Cyberbeveiligingswet

02 sep 2026

Wat betekent de Cyberbeveiligingswet voor uw organisatie?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet is op 15 augustus 2026 in werking getreden en stelt eisen aan de digitale weerbaarheid van organisaties in Nederland. Valt uw organisatie onder de Cyberbeveiligingswet? Dan krijgt u onder andere te maken met een registratieplicht, zorgplicht en meldplicht. Ook krijgt het bestuur expliciete verantwoordelijkheden op het gebied van cybersecurity.

De Cyberbeveiligingswet raakt duizenden organisaties in onder meer de energievoorziening, gezondheidszorg, industrie, transport en digitale infrastructuur. Voor deze organisaties wordt cybersecurity daarmee nadrukkelijk een organisatiebreed vraagstuk.

Op deze pagina leest u wat de Cyberbeveiligingswet inhoudt, voor wie deze geldt en welke stappen u kunt nemen om aan de slag te gaan.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet, afgekort Cbw, is de Nederlandse wet waarin de Europese NIS2-richtlijn is uitgewerkt. NIS2 heeft als doel om binnen de Europese Unie een hoog gemeenschappelijk niveau van cyberbeveiliging te bereiken.

De Cyberbeveiligingswet vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens de NCTV vallen ruim 8.000 organisaties onder de nieuwe wet.

De wet bevat vier belangrijke onderdelen:

Registratieplicht: organisaties die onder de wet vallen, moeten zich registreren in het entiteitenregister;
Zorgplicht: organisaties moeten cyberrisico's in kaart brengen en passende en evenredige maatregelen nemen;
Meldplicht: significante incidenten moeten worden gemeld;
Bestuurlijke verantwoordelijkheid: het bestuur moet maatregelen voor het beheersen van cyberrisico's goedkeuren en toezicht houden op de uitvoering ervan. Cybersecurity is hierdoor niet uitsluitend meer de verantwoordelijkheid van de IT-afdeling. Ook bestuur, management en andere onderdelen van de organisatie hebben een rol.

Voor wie geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt voor organisaties die actief zijn in specifieke sectoren en aan de criteria uit de wet voldoen. Daarbij zijn onder andere het type organisatie, de sector en in veel gevallen de omvang van de organisatie bepalend.

Het gaat bijvoorbeeld om organisaties binnen sectoren zoals:

Energie;
Transport;
Gezondheidszorg;
Digitale infrastructuur;
Water;
Afvalwater en afvalstoffenbeheer;
Bepaalde productiebedrijven;
Post- en koeriersdiensten;
Digitale aanbieders;
Overheidsorganisaties.

Voor bepaalde soorten organisaties gelden afwijkende regels en kan de wet ongeacht de omvang van toepassing zijn.

De Cyberbeveiligingswet maakt daarnaast onderscheid tussen essentiële en belangrijke entiteiten. Dit onderscheid is onder meer relevant voor het toezicht op de naleving van de wet. Controleer via deze pagina of uw organisaties onder de Cyberbeveiligingswet valt.

Wat zijn de verplichtingen van de Cyberbeveiligingswet?

Organisaties die onder de Cyberbeveiligingswet vallen, moeten aan verschillende wettelijke verplichtingen voldoen. Drie onderdelen zijn daarbij bijzonder belangrijk.

Registratieplicht
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het entiteitenregister. Registratie vindt plaats via MijnNCSC. Lees bij het NCSC hoe u uw organisatie registreert.
Zorgplicht
De zorgplicht gaat over het nemen van passende maatregelen om netwerk- en informatiesystemen veilig, weerbaar en continu beschikbaar te houden.
Meldplicht
Significante incidenten moeten worden gemeld. De Cyberbeveiligingswet bevat daarvoor een gefaseerde meldprocedure. Het is daarom belangrijk dat organisaties vooraf vastleggen hoe cyberincidenten worden gedetecteerd, beoordeeld, geëscaleerd en gemeld.

Naast deze verplichtingen stelt de wet eisen aan de betrokkenheid van het bestuur. Bestuurders moeten onder meer voldoende kennis hebben om cyberrisico's en maatregelen te kunnen beoordelen.

Aan de slag met de Cyberbeveiligingswet in 6 stappen

Weet u dat uw organisatie onder de Cyberbeveiligingswet valt? Dan kunt u onderstaande stappen gebruiken om gestructureerd aan de slag te gaan.

Controleer in welke sector uw organisatie actief is en of u aan de criteria uit de wet voldoet. Bepaal daarnaast of uw organisatie als essentiële of belangrijke entiteit wordt aangemerkt. Controleer bij de NCTV of uw organisatie onder de wet valt.

Naar de zelfevaluatietool

Valt uw organisatie onder de wet? Zorg dan voor registratie in het entiteitenregister via MijnNCSC.

Onderzoek welke cybersecuritymaatregelen al aanwezig zijn. Kijk daarbij niet alleen naar technische beveiliging, maar ook naar beleid, processen, verantwoordelijkheden, incidentmanagement en ketenrisico's.

De overheid biedt hiervoor verschillende hulpmiddelen, waaronder de NIS2-Quickscan en het Cbw Control Framework.

Breng de belangrijkste risico's voor uw netwerk- en informatiesystemen in kaart. Beoordeel vervolgens welke maatregelen nodig zijn om deze risico's passend en evenredig te beheersen.

Vergelijk de bestaande maatregelen met de verplichtingen uit de Cyberbeveiligingswet. Stel prioriteiten voor maatregelen die nog ontbreken of onvoldoende zijn ingericht.

