De NIS2-richtlijn geldt al op EU-niveau. In Nederland is de Cyberbeveiligingswet (Cbw) op 7 juli 2026 goedgekeurd door de Eerste Kamer. De wet is nog niet in werking, maar treedt op 15 augustus 2026 in. Voorbereiding is urgent. Wij brengen de basis nu op orde: van compliance check tot meldketen en aantoonbare verantwoordelijkheid.
Het parlementaire traject is afgerond: de Eerste Kamer heeft de wet goedgekeurd. Tot de inwerkingtreding op 15 augustus 2026 resteert een korte periode. Wie pas begint op het moment dat de wet ingaat, loopt achter. De Rijksoverheid heeft inmiddels voorbereidingstooling beschikbaar, zoals de NIS2-Zelfevaluatie en het Cbw Control Framework.
Bestuurders van organisaties in scope krijgen een aantoonbare verantwoordelijkheid en een wettelijke trainingsplicht. Ze moeten kunnen aantonen dat ze begrijpen welke cyberrisico's er spelen en welke maatregelen er zijn getroffen. Dat is anders dan 'het IT-team regelt het wel'.
/ Wetgevende tijdlijn
De NIS2-richtlijn treedt in werking op EU-niveau. Lidstaten krijgen twee jaar voor omzetting in nationale wetgeving.
Nederland heeft de richtlijn op de deadline nog niet omgezet. Het wetgevingsproces loopt door via de Cyberbeveiligingswet.
De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten (Wwke) zijn door de Eerste Kamer goedgekeurd. Dit is waar we nu staan.
Op 15 augustus 2026 gaat de Cyberbeveiligingswet ook daadwerkelijk in. Registratieplicht, zorgplicht en meldplicht gaan dan gelden. Bereid je nu voor.
De NIS2-richtlijn geldt al op EU-niveau. In Nederland is de Cyberbeveiligingswet (Cbw) op 7 juli 2026 goedgekeurd door de Eerste Kamer en treedt op 15 augustus 2026 in werking. Tot die datum gelden er nog geen nieuwe verplichtingen puur op grond van NIS2 of de Cbw.
Wie nu al onder de Wet beveiliging netwerk- en informatiesystemen (Wbni) valt, houdt zich aan de Wbni tot de Cbw ingaat. De voorbereidingstijd is kort, dus begin nu met de basis.
Dat hangt af van je sector, je omvang en je activiteit. De Cbw geldt voor organisaties in aangewezen sectoren zoals energie, transport, drinkwater, gezondheidszorg, digitale infrastructuur, overheid en financiën, mits ze een bepaalde omvang halen. Je bent dan een essentiële of een belangrijke entiteit.
Ook toeleveranciers zoals managed service providers en SaaS-partijen kunnen zelf in scope vallen, of via hun klanten op weerbaarheid worden bevraagd. Een plichtigheidscheck geeft uitsluitsel over sector, subsector en registratiejurisdictie.
Ja, organisaties die onder de Cbw vallen krijgen een registratieplicht. Registratie loopt via het entiteitenregister van het Nationaal Cyber Security Centrum (NCSC), via MijnNCSC/mijn.ncsc.nl zodra de registratie is opengesteld. Je legt onder meer vast wie je bent, in welke sector je valt en wie het aanspreekpunt voor cyberveiligheid is.
Bereid de gegevensinventarisatie en eHerkenning nu voor, zodat je direct kunt registreren zodra de registratieplicht geldt. Controleer bij registratie altijd de actuele sectorindeling, contactgegevens en bevoegde autoriteit.
De meldketen is gefaseerd. Je stuurt een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en een eindrapport binnen een maand. Dit geldt voor significante incidenten. De Nederlandse uitwerking stuurt aan op één centraal meldportaal van het NCSC.
Bepaal vooraf wie beslist of een incident significant is en wie meldt. Een incidentresponsrunbook met een beslisboom voorkomt vertraging op het moment dat het telt.
Bestuurders krijgen een aantoonbare verantwoordelijkheid en een wettelijke trainingsplicht. Ze moeten kunnen aantonen dat ze de cyberrisico's van hun organisatie begrijpen en dat er passende maatregelen zijn getroffen. Cyberveiligheid is daarmee een bestuurszaak, niet iets dat je volledig bij het IT-team laat.
In de praktijk vraagt dit om een trainingsplan voor bestuurders, een heldere rolverdeling en periodieke rapportage aan de board over risico's en maatregelen.
Na inwerkingtreding voorziet de Cbw in handhaving, waaronder bestuurlijke boetes en openbaarmakingsbevoegdheden. In het uiterste geval kan een tijdelijk functieverbod voor een bestuurder aan de orde zijn. De exacte handhavingspraktijk is nog in ontwikkeling, maar de richting is duidelijk: bestuurders zijn aanspreekbaar.
Er bestaan geen compliance-garanties. Wat telt is aantoonbare voorbereiding, volwassen besluitvorming en snelle reactie als het misgaat. Het toezicht is sectoraal ingericht, waarbij de RDI voor meerdere sectoren een centrale rol speelt.
NIS2 is de EU-richtlijn. De Cyberbeveiligingswet is de Nederlandse wet die NIS2 omzet en geldt voor alle aangewezen sectoren. BIO 2.0 is het normenkader voor de overheid. Overheidsorganisaties die onder de Cbw vallen, voldoen doorgaans ook aan BIO 2.0.
De kaders overlappen, maar zijn niet identiek. Voor de zorg speelt daarnaast NEN 7510, en ISO 27001 en 27002 dienen breed als referentiekader.
* Informatie is algemeen van aard en vormt geen juridisch advies. Cbw goedgekeurd door de Eerste Kamer op 7 juli 2026, treedt in werking op 15 augustus 2026. Stand: juli 2026.
Vertel ons wat er speelt. We starten met een compliance check en een nulmeting.