In ons eerdere artikel, NIS2: Jouw gids voor IT-compliance en impact, bespraken we al de achtergrond en de verwachtingen rondom de Europese NIS2-richtlijn. Nu is het definitieve moment daar: de Cyberbeveiligingswet (Cbw) treedt op 15 augustus 2026 officieel in werking.
Vanaf deze datum geldt er voor duizenden Nederlandse organisaties een verplichting om zich te registreren in het Nationaal Entiteitenregister. Wacht niet af totdat de Cbw in werking treedt; de risico’s die organisaties en systemen lopen, zijn er immers nu ook al. Organisaties die nu al in actie komen, beveiligen zich niet alleen tegen deze bestaande risico’s, maar zijn straks ook beter voorbereid op de komst van de nieuwe wetgeving.
1. Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse omzetting van de Europese NIS2-richtlijn die de digitale weerbaarheid van kritieke organisaties moet vergroten. De wet verplicht bedrijven en overheidsinstanties om passende beveiligingsmaatregelen te nemen, incidenten te melden en zich te registreren bij de overheid.
Met de komst van de Cyberbeveiligingswet verschuift cybersecurity definitief van een vrijblijvende IT-aangelegenheid naar een wettelijke zorgplicht met directe bestuurdersaansprakelijkheid. Het doel van de wetgever is om de vitale en kritieke processen in Nederland te beschermen tegen cyberaanvallen, ransomware en grootschalige stroom- of netwerkuitval. De wet rust op drie centrale pijlers: de registratieplicht, de zorgplicht (risicobeheer en IT-beveiliging) en de meldplicht bij cyberincidenten.
2. Welke organisaties vallen onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt voor circa 8.000 Nederlandse organisaties in achttien (zeer) kritieke sectoren met minstens 50 medewerkers of meer dan €10 miljoen omzet. Daarnaast vallen bepaalde aanbieders, zoals telecombedrijven, DNS-dienstverleners en alle overheidsinstanties, er altijd onder ongeacht hun omvang.
Of de Cbw voor jou geldt, hangt dus af van twee dingen: je sector en de omvang van je organisatie (size cap). Is jouw organisatie aangewezen als entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke)? Dan val je óók onder de Cyberbeveiligingswet en kun je direct registreren.
De Omvangscriteria (‘Size Cap’)
Tel je 50 of meer medewerkers, of heb je een jaaromzet of balanstotaal van meer dan 10 miljoen euro? Dan val je waarschijnlijk onder de wet:
| Organisatiecategorie | Werknemers (FTE) | Jaaromzet | Balanstotaal |
Kleine organisatie
| < 50 medewerkers | ≤ € 10 miljoen | ≤ € 10 miljoen |
Middelgrote organisatie
| 50 – 249 medewerkers | € 10m – € 50 miljoen | € 10m – € 43 miljoen |
Grote organisatie
| ≥ 250 medewerkers | ≥ € 50 miljoen | ≥ € 43 miljoen |
Let op: Sommige organisaties vallen er altijd onder, ongeacht hun omvang. Dat geldt onder meer voor aanbieders van openbare communicatienetwerken en -diensten, vertrouwensdiensten, DNS-dienstverleners, registers voor topleveldomeinen en alle overheidsorganisaties.
Ingewikkelde structuur of valt jouw organisatie er niet onder?
Werk je met meerdere vestigingen in Nederland of in andere EU-landen? De handreiking ‘Complexe bedrijfsmodellen’ helpt je bepalen onder welke nationale wetgeving je valt. Hoor je formeel niet bij een van de kritieke sectoren? Dan geldt de wet niet voor jou en hoef je je niet te registreren. Toch lopen ook jouw systemen risico. Bovendien stellen Cbw-plichtige klanten strengere eisen aan hun toeleveranciers (supply chain security). Beveiligingsmaatregelen nemen blijft dus verstandig.
1. Scopebepaling: Valt jouw organisatie hieronder?
Selecteer hieronder jouw sector en omvang om te controleren of je onder de Cyberbeveiligingswet valt:
3. Wanneer gaat de Cyberbeveiligingswet in?
De Cyberbeveiligingswet treedt officieel in werking op 15 augustus 2026. Vanaf deze datum zijn organisaties die onder de wet vallen direct verplicht om zich te registreren in het Nationaal Entiteitenregister.
Hoewel 15 augustus 2026 erg dichtbij is, vergt het voldoen aan de wetgeving de nodige voorbereiding. Vanaf het moment dat je geregistreerd bent, sluit je aan op de dienstverlening van het NCSC als jouw sectorale CSIRT. Die dienstverlening helpt je om weerbaarder te worden en staat klaar als er een incident is. Organisaties die nu al in actie komen, zijn straks beter voorbereid op de handhaving door toezichthouders.
Om te zorgen dat jouw organisatie doelgericht toewerkt naar volledige compliance, helpt een gestructureerde aanpak. De onderstaande checklist zet alle essentiële stappen overzichtelijk op een rij, zodat je precies weet wat er nodig is om jouw organisatie tijdig klaar te stomen:
2. Checklist: Hoe je compliant wordt voor de Cyberbeveiligingswet / NIS2
Vink de stappen hieronder af om te controleren of jullie organisatie klaar is:
Hoe Morgan Black jou helpt met IT-capaciteit
Het tijdig naleven van de Cyberbeveiligingswet vraagt om de juiste IT- en Security-specialisten op de juiste plek. De vraag naar ervaren Information Security Officers, Interim CISO’s, Compliance Managers en Security Engineers is groot.
Bij Morgan Black helpen we organisaties bij het werven en selecteren van het schaarse IT-talent dat nodig is om jouw organisatie op tijd Cbw-compliant te maken. Neem contact op met het team van Morgan Black.
