Wat verandert er door de Cyberbeveiligingswet?

De Cyberbeveiligingswet verandert de spelregels voor informatiebeveiliging in Nederland ingrijpend. De wet vertaalt de Europese NIS2-richtlijn naar Nederlands recht en legt concrete verplichtingen op aan organisaties in kritieke sectoren: een zorgplicht voor risicobeheersing, een meldplicht voor cyberincidenten en persoonlijke aansprakelijkheid voor bestuurders. De wet treedt naar verwachting medio 2026 in werking. In dit artikel beantwoorden we de meest gestelde vragen over wat de Cyberbeveiligingswet concreet betekent voor uw organisatie.

Voor welke organisaties geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt voor organisaties in sectoren die worden aangemerkt als kritiek of belangrijk voor de Nederlandse samenleving. De wet maakt onderscheid tussen twee categorieën: essentiële entiteiten en belangrijke entiteiten. Welke categorie van toepassing is, bepaalt de intensiteit van het toezicht en de hoogte van mogelijke boetes.

Essentiële entiteiten

Tot de essentiële entiteiten behoren organisaties in sectoren zoals energie, transport, drinkwater, bankwezen, financiële marktinfrastructuur, gezondheidszorg, digitale infrastructuur en overheid. Het gaat doorgaans om middelgrote tot grote organisaties die een cruciale rol spelen in de maatschappij. Zij vallen onder het zwaarste toezichtregime en hebben de meest uitgebreide verplichtingen.

Belangrijke entiteiten

Belangrijke entiteiten opereren in aanvullende sectoren zoals post- en koeriersdiensten, afvalstoffenbeheer, chemische industrie, levensmiddelenproductie en digitale aanbieders. Ook zij moeten voldoen aan de zorgplicht en meldplicht, maar het toezicht is reactiever van aard: de toezichthouder treedt doorgaans pas op na een melding of incident.

Een belangrijk aandachtspunt: ook organisaties die niet zelf onder de Cyberbeveiligingswet vallen, kunnen indirect te maken krijgen met de eisen. NIS2-plichtige opdrachtgevers stellen namelijk steeds vaker aanvullende beveiligingseisen aan hun leveranciers en ketenpartners. Dat maakt ISO 27001-certificering ook voor niet-plichtige organisaties strategisch relevant.

Wat zijn de nieuwe zorgplichtverplichtingen onder de Cyberbeveiligingswet?

De zorgplicht onder de Cyberbeveiligingswet verplicht organisaties om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen. De wet schrijft geen specifieke oplossingen voor, maar verwacht wel dat organisaties aantoonbaar nadenken over risico’s en daar doeltreffend op reageren.

Concreet omvat de zorgplicht onder meer de volgende maatregelen:

• Risicoanalyse en beleid voor de beveiliging van informatie- en netwerksystemen
• Maatregelen voor bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen
• Beveiliging van de toeleveringsketen, inclusief eisen aan leveranciers
• Toegangsbeheer en authenticatiemaatregelen
• Encryptie en cryptografische maatregelen
• Bewustwording en opleiding van medewerkers
• Procedures voor het omgaan met en melden van beveiligingsincidenten

Opvallend is dat de zorgplicht nadrukkelijk verder gaat dan puur technische maatregelen. Net als bij ISO 27001 gaat het om een combinatie van techniek, fysieke beveiliging, menselijk gedrag en organisatorisch beleid. Cybersecuritywetgeving in Nederland vraagt daarmee om een brede, geïntegreerde aanpak van informatiebeveiliging.

Hoe werkt de meldplicht voor cyberincidenten?

De meldplicht voor cyberincidenten onder de Cyberbeveiligingswet verplicht organisaties om significante incidenten te melden bij de bevoegde nationale autoriteit. Een incident geldt als significant als het aanzienlijke gevolgen heeft of kan hebben voor de dienstverlening of voor andere organisaties. De meldplicht kent een gefaseerde structuur met strikte termijnen.

De melding verloopt in drie stappen:

1. Vroegtijdige waarschuwing: binnen 24 uur na ontdekking van een significant incident moet een eerste melding worden gedaan. Dit hoeft nog geen volledige analyse te bevatten.
2. Incidentmelding: binnen 72 uur volgt een meer gedetailleerde melding met een eerste beoordeling van de ernst, de oorzaak en de getroffen maatregelen.
3. Eindrapport: uiterlijk één maand na de incidentmelding moet een volledig eindrapport worden ingediend met een grondige analyse, de impact en de genomen herstelmaatregelen.

De meldplicht voor cyberincidenten heeft als doel om overheden en toezichthouders tijdig te informeren zodat zij snel kunnen reageren en verdere verspreiding van schade kunnen beperken. Voor organisaties betekent dit dat zij incidentresponsprocedures op orde moeten hebben en intern duidelijk moeten hebben wie verantwoordelijk is voor het doen van meldingen.

Wat verandert er voor bestuurders en directie?

De Cyberbeveiligingswet introduceert een directe verantwoordelijkheid voor bestuurders en directieleden. Zij zijn persoonlijk verantwoordelijk voor het naleven van de zorgplicht en moeten aantoonbaar betrokken zijn bij het cybersecuritybeleid van de organisatie. Dat is een wezenlijke verschuiving ten opzichte van de situatie waarbij informatiebeveiliging primair bij de IT-afdeling lag.

