Sinds 15 augustus 2026 gelden in Nederland twee nieuwe wetten naast elkaar: de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Organisaties die onder die tweede wet vallen, zijn vanaf die datum formeel aangewezen als kritieke entiteit en moeten kunnen aantonen dat hun essentiële dienstverlening ook bij grote verstoringen doorloopt.
Eerst de kern
- De Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet, de Nederlandse invoering van de Europese NIS2-richtlijn.
- De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten zijn op 15 augustus 2026 in werking getreden. De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen.
- Volgens de Rijksoverheid gelden vanaf die datum nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland. Organisaties onder de Wwke worden door de overheid rechtstreeks geïnformeerd over hun aanwijzing.
- Ook wie zelf buiten de wet valt, merkt de gevolgen via de keten: opdrachtgevers moeten hun leveranciersrisico’s beheersen en stellen daarom securityeisen.
Wat is er precies gebeurd?
Na jaren van uitstel is de Nederlandse implementatie van NIS2 rond. De Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet en met de Wet weerbaarheid kritieke entiteiten. Beide wetten zijn op 15 augustus 2026 in werking getreden. De Cyberbeveiligingswet vervangt daarmee de Wet beveiliging netwerk- en informatiesystemen, die tot dan de basis vormde voor de zorgplicht en meldplicht bij vitale aanbieders.
Minister van Justitie en Veiligheid David van Weel benoemde bij de aankondiging dat organisaties voorbereid moeten zijn op risico’s die de continuïteit van essentiële dienstverlening kunnen raken, van digitale dreigingen tot sabotage en natuurrampen. Zijn oproep was kort en duidelijk: “Ik roep organisaties op om tijdig aan de nieuwe verplichtingen te voldoen.”
Opvallend detail voor wie nog moet starten: juridische analyses van de wet wijzen erop dat er geen overgangsperiode is ingebouwd. De verplichtingen gelden vanaf de dag van inwerkingtreding. Meer achtergrond over de inwerkingtreding zelf staat in ons artikel over de Cyberbeveiligingswet vanaf 15 augustus 2026.
Wat voegt de Wet weerbaarheid kritieke entiteiten toe aan NIS2?
De Cyberbeveiligingswet richt zich op digitale weerbaarheid: risicobeheer, beveiligingsmaatregelen, incidentmelding en toezicht op essentiële en belangrijke entiteiten. Wie wil weten wat die begrippen betekenen, vindt de basis in onze uitleg over wat NIS2 is.
De Wet weerbaarheid kritieke entiteiten kijkt breder dan het digitale domein. Daar gaat het om de vraag of een organisatie haar essentiële dienst kan blijven leveren bij allerlei soorten verstoringen, dus ook fysieke incidenten, sabotage en natuurrampen. Organisaties die hieronder vallen, krijgen een formele aanwijzing als kritieke entiteit en worden daarover door de overheid rechtstreeks geïnformeerd.
Kan één organisatie onder beide wetten vallen?
Ja, dat is goed mogelijk. Zorg, energie, drinkwater, transport en digitale infrastructuur zitten vaak in beide sporen. Praktisch betekent dat twee sets verplichtingen op één organisatie, met deels dezelfde maatregelen als onderlegger. Val je daarnaast onder financiële regelgeving, dan loopt er nog een derde spoor mee. Hoe die stapeling werkt, leggen we uit in het overzicht over NIS2 en DORA naast elkaar.
Val ik hieronder? Drie routes om het te bepalen
- Directe werking. Je organisatie hoort tot een sector en grootteklasse die de Cyberbeveiligingswet aanwijst als essentiële of belangrijke entiteit. Dan geldt de zorgplicht, de meldplicht en de registratieplicht rechtstreeks.
- Formele aanwijzing. Valt je organisatie onder de Wet weerbaarheid kritieke entiteiten, dan hoor je dat van de overheid zelf. Wacht daar niet passief op, want de voorbereiding kost maanden.
- Via de keten. Je bent leverancier van een organisatie die wel onder de wet valt. Die opdrachtgever moet risico’s in de toeleveringsketen beheersen en zal dus eisen aan jou stellen.
Die derde route raakt de grootste groep. Een analyse van de Nederlandse wet schat dat de ketenverantwoordelijkheid van de ruim achtduizend verplichte organisaties doorwerkt naar zo’n 133.000 Nederlandse mkb-bedrijven daarachter. Je valt dan niet zelf onder de wet, terwijl je contractueel wel aan securityeisen moet voldoen.
Welke eisen komen er via opdrachtgevers naar je toe?
Brancheorganisaties die hun leden voorbereiden, noemen steeds vergelijkbare thema’s. Reken op vragen en contractclausules over:
- veilige toegang tot systemen en installaties
- het tijdig installeren van beveiligingsupdates
- beheer van gebruikersaccounts en wachtwoorden
- het melden en afhandelen van cyberincidenten
- afspraken over beheer, onderhoud en verantwoordelijkheden
In de praktijk landen die vragen vaak in een leveranciersvragenlijst met tientallen items. Wil je weten hoe jouw organisatie daar nu op scoort, dan is de gratis NIS2 Supply Chain check een nuchtere nulmeting. Daarna kun je gericht kiezen wat je eerst oppakt.
