Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens het NCSC vallen er ruim 8.000 organisaties onder.
Voor wie geldt de wet?
De wet geldt voor organisaties in sectoren die als essentieel of belangrijk worden gezien, zoals energie, vervoer, zorg, digitale infrastructuur, afvalbeheer, productie van bepaalde producten en voedsel. In de regel gaat het om middelgrote en grote organisaties; kleine bedrijven vallen er meestal níet direct onder, met uitzonderingen voor bijvoorbeeld bepaalde digitale dienstverleners.
Of jouw organisatie eronder valt, kun je nagaan met de zelfevaluatie op de website van het NCSC.
Wat moeten organisaties die eronder vallen doen?
- Zorgplicht: een risicoanalyse maken en op basis daarvan passende maatregelen nemen.
- Meldplicht: significante incidenten binnen 24 uur melden.
- Registratieplicht: zich registreren bij het NCSC.
Het bestuur is eindverantwoordelijk: het moet de maatregelen goedkeuren en toezien op de uitvoering.
En als je er zelf niet onder valt?
Dan kan de wet je toch raken. Organisaties die onder de Cbw vallen, moeten ook kijken naar de beveiliging van hun leveranciers. Ben jij leverancier van een zorginstelling, een energiebedrijf of een producent, dan kun je vragen verwachten over hoe jij je systemen en gegevens beschermt — en misschien eisen in contracten.
Waar begin je?
Voor de meeste MKB-bedrijven draait de digitale werkplek op Microsoft 365. Weten hoe veilig die is ingericht, is een logische eerste stap: het laat zien wat goed staat, wat beter moet, en je hebt iets concreets om te laten zien als een klant ernaar vraagt.
Een M365-audit is geen Cbw-certificering, maar wel een onderbouwd beeld van een belangrijk deel van je beveiliging.
Deze informatie is algemeen en geen juridisch advies. Kijk voor de actuele regels op ncsc.nl.