Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
Eerste Kamer stemt in met Cyberbeveiligingswet en Wwke
De Cyberbeveiligingswet gaat op 15 augustus 2026 gelden, samen met de Wet weerbaarheid kritieke entiteiten. Voor overheidsorganisaties en andere organisaties in vitale sectoren betekent dit nieuwe wettelijke eisen rond digitale beveiliging, continuïteit en voorbereiding op verstoringen.
Op 7 juli heeft de Eerste Kamer akkoord gegeven op de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Nederland versterkt daarmee de digitale én fysieke weerbaarheid van organisaties tegen groeiende risico’s.
De twee wetten krijgen werking vanaf 15 augustus 2026. Vanaf die datum moeten ruim 8.000 organisaties in Nederland voldoen aan nieuwe verplichtingen voor cyberbeveiliging. Organisaties die binnen de Wet weerbaarheid kritieke entiteiten vallen, krijgen vanaf dat moment bovendien officieel de status van kritieke entiteit.
Minister van Justitie en Veiligheid David van Weel wijst erop dat organisaties voorbereid moeten zijn op risico’s die essentiële dienstverlening kunnen raken. Hij noemt daarbij digitale dreigingen, sabotage, natuurrampen en andere verstoringen. Volgens de minister vergroten de Cyberbeveiligingswet en de Wwke de weerbaarheid van organisaties en van de samenleving, en moeten organisaties op tijd voldoen aan de nieuwe eisen.
Wat betekent de Cyberbeveiligingswet voor organisaties?
De Cyberbeveiligingswet voert de Europese NIS2-richtlijn in Nederland in. De wet neemt de plaats in van de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties moeten zelf nagaan of zij onder de Cyberbeveiligingswet vallen.
De Cyberbeveiligingswet richt zich op organisaties die essentiële of belangrijke diensten leveren. Het gaat om organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Voor professionals in deze sectoren raakt de wet direct aan bedrijfsvoering, IT-beheer, bestuur en crisisvoorbereiding.
Nieuwe verplichtingen onder de Cyberbeveiligingswet
Organisaties die binnen de Cyberbeveiligingswet vallen, krijgen met meerdere verplichtingen te maken. De kern zit in registreren, risico’s beheersen, incidenten melden, bestuurlijke verantwoordelijkheid nemen en toezicht mogelijk maken.
- Registratieplicht: organisaties moeten zich inschrijven in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC).
- Zorgplicht: organisaties moeten maatregelen treffen om risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen. Die maatregelen moeten incidenten voorkomen of de gevolgen ervan beperken.
- Meldplicht: organisaties moeten significante incidenten binnen de wettelijke termijnen melden bij hun CSIRT en bevoegde autoriteit via het meldportaal.
- Bestuurlijke verantwoordelijkheid: het bestuur draagt de eindverantwoordelijkheid voor cyberrisicobeheersing. Bestuurders moeten genoeg kennis hebben om risico’s en beveiligingsmaatregelen te beoordelen en krijgen daarvoor een passende training.
- Toezicht en handhaving: toezichthouders controleren of organisaties de verplichtingen uit de Cyberbeveiligingswet naleven.
Voor overheidsprofessionals betekent dit dat cyberveiligheid niet alleen een IT-onderwerp blijft. Juristen, beleidsadviseurs, bestuurders, informatiemanagers en crisisprofessionals krijgen allemaal een rol in aantoonbare voorbereiding.
Voorbereidingen richting 15 augustus
Organisaties die onder de Cyberbeveiligingswet vallen, moeten nu praktische stappen zetten. Een eerste stap is registratie bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl. Vanaf 15 augustus is die registratie verplicht.
Een goede voorbereiding voorkomt vertraging bij de inschrijving. Na registratie kunnen organisaties gebruikmaken van de dienstverlening van hun CSIRT. Daar ontvangen zij producten en diensten die de weerbaarheid van de organisatie versterken en ondersteuning bieden bij een incident.
Voor de publieke sector vraagt dit om duidelijke taakverdeling. Denk aan afspraken tussen bestuur, informatiebeveiliging, juridische teams en crisisorganisatie. Wie vóór 15 augustus weet wat er moet gebeuren, voorkomt dat de wettelijke plichten pas bij een incident scherp worden.
Wet weerbaarheid kritieke entiteiten: wie valt hieronder?
De Wet weerbaarheid kritieke entiteiten zet de Europese CER-richtlijn om in Nederlandse wetgeving. Die richtlijn moet kritieke infrastructuur en economische activiteiten in Europa beschermen tegen uiteenlopende dreigingen, zoals de gevolgen van terroristische misdrijven, sabotage en natuurrampen.
De Wwke geldt voor ongeveer 500 organisaties. De wet noemt in elk geval organisaties in de sectoren energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid, ruimtevaart en productie, nucleair, keren en beheren, meteorologie, productie, verwerking en distributie van levensmiddelen.
Een organisatie valt onder de Wet weerbaarheid kritieke entiteiten zodra de vakminister deze aanwijst als kritieke entiteit. Die aanwijzing bepaalt dus formeel of de Wwke voor een organisatie geldt.
Voor publieke organisaties draait de praktische takeaway om drie vragen: valt je organisatie onder de Cyberbeveiligingswet, komt aanwijzing als kritieke entiteit in beeld, en is de voorbereiding op registratie, zorgplicht en meldplicht al gestart?
Veelgestelde vragen
Wanneer gaat de Cyberbeveiligingswet in werking?
De Cyberbeveiligingswet gaat op 15 augustus 2026 in werking. Vanaf die datum moeten ruim 8.000 organisaties in Nederland voldoen aan nieuwe verplichtingen voor cyberbeveiliging. Organisaties moeten zich vóór die datum al inschrijven in het entiteitenregister via het Nationaal Cyber Security Centrum.
Welke organisaties moeten voldoen aan de Cyberbeveiligingswet?
De Cyberbeveiligingswet richt zich op organisaties die essentiële of belangrijke diensten leveren in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Organisaties moeten zelf nagaan of zij onder de wet vallen.
Wat zijn de belangrijkste verplichtingen onder de Cyberbeveiligingswet?
De kernverplichtingen zijn: registratie in het entiteitenregister, zorgplicht (maatregelen treffen om risico’s te beheersen), meldplicht (significante incidenten melden), bestuurlijke verantwoordelijkheid en toezicht mogelijk maken. Het bestuur draagt eindverantwoordelijkheid en moet passende training krijgen.
Wat is het verschil tussen de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten?
De Cyberbeveiligingswet (Cbw) voert de Europese NIS2-richtlijn in en geldt voor ruim 8.000 organisaties. De Wet weerbaarheid kritieke entiteiten (Wwke) voert de Europese CER-richtlijn in en geldt voor ongeveer 500 organisaties. De Wwke beschermt tegen dreigingen zoals terrorisme, sabotage en natuurrampen.
Hoe moeten organisaties zich voorbereiden op de Cyberbeveiligingswet?
Een eerste stap is registratie bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl vóór 15 augustus 2026. Daarna kunnen organisaties gebruikmaken van CSIRT-diensten. Voor de publieke sector is duidelijke taakverdeling belangrijk tussen bestuur, informatiebeveiliging, juridische teams en crisisorganisatie.