De Cyberbeveiligingswet legt organisaties in kritieke sectoren concrete verplichtingen op het gebied van risicobeheer, beveiliging en incidentmelding. De wet is de Nederlandse implementatie van de Europese NIS2-richtlijn en geldt in 2026 voor een aanzienlijk grotere groep organisaties dan haar voorganger. In dit artikel beantwoorden we de meest gestelde vragen over wat de Cyberbeveiligingswet precies inhoudt en wat jij als organisatie moet regelen.
Voor welke organisaties geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt voor organisaties die actief zijn in sectoren die als kritiek of belangrijk worden aangemerkt. Denk aan energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, financiële dienstverlening en overheidsinstanties. De wet maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten, waarbij de omvang van de organisatie en de sector bepalen in welke categorie je valt.
In de praktijk betekent dit dat middelgrote en grote ondernemingen in de genoemde sectoren automatisch onder de wet vallen. Een middelgrote organisatie heeft doorgaans meer dan 50 medewerkers of een jaaromzet boven de tien miljoen euro. Kleine organisaties zijn in principe uitgezonderd, maar kunnen alsnog verplicht worden als zij een cruciale rol spelen in hun sector. Voor MKB-bedrijven die als toeleverancier werken voor grotere, verplichte organisaties, is het verstandig om de eigen positie goed te beoordelen, ook al vallen ze formeel buiten de directe werkingssfeer.
Welke concrete maatregelen moeten organisaties treffen?
Organisaties die onder de Cyberbeveiligingswet vallen, zijn verplicht passende technische en organisatorische maatregelen te nemen om cyberrisico’s te beheersen. De wet schrijft geen exacte technische oplossingen voor, maar vereist wel dat de genomen maatregelen in verhouding staan tot de risico’s en de omvang van de organisatie.
De wet noemt een aantal concrete aandachtsgebieden waarop maatregelen verplicht zijn:
- Risicoanalyse en beleid: Een actueel risicobeleid voor informatiebeveiliging opstellen en onderhouden.
- Incidentafhandeling: Procedures inrichten voor het detecteren, reageren op en herstellen van cyberincidenten.
- Bedrijfscontinuïteit: Back-upbeheer, noodherstelplannen en crisismanagement documenteren.
- Beveiliging van de toeleveringsketen: Risico’s bij leveranciers en externe dienstverleners in kaart brengen en beheersen.
- Toegangsbeheer en authenticatie: Sterke authenticatie en het principe van minimale toegangsrechten toepassen.
- Encryptie: Gevoelige gegevens versleutelen, zowel in opslag als bij overdracht.
- Bewustwording en training: Medewerkers regelmatig trainen op cyberveiligheid.
- Kwetsbaarheidsbeheer: Systemen en software actueel houden en kwetsbaarheden tijdig verhelpen.
Het gaat nadrukkelijk om een risicogebaseerde aanpak: de maatregelen moeten aantoonbaar zijn afgestemd op de specifieke dreigingen en de criticaliteit van de systemen die je beheert.
Wat zijn de meldplichten bij een cyberincident?
De Cyberbeveiligingswet introduceert een strikte meldplicht bij significante cyberincidenten. Organisaties zijn verplicht incidenten die een aanzienlijke impact hebben op de continuïteit van hun diensten te melden bij de bevoegde nationale autoriteit. Dit moet in meerdere fasen gebeuren, binnen vaste termijnen.
Vroegtijdige waarschuwing binnen 24 uur
Zodra een organisatie een significant incident ontdekt, moet zij binnen 24 uur een eerste melding doen. Deze vroege waarschuwing hoeft nog niet volledig te zijn, maar geeft de toezichthouder de kans om snel te reageren als dat nodig is. Het doel is situationeel bewustzijn bij de overheid, niet een uitgebreide analyse.
Gedetailleerde melding binnen 72 uur
Binnen 72 uur na ontdekking volgt een gedetailleerdere incidentmelding. Hierin beschrijf je wat er is gebeurd, welke systemen zijn getroffen, wat de oorzaak vermoedelijk is en welke maatregelen al zijn genomen. Na afloop van het incident, doorgaans binnen een maand, stel je een eindrapportage op met de volledige analyse en lessen.
