Cyberbeveiliging is het beschermen van computersystemen, netwerken en gegevens tegen ongeoorloofde toegang, diefstal, schade en andere digitale dreigingen. Sinds 15 augustus 2026 is cyberbeveiliging voor ruim 8.000 Nederlandse organisaties ook een wettelijke plicht: toen trad de Cyberbeveiligingswet (Cbw) in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. In dit artikel lees je wat cyberbeveiliging inhoudt, wat de Cbw van organisaties vraagt en hoe je je digitale weerbaarheid versterkt.
Wat is cyberbeveiliging?
Cyberbeveiliging is het geheel van maatregelen, technologieën en processen waarmee je digitale systemen en informatie beschermt. Het doel is om drie eigenschappen van informatie te waarborgen: vertrouwelijkheid, integriteit en beschikbaarheid.
- Vertrouwelijkheid: alleen bevoegde personen hebben toegang tot informatie.
- Integriteit: informatie is juist en volledig, en wordt niet ongemerkt gewijzigd.
- Beschikbaarheid: systemen en gegevens zijn beschikbaar wanneer je ze nodig hebt.
De dreigingen zijn divers: ransomware die systemen versleutelt, phishing die inloggegevens buitmaakt, misbruik van kwetsbaarheden in software en aanvallen via leveranciers in de keten. Volgens de Autoriteit Persoonsgegevens wordt een klein deel van de datalekken veroorzaakt door een cyberaanval, maar die incidenten treffen al snel honderden tot meer dan een miljoen mensen. Voor financiële dienstverleners, die grote hoeveelheden gevoelige klantgegevens beheren, is cyberbeveiliging daarom een kernonderdeel van hun bedrijfscontinuïteit.
Wat zijn de NIS2-richtlijn en de Cyberbeveiligingswet?
De NIS2-richtlijn is de Europese richtlijn voor de beveiliging van netwerk- en informatiesystemen (Network and Information Security Directive, Richtlijn (EU) 2022/2555). De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking daarvan en geldt sinds 15 augustus 2026.
De Europese Unie stelde NIS2 op om de digitale weerbaarheid van alle lidstaten op een hoger en gelijker niveau te brengen. Een richtlijn werkt niet rechtstreeks, dus iedere lidstaat moest de regels in nationale wetgeving omzetten. In Nederland nam de Tweede Kamer de Cbw aan op 15 april 2026 en stemde de Eerste Kamer in op 7 juli 2026.
De Cbw is de opvolger van de Wet beveiliging netwerk- en informatiesystemen (Wbni). Die huidige wet gold vooral voor vitale aanbieders, zoals energie- en drinkwaterbedrijven. De Cbw is veel breder: waar de Wbni een beperkte groep organisaties raakte, vallen nu ruim 8.000 organisaties in essentiële en belangrijke sectoren onder de wet. Tegelijk met de Cbw trad de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, die de fysieke weerbaarheid van kritieke infrastructuur regelt.
Voor wie geldt de Cyberbeveiligingswet?
De Cbw geldt voor middelgrote en grote organisaties in sectoren die de wet als essentieel of belangrijk aanwijst. Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de wet vallen.
De wet maakt onderscheid tussen twee soorten entiteiten:
Essentiële entiteiten | Belangrijke entiteiten | |
|---|---|---|
Voorbeelden van sectoren | Energie, transport, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, digitale infrastructuur, overheid | Post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, maakindustrie, digitale aanbieders |
Toezicht | Proactief: de toezichthouder kan ook zonder aanleiding controleren | Reactief: toezicht vooral na een incident of signaal |
Maximale boete (NIS2) | 10 miljoen euro of 2% van de wereldwijde jaaromzet | 7 miljoen euro of 1,4% van de wereldwijde jaaromzet |
Of een organisatie essentieel of belangrijk is, hangt af van zowel de sector als de omvang. Een middelgrote organisatie in een sector met een hoge kriticiteit kan dus ook als belangrijke entiteit gelden.
Cyberbeveiliging in de financiële sector: DORA
Voor banken, verzekeraars, beleggingsondernemingen en andere financiële entiteiten geldt daarnaast de Europese Digital Operational Resilience Act (DORA), sinds 17 januari 2025. DORA is een verordening met specifieke eisen voor ICT-risicobeheer, het melden van ICT-incidenten, het testen van de digitale weerbaarheid en het beheren van risico's bij ICT-leveranciers. Voor financiële entiteiten gaan de cybersecurity-eisen uit DORA voor op die uit de Cbw. Voor accountantskantoren en andere dienstverleners buiten de financiële sector is DORA niet van toepassing, maar kunnen ze wel via hun klanten met de eisen te maken krijgen.
Welke verplichtingen gelden onder de Cyberbeveiligingswet?
De Cbw kent vier kernverplichtingen: registreren, de zorgplicht naleven, significante incidenten melden en de bestuurlijke verantwoordelijkheid invullen. Er is geen algemene overgangsperiode: de verplichtingen gelden sinds de wet in werking is getreden.
Registratieplicht
Organisaties die onder de wet vallen, moeten zich registreren bij de bevoegde autoriteit, via het Nationaal Cyber Security Centrum (NCSC). Zo weet de overheid wie er onder het toezicht valt.
