CBW: wat is de Cyberbeveiligingswet en voor wie geldt ze?

De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die de Europese NIS2-richtlijn omzet in nationaal recht en de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) uit 2018 vervangt. De wet wordt ook wel de cybersecuritywet genoemd.

De Tweede Kamer nam de Cbw aan op 15 april 2026 en de Eerste Kamer stemde op 7 juli 2026 in; de wet treedt op 15 augustus 2026 in werking, zonder overgangsperiode (NCSC, 2026).

De Cbw geldt voor essentiele en belangrijke entiteiten vanaf 50 medewerkers of 10 miljoen euro jaaromzet, in dezelfde 18 aangewezen sectoren als NIS2 (Rijksoverheid, 2026).

De wet werkt via vier verplichtingen: een zorgplicht, een meldplicht binnen 24 en 72 uur, een registratieplicht in het entiteitenregister en bestuurdersaansprakelijkheid.

Registreren doe je bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl. De Rijksinspectie Digitale Infrastructuur (RDI) is de toezichthouder voor het grootste deel van de sectoren (RDI, 2026).

Bepaal daarom eerst of jouw organisatie eronder valt, en breng daarna met een 0-meting in kaart welke maatregelen er al staan en welke nog ontbreken.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitvoeringswet van de Europese NIS2-richtlijn, formeel Richtlijn (EU) 2022/2555. De wet verplicht organisaties in kritieke sectoren om cyberrisico’s te beheersen, incidenten te melden en zich te registreren, met het bestuur als eindverantwoordelijke. In de volksmond komen ook de termen cybersecuritywet en cybersecurity wetgeving voor; het gaat om dezelfde wet.

Een Europese richtlijn werkt niet rechtstreeks: elke lidstaat zet de regels om in nationale wetgeving. In Nederland gebeurt dat met de Cbw, die de kaders uit NIS2 handhaafbaar maakt en de toezichthouder en het meldloket aanwijst.

De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) uit 2018, die de eerste NIS-richtlijn regelde. Organisaties die al onder de Wbni vielen, beginnen niet bij nul: die maatregelen vormen een basis waarop de Cbw-verplichtingen aansluiten.

Voor wie geldt de Cbw?

De Cbw geldt voor dezelfde doelgroep als NIS2: essentiele en belangrijke entiteiten in 18 aangewezen sectoren, vanaf 50 medewerkers of 10 miljoen euro jaaromzet (Rijksoverheid, 2026). De wet breidt de doelgroep niet uit ten opzichte van de richtlijn.

• Middelgroot: vanaf 50 medewerkers, of meer dan 10 miljoen euro jaaromzet of balanstotaal. Deze organisaties zijn doorgaans belangrijke entiteiten.
• Groot: vanaf 250 medewerkers, of meer dan 50 miljoen euro jaaromzet. In de hoog-kritieke sectoren zijn dit essentiele entiteiten.

De sectoren staan in twee bijlagen: hoog-kritiek, met onder meer energie, vervoer, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur, en overig kritiek, met onder meer levensmiddelen, maakindustrie en digitale aanbieders. Het volledige overzicht per sector staat op de NIS2-pagina.

Micro- en kleinbedrijven vallen er in principe buiten. Via de toeleveringsketen krijgen ook kleinere leveranciers de eisen binnen, omdat opdrachtgevers ze opnemen in inkoopvoorwaarden en vragenlijsten. Twijfel je of je eronder valt, dan geeft de NIS2 Zelfevaluatie van de RDI een eerste indicatie.

Is de Cbw al in werking?

De Cbw treedt op 15 augustus 2026 in werking. De Tweede Kamer nam de wet aan op 15 april 2026 en de Eerste Kamer stemde op 7 juli 2026 in (NCSC, 2026). Tot die datum geldt de oude Wbni voor organisaties die daar al onder vielen; de Wbni wordt ingetrokken zodra de Cbw in werking treedt.

Er is geen overgangsperiode: de verplichtingen gelden vanaf de ingangsdatum. Tegelijk treedt de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, de Nederlandse omzetting van de CER-richtlijn (RDI, 2026).

De voorbereiding kost minimaal 6 maanden (Samen Digitaal Veilig, 2025). Wie wacht tot de wet in werking treedt, begint te laat om op tijd audit-klaar te zijn.

Wat is het verschil tussen de Cbw en NIS2?

De Cbw is niet een aparte regeling naast NIS2, maar de Nederlandse vertaling ervan. NIS2 stelt de Europese kaders, dus de sectoren, maatregelen en meldtermijnen; de Cbw maakt die kaders handhaafbaar in Nederland en wijst de toezichthouder en het meldloket aan.

