De Cyberbeveiligingswet is aangenomen: uw actielijst tot 15 augustus
Het wachten is voorbij. De Eerste Kamer nam de Cyberbeveiligingswet op 7 juli 2026 aan en de wet treedt op 15 augustus 2026 in werking, zonder overgangsperiode. Dat laat u ongeveer vijf weken. Deze pagina is geen theorie over wat de wet ís (dat leest u in de bredere uitleg), maar een concrete lijst van wat u nu doet — in volgorde.
De Eerste Kamer nam de Cyberbeveiligingswet (wetsvoorstel 36.764) op 7 juli 2026 aan, samen met de Wet weerbaarheid kritieke entiteiten. Alleen FVD stemde tegen. De wet treedt op 15 augustus 2026 in werking, vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en brengt de groep verplichte organisaties van ongeveer 1.000 naar ruim 8.000 (bron: Rijksoverheid, 7 juli 2026).
Waarom dit nu urgent is
Er is geen overgangsperiode. De verplichtingen gelden vanaf de dag van inwerkingtreding, dus vanaf 15 augustus 2026. Dat is het punt dat organisaties het vaakst verrast: er is geen jaar ingroeitijd om alles op orde te brengen. Wie op 15 augustus pas begint, staat op dag één achter.
Tegelijk is vijf weken genoeg om de belangrijkste stappen te zetten, mits u nu begint en de juiste dingen eerst doet. Hieronder staat de volgorde die in de praktijk werkt, van "weet ik of ik meedoe" tot "kan ik aantonen dat mijn maatregelen werken".
De actielijst
1. Bevestig of u onder de wet valt
Toets uw sector en omvang aan de criteria: valt u in een aangewezen sector én bent u middelgroot of groot (vuistregel: 50 of meer medewerkers, of meer dan €10 miljoen omzet), dan valt u er in beginsel onder. Sommige organisaties vallen er ongeacht hun omvang onder. Bij twijfel is de veilige aanname dat u zich voorbereidt. De bredere uitleg zet de sectoren en de twee categorieën (essentieel en belangrijk) op een rij.
2. Registreer u bij het NCSC
Valt u eronder, dan is registratie via mijn.ncsc.nl verplicht vanaf 15 augustus 2026. Via die registratie bent u bij de toezichthouder in beeld en krijgt u toegang tot de ondersteuning van het CSIRT bij incidenten. Bereid dit nu voor: verzamel de gegevens die u nodig heeft en wijs een verantwoordelijke aan, zodat de registratie op de eerste dag rond is.
3. Herijk uw risicobeoordeling
De zorgplicht begint bij een actuele risicobeoordeling: welke systemen zijn kritiek, welke dreigingen zijn relevant (ransomware, supply chain, gerichte phishing op bestuur), en welke maatregelen horen daarbij? Een beleidsdocument van vorig jaar is niet genoeg. Werk het bij naar de situatie van nu en leg de keuzes vast.
4. Richt de meldketen in en oefen die één keer
Een significant incident moet u snel melden. De termijnen liggen strak:
| Termijn | Wat |
|---|---|
| Binnen 24 uur | Eerste melding (early warning) bij het CSIRT/NCSC |
| Binnen 72 uur | Uitgebreidere incidentmelding met een eerste beoordeling |
| Binnen 1 maand | Eindrapportage met oorzaak, impact en genomen maatregelen |
Papier is hier niet genoeg. Bepaal wie gebeld wordt, wie de melding maakt en wie richting bestuur en pers communiceert, en oefen die keten één keer met een korte tafeloefening. Dat oefenmoment is bovendien bruikbaar bewijs richting de toezichthouder.
5. Betrek het bestuur formeel
Onder de Cyberbeveiligingswet moet de leiding de maatregelen goedkeuren, erop toezien en zich laten bijscholen. Bestuurlijke betrokkenheid is geen formaliteit meer maar een wettelijke eis, met persoonlijke aansprakelijkheid als sluitstuk. Leg besluitvorming en bijscholing over cyberrisico's vast in een logboek.
6. Verzamel bewijs dat de techniek werkt
De zorgplicht vraagt niet alleen om maatregelen, maar ook om het beoordelen van de effectiviteit ervan. Voor de technische kant is een onafhankelijke penetratietest daarvoor het sterkste bewijsinstrument: die laat zien welke kwetsbaarheden er feitelijk waren, welke echt exploiteerbaar waren, en — na de hertest — welke daadwerkelijk verholpen zijn. Plan een test op uw meest kritieke applicatie(s) en bewaar het rapport én de hertest-verklaring. Twijfelt u over het ritme, lees dan hoe vaak u een penetratietest moet laten doen.
Wilt u vóór 15 augustus aantoonbaar bewijs dat uw technische maatregelen werken? Een handmatige penetratietest levert een rapport en hertest-verklaring die u direct kunt gebruiken richting toezichthouder en auditor.
Plan een gratis intake →7. Kijk naar uw keten
De wet maakt u medeverantwoordelijk voor de beveiliging van uw leveranciers. Inventariseer uw kritieke leveranciers (SaaS, hosting, applicatiebeheer), vraag naar hun pentestrapporten of certificeringen, en leg beveiligingsafspraken contractueel vast. Begin bij de leveranciers die bij uw meest kritieke processen betrokken zijn.
Werkt u in de zorg of bij de overheid?
Dan loopt de Cyberbeveiligingswet samen met bestaande kaders. Voor gemeentes sluit het aan op ENSIA en de BIO — daarover schreven we NIS2 en gemeentes: wat verwacht de toezichthouder?. Voor zorginstellingen sluit het aan op NEN 7510. De onderliggende eis is in alle gevallen dezelfde: aantoonbaar maken dat de maatregelen werken.
De wet is er nu echt; de datum staat vast en de overgangsperiode ontbreekt. Wie de komende weken de registratie, de meldketen en het bewijs op orde brengt, is op tijd klaar — wie wacht tot de toezichthouder belt, kiest de duurste route.
Conclusie
De aanname van de Cyberbeveiligingswet is geen mijlpaal om af te wachten, maar het startschot. Vijf weken is kort, maar ruim genoeg om de basis neer te zetten: weten of u meedoet, u registreren, uw risico's actualiseren, de meldketen oefenen, het bestuur betrekken en bewijzen dat de techniek standhoudt. Begin bij de stap die het langst duurt om te regelen — meestal is dat het technische bewijs.
Twijfelt u waar te beginnen? Een gratis intake van 30 minuten geeft helderheid over uw situatie en de snelste eerste stappen, zonder verplichtingen.
NIS2-bewijs dat standhoudt.
Een handmatige penetratietest op uw kritieke applicaties, met een rapport en hertest-verklaring die u direct kunt gebruiken richting de toezichthouder. Vaste prijs, hertest inbegrepen.
Plan gratis intake →