De Cyberbeveiligingswet is van kracht: wat moet u nu doen?

De Cyberbeveiligingswet (Cbw) vervangt de Wet beveiliging netwerk- en informatiesystemen. Volgens de NCTV stelt de wet eisen aan ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen, verdeeld over 18 sectoren. Daaronder vallen onder meer energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer, maar ook bijvoorbeeld afvalstoffenbeheer, levensmiddelen en vervaardiging.

Een belangrijk verschil met veel andere wetten: niemand stuurt u een brief. Organisaties zijn zelf verantwoordelijk om vast te stellen of de wet voor hen geldt.

Stap 1: stel vast of u eronder valt

Het gaat om uw sector, uw omvang en de diensten die u levert. Voor de omvang geldt in de regel dat u eronder valt met 50 of meer medewerkers (fte). Dat kan ook bij minder dan 50 medewerkers, als zowel uw jaaromzet als uw balanstotaal hoger is dan 10 miljoen euro. Partner- en verbonden ondernemingen tellen mee, wat de beoordeling bij een groep van bedrijven lastiger maakt.

Vervolgens bepaalt de combinatie van sector en omvang of u een essentiële of een belangrijke entiteit bent. Dat verschil werkt door in het toezicht: essentiële entiteiten staan onder proactief toezicht, belangrijke entiteiten onder reactief toezicht.

Stap 2: registreer u bij het NCSC

Organisaties die onder de wet vallen, moeten sinds 15 augustus 2026 geregistreerd zijn in het nationale entiteitenregister via MijnNCSC. Daarvoor is eHerkenning nodig op betrouwbaarheidsniveau EH2+. U geeft onder meer uw sector, dienstverlening, contactpersoon en netwerkgegevens op. Wijzigingen geeft u binnen 14 dagen door.

Kort na de inwerkingtreding bleek dat dit nog niet vanzelf gaat: volgens Accountant.nl stond in augustus minder dan de helft van de betrokken organisaties in het register.

Stap 3: leg de zorgplicht vast

De wet schrijft geen vaste technische oplossing voor. U neemt passende en evenredige maatregelen op basis van uw risico’s. Het NCSC noemt tien maatregelen waaraan u ten minste moet voldoen:

• risicoanalyse
• incidentrespons
• bedrijfscontinuïteit, back-up, herstel en crisisbeheer
• beveiliging van de toeleveringsketen
• cyberhygiëne en opleiding
• beveiliging bij het kopen, ontwikkelen en onderhouden van systemen
• personeel, toegangsbeleid en assetbeheer
• sterke authenticatie en beveiligde communicatie
• cryptografiebeleid
• het beoordelen of maatregelen werken

Die laatste is de interessantste: het gaat niet om een lijst met afgevinkte maatregelen, maar om aantonen dat ze effect hebben. Daar sluit de werkwijze van een managementsysteem goed op aan, met ISO 27001 als bekende route. In de zorg ligt NEN 7510 voor de hand. Let wel: een certificaat is geen automatisch bewijs. Het NCSC stelt dat keurmerken geen zelfstandige status hebben bij het voldoen aan de wet.

Stap 4: richt de meldplicht in vóórdat u haar nodig heeft

Significante incidenten meldt u via het meldportaal van het NCSC. Met één melding bereikt u uw CSIRT en uw toezichthouder. De termijnen zijn kort:

1. binnen 24 uur een vroegtijdige waarschuwing;
2. binnen 72 uur een melding met een eerste beoordeling;
3. binnen een maand een eindverslag.

De drempelwaarden voor wat significant is, verschillen per sector en staan in ministeriële regelingen. Bepaal dus vooraf wie de beoordeling maakt, wie meldt en wie vervangt in vakanties. Tijdens een incident is daar geen tijd meer voor.

Stap 5: betrek het bestuur

Het bestuur moet de maatregelen goedkeuren en toezien op de uitvoering. Die verantwoordelijkheid blijft bij het bestuur, ook als een CISO het werk doet. Uitvoerende bestuurders moeten bovendien uiterlijk twee jaar na de inwerkingtreding een training hebben gevolgd en hun kennis actueel houden.

Valt u er niet onder? Dan kan de wet u toch raken

De zorgplicht gaat ook over de relatie met rechtstreekse leveranciers en dienstverleners. Organisaties die onder de wet vallen, brengen hun leveranciers in kaart en gaan met hen in gesprek. Bent u toeleverancier, reken er dan op dat klanten vragen stellen over uw beveiliging, ook als u zelf niet onder de wet valt.

Twijfelt u of de wet voor u geldt, of wilt u weten wat er nog ontbreekt? Op onze pagina over NIS2 en de Cyberbeveiligingswet leest u hoe Ritzky een impactanalyse en gap-analyse aanpakt.