Op 15 april 2026 heeft de Tweede Kamer ingestemd met de Cyberbeveiligingswet (Cbw) en met de Wet weerbaarheid kritieke entiteiten. Dat is een belangrijke stap richting een nieuw wettelijk kader voor cybersecurity in Nederland, gebaseerd op de Europese NIS2-richtlijn.
In de praktijk betekent dit dat duizenden organisaties verplichtingen rond veiligheid, het melden van incidenten en registratie beter wettelijk verankerd krijgen. Voor veel organisaties is dit het signaal om nu al vooruit te kijken naar wat er van hen wordt verwacht.
Waarom deze Cyberbeveiligingswet nu zo belangrijk is
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederlandse wetgeving. Daarmee komt een einde aan de huidige Wbni-regeling en ontstaat er een nieuw systeem waarin cybersecurity-eisen voor meer organisaties gaan gelden.
Het doel is helder: organisaties moeten aantoonbaar maatregelen treffen om digitale diensten en processen veilig te houden. Tegelijk wordt ook duidelijker wat er gebeurt als er toch iets misgaat.
Welke plichten worden wettelijk verankerd
Een kernonderdeel van de Cyberbeveiligingswet is dat er drie typen verplichtingen worden vastgelegd: zorgplicht, meldplicht en registratieplicht. Deze verplichtingen gaan niet over “eenmalige acties”, maar over structurele aandacht voor beveiliging.
Zorgplicht: beveiliging organiseren
Met de zorgplicht wordt het uitgangspunt dat organisaties verantwoordelijkheid nemen voor cybersecurity versterkt. Denk daarbij aan het inrichten van processen en maatregelen die passen bij de aard van hun dienstverlening. De wet legt die verantwoordelijkheid vast, zodat het niet vrijblijvend is.
Meldplicht: incidenten tijdig doorgeven
De meldplicht zorgt ervoor dat incidenten op een bepaalde manier en binnen een bepaalde termijn worden gemeld. Daarmee wordt informatie sneller beschikbaar voor toezichthouders en kan er beter worden geleerd van wat er is gebeurd.
Registratieplicht: zichtbaar en toetsbaar
Tot slot maakt de registratieplicht organisaties beter vindbaar en toetsbaar. Door registratie wordt het toezicht makkelijker en kan gerichter worden gecontroleerd of organisaties aan hun verplichtingen voldoen.
Hoeveel organisaties vallen er naar verwachting onder
Voor NCSC betekent de nieuwe wet volgens de huidige planning een duidelijke uitbreiding van het werkterrein. Naar verwachting gaat het om meer dan circa 8.000 organisaties die onder de verantwoordelijkheid van NCSC gaan vallen.
Dat is relevant, omdat die schaal ook vraagt om voorbereiding: organisaties moeten weten of zij onder de wet vallen en welke onderdelen zij meteen moeten oppakken.
Wat is de route naar inwerkingtreding
Nu de Tweede Kamer heeft ingestemd, gaan de wetsvoorstellen door naar de Eerste Kamer. De verwachting is dat daar een verslag, een nota en een plenaire behandeling volgen.
De planning die wordt genoemd is dat de wet in het tweede kwartaal van 2026 in werking treedt. Tegelijk is het tempo van de Eerste Kamer bepalend voor of die timing precies wordt gehaald.
Cyberbeveiligingsbesluit en ministeriële regelingen volgen tegelijk
Parallel aan de parlementaire behandeling wordt ook gewerkt aan het Cyberbeveiligingsbesluit en bijbehorende ministeriële regelingen. Deze uitwerking is belangrijk, omdat daarin doorgaans de praktische details worden geregeld die bepalen hoe verplichtingen concreet worden ingevuld.
Voor organisaties is dat relevant: wie wil voorbereiden, hoeft niet alleen naar de wet zelf te kijken, maar ook naar de aankomende regelgevingslaag eromheen.
Naast de Cyberbeveiligingswet: Wet weerbaarheid kritieke entiteiten
Naast de Cyberbeveiligingswet heeft de Tweede Kamer ook ingestemd met de Wet weerbaarheid kritieke entiteiten. Hoewel de exacte invulling buiten de broninformatie valt, is de boodschap duidelijk: ook specifieke, vitale of kritieke sectoren krijgen een wettelijk fundament om weerbaar te zijn tegen verstoringen en incidenten.
Voor organisaties in zulke omgevingen is het extra belangrijk om te bepalen welke categorie van toepassing is en welke consequenties dat heeft voor hun beveiligingsaanpak.
Waar kunnen organisaties nu mee beginnen?
Omdat de planning uitgaat van inwerkingtreding in 2026, is “wachten tot alles rond is” vaak geen goede strategie. U kunt nu al de eerste stappen zetten om straks niet achter de feiten aan te lopen.
- Bepaal of u onder de Cyberbeveiligingswet valt en breng uw scope in kaart.
- Maak zorgplicht concreet: wat doet u al, en wat mist er om aantoonbaar te voldoen?
- Werk een meldproces uit: wie meldt, hoe gebeurt dat en hoe snel?
- Inventariseer uw registratievereisten en leg vast hoe u gegevens beschikbaar maakt.
- Volg de Cyberbeveiligingsbesluit en regelingen zodat u de praktische invulling tijdig meeneemt.
Als u daarbij hulp zoekt, is het verstandig om stakeholders binnen en buiten IT te betrekken. Zorgplicht, meldplicht en registratie raken namelijk vaak meerdere disciplines, van operations tot compliance.
Conclusie
Met de instemming van de Tweede Kamer is de Cyberbeveiligingswet een flinke stap dichterbij. De wet implementeert NIS2, vervangt de huidige Wbni en verankert voor veel organisaties de zorgplicht, meldplicht en registratieplicht. De volgende mijlpalen liggen bij de Eerste Kamer en bij de uitwerking via het Cyberbeveiligingsbesluit en ministeriële regelingen, met als doel inwerkingtreding in het tweede kwartaal van 2026.
Bron: https://www.ncsc.nl/nieuws/tweede-kamer-stemt-in-met-cyberbeveiligingswet
