De Cyberbeveiligingswet is van kracht: op 15 augustus 2026 trad de Nederlandse implementatie van de Europese NIS2-richtlijn in werking, na aanname door de Tweede Kamer (15 april 2026) en de Eerste Kamer (7 juli 2026). De registratieplicht, de zorgplicht en de meldplicht gelden nu.
Wat is er op 15 augustus 2026 veranderd?
De wet zelf kent geen lange overgangsperiode voor de kernverplichtingen: wie onder de wet valt, moet sinds de inwerkingtreding aan de zorgplicht voldoen en incidenten volgens de wettelijke termijnen melden. Toezicht en registratie worden daarna verder ingericht, maar daarop wachten is riskant: de verplichtingen gelden intussen gewoon.
De checklist: vijf zaken om nu te regelen
- 1. Bepaal of u onder de wet valt
- Toets uw organisatie aan de sectoren en omvangscriteria: bent u een essentiële of belangrijke entiteit? Ook wie er formeel buiten valt, krijgt de eisen vaak via klanten of de keten opgelegd.
- 2. Doe de zelfevaluatie op de tien zorgplichtgebieden
- Artikel 21 van NIS2 schrijft tien maatregelgebieden voor, van risicobeleid en incidentbehandeling tot ketenbeveiliging en cryptografie. Breng per gebied in kaart wat er staat en wat ontbreekt.
- 3. Richt het meldproces in
- Bij een significant incident geldt een getrapte meldplicht: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur en een eindverslag binnen één maand. Beleg wie meldt, via welk kanaal, en maak sjablonen vooraf klaar.
- 4. Betrek het bestuur aantoonbaar
- De leiding keurt het beveiligingsbeleid goed, blijft verantwoordelijk en traint mee. Leg die betrokkenheid vast. Dat is precies wat een toezichthouder als eerste wil zien.
- 5. Maak het aantoonbaar
- De zorgplicht is risicogebaseerd: u moet kunnen láten zien dat uw maatregelen passen bij uw risico’s. Een bijgehouden zelfevaluatie met onderbouwing, taken en bewijs is uw dossier richting bestuur en toezichthouder.
Hergebruik wat er al ligt
Organisaties die al met ISO 27001 of de BIO werken, hoeven niet opnieuw te beginnen: een groot deel van de zorgplichtgebieden wordt door bestaande maatregelen afgedekt. Breng de overlap in kaart en organiseer alleen de aanvulling: met name bestuursverantwoordelijkheid, ketenbeveiliging en het meldproces.
Vandaag beginnen is beter dan wachten
Een volledige implementatie vergt maanden, maar de zelfevaluatie, het meldproces en de bestuurlijke vaststelling zijn in enkele weken te organiseren. Daarmee laat u zien dat u de wet serieus neemt, ook als nog niet alles af is.