Inhoudelijk volgt de Cbw de NIS2-tekst nagenoeg een op een. Voldoe je aan de Cbw, dan voldoe je aan NIS2. Achtergrond over de onderliggende richtlijn staat op de NIS2-pagina.

Wat zijn de verplichtingen uit de Cbw?

De Cbw werkt via vier verplichtingen: de zorgplicht, de meldplicht, de registratieplicht en de bestuurdersaansprakelijkheid.

De zorgplicht

De zorgplicht verplicht organisaties passende technische en organisatorische maatregelen in te richten, zoals risicoanalyse, incidentbehandeling, toegangsbeheer en beveiliging van de toeleveringsketen. Deze maatregelen komen rechtstreeks uit de NIS2-richtlijn.

De meldplicht: 24 en 72 uur

De meldplicht verplicht een vroege waarschuwing binnen 24 uur na ontdekking van een significant incident en een volledige melding binnen 72 uur, gevolgd door een eindverslag. De melding gaat naar het CSIRT en naar de toezichthouder. ClickOn richt de melding technisch in en zet die klaar; de melding zelf dien je als organisatie in, juridisch op je eigen naam.

De registratieplicht in het entiteitenregister

Organisaties die onder de wet vallen, registreren zich in het nationale entiteitenregister. In Nederland gebeurt dat bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl, verplicht vanaf 15 augustus 2026 (NCSC, 2026). Let op: toegang tot mijn.ncsc.nl loopt via eHerkenning op betrouwbaarheidsniveau EH2+, gekoppeld aan het KvK-nummer van je organisatie (NCSC, 2026). Heb je dat middel nog niet, vraag het dan eerst aan, want zonder die toegang kun je je niet registreren. Na registratie kun je aansluiten op de dienstverlening van je sectorale CSIRT. Wijzigingen, bijvoorbeeld bij een fusie, geef je binnen twee weken door (RDI, 2026).

Waar je je registreert, hangt af van je jurisdictie. De hoofdregel is de vestigingsregel: ben je in meerdere lidstaten gevestigd, dan registreer je je in elk van die lidstaten. Voor één groep geldt een uitzondering. Onder andere clouddiensten, datacentrumdiensten, beheerde diensten en beheerde beveiligingsdiensten vallen onder één rechtsgebied en registreren zich maar één keer. Voor die groep telt niet waar het hoofdkantoor staat, maar waar de beslissingen over het beheersen van cyberbeveiligingsrisico’s hoofdzakelijk worden genomen (RDI, 2026). Ben je in meerdere EU-landen actief, dan wijst de handreiking complexe bedrijfsmodellen van de NCTV de weg.

Bestuurdersaansprakelijkheid

Het bestuur moet de zorgplicht-maatregelen goedkeuren, erop toezien en zelf een opleiding volgen. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij niet-naleving.

Wie houdt toezicht?

De Rijksinspectie Digitale Infrastructuur (RDI) is de aangewezen toezichthouder voor het grootste deel van de sectoren en kan handhaven met een boete of een last onder dwangsom. Het NCSC beheert het entiteitenregister en is het loket voor incidentmeldingen en dreigingsinformatie (RDI, 2026).

Welke ICT-maatregelen vraagt de Cbw?

De zorgplicht uit de Cbw is voor het grootste deel technische ICT-uitvoering. ClickOn richt die laag in op Microsoft 365 en levert het bewijs dat de RDI of een opdrachtgever wil zien.

De registratie in het entiteitenregister, het indienen van de incidentmelding, de bestuursverantwoordelijkheid met de opleidingsplicht, en governance en beleid vallen buiten die scope; dat blijft bij de organisatie zelf.

• Risicoanalyse en beveiligingsbeleid: Secure Score als nulmeting en doorlopend beleid in de tenant.
• Incidentbehandeling: detectie en response via Microsoft Defender.
• Bedrijfscontinuiteit: immutable back-up met periodieke hersteltests.
• Beveiliging van de toeleveringsketen: beheer van tenant-koppelingen en gedeelde toegang met leveranciers.
• Veilige verwerving en ontwikkeling: patch- en kwetsbaarhedenbeheer via Intune.
• Effectiviteitsbeoordeling: monitoring en dashboards op basis van Secure Score.
• Cyberhygiene en opleiding: security-awareness en aanvalssimulatietraining.
• Cryptografie en encryptie: BitLocker op apparaten en versleuteling van data via Purview.
• Personeel, toegang en assets: rolgebaseerde toegang, conditional access en assetbeheer via Entra ID en Intune.
• Sterke authenticatie: multifactorauthenticatie via Entra ID en beveiligde e-mail via Defender for Office 365.

Veelvoorkomende ICT-risico’s onder de Cbw

Dit zijn de risico’s die het vaakst tot een meldplichtig cyberincident leiden, met de maatregel die ze afdekt.

