De Cyberbeveiligingswet (CBW)

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (CBW) is de Nederlandse implementatie van de Europese NIS2-richtlijn (EU 2022/2555). Deze richtlijn verplicht EU-lidstaten om strengere cybersecurityeisen op te leggen aan organisaties in vitale en belangrijke sectoren.

De CBW vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en breidt het toepassingsgebied aanzienlijk uit. Waar de Wbni zich richtte op een beperkt aantal vitale aanbieders, geldt de Cyberbeveiligingswet voor duizenden Nederlandse organisaties in 18 sectoren.

Parlementaire tijdlijn

Verplichtingen onder de CBW

De Cyberbeveiligingswet legt vier kernverplichtingen op aan organisaties die als essentiele of belangrijke entiteit worden aangemerkt:

1. Zorgplicht (risicobeheersmaatregelen)

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om cybersecurityrisico's te beheersen. Dit omvat minimaal:

• Beleid inzake risicoanalyse en beveiliging van informatiesystemen
• Incidentenbehandeling (detectie, respons, herstel)
• Bedrijfscontinuiteit, back-upbeheer en crisisbeheer
• Beveiliging van de toeleveringsketen
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen
• Beleid en procedures voor het beoordelen van de effectiviteit van maatregelen
• Basispraktijken voor cyberhygiene en opleiding
• Beleid inzake het gebruik van cryptografie en versleuteling
• Beveiligingsaspecten rond personeel, toegangsbeleid en activabeheer
• Gebruik van multifactorauthenticatie en beveiligde communicatiesystemen

2. Meldplicht

Significante incidenten moeten in drie fasen worden gemeld bij het CSIRT (Computer Security Incident Response Team):

• Binnen 24 uur: een vroegtijdige waarschuwing met een eerste indicatie of het incident vermoedelijk door onrechtmatig of kwaadwillig handelen is veroorzaakt
• Binnen 72 uur: een incidentmelding met een eerste beoordeling van de ernst en impact, inclusief indicatoren van aantasting (IoC's)
• Binnen 1 maand: een eindverslag met een gedetailleerde beschrijving van het incident, de oorzaak, de genomen maatregelen en grensoverschrijdende impact

3. Registratieplicht

Essentiele en belangrijke entiteiten moeten zich registreren bij de bevoegde autoriteit. Het NCSC (Nationaal Cyber Security Centrum) wordt de primaire toezichthouder voor essentiele entiteiten.

4. Bestuurdersaansprakelijkheid

Bestuurders zijn verplicht om de risicobeheersmaatregelen goed te keuren en toezicht te houden op de uitvoering ervan. Bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. De wet verplicht bestuurders ook om cybersecurityopleidingen te volgen.

Boetes en handhaving

De Cyberbeveiligingswet introduceert een streng handhavingsregime met gedifferentieerde boetes:

Naast boetes kan de toezichthouder bindende aanwijzingen geven, audits opleggen en in uiterste gevallen bestuurders tijdelijk schorsen van hun functie.

Sectoren onder de CBW

De Cyberbeveiligingswet geldt voor organisaties in 18 sectoren, verdeeld in essentiele (Bijlage I) en belangrijke (Bijlage II) sectoren:

Essentiele sectoren (Bijlage I - 11 sectoren)

Belangrijke sectoren (Bijlage II - 7 sectoren)

Hoger onderwijs (nationale toevoeging)

De NIS2-richtlijn biedt EU-lidstaten de keuze om het hoger onderwijs wel of niet onder de wet te laten vallen. Nederland heeft expliciet gekozen om dit wel te doen:

Universiteiten van Nederland (UNL) en de Vereniging Hogescholen hebben bezwaar aangetekend tegen het besluit, met name vanwege het ontbreken van financiele compensatie en de relatief korte voorbereidingstijd. De sector pleit voor minimaal vier jaar implementatietijd, voldoende middelen en sectorspecifieke beveiligingsnormen.

Verschil met de Wbni

De Cyberbeveiligingswet is geen opfrisbeurt van de Wbni. Het is een fundamenteel andere wet met een breder bereik:

Het CyFun-framework (CCB)

Voor de praktische invulling van NIS2-compliance wordt in de Benelux het CyFun-framework van het Belgische Centrum voor Cybersecurity (CCB) gebruikt. Dit framework biedt een gestructureerde aanpak om te toetsen of een organisatie voldoet aan de eisen van de NIS2-richtlijn.

CyFun onderscheidt vier maturiteitsniveaus (Basic, Important, Essential, en Top) en is specifiek ontworpen om NIS2-compliance meetbaar te maken. Wij gebruiken dit framework als basis voor onze quickscans en compliance-trajecten.

Wet weerbaarheid kritieke entiteiten (Wwke)

Parallel aan de Cyberbeveiligingswet heeft de Tweede Kamer ook de Wet weerbaarheid kritieke entiteiten (Wwke) behandeld. Deze wet implementeert de Europese CER-richtlijn (EU 2022/2557) en richt zich op de fysieke weerbaarheid van kritieke entiteiten.

Op 19 december 2025 verzocht de Tweede Kamer om gezamenlijke behandeling van de CBW en de Wwke. Op 15 april 2026 zijn beide wetsvoorstellen gelijktijdig aangenomen. Voor organisaties die onder beide wetten vallen, betekent dit dat zowel digitale als fysieke weerbaarheid aantoonbaar op orde moet zijn.

Wat moet je nu doen?

De Cyberbeveiligingswet is nog niet aangenomen, maar dat is geen reden om af te wachten. De NIS2-richtlijn stelt de inhoudelijke eisen al vast. Organisaties die nu starten, hoeven straks niet onder tijdsdruk te implementeren.

1. Bepaal of je eronder valt - Check je sector en omvang tegen de drempelwaarden. Onze NIS2 checklist helpt hierbij.
2. Voer een quickscan uit - Breng in kaart waar je staat ten opzichte van de CBW-eisen. In 2 dagen heb je een helder beeld.
3. Stel een plan op - Prioriteer de gaps en maak een realistisch implementatieplan.
4. Implementeer gefaseerd - Begin met de hoogste risico's: incidentrespons, toegangsbeheer, leveranciersbeoordeling.
5. Borg governance - Zorg dat bestuurders betrokken zijn en hun verantwoordelijkheid kennen.

Veelgestelde vragen over de CBW