Een incident is “significant” als het leidt tot ernstige operationele verstoringen, financiële schade of als het andere organisaties of personen raakt. De bevoegde autoriteit in Nederland is in de meeste gevallen het Nationaal Cyber Security Centrum (NCSC) of een sectorspecifieke toezichthouder.
Wie is verantwoordelijk voor naleving binnen een organisatie?
De Cyberbeveiligingswet legt de eindverantwoordelijkheid voor naleving expliciet bij het bestuur van de organisatie. Directeuren en andere bestuurders zijn persoonlijk aansprakelijk voor het goedkeuren van het cyberbeveiligingsbeleid en het toezien op de uitvoering ervan. Dit is een wezenlijk verschil met eerdere regelgeving, waarbij verantwoordelijkheid vaak informeel bij de IT-afdeling lag.
In de praktijk betekent dit dat bestuurders:
- het cyberbeveiligingsbeleid formeel moeten goedkeuren;
- aantoonbaar toezicht moeten houden op de implementatie van maatregelen;
- voldoende kennis moeten hebben van cyberrisico’s om weloverwogen beslissingen te nemen;
- trainingen en bewustwordingsprogramma’s actief moeten ondersteunen.
Operationele taken mogen worden gedelegeerd aan een CISO, IT-manager of externe partij, maar de bestuurlijke verantwoordelijkheid blijft bij de top van de organisatie liggen. Dit maakt cyberveiligheid tot een boardroomonderwerp, niet alleen een technisch vraagstuk.
Wat zijn de sancties bij niet-naleving van de Cyberbeveiligingswet?
Bij niet-naleving van de Cyberbeveiligingswet kunnen toezichthouders aanzienlijke boetes opleggen. De hoogte van de sanctie hangt af van de categorie waarin de organisatie valt. Voor essentiële entiteiten kunnen boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van zeven miljoen euro of 1,4 procent van de omzet.
Naast financiële boetes kunnen toezichthouders ook andere handhavingsmaatregelen inzetten, zoals:
- bindende aanwijzingen om specifieke tekortkomingen te herstellen;
- tijdelijke schorsing van een bestuurder bij herhaalde of ernstige overtredingen;
- verplichte audits en inspecties op kosten van de organisatie;
- publicatie van de overtreding, wat reputatieschade kan veroorzaken.
De wet gaat uitdrukkelijk uit van proactief toezicht: organisaties hoeven niet te wachten op een incident om gecontroleerd te worden. Toezichthouders kunnen ook preventief inspecteren of documentatie opvragen.
Hoe verschilt de Cyberbeveiligingswet van de AVG?
De Cyberbeveiligingswet en de AVG overlappen gedeeltelijk, maar hebben een fundamenteel ander doel en bereik. De AVG richt zich op de bescherming van persoonsgegevens en geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt. De Cyberbeveiligingswet richt zich op de weerbaarheid van netwerk- en informatiesystemen in kritieke sectoren, ongeacht of persoonsgegevens in het spel zijn.
De belangrijkste verschillen op een rij:
- Doelstelling: De AVG beschermt privacyrechten van individuen; de Cyberbeveiligingswet beschermt maatschappelijke continuïteit en kritieke infrastructuur.
- Werkingssfeer: De AVG geldt voor bijna alle organisaties; de Cyberbeveiligingswet geldt voor specifieke sectoren en organisatieomvangen.
- Meldplicht: De AVG verplicht melding van datalekken met impact op persoonsgegevens; de Cyberbeveiligingswet verplicht melding van significante verstoringen van dienstverlening, ook zonder datalek.
- Verantwoordelijkheid: Beide wetten leggen verantwoordelijkheid bij de organisatie, maar de Cyberbeveiligingswet benoemt het bestuur expliciet als verantwoordelijke partij.
