DEN HAAG – Ruim 8.000 Nederlandse organisaties moeten sinds 15 augustus 2026 voldoen aan strengere wettelijke eisen voor hun digitale beveiliging. Met de invoering van de Cyberbeveiligingswet (Cbw) zijn bedrijven en instellingen in achttien sectoren verplicht meer maatregelen te nemen tegen cyberaanvallen, digitale sabotage en ernstige beveiligingsincidenten. Ook webshops en kleinere ondernemingen die zelf niet rechtstreeks onder de wet vallen, kunnen met de nieuwe regels te maken krijgen. Grote klanten mogen namelijk strengere beveiligingseisen stellen aan hun leveranciers, hostingbedrijven en andere digitale dienstverleners.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. De Europese richtlijn werd op 14 december 2022 vastgesteld en had uiterlijk op 17 oktober 2024 in Nederlandse wetgeving moeten zijn omgezet. Die deadline werd niet gehaald. Pas op 7 juli 2026 stemde de Eerste Kamer met de wet in, waarna deze op 15 augustus officieel in werking trad.
Volgens het ministerie van Justitie en Veiligheid moet de wet voorkomen dat cyberaanvallen op belangrijke organisaties grote maatschappelijke gevolgen veroorzaken. De nieuwe verplichtingen gelden onder meer voor bedrijven en instellingen in de energievoorziening, gezondheidszorg, vervoerssector, digitale infrastructuur en verschillende andere bedrijfstakken.
Bedrijven moeten cyberrisico's aantoonbaar beheersen
De wet verplicht organisaties die binnen het toepassingsgebied vallen om hun digitale risico's in kaart te brengen en passende beveiligingsmaatregelen te nemen. Daarbij gaat het niet alleen om technische voorzieningen, zoals beveiligingsupdates, toegangscontrole en bescherming tegen hackers, maar ook om de manier waarop bedrijven hun digitale veiligheid organiseren.
Bestuurders krijgen daarbij een nadrukkelijke verantwoordelijkheid. Zij moeten de beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis hebben om de digitale risico's van hun organisatie te beoordelen.
Daarnaast moeten betrokken organisaties zich registreren in het nationale entiteitenregister. Bij een significant cyberincident geldt in de meeste gevallen dat binnen 24 uur een eerste melding moet worden gedaan. De precieze meldverplichtingen hangen af van de aard van het incident en de toepasselijke regels.
Toezichthouders hebben sinds de inwerkingtreding de bevoegdheid om de naleving te controleren. Bedrijven moeten daarom kunnen aantonen dat zij hun risico's kennen en passende maatregelen hebben getroffen.
Ook webshops krijgen met strengere eisen te maken
Niet iedere webshop valt rechtstreeks onder de Cyberbeveiligingswet. Dat hangt onder meer af van de omvang van de onderneming, de sector waarin deze actief is en de diensten die worden aangeboden. Aanbieders van clouddiensten en online marktplaatsen behoren tot de categorieën die onder de Europese NIS2-regelgeving kunnen vallen.
Toch kunnen ook kleinere webwinkels de gevolgen merken. Een webshop maakt doorgaans gebruik van verschillende externe partijen, waaronder hostingproviders, betaaldienstverleners, softwareontwikkelaars en leveranciers van digitale koppelingen. Wanneer een van deze organisaties onder de wet valt, kan dat leiden tot aanvullende beveiligingsafspraken binnen de gehele keten.
Bedrijven die hun website onderbrengen bij een aanbieder van managed cloud hosting besteden een deel van het technische beheer uit. De hostingpartij kan onder meer verantwoordelijk zijn voor beveiligingsupdates, systeembeheer en het bewaken van de serveromgeving. Daarmee verdwijnt de verantwoordelijkheid van de webshophouder zelf echter niet.
Ondernemers moeten blijven controleren welke persoonsgegevens zij verwerken, welke risico's daaraan verbonden zijn en welke afspraken met leveranciers zijn gemaakt. Ook moet duidelijk zijn wie verantwoordelijk is wanneer een beveiligingsincident plaatsvindt.
Twee verschillende meldplichten bij datalekken
Voor webshops die persoonsgegevens verwerken, blijft daarnaast de Algemene verordening gegevensbescherming (AVG) gelden. Bij een datalek dat een risico oplevert voor de rechten en vrijheden van betrokkenen, moet de organisatie in beginsel binnen 72 uur melding doen bij de Autoriteit Persoonsgegevens.
Dat is een andere verplichting dan de meldplicht uit de Cyberbeveiligingswet. Een ernstig digitaal incident kan daardoor onder beide regelingen vallen, maar dat hoeft niet. Een cyberaanval waarbij systemen uitvallen zonder dat persoonsgegevens worden getroffen, kan bijvoorbeeld onder de Cyberbeveiligingswet meldingsplichtig zijn. Omgekeerd kan een datalek onder de AVG vallen zonder dat de organisatie onder de Cbw valt.
Voor ondernemers is het daarom belangrijk vooraf vast te leggen wanneer een incident moet worden gemeld, wie de melding verzorgt en welke instanties geïnformeerd moeten worden.
Digitale beveiliging niet langer alleen een IT-aangelegenheid
De Rijksdienst voor Ondernemend Nederland adviseert ondernemers eerst vast te stellen of hun organisatie onder de nieuwe wet valt. De Rijksinspectie Digitale Infrastructuur biedt hiervoor een zelfevaluatietool. Ook het Nationaal Cyber Security Centrum en de Nationaal Coördinator Terrorismebestrijding en Veiligheid hebben informatie en stappenplannen beschikbaar gesteld.
Vervolgens moeten organisaties hun bestaande beveiligingsmaatregelen beoordelen. Vooral de afhankelijkheid van externe leveranciers verdient aandacht. Wanneer een hostingbedrijf, betaaldienstverlener of softwareleverancier wordt getroffen door een cyberaanval, kunnen de gevolgen zich immers uitstrekken tot tientallen of honderden aangesloten ondernemingen.
De wet betekent daarmee een verandering in de verantwoordelijkheid voor digitale veiligheid. Niet alleen de eigen computers en servers moeten voldoende beschermd zijn, ook de risico's bij bedrijven waarmee wordt samengewerkt moeten worden meegewogen.
Hoe de toezichthouders de nieuwe regels de komende periode in de praktijk zullen handhaven, moet nog blijken. Vaststaat dat voor duizenden Nederlandse organisaties cyberbeveiliging sinds 15 augustus niet langer uitsluitend een technische of vrijwillige aangelegenheid is, maar ook een wettelijke verplichting waarvoor het bestuur verantwoordelijkheid draagt.
