Cyberbeveiligingswet 2026: wat betekent de Nederlandse NIS2-wet voor uw organisatie?

Op 23 maart 2026 debatteerde de Tweede Kamer over de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Met de beoogde inwerkingtreding in het tweede kwartaal van 2026 wordt de Europese NIS2-richtlijn nu definitief omgezet in Nederlandse wetgeving. Voor meer dan 8.000 Nederlandse organisaties betekent dit concrete verplichtingen op het gebied van cyberbeveiliging — inclusief bestuurlijke aansprakelijkheid en boetes tot 10 miljoen euro. In dit artikel leest u precies wat de cyberbeveiligingswet 2026 inhoudt, of uw organisatie eronder valt en wat u nu al kunt doen.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet is de Nederlandse vertaling van de Europese NIS2-richtlijn (Network and Information Security Directive 2). Deze richtlijn verplicht EU-lidstaten om de digitale weerbaarheid van essentiële en belangrijke organisaties structureel te versterken. Waar de eerdere Wet beveiliging netwerk- en informatiesystemen (Wbni) zich beperkte tot een kleine groep vitale aanbieders, trekt de NIS2-wet het bereik aanzienlijk breder.

De Cyberbeveiligingswet legt drie kernverplichtingen op: een zorgplicht (u moet passende beveiligingsmaatregelen nemen), een meldplicht (u moet significante incidenten binnen 24 uur melden bij het NCSC en de toezichthouder) en een registratieplicht (u moet zich inschrijven in het centrale entiteitenregister). Het wetsvoorstel is op 4 juni 2025 ingediend bij de Tweede Kamer onder kamerstuknummer 36764.

Tijdens het wetgevingsoverleg van 23 maart 2026 stelden Kamerleden vragen over het toepassingsbereik, de uitvoering, het toezicht en de overlap tussen de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten (die de Europese CER-richtlijn omzet). De brede steun in de Kamer maakt duidelijk: deze wet komt er. De vraag is niet of, maar wanneer — en dat antwoord is: binnenkort.

Wanneer treedt de Cyberbeveiligingswet in werking?

De overheid houdt vast aan inwerkingtreding in Q2 2026. De Europese deadline van 17 oktober 2024 is al ruim overschreden, en het kabinet wil niet langer wachten. Na de stemming in de Tweede Kamer moet de Eerste Kamer het wetsvoorstel nog behandelen. De regering streeft ernaar de Cyberbeveiligingswet, de Wwke en alle bijbehorende lagere regelgeving (AMvB’s en ministeriële regelingen) gelijktijdig in werking te laten treden.

Er is geen formele overgangsperiode voor de zorgplicht en meldplicht — u moet daar in principe direct aan voldoen bij inwerkingtreding. Wel is er een praktische overgangsregeling voor de registratieplicht: organisaties krijgen na inwerkingtreding een aantal maanden de tijd om zich in te schrijven in het centrale entiteitenregister. Maar voor de beveiligingsmaatregelen zelf geldt: hoe eerder u begint, hoe beter. Organisaties die nu al onder de Wbni vallen, behouden hun bestaande verplichtingen tot de nieuwe wet van kracht wordt. Gebruik de NIS2 Quick Scan om vandaag nog te bepalen waar u staat.

Wie valt er onder de Cyberbeveiligingswet?

De NIS2-wet hanteert twee categorieën: essentiële entiteiten en belangrijke entiteiten. Het onderscheid bepaalt de zwaarte van het toezicht en de hoogte van de boetes. Of uw organisatie eronder valt, hangt af van de sector waarin u actief bent en de omvang van uw organisatie.

Drempelwaarden:

De classificatie hangt af van twee factoren: de sector (Bijlage I of Bijlage II) en de omvang van uw organisatie:

• Organisaties in een Bijlage I-sector (zoals energie, vervoer, gezondheidszorg) die groot zijn (250+ medewerkers, óf >€50M omzet en >€43M balanstotaal) worden aangemerkt als essentiële entiteit.
• Organisaties in een Bijlage I-sector die middelgroot zijn (50-249 medewerkers, óf >€10M omzet en >€10M balanstotaal) worden aangemerkt als belangrijke entiteit.
• Organisaties in een Bijlage II-sector (zoals levensmiddelen, maakindustrie, post- en koeriersdiensten) zijn altijd een belangrijke entiteit — ongeacht of ze middelgroot of groot zijn. Een groot maakbedrijf wordt dus niet automatisch essentieel.

Sectoren voor essentiële entiteiten (Bijlage I): energie, vervoer, bankwezen, infrastructuur financiële markten, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening (beheerd), overheid en ruimtevaart. Lees meer over NIS2 voor de zorgsector.

Sectoren voor belangrijke entiteiten (Bijlage II): post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, maakindustrie, digitale aanbieders en onderzoeksinstellingen.

