Kennisbank · Toezicht
Boetes en handhaving onder de Cyberbeveiligingswet: van waarschuwing tot schorsing
De Cyberbeveiligingswet noemt hoge maximale boetes. Maar een boete is maar één van de middelen. In dit artikel leest u welke handhavingsinstrumenten de wet kent, hoe ze op elkaar volgen en waar de toezichthouder rekening mee houdt.
Eerst: maxima, geen tarieven
De bedragen in de wet zijn bovengrenzen. Wat de toezichthouder in een concreet geval doet, hangt af van de omstandigheden. De wet noemt die zelf (artikel 69 Cbw), waaronder:
- de ernst van de overtreding;
- de duur;
- eerdere overtredingen;
- de veroorzaakte schade, inclusief het aantal getroffen gebruikers;
- opzet of nalatigheid;
- wat de entiteit deed om schade te voorkomen of te beperken;
- de naleving van goedgekeurde gedragscodes of certificeringen;
- de mate van medewerking met de toezichthouder.
De wet noemt ook voorbeelden van een ernstige overtreding: herhaalde overtredingen, het niet melden of niet verhelpen van significante incidenten, het niet opvolgen van bindende aanwijzingen, het belemmeren van audits en het geven van valse of zeer onnauwkeurige informatie.
De instrumenten op een rij
| Instrument | Essentieel | Belangrijk |
|---|---|---|
| Controlefunctionaris (onafhankelijke deskundige, kosten voor de entiteit) | Ja (art. 70) | Nee |
| Beveiligingsscan (kosten voor de toezichthouder) | Ja (art. 71) | Ja (art. 82) |
| Verplichte audit door een onafhankelijke deskundige | Ja (art. 72) | Ja (art. 83) |
| Verplichting om een overtreding openbaar te maken | Ja (art. 73) | Ja (art. 84) |
| Bindende aanwijzing | Ja (art. 74) | Ja (art. 85) |
| Last onder bestuursdwang | Ja (art. 75) | Ja (art. 86) |
| Einddatum om de overtreding te beëindigen, daarna mogelijk schorsing | Ja (art. 76-78) | Nee |
| Bestuurlijke boete | Ja (art. 80) | Ja (art. 87) |
Bij belangrijke entiteiten gelden de instrumenten alleen als er bewijs, een aanwijzing of informatie is over een mogelijke overtreding (artikel 81 Cbw).
De maximale boetes
- Essentiële entiteit, overtreding van zorgplicht (artikel 21), artikel 21a of meldplicht (artikelen 25-30): ten hoogste € 10.000.000 of 2% van de totale wereldwijde jaaromzet van de onderneming in het voorgaande boekjaar, als dat hoger is. Andere overtredingen: ten hoogste € 1.000.000 (artikel 80).
- Belangrijke entiteit: ten hoogste € 7.000.000 of 1,4% van de wereldwijde jaaromzet, als dat hoger is. Andere overtredingen: ten hoogste € 1.000.000 (artikel 87).
- Bestuurslid, bij overtreding van de plichten over kennis, actueel houden en certificaat (artikel 24, tweede tot en met zesde lid): ten hoogste € 25.000 (artikel 93). Ook een last onder dwangsom aan het bestuurslid is mogelijk (artikel 92).
Let op: het gaat om de omzet van "de onderneming waartoe de entiteit behoort". Bij een groep kan dat meer zijn dan de omzet van de telecom-bv alleen.
Een boete komt niet uit het niets
Volgens artikel 80 en 87 Cbw legt de toezichthouder een boete op samen met of na een waarschuwing, of samen met of na een ander instrument, zoals een bindende aanwijzing. Het besluit tot de boete werkt pas als het onherroepelijk is. U kunt dus bezwaar maken en in beroep gaan voordat u betaalt.
Schorsing van bestuurders
Bij een essentiële entiteit die na een gestelde einddatum nog niet voldoet, kan de toezichthouder de rechter vragen om bestuursleden te schorsen zolang de overtreding duurt (artikel 78 Cbw). De schorsing komt dan in het Handelsregister. Dit is een zwaar middel dat pas aan het eind van een reeks stappen komt. Meer hierover in NIS2 en bestuurdersaansprakelijkheid.
Wat betekent dit voor u?
De beste bescherming tegen handhaving is aantoonbaar werk: een risicoanalyse, beleid dat u toepast, een meldprocedure en een bestuur dat meekijkt. Werk mee als de toezichthouder vragen stelt, en meld significante incidenten op tijd. Wilt u weten waar uw grootste gaten zitten? Doe de gratis zelfscan.
Dit artikel is algemene informatie, geen juridisch advies. Vraag bij een concreet handhavingstraject advies aan een jurist.
Veelgestelde vragen
Kan ik meteen een boete krijgen?
Volgens de Cbw komt een boete samen met of na een waarschuwing of een ander instrument, zoals een bindende aanwijzing. Een boete zonder enige voorafgaande of gelijktijdige maatregel is volgens de wet dus niet de route.
Geldt de boete over de omzet van mijn hele groep?
De wet spreekt over de totale wereldwijde jaaromzet van de onderneming waartoe de entiteit behoort. Bij een groep kan dat dus meer zijn dan de omzet van één bv. Vraag bij twijfel juridisch advies.
Kan een bestuurder persoonlijk een boete krijgen?
Ja, tot € 25.000 bij overtreding van de plichten over kennis en training uit artikel 24 Cbw (artikel 93). Ook een last onder dwangsom is mogelijk.
Bronnen
Geraadpleegd op 5 november 2026. Deze site, de kennisbank en de zelfscan geven algemene informatie en zijn geen juridisch advies. Stand van de wetgeving: november 2026.
Weet in 15 minuten waar u staat
Doe de gratis zelfscan voor telecom-, VoIP- en internetaanbieders. U krijgt direct een rapport met actiepunten. Daarna kunt u 30 dagen gratis verder in het portaal.