Cyberbeveiligingswet treedt op 15 augustus 2026 in werking: wat moet je nu doen?

De Cyberbeveiligingswet is definitief. Op 7 juli 2026 heeft de Eerste Kamer ingestemd met de nieuwe wet, die op 15 augustus 2026 officieel in werking treedt. Daarmee wordt de Europese NIS2-richtlijn definitief onderdeel van de Nederlandse wetgeving.

Voor duizenden organisaties betekent dit een belangrijke verandering:

De invoering van de Cyberbeveiligingswet is daarmee een belangrijk moment, maar vooral ook een signaal dat organisaties hun digitale weerbaarheid structureel moeten organiseren. De vraag is daarom niet alleen wanneer de wet ingaat, maar vooral: wat moet je als organisatie nu concreet doen?

In dit artikel leggen we uit wat de Cyberbeveiligingswet inhoudt, voor welke organisaties deze geldt en welke stappen je nu al kunt zetten om goed voorbereid te zijn op 15 augustus 2026.

Met de Cyberbeveiligingswet voert Nederland de Europese NIS2-richtlijn uit. De nieuwe wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en stelt hogere eisen aan de manier waarop organisaties omgaan met cyberrisico’s.

Het doel van de wet is helder: organisaties die een belangrijke rol spelen binnen de Nederlandse economie en maatschappij beter beschermen tegen cyberaanvallen, ransomware, datalekken en andere digitale verstoringen. Tegelijkertijd moeten organisaties aantoonbaar laten zien dat zij risico’s beheersen en voorbereid zijn op incidenten.

Daarbij gaat het nadrukkelijk niet alleen om technische beveiligingsmaatregelen. De Cyberbeveiligingswet vraagt ook aandacht voor governance, risicomanagement, leveranciers, incidentrespons, besluitvorming en bestuurlijke verantwoordelijkheid. Cybersecurity wordt daarmee een integraal onderdeel van de bedrijfsvoering.

Vanaf 15 augustus krijgen organisaties die onder de Cyberbeveiligingswet vallen te maken met verschillende nieuwe verplichtingen. De belangrijkste zijn:

Deze verplichtingen laten zien dat cyberbeveiliging niet langer uitsluitend een technisch vraagstuk is. Ook directie, management, inkoop, HR, juridische zaken en leveranciersmanagement krijgen een belangrijke rol bij het aantoonbaar beheersen van risico’s.

Hoewel de wet pas op 15 augustus officieel ingaat, is dit niet het moment om achterover te leunen. Veel verplichtingen vragen namelijk om voorbereiding. Denk aan het uitvoeren van risicoanalyses, het inrichten van incidentprocedures, het trainen van bestuurders of het beoordelen van kritieke leveranciers. Dat organiseer je niet in een paar dagen.

Daarnaast moeten organisaties die onder de Cyberbeveiligingswet vallen zich registreren bij het NCSC. Het is verstandig om deze registratie nu al voor te bereiden, zodat je na de inwerkingtreding snel kunt aansluiten op de dienstverlening van jouw CSIRT. Organisaties die nu starten, creëren overzicht, kunnen prioriteiten stellen en voorkomen dat de Cyberbeveiligingswet verandert in een haastklus vlak voor de ingangsdatum. In de volgende hoofdstukken nemen we je stap voor stap mee in de voorbereiding en laten we zien welke tien concrete acties je vandaag al kunt ondernemen.

Een van de eerste vragen die veel organisaties zichzelf stellen, is: vallen wij eigenlijk onder de Cyberbeveiligingswet? Dat is een logische vraag. De wet geldt namelijk niet voor iedere organisatie in Nederland. Tegelijkertijd merken we in de praktijk dat veel bedrijven de impact onderschatten. Ook organisaties die niet rechtstreeks onder de wet vallen, krijgen namelijk steeds vaker te maken met aanvullende eisen vanuit klanten en ketenpartners. Daarom is het verstandig om niet alleen te kijken naar de letter van de wet, maar ook naar de rol die jouw organisatie speelt binnen de keten.

De Cyberbeveiligingswet is van toepassing op organisaties die een essentiële of belangrijke dienst verlenen binnen één van de aangewezen sectoren. Daarbij wordt onder andere gekeken naar:

De wet heeft betrekking op 18 sectoren, waaronder:

Voor veel organisaties zal snel duidelijk zijn dat zij onder de Cyberbeveiligingswet vallen. Denk bijvoorbeeld aan netwerkbeheerders, cloudproviders, zorginstellingen of drinkwaterbedrijven.

