Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht
Wat de Cyberbeveiligingswet verandert, wie eronder valt en wat het betekent voor je cloud-, opslag- en back-upkeuzes.
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens de Rijksoverheid gaat het om ruim 8.000 organisaties in 18 sectoren, die zelf moeten nagaan of ze eronder vallen. Ze krijgen een registratieplicht, een zorgplicht en een meldplicht, en het bestuur is eindverantwoordelijk.
Wat is er veranderd?
- De Tweede Kamer nam de wet op 15 april 2026 aan, de Eerste Kamer stemde op 7 juli 2026 in. De wet gaat in op 15 augustus 2026.
- De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).
- Registratieplicht: organisaties registreren zich in het entiteitenregister van het NCSC.
- Zorgplicht: je neemt maatregelen om cyberrisico’s voor netwerk- en informatiesystemen te beheersen en de gevolgen van incidenten te beperken.
- Meldplicht: significante incidenten meld je binnen de wettelijke termijnen aan het CSIRT en de bevoegde autoriteit.
- Bestuurders zijn eindverantwoordelijk. Volgens Binnenlands Bestuur kunnen zij bij niet naleven ook persoonlijk worden aangesproken.
- Daarnaast treedt de Wet weerbaarheid kritieke entiteiten in werking, voor ongeveer 500 organisaties in sectoren als energie, vervoer en bankwezen.
Wat heeft dit met opslag en back-up te maken?
De NIS2-richtlijn noemt in artikel 21 onder meer bedrijfscontinuïteit, waaronder back-upbeheer en herstel na een ramp, en beveiliging in de relatie met directe leveranciers. Opslag, back-up en cloudaanbieders horen dus bij het geheel dat organisaties moeten overzien. Welke maatregelen voor jouw organisatie nodig zijn, hangt af van je sector en omvang. Wij zijn geen jurist; raadpleeg bij twijfel een adviseur of de toezichthouder.
Wat kun je doen?
- Ga na of je organisatie onder de wet valt. De Rijksoverheid benadrukt dat organisaties dat zelf moeten beoordelen.
- Maak een overzicht van je cloud-, opslag- en back-upleveranciers en wat je daar bewaart.
- Test of je back-ups echt terug te zetten zijn en hoe lang dat duurt.
- Leg vast hoe je incidenten signaleert en wie ze meldt.
- Vraag leveranciers naar hun werkwijze bij incidenten en naar certificeringen.
Verder lezen
Bronnen
- Rijksoverheid: Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht (7 juli 2026)
- Binnenlands Bestuur: Tweede Kamer neemt Cyberbeveiligingswet aan (16 april 2026)
- Springlex: NIS2-richtlijn, artikel 21 (datum niet vermeld)
Laatst bijgewerkt op