Cyberbeveiligingswet NIS2: wat moeten organisaties aantoonbaar geregeld hebben

Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden — de Nederlandse vertaling van de Europese NIS2-richtlijn. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en treedt tegelijk op met de Wet weerbaarheid kritieke entiteiten (Wwke). Meer dan 8.000 organisaties in Nederland vallen onder de nieuwe regels.

De wet kent vier kernelementen. Ten eerste de zorgplicht: organisaties moeten passende technische en organisatorische maatregelen nemen om de continuïteit van hun dienstverlening te waarborgen en de gebruikte informatie te beschermen. Ten tweede de registratieplicht: organisaties moeten zich melden bij de bevoegde autoriteit. Ten derde de meldplicht: significante cyberincidenten moeten worden gemeld bij het eigen CSIRT én bij de toezichthouder. Ten vierde de trainingsplicht: bestuurders zijn verplicht om een opleiding op dit terrein te volgen. Het Cyberbeveiligingsbesluit werkt deze verplichtingen verder uit; per sector kan aanvullende regelgeving gelden — voor overheidsorganisaties is dat bijvoorbeeld de Baseline Informatiebeveiliging Overheid (BIO).

Voor inkopers, huisvestingsbeheerders en vastgoedprofessionals die digitale diensten of gebouwgebonden systemen aanbesteden, is het verstandig om bij iedere opdracht na te gaan of de eigen organisatie én de in te schakelen dienstverlener binnen de reikwijdte van de wet vallen. De eerste stap is controleren of uw organisatie onder de Cyberbeveiligingswet valt. Raadpleeg voor de actuele tekst, de sectorspecifieke uitwerking en de exacte eisen altijd de officiële bron: Digitale Overheid (digitaleoverheid.nl).