Cbw, de Nederlandse NIS2
Cyberbeveiligingswet: wat de Nederlandse NIS2-wet van je vraagt
De Cyberbeveiligingswet is de Nederlandse omzetting van NIS2, aangenomen op 7 juli 2026 en in werking vanaf 15 augustus 2026, en vraagt registratie bij het NCSC, de tien maatregelen van artikel 21, en melden bij een sectoraal CSIRT. Dat is de korte versie. Hieronder staat wat elk van die drie in de praktijk betekent, wie erop toeziet, en waar de wet afwijkt van het beeld dat veel besturen van NIS2 hebben.
Kernpunt: de Cbw verandert de inhoud van NIS2 niet, maar geeft er een Nederlandse toezichthouder en een Nederlands meldadres bij. Twee dingen daarin verrassen mensen: het toezicht is sectoraal en niet centraal, en melden gaat naar het CSIRT van je sector in plaats van naar één landelijk loket. Zoek daarom als eerste uit welke toezichthouder en welk CSIRT van jou zijn, en zet dat in het incidentplan.
Wat is de Cyberbeveiligingswet precies?
De Cyberbeveiligingswet, kortweg Cbw, zet richtlijn (EU) 2022/2555 om in Nederlands recht. De richtlijn zelf richt zich tot de lidstaten; de Cbw is de wet waar een Nederlandse toezichthouder je aan houdt. De Eerste Kamer nam hem op 7 juli 2026 aan, samen met de Wet weerbaarheid kritieke entiteiten, en beide treden op 15 augustus 2026 in werking, zonder aparte overgangsperiode.
De inhoud komt bekend voor als je de richtlijn hebt gelezen, want het is de richtlijn: maatregelen voor risicobeheer, melden van incidenten, registratie, toezicht, en verplichtingen voor het bestuursorgaan. Heb je de afgelopen jaren een programma tegen artikel 21 opgebouwd, dan haalt de Cbw daar niets vanaf.
Wil je de tijdlijn rond de invoering zelf nalopen, dan staat die apart uitgeschreven in wat er op 15 augustus 2026 verandert.
Voor wie geldt de Cyberbeveiligingswet?
Of de wet op je van toepassing is, volgt uit je sector en je omvang, en die toets doe je zelf. Leg de organisatie naast de 18 sectoren uit bijlage I en II en toets daarna de drempels: middelgroot begint bij 50 medewerkers of 10 miljoen euro jaaromzet, groot bij 250 medewerkers of 50 miljoen euro. Een aparte categorie valt eronder ongeacht personeel of omzet: DNS-aanbieders, registers voor topleveldomeinen, cloudaanbieders, datacenters en CDN-aanbieders.
Kom je binnen scope uit, dan volgt de tweede vraag: essentieel of belangrijk. Die indeling bepaalt je toezichtregime en je boeteplafond. Essentiële entiteiten vallen onder proactief toezicht en riskeren tot 10 miljoen euro of 2 procent van de wereldwijde omzet. Belangrijke entiteiten vallen onder reactief toezicht en riskeren tot 7 miljoen euro of 1,4 procent. De maatregelen zelf zijn voor beide dezelfde.
De overheid publiceert voor deze toets een zelfevaluatie, de NIS2 Zelfevaluatie. Leg de uitkomst schriftelijk vast, per rechtspersoon, met de redenering erbij. Een onderbouwd "niet van toepassing" is net zoveel waard als een registratie, en is alleen op papier verdedigbaar.
Wat moet je onder de Cbw geregeld hebben?
Drie verplichtingen worden op 15 augustus 2026 concreet, en ze hangen aan elkaar vast.
Registreren bij het NCSC
Entiteiten binnen scope registreren zich bij het NCSC, via mijn.ncsc.nl. Behandel het als een gegevensklus en niet als een formulier: naam en rechtsvorm, adressen en contactgegevens, sector en subsector, de lidstaten waar je diensten levert, en je IP-reeksen. Die set actueel houden is zelf ook een verplichting, geen eenmalige actie.
