Cyberbeveiligingswet (Cbw): stap-voor-stap compliancegids

De Cbw en het Cyberbeveiligingsbesluit zijn van toepassing sinds 15 augustus 2026. Deze gids leidt je van de afbakening van de scope en NCSC-registratie tot de zorgplicht, meldplicht en taken van het bestuur.

Deze gids is voor CISO's, compliance officers, juridisch adviseurs en directeuren van Nederlandse organisaties en van groepen met Nederlandse entiteiten. Aan het einde heb je een besluit over de afbakening van de scope, een bevestigde registratie, een gapanalyse tegen de Cbb, een werkende incidentmeldingsprocedure en een bestuursdocumentatie die een toezichthouder kan volgen.

De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en zet NIS2 om. Volgens de regering hebben meer dan 8.000 organisaties in 18 sectoren verplichtingen onder deze wet, terwijl de Wwke (de CER-richtlijn) ongeveer 500 aangewezen kritieke entiteiten bestrijkt.^[1].

Voordat je begint

Wijs één verantwoordelijke eigenaar voor het programma aan (vaak de CISO of de compliance lead) en één sponsorende directeur. Verzamel je juridische entiteitsstructuur, KvK-nummers, personeelsaantal en financiële cijfers per entiteit, een lijst van diensten die je levert en je openbare netwerkgegevens. MijnNCSC gebruikt eHerkenning op niveau EH2+ met een machtiging, dus controleer wie die bevoegdheid heeft.^[4].

Stap 1: Bepaal of je in scope bent en als welk entiteitstype.

De Cbw vertrouwt op zelfbeoordeling: de organisatie bepaalt zelf of zij onder de wet valt en of zij een essentiële (essentiële entiteit) of belangrijke entiteit (belangrijke entiteit) is. Je krijgt geen brief vooraf. De toets combineert sector en omvang (EU-definitie van mkb). In de regel vallen kleine ondernemingen (minder dan 50 werknemers en omzet of balanstotaal onder EUR 10 miljoen) buiten de werkingssfeer, maar bepaalde soorten entiteiten vallen eronder ongeacht de omvang^[7]. Gemeenten, provincies, waterschappen en gemeenschappelijke regelingen (gemeenschappelijke regelingen) worden geclassificeerd als essentiële entiteiten.

• Wijs elke juridische entiteit toe aan de sectoren en subsectoren in de Bijlagen I en II van NIS2. Gebruik het NCSC-beslissinstrument als controle.
• Pas de groottetoets per entiteit toe, rekening houdend met partner- en verbonden ondernemingen zoals de KMO-definitie vereist.
• Controleer of een entiteit is aangewezen als kritieke entiteit onder de Wwke; kritieke entiteiten zijn essentiële entiteiten onder NIS2.

Stap 2: Registreer in het NCSC-entiteitsregister

De registratieplicht is van kracht sinds 15 augustus 2026, en de NCTV stelt dat organisaties zelf verantwoordelijk zijn voor tijdige registratie^[5]. Registratie vindt plaats in het nationale entiteitenregister dat door het NCSC wordt beheerd, via MijnNCSC. Je verstrekt organisatiegegevens, contactgegevens en netwerkgegevens zoals openbare IP-bereiken, domeinnamen en AS-nummers. De Cbb (artikel 27) voegt items toe zoals de entiteitscategorie en het KvK-nummer of equivalent; overheidsorganen gebruiken hun code in het Register van Overheidsorganisaties^[2]. Wijzigingen moeten binnen 14 dagen via MijnNCSC worden gemeld.^[4].

• Als je nog niet bent geregistreerd, doe het nu: de verplichting is al van kracht.
• Wijs een eigenaar aan voor het actueel houden van de registratie en voeg een registercontrole toe aan je wijzigingsproces voor nieuwe domeinen en IP-bereiken.

Stap 3: Identificeer je toezichthouder en je CSIRT

Toezicht in Nederland is sectoraal. Het NCSC-overzicht vermeldt onder meer de Rijksinspectie Digitale Infrastructuur (RDI) voor digitale infrastructuur, energie, overheid, digitale aanbieders, ICT-servicebeheer, ruimtevaart, postdiensten en productie; de Inspectie Leefomgeving en Transport (ILT) voor vervoer, drinkwater, afvalwater, afvalbeheer, chemicaliën en meteorologie; DNB voor bankwezen; AFM voor financiële marktinfrastructuur; NVWA voor voeding; en ANVS voor de nucleaire sector^[6]. Voor gezondheidszorg verwijst het ministerie van VWS naar toezicht door de Inspectie Gezondheidszorg en Jeugd (IGJ). De NCSC fungeert als CSIRT voor de meeste sectoren en is expliciet een contactpunt voor ondersteuning, niet voor toezicht. De NCTV is verantwoordelijk voor de wet en de nationale interpretatie ervan.

• Noteer je toezichthouder en CSIRT per entiteit.
• Lees de Cyberbeveiligingsregeling van je sector (ministeriële regeling), die incidentdrempels stelt en aanvullende vereisten kan toevoegen. Voor overheid elaboreert de Baseline Informatiebeveiliging Overheid (BIO2) de zorgplicht.

