Per 15 augustus 2026 treedt de Cyberbeveiligingswet (Cbw) in werking. Deze wet is de Nederlandse vertaling van de Europese NIS2-richtlijn en heeft als doel de digitale weerbaarheid van organisaties te vergroten.
Veel aandacht gaat uit naar de organisaties die rechtstreeks onder de wet vallen. Begrijpelijk, want zij krijgen te maken met nieuwe verplichtingen op het gebied van cyberbeveiliging, risicobeheersing en incidentmeldingen.
Toch zien wij in de praktijk dat de impact van de Cyberbeveiligingswet verder reikt dan alleen deze groep organisaties.
Ook wanneer jouw organisatie niet onder de wet valt, is de kans groot dat je ermee te maken krijgt. Klanten, leveranciers, verzekeraars en samenwerkingspartners stellen namelijk steeds hogere eisen aan informatiebeveiliging. Cybersecurity wordt daarmee steeds meer een gezamenlijke verantwoordelijkheid binnen de hele keten.
Voor veel organisaties roept dat direct een nieuwe vraag op: waar begin je?
In dit artikel leggen we uit wat de Cyberbeveiligingswet vraagt van organisaties, waarom deze ontwikkeling ook relevant is als de wet niet rechtstreeks op jouw organisatie van toepassing is en hoe je een sterke basis legt voor cyberweerbaarheid.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet heeft als doel organisaties beter te beschermen tegen cyberdreigingen en de continuïteit van belangrijke diensten te waarborgen.
Organisaties die onder de wet vallen, krijgen onder meer te maken met een zorgplicht, meldplicht en een grotere verantwoordelijkheid voor bestuurders. Het uiteindelijke doel is niet het afvinken van compliance-eisen, maar het structureel vergroten van de digitale weerbaarheid van organisaties.
Wat vraagt de Cyberbeveiligingswet van organisaties?
De Cyberbeveiligingswet brengt verschillende verplichtingen met zich mee voor organisaties die onder de wet vallen. Op hoofdlijnen draait het om drie onderdelen.
Zorgplicht
Organisaties moeten passende maatregelen nemen om cyberrisico’s te beheersen en hun dienstverlening weerbaar te houden tegen digitale dreigingen. De zorgplicht gaat daarbij verder dan techniek alleen. Ook processen, leveranciers, medewerkers en governance spelen een belangrijke rol.
Denk hierbij aan maatregelen op het gebied van:
- Risicobeheer en risicoanalyses
- Toegangs- en identiteitsbeheer
- Bedrijfscontinuïteit en herstelvermogen
- Incidentmanagement
- Security awareness
- Leveranciers- en ketenbeheer
- Netwerk- en systeembeveiliging
- Encryptie en veilige gegevensuitwisseling
- Monitoring, controle en evaluatie
Meldplicht
Organisaties moeten ernstige cyberincidenten binnen de gestelde termijnen melden bij de daarvoor aangewezen instanties en toezichthouders.
Verantwoordelijkheid van bestuurders
Cybersecurity wordt nadrukkelijk een bestuurlijk onderwerp. Bestuurders krijgen een grotere verantwoordelijkheid voor het toezicht op cyberrisico’s en de maatregelen die binnen de organisatie worden genomen.
Hoewel deze verplichtingen formeel alleen gelden voor organisaties die onder de wet vallen, zien we dat dezelfde onderwerpen steeds vaker terugkomen in klantvragen, aanbestedingen, verzekeringsvoorwaarden en leveranciersbeoordelingen.
Cybersecurity wordt een ketenverantwoordelijkheid
Een veelgehoorde reactie is: “Wij vallen niet onder de Cyberbeveiligingswet, dus we hoeven niets te doen.” Dat is begrijpelijk, maar tegelijkertijd een risicovolle aanname. Cyberdreigingen maken geen onderscheid tussen organisaties die wel of niet onder een wet vallen. Ransomware, phishing en datalekken treffen dagelijks organisaties van iedere omvang.
Daarnaast verandert de manier waarop organisaties naar cybersecurity kijken. Organisaties die onder de Cyberbeveiligingswet vallen, moeten risico’s binnen hun leveranciersketen beter beheersen. Daardoor zullen zij kritischer kijken naar de beveiligingsmaatregelen van leveranciers en partners.
