Op dinsdag 7 juli is het wetsvoorstel van de Cyberbeveiligingswet (“Cbw”) aangenomen door de Eerste Kamer, samen met de Wet weer baarheid kritieke entiteiten (“Wwke”). Eerder, op 15 april, had de Tweede Kamer al ingestemd met het wetsvoorstel. De wet treedt al in werking op 15 augustus 2026. De Cbw implementeert de Europese NIS2-richtlijn en zal de huidige Wet beveiliging netwerk- en informatiesystemen (“Wbni”) vervangen.

Wat betekent dit voor u?

Vanaf 15 augustus 2026 zullen de verplichtingen uit de Cbw gelden voor ruim 8000 organisaties die essentiële of belangrijke diensten leveren. De organisaties die onder de Wwke vallen zullen vanaf dat moment als kritieke organisatie worden zijn aangewezen.

Organisaties zullen zelf moeten nagaan of zij onder de Cbw vallen. Dit kunnen zij bijvoorbeeld doen met deze zelfevaluatietoolvan de Rijksoverheid. De wet is van toepassing op 18 sectoren, zoals het bankwezen, energie, digitale aanbieders en digitale infrastructuur.

Bron: https://www.nctv.nl/onderwerpen/c/cyberbeveiligingswet/welke-organisaties-vallen-onder-de-cyberbeveiligingswet

Belangrijkste verplichtingen onder de Cbw

Omdat de verplichtingen al vanaf 15 augustus 2026 gelden, is het belangrijk dat organisaties nu al stappen ondernemen om compliant te zijn. In onze vorige blogs van 7 april , 30 oktober en 19 september kunt u meer lezen over de inhoud van deze verplichtingen. In het kort zijn de belangrijkste verplichtingen:

• Registratieplicht: Organisaties moeten zich registreren in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC). Organisaties kunnen zich alvast voorbereiden met deze Na de registratie kunnen de organisaties gebruikmaken van de diensten van hun Computer Security Incident Response Team (“CSIRT”), ter ondersteuning van het vergroten van de weerbaarheid.
• Zorgplicht: Organisaties moeten passende maatregelen nemen om risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. De zorgplicht uit de Cbw is risicogebaseerd, waarbij organisaties op basis van een door hen uit te voeren risicoanalyse, een eigen invulling mogen geven aan de in het kader van die zorgplicht te nemen maatregelen om incidenten te voorkomen en gevolgen te beperken.
• Meldplicht: Organisaties moeten significante incidenten melden bij het CSIRT en de bevoegde toezichthouder via het meldportaal.
• Bestuurders eindverantwoordelijk: De bestuurders van organisaties zijn eindverantwoordelijk voor de naleving van alle Cbw verplichtingen. Zij moeten hiertoe beschikken over aantoonbare kennis en vaardigheden om risico’s en beveiligingsmaatregelen te kunnen beoordelen en daarvoor regelmatig trainingen volgen. Zie ook onze eerdere blog over bestuurders en de Cbw.

Wat staat er op de planning?

Guidelines van de Europese Commissie

In de Nota naar aanleiding van het tweede verslag (29 juni jl.) heeft de minister van Justitie en Veiligheid (de “minister”) vragen van de Eerste Kamer beantwoord over het wetsvoorstel. Een veelgehoorde zorg is de verwachte regeldruk. De minister legt uit dat bij het opstellen van de Cbw, binnen de kaders van de NIS2-richtlijn, lage regeldruk voor bedrijven steeds een belangrijk uitgangspunt was, vooral als het gaat om de toeleveringsketen.

Volgens de minister, heeft ook de Europese Commissie hier aandacht voor. De laatste stelt voor om guidelines te ontwikkelen met aanbevelingen over hoeveel detail en welk format bedrijven moeten gebruiken als zij (vanwege de op hen berustende zorgplicht) informatie opvragen bij partijen in hun toeleveringsketen. Dit kan de lasten voor leveranciers en dienstverleners verlichten en zorgen voor een consistente en efficiënte aanpak om de  toeleveringsketen te beveiligen. De minister heeft dit voorstel, mede met het oog op de toeleveringsketen, positief beoordeeld.

Cyberbeveiligingsbesluit

Het Cyberbeveiligingsbesluit, dat uitvoering geeft aan de regels ter uitvoering van de Cbw zal naar verwacht tegelijk met de Cbw inwerkingtreden. De Afdeling advisering van de Raad van State heeft op 1 juni jl. advies gegeven om het ontwerpbesluit nog aan te passen op vier onderwerpen: de bewaartermijn voor persoonsgegevens; de criteria voor wat een “significant incident” is; de aanwijzing van CSIRT’s bij of krachtens algemene maatregel van bestuur in plaats van bij ministeriële regeling en de nafase na een significant incident.

Daarnaast zullen ook de verschillende ministeriële regelingen worden gepubliceerd.

Aan de slag

Als nog niet duidelijk is of uw organisatie onder de Cbw valt, is dat de eerste stap gelet op de inwerkingtreding op 𝟏𝟓 𝐚𝐮𝐠𝐮𝐬𝐭𝐮𝐬 𝟐𝟎𝟐𝟔.

Vragen over de juridische impact van de Cbw: van scope-analyse tot  bestuursaansprakelijkheid en toezicht & handhaving. Voor u als bestuurder of voor uw organisatie? Neem dan contact op met Machteld Robichon, Bente van Kan of Lucas de Vet.