Analyse · 9 juli 2026

Nederland heeft een nieuwe cyberbeveiligingswet. Dit betekent die.

Op 7 juli 2026 nam de Eerste Kamer de Cyberbeveiligingswet aan. Vanaf 15 augustus legt die harde plichten op aan zo'n 8.000 Nederlandse organisaties, en de EU Cyber Resilience Act komt daar bovenop met regels voor producten.

Cyberbeveiliging in Nederland is deze maand opgehouden een kwestie van goede bedoelingen te zijn. Op 7 juli 2026 nam de Eerste Kamer de Cyberbeveiligingswet (Cbw) aan, en die treedt in werking op 15 augustus 2026. Het is de Nederlandse invulling van de Europese NIS2-richtlijn, en de wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Er is geen overgangsperiode. De dag dat de wet ingaat, gaan ook de plichten in.

Als jouw organisatie iets doet dat ertoe doet voor de Nederlandse samenleving, of als je software en verbonden producten in Europa verkoopt, dan veranderde er in één keer iets. Dit stuk loopt langs wat de wet echt van je vraagt, wie eronder valt, en waar de AI-systemen die je uitrolt in dit geheel passen.

Twee wetten op dezelfde dag

Op 15 augustus gaan twee wetten in. De Cyberbeveiligingswet gaat over digitale veiligheid en komt uit NIS2. Daarnaast staat de Wet weerbaarheid kritieke entiteiten (Wwke), die voortkomt uit de Europese CER-richtlijn en over fysieke weerbaarheid gaat: kritieke diensten draaiend houden bij sabotage, natuurrampen en fysieke aanvallen. De Wwke wijst zo'n 500 kritieke entiteiten aan. De Cbw is de brede: die raakt rechtstreeks ongeveer 8.000 organisaties, en via de keten nog vele duizenden meer, omdat organisaties die eronder vallen ook hun leveranciers moeten aanspreken.

Wie onder de Cyberbeveiligingswet valt

De wet geldt voor organisaties die essentiële of belangrijke diensten leveren in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, zorg, transport, overheid, bankwezen, afval, voedsel en post. Ze worden in twee groepen verdeeld:

• Essentiële entiteiten: de grotere organisaties in de meest kritieke sectoren. Zij krijgen actief toezicht vooraf.
• Belangrijke entiteiten: vallen er ook onder, maar het toezicht komt vooral pas als er iets misgaat.

Je krijgt geen brief die zegt dat je eronder valt. De taak om uit te zoeken of je in scope bent, en je daarna te registreren, ligt bij jou. Twijfel je, dan is het slim om dit nu na te gaan en niet pas na 15 augustus.

Wat je concreet moet doen

De wet draait om drie plichten.

• Registreren. Organisaties die eronder vallen moeten zich inschrijven in het entiteitenregister via het NCSC. De registratie opent op 15 augustus, en die is niet vrijblijvend.
• Zorgplicht. Je moet een echte risicoanalyse doen en op basis daarvan passende en evenredige maatregelen nemen om je netwerk- en informatiesystemen te beveiligen en de schade te beperken als er iets misgaat. Dat is het bekende werk: toegangsbeheer, patchen, back-ups, logging, leveranciersrisico, en een plan voor als het misgaat.
• Meldplicht. Een significant incident moet volgens een vaste klok worden gemeld bij je CSIRT: een vroege waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur, en een eindrapport binnen een maand.

Eén onderdeel overvalt veel mensen: het bestuur is aansprakelijk. Bestuurders zijn eindverantwoordelijk voor het beheersen van cyberrisico, ze moeten het goed genoeg begrijpen om de maatregelen te kunnen beoordelen, en er wordt verwacht dat ze training volgen. Dit kun je niet volledig bij IT neerleggen en dan vergeten.

De boetes zijn echt

De boetes volgen het Europese kader. Essentiële entiteiten kunnen een boete krijgen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, het hoogste bedrag geldt. Belangrijke entiteiten riskeren tot 7 miljoen euro of 1,4% van de omzet. Toezichthouders kunnen ook bindende aanwijzingen geven, en bij essentiële entiteiten kunnen ze in ernstige gevallen bestuurders schorsen. Die bedragen zijn er om cyberbeveiliging van de IT-begroting naar de bestuurstafel te tillen.

De Europese laag: de Cyber Resilience Act

NIS2 gaat over organisaties. De Cyber Resilience Act (CRA) gaat over producten. Die stelt beveiligingseisen aan hardware en software met digitale elementen die in de EU worden verkocht, van routers tot mobiele apps tot het slimme apparaat in het schap. De CRA trad in december 2024 in werking, en de volledige eisen gelden vanaf december 2027, maar één deadline komt eerder: vanaf 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden. Ook daar is de klok strak, een vroege waarschuwing binnen 24 uur en daarna een melding binnen 72 uur, ingediend via één Europees platform dat bij het nationale CSIRT en ENISA terechtkomt.

Bouw je producten, dan heb je dus met beide regimes tegelijk te maken: NIS2 als organisatie, en de CRA voor wat je uitlevert.

Waar AI in past

Geen van beide wetten is speciaal voor AI geschreven, en geen van beide laat het buiten beschouwing. Heb je een LLM-assistent, een AI-agent of een andere modelgedreven functie aan een dienst binnen scope gekoppeld, dan hoort die functie nu bij je aanvalsoppervlak, en de zorgplicht dekt die net als al het andere. Een AI-functie kan data lekken, een actie doen die niet mag, of door een vijandige invoer worden gestuurd, en een toezichthouder neemt "het model deed het" niet als antwoord aan. Het ligt bovendien bovenop de EU AI Act, die in artikel 15 al vraagt om nauwkeurigheid, robuustheid en cyberbeveiliging.

Het lastige is het bewijs. De wet vraagt je passende maatregelen te nemen en te kunnen aantonen dat je dat deed. Voor een chatinterface of een agent met tools betekent dat: het ding testen zoals een aanvaller dat zou doen, en niet alleen een vulnerability scanner loslaten op de servers waarop het toevallig draait.

Wat je voor 15 augustus doet

• Zoek uit of je een essentiële of belangrijke entiteit bent, en zorg dat je klaar bent om je bij het NCSC te registreren.
• Doe een risicoanalyse die je AI- en LLM-functies meeneemt, niet alleen de klassieke IT.
• Zet een meldproces neer dat de 24-uurs- en 72-uursgrens echt kan halen.
• Praat je bestuur bij, en zorg dat zij kunnen laten zien dat ze het risico begrijpen.
• Lever je producten in de EU, begin dan voor 11 september 2026 met CRA-kwetsbaarheidsmeldingen.

De deadlines zijn dichtbij en er is geen coulanceperiode. De organisaties die hier goed uitkomen, zijn die de zorgplicht behandelen als iets om aan te tonen, met echt testen en echte vastlegging, en niet als iets om in een beleidsdocument te beschrijven.

Bronnen: Rijksoverheid, NCSC, Europese Commissie (Cyber Resilience Act).