De Eerste Kamer heeft op 7 juli 2026 ingestemd met de Cyberbeveiligingswet (Cbw), de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet treedt op 15 augustus 2026 in werking en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Daarmee is de jarenlange onzekerheid over de Nederlandse NIS2-implementatie voorbij: de verplichtingen staan vast en gelden op korte termijn.

Ruim 8.000 organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, zorg, vervoer en de overheid, krijgen te maken met een zorgplicht (passende maatregelen op basis van een risicobeoordeling), een meldplicht voor significante incidenten en een registratieplicht: registratie in het entiteitenregister via mijn.ncsc.nl is per 15 augustus verplicht. Cyberveiligheid wordt bovendien expliciet een bestuurstaak, met mogelijke persoonlijke aansprakelijkheid van bestuurders en boetes die kunnen oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Ook het beheersen van risico’s in de toeleveringsketen is een wettelijke verplichting, waardoor de wet doorwerkt naar tienduizenden leveranciers.

Wat betekent dit voor u? Organisaties zijn zelf verantwoordelijk om te toetsen of zij onder de wet vallen. De eerste stappen: bepaal uw positie, bereid de NCSC-registratie voor, en zorg voor een werkend, aantoonbaar risicomanagementproces, want daar begint elke verplichting. Ons Cybersecurity Risk | Compliance | Governance raamwerk geeft daarvoor het complete fundament.

Bronnen: Rijksoverheid (7 juli 2026), Eerste Kamer (wetsvoorstel 36.764), NCTV.