Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Daarmee is de Europese NIS2-richtlijn, na aanname door de Tweede Kamer op 15 april en de Eerste Kamer op 7 juli 2026, in Nederland geldend recht geworden. De vraag is verschoven van "wanneer komt de wet" naar "voldoen wij eraan". Dit artikel zet op een rij wat er sinds de inwerkingtreding direct geldt, wat gefaseerd volgt en in welke volgorde u de achterstand inloopt als u nog niet klaar bent.
Wat geldt er nu direct?
- De zorgplicht is afdwingbaar
- Wie onder de wet valt, moet passende en evenredige beveiligingsmaatregelen hebben op de tien gebieden van artikel 21 van NIS2, van risicobeleid en incidentbehandeling tot ketenbeveiliging en multifactorauthenticatie. Risicogebaseerd: u moet kunnen uitleggen waarom uw maatregelen passen bij uw risico’s.
- De meldplicht loopt vanaf het eerste incident
- Elk significant incident valt sinds 15 augustus onder de getrapte meldplicht: een vroegtijdige waarschuwing binnen 24 uur, de incidentmelding binnen 72 uur en een eindverslag binnen één maand. Hier is geen aanloopperiode; de klok start bij het incident.
- Het bestuur is formeel verantwoordelijk
- Het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en volgt zelf een opleiding. Bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gehouden. Delegeren van de uitvoering kan; delegeren van de verantwoordelijkheid niet.
- De registratieplicht
- Essentiële en belangrijke entiteiten registreren zich bij de toezichthouder. De praktische inrichting daarvan wordt na de inwerkingtreding verder uitgewerkt; leg intern alvast vast wie de registratie doet en houd de berichtgeving van uw toezichthouder in de gaten.
Wat volgt gefaseerd?
Niet alles staat op dag één: het toezicht wordt opgebouwd en de registratie wordt verder ingericht. Daar zit een verleiding in: eerst maar eens afwachten tot de toezichthouder zich meldt. Dat is om twee redenen riskant. Ten eerste kent de meldplicht geen aanloop: bij een incident vandaag gelden de termijnen onverkort, en wordt achteraf ook zichtbaar of de zorgplicht op orde was. Ten tweede kijkt toezicht terug: wie kan laten zien dat hij sinds de inwerkingtreding planmatig aan de wet werkt, staat er wezenlijk anders voor dan wie dan nog moet beginnen.
Nog niet klaar? Deze volgorde telt
- Stel vast of u onder de wet valt (essentiële of belangrijke entiteit, of via de overheidsscope) en leg de conclusie vast, ook als het antwoord nee is.
- Richt eerst het meldproces in: wie meldt, via welk kanaal, met sjablonen voor de 24-uurs-, 72-uurs- en eindmelding. Dit is de enige verplichting die u niet meer kunt inhalen op het moment dat een incident zich aandient.
- Doorloop daarna de zelfevaluatie op de tien zorgplichtgebieden: wat staat er al, wat ontbreekt, en wie pakt wat op met welke deadline?
- Laat het bestuur het beveiligingsbeleid en het actieplan formeel vaststellen en spreek een vaste rapportagecyclus af.
- Leg per maatregel bewijs vast. Aantoonbaarheid is de rode draad van de wet: wat u niet kunt laten zien, telt niet.
Ook buiten de scope verandert er iets
Valt uw organisatie formeel niet onder de wet, dan merkt u er waarschijnlijk toch iets van. Ketenbeveiliging is een van de tien zorgplichtgebieden, dus organisaties die wél onder de wet vallen, gaan eisen stellen aan hun leveranciers. Verwacht beveiligingsvragenlijsten, contractuele eisen en verzoeken om aantoonbare maatregelen. Wie daar nu al een net dossier tegenover kan zetten, maakt van de wet een commercieel voordeel.
Weten waar u staat?
Doe de gratis Cbw-zelfscan op normio.nl/cbw-check: binnen twee minuten een indicatie of de wet op uw organisatie van toepassing is en hoe ver u bent. In Normio staat vervolgens de zelfevaluatie per zorgplichtgebied klaar, met het meldplicht-register met termijnbewaking en de bestuursrapportage voor de formele vaststelling.