Lang was het "binnenkort". Nu is het zover. Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet (Cbw), en sinds 15 augustus 2026 is de wet van kracht. Daarmee gelden de Europese NIS2-regels nu ook officieel in Nederland.
Ruim 8.000 Nederlandse organisaties krijgen hiermee nieuwe verplichtingen. Veel van hen zijn middelgroot en hadden tot nu toe weinig met cyberwetgeving te maken. In dit artikel lees je of je eronder valt en wat je nu concreet moet doen.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ze vervangt de oudere Wet beveiliging netwerk- en informatiesystemen (Wbni). Het doel: organisaties die belangrijk zijn voor de samenleving moeten hun digitale weerbaarheid op orde hebben en incidenten snel melden.
Tegelijk met de Cbw trad de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Die gaat over fysieke weerbaarheid, zoals stroomuitval of sabotage. In dit artikel focussen we op de Cbw. Wil je eerst de achtergrond van NIS2 lezen? Bekijk dan NIS2 en Microsoft 365.
Valt jouw organisatie eronder?
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Of je eronder valt, hangt af van twee dingen:
- Je sector. Denk aan energie, transport, zorg, drinkwater, digitale infrastructuur, overheid, afvalbeheer, levensmiddelen, chemie, maakindustrie, post en digitale dienstverleners zoals cloud- en managed service providers.
- Je omvang. In de regel val je eronder vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet. Voor sommige organisaties, zoals bepaalde digitale dienstverleners, geldt de wet ongeacht de omvang.
Twijfel je? Het NCSC heeft een zelfevaluatietool op zijn website. Neem die serieus: de verantwoordelijkheid om te bepalen of je eronder valt, ligt bij jezelf.
De vier verplichtingen in het kort
1. Registreren
Organisaties die onder de wet vallen, moeten zich registreren. Zo weet de toezichthouder wie er onder de wet valt en kan het NCSC je bereiken als er een dreiging is.
2. Zorgplicht
Je moet passende maatregelen nemen om je netwerk en informatiesystemen te beveiligen. Dat gaat over risicoanalyse, toegangsbeheer, MFA, versleuteling, back-ups, bedrijfscontinuïteit, beveiliging van leveranciers en bewustwording bij medewerkers.
3. Meldplicht
Een significant incident meld je snel. Binnen 24 uur volgt een eerste waarschuwing, binnen 72 uur een uitgebreidere melding en binnen een maand een eindrapport. Dat lukt alleen als je incidenten ook echt ziet.
4. Bestuurdersverantwoordelijkheid
De directie moet de maatregelen goedkeuren, toezicht houden en zelf training volgen. Cybersecurity is dus niet langer alleen een zaak van IT. Bestuurders kunnen persoonlijk worden aangesproken.
Wat moet je nu concreet doen?
- Stel vast of je eronder valt en als welk type entiteit. Leg die afweging vast.
- Registreer je als dat nog niet gebeurd is.
- Wijs een eigenaar aan in de directie en een verantwoordelijke in de organisatie.
- Maak een risicoanalyse. Wat zijn je kroonjuwelen, en wat gebeurt er als die systemen uitvallen?
- Regel de basis. MFA voor iedereen, beheerde apparaten, back-ups die je ook echt kunt terugzetten.
- Richt een meldproces in. Wie besluit of een incident significant is? Wie meldt, en waar?
- Kijk naar je leveranciers. Je IT-partner en clouddiensten zijn onderdeel van je keten.
- Train je bestuur en medewerkers.
Waar Microsoft 365 je helpt
Microsoft 365 maakt je niet automatisch compliant. Maar het bevat veel van de bouwstenen die de zorgplicht vraagt:
- Microsoft Entra: MFA, voorwaardelijke toegang en beheer van beheerdersrechten. Lees ook MFA en voorwaardelijke toegang.
- Intune: apparaten die versleuteld, bijgewerkt en beheerd zijn.
- Microsoft Defender: aanvallen op e-mail, apparaten en identiteiten detecteren. Onmisbaar voor de meldplicht.
- Microsoft Purview: gevoelige informatie labelen en beschermen.
- Back-up: een aparte back-up van je Microsoft 365-data. Waarom dat nodig is, lees je in Is je Microsoft 365-data wel geback-upt?.
Veel van deze tools zitten al in licenties zoals Microsoft 365 Business Premium of E5. De kans is groot dat je ze al betaalt, maar nog niet volledig gebruikt.
En in België?
België zette NIS2 al eerder om. Daar geldt de NIS2-wet sinds 18 oktober 2024, met het Centrum voor Cybersecurity België (CCB) als toezichthouder. Werk je in beide landen? Dan heb je met beide regimes te maken. De maatregelen overlappen grotendeels.
Begin bij een nulmeting
De wet vraagt geen perfectie op dag één, maar wel aantoonbare stappen. Een nulmeting van je Microsoft 365-omgeving laat snel zien waar je staat en wat de eerste prioriteiten zijn. Wil je weten hoe je ervoor staat? Neem contact op met 365 Angels. We kijken graag met je mee.
Let op: dit artikel is een praktische samenvatting, geen juridisch advies. Raadpleeg voor jouw specifieke situatie de toezichthouder in je sector of het NCSC.
