Wanneer treedt de Cyberbeveiligingswet in werking?

Op 15 augustus 2026. De Eerste Kamer nam de wet op 7 juli 2026 aan. Vanaf de inwerkingtreding gelden de registratieplicht, zorgplicht en meldplicht. Een algemene overgangstermijn is er niet. Het bekostigd hoger onderwijs volgt een eigen route: het wordt naar verwachting in de winter van 2026 officieel aangewezen, het grootste deel van de verplichtingen gaat dan in en de zorgplicht volgt drie jaar na die aanwijzing. Registreren en vrijwillig melden kan nu al.

Was de ingangsdatum niet 1 juli 2026?

1 juli 2026 was de eerder beoogde richtdatum, maar die is vervallen. Het Cyberbeveiligingsbesluit stelt in artikel 35 de inwerkingtreding van de Cyberbeveiligingswet vast op 15 augustus 2026.

Wat is de Wet weerbaarheid kritieke entiteiten?

De Wwke is de Nederlandse implementatie van de Europese CER-richtlijn en richt zich op de fysieke weerbaarheid van ongeveer 500 kritieke entiteiten, zoals aanbieders in energie, drinkwater en vervoer. De wet treedt tegelijk met de Cyberbeveiligingswet in werking op 15 augustus 2026.

Hoeveel organisaties vallen onder de Cyberbeveiligingswet?

Ruim 8.000 organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Via de ketenzorgplicht raakt de wet daarnaast indirect ook veel leveranciers van die organisaties.

Wat moet ik vóór 15 augustus 2026 geregeld hebben?

Bepaal of je onder de wet valt, registreer je organisatie via het NCSC, richt je risicobeheer en incidentproces in en zorg dat je je maatregelen aantoonbaar kunt maken, ook richting klanten die jou als leverancier bevragen.

Maakt de inwerkingtreding een specifieke tool verplicht?

Nee. De wet eist passende en evenredige maatregelen, maar schrijft geen product voor. Je bepaalt zelf hoe je de eisen invult; doorlopende monitoring is daarvan een aantoonbare bouwsteen, geen wettelijke verplichting op zich.

Terug naar kennisbank

Cyberbeveiligingswet definitief: NIS2 geldt in Nederland vanaf 15 augustus 2026

Q: Welke boetes staan er op overtreding van de Cyberbeveiligingswet?

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (het hoogste bedrag geldt), voor belangrijke entiteiten tot 7 miljoen euro of 1,4%. Daarnaast draagt het bestuur expliciete verantwoordelijkheid: het keurt de maatregelen goed en houdt er toezicht op.

Gepubliceerd op 7 juli 2026 · Bijgewerkt op 4 augustus 2026

Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.

Het is definitief. De Eerste Kamer heeft op 7 juli 2026 de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten aangenomen, en het kabinet heeft de inwerkingtreding vastgesteld op 15 augustus 2026. Daarmee is de periode van richtdatums en voorbehouden voorbij: NIS2 wordt in Nederland afdwingbaar recht, met 15 augustus als harde datum. Kom je elders nog 1 juli 2026 tegen? Die richtdatum is vervallen: het Cyberbeveiligingsbesluit stelt de inwerkingtreding vast op 15 augustus.

Wat treedt er precies in werking?

Twee wetten tegelijk:

De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet raakt ruim 8.000 organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.
De Wet weerbaarheid kritieke entiteiten (Wwke) implementeert de Europese CER-richtlijn en richt zich op de fysieke weerbaarheid van ongeveer 500 kritieke entiteiten.

De Cyberbeveiligingswet kent twee categorieën: essentiële entiteiten (grote organisaties in de meest kritieke sectoren, met proactief toezicht) en belangrijke entiteiten (met toezicht vooral achteraf, na een incident of signaal). Grofweg: grote organisaties in de meest kritieke sectoren (bijlage I) zijn essentieel; middelgrote organisaties in die sectoren en organisaties in de overige sectoren zijn belangrijk, al bepaalt de regelhulp uiteindelijk je eigen indeling. De wet geldt in beginsel voor organisaties in de aangewezen sectoren vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet of balanstotaal, maar sommige categorieën vallen er ongeacht omvang onder, zoals DNS-dienstverleners, vertrouwensdiensten en overheidsorganisaties. Ook een kleine organisatie kan dus in scope zijn.

