Op 7 juli 2026 nam de Eerste Kamer de Cyberbeveiligingswet aan — de Nederlandse uitwerking van de Europese NIS2-richtlijn. Op 15 augustus 2026 treedt de wet in werking, zonder overgangsperiode. Vanaf dat moment gelden er cybersecurity-verplichtingen voor ruim 8.000 organisaties in kritieke sectoren, zoals energie, drinkwater, gezondheidszorg en digitale infrastructuur.
Het belangrijkste verschil met eerdere wetgeving: de Cyberbeveiligingswet legt de verantwoordelijkheid niet bij "de IT-afdeling", maar expliciet bij het bestuur. Dat is geen dreiging — het is een bevestiging dat jij als bestuurder aan zet bent.
Gratis · Vrijblijvend · Direct inzicht
Wat is de Cyberbeveiligingswet (NIS2)?
NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is hoe Nederland die richtlijn in nationale wetgeving heeft omgezet. In de praktijk worden beide termen door elkaar gebruikt — als je zoekt op "NIS2" of op "Cyberbeveiligingswet", gaat het om dezelfde verplichtingen.
De wet verplicht organisaties om passende technische en organisatorische maatregelen te nemen tegen cyberrisico's, ernstige incidenten te melden bij de toezichthouder, en zich te registreren. Waar de wet nieuw en scherp in is: het bestuur moet deze maatregelen zelf goedkeuren en op de uitvoering toezien — dat kun je niet meer volledig delegeren aan een IT-partner.
Geldt dit ook voor jouw organisatie?
De Cyberbeveiligingswet geldt direct voor middelgrote en grote organisaties in aangewezen kritieke en belangrijke sectoren. Val je daar niet direct onder, dan kan de wet je alsnog raken: veel grotere klanten en ketenpartners eisen van hun toeleveranciers dat zij ook aantoonbaar aan cybersecurity-eisen voldoen. Zo werkt NIS2 in de praktijk ook door naar duizenden MKB-bedrijven die zelf niet onder de rechtstreekse reikwijdte vallen.
Wat betekent dit persoonlijk voor jou als bestuurder?
Dit is het punt waar de meeste bestuurders van opkijken: de Cyberbeveiligingswet regelt niet alleen aansprakelijkheid van de organisatie, maar ook persoonlijke aansprakelijkheid van bestuurders.
Drie verplichtingen die direct bij jou als bestuurder liggen:
- Zorgplicht — je moet risicobeheersingsmaatregelen goedkeuren en toezien op de uitvoering ervan. Dit is een actieve, doorlopende plicht, geen eenmalig vinkje.
- Opleidingsplicht — ieder bestuurslid moet beschikken over voldoende kennis van cybersecurity om deze verantwoordelijkheid waar te kunnen maken. Ook dit is doorlopend, niet eenmalig.
- Persoonlijke aansprakelijkheid — bij grove nalatigheid kun je als bestuurder persoonlijk aansprakelijk worden gesteld, los van de aansprakelijkheid van de organisatie.
Welke boetes staan er op overtreding?
De maximale boete onder de Cyberbeveiligingswet bedraagt 10 miljoen euro of 2% van de wereldwijde jaaromzet — afhankelijk van wat hoger is. Daarnaast geldt een meldplicht bij ernstige cyberincidenten; het niet (tijdig) melden is zelf ook een overtreding.
Wat moet je nu doen als bestuurder?
Je hoeft niet in één keer alles te weten of te regelen. Drie stappen die wél vandaag al zin hebben:
- Breng in kaart waar je staat. Welke data en systemen zijn je kroonjuwelen, wie heeft er toegang toe, en wat is al geregeld? Zonder dit overzicht kun je geen zorgplicht invullen.
- Bepaal je prioriteiten. Niet alles hoeft tegelijk. Een heldere prioriteitenlijst voorkomt dat je verdwaalt in losse maatregelen zonder samenhang.
- Zet concrete, kleine stappen. Structurele grip bouw je op met opeenvolgende, uitvoerbare acties — niet met één groot project dat nooit af is.
De gratis Kasteelinspectie van White Knights doorloopt deze drie stappen in een paar simpele vragen - een paar minuten van je tijd, in gewone taal in plaats van IT-jargon.
Gratis · Vrijblijvend · Direct inzicht
Meer overzicht? Bekijk de Cyberbeveiligingswet-hub met alle artikelen en veelgestelde vragen.
Veelgestelde vragen over de Cyberbeveiligingswet (NIS2)
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet die deze richtlijn uitvoert. Beide termen verwijzen in de praktijk naar dezelfde verplichtingen.
Wanneer treedt de Cyberbeveiligingswet in werking?
Op 15 augustus 2026, zonder overgangsperiode. De wet werd op 7 juli 2026 aangenomen door de Eerste Kamer.
Ben ik als bestuurder persoonlijk aansprakelijk onder NIS2?
Ja. Onder de Cyberbeveiligingswet kunnen bestuurders bij grove nalatigheid in de naleving van de zorgplicht persoonlijk aansprakelijk worden gesteld, los van de aansprakelijkheid van de organisatie zelf.
Geldt NIS2 ook voor kleinere bedrijven (MKB)?
De Cyberbeveiligingswet geldt direct alleen voor aangewezen organisaties in kritieke en belangrijke sectoren. Indirect raakt het ook kleinere toeleveranciers, omdat grotere klanten cybersecurity-eisen doorleggen in de keten.
Wat is de zorgplicht voor bestuurders onder de Cyberbeveiligingswet?
De verplichting om risicobeheersingsmaatregelen goed te keuren en actief toe te zien op de uitvoering ervan — een doorlopende taak, geen eenmalige actie.
Wat is de meldplicht bij een cyberincident?
Organisaties moeten ernstige cyberincidenten binnen een vaste termijn melden bij de toezichthouder. Niet (tijdig) melden is zelf een overtreding van de wet.
Wat kost het als je niet voldoet aan de Cyberbeveiligingswet?
De maximale boete is 10 miljoen euro of 2% van de wereldwijde jaaromzet, met daarnaast het risico op persoonlijke aansprakelijkheid van bestuurders.
Hoe begin ik als bestuurder met NIS2-compliance?
Begin met een nulmeting van je data, systemen en toegangen, stel op basis daarvan prioriteiten, en zet vervolgens kleine, concrete stappen richting naleving van de Cyberbeveiligingswet. De Kasteelinspectie van White Knights biedt hiervoor een gratis startpunt.
Weet je al dat jouw organisatie onder de Cyberbeveiligingswet valt? Dan is de Ronde Tafel je logische volgende stap.
Bronnen: NCSC, DNV, Lupasafe, Holla, Hoek en Blok.IT, SenS Juristen — geraadpleegd juli 2026.