De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt vanaf 15 augustus 2026. Organisaties in essentiële en belangrijke sectoren moeten aantoonbaar hun digitale beveiliging op orde hebben (zorgplicht), incidenten binnen 24 uur melden (meldplicht) en zich registreren. Ook wie er niet direct onder valt, krijgt de eisen via klanten en de keten.
Wat gebeurt er als een cyberincident je bedrijfsvoering stillegt? Of wanneer een klant vraagt welke beveiligingsmaatregelen je hebt genomen voordat je een opdracht krijgt?
Digitale veiligheid wordt steeds belangrijker. Niet alleen voor organisaties die direct onder NIS2 vallen, maar ook voor bedrijven die samenwerken met klanten, leveranciers en partners die hogere eisen stellen aan informatiebeveiliging.
Een goed beveiligde IT-omgeving helpt om risico’s te verkleinen en verstoringen te voorkomen:
Steeds meer organisaties vragen hun leveranciers hoe zij omgaan met informatiebeveiliging. Beveiliging is steeds vaker onderdeel van aanbestedingen, contracten of leveranciersbeoordelingen. Kun je aantonen dat je de juiste maatregelen hebt genomen? Dan sta je sterker als zakenpartner en voorkom je dat kansen verloren gaan.
Relaties met klanten en leveranciers zijn gebouwd op vertrouwen. Kun je laten zien dat beveiliging binnen jouw organisatie serieus wordt genomen? Dan creëer je vertrouwen en onderscheid je jezelf van concurrenten.
NIS2 vraagt organisaties om risico’s inzichtelijk te maken en passende maatregelen te nemen. Maar waar begin je? Wij helpen je in drie stappen.
Samen brengen we de huidige situatie in kaart en kijken we naar de risico’s binnen jouw organisatie.
NIS2 draait niet alleen om techniek. Wij ondersteunen onder andere bij:
Naast organisatorische maatregelen versterken we de techniek.
Denk hierbij aan:
NIS2 is een Europese richtlijn die organisaties verplicht hun digitale veiligheid aantoonbaar op orde te hebben.
In Nederland is de richtlijn omgezet in de Cyberbeveiligingswet (Cbw), die geldt vanaf 15 augustus 2026.
Het doel: cyberaanvallen, datalekken en verstoringen van belangrijke diensten voorkomen.
NIS2 geldt voor organisaties in essentiële sectoren (zoals energie, zorg, transport, drinkwater en digitale infrastructuur) en belangrijke sectoren (zoals industrie, voedsel, post en digitale aanbieders), doorgaans vanaf 50 medewerkers of 10 miljoen euro omzet. Val je er niet direct onder, dan krijg je de eisen steeds vaker via klanten en de keten.
De Cyberbeveiligingswet gaat in op 15 augustus 2026. Vanaf die datum gelden de zorgplicht en de meldplicht voor organisaties die onder de wet vallen; de registratie loopt via het NCSC
De wet kent drie hoofdverplichtingen: de zorgplicht (passende maatregelen zoals risicobeheer, toegangsbeveiliging, back-ups, incidentbeheer, leveranciersbeheer en training van medewerkers), de meldplicht (incidenten melden) en de registratieplicht (aanmelden bij het NCSC). Alle maatregelen moeten aantoonbaar zijn.
Bij een significant incident geldt: een vroegtijdige waarschuwing binnen 24 uur en een volledige incidentmelding binnen 72 uur bij de toezichthouder. Neem dit op in je incidentplan, zodat bij een calamiteit direct duidelijk is wie meldt.
Toezichthouders kunnen boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten (7 miljoen euro of 1,4% voor belangrijke entiteiten). Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld als de zorgplicht aantoonbaar is verwaarloosd.
Nee. De wet legt de eindverantwoordelijkheid expliciet bij het bestuur: directie en management moeten maatregelen goedkeuren, toezien op de uitvoering en zelf getraind zijn. IT voert uit, maar de organisatie als geheel, inclusief medewerkers draagt de verantwoordelijkheid.
Ja. Back-upbeheer en bedrijfscontinuïteit horen expliciet tot de zorgplicht-maatregelen: je moet na een incident snel en aantoonbaar kunnen herstellen. Een geteste back-up- en herstelstrategie (inclusief herstelplan) is daarmee een kernonderdeel van NIS2-naleving.