Cyberbeveiligingswet: vijf acties voor jouw organisatie

De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht. De wet zet de Europese NIS2-richtlijn om in Nederlandse wetgeving en stelt eisen aan de digitale beveiliging van organisaties in aangewezen sectoren, waaronder energie, digitale infrastructuur, gezondheidszorg, overheid en vervoer.

Valt jouw organisatie onder de Cyberbeveiligingswet? Dan moet je bepalen welke verplichtingen voor jouw organisatie gelden en hoe je daaraan voldoet. In dit blog lees je welke vijf acties je nu moet oppakken.

1. Bepaal of de wet op jouw organisatie van toepassing is

Bepaal eerst of jouw organisatie onder de Cyberbeveiligingswet valt. Beoordeel daarvoor de sector, de aard van je dienstverlening en de omvang van je organisatie. Houd ook rekening met uitzonderingen en eventuele aanwijzing door de overheid. Leg vast of jouw organisatie als essentiële of belangrijke entiteit kwalificeert.

Beoordeel daarnaast welke beveiligingseisen klanten aan jouw organisatie stellen. Lever je aan een organisatie die onder de wet valt? Dan val je daardoor niet automatisch zelf onder de wet. Je klant kan wel contractuele eisen stellen aan jouw beveiliging om risico’s in de toeleveringsketen te beperken.

Leg je beoordeling schriftelijk vast. Beschrijf welke activiteiten je hebt beoordeeld, welke criteria je hebt toegepast en waarom je wel of niet onder de wet valt. Zo voorkom je dat je bij een controle opnieuw vanaf nul moet beginnen.

2. Regel de registratie

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het entiteitenregister. In Nederland doe je dit via MijnNCSC, het portaal van het Nationaal Cyber Security Centrum (NCSC). Regel tijdig de benodigde toegang en machtigingen.

De registratie is geen eenmalige administratieve handeling. Organisaties moeten hun gegevens actueel houden en intern bepalen wie verantwoordelijk is voor het beheer ervan. Denk daarom vooraf na over de volgende vragen:

• Wie beheert de registratie?
• Welke gegevens moeten worden aangeleverd?
• Wie controleert wijzigingen in activiteiten, contactpersonen en systemen?
• Hoe zorg je dat een opvolger de registratie zonder problemen kan overnemen?

Een actuele registratie helpt bovendien bij incidenten. Het NCSC en de relevante toezichthouder weten dan hoe zij jouw organisatie kunnen bereiken.

3. Borg de verantwoordelijkheid van het bestuur

Het bestuur moet de beveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering ervan. Bestuurders moeten daarvoor een passende training volgen, zodat zij cyberrisico’s en maatregelen kunnen beoordelen. Leg daarnaast vast welke taken het management en de IT-afdeling uitvoeren.

Dat vraagt om meer dan een jaarlijks beveiligingsrapport. Het bestuur moet inzicht hebben in de belangrijkste risico’s, afhankelijkheden en verbeterpunten. Ook moet duidelijk zijn wie besluiten neemt wanneer een incident de dienstverlening bedreigt.

Bespreek cybersecurity tijdens de reguliere overleggen over plannen, budgetten en resultaten. Wijs budget toe, leg besluiten en verbeteracties vast en controleer of de organisatie die acties uitvoert. Zo kan het bestuur gericht bijsturen.

4. Richt het proces voor incidentmeldingen in

De Cyberbeveiligingswet bevat een meldplicht voor significante incidenten. Dat zijn incidenten die bijvoorbeeld je dienstverlening ernstig verstoren of aanzienlijke schade kunnen veroorzaken. Controleer welke drempelwaarden voor jouw sector gelden. De meldplicht verloopt in fasen:

• Geef zo snel mogelijk, uiterlijk binnen 24 uur na kennisname van (het vermoeden van) een significant incident, een vroegtijdige waarschuwing.
• Dien doorgaans uiterlijk binnen 72 uur na kennisname van het incident de incidentmelding in, met een eerste beoordeling van de ernst en gevolgen.
• Dien uiterlijk één maand na de incidentmelding een eindverslag in. Loopt het incident nog? Stuur dan een voortgangsverslag en lever het eindverslag binnen één maand na afhandeling aan.

Voor vertrouwensdienstverleners geldt voor de incidentmelding een termijn van 24 uur. Ook kan Europese sectorwetgeving, zoals DORA, een andere meldroute voorschrijven. Controleer daarom welke regels voor jouw organisatie gelden.

Wacht dus niet tot alle feiten bekend zijn. Via het centrale meldpunt op MijnNCSC bereik je met één melding het bevoegde Computer Security Incident Response Team (CSIRT) en de toezichthouder. Bepaal vooraf:

• Wie beoordeelt of een incident significant is?
• Wie mag namens de organisatie melden?
• Welke informatie moet beschikbaar zijn?
• Hoe bereik je bestuur, IT, communicatie en juridische adviseurs buiten kantooruren?
• Hoe leg je besluiten en tijdstippen vast?

Een incidentprocedure die alleen op papier bestaat, helpt weinig tijdens een ransomware-aanval of grote storing. Test het proces daarom met een oefening. Simuleer bijvoorbeeld dat een belangrijke leverancier uitvalt en laat betrokken medewerkers bepalen wanneer en hoe zij melden.

5. Toon aan dat je aan de zorgplicht voldoet

De zorgplicht verplicht organisaties om passende en evenredige maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. De precieze maatregelen hangen af van de risico’s, de omvang van de organisatie en de aard van de dienstverlening.

Begin met een overzicht van je belangrijkste processen, systemen, gegevens en leveranciers. Beoordeel vervolgens welke dreigingen de continuïteit van je dienstverlening kunnen raken. Denk aan phishing, ransomware, uitval van cloudleveranciers, misbruik van accounts en kwetsbaarheden in software.

Denk bij de uitwerking van je maatregelen onder meer aan:

• Toegangsbeheer en multifactor-authenticatie
• Back-ups en hersteltests
• Patch- en kwetsbaarhedenmanagement
• Logging en monitoring
• Incidentrespons en crisiscommunicatie
• Beveiliging van de toeleveringsketen
• Periodieke training en bewustwording

Leg vast welke maatregelen je neemt en waarom ze passen bij de risico’s van je organisatie. Toets ook of ze werken. Bewaar bijvoorbeeld verslagen van hersteltests en incidentoefeningen, evalueer de resultaten en leg vast hoe je verbeterpunten opvolgt. Zo maak je zichtbaar hoe je aan de zorgplicht voldoet.

Zet de volgende stap

Breng in kaart welke van deze vijf acties jouw organisatie al heeft uitgevoerd en waar nog werk nodig is. Wijs voor iedere openstaande actie een verantwoordelijke en een deadline aan. Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt of waar je nog moet bijsturen? Wij helpen je graag bij de beoordeling en de vervolgstappen.