Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet, de Nederlandse vertaling van de Europese NIS2-richtlijn. Vanaf 15 augustus 2026 – zonder overgangsperiode – gelden nieuwe verplichtingen voor ruim 8.000 organisaties in kritieke en belangrijke sectoren, zoals energie, zorg, transport en digitale infrastructuur. Maar de impact reikt veel verder dan die 8.000 direct aangewezen bedrijven: via de leveranciersverantwoordelijkheid die de wet oplegt, krijgen naar schatting tienduizenden mkb-bedrijven indirect met de Cyberbeveiligingswet te maken, simpelweg omdat zij leveren aan een organisatie die er wel rechtstreeks onder valt.
NIS2 staat voor de tweede “Network and Information Security”-richtlijn van de EU, en is bewust breder getrokken dan de eerdere versie: naast de klassieke kritieke sectoren als energie en drinkwater vallen nu ook digitale infrastructuur, afvalwaterbeheer, ruimtevaart en delen van de maakindustrie eronder. Nederland loopt met de inwerkingtreding op 15 augustus 2026 overigens niet voorop – de EU-richtlijn zelf moest al in oktober 2024 zijn omgezet in nationale wetgeving, en Nederland behoort daarmee tot de lidstaten die de deadline hebben gemist.
Wat verandert er per 15 augustus?
De Cyberbeveiligingswet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen en legt organisaties in kritieke en belangrijke sectoren vijf hoofdverplichtingen op: registratie bij het NCSC, een zorgplicht met tien concrete beveiligingsmaatregelen, een meldplicht binnen 24 uur na een significant incident, bestuurdersverantwoordelijkheid en een informatieplicht richting klanten. Registratie verloopt via het entiteitenregister, dat gegevens ophaalt uit het handelsregister van de Kamer van Koophandel – organisaties zijn zelf verantwoordelijk voor tijdige en actuele registratie.
De tien zorgplichtmaatregelen zijn behoorlijk concreet, en juist daardoor bruikbaar als checklist – ook voor bedrijven die er niet wettelijk onder vallen:
- Risicoanalyse – beleid voor risicoanalyse en beveiliging van informatiesystemen, gericht op de zwaarst wegende dreigingen.
- Incidentrespons – een plan voor adequate reactie op cyberincidenten.
- Bedrijfscontinuïteit – back-upbeheer, herstelplannen en crisisbeheer.
- Beveiliging van de toeleveringsketen – relaties met leveranciers en dienstverleners tegen ketenrisico’s beschermen.
- Cyberhygiëne en training – basispraktijken toepassen en medewerkers trainen.
- Beveiliging van systemen – patches en veilige configuratie bij aanschaf, ontwikkeling en onderhoud.
- Personeel, toegang en assets – screening, toegangsbeleid en assetbeheer.
- Sterke authenticatie – multifactorauthenticatie of passkeys, zeker voor kritieke accounts.
- Cryptografie – beleid voor het gebruik van encryptie.
- Periodieke effectiviteitsbeoordeling – minimaal jaarlijks toetsen of de maatregelen nog werken.
Bestuurders kunnen persoonlijk aansprakelijk worden gesteld: zij moeten de beveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering ervan, en kunnen verplicht worden een training te volgen. Overtredingen kunnen fors oplopen: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% van de omzet voor belangrijke entiteiten – steeds het hoogste bedrag van de twee. Voor organisaties in kritieke sectoren is 15 augustus dus geen datum om te laten passeren.
Ook zonder kritieke sector: waarom de leveranciersketen mkb’ers raakt
Juist het onderdeel ketenverantwoordelijkheid maakt de wet relevant voor een veel grotere groep dan de direct aangewezen organisaties. Een zorginstelling, gemeente of accountantskantoor dat onder de wet valt, moet voortaan ook aantonen dat de leveranciers waarmee het werkt hun zaken op orde hebben. Concreet betekent dit: contractuele eisen aan beveiliging, vragenlijsten over toegangsbeheer en multifactorauthenticatie, en soms audits bij toeleveranciers. Vakmedia wijzen er overigens ook op dat de wet op dit punt nog niet uitgekristalliseerd is: concrete technische normen en eenduidige criteria voor wanneer een toeleverancier “in de keten” meetelt, ontbreken vooralsnog, en het toezichtsmodel verschilt per sector. Voor juridische kantoren, accountants en zorgorganisaties die zelf klant zijn van kritieke aanbieders, of die zelf als schakel in zo’n keten fungeren, is dit een goed moment om de eigen digitale architectuur tegen het licht te houden – liever nu, dan wanneer een opdrachtgever met een vragenlijst komt.
