De Eerste Kamer heeft op 7 juli 2026 ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Deze wetten treden op 15 augustus 2026 in werking en versterken de digitale en fysieke weerbaarheid van organisaties tegen toenemende dreigingen. Vanaf die datum gelden nieuwe verplichtingen voor meer dan 8.000 organisaties in Nederland op het gebied van cyberbeveiliging. Organisaties die onder de Wet weerbaarheid kritieke entiteiten vallen, worden vanaf dat moment formeel aangewezen als kritieke entiteit.

De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet is van toepassing op organisaties die essentiële of belangrijke diensten leveren in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder deze wet vallen.

De wet introduceert onder meer een registratieplicht via het Nationaal Cyber Security Centrum (NCSC), een zorgplicht om risico’s op netwerk- en informatiesystemen te beheersen en een meldplicht voor significante incidenten aan het CSIRT en bevoegde autoriteiten. Bestuurders zijn eindverantwoordelijk voor cyberrisicobeheersing en dienen over voldoende kennis te beschikken, waarvoor passende training verplicht is. Toezichthouders zullen controleren of organisaties voldoen aan de verplichtingen uit de Cyberbeveiligingswet, waarbij organisaties worden opgeroepen tijdig aan de verplichtingen te voldoen.

Organisaties wordt aangeraden zich nu al voor te bereiden op de registratie bij het NCSC, die vanaf 15 augustus verplicht is. Na registratie kunnen zij gebruikmaken van de diensten van hun CSIRT, die ondersteuning biedt bij het vergroten van de weerbaarheid en bij incidenten.

De Wet weerbaarheid kritieke entiteiten implementeert de Europese CER-richtlijn en richt zich op de bescherming van kritieke infrastructuur en economische activiteiten tegen dreigingen zoals terroristische misdrijven, sabotage en natuurrampen. Deze wet geldt voor circa 500 organisaties in sectoren als energie, vervoer, bankwezen, financiële infrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur en overheid. Meer informatie over vitale infrastructuur is hier beschikbaar.