De Eerste Kamer heeft op dinsdag 7 juli 2026 ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Daarmee is de parlementaire behandeling van beide wetten afgerond en treden zij op 15 augustus 2026 in werking. Voor een deel van de NBIP-achterban betekent dit dat de voorbereidingstijd nu definitief overgaat in uitvoeringstijd.
Van circa 1.000 naar circa 8.000 organisaties
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Waar de Wbni zich richtte op een beperkte groep vitale aanbieders, geldt de Cbw voor organisaties in 18 sectoren — waaronder expliciet de sector digitale infrastructuur. Het aantal organisaties dat onder de wet valt, groeit daarmee van ongeveer 1.000 naar naar verwachting circa 8.000. Organisaties zijn zelf verantwoordelijk om te beoordelen of zij onder de reikwijdte van de wet vallen. Onder meer het Nationaal Cyber Security Centrum (NCSC) biedt hiertoe de nodige tools voor zelfevaluatie.
Drie verplichtingen die per 15 augustus gaan gelden onder de Cbw
Voor NBIP-deelnemers die onder de Cbw vallen, komen er vanaf de inwerkingtredingsdatum drie kernverplichtingen bij:
- Registratieplicht — registratie in het entiteitenregister bij het NCSC, via mijn.ncsc.nl. Meer informatie over de registratieplicht vind je via deze link
- Zorgplicht — aantoonbare maatregelen om de risico’s voor netwerk- en informatiesystemen te beheersen, inclusief de beveiliging van de toeleveringsketen. Meer informatie lees je via deze link
- Meldplicht — het binnen wettelijke termijnen melden van significante incidenten aan de bevoegde autoriteiten en het CSIRT. Bij het NCSC vind je meer informatie over de meldplicht
Toezicht op de naleving komt voor onze sector hoofdzakelijk te liggen bij de Rijksinspectie voor Digitale Infrastructuur (RDI). Nieuw is ook dat cyberveiligheid expliciet een bestuurstaak wordt: bestuurders kunnen bij aantoonbare nalatigheid persoonlijk aansprakelijk worden gesteld.
Impact op aanbieders van digitale infrastructuur
Internetserviceproviders, hostingpartijen, cloudaanbieders en aanverwante dienstverleners horen bij de sector digitale infrastructuur, één van de 18 sectoren die vallen onder de Cbw. Dat betekent niet dat iedere organisatie in die sector automatisch zelf zorg-, meld- en registratieplichtig wordt. De kernverplichtingen gelden in de regel voor organisaties boven een bepaalde omvang (doorgaans meer dan 50 medewerkers, of een jaaromzet én balanstotaal boven 10 miljoen euro).
Toch is het niet zo dat aanbieders die deze drempelwaarden niet halen, helemaal niet van doen krijgen met de Cbw. Cbw-organisaties zijn wettelijk verplicht om de risico’s in hun toeleveringsketen in kaart te brengen en waar nodig aanvullende maatregelen te vragen van hun rechtstreekse leveranciers en dienstverleners. Dit is dus ook het geval als die leverancier zelf niet onder de Cbw valt.
Het toezicht van de RDI richt zich op de Cbw-organisatie zelf. Een toeleverancier die zelf niet onder de Cbw valt krijgt dus geen eigen toezichtrelatie met de toezichthouder, maar wel met de eisen die zijn klant vanuit de in de Cbw neergelegde zorgplicht stelt.
Toeleveranciers die geen Cbw-organisatie zijn
Wat een toeleverancier die zelf niet Cbw-plichtig is concreet kan verwachten, hangt af van de aard van de relatie. De wet vraagt om maatregelen die “passend en evenredig” zijn. Een aanbieder die impact heeft op het netwerk of de systemen van een klant die Cbw-organisatie is, zal waarschijnlijk gevraagd worden om aanvullende maatregelen te nemen. Aanbieders die hosting, colocatie of cloudcapaciteit leveren aan een grotere klant, draait daarmee doorgaans (een deel van) diens systemen. Wie IP-transit, peering of connectiviteit afneemt van een grotere upstream-provider, is technisch verbonden met diens netwerk. Dit soort leveranciers zal in de regel onder de ketenverantwoordelijkheid van Cbw-organisaties vallen.
In de praktijk vertaalt dit zich meestal naar gesprekken over de eigen cyberbeveiliging, verzoeken om aan te tonen dat basismaatregelen op orde zijn, eventueel onderbouwd met een certificering zoals ISO 27001. Ook zullen aanvullende afspraken die worden vastgelegd in een contract of SLA vaker voorkomen. Het gaat dan om beveiligingsmaatregelen, auditmogelijkheden, meldtermijnen bij incidenten en gezamenlijke incidentrespons.
Het is verstandig om niet af te wachten tot een klant zelf dit gesprek initieert, maar zelf het onderwerp op de agenda te zetten. Van belang is verder dat deze eisen niet per se bij de eerste schakel stoppen: een Cbw-organisatie kan via haar directe leverancier ook verlangen dat diens onderleveranciers passende maatregelen nemen, waardoor de praktijk verder reikt dan alleen de partijen die rechtstreeks aan een Cbw-organisatie leveren.