U bent zelf verantwoordelijk om conform de Cyberbeveiligingswet te werken. Echter zal onafhankelijk certificeren door een certificeringsinstantie zoals DEKRA enorm bijdragen aan te voldoen aan deze wet. DEKRA certificeert uw organisatie volgens de NIS2-richtlijn waarna u zelf kunt verklaren dat u voldoet aan de Cyberbeveiligingswet. Bovendien geeft een onafhankelijk audit een veel breder inzicht in het niveau van uw organisatie.

Meer over certificering

Leg vast wie verantwoordelijk is voor cybersecurity, incidenten, rapportage en toezicht. Zorg ook dat het bestuur actief betrokken is.

Cyberrisico's veranderen voortdurend. Evalueer daarom periodiek of maatregelen nog passend en effectief zijn en verbeter deze waar nodig.

Cyberbeveiligingswet in relatie tot internationale normen en richtlijnen

Internationaal erkende normen helpen organisaties om processen te structureren, risico’s te beheersen en compliance objectief te onderbouwen. Afhankelijk van uw organisatie kunnen verschillende normen relevant zijn:

Cyberbeveiligingswet: van verplichting naar digitale weerbaarheid

De Cyberbeveiligingswet vraagt om meer dan het eenmalig invoeren van een aantal beveiligingsmaatregelen. Organisaties moeten cyberrisico's structureel beheersen en maatregelen blijven evalueren.

Een volwassen cybersecurityaanpak bestaat daarom onder andere uit:

Actieve betrokkenheid van bestuur en management;
Regelmatige risicoanalyses;
Duidelijke rollen en verantwoordelijkheden;
Bewustwording en training van medewerkers;
Goed ingerichte incidentprocedures;
Aandacht voor risico's binnen de toeleveringsketen;
Periodieke evaluatie en verbetering van maatregelen.

Zo kan naleving van de Cyberbeveiligingswet tegelijkertijd bijdragen aan een hogere digitale weerbaarheid en betere bedrijfscontinuïteit.

Officiële informatie over de Cyberbeveiligingswet

Voor de actuele wettelijke informatie en hulpmiddelen kunt u terecht bij de Nederlandse overheid:

Cyberbeveiligingswet – NCTV

Welke organisaties vallen onder de Cyberbeveiligingswet? – NCTV

Aan de slag met de Cyberbeveiligingswet – NCTV

Registreren voor de Cyberbeveiligingswet – NCSC

DEKRA en de Cyberbeveiligingswet

De Cyberbeveiligingswet vraagt organisaties om cyberrisico's structureel te beheersen. Internationale normen kunnen helpen om relevante onderdelen van informatie- en cybersecurity systematisch in te richten en onafhankelijk te laten beoordelen. DEKRA ondersteunt organisaties met onafhankelijke audits, GAP-analyses en certificeringen op het gebied van cybersecurity. Met de expertise van DEKRA krijgt u inzicht in belangrijke vragen over de cyberveiligheid van uw organisatie:

Waar zitten de belangrijkste compliance-gaps binnen uw organisatie?
Welke normen sluiten het beste aan in uw situatie?
Welke vervolgstappen zijn nodig?

Wilt u meer weten over hoe DEKRA uw organisatie kan ondersteunen op het gebied van cybersecurity? Neem eenvoudig contact met ons op via het onderstaande formulier.

Veelgestelde vragen over de Cyberbeveiligingswet

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet stelt eisen aan de digitale weerbaarheid van organisaties en bevat onder andere een registratieplicht, zorgplicht en meldplicht.

Nee. NIS2 is een Europese richtlijn en de Cyberbeveiligingswet is de Nederlandse wet waarin deze richtlijn is uitgewerkt. Voor organisaties in Nederland zijn de wettelijke verplichtingen uit NIS2 dus vastgelegd in de Cyberbeveiligingswet.

De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. De wet vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen (Wbni).

Organisaties kunnen zich registreren in het entiteitenregister via MijnNCSC. Het NCSC geeft informatie over de registratieprocedure en de benodigde gegevens.

Meer informatie over registratie bij het NCSC →

Nee, ISO 27001-certificering is niet automatisch verplicht om aan de Cyberbeveiligingswet te voldoen. De norm behandelt wel verschillende onderwerpen die relevant zijn voor de zorgplicht en kan daarom een bruikbaar fundament vormen voor het structureel beheersen van informatiebeveiliging.

Nee. Een ISO 27001-certificering betekent niet automatisch dat uw organisatie aan alle verplichtingen uit de Cyberbeveiligingswet voldoet. Wel kunnen verschillende processen en beheersmaatregelen binnen een ISMS aansluiten op onderwerpen uit de wet.

Must-read whitepapers

Cybercrime in de EU

Hoe speelt uw organisatie een rol in het versterken van de digitale veerkracht van de EU? In deze whitepaper bespreken we de impact van cybercriminaliteit.

Whitepaper aanvragen

Cybersecurity wetgeving overzicht

Deze whitepaper biedt een helder overzicht van de NIS2, RED-DA en CRA, en hoe u kunt voldoen aan de strengere eisen.

Whitepaper aanvragen

Is uw organisatie klaar voor NIS2?

Ontdek wat de richtlijn voor uw organisatie betekent, welke cybersecuritymaatregelen nodig zijn en hoe u uw digitale weerbaarheid kunt versterken.

Whitepaper aanvragen

Ontdek meer DEKRA cyber-services