Let op: bepaalde organisaties vallen ongeacht hun omvang onder de wet. Dit geldt onder meer voor aanbieders van DNS-diensten, domeinregistrars, vertrouwensdienstverleners en overheidsinstanties. Bovendien kan een sectorminister op basis van een risicoanalyse ook kleinere organisaties aanwijzen.

Ketenverantwoordelijkheid is een belangrijk nieuw element. De Cyberbeveiligingswet verplicht organisaties om de beveiliging van hun toeleveringsketen te waarborgen. Dat betekent dat ook uw leveranciers en dienstverleners aan bepaalde beveiligingseisen moeten voldoen. Als MKB-organisatie kunt u dus indirect geraakt worden, zelfs als u niet zelf onder de wet valt, wanneer uw opdrachtgevers eisen stellen op basis van hun eigen NIS2-verplichtingen.

Wat moet u doen? De 10 zorgplichtmaatregelen

De kern van de cyberbeveiligingswet MKB-verplichtingen bestaat uit tien zorgplichtmaatregelen. Deze maatregelen zijn gebaseerd op artikel 21 van de NIS2-richtlijn en worden in de Cyberbeveiligingswet verder uitgewerkt via ministeriële regelingen per sector. Hieronder vindt u de tien maatregelen in begrijpelijke taal:

1. Risicoanalyse en beveiligingsbeleid
Breng de risico’s voor uw netwerk- en informatiesystemen in kaart. Stel op basis daarvan een beveiligingsbeleid op dat past bij uw organisatie.

2. Personeel, toegang en assetbeheer
Regel wie toegang heeft tot welke systemen en data. Registreer uw bedrijfsmiddelen (assets) en zorg voor duidelijke procedures voor in- en uitdiensttreding.

3. Bedrijfscontinuïteitsplan
Stel een plan op dat ervoor zorgt dat uw organisatie kan blijven functioneren tijdens en na een cyberincident. Denk aan back-ups, herstelplannen en crisisbeheer.

4. Incidentrespons
Richt een gestructureerd proces in voor het detecteren, analyseren en afhandelen van beveiligingsincidenten. Weet wie wat doet wanneer het misgaat.

5. Cyberhygiëne en bewustwording
Train uw medewerkers in veilig digitaal gedrag. Denk aan sterke wachtwoorden, het herkennen van phishing en het tijdig installeren van updates.

6. Netwerk- en systeembeveiliging
Beveilig uw netwerken en informatiesystemen tegen aanvallen. Implementeer firewalls, segmentatie, monitoring en patchmanagement.

7. Beveiliging van de toeleveringsketen
Analyseer de risico’s van uw leveranciers en dienstverleners. Stel beveiligingseisen op in contracten en monitor de naleving ervan.

8. Cryptografie en encryptie
Stel beleid op voor het gebruik van versleuteling. Beheer sleutels en certificaten op een veilige en gestructureerde manier.

9. Multi-factor authenticatie (MFA)
Beveilig toegang tot systemen met minimaal twee verificatiemethoden. Gebruik waar mogelijk moderne identiteitsstandaarden.

10. Evaluatie en testen
Evalueer uw beveiligingsmaatregelen regelmatig. Voer audits, penetratietesten en oefeningen uit om te toetsen of uw beveiliging effectief is.

Wilt u weten hoe uw organisatie scoort op deze tien maatregelen? Doe de gratis NIS2 Quick Scan en ontvang direct een persoonlijk rapport met aanbevelingen. Lees ook onze NIS2-checklist voor het MKB voor een stapsgewijs overzicht.

Wat zijn de boetes?

De Cyberbeveiligingswet introduceert stevige sancties. De hoogte van de boete hangt af van de categorie waarin uw organisatie valt:

• Essentiële entiteiten: boetes tot maximaal €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bij een organisatie met een miljardenomzet kan de boete dus ruim boven de €10 miljoen uitkomen.
• Belangrijke entiteiten: boetes tot maximaal €7 miljoen of 1,4% van de wereldwijde jaaromzet, ook hier geldt het hoogste van de twee.

Naast financiële sancties introduceert de wet bestuurlijke aansprakelijkheid. Bestuurders zijn persoonlijk verantwoordelijk voor de naleving van de beveiligingsmaatregelen. Bij grove nalatigheid kunnen zij persoonlijk aansprakelijk worden gesteld. Bovendien zijn bestuurders verplicht om een cyberbeveiligingsopleiding te volgen. Doen zij dat niet, dan riskeren zij aanvullende persoonlijke boetes.

De toezichthouders — waaronder de Rijksinspectie Digitale Infrastructuur (RDI) en sectorale toezichthouders — krijgen ruime handhavingsbevoegdheden. Denk aan bindende aanwijzingen, last onder dwangsom en bestuurlijke boetes. Voor essentiële entiteiten geldt bovendien proactief toezicht: de toezichthouder hoeft niet te wachten op een incident om te handhaven.

Het verschil met ISO 27001 en NEN 7510

Een veelgestelde vraag is of een ISO 27001- of NEN 7510-certificering volstaat om aan de NIS2-wet te voldoen. Het korte antwoord: nee, maar het helpt enorm.