Bij andere organisaties ligt dat minder eenvoudig. Vooral IT-dienstverleners, softwareontwikkelaars, managed service providers en gespecialiseerde leveranciers moeten goed beoordelen of zij rechtstreeks onder de wet vallen of via hun klanten met de nieuwe eisen te maken krijgen.

Een veelgemaakte misvatting is dat de Cyberbeveiligingswet alleen relevant is voor organisaties die rechtstreeks onder de wet vallen. In werkelijkheid heeft de wet ook grote gevolgen voor leveranciers. Organisaties die wel onder de Cyberbeveiligingswet vallen, moeten namelijk aantonen dat zij hun ketenrisico’s beheersen. Dat betekent dat zij kritische leveranciers gaan beoordelen op informatiebeveiliging, continuïteit en incidentmanagement.

Waar vroeger vaak een vragenlijst voldoende was, zien we nu dat organisaties steeds vaker concreet bewijs vragen. Bijvoorbeeld:

Daardoor krijgen ook leveranciers die zelf niet onder de Cyberbeveiligingswet vallen steeds vaker aanvullende contractuele eisen opgelegd.

Voordat je maatregelen gaat nemen, is het verstandig om eerst vast te stellen hoe relevant de Cyberbeveiligingswet voor jouw organisatie is. Een goede toepasselijkheidsanalyse kijkt niet alleen naar de juridische verplichtingen, maar ook naar de praktijk.

Stel jezelf bijvoorbeeld de volgende vragen:

Door deze vragen te beantwoorden ontstaat snel een eerste beeld van de impact van de Cyberbeveiligingswet op jouw organisatie.

Is duidelijk dat de Cyberbeveiligingswet relevant is voor jouw organisatie? Dan is de volgende stap het uitvoeren van een GAP-analyse. Een GAP-analyse laat zien welke onderdelen al goed zijn ingericht en waar nog verbeteringen nodig zijn om aan de nieuwe wettelijke verplichtingen te voldoen.

Veel organisaties hebben de afgelopen jaren al geïnvesteerd in informatiebeveiliging. Misschien werk je al met ISO 27001, heb je een privacybeleid opgesteld of zijn technische beveiligingsmaatregelen ingericht. Dat vormt een goede basis, maar betekent niet automatisch dat je volledig voldoet aan de eisen van de Cyberbeveiligingswet. Juist de bestuurlijke verantwoordelijkheden, incidentmeldingen en ketenbeheersing vragen vaak om aanvullende maatregelen.

Een goede GAP-analyse kijkt daarom verder dan techniek alleen. Onder andere de volgende onderwerpen komen daarbij aan bod:

Het resultaat is een helder overzicht van de huidige situatie, de belangrijkste risico’s en de acties die prioriteit hebben richting 15 augustus.

De zorgplicht uit de Cyberbeveiligingswet verplicht organisaties om passende beveiligingsmaatregelen te nemen. Maar wat passend is, verschilt per organisatie. Dat hangt af van de risico’s waarmee je te maken hebt. Daarom vormt een actuele risicoanalyse het fundament onder vrijwel alle verplichtingen uit de wet.

Een goede risicoanalyse kijkt niet alleen naar technische kwetsbaarheden, maar juist ook naar de impact op de bedrijfsvoering. Denk bijvoorbeeld aan vragen als:

Door deze risico’s inzichtelijk te maken, kun je onderbouwen waarom bepaalde beveiligingsmaatregelen noodzakelijk zijn en welke prioriteit zij krijgen. Dat maakt de risicoanalyse niet alleen waardevol voor de Cyberbeveiligingswet, maar ook voor de dagelijkse bedrijfsvoering.

Werk je al volgens ISO 27001? Dan heb je een uitstekende uitgangspositie. ISO 27001 helpt organisaties bij het structureel inrichten van informatiebeveiliging, risicomanagement, interne audits, managementbetrokkenheid en continue verbetering.

