Cyberbeveiligingswet: wat de Cbw concreet van je vraagt

De Cyberbeveiligingswet, kortweg Cbw, is de Nederlandse uitvoering van de Europese NIS2-richtlijn en is in werking sinds 15 augustus 2026. Als jouw organisatie eronder valt, is het geen vrijblijvende richting meer maar een verplichting met termijnen. Hieronder de kern, zonder juridisch jargon.

Voor wie geldt de Cbw

De wet richt zich op essentiële en belangrijke entiteiten in achttien sectoren, onder meer energie, vervoer, gezondheidszorg, digitale infrastructuur, overheid en onderzoek. In de praktijk komt het neer op middelgrote en grote organisaties. Je valt eronder als je vijftig of meer medewerkers hebt. Heb je er minder, dan val je er toch onder als je jaaromzet én je balanstotaal allebei boven de tien miljoen euro uitkomen. Alle ruim 340 Nederlandse gemeenten vallen er automatisch onder. Je organisatie wordt ingedeeld als essentiële of belangrijke entiteit. Dat onderscheid bepaalt hoe streng het toezicht is.

De drie hoofdverplichtingen

De Cbw legt drie hoofdverplichtingen op:

1. Zorgplicht. Je neemt passende maatregelen om je diensten en informatie te beschermen. De wet noemt tien zorgplichtmaatregelen als minimum.
2. Registratieplicht. Je registreert je als organisatie, in Nederland via MijnNCSC.
3. Meldplicht. Je meldt significante incidenten bij je CSIRT en bij je toezichthouder.

Het bestuur is zelf verantwoordelijk

Een van de grootste veranderingen: het bestuur moet de risicomaatregelen zelf goedkeuren en toezien op de uitvoering. Bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gehouden. Cyberveiligheid is daarmee geen kwestie meer die je alleen bij de techniek kunt beleggen.

De meldtermijnen: 24 uur, 72 uur, één maand

De meldplicht geldt bij significante incidenten, denk aan een ernstige verstoring van je dienst of aanzienlijke schade. Voor die incidenten kent de meldplicht drie momenten:

1. Een vroegtijdige waarschuwing binnen 24 uur na kennisname van het incident.
2. Een incidentmelding binnen 72 uur, met een eerste beoordeling van de ernst en de gevolgen. Waar je ze al hebt, deel je ook de indicatoren van aantasting, oftewel de sporen die op een aanval wijzen.
3. Een eindverslag uiterlijk één maand na de incidentmelding. Daarin beschrijf je het incident, de oorzaak en de maatregelen die je nam.

Die 24 uur klinkt kort. Dat is het ook. Je haalt die termijn alleen als vooraf duidelijk is wie de melding doet en wie het besluit neemt om te melden.

Verwar deze melding niet met de datalekmelding

Let op één ding dat vaak door elkaar loopt. De 24- en 72-uursmelding onder de Cbw gaat over significante cyberincidenten en gaat naar je CSIRT en je toezichthouder. Dat staat los van de datalekmelding onder de AVG, die je binnen 72 uur bij de Autoriteit Persoonsgegevens doet. Twee verschillende meldingen, twee verschillende loketten. Bij één incident kan het zijn dat je ze allebei moet doen.

Een zorgplicht op papier is nog geen geoefend team

Een wet kan je verplichten je zaken op orde te hebben. Wat een wet niet regelt, is of je team het ook echt kan als het misgaat. Een zorgplicht op papier is nog geen geoefend team. Ik zie in de praktijk dat organisaties de maatregelen keurig documenteren en dan alsnog vastlopen op het moment dat er onder druk beslist moet worden.

De toets die ik gebruik geldt ook hier: als het incident zich om drie uur 's nachts aandient en de eerste persoon neemt niet op, wie doet dan de melding binnen 24 uur en wie hakt de knopen door? Als dat niet vooraf is belegd, wordt die termijn een probleem in plaats van een formaliteit.

De datalekmelding zelf en de eerste uren van een incident hebben we uitgewerkt in het datalek stappenplan. Welke vaardigheden je team nodig heeft om die termijnen te halen, staan bij de zes crisisvaardigheden. Wil je testen of je organisatie die 24 uur echt haalt, kom dan langs in de Community.