De Cyberbeveiligingswet: NIS2 in Nederland uitgelegd

Veel ondernemers spreken over NIS2, maar de verplichtingen komen in Nederland pas tot leven via een nationale wet: de Cyberbeveiligingswet. Een Europese richtlijn werkt namelijk niet rechtstreeks op individuele organisaties, maar moet eerst worden omgezet in nationale wetgeving. Tot dat moment zijn er voor de meeste organisaties nog geen harde verplichtingen, al adviseert de overheid om niet te wachten.

Dit artikel legt uit wat de Cyberbeveiligingswet is, wat er verandert ten opzichte van de oude wet, wanneer hij naar verwachting ingaat en wat dat voor het MKB betekent. Of de wet straks op jou van toepassing is, lees je in NIS2: voor welke bedrijven geldt het.

Van richtlijn naar nationale wet

De NIS2-richtlijn is op 16 januari 2023 in werking getreden voor de lidstaten van de Europese Unie. Vanaf dat moment kregen de lidstaten 21 maanden de tijd om de richtlijn om te zetten naar eigen wetgeving, met als deadline 17 oktober 2024. Nederland haalde die deadline niet, net als veel andere lidstaten.

De Nederlandse uitwerking heet de Cyberbeveiligingswet, afgekort Cbw. Het wetsvoorstel werd op 15 april 2026 door de Tweede Kamer aangenomen, waarna de behandeling in de Eerste Kamer volgde. De verwachte inwerkingtreding ligt in 2026. Vanaf dat moment gelden de verplichtingen uit NIS2 voor de organisaties die eronder vallen.

Wat de Cyberbeveiligingswet vervangt

De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen, de Wbni, die de oorspronkelijke NIS1-richtlijn uit 2016 in Nederland regelde. De grote verandering is de reikwijdte: veel meer sectoren en organisaties komen onder de wet.

De uitbreiding van 7 naar 18 sectoren is de kern. Daardoor komen organisaties in beeld die voorheen buiten schot bleven, zoals delen van de digitale infrastructuur, de productie en de levensmiddelensector. Tot de Cbw in werking treedt, blijft de Wbni van kracht voor de organisaties die er nu al onder vallen.

De drie kernverplichtingen

De Cyberbeveiligingswet verankert 3 verplichtingen die voor alle organisaties onder de wet gelden, ongeacht of je essentieel of belangrijk bent.

Deze 3 plichten werken samen. De zorgplicht gaat over de maatregelen die je treft, de meldplicht over wat je doet bij een incident, en de registratieplicht over je aanmelding bij de toezichthouder. Daarnaast draagt het bestuur de eindverantwoordelijkheid.

Hoe de wet wordt uitgewerkt

De Cyberbeveiligingswet zelf geeft het kader, maar de details worden uitgewerkt in onderliggende regelgeving. Dat is belangrijk om te weten, want sommige verplichtingen worden pas concreet als die regelgeving klaar is.

Het Cyberbeveiligingsbesluit, een algemene maatregel van bestuur, werkt onderdelen als de zorgplicht en de opleidingsplicht voor bestuurders verder uit. Per sector vullen de verantwoordelijke ministeries de regels nog nader in. Dat betekent dat de exacte invulling op sommige punten nog kan wijzigen, en dat het verstandig is de officiele bronnen te volgen.

Wat dit voor het MKB betekent

Voor een MKB-bedrijf zijn er 2 praktische conclusies. Ten eerste: wacht niet op de exacte ingangsdatum. De risico's bestaan nu al, en veel verplichtingen vergen voorbereidingstijd. Uit cijfers van de toezichthouder blijkt dat circa 58 procent van de organisaties die de zelfevaluatie deden onder de regels valt, terwijl slechts circa 35 procent van het MKB zich al voorbereidt.

Ten tweede: begin met vaststellen of je onder de wet valt en in welke categorie. Dat bepaalt de zwaarte van je verplichtingen. Daarna kun je gefaseerd de zorgplicht, de meldplicht en de registratie op orde brengen.

Een bedrijf dat nu begint, heeft tot de inwerkingtreding in 2026 de tijd om dit ordelijk te doen, voor een investering die voor de meeste MKB-bedrijven in de duizenden euro's blijft. Zie wat NIS2-compliance kost voor een uitgewerkt beeld.

