NIS2 wetgeving gaat op 15 augustus in: dit moet jouw organisatie regelen

De Eerste Kamer heeft ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Beide wetten treden op 15 augustus 2026 in werking en voeren nieuwe verplichtingen in voor duizenden organisaties die essentiële diensten leveren.

Met de Cyberbeveiligingswet zet Nederland de Europese NIS2-richtlijn alsnog om in nationale wetgeving. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor ruim 8000 organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.

De implementatie volgt bijna twee jaar na de Europese deadline van oktober 2024. De Tweede Kamer stemde in april al in met de wet; met de goedkeuring door de Eerste Kamer is het wetgevingstraject afgerond. Vanaf 15 augustus moeten organisaties die onder de wet vallen aan de nieuwe verplichtingen voldoen.

De Cyberbeveiligingswet legt organisaties een registratie-, zorg- en meldplicht op. Organisaties moeten zich registreren bij het Nationaal Cyber Security Centrum (NCSC), passende technische en organisatorische maatregelen nemen om cyberrisico’s te beheersen en significante incidenten binnen de wettelijke termijnen melden via het centrale meldportaal.

Registratie via het entiteitenregister van het NCSC wordt vanaf 15 augustus verplicht. Daarna kunnen organisaties gebruikmaken van de dienstverlening van een Computer Security Incident Response Team (CSIRT), waaronder dreigingsinformatie en ondersteuning bij beveiligingsincidenten.

De wet legt de eindverantwoordelijkheid voor cyberrisicobeheersing expliciet bij het bestuur. Bestuurders moeten voldoende kennis hebben om beveiligingsrisico’s te beoordelen en passende opleidingen volgen. Toezichthouders krijgen de bevoegdheid om op naleving toe te zien en waar nodig handhavend op te treden.

Naast de Cyberbeveiligingswet treedt ook de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Deze wet implementeert de Europese CER-richtlijn en geldt voor ongeveer 500 organisaties die door de verantwoordelijke vakminister worden aangewezen als kritieke entiteit.

Op 15 augustus treedt de Cyberbeveiligingswet in werking. Organisaties die onder de wet vallen, hebben nog iets meer dan een maand om zich voor te bereiden op de nieuwe verplichtingen.

Vul het formulier hieronder in en download ons e-book NIS2: de nieuwe standaard voor cybersecurity, dat wij in samenwerking met Vodafone Business hebben gemaakt. Hierin lees je onder meer: