Ruim 8.000 Nederlandse organisaties krijgen vanaf 15 augustus 2026 te maken met nieuwe wettelijke verplichtingen rond cyberveiligheid en weerbaarheid. De Eerste Kamer heeft ingestemd met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten.
Daarmee worden strengere eisen gesteld aan organisaties die een belangrijke of onmisbare rol spelen in onze samenleving. De nieuwe wetgeving komt op een moment waarop Nederland steeds vaker wordt geconfronteerd met cyberaanvallen, digitale spionage, ransomware, sabotage en verstoringen van cruciale infrastructuur. Tegelijkertijd groeit de afhankelijkheid van digitale systemen snel. Een storing bij één organisatie kan daardoor gevolgen hebben voor complete ketens van bedrijven, overheden en burgers.
De twee wetten moeten Nederland beter bestand maken tegen deze risico’s. Daarbij gaat het nadrukkelijk niet alleen om grote energiebedrijven, banken of telecomaanbieders. Ook duizenden andere organisaties kunnen onder de nieuwe regels vallen.
Cyberbeveiligingswet voert Europese NIS2-regels in
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Die richtlijn moet het niveau van cyberbeveiliging binnen de Europese Unie verhogen en grote verschillen tussen lidstaten verkleinen. De kern van de nieuwe wet is dat organisaties die eronder vallen aantoonbaar werk moeten maken van hun digitale beveiliging. Cyberveiligheid wordt daarmee niet langer alleen een technisch aandachtspunt, maar een wettelijke verplichting.
Vanaf 15 augustus 2026 geldt voor betrokken organisaties een wettelijke zorgplicht. Zij moeten passende en evenredige maatregelen nemen om risico’s voor hun netwerk- en informatiesystemen te beheersen. Daarbij kan het gaan om bescherming tegen ongeautoriseerde toegang, goed beheer van accounts en rechten, veilige back-ups, procedures voor incidenten, continuïteitsplannen en maatregelen om risico’s in de leveranciersketen te beperken.
Ook ernstige cyberincidenten moeten worden gemeld. Daarnaast geldt voor organisaties die onder de Cyberbeveiligingswet vallen een registratieverplichting bij het Nationaal Cyber Security Centrum, het NCSC.
Organisaties moeten zelf opletten
Een belangrijk aspect van de nieuwe wet is dat organisaties in veel gevallen zelf verantwoordelijk zijn voor de beoordeling of zij binnen het bereik van de Cyberbeveiligingswet vallen. Dat is geen detail. Wie ten onrechte aanneemt dat de wet alleen geldt voor grote multinationals, overheden of traditionele vitale infrastructuur, kan voor verrassingen komen te staan. De reikwijdte van NIS2 is namelijk aanzienlijk breder dan die van eerdere Europese regels voor netwerk- en informatiebeveiliging. Afhankelijk van sector, omvang en activiteiten kunnen ook middelgrote organisaties onder de nieuwe verplichtingen vallen.
Daarom is het verstandig dat organisaties ruim vóór 15 augustus vaststellen wat hun juridische positie is. Pas op de datum van inwerkingtreding beginnen met die analyse is riskant.
Ook leveranciers worden belangrijker
Zelfs organisaties die niet rechtstreeks onder de Cyberbeveiligingswet vallen, kunnen indirect met de gevolgen worden geconfronteerd. Grote en essentiële organisaties zijn immers sterk afhankelijk van externe leveranciers. Denk aan softwarebedrijven, IT-dienstverleners, cloudleveranciers, hostingpartijen, onderhoudsbedrijven en andere gespecialiseerde dienstverleners.
Wanneer een leverancier onvoldoende beveiligd is, kan die partij een toegangspoort vormen tot een veel grotere organisatie. Cybercriminelen maken al jaren gebruik van dergelijke kwetsbaarheden in toeleveringsketens.
