De Cyberbeveiligingswet uitgelegd
Wat de Cyberbeveiligingswet regelt, sinds wanneer, voor wie, en wat Munitor daar wel en niet in kan betekenen.
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS-2-richtlijn (Richtlijn (EU) 2022/2555). De wet verplicht organisaties in aangewezen sectoren om hun cyberbeveiliging op orde te hebben, incidenten te melden en zich te laten registreren.
Sinds wanneer, en voor wie
De wet is op 15 augustus 2026 in werking getreden, zonder overgangsperiode: sinds die datum gelden de verplichtingen direct. Ze gelden voor organisaties die de wet aanmerkt als essentiële entiteit of belangrijke entiteit: meestal middelgrote en grote organisaties in sectoren als energie, vervoer, gezondheidszorg, digitale infrastructuur en (decentrale) overheid. Welk ministerie welke sector aanstuurt, staat in artikel 15 Cbw.
Wat de zorgplicht inhoudt
Artikel 21, derde lid, Cbw somt tien onderwerpen op waarover je maatregelen moet nemen: van beveiligingsbeleid en incidentenbehandeling tot cryptografie en de beoordeling of je maatregelen ook echt werken. Het Cyberbeveiligingsbesluit (Cbb) is het Besluit van 8 juli 2026, Staatsblad 2026, 189. Het werkt de meeste van die tien onderwerpen verder uit in de artikelen 6 tot en met 18. De kennisbank bespreekt elk onderwerp op een eigen pagina, met een citaat van het exacte artikelnummer.
Melden bij een incident
Naast de zorgplicht kent de wet een meldplicht met wettelijke klokken: een vroege waarschuwing binnen 24 uur, een eerste beoordeling binnen 72 uur, en een eindverslag binnen een maand. Munitor bereidt zo'n melding voor en houdt de klokken bij, maar verstuurt nooit automatisch iets. Indienen doe je zelf, op het moment dat je daarvoor kiest.
Wat de wet niet doet, en wat Munitor niet doet
De wet levert geen keurmerk op, en Munitor geeft nooit een "compliant"-stempel of een compliance-oordeel. Een toezichthouder beoordeelt of je maatregelen voldoende zijn. Munitor helpt je vastleggen wat je hebt geregeld, wie eigenaar is en welk bewijs eronder ligt, zodat je dat aantoonbaar kunt maken tegenover een toezichthouder, een klant of een auditor.
Ook als je zelf niet in scope bent
Niet iedereen die met de wet te maken krijgt, valt er zelf onder. Klanten die wél in scope zijn, vragen vaak bewijs van hun leveranciers. Zie de pagina over ketenpartners en derde partijen.
