De Cyberbeveiligingswet is van kracht: is uw organisatie er klaar voor?

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden: de Nederlandse invulling van de Europese NIS2-richtlijn. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en raakt naar schatting ruim 8.000 Nederlandse organisaties – aanzienlijk meer dan haar voorganger, die vooral op een kleine groep vitale aanbieders was gericht. Denk aan energie, drinkwater, transport, zorg, digitale infrastructuur, beheerde ICT-diensten, afvalbeheer, voedselproductie en delen van de maakindustrie, plus overheidsorganisaties. Tegelijk met de Cbw trad de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, die over fysieke weerbaarheid gaat.

De wet is geen papieren exercitie: er hoort toezicht bij, en uiteindelijk ook handhaving. Tegelijk is de kern verrassend nuchter. Het gaat niet om een dik certificeringstraject, maar om de vraag of u weet wat u in huis heeft, of u het op orde houdt en of u weet wat u doet als het misgaat.

Vier verplichtingen op hoofdlijnen

• Registratieplicht – organisaties die onder de wet vallen moeten zich registreren in het entiteitenregister, via het portaal van het NCSC. De eerste stap is dus vaststellen óf u eronder valt; dat is niet altijd vanzelfsprekend, zeker niet voor toeleveranciers.
• Zorgplicht – u moet passende technische en organisatorische maatregelen nemen op basis van een risicobeoordeling. Passend betekent: in verhouding tot uw omvang, uw risico's en de stand van de techniek.
• Meldplicht – significante cyberincidenten moeten gemeld worden bij het sectorale CSIRT én de toezichthouder: een vroegtijdige melding binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag uiterlijk een maand na de eerste melding. Die termijnen haalt u alleen als vooraf vastligt wie meldt, op basis waarvan en met welke gegevens.
• Bestuurlijke verantwoordelijkheid – het bestuur moet de maatregelen goedkeuren, erop toezien en zich erin laten bijscholen; het Cyberbeveiligingsbesluit werkt die trainingsplicht voor bestuurders verder uit. Cybersecurity is daarmee expliciet geen onderwerp meer dat volledig bij "de ICT" belegd kan worden.

De keten telt mee

Nieuw en belangrijk is de nadruk op beveiliging van de toeleveringsketen. Organisaties moeten niet alleen naar hun eigen omgeving kijken, maar ook naar de leveranciers en dienstverleners die toegang hebben tot hun systemen of daar een rol in spelen. Een goed beveiligde organisatie met een slecht beveiligde beheerpartij of softwareleverancier is nog steeds kwetsbaar.

Daar zit meteen het effect dat verder reikt dan de wet zelf: ook wanneer uw organisatie niet rechtstreeks onder de Cyberbeveiligingswet valt, kunnen opdrachtgevers of ketenpartners hogere beveiligingseisen gaan stellen. Vragenlijsten bij aanbestedingen, contractuele eisen over patchbeleid en hersteltijden, bewijs dat back-ups getest worden – dat is precies de kant die het op gaat. Digitale weerbaarheid wordt steeds minder vrijblijvend.

Cybersecurity is meer dan een firewall

In de praktijk zien wij dat het zelden misgaat op het ontbreken van een firewall of virusscanner. Het gaat mis op de onderdelen die minder zichtbaar zijn:

• Patchmanagement – worden servers, werkplekken en netwerkapparatuur structureel bijgewerkt, of alleen als er tijd over is?
• Back-ups en herstelprocedures – een back-up die nooit is teruggezet, is een aanname. Getest herstel is een maatregel.
• Toegangsbeheer – wie heeft beheerrechten, wie zou ze niet meer mogen hebben, en staat er meervoudige verificatie (2FA/MFA) op de belangrijke ingangen?
• Monitoring en logging – zou u het merken als er iets gebeurt, en kunt u achteraf reconstrueren wat er gebeurde?
• Documentatie – een actueel overzicht van systemen, koppelingen en leveranciers is de basis onder elke risicobeoordeling én onder een snelle melding.
• Servers en werkplekken – verouderde besturingssystemen zonder beveiligingsupdates zijn een risico dat met de wet in de hand lastiger te negeren wordt.

Begin klein, maar begin

De overheid benadrukt zelf dat organisaties eerst moeten vaststellen of zij onder de wet vallen en, als dat zo is, maatregelen moeten treffen en zich moeten registreren. Voor veel organisaties is de eerste stap eenvoudiger dan gedacht: breng in kaart wat u heeft, wie erbij kan, wat er gebeurt als het uitvalt en hoe lang herstel duurt. Uit die inventarisatie rolt vanzelf een lijst met maatregelen die op volgorde van risico aangepakt kan worden.

Hoe digitaal weerbaar is uw organisatie?

Apptimate kan organisaties ondersteunen bij het praktisch beoordelen en verbeteren van hun ICT-omgeving – bijvoorbeeld op het gebied van server- en werkplekbeheer, Linux- en Windows-beheer, back-up & recovery, toegangsbeveiliging en continuïteit. Geen dik rapport, maar een concreet beeld van waar u staat en welke stappen het meeste opleveren.

Wilt u weten hoe uw omgeving ervoor staat? Neem contact met ons op voor een vrijblijvend gesprek.

Meer informatie over de wet zelf vindt u bij Digitale Overheid en het NCSC.