Linkedin
Facebook
Email
more
Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Deze wet vormt de Nederlandse uitwerking van de Europese NIS2 richtlijn. De Europese regels gelden al langer, maar zijn nu vertaald naar Nederlandse wetgeving. Voor ruim 8.000 Nederlandse organisaties betekent dit concrete verplichtingen op het gebied van cybersecurity en informatiebeveiliging.
Het doel van de Cyberbeveiligingswet is om de cyberweerbaarheid van essentiële en belangrijke organisaties te versterken en daarmee de continuïteit van maatschappelijke diensten beter te beschermen. De wet brengt onder meer een registratieplicht, zorgplicht en meldplicht met zich mee. Ook krijgt het bestuur een nadrukkelijke verantwoordelijkheid bij het beheersen van cyberrisico's.
Met de ingangsdatum in zicht is het belangrijk om vast te stellen of uw organisatie onder de nieuwe wet valt en welke maatregelen nog nodig zijn.
Voor welke organisaties geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet richt zich op organisaties die essentiële of belangrijke diensten leveren. De wet bestrijkt 18 sectoren, waaronder energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur en overheid.
Organisaties moeten zelf beoordelen of zij onder de Cyberbeveiligingswet vallen. Wachten totdat de overheid hierover contact opneemt, is daarom niet verstandig.
Welke verplichtingen brengt de Cyberbeveiligingswet met zich mee?
Organisaties die onder de nieuwe regels vallen, krijgen onder meer te maken met drie belangrijke verplichtingen: registratie, zorg en het melden van incidenten.
De registratieplicht betekent dat organisaties zich moeten registreren in het entiteitenregister van het Nationaal Cyber Security Centrum.
De zorgplicht vraagt om passende maatregelen om cyberrisico's te beheersen. Daarbij gaat het niet alleen om technische beveiliging. Ook processen, verantwoordelijkheden, bedrijfscontinuïteit en de manier waarop een organisatie reageert op incidenten zijn relevant.
Daarnaast geldt een meldplicht voor significante cyberincidenten. Organisaties moeten daarom vooraf duidelijk hebben hoe incidenten worden herkend, intern worden opgevolgd en binnen de geldende termijnen worden gemeld.
Cybersecurity wordt nadrukkelijker een verantwoordelijkheid van het bestuur
De Cyberbeveiligingswet legt een duidelijke verantwoordelijkheid bij het bestuur. Bestuurders moeten maatregelen voor cyberrisicobeheersing goedkeuren en toezicht houden op de uitvoering daarvan.
Dat vraagt ook om voldoende kennis van cyberrisico's en beveiligingsmaatregelen. Voor uitvoerende bestuurders van organisaties die onder de wet vallen, geldt daarom een trainingsplicht. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld wanneer een organisatie aantoonbaar tekortschiet in de naleving van haar verplichtingen.
Cybersecurity kan daarmee niet uitsluitend bij IT of de CISO worden neergelegd. Het is belangrijk dat bestuur en management regelmatig worden geïnformeerd over cyberrisico's, genomen maatregelen en eventuele incidenten. Ook moeten verantwoordelijkheden binnen de organisatie duidelijk zijn vastgelegd.
Wat betekent NIS2 voor uw organisatie?
Veel organisaties hebben al maatregelen genomen om hun systemen en informatie te beveiligen. De komst van de Cyberbeveiligingswet is een goed moment om te beoordelen of die maatregelen voldoende samenhang hebben en aansluiten op de wettelijke verplichtingen.
Met 15 augustus in zicht is het verstandig om in ieder geval na te gaan:
- of uw organisatie onder de Cyberbeveiligingswet valt
- of de registratie bij het NCSC is voorbereid
- welke cyberrisico's voor uw organisatie het meest relevant zijn
- of bestaande beveiligingsmaatregelen aansluiten op de zorgplicht
- hoe cyberincidenten worden gedetecteerd, opgevolgd en gemeld
- hoe verantwoordelijkheden tussen bestuur, management, IT en andere afdelingen zijn verdeeld
- hoe bestuur en management periodiek worden geïnformeerd over cyberrisico's
- of continuiteitsplannen en incidentresponsplannen actueel en getest zijn
Een inventarisatie hiervan geeft inzicht in waar de organisatie nu staat en waar nog stappen nodig zijn.
Toezicht en handhaving
De komst van de Cyberbeveiligingswet betekent ook dat organisaties te maken krijgen met toezicht op de naleving. Toezichthouders controleren of organisaties voldoen aan de wettelijke verplichtingen en of passende maatregelen zijn genomen om cyberrisico's te beheersen.
Wanneer een organisatie onvoldoende aan de verplichtingen voldoet, kunnen maatregelen en sancties volgen. Het is daarom belangrijk om niet alleen maatregelen te nemen, maar ook aantoonbaar te maken hoe cyberrisico's worden beheerst en welke keuzes daarbij zijn gemaakt.
Meer dan voldoen aan NIS2
De nieuwe wetgeving is een concrete aanleiding om naar cybersecurity te kijken, maar de relevantie gaat verder dan compliance.
Een cyberincident kan systemen stilleggen, bedrijfsinformatie ontoegankelijk maken en de dienstverlening aan klanten verstoren. Goed inzicht in cyberrisico's en passende beheersmaatregelen helpen daarom niet alleen om aan de Cyberbeveiligingswet te voldoen, maar ook om de continuïteit van de organisatie te beschermen.
Voorbereiden op de Cyberbeveiligingswet met RSM
RSM ondersteunt organisaties bij het inzichtelijk maken en beheersen van IT en cyberrisico's. Dat kan bijvoorbeeld beginnen met een beoordeling van bestaande beveiligingsmaatregelen of een NIS2 readiness assessment.
Onze specialisten ondersteunen daarnaast bij onder meer risicoanalyses, informatiebeveiliging, interne beheersing & monitoring.
Wilt u weten wat de Cyberbeveiligingswet voor uw organisatie betekent en welke stappen nog nodig zijn? Neem contact op met onze specialisten.
Cyberbeveiligingswet in 2027
Ook in 2027 blijft naleving van de Cyberbeveiligingswet een belangrijk aandachtspunt. Organisaties moeten niet alleen aan de wettelijke verplichtingen voldoen, maar ook kunnen aantonen hoe cyberrisico's structureel worden beheerst.
