Beleid en procedures voor het beoordelen van de effectiviteit van maatregelen
7. Basispraktijken voor cyberhygiene en opleiding
8. Beleid inzake het gebruik van cryptografie en versleuteling
9. Beveiligingsaspecten rond personeel, toegangsbeleid en activabeheer
10. Gebruik van multifactorauthenticatie en beveiligde communicatiesystemen

2. Meldplicht

Significante incidenten moeten in drie fasen worden gemeld bij het CSIRT (Computer Security Incident Response Team):

• Binnen 24 uur: een vroegtijdige waarschuwing met een eerste indicatie of het incident vermoedelijk door onrechtmatig of kwaadwillig handelen is veroorzaakt
• Binnen 72 uur: een incidentmelding met een eerste beoordeling van de ernst en impact, inclusief indicatoren van aantasting (IoC's)
• Binnen 1 maand: een eindverslag met een gedetailleerde beschrijving van het incident, de oorzaak, de genomen maatregelen en grensoverschrijdende impact

3. Registratieplicht en toezicht

Essentiele en belangrijke entiteiten moeten zich registreren in het entiteitenregister van het NCSC, te bereiken via mijn.ncsc.nl. Twijfel je of je in scope valt, dan biedt de RDI een zelfevaluatietool op zelfevaluatie.rdi.nl. De uitkomst van die tool is geen juridisch bindend oordeel; de eindverantwoordelijkheid voor scopebepaling ligt bij de organisatie zelf.

4. Bestuurdersaansprakelijkheid en opleidingsplicht

Bestuurders zijn verplicht om de risicobeheersmaatregelen zelf goed te keuren en toezicht te houden op de uitvoering ervan. Bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. De wet legt bestuurders ook een formele opleidingsplicht op: voldoende basiskennis over cyberrisico's en de getroffen maatregelen. Cybersecurity is hiermee verschoven van IT-dossier naar bestuurstaak.

Boetes en handhaving

De Cyberbeveiligingswet introduceert een streng handhavingsregime met gedifferentieerde boetes:

Naast boetes kan de toezichthouder bindende aanwijzingen geven, audits opleggen en in uiterste gevallen bestuurders tijdelijk schorsen van hun functie.

Sectoren onder de CBW

De Cyberbeveiligingswet geldt voor organisaties in 18 sectoren, verdeeld in essentiele (Bijlage I) en belangrijke (Bijlage II) sectoren:

Essentiele sectoren (Bijlage I - 11 sectoren)

Belangrijke sectoren (Bijlage II - 7 sectoren)

Hoger onderwijs (nationale toevoeging)

De NIS2-richtlijn biedt EU-lidstaten de keuze om het hoger onderwijs wel of niet onder de wet te laten vallen. Nederland heeft expliciet gekozen om dit wel te doen:

Universiteiten van Nederland (UNL) en de Vereniging Hogescholen hebben bezwaar aangetekend tegen het besluit, met name vanwege het ontbreken van financiele compensatie en de relatief korte voorbereidingstijd. De sector pleit voor minimaal vier jaar implementatietijd, voldoende middelen en sectorspecifieke beveiligingsnormen.

Essentieel of belangrijk: onderscheid op omvang

Binnen Bijlage I bepaalt de omvang van de organisatie of je als essentieel of belangrijk wordt aangemerkt. Het onderscheid bepaalt het toezichtsregime (proactief vs reactief) en het boeteplafond.

Niet weten of je in scope valt is een risico op zich. Wie hierop wacht tot het vanzelf duidelijk wordt, begint te laat. Onze NIS2 checklist geeft een eerste indicatie; de RDI-zelfevaluatie (zelfevaluatie.rdi.nl) is de officiele tool.

Verschil met de Wbni

De Cyberbeveiligingswet is geen opfrisbeurt van de Wbni. Het is een fundamenteel andere wet met een breder bereik:

Het CyFun-framework (CCB)

Voor de praktische invulling van NIS2-compliance wordt in de Benelux het CyFun-framework van het Belgische Centrum voor Cybersecurity (CCB) gebruikt. Dit framework biedt een gestructureerde aanpak om te toetsen of een organisatie voldoet aan de eisen van de NIS2-richtlijn.

CyFun onderscheidt vier maturiteitsniveaus (Basic, Important, Essential, en Top) en is specifiek ontworpen om NIS2-compliance meetbaar te maken. Wij gebruiken dit framework als basis voor onze quickscans en compliance-trajecten.

Wet weerbaarheid kritieke entiteiten (Wwke)

Parallel aan de Cyberbeveiligingswet heeft de Tweede Kamer ook de Wet weerbaarheid kritieke entiteiten (Wwke) behandeld. Deze wet implementeert de Europese CER-richtlijn (EU 2022/2557) en richt zich op de fysieke weerbaarheid van kritieke entiteiten.

Op 19 december 2025 verzocht de Tweede Kamer om gezamenlijke behandeling van de CBW en de Wwke. Op 15 april 2026 zijn beide wetsvoorstellen gelijktijdig aangenomen. Voor organisaties die onder beide wetten vallen, betekent dit dat zowel digitale als fysieke weerbaarheid aantoonbaar op orde moet zijn.

Wat moet je nu doen?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, zonder overgangs- of gedoogperiode. Vanaf die dag gelden zorgplicht, meldplicht en registratieplicht direct. Implementatie kost typisch 6 tot 12 maanden - dus starten is nu de enige realistische route.

1. Bepaal of je eronder valt - Check je sector en omvang tegen de drempelwaarden. Onze NIS2 checklist helpt hierbij.
2. Voer een quickscan uit - Breng in kaart waar je staat ten opzichte van de CBW-eisen. In 2 dagen heb je een helder beeld.
3. Stel een plan op - Prioriteer de gaps en maak een realistisch implementatieplan.
4. Implementeer gefaseerd - Begin met de hoogste risico's: incidentrespons, toegangsbeheer, leveranciersbeoordeling.
5. Borg governance - Zorg dat bestuurders betrokken zijn en hun verantwoordelijkheid kennen.

Veelgestelde vragen over de CBW