Nieuwe Nederlandse wetgeving inzake cyberweerbaarheid en de weerbaarheid van kritieke entiteiten: vijf praktische prioriteiten
Vanaf 15 augustus 2026 zijn in Nederland twee belangrijke nieuwe weerbaarheidswetten van kracht: de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke).
De wetgeving is op 7 juli 2026 door de Eerste Kamer aangenomen. Dit gebeurt in een periode waarin Nederlandse autoriteiten blijven waarschuwen voor cyberaanvallen, sabotage en andere hybride dreigingen die vitale diensten en infrastructuur kunnen verstoren. Naar verwachting zullen alleen al meer dan 8.000 organisaties onder de reikwijdte van de Cbw vallen.
Twee wetten, één weerbaarheidsagenda
De Cbw implementeert de Europese NIS2-richtlijn in Nederland en vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen. De wet breidt het aantal sectoren en organisaties waarop wettelijke cyberbeveiligingsverplichtingen van toepassing zijn aanzienlijk uit.
Afhankelijk van hun omvang, activiteiten en sector kunnen organisaties worden aangemerkt als een essentiële entiteit of een belangrijke entiteit. Voor beide categorieën gelden in grote lijnen dezelfde kernverplichtingen, hoewel essentiële entiteiten te maken krijgen met een proactievere vorm van toezicht. De meeste organisaties ontvangen geen individuele brief waarin wordt bevestigd dat de Cbw op hen van toepassing is. Van hen wordt verwacht dat zij zelf beoordelen of zij binnen de wettelijke reikwijdte vallen.
De Wwke implementeert de Europese Critical Entities Resilience-richtlijn (CER-richtlijn). Waar de Cbw zich primair richt op cyberbeveiliging, hanteert de Wwke een bredere, integrale benadering van alle mogelijke dreigingen. De wet heeft betrekking op fysieke, organisatorische en operationele dreigingen, waaronder sabotage, natuurrampen, pandemieën en afhankelijkheden die de levering van essentiële diensten kunnen onderbreken.
Anders dan de Cbw is de Wwke gebaseerd op aanwijzing. De bevoegde minister zal kritieke entiteiten formeel aanwijzen. Na aanwijzing heeft een entiteit in beginsel negen maanden om de risicoanalyse uit te voeren en tien maanden om de toepasselijke zorgplicht en regelingen voor incidentmelding te implementeren. Een aangewezen kritieke entiteit kwalificeert tevens als essentiële entiteit onder de Cbw, maar niet iedere entiteit die onder de Cbw valt, valt ook onder de Wwke.
In de praktijk moeten de twee wetten niet als afzonderlijke compliance-trajecten worden behandeld. Samen vormen zij een breder weerbaarheidskader waarin cyberbeveiliging, fysieke beveiliging, bedrijfscontinuïteit, crisismanagement, leveranciersrisico’s en corporate governance met elkaar worden verbonden.
Wat moeten organisaties nu doen?
1. Bepaal of de organisatie binnen de reikwijdte valt
De eerste prioriteit is vast te stellen of de Cbw van toepassing is en, waar relevant, of de organisatie mogelijk als kritieke entiteit onder de Wwke kan worden aangewezen.
Bij deze beoordeling moet worden gekeken naar de specifieke juridische entiteit, de sector, de verleende diensten, het aantal werknemers en de financiële drempelwaarden. Concernorganisaties moeten voorkomen dat zij uitsluitend uitgaan van een beoordeling op groepsniveau, omdat de toepasselijkheid en de verantwoordelijkheden op het gebied van toezicht per afzonderlijke entiteit kunnen verschillen.
Organisaties die onder de Cbw vallen, moeten daarnaast de vereiste gegevens registreren in het nationale entiteitenregister via MijnNCSC en ervoor zorgen dat deze informatie actueel blijft.
2. Zorg voor duidelijke verantwoordelijkheid op bestuursniveau
De Cbw maakt cyberbeveiliging tot een governancevraagstuk en niet uitsluitend tot een verantwoordelijkheid van de IT-afdeling. Bestuurs- en leidinggevende organen worden geacht maatregelen voor het beheer van cyberbeveiligingsrisico’s goed te keuren en daarop toezicht te houden. Ook moeten zij over voldoende kennis beschikken om de relevante risico’s te kunnen begrijpen.
Organisaties moeten daarom duidelijk vastleggen wie verantwoordelijk is voor de voorbereiding op en naleving van de Cbw en Wwke, hoe het bestuur zekerheid krijgt over de getroffen maatregelen en hoe materiële risico’s en incidenten worden geëscaleerd. Ook bestaande commissiestructuren, managementinformatie en interne auditplannen moeten mogelijk worden aangepast.
3. Oefen het incidentmeldingsproces
De Cbw introduceert een gefaseerd meldingsproces voor significante incidenten. Binnen 24 uur kan een eerste waarschuwing vereist zijn, gevolgd door een uitgebreidere melding binnen 72 uur en, in relevante gevallen, een eindverslag binnen één maand.
