De Cyberbeveiligingswet uitgelegd

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt sinds 15 augustus 2026. Voor telecomaanbieders en internetproviders is dit nu de belangrijkste wet over digitale veiligheid. In dit artikel leggen wij in gewone taal uit wat de wet vraagt, hoe de regels in elkaar passen en wie toezicht houdt.

Wat is de Cyberbeveiligingswet?

De Cbw is de wet van 8 juli 2026 die Richtlijn (EU) 2022/2555 uitvoert. Die richtlijn heet in de praktijk NIS2. Een Europese richtlijn geldt niet rechtstreeks voor uw bedrijf. Elk land moet de regels eerst in een eigen wet zetten. In Nederland is dat de Cbw. Voor u als ondernemer is dus de Cbw de wet die u moet naleven. NIS2 helpt vooral om de achtergrond te begrijpen.

De Cbw vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Dat schrijft de Rijksinspectie Digitale Infrastructuur (RDI) op haar website. De Cbw geldt voor veel meer sectoren en organisaties dan de Wbni.

Drie lagen: wet, besluit en regeling

De regels staan niet in één document. Er zijn drie lagen. Elke laag maakt de vorige concreter.

Artikel 35 van het Cbb bepaalt dat de wet en het besluit op 15 augustus 2026 in werking traden. De Regeling cyberbeveiliging EZK trad volgens haar eigen slotartikel op hetzelfde moment in werking als de wet.

Voor sommige soorten bedrijven geldt nog een vierde laag: een Europese uitvoeringsverordening (EU) 2024/2690. Die geldt onder meer voor DNS-dienstverleners, cloud- en datacenterdiensten en aanbieders van beheerde diensten. Voor die bedrijven gelden de zorgplichtartikelen 6 tot en met 18 van het Cbb niet. Zij volgen de Europese verordening. Dat staat in artikel 4 van het Cbb. Biedt u naast telecom ook zulke diensten aan? Beoordeel die dan apart.

Valt uw bedrijf eronder?

Voor openbare telecom geldt geen algemene ondergrens in omvang. Ook een kleine aanbieder van een openbaar netwerk of een openbare dienst valt onder de wet. De Cbw maakt wel onderscheid tussen twee groepen:

• Essentiële entiteit: middelgrote en grotere aanbieders van openbare elektronische communicatienetwerken of -diensten (artikel 8 Cbw).
• Belangrijke entiteit: kleine en micro-aanbieders van openbare elektronische communicatienetwerken of -diensten (artikel 12 Cbw).

Of u klein of middelgroot bent, volgt uit de Europese mkb-definitie. Daarbij tellen personeel, omzet en balanstotaal mee. Ook partner- en verbonden ondernemingen kunnen meetellen. Een snelle eerste indruk krijgt u met de gratis zelfscan. Meer uitleg staat in het artikel Val ik onder NIS2?

Voor telecom geldt de wet als u uw diensten in Nederland aanbiedt (artikel 4, tweede lid, Cbw). Biedt u ook diensten aan in een ander EU-land? Dan kunnen daar ook regels gelden.

Wat vraagt de wet van u?

Zorgplicht

U neemt passende en evenredige maatregelen om de risico's voor uw netwerk- en informatiesystemen te beheersen (artikel 21 Cbw). Passend betekent: afgestemd op uw risico's, de stand van de techniek en de kosten. De wet noemt tien onderwerpen die u in elk geval moet regelen. Denk aan risicoanalyse, incidentbehandeling, back-ups en herstel, leveranciers, patchbeheer, cryptografie, toegangsbeheer en multifactorauthenticatie waar dat past. Het Cbb en de Regeling cyberbeveiliging EZK werken dit verder uit. Zo vraagt de regeling sterke authenticatie voor beheeraccounts en het opdelen van uw netwerk in zones (segmentatie). Een overzicht per onderwerp vindt u in de NIS2-checklist.

