Op 15 augustus 2026 gaan de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. De Eerste Kamer stemde op 7 juli 2026 in met beide wetten. Daarmee zet Nederland een belangrijke stap richting meer digitale en fysieke weerbaarheid tegen uiteenlopende dreigingen, van cyberaanvallen tot verstoringen van essentiële dienstverlening.
Vanaf die datum gelden nieuwe regels voor naar schatting ruim 8.000 organisaties. Daarnaast kunnen organisaties die onder de Wet weerbaarheid kritieke entiteiten vallen, formeel worden aangewezen als kritieke entiteit. Hieronder lees je wat vooral verandert door de Cyberbeveiligingswet 15 augustus en hoe organisaties zich praktisch kunnen voorbereiden.
Wat houdt de Cyberbeveiligingswet in?
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland. De wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Het uitgangspunt is dat organisaties zelf moeten toetsen of ze onder de Cyberbeveiligingswet vallen.
De wet richt zich op organisaties die essentiële of belangrijke diensten leveren. Toezicht en verplichtingen gelden voor organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.
Nieuwe verplichtingen vanaf 15 augustus 2026
Zodra de wet ingaat, krijgen organisaties die onder de Cyberbeveiligingswet vallen te maken met een pakket aan verplichtingen. Denk daarbij aan maatregelen voor risicobeheersing, tijdige communicatie bij incidenten en duidelijke rollen binnen de organisatie.
1) Registratieplicht bij het NCSC
Een eerste concrete stap is de registratieplicht. Organisaties moeten zich registreren in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC). Deze registratie is per 15 augustus 2026 verplicht.
2) Zorgplicht voor cyberveiligheid
Daarnaast komt er een zorgplicht. Organisaties moeten passende maatregelen nemen om risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. Ook moeten zij die maatregelen inzetten om incidenten te voorkomen, of om de gevolgen ervan te beperken.
3) Meldplicht voor significante incidenten
Ook geldt een meldplicht. Organisaties moeten significante incidenten binnen de wettelijke termijnen melden aan hun CSIRT en aan de bevoegde autoriteit. Dat gebeurt via het meldportaal.
4) Bestuurlijke verantwoordelijkheid en kennis
Een belangrijk element is de bestuurlijke verantwoordelijkheid. Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten bovendien beschikken over voldoende kennis om risico’s en beveiligingsmaatregelen te kunnen beoordelen.
Volgens de informatie uit de bekendmaking is hiervoor een passende training nodig. Daarmee wordt cyberweerbaarheid nadrukkelijk ook een onderwerp op directieniveau.
5) Toezicht en handhaving
Ten slotte wordt de naleving gecontroleerd door toezichthouders. Organisaties kunnen dus niet alleen “op papier” voldoen, maar moeten aantoonbaar kunnen laten zien dat ze de verplichtingen uitvoeren.
Voor wie geldt dit precies?
De Cyberbeveiligingswet 15 augustus raakt niet willekeurig iedereen: de wet geldt voor organisaties die essentiële of belangrijke diensten leveren binnen de genoemde sectoren. Omdat de indeling voor organisaties afhangt van het type dienstverlening en de sector waarin zij actief zijn, blijft de eigen toetsing door organisaties cruciaal.
In de praktijk betekent dit dat veel organisaties pas echt overzicht krijgen als zij:
- nagaan tot welke categorie hun diensten behoren (essentieel of belangrijk),
- controleren of de sector waarin zij opereren onder de wet valt,
- beoordelen of zij moeten registreren en aan de meld- en zorgplichten moeten voldoen.
Waarom nu al voorbereiden belangrijk is
De wet treedt op 15 augustus 2026 in werking. Dat is nog even weg, maar de voorbereiding vraagt tijd: van het inventariseren van toepasselijkheid tot het inrichten van processen voor registratie en incidentmelding.
Een eerste stap die expliciet wordt genoemd, is het registreren bij het NCSC, omdat die registratie per ingangsdatum verplicht is. Om die voorbereiding beheersbaar te maken, is het verstandig nu al te starten met een checklist.
Na registratie kunnen organisaties ook aansluiten op de dienstverlening van hun CSIRT. Daarbij krijgen zij producten en diensten om de weerbaarheid van de organisatie te vergroten, inclusief ondersteuning bij incidenten.
Wet weerbaarheid kritieke entiteiten: wat betekent dit aanvullend?
Naast de Cyberbeveiligingswet 15 augustus gaat ook de Wet weerbaarheid kritieke entiteiten (Wwke) in. Die wet implementeert de Europese CER-richtlijn. Het doel is om kritieke infrastructuur en economische activiteiten beter te beschermen tegen dreigingen, zoals de gevolgen van terroristische misdrijven, sabotage en natuurrampen.
De Wwke richt zich op ongeveer 500 organisaties. Organisaties vallen onder deze wet als de vakminister hen aanwijst als kritieke entiteit. De broninformatie noemt onder meer sectoren zoals energie, vervoer, bankwezen, digitale infrastructuur, overheid, gezondheidszorg, drinkwater, afvalwater, chemie, nucleair en voedselketens.
Voor veel organisaties betekent dit dat er mogelijk een extra laag komt bovenop de cyberverplichtingen: niet alleen digitale beveiliging, maar ook weerbaarheid tegen verstoringen met grote impact op essentiële dienstverlening.
Praktische conclusie: pak de voorbereiding gefaseerd aan
De instemming van de Eerste Kamer en de ingangsdatum op 15 augustus 2026 zorgen voor een duidelijke deadline. De Cyberbeveiligingswet 15 augustus introduceert verplichtingen die verder gaan dan alleen technische maatregelen: registratie, meldprocessen, zorgplicht en bestuurlijke borging horen bij een structurele aanpak.
Wie tijdig start, kan de benodigde stappen inrichten met een checklist, vroeg aansluiten op CSIRT-dienstverlening en processen voor incidentmelding en risicobeheersing vormgeven voordat de wet van kracht wordt.
Bron: https://www.ncsc.nl/nieuws/cbw-en-wwke-vanaf-15-augustus-2026-van-kracht
