De Cyberbeveiligingswet uitgelegd

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS-2-richtlijn (Richtlijn (EU) 2022/2555). De wet verplicht organisaties in aangewezen sectoren om hun cyberbeveiliging op orde te hebben, incidenten te melden en zich te laten registreren.

Sinds wanneer, en voor wie

De wet treedt in werking op 15 augustus 2026, zonder overgangsperiode: vanaf die datum gelden de verplichtingen direct. Ze gelden voor organisaties die de wet aanmerkt als essentiële entiteit of belangrijke entiteit — meestal middelgrote en grote organisaties in sectoren als energie, vervoer, gezondheidszorg, digitale infrastructuur en (decentrale) overheid. Welk ministerie welke sector aanstuurt, staat in artikel 15 Cbw; zie de pagina over toezichthouders.

Wat de zorgplicht inhoudt

Artikel 21, derde lid, Cbw somt tien onderwerpen op waarover u maatregelen moet nemen: van beveiligingsbeleid en incidentenbehandeling tot cryptografie en de beoordeling of uw maatregelen ook echt werken. Het Cyberbeveiligingsbesluit (Cbb) — Besluit van 8 juli 2026, Staatsblad 2026, 189 — werkt de meeste van die tien onderwerpen verder uit in de artikelen 6 tot en met 18. De kennisbank bespreekt elk onderwerp op een eigen pagina, met een citaat van het exacte artikelnummer.

Melden bij een incident

Naast de zorgplicht kent de wet een meldplicht met wettelijke klokken: een vroege waarschuwing binnen 24 uur, een eerste beoordeling binnen 72 uur, en een eindverslag binnen een maand. Munitor bereidt zo'n melding voor en houdt de klokken bij, maar verstuurt nooit automatisch iets — indienen doet u zelf, op het moment dat u daarvoor kiest.

Wat de wet niet doet, en wat Munitor niet doet

De wet levert geen keurmerk op, en Munitor geeft nooit een "compliant"-stempel of een compliance-oordeel. Een toezichthouder beoordeelt of uw maatregelen voldoende zijn. Munitor helpt u vastleggen wat u heeft geregeld, wie eigenaar is en welk bewijs eronder ligt, zodat u dat aantoonbaar kunt maken — aan een toezichthouder, een klant of een auditor.

Ook als u zelf niet in scope bent

Niet iedereen die met de wet te maken krijgt, valt er zelf onder. Klanten die wél in scope zijn, vragen vaak bewijs van hun leveranciers — zie de pagina over ketenpartners en derde partijen.