In de praktijk kunnen beide wetten tegelijk van toepassing zijn op dezelfde organisatie. Een ziekenhuis dat te maken krijgt met een ransomware-aanval, kan zowel onder de meldplicht van de AVG als die van de Cyberbeveiligingswet vallen. Het is dus verstandig om compliance voor beide regelgevingen geïntegreerd aan te pakken.
Hoe kunnen MKB-bedrijven voldoen aan de Cyberbeveiligingswet?
MKB-bedrijven die onder de Cyberbeveiligingswet vallen, kunnen voldoen door een gestructureerde aanpak te hanteren die aansluit op hun omvang en risicoprofiel. De wet vraagt geen perfectie, maar wel aantoonbare inspanning en een gedocumenteerd proces van risicobeheersing.
Een praktische aanpak voor MKB-organisaties omvat de volgende stappen:
- Breng je scope in kaart: Bepaal of en in welke categorie jouw organisatie valt en welke systemen als kritiek worden beschouwd.
- Voer een risicoanalyse uit: Identificeer de grootste dreigingen voor jouw organisatie en prioriteer op basis van impact en kans.
- Stel een basisbeleid op: Documenteer je beveiligingsbeleid, toegangsbeheer, back-upprocedures en incidentresponsplan.
- Train medewerkers: Zorg voor regelmatige bewustwordingstrainingen, ook voor niet-technisch personeel.
- Richt een meldproces in: Weet wie binnen jouw organisatie verantwoordelijk is voor incidentmelding en hoe het proces verloopt.
- Evalueer leveranciers: Beoordeel de cyberveiligheid van je toeleveranciers en leg afspraken vast in contracten.
Voor MKB-bedrijven zonder grote interne IT-capaciteit is uitbesteding aan een gespecialiseerde partner vaak de meest effectieve route.
Hoe Kinwell helpt bij naleving van de Cyberbeveiligingswet
Wij begrijpen dat de Cyberbeveiligingswet voor veel MKB-organisaties een complexe uitdaging is, zeker wanneer de interne IT-capaciteit beperkt is. Kinwell biedt via Kinwell Secure een volledig pakket aan cybersecuritydiensten dat specifiek is afgestemd op de behoeften van het MKB en organisaties in de zorgsector. Concreet helpen wij je met:
- Risicoanalyse en beleidsvorming: We brengen je huidige beveiligingsniveau in kaart en stellen een gedocumenteerd beleid op dat aansluit bij de eisen van de wet.
- Technische implementatie: Van endpoint protection en netwerkmonitoring tot toegangsbeheer en encryptie.
- Incidentrespons en meldproces: We helpen je een werkend meldproces in te richten, zodat je altijd binnen de wettelijke termijnen kunt handelen.
- Leveranciersbeoordelingen: We ondersteunen bij het in kaart brengen van risico’s in jouw toeleveringsketen.
- Bewustwording en training: We verzorgen trainingen voor jouw medewerkers op alle niveaus.
Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt en wat dat concreet betekent? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee.
Vrijblijvend advies
Veelgestelde vragen
Wanneer gaat de Cyberbeveiligingswet precies in en hoe urgent is het om nu al actie te ondernemen?
De Cyberbeveiligingswet treedt naar verwachting in 2026 in werking, maar de voorbereidingstijd is korter dan veel organisaties denken. Een grondige risicoanalyse, het opstellen van beleidsdocumenten en het implementeren van technische maatregelen kosten al snel zes tot twaalf maanden. Wie nu nog niet begonnen is, loopt het risico om bij inwerkingtreding niet compliant te zijn. Het is dan ook verstandig om direct te starten met het in kaart brengen van je scope en het uitvoeren van een nulmeting.
Hoe weet ik zeker of mijn organisatie als 'essentiële entiteit' of als 'belangrijke entiteit' wordt aangemerkt?
De indeling hangt af van twee factoren: de sector waarin je actief bent én de omvang van je organisatie. Essentiële entiteiten zijn doorgaans grote organisaties in hoogrisicosectoren zoals energie, drinkwater en gezondheidszorg. Belangrijke entiteiten zijn middelgrote organisaties in dezelfde of aanverwante sectoren. In de meeste gevallen word je door de toezichthouder geïnformeerd over je classificatie, maar je kunt ook zelf een beoordeling doen op basis van de sectorindeling in de wet. Twijfel je? Laat dan een juridisch of cybersecurity adviseur de beoordeling voor je maken, want de categorie bepaalt rechtstreeks welke boeteplafonds en toezichtseisen op jou van toepassing zijn.
