Cyberbeveiligingswet 2026: dit verandert er voor organisaties

Vanaf 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw). Voor veel organisaties betekent dat nieuwe verplichtingen op het gebied van informatiebeveiliging, risicobeheersing en incidentmanagement. Maar geldt de wet ook voor jouw organisatie? Welke eisen stelt de wet precies? En ben je daar op voorbereid? 

De Cbw vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en vergroot de groep organisaties die onder toezicht komt aanzienlijk. De wet richt zich op organisaties die essentiële of belangrijke diensten leveren in sectoren die van groot maatschappelijk of economisch belang zijn. Daardoor krijgen duizenden organisaties direct met de nieuwe verplichtingen te maken. 

In dit kennisartikel leggen onze cyberexperts uit wat de Cbw inhoudt, voor welke organisaties de wet geldt en welke stappen je nu kunt zetten om compliant te zijn. 

Wat houdt de Cyberbeveiligingswet in? 

De Cbw is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet stelt strengere eisen aan informatiebeveiliging, incidentmanagement, bedrijfscontinuïteit en toezicht. 

De wet geldt onder meer voor organisaties in sectoren als overheid, energie, transport, waterbeheer en gezondheidszorg. Ook organisaties die niet rechtstreeks onder de wet vallen, kunnen ermee te maken krijgen. Grote organisaties zullen namelijk hogere eisen gaan stellen aan leveranciers en ketenpartners, waardoor cyberweerbaarheid steeds vaker een voorwaarde wordt om zaken te kunnen blijven doen. 

Wat betekent de wet voor organisaties? 

De Cbw vraagt meer dan alleen technische beveiligingsmaatregelen. Je moet kunnen aantonen dat cyberrisico’s structureel worden beheerst en dat je voorbereid bent als er toch iets misgaat.  

Denk qua voorbereidingen aan: 

• het uitvoeren van risicoanalyses 

• het treffen van passende technische en organisatorische maatregelen 

• het registreren van je organisatie in het entiteitenregister (indien van toepassing) 

• het tijdig melden van significante incidenten 

• het opstellen en testen van een incident responseplan 

• het actief betrekken van bestuur en toezicht bij cyberweerbaarheid 

Belangrijk is dat cyberweerbaarheid niet langer uitsluitend een onderwerp voor de IT-afdeling is. De wet legt een duidelijke verantwoordelijkheid bij bestuurders en toezichthouders. Zij moeten kunnen aantonen dat zij betrokken zijn bij het beheersen van cyberrisico’s en voldoende kennis hebben om risico’s en beveiligingsmaatregelen te beoordelen. 

In de praktijk zien we dat veel organisaties al stappen hebben gezet, maar nog niet precies weten waar zij staan ten opzichte van de nieuwe wettelijke eisen. Juist daarom is het belangrijk om inzicht te krijgen in je huidige volwassenheidsniveau en eventuele tekortkomingen tijdig in kaart te brengen. 

Nieuwe eisen op bestaande normen 

Bij veel organisaties leeft het gevoel dat de Cbw opnieuw een volledig nieuw compliance-traject met zich meebrengt. Dat blijkt in de praktijk niet het geval. De meeste eisen sluiten namelijk aan op bestaande normen en frameworks, zoals ISO 27001, NEN 7510 en BIO/BIO2. Ook veel bestaande interne controlemaatregelen dragen al bij aan de vereisten van de wet. 

Nieuw is de verhoogde aandacht voor risico’s in de leveranciersketen. Organisaties moeten niet alleen zicht hebben op hun eigen beveiligingsmaatregelen, maar ook op de cyberrisico’s van leveranciers en andere ketenpartners. We zien dat dit voor veel organisaties een van de grootste uitdagingen is. Welke leveranciers zijn kritisch voor de continuïteit van je organisatie? Hoe weet je of zij hun beveiliging op orde hebben? Juist op dit vlak vraagt de Cbw om meer structuur en aantoonbare beheersing. 

De uitdaging zit daarom meestal niet in het opnieuw inrichten van je beveiliging, maar in het inzichtelijk maken wat je al hebt geregeld en waar nog aanvullende maatregelen nodig zijn. Organisaties die hun governance, risicomanagement en control framework op orde hebben, beschikken vaak al over een stevig fundament. Zij kunnen voortbouwen op bestaande processen en gericht verbeteren waar de Cbw daarom vraagt. 

Meer weten over de Cyberbeveiligingswet? 

Wil je weten wat de Cbw betekent voor je organisatie? In ons uitgebreide kennisartikel gaan we dieper in op de achtergrond van de wet, de belangrijkste verplichtingen en de impact voor bestuurders, toezichthouders en IT-verantwoordelijken. 

Wil je liever direct inzicht in jouw situatie? Met de praktische Cbw-scan van Baker Tilly brengen we samen de impact van de wet in kaart. We laten zien welke risico’s, verplichtingen en prioriteiten voor je organisatie relevant zijn, zodat je gericht kunt sturen op de maatregelen die belangrijk zijn. 

Benieuwd wat de Cbw voor jou betekent? Onze specialisten denken graag met je mee.

Wet- en regelgeving op dit gebied kan onderhevig zijn aan verandering. Wij raden je aan om met jouw Baker Tilly adviseur te overleggen over de impact hiervan.