Als je actief bent in het MKB(+) of het Nederlandse bedrijfsleven, is de kans groot dat je de termen NIS2 en Cyberbeveiligingswet al eens voorbij hebt horen komen. Zo niet, dan is het hoog tijd om aan te haken. Waar veel ondernemers lang hoopten op uitstel of dachten dat de regels alleen zouden gelden voor grote, vitale overheidsbedrijven, is de werkelijkheid nu definitief: de Eerste Kamer heeft ingestemd met het wetsvoorstel voor de Cyberbeveiligingswet (Cbw).

Op 15 augustus 2026 treedt de wet officieel in werking. Vanaf die dag is de vrijblijvendheid rondom digitale veiligheid definitief verdwenen. Maar wat houdt deze wet precies in, welke verplichtingen komen er op je af en hoe zorg je dat jouw organisatie tijdig klaar is zonder verstrikt te raken in bureaucratie?

Waarom deze wet er nu écht komt

De Cyberbeveiligingswet is de Nederlandse omzetting van de Europese NIS2-richtlijn (Network and Information Security directive). De afgelopen jaren hebben geopolitieke spanningen, geavanceerde ransomware-aanvallen en toenemende afhankelijkheid van de cloud laten zien hoe kwetsbaar onze economie en maatschappij zijn.

Een succesvolle cyberaanval op één leverancier kan een hele keten van bedrijven platleggen. Het doel van NIS2 is simpel: de digitale en economische weerbaarheid van Europese organisaties naar een structureel hoger niveau tillen. Cybersecurity is daarmee verschoven van een stoffig IT-feestje in de kelder naar een strategisch topic op de agenda van de directiekamer.

Wanneer gaat de wet in en hoe ziet de tijdslijn eruit?

Hoewel de Europese richtlijn al eerder werd vastgesteld, geldt in Nederland 15 augustus 2026 als de harde datum waarop de Cyberbeveiligingswet van kracht wordt. Belangrijk om te weten: er is geen overgangsperiode. Vanaf de ingangsdatum geldt de wet onverkort.

Periode	Mijlpaal	Concrete focus voor jouw organisatie
Voorjaar / Zomer 2026	Wetgeving definitief afgerond	Nulmeting uitvoeren, risico’s in kaart brengen en beleid opstellen
15 augustus 2026	Wet officieel van kracht	Registratieplicht vervullen en zorg- en meldplicht actief toepassen
Post-augustus 2026	Actief toezicht & Handhaving	Toezicht door inspecties en keteneisen vanuit grote opdrachtgevers

Het klinkt ver weg, maar wie pas op 1 augustus begint met voorbereiden, is te laat. Beveiliging, afspraken met IT-leveranciers en bewustwording bij personeel vragen tijd.

Valt jouw organisatie onder NIS2? (Direct vs. Indirect)

De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Of je hier direct onder valt, hangt af van je sector en de omvang van je bedrijf.

1. Directe reikwijdte

Je valt direct onder de wet als je actief bent in een van de 18 aangewezen sectoren (zoals energie, zorg, transport, financiële sector, IT-beheerders/MSP’s, chemie, voedsel en maakindustrie) én beschikt over minimaal 50 werknemers óf meer dan € 10 miljoen jaaromzet/balanstotaal. Sommige kritieke digitale dienstverleners vallen er ongeacht hun omvang direct onder.

2. Indirecte reikwijdte (De Ketenverplichting)

Val je qua personeelsaantal of sector buiten de directe regels? Juich niet te vroeg. Artikel 21 van de richtlijn verplicht alle organisaties die direct onder de wet vallen om hun toeleveringsketen te beveiligen.

Lever je diensten, software, installaties of producten aan overheden, zorginstellingen, netbeheerders of grotere industriële spelers? Dan gaan deze opdrachtgevers vanaf 2026 aantoonbaar bewijs van jou eisen dat jouw cybersecurity op orde is. Zonder goede beveiligingsmaatregelen loop je het risico uitgesloten te worden bij aanbestedingen of contractverlengingen.

Bestuurders worden persoonlijk aansprakelijk

Een van de meest opvallende onderdelen van de Cyberbeveiligingswet is de rol van het bestuur. Cybersecurity kan niet langer puur worden doorgeschoven naar de IT-afdeling of de externe systeembeheerder.

Opleidingsplicht: Bestuurders en directieleden zijn wettelijk verplicht om trainingen te volgen om cyberrisico’s te begrijpen en te kunnen beoordelen.
Aansprakelijkheid: Bij ernstige en structurele nalatigheid kunnen toezichthouders bestuurders persoonlijk aanspreken of zelfs tijdelijk schorsen uit hun functie.

Als bestuurder moet je niet alleen akkoord geven op budgetten, maar ook actief toezien op het beleid, de risico’s en de uitkomsten van beveiligingstests.

