De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 in werking, ook voor de publieke sector. Het NCSC gebruikt het nieuws over de levensmiddelensector van 13 oktober om te herinneren aan de verplichtingen: de wet geldt voor ongeveer 8.000 organisaties in 18 (zeer) kritieke sectoren, zoals energie, digitale infrastructuur, onderzoek en overheid. Grotere bedrijven in andere sectoren en sommige leveranciers kunnen er ook onder vallen. Organisaties moeten significante incidenten melden bij het CSIRT van hun sector en bij de toezichthouder.
Registratie en toezicht
Organisaties onder de Cbw moeten zich registreren in het nationale entiteitenregister dat het NCSC beheert. Geregistreerde organisaties kunnen gebruikmaken van diensten van het NCSC of van het CSIRT van hun sector, zoals dreigingsinformatie en hulp bij incidenten. Op 7 oktober, tijdens de ONE Conference, tekenden het NCSC en de toezichthouders RDI, ILT, ANVS en NVWA samenwerkingsafspraken over de coördinatie van toezicht, informatie-uitwisseling en rolverdeling. Volgens de NCTV waren ook IGJ en IvhO betrokken. De Cbw- en Wwke-toezichthouders maakten daarnaast afspraken over samenwerking bij beide wetten. Welke toezichthouder verantwoordelijk is, hangt van de sector af; de afspraken worden na een jaar geëvalueerd. De bron geeft geen overzicht van welke sector onder welke toezichthouder valt en noemt geen meldtermijnen of drempels; die vindt u in de wet en de handreikingen.
Wat een bestuur vooraf regelt
Het bestuur is onder de Cbw nadrukkelijk verantwoordelijk voor cyberrisico’s. De volgende lijst is onze duiding van wat dat in de praktijk vraagt en komt niet letterlijk uit de bronnen:
- Registratie: is vastgesteld of de organisatie onder de wet valt, en zo ja, is de registratie rond en wie houdt de gegevens actueel?
- Meldlijn: wie beoordeelt of een incident significant is, wie meldt aan het CSIRT en de toezichthouder, en wie is plaatsvervanger? Is dit geoefend?
- Toezichthouder: welke toezichthouder past bij uw sector, en wie is het aanspreekpunt?
- Risicoappetijt: heeft het bestuur vastgesteld welk restrisico het accepteert voor continuïteit van essentiële diensten, en is dat vertaald naar eisen aan de IT en aan leveranciers?
- Leveranciers: zijn de eisen aan meldplicht en updates richting leveranciers contractueel vastgelegd?
Gedrag blijft achter
Het NCSC meldde op 1 oktober ook dat cyberveilig gedrag van werknemers achterblijft: veel werknemers zijn te zelfverzekerd, gebruiken tweestapsverificatie te weinig en een veilige meldcultuur leidt tot meer meldingen van fouten. Ongeveer de helft deelt persoonlijke documenten met AI-hulpmiddelen. Voor een bestuur is dat een signaal dat technische maatregelen en governance samen moeten gaan: afspraken zonder cultuur van melden werken niet.
Een eerste stap voor de komende weken
Kies één scenario uit het nieuws, bijvoorbeeld een verstoring bij een leverancier die uw productie raakt, en loop het door met het bestuur: wie hoort het eerst, wie beoordeelt, wie meldt, en wat is het besluit over de bedrijfsvoering? Leg de uitkomsten vast als aanpassing van het incidentplan en de risicoappetijt. Dat kost een middag en levert zichtbaar bewijs op voor de toezichthouder dat het bestuur zijn verantwoordelijkheid neemt.
Wat betekent dit? De wet vraagt niet alleen maatregelen, maar aantoonbaar bestuurlijk eigenaarschap: registratie, meldlijn en risicoappetijt die klaarliggen vóórdat er een incident is. Onze dienst Inrichten risicomanagement & GRC helpt om die verantwoordelijkheden en de risicoappetijt vast te leggen en in een werkende cyclus van risico’s, maatregelen en rapportage te brengen.