Cyberbeveiligingswet definitief

Om u veilig en met een gerust hart te laten werken, houden wij wet- en regelgeving nauwlettend in de gaten. Belangrijk nieuws op dat vlak: op 7 juli heeft de Eerste Kamer de Cyberbeveiligingswet aangenomen, de Nederlandse invulling van de Europese NIS2-richtlijn. De wet gaat in op 15 augustus 2026 — zonder overgangstermijn. In dit bericht leest u wat dit betekent en hoe wij u hierin ondersteunen.

Waarom deze wet?

Onze samenleving en economie draaien op digitale systemen. Met de Cyberbeveiligingswet wil de overheid de digitale weerbaarheid van Nederland verhogen. De wet vervangt de bestaande Wbni en geldt voor 18 sectoren — van energie, zorg en transport tot productiebedrijven, de voedingsindustrie en ICT-dienstverlening. Ruim 8.000 organisaties vallen er direct onder, en via de toeleveringsketen nog veel meer.

Geldt de wet voor u?

Twee vragen bepalen dat. Behoort uw organisatie tot een van de aangewezen sectoren? En voldoet u aan de omvangscriteria — doorgaans vanaf 50 medewerkers, of een jaaromzet én balanstotaal boven de 10 miljoen euro? Met de NIS2-Zelfevaluatie van de Rijksoverheid checkt u dit eenvoudig. Twijfelt u? Wij kijken graag met u mee.

En ook als uw organisatie er zelf niet onder valt, is de kans zeer groot dat u de gevolgen merkt. Klanten die wél onder de wet vallen, zijn namelijk zélf verantwoordelijk voor de veiligheid van hun toeleveringsketen — en dus voor de risico’s die hun leveranciers vormen. Zij moeten daarover aantoonbaar afspraken maken en daarop toezien.

Dat maakt uw informatiebeveiliging ook een commerciële factor. Een leverancier die zijn zaken niet aantoonbaar op orde heeft, wordt voor een NIS2-plichtige klant een risico — en het is reëel dat die klant dan kiest voor een partij die wél aan de eisen voldoet. Andersom geldt: wie nu kan laten zien dat de beveiliging op orde is, versterkt de bestaande klantrelatie en heeft een streepje voor bij nieuwe opdrachtgevers. Er nu iets mee doen loont dus voor vrijwel elke organisatie.

Drie verplichtingen, kort uitgelegd

Zorgplicht — u voert zelf een risicoanalyse uit en neemt op basis daarvan passende, aantoonbare maatregelen: denk aan incidentbeheer, back-up en bedrijfscontinuïteit, toegangsbeleid en multifactorauthenticatie. Belangrijk om te weten: ook de beveiliging van de toeleveringsketen valt expliciet onder de zorgplicht. Organisaties die onder de wet vallen, zijn dus wettelijk verplicht om eisen te stellen aan hun leveranciers — precies daarom werkt deze wet zo breed door. Werkt u al met een normenkader zoals ISO 27001, dan heeft u een goede basis.

Meldplicht — significante incidenten meldt u getrapt: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindrapport binnen één maand.

Registratieplicht — valt uw organisatie onder de wet, dan registreert u zich verplicht bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl. Niet registreren kan boetes opleveren.

Daarnaast legt de wet de verantwoordelijkheid nadrukkelijk bij het bestuur: bestuurders moeten de maatregelen goedkeuren en kunnen bij ernstige nalatigheid persoonlijk aansprakelijk worden gesteld.

Samen op tijd voorbereid

15 augustus komt snel dichterbij, en omdat er geen overgangstermijn is, loont het om nu te starten. Als uw IT-partner nemen wij u dit werk zoveel mogelijk uit handen: van de check of de wet op u van toepassing is tot de risicoanalyse, de maatregelen en het aantoonbaar maken van uw compliance. Zo voldoet u niet alleen aan de wet, maar kunt u dat ook aantonen richting uw klanten en opdrachtgevers — precies waar zij de komende tijd steeds vaker om zullen vragen.

Wilt u weten waar uw organisatie staat? Neem gerust contact met ons op via info@aquesta.nl Wij denken graag met u mee.