De 4 hoofdpijlers van de wet 🔐

Als je organisatie onder de NIS2-regels valt (of aan de eisen van grote opdrachtgevers moet voldoen), krijg je te maken met vier concrete pijlers:

Bestuurlijke verantwoordelijkheid: Het bestuur traint zichzelf, beoordeelt de risico’s en borgt de cybersecurity in de bedrijfsvoering.
De Zorgplicht (10 basismaatregelen): Bedrijven moeten passende organisatorische en technische maatregelen nemen. Denk aan risicoanalyses, verplichte Multi-Factor Authenticatie (MFA), beleid rondom back-ups en bedrijfscontinuïteit, veilige netwerken, en continue awareness-trainingen voor medewerkers.
De Meldplicht: Bij een ernstig incident met grote impact geldt een gefaseerde meldplicht bij het NCSC en de relevante toezichthouder:
- Binnen 24 uur: Een eerste vroege waarschuwing indienen.
- Binnen 72 uur: Een gedetailleerdere incidentenbeoordeling.
- Binnen 1 maand: Een definitief eindrapport inclusief herstelmaatregelen.
Registratie- en Toezichtplicht: Organisaties moeten zich registreren in het landelijke overheidsregister en vallen onder toezicht van instanties zoals de Rijksinspectie Digitale Infrastructuur (RDI).

Welke opdrachten zet je nu concreet uit?

Om te voorkomen dat NIS2 een theoretisch papiergeheel wordt, is het verstandig om de taken op te splitsen in interne acties en externe vragen aan je IT-partners:

Interne opdrachten (In de eigen organisatie)

Bestuurstraining inplannen: Zorg dat het bestuur aantoonbaar kennis opbouwt over cyberrisico’s.
Security-eigenaarschap beleggen: Wijs een interne rol aan (zoals een CISO of Security Officer, eventueel via een externe CISO-as-a-Service) die verantwoordelijk is voor de uitvoering.
Incident Response Plan (IRP) opstellen: Zorg voor een helder draaiboek: wie bel je, wat doe je en hoe herstel je systemen als het vandaag misgaat?
MFA & Training verplichten: Maak Multi-Factor Authenticatie overal verplicht en start een doorlopend awareness-programma voor personeel.

Externe opdrachten (Richting IT-partners en leveranciers)

GAP-analyse laten uitvoeren: Laat je IT-partner of een onafhankelijke auditor een nulmeting maken: waar staat de organisatie nu en wat ontbreekt er t.o.v. de zorgplicht?
SLA’s & Detectie aanscherpen: Zorg voor 24/7 monitoring (SOC/MDR) via je IT-dienstverlener, zodat je incidenten snel opmerkt en kunt voldoen aan de 24-uurs meldplicht.
Leveranciersaudits & Contracten: Beoordeel de contracten met jouw eigen IT-leveranciers en verwerkers. Voldoen zij aan de nodige beveiligingsstandaarden?

Welke investeringen kun je verwachten?

Geen enkel bedrijf is hetzelfde. Daarom bestaan er geen vaste prijskaartjes voor NIS2-compliance. De benodigde investering hangt sterk af van je huidige IT-volwassenheid, de omvang van je organisatie en de mate waarin je IT uitbesteedt.

De investeringen laten zich het beste onderverdelen in twee categorieën:

Eenmalige kosten (Inrichting & Voorbereiding): Denk aan de uitvoering van een nulmeting/GAP-analyse, het opstellen van beleid en het Incident Response Plan, het volgen van bestuurstrainingen en eventuele IT-herinrichting (zoals het vervangen van verouderde apparatuur of software).
Terugkerende jaarlijkse kosten (Exploitatie & Beheer): Denk aan 24/7 SOC-monitoring voor snelle incidentdetectie, continue awareness- en phishing-trainingen voor medewerkers, en een jaarlijkse penetratietest of beveiligingsaudit.

Organisaties die hun IT-basis al goed op orde hebben (bijvoorbeeld met een moderne cloud-inrichting en ISO-certificering) zullen voornamelijk investeren in beleid en monitoring. Bedrijven met een achterstand in hun IT-infrastructuur zullen meer moeten investeren in technische vernieuwing.

Zie de wet niet als een last, maar als een kans

Het vermijden van boetes of het behalen van een vinkje voor een audit mag nooit de enige motivatie zijn. Een geslaagde cyberaanval of een langdurige uitval van je bedrijfssystemen kost vrijwel altijd meer geld, tijd en reputatieschade dan het vooraf op orde brengen van je beveiliging.

Door nu proactief aan de slag te gaan met je digitale weerbaarheid, voldoe je niet alleen tijdig aan de wet, maar bouw je ook een sterker en veerkrachtiger bedrijf op. In een markt waarin klanten steeds kritischer kijken naar veiligheid, is een uitstekende cybersecurity een sterke concurrentiepositie.

Hulp nodig bij de eerste stappen?

Ben je benieuwd waar jouw organisatie staat of weet je niet waar je moet beginnen? Onze specialisten ondersteunen je bij elke stap van het proces. Van het uitvoeren van een onafhankelijke nulmeting tot het opzetten van een praktisch Incident Response Plan: wij zorgen dat jouw organisatie snel en efficiënt compliant wordt.