Cyber­beveiligings­wet van kracht: wat moet je nu doen?

Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001 · LinkedIn
oktober 2026 · leestijd 4 minuten

De Cyberbeveiligingswet (Cbw) is de Nederlandse invulling van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Tegelijk met de Cbw is de Wet weerbaarheid kritieke entiteiten in werking getreden. Veel organisaties vragen zich af waar ze moeten beginnen. Deze vijf stappen helpen.

1. Stel vast of je eronder valt

De wet geldt voor essentiële en belangrijke entiteiten in 18 sectoren. In de regel gaat het om middelgrote en grote organisaties, maar sommige organisaties vallen er ongeacht hun omvang onder. Je moet dit zelf vaststellen. Leg de onderbouwing vast, ook als de conclusie is dat je er niet onder valt.

2. Registreer je bij het NCSC

Organisaties die onder de wet vallen, registreren zich in het nationale entiteitenregister via het portaal van het NCSC. Een algemene overgangstermijn is er niet.

3. Betrek het bestuur

Het bestuur keurt de beveiligingsmaatregelen goed en houdt toezicht op de uitvoering. Bestuurders moeten voldoende kennis hebben en een passende training volgen; daarvoor geldt een termijn van twee jaar.

4. Maak een gap-analyse tegen de zorgplicht

De zorgplicht vraagt passende en evenredige maatregelen voor je netwerk- en informatiesystemen, inclusief je toeleveringsketen. ISO 27001 en, voor de overheid, de BIO2 zijn een goede kapstok. Een volwassenheidsscan geeft je snel een eerste beeld.

5. Richt de meldplicht in

Significante incidenten meld je in stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk een maand later. Dat haal je alleen met een procedure die bekend is en is geoefend.