Wat als een cyberincident buiten kantooruren plaatsvindt — hoe zorg ik dat ik de 24-uurs meldtermijn haal?
Dit is een van de meest onderschatte praktische uitdagingen van de meldplicht. Om de 24-uurs termijn ook buiten kantooruren te halen, heb je een 24/7 bereikbaar intern of extern incidentresponsteam nodig, gecombineerd met duidelijke escalatieprocedures die vastleggen wie wanneer gebeld wordt. Stel vooraf een meldsjabloon op zodat de eerste melding snel en gestructureerd kan worden ingediend, ook als de volledige informatie er nog niet is. Veel MKB-organisaties lossen dit op door een managed security service provider (MSSP) in te schakelen die monitoring en eerste respons buiten kantooruren verzorgt.
Kunnen we als organisatie een bestaand ISO 27001-certificaat gebruiken als bewijs van naleving van de Cyberbeveiligingswet?
Een ISO 27001-certificering is een sterke basis en toont aan dat je informatiebeveiliging systematisch aanpakt, maar het is geen automatisch bewijs van volledige naleving van de Cyberbeveiligingswet. De wet stelt aanvullende eisen die niet volledig worden gedekt door ISO 27001, zoals de specifieke meldplicht met vaste termijnen, de expliciete bestuursverantwoordelijkheid en de verplichte beoordeling van toeleveranciersrisico’s. Gebruik je certificering als vertrekpunt en voer een gap-analyse uit om te bepalen welke aanvullende maatregelen nog nodig zijn.
Hoe pak ik de beoordeling van leveranciers aan als ik tientallen externe dienstverleners gebruik?
Begin met een risicogebaseerde prioritering: niet elke leverancier heeft hetzelfde gewicht. Identificeer eerst welke leveranciers toegang hebben tot je kritieke systemen of gevoelige data, en begin de beoordeling daar. Gebruik een gestandaardiseerde vragenlijst of verwijs naar erkende frameworks zoals de ISO 27001-certificering of SOC 2-rapporten van leveranciers als bewijs van hun beveiligingsniveau. Leg afspraken over cyberveiligheid en incidentmelding vervolgens contractueel vast, zodat je ook richting de toezichthouder kunt aantonen dat je toeleveranciersrisico’s actief beheert.
Wat zijn de meest voorkomende fouten die organisaties maken bij de voorbereiding op de Cyberbeveiligingswet?
De meest gemaakte fout is het behandelen van compliance als een eenmalig project in plaats van een doorlopend proces — de wet vereist aantoonbaar onderhoud en evaluatie van maatregelen. Een tweede veelgemaakte fout is het onderschatten van de bestuursverantwoordelijkheid: bestuurders die cyberveiligheid volledig delegeren aan IT zonder zelf betrokken te zijn, voldoen niet aan de wettelijke eisen. Tot slot zien we dat organisaties de toeleveringsketen vergeten: zelfs als je eigen systemen goed beveiligd zijn, kan een onveilige leverancier een aansprakelijkheidsrisico vormen.
Moeten we ook iets communiceren naar klanten of het publiek als we een significant incident melden bij de toezichthouder?
De meldplicht richting de toezichthouder staat los van eventuele communicatieverplichtingen naar klanten of het publiek, maar in de praktijk kunnen beide samenlopen. Als het incident ook een datalek betreft met impact op persoonsgegevens, ben je op grond van de AVG verplicht betrokkenen te informeren. Daarnaast kunnen toezichthouders besluiten om een overtreding of ernstig incident openbaar te maken, wat reputatieschade kan veroorzaken. Het is verstandig om vooraf een crisiscommunicatieplan op te stellen dat zowel de interne escalatie als de externe communicatie naar klanten, partners en media regelt.