• Phishing en accountovername: de meest voorkomende toegangsroute. Afgedekt met MFA, conditional access en Defender for Office 365.
• Ransomware: gijzeling van systemen en data. Afgedekt met immutable back-up, Defender for Endpoint en geteste herstelplannen.
• Datalek: ongeautoriseerde toegang tot gegevens. Afgedekt met toegangsbeheer, encryptie en data loss prevention via Purview.
• Ongepatchte systemen: bekende kwetsbaarheden die openstaan. Afgedekt met patch- en kwetsbaarhedenbeheer via Intune.
• Zwakke plek bij een leverancier: een koppeling die te veel toegang geeft. Afgedekt met beheer van tenant-koppelingen en gedeelde toegang.
• Schaduw-IT: ongecontroleerde apps en clouddiensten. Afgedekt met app-beheer en zicht via Defender for Cloud Apps.
• Incidenten die te laat worden ontdekt: waardoor de 24-uurstermijn in gevaar komt. Afgedekt met doorlopende monitoring en alerting.
• Verlies of diefstal van apparaten: data op zoekgeraakte laptops of telefoons. Afgedekt met BitLocker en op afstand wissen via Intune.

Belangrijke begrippen uit de Cbw

• Essentiele entiteit: een grote organisatie in een hoog-kritieke sector. Essentiele entiteiten vallen onder proactief toezicht, ook zonder incident.
• Belangrijke entiteit: een middelgrote of grote organisatie in een kritieke sector, met toezicht achteraf na een incident of signaal.
• Entiteitenregister: het nationale register waarin organisaties zich registreren, in Nederland beheerd door het NCSC via mijn.ncsc.nl.
• RDI: de Rijksinspectie Digitale Infrastructuur, de toezichthouder voor het grootste deel van de Cbw-sectoren.
• CSIRT: het Computer Security Incident Response Team dat meldingen ontvangt en bijstand verleent; in Nederland vervult het NCSC deze rol voor de meeste sectoren.
• Wbni: de Wet beveiliging netwerk- en informatiesystemen uit 2018, die de Cbw vervangt.
• Cyberbeveiligingsbesluit: het besluit waarin de verplichtingen uit de Cbw verder worden uitgewerkt, onder meer voor de sector Overheid.
• Wwke: de Wet weerbaarheid kritieke entiteiten, de fysieke tegenhanger die tegelijk met de Cbw in werking treedt.

Norm-overstijgende ICT-begrippen die bij de Cbw terugkomen:

• Netwerk- en informatiesysteem
• Cyberincident
• Cyberrisico
• Zorgplicht
• Meldplicht
• Ketenverantwoordelijkheid
• Toegangsbeheer
• Multifactorauthenticatie
• Encryptie
• Monitoring en logging
• Back-up
• Bedrijfscontinuiteit
• Patchmanagement en kwetsbaarhedenbeheer
• Datalek
• Cyberhygiene

De Cbw vergeleken met andere normen en wetten

De Cbw voegt zelf geen nieuwe beveiligingsmaatregelen toe: de inhoud komt uit NIS2. De vergelijkingen gaan daarom vooral over hoe andere kaders zich tot de Cbw verhouden. Per norm staat de volledige vergelijking op een eigen vergelijkingspagina:

• Cbw en NIS2
• Cbw en de CER-richtlijn
• Cbw en DORA
• Cbw en de AVG
• Cbw en ISO 27001
• Cbw en NEN 7510
• Cbw en BIO

Zo helpt ClickOn met de Cbw

De maatregelen uit de Cbw zijn voor het grootste deel IT-beheer: toegangsbeheer, monitoring, back-up en recovery, patching en incidentrespons. Precies het werk dat een managed service provider dagelijks doet, inclusief de bewijsvoering die de RDI of een opdrachtgever wil zien. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 en doorstond meer dan 25 audits met een slagingspercentage van 100 procent.

ClickOn doet dat met twee aanbiedingen. De Compliance Sprint maakt je organisatie in 30 dagen technisch audit-klaar voor een vaste prijs per werkplek: week 1 de 0-meting en gap-analyse, week 2 en 3 het inrichten van de maatregelen, week 4 het bewijs. Met compliant werkplekbeheer (ClickOn Compliant MKB) blijft het daarna werken, voor 148 euro per werkplek per maand, inclusief bewaking en support. Beleid, governance-advies en de formele audit blijven het domein van je compliance-adviseur of auditor; ClickOn levert de technische uitvoering en het bewijs.

Per stap van je Cbw-traject kun je bij ClickOn terecht:

• Cbw implementatie: het inrichten en herstellen van de ICT-maatregelen in Microsoft 365.
• Cbw audit readiness: het bewijs klaarzetten dat de toezichthouder of een opdrachtgever wil zien.