De Eerste Kamer heeft vandaag ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Daarmee is de invoering van beide wetten definitief. Ze treden op 15 augustus 2026 in werking en gelden dan direct, zonder overgangstermijn.
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen. De wet stelt eisen aan de digitale weerbaarheid van organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Waar de huidige wetgeving circa duizend organisaties raakt, breidt de Cbw deze groep uit naar naar verwachting ruim 8.000 organisaties. Zij zijn zelf verantwoordelijk om te toetsen of ze onder de wet vallen en krijgen te maken met een registratieplicht bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl, een zorgplicht om risico’s voor hun netwerk- en informatiesystemen te beheersen, en de verplichting om incidenten te melden. Registreren kan overigens nu al vrijwillig, vooruitlopend op de verplichte registratie per 15 augustus.
De Wet weerbaarheid kritieke entiteiten implementeert de Europese CER-richtlijn en richt zich op bredere, fysieke en operationele dreigingen voor vitale infrastructuur. Organisaties die als kritieke entiteit worden aangewezen, moeten een brede risicobeoordeling uitvoeren waarin zowel door mensen veroorzaakte dreigingen als terrorisme en sabotage, als natuurlijke dreigingen als overstromingen en extreem weer worden meegenomen. Op basis daarvan moeten zij passende maatregelen nemen, zoals fysieke beveiliging, redundante voorzieningen en continuïteitsplanning. Incidenten die de dienstverlening ernstig kunnen verstoren, moeten binnen 24 uur worden gemeld bij de bevoegde autoriteiten.
Minister van Justitie en Veiligheid David van Weel benadrukt dat organisaties voorbereid moeten zijn op risico’s die de continuïteit van essentiële dienstverlening kunnen raken, of het nu gaat om digitale dreigingen, sabotage, natuurrampen of andere verstoringen. De Rijksoverheid adviseert organisaties nadrukkelijk om niet te wachten tot 15 augustus, maar nu al te beginnen met een risicoanalyse en een inventarisatie van bestaande beveiligingsmaatregelen, aangezien de wetten zonder overgangsperiode ingaan.
