De Eerste Kamer heeft op 7 juli 2026 ingestemd met de Cyberbeveiligingswet. De wet treedt op 15 augustus 2026 in werking en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Voor de meeste sectoren gelden de verplichtingen direct vanaf die datum, zonder overgangstermijn.

Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de Cyberbeveiligingswet vallen. De wet geldt voor essentiële en belangrijke organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Bepalend zijn de sector én de omvang (grofweg vanaf 50 medewerkers of 10 miljoen euro omzet). Let op: ook als je zelf buiten de wet valt, kun je er via de keten mee te maken krijgen, doordat klanten die er wél onder vallen eisen aan hun leveranciers stellen.

Ja, een ISO 27001-managementsysteem dekt een groot deel van de zorgplicht af en geeft een flinke voorsprong. Het is echter geen automatisch bewijs van naleving: de wet stelt aanvullende eisen aan onder meer incidentmelding, registratie en bestuurlijke verantwoordelijkheid. Een gerichte gap-analyse maakt zichtbaar waar het verschil zit.

Ja. De wet legt de verantwoordelijkheid voor het toezicht op de maatregelen expliciet bij het bestuur. Bestuurders moeten de maatregelen goedkeuren, toezien op de uitvoering en aantoonbaar kennis hebben van cyberrisico's. Bij ernstige nalatigheid kunnen zij persoonlijk aansprakelijk worden gesteld.