Het ligt daarom voor de hand dat organisaties die onder de nieuwe wet vallen strengere eisen gaan stellen aan hun leveranciers. Ook kleinere bedrijven kunnen daardoor vragen krijgen over hun beveiligingsbeleid, toegangsbeheer, back-ups, incidentprocedures en continuïteitsmaatregelen.
De praktische invloed van de nieuwe wetgeving kan daardoor aanzienlijk groter worden dan alleen de ruim 8.000 organisaties die rechtstreeks onder de regels vallen.
Tweede wet richt zich op kritieke organisaties
Naast de Cyberbeveiligingswet treedt op 15 augustus ook de Wet weerbaarheid kritieke entiteiten in werking. Deze wet is gebaseerd op de Europese CER-richtlijn en richt zich op organisaties waarvan uitval ernstige gevolgen kan hebben voor de samenleving. Naar verwachting gaat het om ongeveer 500 organisaties.
Een organisatie valt onder deze wet wanneer zij door de verantwoordelijke vakminister formeel wordt aangewezen als kritieke entiteit. Het gaat onder meer om organisaties in sectoren zoals energie, vervoer, bankwezen, infrastructuur voor financiële markten, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid en ruimtevaart. Ook andere terreinen kunnen worden geraakt, waaronder nucleaire activiteiten, waterbeheer en waterkeringen, meteorologie en de productie, verwerking en distributie van levensmiddelen.
Niet alleen cyberaanvallen
De Wet weerbaarheid kritieke entiteiten kijkt breder dan digitale veiligheid. Organisaties moeten ook rekening houden met fysieke dreigingen en andere ernstige verstoringen. Denk aan sabotage, brand, overstromingen, extreem weer, langdurige stroomuitval, beschadiging van gebouwen en installaties of verstoring van belangrijke logistieke processen. Kritieke entiteiten moeten daarom risicoanalyses uitvoeren en passende maatregelen treffen om verstoringen te voorkomen, de gevolgen ervan te beperken en de dienstverlening zo snel mogelijk te herstellen.
Ook geldt een meldplicht wanneer incidenten de continuïteit van essentiële diensten ernstig verstoren.
De gedachte daarachter is duidelijk: moderne samenlevingen zijn sterk afhankelijk van een beperkt aantal cruciale voorzieningen. Wanneer energie, drinkwater, communicatie, zorg, betalingsverkeer of vervoer langdurig uitvallen, kunnen de gevolgen zich razendsnel verspreiden.
Cyberveiligheid wordt bestuurstaak
Een van de belangrijkste gevolgen van de nieuwe wetgeving is dat cyberveiligheid steeds nadrukkelijker op de bestuurstafel terechtkomt. Jarenlang werd cybersecurity binnen veel organisaties vooral gezien als een verantwoordelijkheid van de IT-afdeling. Dat beeld is niet langer houdbaar. Bestuurders en directies moeten weten welke digitale risico’s hun organisatie loopt, welke beveiligingsmaatregelen zijn genomen, hoe incidenten worden afgehandeld en welke noodscenario’s beschikbaar zijn.
Dat betekent ook dat bestuurders kritische vragen moeten kunnen stellen. Zijn back-ups werkelijk getest? Wat gebeurt er wanneer belangrijke systemen dagenlang uitvallen? Wie mag bij gevoelige gegevens? Hoe snel worden accounts van vertrokken medewerkers afgesloten? Welke externe leveranciers hebben toegang tot systemen? En wie beslist tijdens een ernstig cyberincident?
Juist bij dat laatste gaat het in de praktijk vaak mis. Technische teams kunnen tijdens een aanval snel handelen, maar bestuurlijke besluitvorming over communicatie, dienstverlening, aansprakelijkheid en meldingen moet eveneens goed zijn voorbereid.