Tegelijk met de wet treedt het Cyberbeveiligingsbesluit in werking (Staatsblad 2026, 189, gepubliceerd op 10 juli 2026). Die algemene maatregel van bestuur werkt de zorgplicht concreet uit: welke risicobeheersmaatregelen je minimaal moet treffen en hoe de meldprocedure verloopt. Wie wil weten wat "passend en evenredig" in de praktijk betekent, leest dus vooral het besluit, naast de wet zelf.

Met ruim 8.000 organisaties onder de Cbw tegenover zo'n 500 kritieke entiteiten onder de Wwke is de Cyberbeveiligingswet voor verreweg de meeste organisaties (en zeker voor hun leveranciers) de wet die er in de praktijk toe doet.

Welke verplichtingen gelden vanaf 15 augustus?

Vanaf de inwerkingtreding gelden voor organisaties onder de Cyberbeveiligingswet:

Registratieplicht. Aanmelden in het entiteitenregister via het NCSC (mijn.ncsc.nl). Registreren kan nu al; zie de registratieplicht bij het NCSC.
Zorgplicht. Passende en evenredige maatregelen om beveiligingsrisico's te beheersen en incidenten te voorkomen, inclusief de beveiliging van de toeleveringsketen. Het Cyberbeveiligingsbesluit werkt dit uit in concrete maatregelcategorieën, waaronder:
- risicoanalyse, -beoordeling en -behandeling;
- incidentafhandeling (detectie, analyse en herstel);
- bedrijfscontinuïteit, back-ups en crisisbeheer;
- beveiliging van de toeleveringsketen, inclusief toetsing van leveranciers;
- basishygiëne en training van personeel, plus beleid voor encryptie en toegangsbeheer.
Meldplicht. Significante incidenten melden bij het CSIRT en de bevoegde autoriteit, via één centraal loket op mijn.ncsc.nl. Als hoofdregel: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand ná die incidentmelding (de termijnen uit artikel 23 van de NIS2-richtlijn, zoals geïmplementeerd in de Cbw); voor enkele categorieën, waaronder de financiële sector en vertrouwensdiensten, gelden afwijkende, deels kortere termijnen. Zie ook de meldplicht bij het NCSC.
Bestuurlijke verantwoordelijkheid. Het bestuur keurt de maatregelen goed, houdt er toezicht op en volgt passende training.
Toezicht en handhaving. Het toezicht is sectoraal belegd: onder meer de RDI (digitale infrastructuur en diverse andere sectoren), de IGJ (zorg), de ILT (transport) en DNB en de AFM (financiële sector). Het NCSC beheert het centrale meldloket op mijn.ncsc.nl; een melding gaat daar in één keer door naar het sectorale CSIRT en de bevoegde toezichthouder (het NCSC is zelf geen toezichthouder). Toezichthouders zijn vanaf de inwerkingtreding bevoegd om te controleren.

Een algemene overgangstermijn is er niet: het Cyberbeveiligingsbesluit stelt de inwerkingtreding van wet en besluit vast op 15 augustus 2026. Eén uitzondering: het bekostigd hoger onderwijs wordt naar verwachting in de winter van 2026 officieel aangewezen. Het grootste deel van de verplichtingen gaat dan in; de zorgplicht volgt drie jaar na die aanwijzing. Registreren en vrijwillig melden kan nu al.

Wat staat er op het spel?

De boetemaxima zijn aanzienlijk: voor essentiële entiteiten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (het hoogste bedrag geldt), voor belangrijke entiteiten tot 7 miljoen euro of 1,4%. Boetes zijn bovendien niet het enige instrument: de toezichthouder kan ook bindende aanwijzingen geven en een last onder dwangsom opleggen, en bij essentiële entiteiten kan in het uiterste geval om schorsing van bestuurders worden verzocht (dat laatste geldt niet voor overheidsinstanties). Daarnaast legt de wet de verantwoordelijkheid expliciet bij het bestuur, dat de maatregelen moet goedkeuren en daarop kan worden aangesproken. Zie NIS2 en bestuurdersaansprakelijkheid.

Wat betekent dit voor leveranciers?

