Cyberaanvallen halen bijna wekelijks het nieuws en de impact wordt steeds groter. Organisaties zijn afhankelijker van digitale systemen dan ooit. Valt er iets uit, dan staan bedrijfsprocessen stil. Met omzetverlies en reputatieschade als gevolg. Voor een transportbedrijf betekent een storing al snel dat planning, ritten en communicatie met chauffeurs platliggen.
Om organisaties beter te beschermen heeft Europa de NIS2-richtlijn opgesteld. In Nederland is die vertaald naar de Cyberbeveiligingswet (CBW). En die wet is nu definitief: vanaf 15 augustus 2026 gelden nieuwe verplichtingen voor duizenden organisaties. De wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Het doel is helder: de digitale weerbaarheid van organisaties en van hele ketens vergroten, zodat we samen beter bestand zijn tegen cyberdreigingen.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet stelt eisen aan informatiebeveiliging, risicobeheer, incidentmeldingen en continuïteit. Belangrijk om te weten: het gaat niet alleen om techniek, maar juist ook om processen, beleid en bestuurlijke verantwoordelijkheid.
Het beeld bestaat soms dat de wet enorme nieuwe verplichtingen introduceert. In de praktijk valt dat voor veel organisaties mee. Nederlandse bedrijven hebben vaak al een goede basis. Denk aan multifactor-authenticatie, back-ups, moderne antivirus en security-awareness. De uitdaging zit meestal niet in alles opnieuw inrichten, maar in het aantoonbaar maken en verder professionaliseren van wat er al staat.
Wat verandert er precies? De vijf kernverplichtingen
Val je onder de wet, dan krijg je te maken met vijf kernverplichtingen:
-
-
Registratieplicht - Je meldt je organisatie aan in het landelijke register, zodat de toezichthouder weet dat je onder de wet valt.
-
Zorgplicht - Je neemt passende technische én organisatorische maatregelen om je risico’s te beheersen, op basis van een risicobeoordeling.
-
Meldplicht - Significante incidenten meld je binnen wettelijke termijnen bij de toezichthouder (zie hieronder).
-
Bestuurlijke verantwoordelijkheid - Cyberbeveiliging wordt nadrukkelijk een verantwoordelijkheid van bestuur en directie, niet alleen van IT.
-
Toezicht en handhaving - Een toezichthouder controleert of je aan de eisen voldoet en kan handhaven als dat niet zo is
-
De kern is dus niet: koop een securitytool en je bent klaar. De kern is: weet welke risico’s je loopt, neem passende maatregelen én zorg dat je dit kunt aantonen.
De meldplicht in het kort
De meldplicht kent een gefaseerde opbouw. Bij een significant incident geldt globaal:
Melden bij een significant incident
-
-
Binnen 24 uur - Een vroegtijdige melding na constatering.
-
Binnen 72 uur - Een vervolgmelding, met meer detail.
-
Binnen 1 maand - Een eindverslag na de eerste melding.
-
Stel: ransomware legt ’s ochtends je planningssysteem en boordcomputers plat. Op zo’n moment wil je niet nog gaan uitzoeken wíe wat moet melden. Zorg daarom nú dat je incidentproces en contactpersonen op orde zijn.
Valt jouw organisatie onder de wet?
Of je direct onder de Cyberbeveiligingswet valt, hangt vooral af van twee vragen:
-
Zit je in een sector waarop de wet van toepassing is? Denk aan vervoer/transport, energie, digitale infrastructuur, zorg, overheid, drinkwater, afvalwater, voedsel en chemie.
-
Ben je groot genoeg volgens de omvangscriteria? Als richtlijn geldt onder meer: 50 of meer medewerkers óf een jaaromzet of balanstotaal van meer dan 10 miljoen euro.
We blijven even bij het voorbeeld van transportbedrijven. Voor deze sector is het direct relevant, want vervoer is een genoemde sector. Zit je qua omvang rond de grens, bijvoorbeeld tussen de 30 en 50 medewerkers? Dan is het de moeite waard om dit goed uit te zoeken. Sommige organisaties vallen namelijk altijd onder de wet, ongeacht hun omvang. En ook toeleveranciers of dochterbedrijven kunnen in beeld komen.
