Cyberbeveiligingswet per 15 augustus 2026: wat verandert er voor bedrijven?
Op 15 augustus 2026 gaat de Cyberbeveiligingswet in. Lees voor welke bedrijven dit geldt, hoe je dit checkt en wat leveranciers van vitale organisaties moeten aantonen.
Vanaf 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de nationale uitwerking van de Europese NIS2-richtlijn. De wet raakt niet alleen grote organisaties in vitale sectoren, maar ook een brede laag van toeleveranciers die met deze organisaties samenwerken. Voor ondernemers die diensten leveren aan energiebedrijven, zorginstellingen of financiële instellingen is dit een moment om na te gaan of, en hoe, de nieuwe regels van toepassing zijn.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet, afgekort Cbw, is de Nederlandse vertaling van de Europese NIS2-richtlijn en gaat over het versterken van digitale weerbaarheid bij organisaties die belangrijk zijn voor de samenleving. De wet richt zich vooral op vitale sectoren zoals energie, zorg en financiën, waar een cyberaanval grote gevolgen kan hebben voor veel mensen tegelijk. Dit is niet hetzelfde als de Cyber Resilience Act, die eisen stelt aan de beveiliging van het digitale product zelf in plaats van aan de organisatie.
Voor wie geldt de wet?
De Cbw is primair gericht op organisaties binnen vitale sectoren. Belangrijk voor kleinere en middelgrote ondernemers is dat de wet niet stopt bij die vitale organisaties zelf: ook leveranciers van zulke bedrijven kunnen te maken krijgen met de nieuwe eisen. Werk je bijvoorbeeld als IT-dienstverlener, softwareleverancier of andere toeleverancier voor een energiebedrijf, ziekenhuis of bank, dan is de kans reëel dat je moet aantonen dat je eigen systemen voldoende cyberveilig zijn.
Hoe kom je erachter of je onder de wet valt?
De Nationaal Coördinator Terrorismebestrijding en Veiligheid biedt een online tool waarmee organisaties kunnen nagaan of ze onder de reikwijdte van de Cyberbeveiligingswet vallen. Voor ondernemers die twijfelen of hun bedrijf, of een van hun opdrachtgevers, binnen de doelgroep van de wet valt, is dit een goed startpunt om duidelijkheid te krijgen voordat de wet ingaat.
Wat betekent dit concreet voor bedrijven?
Bedrijven die onder de wet vallen, moeten kunnen aantonen dat hun digitale systemen adequaat beveiligd zijn. Dat betekent in de praktijk dat basismaatregelen zoals toegangsbeveiliging, patchmanagement en incidentregistratie op orde moeten zijn, en dat een organisatie dit ook kan onderbouwen richting toezichthouders of opdrachtgevers. Ook bedrijven die niet direct onder de wet vallen, doen er verstandig aan om basale cybermaatregelen te nemen, simpelweg omdat opdrachtgevers in vitale sectoren dit steeds vaker zullen vragen als voorwaarde voor samenwerking.
| Type organisatie | Verplichting onder de Cbw |
|---|---|
| Vitale sector (energie, zorg, financiën) | Directe verplichting om cyberbeveiliging aan te tonen |
| Leverancier van een vitale organisatie | Moet vaak eigen cyberveiligheid kunnen aantonen richting opdrachtgever |
| Overige bedrijven | Geen directe wettelijke verplichting, wel toenemende marktdruk |
Samenhang met andere Europese cyberwetgeving
De Cyberbeveiligingswet staat niet op zichzelf. Later in 2026 en 2027 volgen aanvullende Europese regels, zoals de Cyber Resilience Act, die eisen stelt aan de veiligheid van digitale producten zoals software en slimme apparaten, en eEvidence, dat aanbieders van onlinediensten verplicht om digitaal bewijs te verstrekken aan Europese autoriteiten. Voor bedrijven die actief zijn in de digitale of technologische sector loont het om deze wetten in samenhang te bekijken, in plaats van losse compliance-trajecten op te zetten. Dit sluit ook aan bij een bredere digitale transformatie, waarin beveiliging een steeds groter onderdeel wordt van elke technologiekeuze.
Praktische stappen voor ondernemers
Wacht niet tot een opdrachtgever erom vraagt, maar breng nu al in kaart of je bedrijf direct of indirect met de Cyberbeveiligingswet te maken krijgt.
- Controleer via de tool van de Nationaal Coördinator Terrorismebestrijding en Veiligheid of je organisatie onder de wet valt.
- Ga na of je opdrachtgevers in vitale sectoren actief zijn en of zij aanvullende eisen aan jou als leverancier gaan stellen.
- Leg basale cyberbeveiligingsmaatregelen schriftelijk vast, zodat je dit desgevraagd kunt aantonen.
- Volg de ontwikkeling van gerelateerde wetgeving zoals de Cyber Resilience Act, zeker als je digitale producten ontwikkelt of levert.
Conclusie
De Cyberbeveiligingswet markeert een verschuiving waarbij cyberbeveiliging niet langer alleen een interne IT-aangelegenheid is, maar een aantoonbare verplichting richting opdrachtgevers en toezichthouders. Ook bedrijven die niet rechtstreeks onder de wet vallen, doen er goed aan om nu al te bepalen of hun opdrachtgevers deze eisen gaan doorleggen, zodat ze niet worden verrast wanneer de eerste vragen binnenkomen.
Dit artikel is gebaseerd op informatie van de Kamer van Koophandel en is bedoeld als algemene informatie. Het vervangt geen juridisch of technisch advies over de toepasselijkheid van de wet op jouw specifieke situatie.
Veelgestelde vragen over de Cyberbeveiligingswet
Wanneer gaat de Cyberbeveiligingswet in?
De Cyberbeveiligingswet gaat in op 15 augustus 2026. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn.
Voor welke bedrijven geldt de Cyberbeveiligingswet?
De wet geldt vooral voor organisaties in vitale sectoren zoals energie, zorg en financiën, en voor bedrijven die als leverancier aan zulke organisaties werken.
Hoe weet ik of mijn bedrijf onder de Cyberbeveiligingswet valt?
De Nationaal Coördinator Terrorismebestrijding en Veiligheid biedt een online tool waarmee je kunt nagaan of jouw organisatie onder de wet valt.
Wat moet ik als leverancier van een vitaal bedrijf aantonen?
Je moet kunnen aantonen dat je systemen cyberveilig zijn, bijvoorbeeld door passende beveiligingsmaatregelen te nemen en dit te kunnen onderbouwen richting je opdrachtgever.
Hoe verhoudt de Cyberbeveiligingswet zich tot de Cyber Resilience Act?
De Cyberbeveiligingswet richt zich op organisaties en hun beveiligingsniveau, terwijl de Cyber Resilience Act eisen stelt aan de veiligheid van digitale producten zelf, zoals software en slimme apparaten.
