Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Lees in gewone taal wat de wet inhoudt, of hij voor jouw organisatie geldt en wat hij van jou vraagt.
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (NIS2). De wet legt de verantwoordelijkheid voor digitale veiligheid expliciet bij het bestuur. Dat is geen IT-zaak meer die je volledig kunt uitbesteden: jij keurt de maatregelen goed en houdt toezicht. Hieronder lees je in gewone taal wat de wet inhoudt, of hij voor jouw organisatie geldt en wat je nu doet.
Wat is de Cyberbeveiligingswet?
NIS2 is een Europese richtlijn. De Cyberbeveiligingswet is de Nederlandse wet die deze richtlijn uitvoert, en vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen (Wbni). De Eerste Kamer stemde op 7 juli 2026 in, en sinds 15 augustus 2026 is de wet van kracht. Zoek je op "NIS2" of op "Cyberbeveiligingswet", dan gaat het om dezelfde verplichtingen.
Geldt de wet voor jouw organisatie?
Volgens de Rijksoverheid vallen ruim 8.000 organisaties in 18 sectoren onder de wet, waaronder energie, drinkwater, digitale infrastructuur, zorg, overheid en vervoer. In grote lijnen geldt:
- Middelgrote organisaties (vanaf 50 medewerkers of meer dan 10 miljoen euro omzet) in een van die sectoren zijn een belangrijke entiteit.
- Grote organisaties (vanaf 250 medewerkers of 50 miljoen euro omzet) in de meest kritieke sectoren zijn een essentiële entiteit.
Je toetst zelf of je eronder valt, en zo ja, registreer je je bij het NCSC. Dat is verplicht sinds 15 augustus. Op 14 augustus 2026 stonden er 2.942 organisaties in het register, op een geschatte 8.000 tot 10.000.
Val je er niet onder, dan kun je er toch mee te maken krijgen. Klanten en opdrachtgevers die wel onder de wet vallen, stellen eisen aan hun leveranciers. Twijfel je waar je staat? Laat het nakijken door je adviseur.
Wat vraagt de wet van je organisatie?
- Registreren bij het NCSC.
- Zorgplicht: maatregelen nemen om de risico's voor je systemen en gegevens te beheersen.
- Meldplicht: een ernstig incident melden bij het CSIRT en de toezichthouder. Volgens de Europese richtlijn gaat het om een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand.
- Toezicht: toezichthouders, zoals de Rijksinspectie Digitale Infrastructuur (RDI), controleren of je voldoet.
Wat vraagt de wet van jou als bestuurder?
Het bestuur keurt de maatregelen uit de zorgplicht goed, houdt toezicht op de uitvoering en blijft eindverantwoordelijk, ook als je taken bij een CISO of IT-partner legt. Alle uitvoerende bestuurders volgen een training en kunnen dat aantonen met een certificaat, uiterlijk medio 2028. Lees meer in Opleidingsplicht voor bestuurders.
Kun je als bestuurder persoonlijk worden aangesproken? Dat kan, maar pas bij wezenlijke tekortkomingen. De toezichthouder kan een individuele bestuurder een boete of last onder dwangsom opleggen. Wanneer dat speelt, lees je in Ben je als bestuurder persoonlijk aansprakelijk?
Welke boetes zijn er?
Voor de organisatie volgt de wet de Europese bedragen: voor essentiële entiteiten tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4 procent. Het hoogste bedrag telt. Een incident niet of te laat melden is zelf ook een overtreding.
Wat doe je nu?
- Laat toetsen of je organisatie onder de wet valt, en of de registratie bij het NCSC rond is.
- Zet digitale veiligheid vast op de agenda van het bestuur, bijvoorbeeld elk kwartaal.
- Vraag je IT-partner om een overzicht: welke systemen en gegevens zijn het belangrijkst, wat is al geregeld en wat nog niet.
- Leg vast wat je goedkeurt en waarom, en plan je training.
Waar sta je nu?
Wil je weten waar je organisatie staat? De Kasteelinspectie is een korte, gratis check die laat zien waar je al grip hebt en waar nog niet. Start de Kasteelinspectie.
Meer lezen? Op de Cyberbeveiligingswet-hub staan alle artikelen en veelgestelde vragen.
Dit artikel is geen juridisch advies. Leg je eigen situatie voor aan je adviseur.
Bronnen: Rijksoverheid, "Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht" (7 juli 2026); Rijksinspectie Digitale Infrastructuur, "Bestuurlijke verantwoordelijkheid en governance" (bijgewerkt 24 juli 2026); Binnenlands Bestuur, "Meer dan helft organisaties niet geregistreerd voor cyberwet" (17 augustus 2026); Europese richtlijn (EU) 2022/2555 (NIS2), artikelen 23 en 34. Bijgewerkt in oktober 2026.
Gratis · Vrijblijvend · Direct inzicht
Veelgestelde vragen
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet die deze richtlijn uitvoert. Beide termen verwijzen naar dezelfde verplichtingen.
Sinds wanneer geldt de Cyberbeveiligingswet?
Sinds 15 augustus 2026. De Eerste Kamer stemde op 7 juli 2026 in.
Geldt de wet ook voor kleinere bedrijven?
Direct alleen voor middelgrote en grote organisaties in de aangewezen sectoren. Kleinere bedrijven kunnen er via hun klanten en opdrachtgevers mee te maken krijgen.
Ben ik als bestuurder persoonlijk aansprakelijk?
Niet automatisch. De toezichthouder kan een individuele bestuurder een boete of last onder dwangsom opleggen, maar dat speelt pas bij wezenlijke tekortkomingen. Check je situatie bij je adviseur.
Wat is de meldplicht?
Een ernstig incident meld je bij het CSIRT en de toezichthouder: volgens de Europese richtlijn een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand.
Wat kost het als je niet voldoet?
Tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.