Concreet betekent dit voor bestuurders en directie:

• Zij moeten de beveiligingsmaatregelen van de organisatie goedkeuren en toezicht houden op de uitvoering.
• Zij zijn verplicht om trainingen te volgen zodat zij voldoende kennis hebben om risico’s te beoordelen en te sturen.
• Bij een ernstige overtreding kunnen zij persoonlijk aansprakelijk worden gesteld, wat in uitzonderlijke gevallen kan leiden tot een tijdelijk verbod op het uitoefenen van leidinggevende functies.

Deze persoonlijke aansprakelijkheid maakt cybersecurity een bestuurlijk thema in plaats van een puur operationeel vraagstuk. Organisaties die informatiebeveiliging nog behandelen als een technische aangelegenheid, zullen hun governancestructuur moeten aanpassen.

Hoe hoog zijn de boetes bij niet-naleving?

De boetes onder de Cyberbeveiligingswet zijn aanzienlijk en variëren afhankelijk van de categorie waarin een organisatie valt. Voor essentiële entiteiten liggen de maximale boetes hoger dan voor belangrijke entiteiten. In beide gevallen wordt de hoogte van de boete bepaald door factoren zoals de ernst van de overtreding, de omvang van de organisatie en de wereldwijde jaaromzet. Hoe groter de organisatie en hoe ernstiger de overtreding, hoe hoger de potentiële sanctie kan uitvallen.

Naast financiële sancties kunnen toezichthouders ook andere handhavingsmaatregelen opleggen, zoals bindende aanwijzingen, openbare bekendmakingen van overtredingen of een tijdelijk verbod op het uitoefenen van bepaalde activiteiten. De combinatie van hoge boetes en reputatieschade maakt naleving van de NIS2-richtlijn en de Cyberbeveiligingswet voor veel organisaties een prioriteit.

Hoe bereid je een organisatie voor op de Cyberbeveiligingswet?

Een organisatie bereidt zich voor op de Cyberbeveiligingswet door eerst te bepalen of zij onder de wet valt, vervolgens een nulmeting uit te voeren om de huidige beveiligingsstatus in kaart te brengen, en daarna gericht maatregelen te implementeren die aansluiten bij de zorgplicht. ISO 27001 wordt door veel organisaties gebruikt als praktisch kader om aan de eisen van de wet te voldoen.

Een gestructureerde voorbereiding omvat de volgende stappen:

1. Bepaal uw categorie: valt u onder de essentiële of de belangrijke entiteiten, of bent u leverancier van een NIS2-plichtige partij?
2. Voer een nulmeting uit: breng in kaart welke beveiligingsmaatregelen al aanwezig zijn en waar de grootste hiaten zitten.
3. Stel een risicoanalyse op: identificeer de risico’s voor uw netwerk- en informatiesystemen en prioriteer de aanpak.
4. Implementeer passende maatregelen: denk aan toegangsbeheer, encryptie, bewustwordingstrainingen en procedures voor incidentrespons.
5. Richt een meldproces in: zorg dat duidelijk is wie verantwoordelijk is voor het melden van incidenten en hoe dat proces verloopt.
6. Betrek de directie: zorg voor formele goedkeuring van het beveiligingsbeleid op bestuursniveau.

Organisaties die al werken met een Information Security Management System op basis van ISO 27001 hebben een stevige voorsprong. Waar de Cyberbeveiligingswet de verplichting vormt, biedt ISO 27001 een toetsbaar kader dat direct aansluit op de eisen. Aanvullend kan een GAP-analyse inzichtelijk maken welke specifieke NIS2-eisen nog aanvullende aandacht vragen bovenop een bestaande ISO 27001-basis.

Hoe Kwinzo helpt bij voorbereiding op de Cyberbeveiligingswet

Wij helpen organisaties in zorg, ICT en onderwijs om aantoonbaar te voldoen aan de eisen van de Cyberbeveiligingswet en de onderliggende NIS2-richtlijn. Onze aanpak is praktisch en gericht op wat echt werkt in de dagelijkse praktijk van uw organisatie, niet op papieren exercities.

Wat wij voor u kunnen doen:

• Nulmeting en GAP-analyse: we brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-eisen en welke stappen nodig zijn om compliant te worden.
• Implementatiebegeleiding: we begeleiden u stap voor stap bij het inrichten van een ISMS dat voldoet aan ISO 27001 en aansluit op de Cyberbeveiligingswet.
• Interne audits: een onafhankelijke interne audit geeft inzicht in verbeterpunten en bereidt uw organisatie voor op externe toetsing.
• Trainingen en workshops: maandelijkse kennissessies voor Security Officers en bewustwordingstrainingen voor medewerkers en directie.
• Ondersteuning op maat: van volledige begeleiding tot een doe-het-zelf-aanpak met onze eigen ISMS-tool en praktische hulpmiddelen.

Wilt u weten of uw organisatie onder de Cyberbeveiligingswet valt en wat er concreet van u wordt verwacht? Neem contact op voor een vrijblijvend adviesgesprek. We maken samen een heldere inschatting van de benodigde stappen, doorlooptijd en inzet.