Toch is ISO 27001 geen vrijstelling voor de Cyberbeveiligingswet. De nieuwe wet stelt aanvullende eisen, bijvoorbeeld op het gebied van registratie, meldplicht, bestuurlijke verantwoordelijkheid, toezicht en ketenrisico’s. Zie ISO 27001 daarom vooral als een stevig fundament waarop je de aanvullende NIS2-eisen efficiënt kunt inrichten. Dat voorkomt dubbel werk en zorgt ervoor dat bestaande processen optimaal worden benut.

Waar cybersecurity vroeger vooral een verantwoordelijkheid was van de IT-afdeling, legt de Cyberbeveiligingswet die verantwoordelijkheid nadrukkelijk bij het bestuur. Cyberrisico’s worden daarmee een strategisch onderwerp dat thuishoort op de agenda van directie en management.

Dat betekent niet dat bestuurders technische specialisten hoeven te worden. Wel moeten zij voldoende kennis hebben om cyberrisico’s, beveiligingsmaatregelen en de impact op de organisatie te kunnen beoordelen. Bovendien moeten zij kunnen aantonen dat zij actief betrokken zijn bij de besluitvorming rondom informatiebeveiliging.

In de praktijk betekent dit dat bestuurders antwoord moeten kunnen geven op vragen als:

Juist daarom is het verstandig om bestuur en management nu al actief te betrekken. Niet alleen tijdens een jaarlijkse update, maar structureel als onderdeel van het risicomanagement.

Investeer in kennis en bewustwording

Wanneer bestuurders begrijpen welke keuzes zij moeten maken en welke risico’s daarbij horen, ontstaat er meer draagvlak voor de maatregelen die nodig zijn.

Geen enkele organisatie kan garanderen dat zij nooit te maken krijgt met een cyberincident. De vraag is daarom niet óf er een incident plaatsvindt, maar hoe je daarop bent voorbereid. Onder de Cyberbeveiligingswet moeten significante incidenten binnen de wettelijke termijnen worden gemeld aan het aangewezen CSIRT en de bevoegde toezichthouder. Dat vraagt om een goed ingericht incidentproces.

De Cyberbeveiligingswet schrijft voor dat bestuurders over voldoende kennis moeten beschikken om hun verantwoordelijkheid goed te kunnen invullen. Een training voor directie en management helpt daarbij. Niet om technische details uit te leggen, maar om inzicht te geven in onderwerpen als:

Tijdens een cyberaanval is er vaak weinig tijd om nog na te denken over verantwoordelijkheden of procedures. Daarom moet vooraf duidelijk zijn:

Een incidentresponsplan is daarom veel meer dan een document in een map. Het is een praktisch draaiboek dat ervoor zorgt dat iedereen weet wat er moet gebeuren wanneer iedere minuut telt.

Een procedure die nooit is geoefend, biedt weinig zekerheid. Organisaties doen er daarom verstandig aan om periodiek een tabletop-oefening of crisissimulatie uit te voeren. Daarbij wordt een realistisch scenario doorlopen, zodat duidelijk wordt waar processen goed werken en waar nog verbeteringen nodig zijn. Deze oefeningen leveren vaak waardevolle inzichten op. Rollen worden duidelijker, communicatie verbetert en eventuele knelpunten komen aan het licht voordat zich een echt incident voordoet.

Eén van de grootste veranderingen binnen NIS2 is de aandacht voor de hele keten. Cybercriminelen richten zich steeds vaker op leveranciers om uiteindelijk bij hun doelwit binnen te komen. Daarom verwacht de Cyberbeveiligingswet dat organisaties niet alleen hun eigen beveiliging op orde hebben, maar ook grip krijgen op de risico’s binnen hun leveranciersketen.

Dat betekent niet dat je verantwoordelijk bent voor alles wat een leverancier doet. Wel moet je kunnen aantonen dat je risico’s hebt beoordeeld en passende maatregelen hebt genomen.

Niet iedere leverancier vormt hetzelfde risico. Begin daarom met het indelen van leveranciers op basis van hun impact op jouw organisatie.

Kritieke leveranciers zijn bijvoorbeeld partijen die:

Door leveranciers te classificeren kun je gericht bepalen welke aanvullende eisen noodzakelijk zijn.

Voor iedere kritieke leverancier is het verstandig om onder andere de volgende vragen te beantwoorden:

Hiermee verschuift de aandacht van een eenmalige leverancierscontrole naar structurele ketenbeheersing.

