Cyberbeveiligingswet en Wwke: wat moet je weten?

Twee wetten, één systeem

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en richt zich op digitale weerbaarheid. De wet raakt ruim 8.000 organisaties (NBIP, 2026; NCSC, 2026b).

De Wet weerbaarheid kritieke entiteiten is de uitwerking van de Europese CER-richtlijn en kijkt breder: naar de continuïteit van essentiële diensten tegen dreigingen zoals sabotage, terrorisme, natuurrampen en extreem weer. Ongeveer 500 organisaties worden daarvoor aangewezen. Wie als kritieke entiteit is aangewezen, is automatisch ook essentiële entiteit onder de Cyberbeveiligingswet. Andersom niet (NCTV, 2026b).

CyberbeveiligingswetRuim 8.000 organisaties

Essentiële en belangrijke entiteiten in achttien sectoren. Je gaat zelf na of je eronder valt.

Wet weerbaarheid kritieke entiteitenOngeveer 500 organisaties

Aangewezen door de minister. Een kritieke entiteit is automatisch ook essentiële entiteit onder de Cyberbeveiligingswet. Andersom niet.

Wie valt eronder

Drie vragen bepalen of de Cyberbeveiligingswet voor je organisatie geldt.

1. Is je organisatie actief in een van de achttien aangewezen sectoren?
2. Heb je minstens 50 medewerkers (fte), of een jaaromzet én balanstotaal boven € 10 miljoen?
3. Ben je essentieel of belangrijk?

De sectoren lopen van energie, drinkwater, zorg en vervoer tot digitale infrastructuur, overheid, afval, chemie, voedsel en maakindustrie. Bij de berekening tellen partner- en verbonden ondernemingen mee, zoals een moederbedrijf of dochters. Voor sommige organisaties geldt geen omvangseis, zoals overheidsorganisaties en aanbieders van openbare telecomnetwerken (NCSC, 2026a). Essentiële entiteiten staan onder proactief toezicht, belangrijke entiteiten onder reactief toezicht (NCTV, 2026a).

Je gaat zelf na of je onder de Cyberbeveiligingswet valt; je hoeft niet eerst te worden aangewezen. Het NCSC verwijst daarvoor naar een zelfevaluatie. En val je er niet onder, dan kun je het toch merken: de beveiliging van de toeleveringsketen hoort bij de zorgplicht van je klanten.

Drie plichten

De Cyberbeveiligingswet geldt sinds 15 augustus 2026, zonder algemene overgangstermijn. De wet kent drie plichten: registreren bij het Nationaal Cyber Security Centrum, een zorgplicht en een meldplicht. De zorgplicht vraagt om risico’s in kaart te brengen en passende maatregelen te nemen op tien onderwerpen, waaronder bedrijfscontinuïteit en de beveiliging van de toeleveringsketen (NCSC, z.d.-b). De wet schrijft geen producten voor, maar onderwerpen. Wat passend is, moet je zelf onderbouwen.

Bij een significant incident volgt binnen 24 uur na kennisname een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding met een eerste beoordeling van ernst en gevolgen, en binnen een maand na de incidentmelding een eindverslag. Loopt het incident nog, dan volgt eerst een voortgangsverslag en het eindverslag binnen een maand na afhandeling (CMS, 2026; NCSC, z.d.-a).

Na 24 uur is het beeld zelden compleet. Wie meldt, besluit dus op onvolledige informatie. Dat mandaat beleg je vooraf, niet tijdens de crisis.

Wat de wet van het bestuur vraagt

Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. Uitvoerende bestuurders moeten uiterlijk medio 2028 aantoonbaar zijn opgeleid in cyberbeveiliging (NCTV, 2026c; RDI, 2026a).

De maximale boetes zijn € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en € 7 miljoen of 1,4% voor belangrijke entiteiten. Het hoogste bedrag geldt (Houthoff, 2026).

Aangewezen als kritieke entiteit

Onder de Wet weerbaarheid kritieke entiteiten kies je niet zelf: de verantwoordelijke minister wijst organisaties aan. Binnen negen maanden na aanwijzing volgt een risicobeoordeling, daarna minstens elke vier jaar. Binnen tien maanden moeten passende technische, organisatorische en beveiligingsmaatregelen zijn genomen. Vanaf dat moment geldt ook de meldplicht: een incident dat de essentiële dienst aanzienlijk verstoort of kan verstoren, meld je binnen 24 uur na kennisname, of zo snel mogelijk als dat operationeel niet kan.

Voor de sectoren digitale infrastructuur, bankwezen en infrastructuur voor de financiële markt gelden deze verplichtingen uit de Wwke niet. Niet de beveiliging van één locatie staat centraal, maar de continuïteit van de dienst.

Meer dan compliance

In mijn werk bij organisaties in de vitale infrastructuur zie ik een terugkerend patroon. Nieuwe eisen komen binnen als nalevingsvraag en worden vervolgens verdeeld over beleid, techniek en operatie. Maar weerbaarheid ontstaat in de samenhang daartussen.

Vraag niet alleen: voldoen we? Vraag ook: blijven we overeind?

Welke diensten mogen niet uitvallen, en van welke mensen, systemen, locaties en leveranciers zijn ze afhankelijk? Welke organisatorische, technische en fysieke maatregelen houden die dienstverlening overeind? En wie besluit wanneer het misgaat, met welk mandaat, en welke informatie bereikt het bestuur?

Alertech WeerbaarheidsmodelDraagkracht van de dienstWelke afhankelijkheden dragen de essentiële dienst aantoonbaar, ook bij verstoring?

Essentiële dienstWat mag niet uitvallen?

1. 01MensenWerkt aantoonbaar
2. 02ProcessenAanname
3. 03LocatiesIngericht
4. 04SystemenVerstoord
5. 05LeveranciersAanname

↗ Herstel en lerenBestuurlijk besluitTerug naar de dienst

Een maatregel die bestaat, is nog geen maatregel die werkt.

Deze wetten zijn daarmee ook een vraagstuk van risicobeheersing, techniek, organisatie en bestuur.