Wachten tot 15 augustus is onverstandig
Organisaties die mogelijk onder de nieuwe wet vallen, doen er verstandig aan nu al actie te ondernemen. De eerste stap is vaststellen of de Cyberbeveiligingswet van toepassing kan zijn. Daarna moet worden beoordeeld of bestaande maatregelen voldoende aansluiten op de nieuwe wettelijke eisen. Daarbij verdienen in ieder geval de volgende onderwerpen aandacht: risicoanalyses, toegangsbeheer, multifactorauthenticatie, actuele software, patchmanagement, betrouwbare back-ups, incidentprocedures, crisiscommunicatie en beveiliging van leveranciersketens.
Ook moet duidelijk zijn wie binnen de organisatie verantwoordelijk is voor meldingen en besluitvorming bij ernstige incidenten.
Een cybercrisis is niet het moment om voor het eerst uit te zoeken wie bevoegd is om belangrijke beslissingen te nemen.
Standpunt van HCC: voorkom dat cyberveiligheid een papieren exercitie wordt
HCC ondersteunt de ambitie om de digitale en fysieke weerbaarheid van Nederland aanzienlijk te versterken. De afhankelijkheid van digitale technologie is inmiddels zo groot dat ernstige verstoringen rechtstreeks gevolgen kunnen hebben voor burgers, bedrijven en maatschappelijke organisaties. De noodzaak van betere beveiliging staat wat HCC betreft dan ook niet ter discussie.
Tegelijkertijd waarschuwt HCC ervoor dat nieuwe wetgeving niet mag ontaarden in een bureaucratische afvinkoefening. Een organisatie wordt niet veiliger door uitsluitend beleidsdocumenten op te stellen, formulieren in te vullen of verantwoordelijkheden formeel op papier vast te leggen.
Werkelijke digitale weerbaarheid vraagt om actuele systemen, goed opgeleide medewerkers, veilige instellingen, betrouwbare back-ups, periodieke tests en bestuurders die begrijpen welke risico’s hun organisatie loopt.
HCC vindt het daarnaast essentieel dat de overheid organisaties tijdig voorziet van duidelijke en praktisch toepasbare informatie. Vooral kleinere en middelgrote organisaties moeten zonder kostbare juridische trajecten kunnen vaststellen of zij onder de Cyberbeveiligingswet vallen en welke concrete verplichtingen voor hen gelden. De verantwoordelijkheid mag niet eenzijdig bij organisaties worden neergelegd terwijl de uitleg versnipperd, ingewikkeld of uitsluitend juridisch geformuleerd is.
Ook moet voldoende aandacht bestaan voor de menselijke factor. Veel ernstige beveiligingsincidenten beginnen nog altijd met gestolen inloggegevens, misleidende e-mails, zwakke wachtwoorden, verkeerd ingestelde systemen of medewerkers die onvoldoende zijn voorbereid op digitale dreigingen.
Wetgeving is daarom slechts één onderdeel van de oplossing. Digitale vaardigheden, bewustwording en praktische ondersteuning zijn minstens zo belangrijk.
Ook voor burgers is dit belangrijk
Hoewel de nieuwe wetten zich richten op organisaties, zijn de gevolgen uiteindelijk direct relevant voor burgers. Iedereen is afhankelijk van digitale dienstverlening. We bankieren online, communiceren digitaal met de overheid, gebruiken elektronische patiëntendossiers, bestellen medicijnen, betalen met pinpassen en smartphones en vertrouwen op digitale systemen voor energie, vervoer en communicatie.
Wanneer zulke systemen uitvallen of worden aangevallen, raakt dat niet alleen de organisatie achter het systeem, maar de samenleving als geheel. De inwerkingtreding van de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten op 15 augustus 2026 is daarom een belangrijk moment. Voor duizenden organisaties begint een nieuw wettelijk regime.
Maar de bredere boodschap geldt voor iedereen: digitale veiligheid is niet langer een vrijblijvende technische kwestie. Zij is een basisvoorwaarde geworden voor het functioneren van onze samenleving.
