Op 6 en 7 juli 2026 vergadert de Eerste Kamer over de Cyberbeveiligingswet (Cbw). Tijdens deze sessies staat ook een stemming over het wetsvoorstel gepland. Wanneer de Eerste Kamer het voorstel aanneemt, treedt de wet naar verwachting op 15 augustus 2026 in werking. Voor veel organisaties betekent dit dat ze hun digitale weerbaarheid aantoonbaar op orde moeten brengen en nieuwe verplichtingen moeten uitvoeren.
De Cyberbeveiligingswet is bedoeld om de Europese NIS2-richtlijn in Nederland door te voeren. De wet richt zich op ruim 8.000 organisaties, waarbij geldt dat organisaties zélf moeten beoordelen of ze onder de reikwijdte vallen.
Wat verandert er door de Cyberbeveiligingswet?
Zodra de Cyberbeveiligingswet ingaat, krijgen organisaties die onder de wet vallen te maken met een pakket aan verplichtingen. Die raken zowel het technische als het bestuurlijke niveau van cybersecurity. Het doel is om de weerbaarheid tegen digitale dreigingen te vergroten en de slagkracht bij incidenten te verbeteren.
Concreet gaat het onder andere om de volgende onderdelen:
- Registratie bij het NCSC: organisaties moeten zich registreren bij het Nationaal Cyber Security Centrum (NCSC).
- Wettelijke zorgplicht voor cybersecurity: je moet aantoonbaar zorgen voor voldoende cyberbeveiliging.
- Meldplicht voor significante incidenten: relevante incidenten moeten tijdig worden gemeld.
- Bestuurders moeten kennis hebben: bestuurders dienen aantoonbaar op de hoogte te zijn van cybersecurity.
- Verplicht risicobeheer van leveranciers en keten: ook de toeleveranciersketen valt onder het risicobeheer.
Daarmee legt de wet de nadruk op een ketenbrede aanpak: het is niet genoeg om alleen intern maatregelen te nemen, je moet ook zicht krijgen op risico’s bij leveranciers en verder in de keten.
Wie valt onder de wet?
Een belangrijk uitgangspunt is dat organisaties zelf moeten toetsen of ze onder de Cyberbeveiligingswet vallen. Het gaat daarbij om organisaties die binnen de scope passen van de wet, waarmee de implementatie van NIS2 in de praktijk wordt ingevuld.
Omdat de verplichtingen pas bij inwerkingtreding concreet worden, is het verstandig om niet te wachten tot augustus 2026. Door vroeg te bepalen of je tot de doelgroep behoort, voorkom je dat je planning, procedures en documentatie op het laatste moment moeten worden ingericht.
Begin nu: risicoanalyse en voorbereiding registratie
Het advies is om niet af te wachten, maar al vroeg te starten met voorbereidingen. Een eerste stap is het uitvoeren van een risicoanalyse. Daarmee maak je inzichtelijk welke cyberrisico’s relevant zijn voor jouw organisatie en welke maatregelen je al hebt getroffen.
Daarnaast is het verstandig om alvast je registratie richting het NCSC voor te bereiden. Wanneer de Cyberbeveiligingswet formeel ingaat, wil je snel kunnen handelen en kun je de vereiste administratieve stappen niet meer “op tijd” regelen.
Door nu te inventariseren wat er al aanwezig is, kun je gerichter gaten dichten. Denk bijvoorbeeld aan het aanscherpen van processen rond meldingen, het vastleggen van zorgplicht en het organiseren van bestuurlijke betrokkenheid.
Wat is de status in de Eerste Kamer?
De behandeling van het wetsvoorstel is al in volle gang. Op 2 juni 2026 bracht de Eerste Kamer verslag uit over het wetsvoorstel. In dat verslag stelden leden van verschillende fracties vragen over onder meer de uitvoering, het toezicht en de gevolgen voor organisaties.
De regering heeft daarop geantwoord met een nota. Vervolgens bleek tijdens de procedurevergadering van 23 juni 2026 dat één vraag van een fractie nog onbeantwoord was gebleven. Die vraag is inmiddels beantwoord, waardoor de schriftelijke behandeling is afgerond.
Dat betekent dat de stemming in de Eerste Kamer in juli een belangrijke mijlpaal is. Als het wetsvoorstel wordt aangenomen, ligt de verwachte datum van inwerkingtreding op 15 augustus 2026.
Relatie met de Wet weerbaarheid kritieke entiteiten (Wwke)
Naast de Cyberbeveiligingswet wordt ook de Wet weerbaarheid kritieke entiteiten (Wwke) behandeld. Deze wet richt zich op het verbeteren van de weerbaarheid van organisaties die in Nederland essentiële diensten leveren.
Waar cyberbeveiliging één onderdeel is, gaat de Wwke breder dan uitsluitend digitale dreigingen. De wet heeft ook betrekking op bescherming tegen uiteenlopende verstoringen, zoals natuurrampen, terrorisme en sabotage. Daarmee ontstaat er een raamwerk waarin organisaties zich voorbereiden op meerdere soorten risico’s zodat essentiële taken uitgevoerd kunnen blijven worden.
Voor organisaties kan dit betekenen dat cybersecurity en continuïteitsplanning meer met elkaar verweven raken. In de praktijk vraagt dat om afstemming tussen cybermaatregelen, incidentrespons en bredere weerbaarheidsmaatregelen.
Praktische conclusie: plan vooruit
De Cyberbeveiligingswet komt naar verwachting snel in de laatste fase van vaststelling. Organisaties die onder de wet vallen krijgen te maken met nieuwe verplichtingen rondom registratie bij het NCSC, een wettelijke zorgplicht, meldingen van significante incidenten, aantoonbare bestuurlijke kennis en risicobeheer in de leveranciersketen.
De boodschap is helder: wacht niet tot augustus 2026. Start met een eerste risicoanalyse, breng in kaart welke maatregelen je al hebt, en bereid de registratie voor. Zo kun je straks met minder haast en meer zekerheid voldoen aan de verplichtingen van de Cyberbeveiligingswet.
Bron: https://www.ncsc.nl/nieuws/de-cyberbeveiligingswet-in-laatste-fase-van-vaststelling