Wat betekent dit voor je organisatie in de praktijk?
Bestuurlijke verantwoordelijkheid is geen papieren kwestie
NIS2 legt de verantwoordelijkheid voor risicobeheer expliciet bij het bestuur. Dat werkt alleen als directie en bestuur begrijpen waar het risico zit. Eén sessie met concrete voorbeelden uit de eigen omgeving doet daar meer voor dan een dik beleidsstuk. In onze NIS2 boardroom training gaat een ethisch hacker live het dark web op en laat zien welke gegevens van de organisatie daar te vinden of te koop zijn. Wat zo’n sessie oplevert, beschrijft Anass Ali over ethisch hacken.
Aantoonbaarheid bepaalt je positie bij toezicht en bij klanten
Toezichthouders en opdrachtgevers vragen om bewijs: beleid, risicoanalyses, maatregelen, logboeken en verbeteracties. Een managementsysteem geeft daar structuur aan. Veel organisaties gebruiken de eisen uit de ISO 27001-norm als basis, zorginstellingen vaak NEN 7510 en overheden BIO 2.0. Het verschil tussen twee veelgebruikte normen staat in NEN 7510 en ISO 27001 naast elkaar.
Detectie, respons en de meldketen horen bij elkaar
De meldplicht onder de Cyberbeveiligingswet kent korte termijnen. Die haal je alleen als je incidenten tijdig ziet en weet wie wat doet zodra er iets afgaat. Lees hoe detectie en respons in de zorgplicht passen in detectie en respons onder NIS2 en wat je van een responspartij mag verwachten in van melding naar actie.
Testen laat zien of maatregelen echt werken
Beleid dat klopt op papier zegt weinig over de werkelijkheid. Een pentest op je webapplicaties, API’s, interne netwerk of Active Directory maakt zichtbaar wat een aanvaller daadwerkelijk kan. Welke testverplichting bij de zorgplicht hoort, lees je in pentest en NIS2. En na herstel geldt: pas een hertest bevestigt dat een kwetsbaarheid echt gedicht is.
Waar begin je als je nu pas start?
- Stel schriftelijk vast of je direct onder de Cyberbeveiligingswet valt, of je aangewezen kunt worden als kritieke entiteit, en welke klanten eisen aan je gaan stellen.
- Regel de registratie en de interne meldroutine, inclusief wie ’s nachts en in het weekend beslist.
- Maak een risicoanalyse die je kunt uitleggen, met eigenaren en termijnen per maatregel.
- Kies één norm als kapstok en houd het beheersbaar: ISO 27001, NEN 7510 of BIO 2.0, afhankelijk van je sector.
- Toets de werking van je belangrijkste maatregelen met een test, niet met een aanname.
Loopt de agenda vol en is er geen securityteam om dit naast het dagelijks werk te doen? BOEM Cybersecurity begeleidt implementaties en audits voor ISO 27001, NEN 7510, BIO 2.0, NIS2 en DORA, verzorgt awareness en pentesten, en werkt daarbij met vaste, voorspelbare maandkosten en volledige ontzorging. Wil je sparren over de eerste stap, neem dan contact op.
Veelgestelde vragen
Sinds wanneer geldt de Cyberbeveiligingswet precies?
De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten zijn op 15 augustus 2026 in werking getreden, nadat de Eerste Kamer op 7 juli 2026 instemde. De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen.
Hoeveel organisaties krijgen met de nieuwe verplichtingen te maken?
De Rijksoverheid spreekt over ruim 8.000 organisaties in Nederland die vanaf 15 augustus 2026 nieuwe verplichtingen hebben op het gebied van cyberbeveiliging. Daarnaast raakt de ketenverantwoordelijkheid een veel grotere groep leveranciers.
Hoe weet ik of mijn organisatie een kritieke entiteit is?
Organisaties die onder de Wet weerbaarheid kritieke entiteiten vallen, worden vanaf de inwerkingtreding formeel aangewezen en daarover door de overheid rechtstreeks geïnformeerd. Verwacht je zo’n aanwijzing, begin dan alvast met je continuïteitsanalyse.
Ik ben alleen leverancier. Moet ik dan ook iets doen?
Waarschijnlijk wel. Opdrachtgevers die onder de wet vallen, moeten risico’s in hun toeleveringsketen beheersen en leggen daarom eisen bij hun leveranciers neer, bijvoorbeeld over toegangsbeveiliging, updates, accountbeheer en incidentmelding. Een nulmeting laat zien hoe ver je daarin al bent.
Is een ISO 27001-certificaat genoeg om aan NIS2 te voldoen?
Een certificaat is geen automatische vrijbrief. Het helpt sterk, omdat veel eisen overlappen, maar de wet kent eigen elementen zoals registratie, meldtermijnen en bestuurlijke verantwoordelijkheid. Breng daarom de verschillen in kaart en vul de gaten gericht aan.
Voor wie de wet geldt en wat de zorgplicht vraagt, lees je op onze pagina over de Cyberbeveiligingswet (NIS2).
