Het is geen wetsvoorstel meer. Op 7 juli 2026 heeft de Eerste Kamer de Cyberbeveiligingswet aangenomen, samen met de Wet weerbaarheid kritieke entiteiten. De wet gaat op 15 augustus 2026 in. Dat is een kwestie van weken, niet van “ergens volgend jaar”.
En de scherpste verandering staat niet in de techniek. Bestuurders worden persoonlijk aansprakelijk voor tekortschietende beveiliging. Voor het eerst hangt de vraag “hebben we onze cybersecurity op orde?” niet meer bij de IT-afdeling, maar bij de mensen die de jaarrekening tekenen.
Dit artikel zet op een rij wat er precies is aangenomen, wat het concreet betekent, en wat je in de weken tot 15 augustus nog kunt doen.
Wat er precies is aangenomen
De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn. Vanaf 15 augustus gelden er nieuwe verplichtingen voor ruim 8.000 organisaties, verdeeld over achttien sectoren: energie, drinkwater, digitale infrastructuur, zorg, overheid, transport en meer. Volgens schattingen is ongeveer 80% daarvan privaat. Dit is dus nadrukkelijk geen overheidsdossier.
Het toezicht ligt bij de Rijksinspectie Digitale Infrastructuur (RDI) en andere sectorale toezichthouders. Zij krijgen ruimere bevoegdheden om te inspecteren en bevindingen af te dwingen. Ik heb eerder beschreven waarom NIS2 identity en access management tot een bestuurlijke prioriteit maakt; met deze definitieve aanname is dat geen vooruitzicht meer maar staand recht.
De grote verandering: de bestuurder is nu persoonlijk aansprakelijk
Dit is het punt dat directies wakker zou moeten houden. Cybersecurity wordt met deze wet expliciet een bestuurstaak. Bestuurders moeten kunnen aantonen dat de cyberrisico’s worden beheerst en dat er passende maatregelen zijn genomen. Bij niet-naleving kunnen zij persoonlijk aansprakelijk worden gesteld.
Let op het woord “aantonen”. Het is niet genoeg dat je beveiliging op orde is; je moet kunnen laten zien dát ze op orde is, met bewijs dat een toezichthouder accepteert. Dat verschuift de last van “we hebben het geregeld” naar “we kunnen het bewijzen”. En dat is een wezenlijk hoger niveau dan de meeste organisaties nu halen.
Drie plichten die je moet invullen
Onder de nieuwe wet krijgen organisaties drie kernverplichtingen.
Een zorgplicht: je moet passende maatregelen nemen om de risico’s in je netwerk- en informatiesystemen te beheersen, op basis van een risicoanalyse. Een meldplicht: significante incidenten moet je binnen strakke termijnen melden. En een registratieplicht: je moet je registreren en een administratie van incidenten bijhouden.
Die drie klinken procedureel, maar ze raken direct aan de basis van je toegangsbeheer. Een risicoanalyse zonder zicht op wie toegang heeft tot wat, is een lege huls. Een meldplicht zonder werkende detectie is een papieren belofte. En een zorgplicht die je moet kunnen aantonen, valt of staat bij controles die daadwerkelijk worden uitgevoerd — precies het soort control waar het in de praktijk misgaat, zoals bij recertificering die verwordt tot afvinken.
”IT-systemen én contracten tegen het licht”
Eén detail uit de berichtgeving verdient extra aandacht: organisaties moeten niet alleen hun IT-systemen, maar ook hun contracten tegen het licht houden. Dat is de supply chain. Onder NIS2 ben je medeverantwoordelijk voor de cybersecurity van je leveranciers, en dat betekent dat je leverancierscontracten en -afspraken erop moet nakijken.
Dit is het moment om vooruit te kijken. De Europese Cyber Resilience Act maakt vanaf eind 2027 aantoonbare herkomst en traceerbare updates van softwareproducten verplicht. Wie zijn leverancierscontracten nu op orde brengt voor de Cyberbeveiligingswet, kan diezelfde beweging meteen gebruiken om zijn keten CRA-proof te maken. Twee vliegen, één slag.
