Op dinsdag 7 juli is het wetsvoorstel van de Cyberbeveiligingswet (“Cbw”) aangenomen door de Eerste Kamer, samen met de Wet weer baarheid kritieke entiteiten (“Wwke”). Eerder, op 15 april, had de Tweede Kamer al ingestemd met het wetsvoorstel. De wet treedt al in werking op 15 augustus 2026. De Cbw implementeert de Europese NIS2-richtlijn en zal de huidige Wet beveiliging netwerk- en informatiesystemen (“Wbni”) vervangen.

Wat betekent dit voor u?

Vanaf 15 augustus 2026 zullen de verplichtingen uit de Cbw gelden voor ruim 8000 organisaties die essentiële of belangrijke diensten leveren. De organisaties die onder de Wwke vallen zullen vanaf dat moment als kritieke organisatie worden zijn aangewezen.

Organisaties zullen zelf moeten nagaan of zij onder de Cbw vallen. Dit kunnen zij bijvoorbeeld doen met deze zelfevaluatietoolvan de Rijksoverheid. De wet is van toepassing op 18 sectoren, zoals het bankwezen, energie, digitale aanbieders en digitale infrastructuur.

Bron: https://www.nctv.nl/onderwerpen/c/cyberbeveiligingswet/welke-organisaties-vallen-onder-de-cyberbeveiligingswet

Belangrijkste verplichtingen onder de Cbw

Omdat de verplichtingen al vanaf 15 augustus 2026 gelden, is het belangrijk dat organisaties nu al stappen ondernemen om compliant te zijn. In onze vorige blogs van 7 april , 30 oktober en 19 september kunt u meer lezen over de inhoud van deze verplichtingen. In het kort zijn de belangrijkste verplichtingen:

• Registratieplicht: Organisaties moeten zich registreren in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC). Ook financiële instellingen vallend onder de Digital Operational Resilience Act moeten dat doen. Organisaties kunnen zich alvast voorbereiden met deze checklist. Na de registratie kunnen de organisaties gebruik maken van de diensten van hun Computer Security Incident Response Team (“CSIRT”), ter ondersteuning van het vergroten van de weerbaarheid.
• Zorgplicht: Organisaties moeten passende maatregelen nemen om risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. De zorgplicht uit de Cbw is risicogebaseerd, waarbij organisaties op basis van een door hen uit te voeren risicoanalyse, een eigen invulling mogen geven aan de in het kader van die zorgplicht te nemen maatregelen om incidenten te voorkomen en gevolgen te beperken.
• Meldplicht: Organisaties moeten significante incidenten melden bij het CSIRT en de bevoegde toezichthouder via het meldportaal.
• Bestuurders eindverantwoordelijk: De bestuurders van organisaties zijn eindverantwoordelijk voor de naleving van alle Cbw verplichtingen. Zij moeten hiertoe beschikken over aantoonbare kennis en vaardigheden om risico’s en beveiligingsmaatregelen te kunnen beoordelen en daarvoor regelmatig trainingen volgen. Zie ook onze eerdere blog over bestuurders en de Cbw.

Wat staat er op de planning?

Guidelines van de Europese Commissie

In de Nota naar aanleiding van het tweede verslag (29 juni jl.) heeft de minister van Justitie en Veiligheid (de “minister”) vragen van de Eerste Kamer beantwoord over het wetsvoorstel. Een veelgehoorde zorg is de verwachte regeldruk. De minister legt uit dat bij het opstellen van de Cbw, binnen de kaders van de NIS2-richtlijn, lage regeldruk voor bedrijven steeds een belangrijk uitgangspunt was, vooral als het gaat om de toeleveringsketen.

Volgens de minister, heeft ook de Europese Commissie hier aandacht voor. De laatste stelt voor om guidelines te ontwikkelen met aanbevelingen over hoeveel detail en welk format bedrijven moeten gebruiken als zij (vanwege de op hen berustende zorgplicht) informatie opvragen bij partijen in hun toeleveringsketen. Dit kan de lasten voor leveranciers en dienstverleners verlichten en zorgen voor een consistente en efficiënte aanpak om de  toeleveringsketen te beveiligen. De minister heeft dit voorstel, mede met het oog op de toeleveringsketen, positief beoordeeld.

Cyberbeveiligingsbesluit

Het Cyberbeveiligingsbesluit, dat uitvoering geeft aan de regels ter uitvoering van de Cbw treedt eveneens op 15 augustus 2026 in werking. De Afdeling advisering van de Raad van State heeft op 1 juni jl. advies gegeven om het ontwerpbesluit nog aan te passen op vier onderwerpen: de bewaartermijn voor persoonsgegevens; de criteria voor wat een “significant incident” is; de aanwijzing van CSIRT’s bij of krachtens algemene maatregel van bestuur in plaats van bij ministeriële regeling en de nafase na een significant incident.

Ten aanzien van de consultatieversie verdienen verschillende wijzigingen in de uiteindelijke versie van het Cyberbeveiligingsbesluit bijzondere aandacht, bijvoorbeeld:

• Artikel 8, tweede lid, beperkt de monitoringsverplichting tot incidenten. Opvallend is dat de bepaling ‘bijna-incidenten’, cyberbedreigingen en kwetsbaarheden niet langer noemt, terwijl de consultatieversie deze categorieën uitdrukkelijk wel vermeldt.
• Artikel 9 vervangt het gecombineerde bedrijfscontinuïteits- en noodvoorzieningenplan door afzonderlijke verplichtingen. Het besluit verplicht organisaties tot een bedrijfscontinuïteitsbeleid, processen voor bedrijfscontinuïteit, een bedrijfscontinuïteitsplan, een zelfstandig herstelplan (vierde lid) en een crisisbeheerplan. Het herstelplan moet schriftelijk worden vastgelegd, toegepast en periodiek getest.
• Artikel 10 schrapt de verplichting om schriftelijke afspraken met rechtstreekse leveranciers vast te leggen en een leveranciersoverzicht bij te houden. Daarvoor in de plaats toetst de organisatie leveranciers periodiek aan de eigen beveiligingseisen van artikel 7, vijfde lid.
• Artikel 24 (voorheen artikel 25) breidt de inhoud van de vroegtijdige waarschuwing uit. De waarschuwing bevat voortaan ook een beschrijving van de aard en de op dat moment merkbare gevolgen van het incident (onder b) en, naast reeds genomen maatregelen, de voorgenomen maatregelen om de gevolgen te beperken of herhaling te voorkomen (onder d).

Aan de slag

Als nog niet duidelijk is of uw organisatie onder de Cbw valt, is dat de eerste stap gelet op de inwerkingtreding op 𝟏𝟓 𝐚𝐮𝐠𝐮𝐬𝐭𝐮𝐬 𝟐𝟎𝟐𝟔.

Vragen over de juridische impact van de Cbw: van scope-analyse tot  bestuursaansprakelijkheid en toezicht & handhaving. Voor u als bestuurder of voor uw organisatie? Neem dan contact op met Machteld Robichon, Bente van Kan of Lucas de Vet.

Met dank aan Daan Zwinkels