Tweede kamer stemt in met invoering Cyberbeveiligingswet (NIS2)
Update augustus 2026: Dit bericht schreven we in april, toen de wet nog bij de Eerste Kamer lag. Inmiddels is de behandeling afgerond: op 7 juli stemde de Eerste Kamer in en op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Er is geen overgangsperiode.
Lees wat dat concreet betekent in onze blog over de inwerkingtreding van de Cyberbeveiligingswet, of bekijk het volledige overzicht op onze pagina over NIS2 en de Cyberbeveiligingswet.
Vandaag (woensdag 15 april 2026) stemde de Tweede Kamer in met de Cyberbeveiligingswet. Cyberbeveiligingswet. De wet gaat nu naar de Eerste Kamer. Die goedkeuring heeft statistisch een kans op een “Ja” van meer dan 95%. Wij adviseren alle organisaties: Reken op inwerkingtreding per 15 augustus 2026 en start nu.
De wet is meermaals uitgesteld geweest. En precies daarom is het nu van groot belang te melden dat de Cyberbeveiligingswet er nu echt snel aankomt. Gisteren viel de laatste serieuze hobbel weg. Nu volgt er alleen nog één Eerste Kamer-sessie. De Cyberbeveiligingswet is de Nederlandse vertaling van de Europese NIS2-richtlijn. Het doel is helder: organisaties beter weerbaar maken tegen cyberincidenten. Niet alleen om boetes te voorkomen, maar vooral om verstoringen, datalekken en schade aan ketens te beperken.
In deze blog leggen we uit wat de Cyberbeveiligingswet inhoudt, voor wie deze geldt en wat dit concreet betekent voor jouw organisatie. Ook als je zelf niet direct onder de wet valt.
Wat houdt de Cyberbeveiligingswet in?
De Cyberbeveiligingswet verplicht organisaties in achttien sectoren om hun digitale beveiliging aantoonbaar op orde te hebben. Dat gaat om twee dingen: een zorgplicht en een meldplicht. De wet schrijft niet voor hoe je dat invult. Wat passend is, verschilt per organisatie. Wel moet je kunnen laten zien dat je bewust met risico’s bezig bent, en niet pas handelt als het misgaat. Ook je leveranciers horen daarbij.
Of jouw organisatie eronder valt, en wat er dan precies van je wordt verwacht, lees je op onze pagina over NIS2 en de Cyberbeveiligingswet.
Wanneer ben je direct NIS2-plichtig?
Sommige organisaties vallen direct onder de Cyberbeveiligingswet. Dat geldt met name voor organisaties in sectoren die van groot maatschappelijk belang zijn, zoals energie, zorg, vervoer, industrie en digitale infrastructuur. Ook de omvang van een organisatie speelt een belangrijke rol.
Grote organisaties binnen deze sectoren zijn vrijwel altijd verplicht om aan de wet te voldoen. Middelgrote organisaties kunnen daar ook onder vallen. In specifieke situaties geldt de verplichting zelfs voor kleinere organisaties, bijvoorbeeld wanneer zij een cruciale rol spelen in digitale of overheidsinfrastructuur.
Om dit inzichtelijk te maken wordt vaak gebruikgemaakt van de NIS2-flowchart, zoals gepubliceerd door KPN. Deze laat stap voor stap zien of een organisatie onder de wet valt.
Bron afbeelding: KPN
Belangrijk: Val je direct onder de wet, dan geldt vanaf 15 augustus 2026 dat je moet kunnen aantonen dat je je zaken op orde hebt. Alleen aangeven dat je ermee bezig bent, is niet voldoende.
Wat wordt er concreet van organisaties verwacht?
De Cyberbeveiligingswet draait om aantoonbaarheid. Organisaties moeten weten waar hun risico’s zitten, voorbereid zijn op incidenten en in staat zijn om snel en beheerst te handelen als er iets misgaat.
Dat betekent onder andere dat je zicht hebt op je IT-omgeving, dat afspraken zijn vastgelegd en dat medewerkers weten wat er van hen verwacht wordt. Ook leveranciers en partners maken hier nadrukkelijk onderdeel van uit.
Het hoeft niet ingewikkeld te zijn, maar het moet wel bewust en structureel gebeuren. Cybersecurity is daarmee geen eenmalig project, maar een onderdeel van normaal bedrijfsvoeren.
Bestuurdersaansprakelijkheid: ook een verantwoordelijkheid aan de top
Wat vaak wordt onderschat, is dat de Cyberbeveiligingswet expliciet verantwoordelijkheid legt bij bestuur en directie. Het bestuur moet kunnen aantonen dat cybersecurity serieus en structureel is georganiseerd. Bij nalatigheid kan dit gevolgen hebben voor de organisatie, maar ook voor bestuurders persoonlijk. Daarmee is digitale veiligheid geen technisch onderwerp meer dat je kunt delegeren, maar een vast onderdeel van goed bestuur.
Hoe BK IT Solutions organisaties helpt
BK IT Solutions helpt organisaties die direct onder de Cyberbeveiligingswet vallen én organisaties die indirect vragen krijgen vanuit hun klanten. Wij vertalen wetgeving naar de praktijk, zonder onnodige complexiteit.
We beginnen altijd bij inzicht. Waar sta je nu en waar loop je risico? Vanuit daar helpen we met het doorvoeren van passende maatregelen en het vastleggen hiervan op een manier die ook richting klanten of toezichthouders logisch en uitlegbaar is.
Geen dikke rapporten voor in de la, maar een aanpak die past bij jouw organisatie en dagelijkse praktijk.
Aantoonbaar voldoen met een Supply Chain certificaat
Voor veel organisaties zit de grootste uitdaging niet in wat ze doen, maar in hoe ze dat aantonen. Een Supply Chain certificaat helpt om dit concreet en overzichtelijk te maken.
Met zo’n certificaat kun je aan klanten laten zien dat je passende beveiligingsmaatregelen hebt genomen en hier structureel aandacht aan besteedt. Dat voorkomt discussie, versnelt klantvragen en geeft vertrouwen binnen de keten.
Met name organisaties die leveren aan NIS2-plichtige klanten ervaren dit als een praktisch en waardevol hulpmiddel.
Wacht niet tot het moment daar is
De Cyberbeveiligingswet is geen toekomstmuziek meer, 15 augustus is inmiddels een feit. Of je nu direct of indirect geraakt wordt, dit is hét moment om inzicht te krijgen in waar je staat.
Wil je weten wat de Cyberbeveiligingswet betekent voor jouw organisatie, of krijg je al vragen vanuit klanten? Neem contact met ons op. We denken graag met je mee, in duidelijke taal en met een aanpak die past bij jouw situatie.
