Wordt u aangevallen?
De Cyberbeveiligingswet (NIS2): wat het voor uw organisatie betekent
De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn en treedt op 15 augustus 2026 in werking. Vanaf dat moment gelden er wettelijke cybersecurityverplichtingen voor ruim achtduizend organisaties, met een zorgplicht, een meldplicht en persoonlijke aansprakelijkheid voor bestuurders. Bent u actief in food, agri, manufacturing of life sciences, dan is de kans groot dat uw organisatie eronder valt. Op deze pagina leest u wat de Cyberbeveiligingswet inhoudt, of u eronder valt en hoe u zich voorbereidt.
Wanneer gaat de Cyberbeveiligingswet in?
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, zonder overgangsperiode. De Eerste Kamer stemde op 7 juli 2026 in met de wet. Wie eronder valt, moet vanaf de ingangsdatum kunnen aantonen dat de zaken op orde zijn.
Wat is de Cyberbeveiligingswet, en hoe verhoudt die zich tot NIS2?
De Cyberbeveiligingswet is de Nederlandse wet die de Europese NIS2-richtlijn omzet in nationale regels. NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is hoe Nederland die toepast. De wet vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen en breidt het aantal organisaties dat aan wettelijke verplichtingen moet voldoen fors uit: van ongeveer duizend naar ruim achtduizend.
Hoe weet ik of mijn organisatie onder de Cyberbeveiligingswet valt?
Waarschijnlijk valt u eronder als u in een van de aangewezen sectoren actief bent en aan de omvangscriteria voldoet. De Cyberbeveiligingswet ziet op organisaties die essentiële of belangrijke diensten leveren in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, vervoer en de productie en verwerking van levensmiddelen. Food, agri, manufacturing en life sciences vallen grotendeels binnen dit bereik.
De wet kent twee soorten organisaties:
Essentiële entiteiten: grotere organisaties in de meest kritieke sectoren, met zwaarder toezicht.
Belangrijke entiteiten: de overige organisaties binnen het bereik, met dezelfde zorgplicht maar lichter toezicht.
Als vuistregel begint de wet te spelen vanaf ongeveer vijftig medewerkers, of wanneer u voldoet aan de omzet- en balansdrempels uit de wet. Uw sector en activiteiten bepalen de uiteindelijke indeling. U bent zelf verantwoordelijk om te toetsen of u onder de wet valt; de overheid biedt daarvoor een zelfevaluatie.
Wat zijn de belangrijkste verplichtingen uit de Cyberbeveiligingswet?
Wat zijn de belangrijkste verplichtingen uit de Cyberbeveiligingswet?
Zorgplicht: passende technische en organisatorische maatregelen tegen risico's voor uw netwerk- en informatiesystemen, inclusief maatregelen voor bedrijfscontinuïteit.
Meldplicht: ernstige incidenten melden bij de toezichthouder binnen de gestelde termijnen. Er komt een centraal meldloket, zodat u niet bij meerdere instanties hoeft aan te kloppen.
Registratieplicht: registratie in het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC). Deze registratie is verplicht vanaf 15 augustus 2026.
Toezicht en handhaving: toezichthouders controleren of u voldoet en kunnen bij tekortkomingen ingrijpen.
Daarnaast geldt een opleidingsverplichting voor bestuurders, zodat de leiding voldoende kennis heeft om op cybersecurity te sturen.
Waarvoor zijn bestuurders aansprakelijk onder de Cyberbeveiligingswet?
De wet legt de verantwoordelijkheid voor cybersecurity expliciet bij het bestuur, en bestuurders kunnen persoonlijk aansprakelijk worden gesteld. Voor essentiële entiteiten kunnen de boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, met lagere maximale boetes voor belangrijke entiteiten. Cybersecurity is daarmee een onderwerp voor de directietafel, geen taak die volledig bij de IT-afdeling ligt.
Ook als u alleen levert: de ketenverantwoordelijkheid
Ook organisaties die zelf niet onder de wet vallen, krijgen ermee te maken via hun klanten. Wie onder de Cyberbeveiligingswet valt, moet aantoonbaar eisen stellen aan leveranciers en toezien op de risico's in de keten. Voor de vele toeleveranciers in food, agri en manufacturing betekent dit dat grotere afnemers uw cybersecuritymaatregelen gaan toetsen, ongeacht uw eigen omvang. Een goede voorbereiding is dan ook een commercieel argument richting die afnemers.