Twijfel je? Gebruik de officiële NIS2-Zelfevaluatie van de overheid en laat de formele toepasselijkheid bij twijfel juridisch toetsen. Landelijk gaat het naar verwachting om zo’n 8.000 organisaties die onder de Cyberbeveiligingswet komen te vallen, maar de indirecte impact via ketens reikt veel verder. Dat brengt ons bij het volgende punt.
Ook relevant als je (nog) niet direct onder de wet valt
Een belangrijk onderdeel van de wet is de verantwoordelijkheid binnen de keten. Organisaties die onder de wet vallen, moeten namelijk ook kijken naar de cyberrisico’s van hun leveranciers en partners. Ze brengen kritische leveranciers in kaart, maken beveiligingsafspraken en vragen vaker bewijs van genomen maatregelen.
Neem opnieuw een transportbedrijf. Een transporteur werkt dagelijks samen met opdrachtgevers, logistieke partners en softwareleveranciers. Valt een grote opdrachtgever onder de Cyberbeveiligingswet, dan kan die vragen gaan stellen over je beveiliging, je incidentprocedures of je leveranciersrisico’s. Zo krijg je er indirect toch mee te maken, terwijl je zelf niet onder de wet valt.
Datzelfde zie je in vrijwel elke sector. Of je nu in transport, industrie, accountancy, zorg of zakelijke dienstverlening zit. Klanten willen steeds vaker weten hoe cyberweerbaar hun leveranciers zijn. De vraag wordt dus minder: val ik juridisch onder de wet? En steeds vaker: kan ik mijn klanten aantonen dat mijn digitale basis op orde is?
Dit is niet alleen een IT-project
Een duidelijk verschil met vroeger: de Cyberbeveiligingswet legt de eindverantwoordelijkheid nadrukkelijk bij het bestuur. Bestuurders en directieleden moeten voldoende kennis hebben van cyberrisico’s en actief sturen op maatregelen. Cyberbeveiliging is daarmee geen ver-van-mijn-bed-onderwerp meer, maar een vast agendapunt aan de directietafel. En dat betekent ook dat besluiten en bewust geaccepteerde risico’s aantoonbaar vastgelegd moeten zijn.
Hoe pak je dit aan?
De eerste stap is: inzicht krijgen in je huidige situatie. Welke maatregelen zijn al ingericht? Welke risico’s zijn relevant voor jouw organisatie? En waar zitten de verbeterpunten?
Vanuit zo’n nulmeting ontstaat een roadmap met concrete verbeterstappen. Denk hierbij aan risicobeheer, toegangsbeheer, leveranciersbeheer, incidentrespons en bewustwording van medewerkers. Door dat pragmatisch en stap voor stap aan te pakken, ontstaat een werkbare route richting aantoonbare naleving. Geen dik rapport dat in de la verdwijnt, maar een lijstje waar je morgen mee aan de slag kunt.
Drie vragen die je vóór 15 augustus wilt beantwoorden
-
-
Valt onze organisatie direct onder de Cyberbeveiligingswet?
-
Krijgen wij indirect vragen vanuit klanten of ketenpartners?
-
Kunnen wij aantonen welke maatregelen, processen en afspraken al zijn ingericht?
-
Zo helpt yellow arrow
De meeste organisaties beginnen niet bij nul. Vaak zijn er al maatregelen zoals MFA, back-ups, endpointbeveiliging en awareness. De uitdaging zit vooral in samenhang en aantoonbaarheid. Beleid, risicoanalyse, leveranciersafspraken, incidentrespons en rapportage moeten vindbaar, actueel en bestuurlijk geborgd zijn.
Bij yellow arrow kijken we bij een CBW-nulmeting daarom niet alleen naar techniek, maar ook naar beleid, processen, verantwoordelijkheden, leveranciersrisico’s, incidentafhandeling en bewijsvoering. Wat is al geregeld? Wat ontbreekt nog? En wat moet eerst? Zo ontstaat een praktische roadmap waarmee je stap voor stap werkt aan aantoonbare digitale weerbaarheid en kan werken met rust en grip, niet vanuit paniek.
Wil je ondersteuning bij één van de onderwerpen in deze blog? Stuur dan een mail naar Remon Wieberdink.
.png)
