Ja. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De zorgplicht, meldplicht en registratieplicht gelden vanaf die datum. Bestuurders hebben voor hun verplichte scholing twee jaar de tijd.

Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de Cyberbeveiligingswet vallen. De wet geldt voor essentiële en belangrijke organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Bepalend zijn de sector én de omvang (grofweg vanaf 50 medewerkers of 10 miljoen euro omzet). Let op: ook als je zelf buiten de wet valt, kun je er via de keten mee te maken krijgen, doordat klanten die er wél onder vallen eisen aan hun leveranciers stellen.

Ja, een ISO 27001-managementsysteem dekt een groot deel van de zorgplicht af en geeft een flinke voorsprong. Het is echter geen automatisch bewijs van naleving: de wet stelt aanvullende eisen aan onder meer incidentmelding, registratie en bestuurlijke verantwoordelijkheid. Een gerichte gap-analyse maakt zichtbaar waar het verschil zit.

Ja. De wet legt de verantwoordelijkheid voor het toezicht op de maatregelen expliciet bij het bestuur. Bestuurders moeten de maatregelen goedkeuren, toezien op de uitvoering en aantoonbaar kennis hebben van cyberrisico's. Bij ernstige nalatigheid kunnen zij persoonlijk aansprakelijk worden gesteld. Bestuurders moeten daarnaast aantoonbaar geschoold zijn in cyberrisico’s. In ernstige gevallen kan de toezichthouder een bestuurder tijdelijk schorsen.