Het uitstel is voorbij. De Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) treden op 15 augustus 2026 in werking. Daarmee zet Nederland de Europese NIS2- en CER-richtlijnen om in nationale regels. We schreven er eerder over toen de wet nog "naar verwachting" zou komen; nu is de datum concreet.
Wat er verandert
De Cyberbeveiligingswet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen en geldt voor zo'n 8.000 organisaties in achttien sectoren, van energie en drinkwater tot zorg, overheid, vervoer en digitale infrastructuur. Voor hen komen drie verplichtingen centraal te staan:
- Registratie in het entiteitenregister bij het NCSC.
- Een zorgplicht: passende technische en organisatorische maatregelen tegen cyberrisico's.
- Een meldplicht: significante incidenten binnen de wettelijke termijnen melden.
Daarnaast moeten bestuurders aantoonbaar kennis van cyberrisico's hebben en daarop training volgen. Het toezicht ligt bij het NCSC en de aangewezen CSIRT's. De Wwke richt zich op ongeveer 500 kritieke entiteiten en gaat over fysieke weerbaarheid, zoals continuïteit bij uitval, sabotage of natuurrampen.
Ook als je er niet onder valt
Dit is voor het MKB het belangrijkste punt. De meeste MKB-bedrijven staan niet zelf op die lijst van 8.000. Maar de wet werkt door de keten heen: valt je opdrachtgever er wél onder, dan is hij verplicht om ook de beveiliging van zijn leveranciers te beoordelen. In de praktijk betekent dat vragenlijsten, eisen aan je beveiliging, en soms een voorwaarde om zaken te blijven doen.
Je hoeft dus niet onder de wet te vallen om er iets van te merken.
Wat je nu kunt doen
Wacht niet tot een grote klant de vraag stelt. Breng in kaart of je direct onder de wet valt of via de keten geraakt wordt, en of je huidige beveiliging aantoonbaar op orde is. Dat hoeft geen groot project te zijn; het begint met weten waar je staat.
Wil je weten of en hoe deze wet jou raakt? Lees hoe wij Cbw en NIS2 invullen, of neem contact op voor een korte toets van je situatie.