Zorgplicht: passende maatregelen
De zorgplicht verplicht je om passende maatregelen te nemen om de risico's voor je netwerk- en informatiesystemen te beheersen. Denk aan risicobeheer, toegangsbeleid, cryptografie, beveiliging van de toeleveringsketen, detectie van incidenten en plannen voor bedrijfscontinuïteit. De maatregelen moeten in verhouding staan tot de risico's en de omvang van je organisatie.
Meldplicht voor significante incidenten
Een significant incident meld je in stappen: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport met de oorzaak en de genomen maatregelen. Een incident is significant als het de dienstverlening ernstig verstoort of grote schade kan veroorzaken.
Bestuurlijke verantwoordelijkheid
Bestuurders zijn eindverantwoordelijk voor de cybersecurity van hun organisatie. Ze moeten de maatregelen goedkeuren, toezien op de uitvoering en aantoonbaar voldoende kennis van cybersecurity hebben, bijvoorbeeld door een training te volgen. Bij ernstige tekortkomingen kunnen bestuurders persoonlijk worden aangesproken.
Hoe versterk je de digitale weerbaarheid van je organisatie?
Digitale weerbaarheid versterk je door risico's systematisch te analyseren, de belangrijkste maatregelen eerst te nemen en aantoonbaar vast te leggen wat je doet. Ook als je organisatie niet onder de Cbw valt, zijn deze stappen een goed vertrekpunt:
- Toets of de wet op je van toepassing is: bepaal je sector en omvang, en registreer je als dat nodig is.
- Analyseer dreigingen en kwetsbaarheden: breng in kaart welke systemen en gegevens het meest kritiek zijn en waar de grootste risico's zitten.
- Regel toegang goed: werk met toegangsrechten per rol, multifactorauthenticatie en een duidelijk toegangsbeleid.
- Beoordeel je leveranciers: controleer of je ICT-leveranciers zelf voldoende beveiligd zijn, bijvoorbeeld via certificeringen zoals ISO 27001 of SOC 2.
- Bereid je voor op incidenten: zorg voor een incidentresponsplan, oefen het, en leg vast wie wanneer actie onderneemt en wat er gemeld moet worden.
- Train bestuur en medewerkers: de meeste cyberincidenten beginnen bij een menselijke fout, zoals een klik op een phishinglink.
Voor financiële dienstverleners speelt de keuze van leveranciers een grote rol. Klantdossiers en identiteitsdocumenten behoren tot de gevoeligste gegevens die je beheert. Hyarchis is ISO 27001-, ISO 22301- en SOC 2-gecertificeerd, en legt met toegangsrechten per rol en audit trails vast wie wanneer bij welk document heeft gekeken.
In het kort
- Cyberbeveiliging beschermt de vertrouwelijkheid, integriteit en beschikbaarheid van systemen en informatie.
- De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de NIS2-richtlijn en geldt sinds 15 augustus 2026.
- De Cbw vervangt de Wbni en raakt ruim 8.000 essentiële en belangrijke entiteiten.
- De kernverplichtingen zijn registratie, de zorgplicht, de meldplicht voor significante incidenten en bestuurlijke verantwoordelijkheid.
- Voor financiële entiteiten gaan de eisen uit DORA voor op de Cbw.
- Digitale weerbaarheid begint bij een risicoanalyse, goed toegangsbeheer en betrouwbare leveranciers.
Veelgestelde vragen over cyberbeveiliging en de Cbw
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. De Tweede Kamer nam de wet aan op 15 april 2026 en de Eerste Kamer stemde in op 7 juli 2026. Er geldt geen algemene overgangsperiode.
NIS2 is de Europese richtlijn met de minimale eisen voor cybersecurity. De Cyberbeveiligingswet is de Nederlandse wet die deze richtlijn omzet in nationale regels. Voor Nederlandse organisaties is dus de Cbw de wet waaraan ze moeten voldoen.
Dat hangt af van je sector en omvang. Middelgrote en grote organisaties in de sectoren die de wet noemt, vallen er in principe onder. Kleinere organisaties vallen er meestal buiten, maar kunnen via hun klanten wel met de eisen te maken krijgen, omdat die ook hun leveranciers moeten beoordelen.
Per sector is een toezichthouder aangewezen. Het Nationaal Cyber Security Centrum is het centrale aanspreekpunt voor registratie en ondersteuning. Voor de financiële sector speelt DNB een rol, onder meer bij het toezicht op DORA.
De Cbw geldt voor organisaties in veel verschillende sectoren. DORA is een Europese verordening specifiek voor de financiële sector, met gedetailleerdere eisen aan ICT-risicobeheer, incidentmelding en het testen van systemen. Voor financiële entiteiten gaat DORA voor.
Disclaimer
De informatie in dit artikel is uitsluitend bedoeld ter algemene voorlichting. Het mag niet worden beschouwd als bindend fiscaal, juridisch of financieel advies. Hoewel we ernaar streven dat de inhoud actueel en correct is, kunnen er geen rechten aan worden ontleend. Voor advies op maat, afgestemd op de specifieke situatie van uw organisatie, raden wij aan contact op te nemen met een bevoegde adviseur of specialist.
