De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Registreren is de eerste plicht.

De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Ongeveer achtduizend Nederlandse organisaties in achttien sectoren vallen eronder. De eerste handeling is geen maatregel maar een aanmelding: wie onder de wet valt, registreert zich bij het Nationaal Cyber Security Centrum.

Dit artikel beschrijft wat de wet vraagt. Het beschrijft niet wat u bij ons zou moeten kopen, want op het punt waar wij werken vraagt deze wet niets.

Wat er op 15 augustus veranderde

De wet voert richtlijn (EU) 2022/2555 in Nederland uit — de richtlijn die in de wandeling NIS2 heet. Tot die datum was NIS2 een Europese verplichting aan de lidstaat. Sinds die datum is het een Nederlandse verplichting aan de organisatie.

Drie dingen zijn nieuw en gelden meteen. Er is een zorgplicht: passende en evenredige technische, operationele en organisatorische maatregelen om risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen. Er is een meldplicht bij significante incidenten. En er is een registratieplicht.

Registreren gaat via het NCSC

De aanmelding loopt via het portaal van het Nationaal Cyber Security Centrum. Sinds 17 oktober 2024 kon dat vrijwillig; met de inwerkingtreding van de wet is het verplicht. Organisaties registreren daarbij ook de internetdomeinen die onder hun verantwoordelijkheid vallen.

Eén precisiepunt, omdat het elders vaak fout gaat: de registratieplicht staat niet in de Cyberbeveiligingswet zelf. De artikelen in die wet met “registratie” in de kop gaan over gegevens van domeinnaamregistraties. De plicht en het entiteitenregister zijn uitgewerkt in het Cyberbeveiligingsbesluit. Wie een bronverwijzing nodig heeft, neemt dat besluit en niet de wet.

De meldplicht kent drie momenten

Een significant incident meldt u in drie stappen bij uw CSIRT en uw toezichthouder. Een vroegtijdige waarschuwing binnen vierentwintig uur. Een vervolgmelding binnen tweeënzeventig uur, met wat er dan bekend is. Een eindverslag binnen een maand, met een beschrijving van het incident.

Wanneer een incident significant is, staat niet in de wet maar in een ministeriële regeling. Dat is de plek om te kijken, niet de wettekst.

Het bestuur tekent af, en moet dat kunnen

Artikel 24 van de wet legt de goedkeuring van de zorgplichtmaatregelen bij het bestuur, en stelt eisen aan de kennis van ieder bestuurslid afzonderlijk. Dat is het deel dat een organisatie niet kan delegeren aan de securityafdeling, en het is uitgebreider dan de meeste samenvattingen laten zien.

Wat artikel 24 precies van het bestuur vraagt→

Wat deze wet niet van u vraagt

De Cyberbeveiligingswet verplicht nergens tot het verwijderen van persoonsgegevens van bestuurders bij databrokers. Die zin staat in de volledige aankondiging van de Rijksoverheid evenmin, en in de wettekst zelf komt het onderwerp niet voor.

Wij verkopen die verwijderverzoeken, dus wij hebben er belang bij om te suggereren dat het moet. Het moet niet. Er is wel een redenering — blootgestelde woonadressen en privénummers zijn de grondstof voor gerichte fraude, en daarmee is het beperken ervan een maatregel die onder de zorgplicht kán vallen. Maar dat is een risicoargument dat u zelf maakt, niet een eis die de wetgever stelt.

De eerlijke lezing van de koppeling→

Wie er na de aanmelding toezicht op u houdt→

Waar dit vandaan komt