Cyberbeveiligingswet: wat je moet kunnen aantonen

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw). Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet raakt ruim 8.000 organisaties in 18 sectoren. Energie staat erin, net als chemische stoffen en vervaardiging. Dit artikel is voor bestuurders en verantwoordelijken die willen weten wat ze moeten kunnen laten zien.

Wat de regel vraagt

Val je eronder? Dat bepaal je zelf, aan de hand van sector en omvang. De wet geldt vanaf 50 medewerkers. Of bij minder medewerkers, als jaaromzet en balanstotaal allebei boven € 10 miljoen liggen. Tel dochters en moeders mee. De Rijksinspectie Digitale Infrastructuur (RDI) heeft een zelfevaluatie die ook laat zien of je essentieel of belangrijk bent.

Registreren. Val je eronder, dan registreer je je in het entiteitenregister via MijnNCSC. Dat is sinds 15 augustus verplicht.

Zorgplicht. Je maakt een risicobeoordeling en neemt passende maatregelen. Het Cyberbeveiligingsbesluit werkt die uit. Steeds keert dezelfde zin terug: je legt het beleid schriftelijk vast en past het aantoonbaar toe. Het gaat om onder meer:

• beveiligingsbeleid, rollen en risicomanagement met criteria voor het accepteren van risico's;
• incidentbehandeling, met logbestanden die beschermd zijn tegen wijzigingen;
• bedrijfscontinuïteit, met back-ups die je periodiek controleert;
• leveranciers, die je toetst en periodiek controleert;
• toegang, personeel en een actuele inventaris van je systemen en apparatuur;
• periodieke evaluatie van de maatregelen, schriftelijk vastgelegd.

Bestuur. Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. Bestuurders volgen een training. Het certificaat noemt naam, datum, onderwerpen en aanbieder.

Meldplicht. Een significant incident meld je via MijnNCSC. De klok loopt vanaf het moment dat je het incident kent:

• binnen 24 uur een vroegtijdige waarschuwing;
• binnen 72 uur een melding met een eerste beoordeling van ernst en gevolgen;
• binnen een maand een eindverslag.

Wanneer een incident significant is, verschilt per sector. De drempels staan in ministeriële regelingen.

Toezicht. Voor energie en vervaardiging is dat de RDI. Voor chemie de Inspectie Leefomgeving en Transport (ILT).

Wat dat betekent voor je proces

Het woord dat steeds terugkomt is aantoonbaar. Beleid op papier is het begin. Een toezichthouder wil ook zien dat het gebeurt. Dat bewijs ontstaat in het dagelijkse werk, niet in een rapport aan het eind van het jaar.

Denk aan wat je per onderwerp vastlegt:

• Risico's: een overzicht met per risico het besluit, wie besliste en wanneer.
• Toegang: wie welke rechten kreeg, wanneer ze wijzigden of werden ingetrokken, en de periodieke controle.
• Wijzigingen: wie wat veranderde aan systemen, wanneer en waarom.
• Leveranciers: de toets, de uitkomst en de volgende controle.
• Incidenten: het moment van kennisname, de besluiten, de meldingen en de maatregelen.
• Bestuur: goedkeuringen en trainingscertificaten.

In energie en chemie ken je dit patroon al van procesveiligheid. Vastgelegd beleid, wijzigingsbeheer en incidentonderzoek horen daar ook bij. Het verschil is het onderwerp: hier gaat het om netwerken en informatiesystemen, ook die in de fabriek.

Wie doet wat. Het bestuur keurt goed en houdt toezicht. Een verantwoordelijke voor beveiliging houdt het geheel bij. IT en de technische dienst leggen toegang en wijzigingen vast. Inkoop toetst leveranciers. Bij een incident moet binnen 24 uur iemand kunnen besluiten of het significant is.

Wat je nu kunt doen

1. Doe de zelfevaluatie van de RDI, en registreer als je eronder valt.
2. Maak per onderwerp uit het besluit een lijst: welk beleid, welke eigenaar, welk bewijs.
3. Spreek af wie binnen 24 uur beslist of een incident significant is. Zoek de drempels voor jouw sector op.
4. Leg toegang, wijzigingen en leveranciers vast in een logboek dat achteraf niet te wijzigen is.
5. Plan de training voor bestuurders en bewaar de certificaten.
6. Plan de eerste evaluatie van de maatregelen, en leg het resultaat vast.

Een prototype op je eigen proces laat zien hoe dat vastleggen er in het dagelijkse werk uit kan zien.

Dit artikel is informatief en geen juridisch advies.