De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht. Daarmee heeft Nederland de Europese NIS2-richtlijn omgezet in nationale wetgeving. De nieuwe regels gelden voor ruim 8.000 organisaties die belangrijke of essentiële diensten leveren. Een belangrijk gevolg is dat cybersecurity nadrukkelijk een verantwoordelijkheid van het bestuur wordt. Bestuurders moeten beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis hebben om cyberrisico’s te kunnen beoordelen. Daarmee wordt informatiebeveiliging nog duidelijker onderdeel van governance en risicomanagement.
Organisaties moeten zelf vaststellen of de wet op hen van toepassing is. Wie onder de Cbw valt, krijgt onder meer te maken met een registratieplicht, zorgplicht en meldplicht. Daarnaast is er toezicht op de naleving.
De zorgplicht is een belangrijk onderdeel. Organisaties moeten passende en evenredige maatregelen nemen om risico’s voor netwerk- en informatiesystemen te beheersen. Risicomanagement vormt daarbij de basis. Het NCSC onderscheidt tien onderdelen waarop organisaties ten minste maatregelen moeten nemen. Daaronder vallen risicoanalyse, incidentrespons, continuïteit bij uitval, beveiliging van de toeleveringsketen, cyberhygiëne, toegangsbeheer, cryptografie en het beoordelen van de effectiviteit van beveiligingsmaatregelen.
Ook incidenten krijgen nadrukkelijk aandacht. Significante cyberincidenten moeten binnen wettelijke termijnen worden gemeld bij het aangewezen CSIRT en de bevoegde autoriteit. Welke incidenten als significant gelden, kan per sector verschillen.
Opvallend is vooral de positie van het bestuur. Bestuurders moeten de maatregelen uit de zorgplicht goedkeuren en toezien op de uitvoering. Ook moeten zij over voldoende kennis beschikken om risico’s en maatregelen te beoordelen en daarvoor passende training volgen. Cybersecurity kan daardoor niet uitsluitend worden overgelaten aan de IT-afdeling of securityspecialisten.
Bron: Tweakers – achtergrondartikel over de Cyberbeveiligingswet