Hier zit voor veel mkb-bedrijven het echte nieuws. De zorgplicht omvat expliciet de toeleveringsketen: de ruim 8.000 organisaties onder de wet moeten kunnen aantonen dat ze de risico's van hun leveranciers beheersen. Dat vertaalt zich in de praktijk vaak in leveranciersvragenlijsten, contracteisen en audits. Besef daarbij het verschil tussen die bewijsvormen: een ingevulde vragenlijst is een eigen verklaring van de leverancier, een certificaat is een momentopname die een auditor heeft vastgesteld, en een externe meting laat zien wat een aanvaller nú ziet. Die meting vult vragenlijst en certificaat aan.

Lever je software, hosting, data of diensten aan een organisatie die onder de wet valt, dan is de kans groot dat je die uitvraag op je bord krijgt, ook al val je zelf formeel buiten de scope. Wat er dan van je wordt verwacht, lees je in wat is écht verplicht onder de NIS2-ketenzorgplicht en, specifiek voor leveranciers, in NIS2-ketenzorgplicht voor leveranciers. Krijg je nu al vragenlijsten binnen, dan helpt een NIS2-leveranciersvragenlijst beantwoorden.

Wat de wet níét doet

Ook met een harde datum blijft gelden wat we eerder schreven: de wet verplicht geen enkele specifieke tool of SaaS. Wie de inwerkingtreding aangrijpt om een product als "wettelijk verplicht" te verkopen, verkoopt urgentie in plaats van feiten. De wet eist doelen: risico's kennen, maatregelen nemen, incidenten melden en dat alles kunnen aantonen. Hoe je dat invult, bepaal je zelf. Waarom zelfs een goede scan je niet compliant maakt, leggen we uit in scannen is geen NIS2-compliance.

Vijf dingen om vóór 15 augustus te regelen

Bepaal je positie. Val je direct onder de wet (sector plus omvang), of indirect via klanten die eronder vallen? Doe de regelhulp van de Rijksoverheid, bekijk welke sectoren en organisaties onder de wet vallen bij het NCSC, of begin met onze zelfcheck val ik onder NIS2.
Registreer. Val je onder de wet, meld je organisatie dan aan in het entiteitenregister via mijn.ncsc.nl. De plicht geldt vanaf 15 augustus; registreren kan nu al.
Breng je aanvalsoppervlak in kaart. Je kunt geen risico's beheersen die je niet ziet. Begin bij wat een aanvaller van je domein ziet.
Neem je keten mee. Inventariseer kritieke leveranciers en leg vast welke basiseisen je aan ze stelt. Hoe je dat monitort, zie je op Monitor mijn leveranciers.
Maak het aantoonbaar. Zorg dat je kunt laten zien wat je hebt aangetroffen, wanneer, en wat ermee is gebeurd. Aantonen kent twee vormen: administratief (certificaten, verklaringen) en technisch (gedateerde externe metingen). Dat bewijs is wat een toezichthouder, auditor of klant wil zien.

Exposentry helpt bij stap 3 tot en met 5: doorlopende, aantoonbare monitoring van je eigen domeinen en je leveranciersketen. Exposentry bouwt op OpenKAT, de open-source securityscanner die uit de Nederlandse overheid voortkomt; Edward Hasekamp draagt zelf bij aan OpenKAT. Geen compliancegarantie, wel een aantoonbare bouwsteen voor je zorgplicht. Zien waar je staat kan vandaag al: start een scan van je organisatie.

Bronnen

Rijksoverheid, "Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht", 7 juli 2026, rijksoverheid.nl
Eerste Kamer, wetsvoorstel 36.764 (Cyberbeveiligingswet), eerstekamer.nl
Cyberbeveiligingswet, Staatsblad 2026, 187, 10 juli 2026, officielebekendmakingen.nl
Wet weerbaarheid kritieke entiteiten, Staatsblad 2026, 188, 10 juli 2026, officielebekendmakingen.nl
Cyberbeveiligingsbesluit, Staatsblad 2026, 189, 10 juli 2026 (stelt in artikel 35 tevens het tijdstip van inwerkingtreding van de Cyberbeveiligingswet vast), officielebekendmakingen.nl
Houthoff, "Cyberbeveiligingswet vanaf 15 augustus van kracht", juli 2026, houthoff.com
SURF Security Expertise Centrum, "Cyberbeveiligingswet: stand van zaken, planning en gevolgen voor hoger onderwijs", sec.surf.nl

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.