Op 15 augustus 2026 gaat de Cyberbeveiligingswet (Cbw) van kracht, waarmee de Europese NIS2-richtlijn na bijna twee jaar vertraging is omgezet in Nederlandse wetgeving. De wet is bedoeld om de cyberbeveiliging en digitale weerbaarheid van organisaties en vitale sectoren binnen Nederland te versterken.

De Cbw werd op 7 juli 2026 aangenomen, ruim twee jaar na de oorspronkelijke deadline van 17 oktober 2024. De vertraging ontstond door discussies over de reikwijdte van de wet, conflicten tussen toezichthouders en onduidelijkheid over het principe van zelfindicatie, waarbij organisaties zelf moeten bepalen of zij onder de wet vallen en zich moeten melden. Dit leidde tot juridische onzekerheid en uitstel.

De wet is van toepassing op ongeveer 8.000 organisaties in negentien sectoren, waaronder energie, digitale infrastructuur, overheid, ruimtevaart en onderzoek. Daarnaast vallen middelgrote en grote bedrijven onder de wet, met vijftig of meer medewerkers en/of een omzet of balanstotaal van tien miljoen euro. Ook toeleveranciers en dochterbedrijven kunnen onder de wet vallen, afhankelijk van hun rol in de keten. Organisaties kunnen met een zelfevaluatietool een eerste inschatting maken of zij onder de Cyberbeveiligingswet vallen en hoe zij worden gekwalificeerd als ‘essentieel’ of ‘belangrijk’.

Organisaties die onder de wet vallen, moeten voldoen aan vijf basisverplichtingen. Ten eerste geldt een registratieplicht: zij moeten zich vanaf 15 augustus 2026 registreren bij het Nationaal Cyber Security Center (NCSC) via mijn.ncsc.nl. Na registratie krijgen zij toegang tot hun sectorale computer security incident response team (csirt). De organisatie is zelf verantwoordelijk voor tijdige registratie en het actueel houden van gegevens in het entiteitenregister, dat informatie ophaalt uit het handelsregister van de Kamer van Koophandel.

Daarnaast geldt een zorgplicht, waarbij passende technische, organisatorische en fysieke beveiligingsmaatregelen verplicht zijn. Dit omvat onder meer beleid voor netwerk- en informatiesysteembeveiliging, cyberhygiëne, multifactor-authenticatie en continue-authenticatieoplossingen. De tien vereiste zorgplichtmaatregelen zijn nader uitgewerkt door het NCSC. Bestuurders hebben een bestuurlijke verantwoordelijkheid en moeten voldoende kennis en vaardigheden bezitten om cyberrisico’s en genomen maatregelen te beoordelen. Daarom bevat de wet ook een trainingsplicht voor bestuurders.

Verder geldt een meldplicht voor significante cyberincidenten, die binnen 24 uur via het NCSC-meldportaal moeten worden gemeld. Deze meldplicht helpt schade te beperken, ondersteunt herstel en verbetert dreigingsinformatie. Een incident is significant wanneer het de dienstverlening ernstig verstoort, grote financiële schade veroorzaakt of ook andere entiteiten kan raken met materiële of immateriële schade. Tot slot bestaat een informatieplicht: organisaties moeten hun klanten informeren over het incident, de impact en de te nemen acties om schade te beperken.