Je kunt meer lezen over wat je als toeleverancier kunt doen bij het NCSC.
Verplichtingen voor aanbieders van digitale infrastructuur die Cbw-organisatie zijn
Voor aanbieders die als essentiële of belangrijke entiteit onder de Cbw vallen, lichten we de registratie-, zorg- en meldplicht die hierboven al kort zijn genoemd hieronder verder toe. We gaan daarbij ook in op een aantal andere verplichtingen die daarbij komen kijken.
De registratieplicht is het startpunt: organisaties registreren zich in het entiteitenregister bij het NCSC, via mijn.ncsc.nl, met gegevens over onder meer de organisatie, contactpersonen en de netwerk- en informatiesystemen die relevant zijn voor de dienstverlening. Met deze registratie geeft een organisatie formeel aan dat zij onder de Cbw valt, en krijgt zij toegang tot ondersteuning van het eigen sectorale CSIRT.
De zorgplicht is uitgewerkt in een aantal verplichte aandachtsgebieden: risicoanalyse en systeembeveiliging, incidentbehandeling, bedrijfscontinuïteit (back-ups, crisisbeheer), beveiliging van de toeleveringsketen, veilige verwerving, ontwikkeling en onderhoud van systemen, het periodiek beoordelen van de effectiviteit van de eigen maatregelen, cyberhygiëne en training van personeel, beleid voor cryptografie en versleuteling, HR-beveiliging en toegangsbeheer, en het gebruik van meerfactorauthenticatie en beveiligde communicatie.
Daarnaast geldt een meldplicht in drie stappen: een significant incident vraagt binnen 24 uur om een vroegtijdige waarschuwing, binnen 72 uur om een vervolgmelding, en uiterlijk één maand na de eerste melding om een eindverslag. Alles verloopt via het meldportaal op mijn.ncsc.nl, dat automatisch doorzet naar het sectorale CSIRT en de toezichthouder.
Ook nieuw is een verplichte bestuurderstraining: bestuursleden moeten een training volgen om cyberrisico’s te leren herkennen en erop te kunnen sturen. Hiervoor geldt een overgangstermijn van maximaal twee jaar na inwerkingtreding. Let op: voor de overige verplichtingen bestaat die coulance niet.
Toezicht
Meerdere toezichthouders zijn in Nederland belast met toezicht op het Cbw. Voor de digitale infrastructuursector is de RDI de belangrijkste toezichthouder. Het toezicht verschilt per type entiteit: essentiële entiteiten krijgen een uitgebreider, grotendeels proactief toezichtsregime, terwijl belangrijke entiteiten vooral achteraf worden gecontroleerd. Overtredingen kunnen leiden tot boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.
Voor specifieke deelsectoren binnen digitale infrastructuur gelden nog aanvullende regels. Zo gelden extra eisen voor onder meer registers van topleveldomeinnamen en organisaties die domeinnamen registreren, met specifieke verplichtingen rond het bijhouden van en verlenen van toegang tot bepaalde gegevens. Ook beheerde ICT-diensten en beheerde beveiligingsdiensten, denk aan MSP’s en MSSP’s, vormen een eigen deelsector met eigen aanwijzingscriteria.
We willen graag onderstrepen dat voor de kernverplichtingen zelf, anders dan bij de bestuurderstraining, geen overgangstermijn geldt: vanaf 15 augustus 2026 gelden zorg-, meld- en registratieplicht meteen. Twijfel over de eigen positie kan, naast de tools van NCSC die hierboven al werden genoemd, ook worden getoetst met de NIS2-zelfevaluatie die de RDI aanbiedt.
De Cbw staat ook niet op zichzelf. Voor organisaties die daarnaast te maken hebben met de Wet weerbaarheid kritieke entiteiten, eEvidence-verplichtingen of andere Europese wetgeving rond digitale weerbaarheid zoals de Digital Services Act, ontstaat een breder patroon: toezicht, meldplichten en registraties die ieder afzonderlijk zijn ontstaan, maar in de praktijk om een samenhangende aanpak vragen. Voor de sector als geheel is dat reden om compliance niet per dossier te bekijken, maar vanuit een overkoepelend beeld van waar de verplichtingen elkaar raken. NBIP zal waar mogelijk op gemeenschappelijke basis dit soort verplichtingen operationeel behapbaar maken en kennisdeling op dit vlak intensiveren.
Niet wachten tot 15 augustus
Duidelijk is dat de Cbw voor zowel Cbw-organisaties als hun leveranciers in de sector digitale infrastructuur impact zal hebben. De Rijksoverheid roept organisaties nadrukkelijk op om niet te wachten tot de inwerkingtredingsdatum. Concreet raden wij onze deelnemers (en de bredere sector) bij herhaling aan om:
- Nog eens te controleren of de eigen organisatie onder de Cbw valt (sector digitale infrastructuur, omvang van de organisatie)
- Je registratie bij het NCSC via mijn.ncsc.nl te controleren of zo snel mogelijk in orde te maken
- Te inventariseren welke bestaande maatregelen al bijdragen aan de zorgplicht, en waar aanvullende stappen nodig zijn
- Als toeleverancier het gesprek aan te gaan met klanten die Cbw-organisatie zijn