Steeds meer organisaties vragen hun leveranciers om aantoonbaar te maken hoe informatiebeveiliging is ingericht. Dat gaat verder dan een ingevulde vragenlijst.

Klanten willen steeds vaker inzicht in:

Voor leveranciers biedt dit ook kansen. Wie kan aantonen dat informatiebeveiliging goed is georganiseerd, vergroot het vertrouwen bij bestaande én nieuwe klanten.

Daar kan NIS2 Supply Chain bij helpen. Met SC10, SC20 en SC30 ontstaat een risicogebaseerde manier om aantoonbaar te maken dat je als leverancier passende maatregelen hebt genomen. Niet zwaarder dan nodig, maar wel gestructureerd en toetsbaar.

De Cyberbeveiligingswet draait niet alleen om het nemen van maatregelen. Je moet ook kunnen laten zien welke keuzes zijn gemaakt, waarom deze zijn gemaakt en hoe zij worden geborgd. Aantoonbaarheid wordt daarmee een belangrijk onderdeel van compliance.

Leg daarom onder andere vast:

Deze documentatie helpt niet alleen bij toezicht, maar geeft ook richting richting klanten, auditors, verzekeraars en andere stakeholders. Bovendien voorkomt goede vastlegging discussies achteraf. Wanneer keuzes zijn onderbouwd en besluiten zijn gedocumenteerd, ontstaat er rust, overzicht en grip.

Veel organisaties denken dat zij vóór 15 augustus volledig klaar moeten zijn. Dat is niet realistisch en vaak ook niet nodig. Belangrijker is dat je kunt laten zien dat je weet waar de risico’s zitten, welke maatregelen prioriteit hebben en hoe je deze planmatig gaat uitvoeren. Een goed verbeterplan bevat daarom:

Zo groeit informatiebeveiliging stap voor stap uit tot een structureel onderdeel van de organisatie, in plaats van een tijdelijk complianceproject.

Wil je direct aan de slag? Begin dan met deze tien acties:

Door nu met deze stappen te beginnen voorkom je dat de Cyberbeveiligingswet een last-minute complianceproject wordt. Het uiteindelijke doel is immers niet om zoveel mogelijk documenten te verzamelen, maar om de cyberweerbaarheid van jouw organisatie duurzaam te versterken.

De inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 markeert een belangrijk moment voor Nederlandse organisaties. Cybersecurity wordt daarmee definitief een bestuurlijk en organisatorisch vraagstuk, waarbij risicobeheersing, continuïteit en aantoonbaarheid centraal staan.

Dat betekent niet dat iedere organisatie op 15 augustus volledig klaar moet zijn. Wel is het belangrijk dat je kunt laten zien dat je inzicht hebt in de risico’s, passende maatregelen neemt en gericht werkt aan verdere verbetering.

Wie vandaag begint met het beoordelen van de toepasselijkheid, het uitvoeren van een GAP-analyse en het versterken van de informatiebeveiliging, voorkomt dat de Cyberbeveiligingswet verandert in een last-minute complianceproject. Bovendien bouw je aan iets dat veel belangrijker is dan alleen voldoen aan wetgeving: een organisatie die beter bestand is tegen cyberdreigingen en voorbereid is op de uitdagingen van morgen.

De Cyberbeveiligingswet vraagt om meer dan alleen technische beveiligingsmaatregelen. Het gaat om het organiseren van informatiebeveiliging, het beheersen van risico’s en het aantoonbaar voldoen aan de nieuwe wettelijke eisen.

Onze adviseurs helpen organisaties dagelijks bij het praktisch vertalen van de Cyberbeveiligingswet en NIS2 naar de eigen organisatie. Onder andere door GAP-analyses, ISO 27001 mapping, risicoanalyses, leveranciers- en ketenbeheersing, trainingen, inrichting van governance & incidentrespons en nog veel meer. Zo maken we complexe wetgeving werkbaar en zorgen we ervoor dat jouw organisatie niet alleen voldoet aan de nieuwe eisen, maar ook structureel werkt aan een hogere digitale weerbaarheid.

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Het is dus tijd om nu tot actie over te gaan. Kun je daarbij ondersteuning gebruiken of wil je vrijblijvend een keertje sparren? Neem gerust contact op. Onze adviseurs denken graag met je mee.

Sommige beelden in dit artikel zijn gegenereerd met behulp van AI.