De Cyberbeveiligingswet (Cbw, wetsvoorstel 36.764) is de Nederlandse implementatie van de Europese NIS2-richtlijn (2022/2555). Op 7 juli 2026 stemde de Eerste Kamer in met deze wet en met de gelijktijdig behandelde Wet weerbaarheid kritieke entiteiten (Wwke, 36.765). Beide treden in werking op 15 augustus 2026. Vanaf die datum geldt cybersecurity als wettelijke plicht voor ruim 8.000 organisaties onder de Cbw en circa 500 organisaties onder de Wwke, en via de keten voor tienduizenden leveranciers daarachter. Bestuurders zijn persoonlijk aansprakelijk, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
- Cyberbeveiligingswet (Nederlandse NIS2) aangenomen door Eerste Kamer op 7 juli 2026.
- Inwerkingtreding 15 augustus 2026. Geen overgangsperiode.
- Ruim 8.000 organisaties direct onder de wet, tienduizenden leveranciers via ketenverplichtingen.
- Bestuurders persoonlijk aansprakelijk. Boetes tot 10 miljoen euro of 2 procent wereldwijde jaaromzet.
- Registratie via mijn.ncsc.nl. Incidenten melden binnen 24 uur.
“Of het nu gaat om digitale dreigingen, sabotage, natuurrampen of andere verstoringen: organisaties moeten voorbereid zijn.”
David van Weel, minister van Justitie en Veiligheid
De kogel is door de kerk
Geen uitstel meer en ook geen afzwakking, de Tweede Kamer nam de wet op 15 april 2026 aan met een brede meerderheid: alleen DENK en FVD stemden tegen. De Eerste Kamer volgde 7 juli 2026. Vanaf 15 augustus start de handhaving.
- Cybersecurity wordt een randvoorwaarde om zaken te doen.
- Leveranciers moeten aantoonbaar bewijs leveren, anders lopen ze het risico op verlies van opdrachten en contracten.
- Er is geen wachttijd. Vanaf 15 augustus moet je aan de wet voldoen.
Doe de gratis NIS2 Quick Scan en ontdek binnen 5 minuten of je onder de wet valt, direct of via de keten. Je krijgt direct een persoonlijk rapport met concrete verbeterpunten.
Start de NIS2 Quick Scan →
Essentieel of belangrijk: in welke categorie val jij?
De wet onderscheidt twee categorieën met elk een eigen toezichtsregime:
- Essentiële entiteiten: proactief toezicht met periodieke inspecties. Denk aan energie, drinkwater, ziekenhuizen, banken, digitale infrastructuur en centrale overheid.
- Belangrijke entiteiten: reactief toezicht, controle bij incidenten of signalen. Denk aan voedselproductie, chemie, afvalbeheer, post- en koerierdiensten, en middelgrote IT-dienstverleners.
Voor beide categorieën gelden dezelfde zorg- en meldplicht. Het verschil zit in hoe streng de toezichthouder erbovenop zit. MKB-leveranciers vallen doorgaans niet direct onder een van beide categorieën, maar krijgen via ketenverplichtingen alsnog dezelfde eisen doorgelegd door hun grote klanten.
Wat de Eerste Kamer nog aanpaste
Tijdens de behandeling zijn moties aangenomen die de wet praktisch begrenzen. Voor MKB relevant:
- Geen dubbele beboeting (motie Van den Berg): organisaties die onder meerdere regimes vallen worden niet twee keer beboet voor hetzelfde feit.
- Harmonisatie met BIO en ENSIA: minder dubbel werk voor organisaties die al onder gemeentelijke of rijksinformatiebeveiliging vallen.
- Invoeringstoets na 18 maanden en evaluatie na 2 jaar: de wet wordt formeel tegen het licht gehouden na de invoering.
- Centraal meldloket (motie Kathmann): één plek voor incidentmeldingen in plaats van meerdere loketten.
- Nazorgplicht bij grote persoonsgegevenslekken (motie Kathmann): getroffen individuen krijgen actieve nazorg, niet alleen een melding.
Drie hardnekkige misverstanden
Fout. De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking en de tekst is niet afgezwakt. De inhoud staat vast en is ingrijpend.
Fout. De ketenverplichtingen staan in de wet en werken door naar tienduizenden leveranciers. Ook zij moeten aantonen dat ze veilig werken. Doen ze dat niet, dan verliezen ze grote klanten.
Fout. Er zijn tien bevoegde toezichthouders die proactief en reactief handhaven. Er komen inspecties, en je moet passende maatregelen kunnen aantonen. Dit gaat veel verder dan de AVG.
Wat verwacht de wet van jou?
De Cyberbeveiligingswet zet Artikel 20 en 21 van de NIS2-richtlijn (2022/2555) om in Nederlands recht. Concreet:
- Zorgplicht (Artikel 21): passende technische en organisatorische maatregelen tegen cyberrisico’s, inclusief ketenrisico.
- Meldplicht: significante incidenten binnen 24 uur melden bij CSIRT en NCSC.
- Registratieplicht: aanmelden bij de toezichthouder.
- Bestuurdersplicht (Artikel 20): het bestuur keurt de risicomaatregelen goed, volgt training en is persoonlijk aansprakelijk.
Wat moet je nu doen?
Begin vandaag. Het is veel werk en 15 augustus komt snel. Werk toe naar aantoonbare compliance, bijvoorbeeld via NIS2-SC-certificering.
- Zelfevaluatie: val je onder de wet, direct of via de keten?
- Risicoanalyse en beleidsdocument voor cybersecurity.
- Awareness training en phishingsimulaties voor alle medewerkers.
- Incident response draaiboek voor de 24-uurs meldplicht.
- Toeleveranciers en supply chain in kaart brengen.
- Bestuur formeel de risicomaatregelen laten goedkeuren.
- Registreren bij het NCSC via mijn.ncsc.nl, zodat je toegang krijgt tot CSIRT-ondersteuning bij incidenten.
Werk samen met Lupasafe en Samen Digitaal Veilig
Lupasafe is een NIS2 compliance platform speciaal voor het MKB: awareness training, phishingsimulaties, risicoanalyse, toeleveranciersregister en bestuursrapportage in één portaal. Aantoonbaar veilig zonder eigen IT-afdeling, met een auditklaar dossier voor de toezichthouder of jouw grote klant.
Wij adviseren onze klanten om te werken via het platform Samen Digitaal Veilig (SDV). Start vandaag en werk toe naar je NIS2-SC-certificering.
Lupasafe is een NIS2 compliance platform speciaal voor het MKB. Aantoonbaar compliant zonder eigen IT-afdeling.
Bekijk NIS2 software voor MKB →
Bronnen: Rijksoverheid persbericht 7 juli 2026, Eerste Kamer wetsvoorstel 36.764, NCTV nieuwsbericht 1 juli 2026. Cijfer over 10 toezichthouders en tienduizenden leveranciers via input partner Samen Digitaal Veilig.
