Drie maanden na 15 augustus
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. De Eerste Kamer stemde op 7 juli in, en volgens het NCSC gelden er sindsdien nieuwe verplichtingen voor ruim 8.000 organisaties in 18 sectoren, van energie en drinkwater tot vervoer en digitale infrastructuur. De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de oude Wbni.
De registratie is volgens de RDI verplicht vanaf 15 augustus 2026. Wie onder de wet valt, had zich dus al moeten registreren en moet sindsdien aan de zorgplicht en de meldplicht voldoen. Wie dat nog niet heeft gedaan, loopt nu achter, niet straks.
De registratie is de eerste toets
Volgens de Rijksinspectie Digitale Infrastructuur registreer je je organisatie in het nationale entiteitenregister via het registratieportaal van het NCSC. Daarvoor heb je eHerkenning nodig op minimaal niveau 3. Je levert onder meer je naam en adres aan, de sector, de lidstaten waar je diensten levert, actuele contactgegevens en waar dat van toepassing is je IP-ranges.
Twee dingen worden vaak over het hoofd gezien. Wijzigingen, zoals een fusie of nieuwe IP-ranges, moet je binnen twee weken doorgeven. En de RDI schrijft er zelf bij dat niet of niet juist registreren kan leiden tot een boete of een last onder dwangsom. Wijs dus een eigenaar aan voor de registratie, bijvoorbeeld de directeur of de CISO, en zet de controle ervan in de agenda.
Registreren levert ook iets op: daarna kun je aansluiten bij de dienstverlening van je CSIRT, het team dat dreigingsinformatie deelt en helpt bij een incident.
Wat de wet daarna van je vraagt
De registratie is administratie. Het echte werk zit in vier andere plichten, zoals het NCSC ze opsomt:
- de zorgplicht: maatregelen om de risico's voor je netwerk- en informatiesystemen te beheersen en incidenten te voorkomen of te beperken;
- de meldplicht: significante incidenten binnen de wettelijke termijnen melden aan je CSIRT en de bevoegde autoriteit;
- bestuurlijke verantwoordelijkheid: het bestuur is eindverantwoordelijk en volgt een passende training;
- toezicht: toezichthouders controleren of je aan de verplichtingen voldoet.
Dat toezicht verschilt per soort organisatie. Computable zet het op een rij: essentiële organisaties krijgen proactief toezicht, met inspecties ook zonder incident. Belangrijke organisaties krijgen reactief toezicht, dat pas begint na een incident of een signaal. Wie per sector toezicht houdt, verschilt ook; de RDI is het voor onder meer digitale infrastructuur, De Nederlandsche Bank voor banken.
Een punt dat in de praktijk verrast: bij een significant incident moet je volgens Computable ook je eigen klanten informeren over wat er is gebeurd en wat zij zelf moeten doen. Dat staat los van een melding aan de Autoriteit Persoonsgegevens.
Waar het voor software en websites concreet wordt
De zorgplicht gaat niet alleen over het kantoornetwerk. Een klantportaal, een webshop of een koppeling met je ERP is ook een informatiesysteem. Als zo'n applicatie op een verouderd framework draait of niemand de updates bijhoudt, is dat precies het soort risico dat je onder de zorgplicht moet beheersen en bij een incident moet kunnen uitleggen.
Werkplekken, laptops en het kantoornetwerk zijn het terrein van je ICT-partner. Software, websites, servers en koppelingen zijn het terrein waar wij het werk doen. Onder de Cyberbeveiligingswet moeten die twee kanten van elkaar weten wie wat bijhoudt, anders valt er bij een incident een gat precies op de grens.
Val je zelf niet onder de wet, dan kom je hem waarschijnlijk toch tegen via een klant die dat wel doet. Wat die klanten van hun leveranciers mogen vragen, staat op onze pagina over NIS2 en de Cyberbeveiligingswet voor het mkb.