Wat dit betekent voor food, agri, manufacturing en life sciences
De sector waarin CyberPeak werkt, wordt door deze wet direct geraakt. Drie punten springen eruit:
- Op de productie- en labvloer lopen OT en IT vaak ongemerkt door elkaar. De zorgplicht vraagt dat u die werelden scheidt en het verkeer ertussen bewaakt.
- Genetische data, productieformules en onderzoeksresultaten zijn intellectueel eigendom en een aantrekkelijk doelwit. De wet verwacht dat u dit soort kritieke data aantoonbaar beschermt.
- Stilstand raakt in deze sector direct de productie, en soms hele batches of onderzoek. Continuïteit is daarmee geen bijzaak van de zorgplicht, maar de kern.
Voor veel bedrijven in dit segment geldt bovendien dat ze zowel zelf onder de wet vallen als leverancier zijn van een grotere afnemer die eronder valt. De verplichting komt dan van twee kanten.
Hoe bereidt u zich voor op de Cyberbeveiligingswet?
De wet geldt zonder overgangsperiode, dus wachten tot alles juridisch is uitgekristalliseerd is geen optie. Vijf stappen om nu te zetten:
- Toets met de zelfevaluatie of uw organisatie onder de wet valt, en als essentiële of belangrijke entiteit.
- Bereid de registratie bij het NCSC voor, zodat u tijdig aan de registratieplicht voldoet.
- Breng uw risico's en uw belangrijkste systemen in kaart, zodat u weet wat als eerste bescherming nodig heeft.
- Kijk naar uw keten: welke leveranciers hebben toegang tot uw systemen of data, en wat verwachten uw afnemers van u.
- Beleg cybersecurity bestuurlijk, met een duidelijk verantwoordelijke, en zorg dat de leiding weet waar de organisatie staat.
Hoe CyberPeak helpt
CyberPeak richt zich op food, agri, manufacturing en life sciences, en helpt organisaties de zorgplicht om te zetten in werkende maatregelen. We vertalen de eisen naar de praktijk: het netwerk en de keten op orde brengen, monitoring en incidentrespons inrichten, en de operationele en labomgeving beschermen. U kiest daarbij zelf hoeveel u in eigen hand houdt, met een co-managed model waarin uw team de regie voert of een fully managed model waarin CyberPeak het beheer overneemt.
Beginnen kan zonder verplichting. Met een PeakScan brengen we van buitenaf in kaart waar uw organisatie kwetsbaar is, zodat u weet waar uw grootste risico's liggen. De toetsing of u onder de wet valt en de juridische invulling blijven uw eigen verantwoordelijkheid; CyberPeak neemt de securitykant voor zijn rekening.
Vraag een vrijblijvende PeakScan aan
Veelgestelde vragen
Wanneer treedt de Cyberbeveiligingswet in werking?
Op 15 augustus 2026, zonder overgangsperiode. De Eerste Kamer stemde op 7 juli 2026 in met de wet.
Valt mijn bedrijf onder de Cyberbeveiligingswet?
Waarschijnlijk wel als u in een aangewezen sector zit, waaronder de productie en verwerking van levensmiddelen, industrie en gezondheidszorg, en u ongeveer vijftig medewerkers heeft of voldoet aan de omzet- en balansdrempels uit de wet. De zelfevaluatie van de overheid geeft uitsluitsel.
Is NIS2 hetzelfde als de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet die NIS2 toepast. In de praktijk verwijzen mensen met beide termen naar dezelfde verplichtingen.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?*
Essentiële entiteiten zijn groter en zitten in de meest kritieke sectoren, met zwaarder toezicht. Belangrijke entiteiten hebben dezelfde zorgplicht, maar krijgen lichter toezicht.
Wat als mijn organisatie alleen levert aan een bedrijf dat eronder valt?
Dan krijgt u er via de keten mee te maken. Uw afnemer is verplicht eisen te stellen aan de beveiliging van zijn leveranciers en daarop toe te zien.
Wat zijn de boetes onder de Cyberbeveiligingswet?
Voor essentiële entiteiten kunnen ze oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, met lagere maximale boetes voor belangrijke entiteiten. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld.
Moet ik me registreren?
Ja. Organisaties die onder de wet vallen, registreren zich in het entiteitenregister via het NCSC. Dit is verplicht vanaf 15 augustus 2026.
Wat is het verschil tussen de Cyberbeveiligingswet en ISO 27001?
ISO 27001 is een vrijwillige norm voor informatiebeveiliging; de Cyberbeveiligingswet is een wettelijke verplichting. Een goede ISO 27001-inrichting helpt bij de zorgplicht, maar dekt niet automatisch alle verplichtingen uit de wet.
.png)