De tien maatregelen van artikel 21
Ze gelden in verhouding tot je omvang en je risico: risicoanalyse en beleid, incidentafhandeling, bedrijfscontinuïteit inclusief back-up en crisisbeheer, beveiliging in de keten, veilige aanschaf en ontwikkeling, het toetsen van effectiviteit, basishygiëne en training, cryptografie, toegangsbeheer en beheer van assets, en meervoudige authenticatie met beveiligde communicatie.
Een maatregel die je wel treft maar niet kunt aantonen, telt bij toezicht als een maatregel die er niet is. Zorg dus per maatregel voor een artefact met een datum, een eigenaar en een beoordelingsrecord.
Melden bij het juiste CSIRT
Hier wijkt de Nederlandse uitvoering af van het beeld dat de meeste besturen hebben. Melden gaat niet naar één centraal loket. Significante incidenten gaan naar het CSIRT van je sector, waarbij het NCSC het nationale CSIRT is en voor een deel van het veld ook het sectorale. De zorg meldt bij Z-CERT, gemeenten bij de IBD van VNG Realisatie. De termijnen komen uit artikel 23: een vroege waarschuwing binnen 24 uur, een formele melding binnen 72 uur, en een eindrapport binnen een maand.
Voordat je uitzoekt welke plichten precies op je rusten, wil je weten of je een essentiële entiteit bent, een belangrijke, of geen van beide. Vier vragen in de scope check geven die uitkomst, zonder dat je een e-mailadres achterlaat.
Wie houdt toezicht op de Cyberbeveiligingswet?
Ook het toezicht is sectoraal geregeld. De zorg valt onder de Inspectie Gezondheidszorg en Jeugd, onderwijs en onderzoek onder de Inspectie van het Onderwijs, en andere sectoren onder hun eigen toezichthouder. De NCTV publiceert een doorverwijsboom die sectoren koppelt aan hun toezichthouder en hun CSIRT.
Praktisch gevolg: de vraag "wie belt ons" heeft in Nederland per sector een ander antwoord. Dat is het waard om één keer op te zoeken en aan het incidentplan te hangen, inclusief bereikbaarheid buiten kantooruren die ook echt getest is.
Wat betekent de Cbw voor het bestuur?
Niets verschuift ten opzichte van de richtlijn. Artikel 20 vraagt het bestuursorgaan de maatregelen voor risicobeheer goed te keuren, toezicht te houden op de uitvoering, training over cybersecurity te volgen, en aansprakelijkheid te aanvaarden voor schendingen van artikel 21. Dat blijven persoonlijke verplichtingen van de mensen bovenin de organisatie.
Het bewijs daarvoor is even alledaags als het klinkt: notulen, aanwezigheidsregistratie en gedateerde besluiten. Beleid dat alleen door de IT-directeur is afgetekend, is een governancebevinding.
Hoe verhoudt de Cbw zich tot de Wwke?
De Wet weerbaarheid kritieke entiteiten kwam op dezelfde dag door de Eerste Kamer en treedt op dezelfde datum in werking, maar stelt een andere vraag. De Cbw gaat over digitale beveiliging. De Wwke voert de CER-richtlijn (EU) 2022/2557 uit en gaat over fysiek overeind blijven: sabotage, terrorisme, natuurgeweld, ongevallen.
Het verschil dat het meest uitmaakt zit in wie bepaalt of je meedoet. Onder de Cbw toets je je scope zelf. Onder de Wwke wijst de verantwoordelijke minister kritieke entiteiten per sector aan, op basis van een sectorale risicobeoordeling, en laat dat vertrouwelijk weten. En daar zit de koppeling: wie onder de Wwke wordt aangewezen, geldt onder de Cbw automatisch als essentiële entiteit, het zwaarste toezichtregime van de twee. Meer daarover staat op de pagina over de Wet weerbaarheid kritieke entiteiten.
