Van NIS2 naar de Cyberbeveiligingswet (Cbw)
NIS2 wordt in Nederland omgezet naar de nieuwe Cyberbeveiligingswet (Cbw). De verwachting is dat deze wet in het tweede kwartaal van 2026 officieel in werking treedt.
De Cbw bestaat uit drie lagen:
- De wet zelf: hoofdlijnen van de verplichtingen
- Het Cyberbeveiligingsbesluit (Cbb): nadere uitwerking van o.a. zorgplicht, registratie en opleidingen
- Ministeriële regelingen: aanvullende eisen per sector
Wat betekent de Cyberbeveiligingswet voor jouw organisatie?
Organisaties die onder de Cbw vallen, krijgen te maken met meerdere verplichtingen. De belangrijkste zijn:
1. Zorgplicht
Organisaties moeten passende technische en organisatorische maatregelen nemen, zoals:
- Risicoanalyses
- Incidentmanagement
- Encryptie en toegangsbeheer
- Back-up & recovery
- Crisismanagement
2. Meldplicht
Bij ernstige incidenten gelden vaste termijnen:
- Binnen 24 uur: voorlopige melding
- Binnen 72 uur: aanvullende informatie
- Binnen 1 maand: uitgebreid eindrapport
3. Registratieplicht
Organisaties die onder NIS2/Cbw vallen moeten zich registreren bij de overheid.
4. Opleidingsplicht voor bestuurders
Bestuurders moeten aantoonbaar kennis hebben van cybersecurity om hun verantwoordelijkheid te dragen.
Voor welke sectoren en organisaties geldt NIS2?
Essentiële sectoren
- Energie
- Transport
- Bankwezen & financiële infrastructuur
- Gezondheidszorg
- Drinkwatervoorziening
- Digitale infrastructuur
- Overheidsdiensten
- Afval- en waterbeheer
Belangrijke sectoren
- Voedselproductie
- Chemische industrie
- Post- en koeriersdiensten
- Fabrikanten van medische hulpmiddelen
- Datacenterbeheerders
- Telecom
- IT-dienstverleners
- Leveranciers van kritieke onderdelen
Ook middelgrote organisaties (50+ medewerkers of €10M omzet) in deze sectoren vallen er vaak onder.