Dat zien we nu al terug in aanbestedingen, audits en leveranciersbeoordelingen. Organisaties krijgen steeds vaker vragen over de manier waarop zij hun informatiebeveiliging hebben ingericht.
Denk bijvoorbeeld aan vragen zoals:
- Is Multi-Factor Authentication (MFA) ingericht?
- Hoe worden apparaten beheerd en beveiligd?
- Zijn back-ups aanwezig en getest?
- Hoe wordt toegang tot bedrijfsinformatie beheerd?
- Worden medewerkers en directie structureel getraind in het herkennen van cyberdreigingen?
- Is monitoring ingericht voor verdachte activiteiten?
Voor veel organisaties zijn dit geen toekomstige vraagstukken meer. Het zijn vragen die vandaag al worden gesteld door klanten, partners en verzekeraars. De vraag is daarom niet alleen of de Cyberbeveiligingswet op jouw organisatie van toepassing is, maar ook welke rol jouw organisatie speelt binnen de digitale keten van klanten, leveranciers en partners. Je hoeft namelijk niet onder de Cyberbeveiligingswet te vallen om de gevolgen ervan te merken. Dit maakt het juist belangrijk om tijdig inzicht te krijgen in je risico’s en te werken aan een sterke beveiligingsbasis.
Waar begin je?
Cyberdreigingen nemen toe in zowel frequentie als complexiteit. Tegelijkertijd worden de verwachtingen vanuit klanten, leveranciers en verzekeraars steeds hoger.
In de praktijk zien wij dat veel organisaties:
- Geen volledig inzicht hebben in hun kwetsbaarheden.
- Moeite hebben om beleid te vertalen naar concrete maatregelen.
- Worstelen met de toenemende complexiteit van cybersecurity.
De noodzaak is duidelijk. De route ernaartoe vaak niet.
Wij geloven daarom dat effectieve cybersecurity begint met overzicht en haalbaarheid. Niet streven naar een theoretisch perfect einddoel, maar naar een sterke basis die vandaag werkt en morgen kan meegroeien.
De Nedvice Security Baseline
Daarom hebben wij de Nedvice Security Baseline ontwikkeld. Gebaseerd op de vijf domeinen van het NIST Cybersecurity Framework biedt deze baseline een praktisch vertrekpunt voor organisaties die hun cyberweerbaarheid willen versterken.
De baseline definieert een minimaal noodzakelijk beveiligingsniveau waarmee risico’s worden beperkt en de continuïteit van de organisatie beter wordt gewaarborgd. Geen one-size-fits-all aanpak, maar een beveiligingsniveau dat aansluit op de organisatie, de risico’s en de dagelijkse praktijk.
Zo ontstaat stap voor stap meer inzicht in risico’s, meer grip op beveiligingsmaatregelen en een sterke basis voor de eisen die klanten, leveranciers, verzekeraars en wetgeving steeds vaker stellen.
Wacht niet tot iemand erom vraagt
De Cyberbeveiligingswet is een belangrijke ontwikkeling voor de digitale weerbaarheid van Nederland. Maar de belangrijkste les is misschien wel dat cyberweerbaarheid allang niet meer uitsluitend een onderwerp is voor organisaties die wettelijk verplicht zijn maatregelen te nemen.
De verwachtingen vanuit klanten, leveranciers, verzekeraars en samenwerkingspartners nemen toe. Organisaties die vandaag investeren in een sterke beveiligingsbasis zijn beter voorbereid op die ontwikkelingen én beter beschermd tegen de dreigingen van vandaag. De vraag is daarom niet alleen of de Cyberbeveiligingswet op jouw organisatie van toepassing is.
De vraag is vooral: hoe goed is jouw organisatie voorbereid?
Wil je weten waar jouw organisatie staat op het gebied van cyberveiligheid? Met de Nedvice Security Baseline brengen we de belangrijkste risico’s in kaart en leggen we samen een stevige basis voor een weerbare digitale werkomgeving.
Plan een vrijblijvend gesprek in en ontdek wat Nedvice voor jouw organisatie kan betekenen.