De wet in perspectief

De Cyberbeveiligingswet is geen losse Nederlandse uitvinding, maar de nationale invulling van een Europese richtlijn die in alle 27 lidstaten geldt. Dat betekent dat ook je buitenlandse klanten en leveranciers met vergelijkbare regels te maken krijgen. De ketenverantwoordelijkheid werkt grensoverschrijdend: een Nederlands bedrijf dat levert aan een Duits NIS2-bedrijf kan via die keten alsnog met eisen te maken krijgen. Zie NIS2 leveranciersketen voor die kant.

De wet past in een bredere Europese beweging om de digitale weerbaarheid te vergroten, samen met regelingen als de AVG en de DORA voor de financiele sector. Wie de samenhang wil begrijpen, vindt in NIS2 vs AVG de verhouding met de privacywetgeving, en in de NIS2-compliance pillar het geheel.

NIS2 in Europees perspectief

De Cyberbeveiligingswet staat niet op zichzelf. NIS2 geldt in alle 27 lidstaten van de Europese Unie, elk met een eigen nationale wet. Dat betekent dat je internationale klanten en leveranciers met vergelijkbare verplichtingen te maken krijgen, en dat de ketenverantwoordelijkheid over de grens werkt.

Voor het MKB betekent dit Europese kader dat je niet alleen naar de Nederlandse wet hoeft te kijken. Lever je aan een Duits of Belgisch bedrijf dat onder NIS2 valt, dan kan die partij eisen dat je binnen 24 uur kunt melden en dat je je beveiliging op orde hebt, ongeacht of jij zelf al onder de Nederlandse wet valt. De circa 58 procent van de organisaties die onder de regels valt, krijgt zo via de keten gezelschap van leveranciers die formeel buiten de wet vallen maar er praktisch toch mee te maken krijgen.

Dat maakt vroeg beginnen extra logisch. Een investering van enkele duizenden euro's in je beveiliging en documentatie betaalt zich niet alleen terug in compliance, maar ook in het behoud van klanten die deze eisen stellen. Wie pas in beweging komt als een klant dreigt af te haken, staat onder tijdsdruk en onderhandelt vanuit een zwakke positie.

Tot slot een laatste cijfer dat tot nadenken stemt: terwijl circa 58 procent van de organisaties onder de regels valt, bereidt slechts circa 35 procent van het MKB zich al voor. Wie nu start en elke 12 maanden zijn maatregelen herziet, hoort bij de groep die straks klaar is in plaats van achterloopt.

Veelgestelde vragen

Wat is de Cyberbeveiligingswet?

De Nederlandse uitwerking van de Europese NIS2-richtlijn. Een richtlijn werkt niet rechtstreeks, dus de verplichtingen gelden pas zodra deze wet in werking treedt, naar verwachting in 2026.

Wat is het verschil met de Wbni?

De Wbni was gebaseerd op NIS1 en dekte 7 sectoren. De Cyberbeveiligingswet is gebaseerd op NIS2 en dekt 18 sectoren, met een uitgebreidere ketenverantwoordelijkheid en een opleidingsplicht voor bestuurders.

Wanneer treedt de wet in werking?

Het wetsvoorstel is op 15 april 2026 door de Tweede Kamer aangenomen. De verwachte inwerkingtreding ligt in 2026, afhankelijk van de behandeling in de Eerste Kamer.

Gelden er nu al verplichtingen?

Voor organisaties die al onder de Wbni vielen, gelden de regels van die wet totdat de Cyberbeveiligingswet in werking treedt. Voor nieuwe organisaties gaan de verplichtingen in bij de inwerkingtreding.

Waar vind ik de officiele informatie?

Bij de Rijksoverheid, het Nationaal Cyber Security Centrum en de Rijksinspectie Digitale Infrastructuur. De exacte invulling wordt nog uitgewerkt, dus volg die bronnen.

Dit is een juridisch onderwerp dat nog in ontwikkeling is. Raadpleeg voor je eigen situatie de officiele bronnen of een gespecialiseerde adviseur.