ISO 27001 is een internationale norm voor informatiebeveiliging die een managementsysteem (ISMS) vereist. De norm biedt een solide basis voor risicoanalyse, beleidsontwikkeling en continue verbetering. Veel van de tien zorgplichtmaatregelen uit de Cyberbeveiligingswet overlappen met ISO 27001-controls.

NEN 7510 is de Nederlandse zorgsector-specifieke variant van ISO 27001. Organisaties in de gezondheidszorg die NEN 7510-gecertificeerd zijn, hebben al een groot deel van de benodigde maatregelen op orde.

Toch vervangt geen van beide certificeringen de Cyberbeveiligingswet. De wet stelt aanvullende eisen, met name op het gebied van:

• Meldplicht: significante incidenten moeten binnen 24 uur worden gemeld — ISO 27001 kent geen wettelijke meldplicht
• Registratieplicht: inschrijving in het entiteitenregister is verplicht
• Ketenbeveiliging: de NIS2-wet legt expliciet verplichtingen op ten aanzien van de toeleveringsketen
• Bestuurlijke aansprakelijkheid: bestuurders zijn persoonlijk verantwoordelijk — dit gaat verder dan ISO 27001
• Sectorspecifieke invulling: ministeriële regelingen kunnen aanvullende eisen per sector bevatten

ISO 27001 en NEN 7510 zijn dus complementair aan de Cyberbeveiligingswet. Beschouw ze als een stevige fundering waarop u de wettelijke verplichtingen kunt bouwen.

Hoe Lupasafe helpt

Lupasafe is ontworpen om organisaties compliant te maken aan de Cyberbeveiligingswet — zonder complexe implementatietrajecten of dure consultants. Ons platform dekt alle tien zorgplichtmaatregelen in één omgeving, van risicoanalyse tot incidentrespons en van ketenbeveiliging tot continue evaluatie.

Wat Lupasafe onderscheidt:

• Alle 10 zorgplichtmaatregelen in één platform — geen losse tools of spreadsheets
• Sectorspecifieke templates voor gezondheidszorg, maakindustrie, IT-dienstverlening en meer
• Geautomatiseerde risicoanalyse die direct inzicht geeft in uw NIS2-gereedheid
• Incidentrespons en meldplicht — genereer meldingen die voldoen aan de 24-uurseis
• Ketenbeheer — breng uw toeleveranciers in kaart en monitor hun beveiligingsniveau
• Bestuurdersrapportages die aantonen dat het bestuur actief betrokken is bij cybersecurity
• Continue monitoring en evaluatie met dashboards en auditrapporten

Of u nu een MKB-organisatie bent die voor het eerst met NIS2 te maken krijgt, of een grote onderneming die haar bestaande ISMS wil uitbreiden: Lupasafe biedt een schaalbare oplossing. Bekijk onze abonnementen of start direct met de NIS2 Quick Scan.

Veelgestelde vragen over de Cyberbeveiligingswet

Wanneer gaat de Cyberbeveiligingswet in?
De overheid streeft naar inwerkingtreding in het tweede kwartaal van 2026. De Tweede Kamer hield op 23 maart 2026 een wetgevingsoverleg. Na stemming in de Tweede Kamer en behandeling in de Eerste Kamer treedt de wet in werking.

Valt mijn MKB-bedrijf onder de Cyberbeveiligingswet?
Organisaties met 50 of meer medewerkers, of een omzet boven €10 miljoen, die actief zijn in een van de aangewezen sectoren vallen onder de wet. Daarnaast kunt u indirect geraakt worden via ketenverplichtingen van uw opdrachtgevers. Doe de NIS2 Quick Scan om zekerheid te krijgen.

Wat is het verschil tussen een essentiële en een belangrijke entiteit?
Het hangt af van de sector én de omvang. Organisaties in Bijlage I-sectoren (energie, vervoer, zorg) die groot zijn, worden essentieel. Middelgrote organisaties in Bijlage I en alle organisaties in Bijlage II-sectoren (maakindustrie, levensmiddelen) zijn belangrijk. Essentiële entiteiten vallen onder strenger, proactief toezicht. Belangrijke entiteiten onder reactief toezicht.

Is er een overgangsperiode?
Voor de zorgplicht en meldplicht is er geen formele overgangsperiode — u moet daar bij inwerkingtreding aan voldoen. Wel krijgen organisaties een aantal maanden de tijd voor de registratieplicht (inschrijving in het entiteitenregister). Begin nu met voorbereiden om niet in overtreding te raken.

Vervangt de Cyberbeveiligingswet ISO 27001?
Nee. ISO 27001 blijft een waardevolle norm voor informatiebeveiliging. De Cyberbeveiligingswet stelt aanvullende wettelijke eisen, zoals een meldplicht, registratieplicht en bestuurlijke aansprakelijkheid. ISO 27001 biedt een goede basis, maar dekt niet alle NIS2-verplichtingen.