Cyberbeveiligingswet per 15 augustus 2026: wat je nu moet regelen

Op 15 augustus 2026 treedt de Nederlandse Cyberbeveiligingswet in werking, de omzetting van de Europese NIS2-richtlijn. Voor organisaties die eronder vallen verandert er iets fundamenteels: je moet niet alleen maatregelen nemen, je moet ze ook kunnen aantonen.

Drie verplichtingen, kort samengevat

De wet legt drie dingen op. De zorgplicht: je beoordeelt zelf je risico’s en neemt passende maatregelen. De meldplicht: significante incidenten meld je binnen strakke termijnen. En de bestuurlijke verantwoordelijkheid: het bestuur moet kennis hebben van de risico’s en toezicht kunnen aantonen.

Die laatste is de grootste omslag. IT-beveiliging is daarmee niet langer iets wat je delegeert aan een leverancier of een systeembeheerder. Uitbesteden mag, verantwoordelijkheid overdragen niet.

De maatregelen die je moet kunnen laten zien

De wet noemt geen productnamen, maar de categorieën zijn duidelijk. In de praktijk toetsen we op deze punten:

• Toegangsbeheer en meervoudige authenticatie op alle accounts, inclusief beheeraccounts.
• Back-up en herstel, waarbij herstel daadwerkelijk is getest.
• Patchmanagement met aantoonbare uitvoering, niet alleen goede bedoelingen.
• Monitoring en logging, zodat je na een incident kunt reconstrueren wat er gebeurde.
• Leveranciersbeheer: welke partijen raken je systemen, en wat hebben zij geregeld.
• Awareness van medewerkers, met bewijs dat er periodiek wordt getraind.
• Een incidentproces met rollen, contactpersonen en meldtermijnen, dat is geoefend.

De meldtermijnen zijn korter dan je denkt

Bij een significant incident geldt een vroegtijdige melding binnen 24 uur, een uitgebreidere incidentmelding binnen 72 uur en een eindrapport binnen een maand. Wie dat proces niet vooraf heeft ingericht, verliest de eerste uren aan de vraag wie er eigenlijk over gaat.

Wat helpt: vooraf vastleggen wie beslist of een incident significant is, wie de melding doet, wie de klanten informeert en wie de technische onderbouwing levert. Dat is een half A4, en het scheelt in een crisis dagen.

Val je er niet onder? Dan nog krijg je de vragen

De wet raakt organisaties in aangewezen sectoren vanaf ongeveer 50 medewerkers of 10 miljoen euro omzet. Maar organisaties die eronder vallen moeten hun leveranciersketen beoordelen, en dat leggen ze contractueel door. In de praktijk betekent dat vragenlijsten, clausules en soms de eis van een certificaat, ook bij kleinere toeleveranciers.

We zien dat effect nu al bij klanten in de logistiek en de maakindustrie: de eisen komen niet van de toezichthouder, maar van de grootste opdrachtgever.

Wat je deze maand kunt doen

Begin niet met een projectplan van dertig pagina’s. Begin met weten waar je staat.

• Bepaal of de wet direct, indirect of niet op je van toepassing is.
• Toets de zeven maatregelcategorieën hierboven en schrijf per punt op wat er ligt.
• Richt het incidentproces in, met namen en telefoonnummers.
• Leg vast wat je hebt gedaan; zonder vastlegging heeft een maatregel formeel niet bestaan.
• Zet een herbeoordeling in de agenda, minimaal jaarlijks.