Meldplicht

Een significant incident meldt u in stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand (artikelen 25 tot en met 29 Cbw). U meldt via het centrale meldpunt op MijnNCSC. Volgens het NCSC gaat uw melding dan automatisch naar uw sectorale CSIRT en de toezichthouder. Hoe u bepaalt of een incident significant is, leest u in Meldplicht incident NIS2.

Bestuur

Het bestuur keurt de beveiligingsmaatregelen goed (artikel 24 Cbw). Ieder bestuurslid moet genoeg kennis hebben om risico's en maatregelen te beoordelen. Daarvoor volgt elk bestuurslid een training en heeft het een certificaat van deelname. Het Cbb (artikelen 20 tot en met 22) zegt welke onderwerpen de training behandelt en wat er op het certificaat staat. Voor de kennis geldt een termijn van twee jaar. De zorgplicht zelf geldt al wel. Zie ook NIS2 en het bestuur.

Registratie

U geeft uw organisatie op voor het nationale register (artikel 44 Cbw). Dat gaat via MijnNCSC. U geeft onder meer uw contactgegevens, sectoren, IP-bereiken en de EU-landen waar u diensten levert. Wijzigingen geeft u onverwijld door, in elk geval binnen twee weken. Het NCSC noemt voor inloggen eHerkenning op niveau EH2+, met een machtiging voor uw organisatie. Controleer het actuele vereiste niveau voordat u eHerkenning aanvraagt. Meer hierover leest u in Registratie onder de Cbw.

Wie houdt toezicht?

De wet wijst per sector een bevoegde autoriteit aan (artikel 15 Cbw). Voor de sector digitale infrastructuur is dat de minister van Economische Zaken. Het toezicht zelf voert de RDI uit. Volgens de toelichting bij de Regeling cyberbeveiliging EZK zijn ambtenaren van de RDI belast met het toezicht op die regeling. Op de RDI-website staan aanbieders van openbare elektronische communicatienetwerken en -diensten, DNS-dienstverleners en internetknooppunten bij de sectoren onder toezicht van de RDI.

Het toezicht verschilt per groep:

• Essentiële entiteiten kunnen ook zonder aanleiding worden gecontroleerd. De toezichthouder kan bijvoorbeeld een audit opleggen of een controlefunctionaris aanwijzen.
• Belangrijke entiteiten krijgen toezicht achteraf. De toezichthouder grijpt in als er bewijs, een aanwijzing of informatie is over een mogelijke overtreding (artikel 81 Cbw).

Let op: achteraf toezicht betekent niet dat u minder hoeft te doen. Ook als belangrijke entiteit moet u kunnen laten zien dat uw maatregelen passend zijn.

Wat zegt de wet over boetes?

De wet noemt maximale boetes. Dat zijn bovengrenzen, geen vaste bedragen. Wat een toezichthouder in een concreet geval doet, hangt af van de situatie.

Een boete komt volgens de wet samen met of na een waarschuwing of andere maatregel. De wet kent ook andere middelen, zoals een bindende aanwijzing en een last onder dwangsom.

Wat verandert er in de Telecommunicatiewet?

De Cbw past ook de Telecommunicatiewet aan. De artikelen 11a.2 en 11a.2a vervallen. Hoofdstuk 11a heet voortaan "Beveiligingsmaatregelen". Andere telecomplichten blijven gewoon gelden. Kijk dus niet alleen naar de Cbw, maar ook naar uw bestaande verplichtingen als telecomaanbieder. Meer over de gevolgen voor uw sector leest u in NIS2 voor telecom.

Volgende stap

Wilt u weten waar u staat? Doe de gratis zelfscan. In ongeveer 15 minuten ziet u of u onder de wet valt en waar de grootste gaten zitten. Wilt u daarna maatregelen, risico's en incidenten op één plek bijhouden? Probeer het NIS2-portaal 30 dagen gratis. Voor bestuurders is er de cursus met bestuurderscertificaat.