Dat laat weinig ruimte voor onduidelijkheid over de besluitvorming. Organisaties moeten vastleggen wie beoordeelt of een incident significant is, wie bevoegd is om een melding te doen en hoe informatie wordt verzameld bij beveiligingsteams, verantwoordelijken voor diensten, leveranciers en het senior management. In het proces moet ook rekening worden gehouden met sectorspecifieke meldingsverplichtingen.
Zodra de meldplicht onder de Wwke van toepassing is op een aangewezen entiteit, moeten incidenten die de levering van essentiële diensten aanzienlijk verstoren mogelijk eveneens binnen 24 uur worden gemeld. Voor organisaties die gelijktijdig met verschillende regelgevingsregimes te maken kunnen krijgen, zal een geïntegreerde meldingsmatrix van groot belang zijn.
4. Versterk de beheersmaatregelen voor de toeleveringsketen en weerbaarheid
De Cbw vereist passende en evenredige technische, operationele en organisatorische maatregelen. Deze hebben onder meer betrekking op incidentafhandeling, bedrijfscontinuïteit, kwetsbaarhedenbeheer, toegangsbeheer, beveiligingsbewustzijn en de beveiliging van de toeleveringsketen.
Met name de toeleveringsketen is van groot belang. Organisaties die binnen de reikwijdte van de wet vallen, zullen in toenemende mate van directe leveranciers en dienstverleners verlangen dat zij passende beveiligingsmaatregelen, tijdige incidentmeldingen en adequate continuïteitsregelingen kunnen aantonen. Ook organisaties die zelf niet rechtstreeks onder de wettelijke reikwijdte vallen, kunnen daardoor te maken krijgen met nieuwe contractuele eisen en aanvullende audit- en assuranceverplichtingen.
De Wwke voegt hier een breder weerbaarheidsperspectief aan toe. Organisaties moeten niet alleen rekening houden met cyberdreigingen, maar ook met fysieke toegang, nutsvoorzieningen, faciliteiten, sleutelpersoneel, geografische concentratie en andere afhankelijkheden die de levering van essentiële diensten kunnen beïnvloeden.
5. Integreer privacy-, FG- en AVG-processen
Cybersecurity- en privacyteams moeten geen afzonderlijke incidentprocessen hanteren. Een ransomwareaanval, een gecompromitteerde leverancier of een incident met ongeautoriseerde toegang kan leiden tot meldverplichtingen onder de Cbw, de AVG, sectorspecifieke regelgeving en contractuele afspraken.
De toepasselijke drempelwaarden zijn niet gelijk. Een significant incident onder de Cbw is niet automatisch een inbreuk in verband met persoonsgegevens, en een onder de AVG meldplichtig datalek voldoet niet noodzakelijk aan de significantiedrempel van de Cbw. Wanneer beide regimes van toepassing zijn, moet een organisatie mogelijk binnen 24 uur een eerste waarschuwing onder de Cbw doen en binnen 72 uur de Autoriteit Persoonsgegevens informeren, tenzij de risicodrempel van de AVG niet wordt gehaald.
De Functionaris voor Gegevensbescherming (FG) moet tijdig worden betrokken wanneer een incident vragen oproept op het gebied van de bescherming van persoonsgegevens. Tegelijkertijd moet de operationele verantwoordelijkheid duidelijk bij het management, de CISO, het incidentresponsteam of de crisismanagementfunctie blijven liggen, zodat de onafhankelijke adviserende en toezichthoudende rol van de FG behouden blijft.
Eén geïntegreerde incidentprocedure met parallelle juridische en toezichtsrechtelijke beoordelingen zal waarschijnlijk effectiever zijn dan afzonderlijke procedures voor cyberbeveiliging, privacy en continuïteit. Leverancierscontracten moeten daarnaast voorzien in voldoende snelle meldingen en toegang tot informatie om zowel de meldtermijn van 24 uur als die van 72 uur te kunnen naleven.
Van compliance naar aantoonbare weerbaarheid
De centrale boodschap is dat de Cbw en Wwke niet alleen gaan over beleid of formele naleving. Organisaties moeten kunnen aantonen dat risico’s worden begrepen, verantwoordelijkheden zijn toegewezen, maatregelen daadwerkelijk zijn geïmplementeerd en incidenten binnen enkele uren kunnen worden beoordeeld en geëscaleerd.
De meest effectieve aanpak is één geïntegreerd weerbaarheidsprogramma waarin ondernemingsrisicomanagement, cyberbeveiliging, fysieke beveiliging, bedrijfscontinuïteit, inkoop, privacy en crisiscommunicatie met elkaar zijn verbonden. De directe toets is eenvoudig: kan uw organisatie snel tot een verdedigbaar besluit over een melding komen, en kan zij achteraf het bewijs overleggen waarop dat besluit is gebaseerd?