Wat je in de weken tot 15 augustus zou moeten doen
Ruim vier weken is kort, maar niet niks. Realistisch gezien haal je geen volledige compliance meer vóór 15 augustus, en dat hoeft ook niet in één keer. Wat wél kan, is aantoonbaar in beweging komen: en dat is precies wat een bestuurder nodig heeft om zijn aansprakelijkheid te beperken.
Zorg dat de verantwoordelijkheid expliciet bij de directie is belegd en gedocumenteerd, niet impliciet bij IT. Maak een eerste risicoanalyse of actualiseer de bestaande, met toegangsbeheer als kernonderdeel. Breng je meldproces op orde, zodat je binnen de termijnen kunt melden. En begin met de leverancierscontracten die het grootste risico dragen. Het doel is niet perfectie op 15 augustus; het doel is een aantoonbaar, onderbouwd plan met eigenaren en voortgang.
Waarom dit een governance-verhaal is, geen juridisch
De reflex bij nieuwe wetgeving is om de juristen te laten kijken. Terecht, maar het is niet waar het echte werk zit. De Cyberbeveiligingswet dwingt geen nieuwe juridische constructie af; ze dwingt aantoonbaar werkende beveiliging af. En dat is een uitvoerings- en sturingsvraagstuk.
De controls waar een toezichthouder als eerste naar kijkt, zijn bijna altijd toegangsgerelateerd: wie heeft toegang tot wat, kloppen die rechten nog, en kun je dat aantonen. Dat het daar misgaat, ligt zelden aan de techniek en bijna altijd aan de governance en regie eromheen. Een bestuurder die persoonlijk aansprakelijk is, heeft er dus meer aan om zijn access governance op orde te krijgen dan om nog een beleidsstuk te laten schrijven. De businesscase daarvoor is met deze wet een stuk makkelijker te maken.
Tot slot
De Cyberbeveiligingswet is definitief, en 15 augustus is dichtbij. De grootste verschuiving is niet technisch maar bestuurlijk: cybersecurity is nu een persoonlijke verantwoordelijkheid van de directie, en “we hebben het geregeld” is niet langer genoeg. Je moet het kunnen aantonen.
Wie nu aantoonbaar in beweging komt — belegd eigenaarschap, een actuele risicoanalyse, werkende toegangscontroles en een blik op de leverancierscontracten — staat op 15 augustus verdedigbaar. Wie wacht tot de eerste inspectie, ontdekt dan pas dat aantonen iets anders is dan aannemen.
Veelgestelde vragen
Wanneer gaat de Cyberbeveiligingswet in?
De Eerste Kamer nam de wet aan op 7 juli 2026, en ze treedt op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten. Vanaf die datum gelden de nieuwe verplichtingen voor de organisaties die onder de wet vallen.
Voor welke organisaties geldt de wet?
Voor ruim 8.000 organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, zorg, overheid en transport. Naar schatting is ongeveer 80% privaat. Of je onder de wet valt, hangt af van je sector en omvang; sommige categorieën, zoals aanbieders van openbare elektronische communicatie, vallen er ongeacht omvang onder.
Zijn bestuurders echt persoonlijk aansprakelijk?
Ja. Cybersecurity wordt expliciet een bestuurstaak, en bestuurders moeten kunnen aantonen dat de cyberrisico’s worden beheerst en passende maatregelen zijn genomen. Bij niet-naleving kunnen zij persoonlijk aansprakelijk worden gesteld. Het accent ligt op aantoonbaarheid: niet alleen dat het geregeld is, maar dat je het kunt bewijzen.
Welke verplichtingen brengt de wet mee?
Drie kernplichten: een zorgplicht (passende maatregelen nemen op basis van risicoanalyse), een meldplicht (significante incidenten binnen strakke termijnen melden), en een registratieplicht (je registreren en incidenten administreren). Het toezicht ligt onder meer bij de Rijksinspectie Digitale Infrastructuur.
Wat moet ik doen als 15 augustus te snel komt?
Volledige compliance in enkele weken is onrealistisch, en dat hoeft ook niet in één keer. Kom aantoonbaar in beweging: beleg de verantwoordelijkheid expliciet bij de directie, actualiseer je risicoanalyse met toegangsbeheer als kern, breng je meldproces op orde en pak de risicovolste leverancierscontracten eerst. Een onderbouwd plan met eigenaren en voortgang is wat een bestuurder nodig heeft om zijn aansprakelijkheid te beperken.
