Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Ruim achtduizend Nederlandse organisaties krijgen vanaf die datum te maken met nieuwe verplichtingen rondom cybersecurity. Zo moeten zij cyberrisico’s actief beheersen, ernstige ICT-incidenten melden en zich registreren bij het Nationaal Cyber Security Centrum. De nieuwe wet benadrukt daarmee een ontwikkeling die iedere organisatie raakt: digitale veiligheid is geen onderwerp voor later, maar een essentieel onderdeel van de bedrijfsvoering. Organisaties hebben een combinatie nodig van techniek, duidelijke processen en bewust gedrag van medewerkers.
Cyberrisico’s stoppen niet bij de wet
Niet elke organisatie valt rechtstreeks onder de wet. Toch krijgt vrijwel iedere organisatie met digitale systemen ermee te maken, ook horeca- en retailketens. Cybercriminelen maken steeds minder onderscheid tussen groot en klein. Phishing, ransomware, gestolen inloggegevens of een aanval op een leverancier: het kan iedere organisatie overkomen.
Bovendien stellen grote ketens straks strengere beveiligingseisen aan leveranciers, franchisenemers en ketenpartners.
Wat verandert er door de Cyberbeveiligingswet?
De Cyberbeveiligingswet zet de Europese NIS2-richtlijn om in Nederlandse wetgeving. De wet geldt voor organisaties die belangrijke of essentiële diensten leveren binnen achttien sectoren. Denk hierbij aan openbaar vervoer en gezondheidszorg.
Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de Cyberbeveiligingswet vallen.
4 belangrijke verplichtingen Cyberbeveiligingswet
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met vier belangrijke onderdelen.
1. Registratieplicht
Organisaties die onder de wet vallen, moeten zich registreren via MijnNCSC.
2. Zorgplicht
Organisaties moeten maatregelen nemen om de beveiligingsrisico’s voor hun netwerk- en informatiesystemen te beheersen. Daarmee verklein je de kans op incidenten en beperk je de gevolgen wanneer er toch iets misgaat.
3. Meldplicht
Een ernstig ICT-incident moet snel gemeld worden. De eerste waarschuwing moet uiterlijk binnen 24 uur na ontdekking plaatsvinden. Dat vraagt om goede monitoring, heldere verantwoordelijkheden en een vooraf ingesteld incidentplan.
4. Bestuurlijke verantwoordelijkheid
Cybersecurity ligt niet alleen bij de ICT-afdeling of ICT-leverancier. Het bestuur moet inzicht hebben in risico’s, maatregelen en mogelijke gevolgen van een incident.
Geldt de wet ook voor retail en horeca?
Een winkel of restaurant valt niet automatisch onder de Cyberbeveiligingswet. De activiteiten van de organisatie bepalen of de wet rechtstreeks van toepassing is.
Strengere eisen werken door in de keten
De gevolgen beperken zich niet tot organisaties die formeel onder de wet vallen. Zij moeten namelijk ook naar de beveiligingsrisico’s bij leveranciers en dienstverleners kijken.
Levert jouw organisatie bijvoorbeeld aan een grote keten, foodproducent of logistiek bedrijf? Dan kan die klant vragen om aantoonbare maatregelen rond:
- toegangsbeheer;
- software-updates;
- back-ups;
- monitoring;
- incidentmeldingen;
- herstelprocedures.
Niet verplicht betekent niet onnodig
Ook wanneer de Cyberbeveiligingswet nu nog niet rechtstreeks voor jouw organisatie geldt, loont het dus om maatregelen te nemen. Daarmee verklein je de kans op een incident, beperk je de gevolgen als er iets misgaat en bereid je jouw organisatie voor op strengere eisen van klanten en ketenpartners. De nieuwe BizzCon Cybersecurity Stack brengt deze onderdelen samen in twee beveiligingspakketten. Zo kies je een beschermingsniveau dat past bij de risico’s, digitale omgeving en behoeften van jouw organisatie.
De mens als belangrijkste schakel in cybersecurity
Wist je dat menselijke fouten en onwetendheid een rol spelen bij 74% van de cybersecurityincidenten? Aanvallers richten zich steeds vaker op accounts en medewerkers in plaats van alleen op apparaten. Daarnaast wordt door het gebruik van AI de manier om medewerkers te misleiden steeds complexer en echter. Technische beveiliging alleen is daarom niet genoeg. Door medewerkers actief te trainen, leren zij phishing, verdachte verzoeken en andere digitale risico’s sneller herkennen.
Tegelijk missen veel organisaties de tijd en specialistische kennis om cybersecurity structureel goed in te richten. De BizzCon Cybersecurity Stack combineert daarom proactieve, technische beveiliging met bewustwording en training. Zo ondersteun je belangrijke onderdelen van de zorgplicht, verklein je de kans op incidenten en houd je focus op ondernemen.