Minder afhankelijkheden, minder risico
Een kernprincipe achter NIS2 is simpel: hoe meer schakels in de keten, hoe groter het aanvalsoppervlak. Elke externe partij die toegang heeft tot data of systemen is een afhankelijkheid die beheerd, gecontroleerd en verantwoord moet worden. Organisaties die e-mail, bestanden en samenwerking zelf hosten op eigen infrastructuur hebben aantoonbaar minder externe schakels te beheren dan wie afhankelijk is van een stapeling Amerikaanse cloudabonnementen. Dat betekent niet dat zelf hosten alle NIS2-verplichtingen automatisch wegneemt, maar het vereenvoudigt wel het overzicht: minder leveranciers betekent minder contracten, minder vragenlijsten en minder plekken waar iets mis kan gaan. Voor sectoren waarin vertrouwelijkheid toch al zwaar weegt – juridische dossiers, financiële data, medische gegevens – is dat een dubbele winst.
Praktisch aan de slag: langs de tien maatregelen
Wacht niet tot een klant of opdrachtgever om een verklaring vraagt. Loop de tien zorgplichtmaatregelen hierboven langs als praktische checklist, ook als uw organisatie niet direct onder de wet valt:
- Breng eerst in kaart welke clouddiensten en leveranciers toegang hebben tot bedrijfsdata (maatregel 1 en 4), en welke daarvan überhaupt noodzakelijk zijn.
- Controleer of multifactorauthenticatie overal aanstaat waar dat kan (maatregel 8) – vaak de snelste, goedkoopste verbetering.
- Kijk waar Europese of zelf-gehoste alternatieven een reële optie zijn: op de pagina privacy-vriendelijke alternatieven staat een overzicht per toepassing, van documentbeheer tot e-mail.
- Leg vast wie binnen de organisatie verantwoordelijk is voor incidentrespons en meldplicht (maatregel 2), zodat u niet binnen 24 uur nog moet uitzoeken wie er moet handelen.
Voor organisaties die structureel minder afhankelijk willen worden, is een eigen node een concrete eerste stap: data en applicaties blijven onder eigen beheer, met volledige controle over waar informatie staat en wie erbij kan – en met een leveranciersketen die aanzienlijk korter en makkelijker te verantwoorden is.
Voor organisaties die dit liever niet zelf inrichten, biedt de Soevereine Digitale Werkplek van YourData Network een kant-en-klaar alternatief, met e-mail, bestanden en samenwerking al ingericht op eigen, Europese infrastructuur — inclusief een korte, overzichtelijke leverancierslijst richting toezichthouders.
Veelgestelde vragen
Valt mijn bedrijf onder de Cyberbeveiligingswet?
Rechtstreeks alleen als u actief bent in een aangewezen kritieke of belangrijke sector (onder meer energie, zorg, transport, digitale infrastructuur) en aan bepaalde omvangscriteria voldoet. Levert u aan een organisatie die er wel onder valt, dan krijgt u indirect te maken met de ketenverantwoordelijkheid uit maatregel 4.
Wat als ik alleen leverancier ben, niet zelf een kritieke sector?
Dan bent u niet zelf meldplichtig of registratieplichtig bij het NCSC, maar uw klant mag u wel vragen aan te tonen dat uw beveiliging op orde is – via contracten, vragenlijsten of audits. De tien zorgplichtmaatregelen zijn een goede leidraad om daar zonder verrassingen doorheen te komen.
Wat zijn de boetes precies?
Voor essentiële entiteiten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet – steeds het hoogste bedrag geldt. Bestuurders kunnen daarnaast persoonlijk aansprakelijk worden gesteld.
Mijn organisatie viel al onder de oude Wbni – verandert er voor mij iets?
Ja. De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen volledig en breidt zowel de reikwijdte (meer sectoren) als de verplichtingen uit (de tien concrete zorgplichtmaatregelen zijn specifieker dan de oude, algemenere zorgplicht). Bestaande registraties en incidentprocedures moeten dus opnieuw tegen de nieuwe eisen worden gelegd, niet automatisch worden overgenomen.
De Cyberbeveiligingswet is daarmee niet alleen een compliance-vraagstuk voor de 8.000 direct aangewezen organisaties, maar een signaal aan de hele keten eromheen: wie grip heeft op de eigen infrastructuur, heeft straks minder uit te leggen – aan toezichthouders en aan klanten.
Bronnen: Rijksoverheid.nl – Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht, NCSC – Zorgplicht Cyberbeveiligingswet