Waar begin je?
Vijf dingen leveren het meeste op, in deze volgorde, ook als je laat begint.
- Een schriftelijke conclusie over je scope, per rechtspersoon, met de redenering erbij.
- Je registratiegegevens bij elkaar, inclusief IP-reeksen en een contactpersoon met naam, zodat registreren een handeling is en geen project.
- Het juiste CSIRT en de juiste toezichthouder in je incidentplan, met bereikbaarheid buiten kantooruren die iemand ook echt heeft getest.
- Een gedateerde goedkeuring door het bestuur van de maatregelen voor risicobeheer, plus de trainingsregistratie.
- Een gatenlijst tegen de tien maatregelen. Geen volwassenheidsscore, maar een lijst met namen en data.
Veelgestelde vragen
Wat is de Cyberbeveiligingswet?
De Nederlandse wet die richtlijn (EU) 2022/2555, beter bekend als NIS2, omzet in nationaal recht. De wet regelt maatregelen voor risicobeheer, het melden van incidenten, registratie, toezicht en de verplichtingen van het bestuursorgaan. In de praktijk wordt hij afgekort tot Cbw.
Wanneer treedt de Cyberbeveiligingswet in werking?
Op 15 augustus 2026. De Eerste Kamer nam de wet op 7 juli 2026 aan, samen met de Wet weerbaarheid kritieke entiteiten. Er komt geen aparte overgangsperiode overheen: vanaf die datum gelden de verplichtingen voor entiteiten binnen scope.
Voor wie geldt de Cyberbeveiligingswet?
Dat volgt uit je sector en je omvang, en die toets doe je zelf. In de regel gaat het om middelgrote en grote organisaties in de gedekte sectoren: 50 medewerkers of 10 miljoen euro omzet voor middelgroot, 250 medewerkers of 50 miljoen euro voor groot. DNS-aanbieders, registers voor topleveldomeinen, cloudaanbieders, datacenters en CDN-aanbieders vallen eronder ongeacht hun omvang.
Waar registreer je je onder de Cyberbeveiligingswet?
Bij het NCSC, via mijn.ncsc.nl. Het loket is open, dus de registratie kan af zijn voordat een toezichthouder erom vraagt. Je levert naam en rechtsvorm, adressen en contactgegevens, sector en subsector, de lidstaten waar je diensten levert, en je IP-reeksen. Die gegevens actueel houden is zelf ook een verplichting.
Wie houdt toezicht en waar meld je een incident?
Allebei sectoraal geregeld, niet centraal. De zorg valt onder de Inspectie Gezondheidszorg en Jeugd, onderwijs en onderzoek onder de Inspectie van het Onderwijs, andere sectoren onder hun eigen toezichthouder. Significante incidenten gaan naar het CSIRT van je sector: Z-CERT voor de zorg, de IBD van VNG Realisatie voor gemeenten, en het NCSC als nationaal CSIRT en voor een deel van het veld ook als sectoraal CSIRT.
Wat is het verschil tussen de Cyberbeveiligingswet en de Wwke?
De Cyberbeveiligingswet zet NIS2 om en gaat over digitale beveiliging. De Wet weerbaarheid kritieke entiteiten voert de CER-richtlijn uit en gaat over fysieke weerbaarheid. Je scope onder de Cbw toets je zelf; onder de Wwke wijst de verantwoordelijke minister entiteiten per sector aan. Wie wordt aangewezen, geldt onder de Cbw automatisch als essentiële entiteit.
Geschreven door Burak Yazici
PECB Certified NIS2 Lead Implementer
Weet je nog niet of de Cbw op je van toepassing is?
Begin met de scope check. Die kost je vijf minuten en vraagt geen e-mailadres. Kom je eruit als essentiële of belangrijke entiteit, dan praat Burak je in een half uur door welke toezichthouder en welk CSIRT van jou zijn en wat je als eerste afmaakt.