Tweede Kamer stemt in met Cyberbeveiligingswet
Op 15 april 2026 heeft de Tweede Kamer ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Daarmee zet Nederland een belangrijke stap in de versterking van de digitale en fysieke weerbaarheid van organisaties. De Cyberbeveiligingswet vormt de Nederlandse implementatie van de Europese NIS2‑richtlijn en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni).
De wetsvoorstellen gaan nu door naar de Eerste Kamer. De beoogde inwerkingtreding ligt in het tweede kwartaal van 2026, afhankelijk van het verdere parlementaire proces.
Wat regelt de Cyberbeveiligingswet?
De Cyberbeveiligingswet heeft als doel om te komen tot een hoog en gezamenlijk niveau van cyberbeveiliging binnen Nederland, in lijn met Europese afspraken. De wet introduceert wettelijke verplichtingen voor organisaties die een belangrijke of essentiële rol spelen in de maatschappij en economie.
Concreet legt de wet onder meer vast:
- Een zorgplicht voor het treffen van passende beveiligingsmaatregelen
- Een meldplicht bij significante cyberincidenten
- Een registratieplicht voor organisaties die onder de wet vallen
Organisaties moeten zelf nagaan of zij onder de Cyberbeveiligingswet vallen. De overheid adviseert nadrukkelijk om niet te wachten op de formele inwerkingtreding, maar nu al te starten met voorbereidingen, omdat de onderliggende cyberrisico’s er vandaag al zijn.
Uitbreiding van de rol van het NCSC
Voor het Nationaal Cyber Security Centrum (NCSC) heeft de Cyberbeveiligingswet grote gevolgen. Door de bredere reikwijdte van NIS2 komt een aanzienlijk grotere groep organisaties onder het toezicht en de ondersteuning van het NCSC te vallen. Het werkterrein van het NCSC breidt zich daarmee uit naar ongeveer 8.000 organisaties in Nederland.
Dit betekent dat het NCSC een centralere rol krijgt in:
- Het ontvangen en analyseren van incidentmeldingen
- Het delen van dreigingsinformatie
- Het ondersteunen van organisaties bij het verhogen van hun digitale weerbaarheid.
Wil je meer lezen over dit onderwerp? Dit kan op de website van NCSC.
Samenhang met de Wet weerbaarheid kritieke entiteiten
Naast de Cyberbeveiligingswet heeft de Tweede Kamer ook ingestemd met de Wet weerbaarheid kritieke entiteiten. Deze wet is de Nederlandse uitwerking van de Europese CER‑richtlijn en richt zich op de fysieke en organisatorische weerbaarheid van organisaties die essentiële diensten leveren, zoals in de zorg, energie, transport en financiële sector.
Waar de Cyberbeveiligingswet zich primair richt op digitale risico’s, kijkt de Wwke breder naar verstoringen door bijvoorbeeld sabotage, criminaliteit of natuurrampen. Samen vormen de twee wetten een geïntegreerd kader voor weerbaarheid.
Wat betekent dit voor organisaties?
Met het aannemen van de Cyberbeveiligingswet wordt cyberbeveiliging nadrukkelijk een bestuurlijke verantwoordelijkheid. Organisaties zullen hun risico’s, maatregelen en incidenten structureel moeten organiseren, vastleggen en aantoonbaar beheersen. Cybersecurity is daarmee niet langer uitsluitend een IT‑onderwerp, maar een vast onderdeel van governance en risicomanagement.
Hoewel de definitieve ingangsdatum nog volgt, is de boodschap duidelijk: NIS2 komt eraan, en voorbereiding is noodzakelijk. Organisaties die nu al stappen zetten, zijn beter beschermd tegen actuele dreigingen én beter voorbereid op de wettelijke verplichtingen die binnenkort gelden.
Veel gestelde vragen
Wanneer treedt de Cyberbeveiligingswet in werking?
De beoogde inwerkingtreding ligt in het tweede kwartaal van 2026. De definitieve datum hangt af van de behandeling en goedkeuring door de Eerste Kamer.
Welke organisaties vallen onder de Cyberbeveiligingswet?
De wet geldt voor organisaties die een essentiële of belangrijke rol spelen in de maatschappij en economie. Organisaties moeten zelf beoordelen of zij op basis van hun sector, omvang en activiteiten onder de wet vallen.
Welke verplichtingen introduceert de Cyberbeveiligingswet?
Organisaties die onder de wet vallen krijgen onder meer te maken met een zorgplicht, een meldplicht voor significante cyberincidenten en een registratieplicht.
Wat houdt de bestuurlijke verantwoordelijkheid onder de Cyberbeveiligingswet in?
Bestuurders moeten actief betrokken zijn bij het beheersen van cyberrisico’s. Zij moeten erop toezien dat passende maatregelen worden genomen en dat cybersecurity structureel onderdeel is van governance en risicomanagement.
Wat is het verschil tussen de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten?
De Cyberbeveiligingswet richt zich voornamelijk op digitale risico’s en cyberincidenten. De Wet weerbaarheid kritieke entiteiten ziet ook op fysieke en organisatorische dreigingen, zoals sabotage, criminaliteit en natuurrampen.
Wat kunnen organisaties nu al doen om zich voor te bereiden?
Organisaties kunnen alvast bepalen of zij onder de wet vallen, cyberrisico’s in kaart brengen, beveiligingsmaatregelen beoordelen, incidentprocedures opstellen en verantwoordelijkheden binnen het bestuur en de organisatie vastleggen.