Stap 4: Voer een gapanalyse uit tegen de Cbb-maatregelen

De zorgplicht vereist passende en evenredige maatregelen, gebaseerd op een risicoanalyse, om risico's voor je netwerk- en informatiesystemen te beheersen. De Cbb vertaalt dit in een concreet minimum: artikel 5 verplicht entiteiten om minstens de maatregelen in de artikelen 6 tot en met 18 toe te passen^[3]. Deze betreffen een informatieveiligheidsbeleid met gedefinieerde rollen (art. 6), risicobeheer met methodologie en acceptatiecriteria (art. 7), incidentafhandeling en logging (art. 8), bedrijfscontinuïteit, back-ups en crisismanagement (art. 9), beveiliging van de toeleveringsketen (art. 10), veilige aankoop, ontwikkeling en wijzigingsbeheer (art. 11), cyberhygiëne en training (art. 12), cryptografie (art. 13), personeelsveiligheid (art. 14), toegangscontrole (art. 15), activabeheer (art. 16), omgang met kwetsbaarheids- en dreigingsinformatie (art. 17) en periodieke evaluatie van de maatregelen (art. 18).

De structuur volgt de bijlage bij Uitvoeringsverordening (EU) 2024/2690. Voor de digitale dienstverleners die onder die verordening vallen (zoals cloud-, datacentrum- en managed (security) serviceproviders), maakt Cbb artikel 4 artikelen 6 tot en met 18 niet van toepassing, omdat de EU-verordening rechtstreeks van toepassing is.

• Beoordeel elk Cbb-artikel (of vereiste uit 2024/2690) als volledig nagekomen, gedeeltelijk nagekomen of niet nagekomen, met bewijs, en voeg sectorale vereisten toe.
• Prioriteer hiaten op basis van risico, niet op volgorde van artikel.

De bijbehorende sjabloon bevat de volledige checklist, met één regel per Cbb-maatregel en de overeenkomstige NIS2- en 2024/2690-verwijzingen.

Stap 5: Bouw de risicoanalyse die de maatregelen stuurt

Cbb artikel 7 vereist een risicobeheerbeleid met een methodologie, acceptatiecriteria, een risicoanalyse en een risicoverzicht waaruit veiligheidsvereisten voortvloeien. In de praktijk: een levend, alomvattend risicoregister waarin elk risico is gekoppeld aan de maatregelen die het aanpakken, zodat evenredigheid kan worden verklaard.

Stap 6: Stel de incidentmeldingsprocedure in (meldplicht)

Significante incidenten moeten worden gemeld via het centrale meldpunt op MijnNCSC, dat het rapport doorstuurt naar zowel je CSIRT als je toezichthouder^[8]. Termijnen lopen vanaf het moment dat je van het incident op de hoogte bent.

Rapport	Deadline	Inhoud
Vroegtijdige waarschuwing	Binnen 24 uur	Of het incident waarschijnlijk door kwaadwillige actie is veroorzaakt en of het grensoverschrijdende gevolgen kan hebben; contactgegevens. De Cbb (art. 24) voegt items toe zoals waarschijnlijk starttijdstip, verwachte hersteltijd en mitigatiestappen.
Incidentmelding	Binnen 72 uur (24 uur voor vertrouwensdienstaanbieders)	Update van de vroegtijdige waarschuwing, eerste beoordeling van ernst en impact, indicatoren van compromittering waar beschikbaar.
Voortgangsrapport	Na één maand, als het incident nog steeds gaande is	Status op dat moment.
Eindrapport	Binnen één maand	Beschrijving, hoofdoorzaak, getroffen maatregelen, grensoverschrijdende impact.

De CSIRT of toezichthouder kan ook om tussentijdse updates vragen. Significantie hangt af van sectorale drempels in de ministeriële regelingen; DORA-entiteiten kunnen in plaats daarvan via de DORA-route rapporteren.

• Verwerk je sectorale drempels in de incidentprocedure en geef aan wie beslist over significantie en wie indient, met vervangingen.
• Voer een tafeltoefening uit door de volledige 24u/72u/één-maand-cyclus.

Stap 7: Zet het bestuur aan het roer, op papier en in de praktijk

Artikel 24 van de Cbw maakt het bestuursorgaan verantwoordelijk voor goedkeuring van de zorgplichtmaatregelen en toezicht op de implementatie ervan. Elk bestuurslid moet voldoende kennis en vaardigheden hebben om cyberrisico's en maatregelen te beoordelen, die kennis actueel houden en een trainingsattest kunnen tonen. Zittende bestuursleden moeten hieraan voldoen binnen twee jaar na inwerkingtreding, dus uiterlijk 15 augustus 2028, en nieuwe bestuursleden binnen twee jaar na benoeming^[9]. De Cbb (artikelen 20 tot en met 22) bepaalt de trainingsinhoud: risicoïdentificatie en de risicobeheermaatregelen van de wet. Het attest moet de naam van het bestuurslid, de datum of data, de onderwerpen en de aanbieder vermelden, in het Nederlands of Engels.^[3].

Persoonlijke handhaving tegen bestuursleden is mogelijk: een last onder dwangsom en een bestuurlijke boete van tot EUR 25.000 voor schending van de kennis-, update- of certificaatplichten, en, voor essentiële entiteiten die een opgelegde maatregel niet op tijd uitvoeren, een gerechtelijk bevel tot schorsing van een bestuurslid^[9].

• Laat het bestuur de maatregelen en het herstelplan formeel goedkeuren en leg dit vast in de notulen.
• Maak cybersecurity een terugkerend agendapunt en bewaar trainings­certificaten centraal.

Stap 8: Bereid je voor op toezicht

Essentiële entiteiten worden proactief (ex ante) gecontroleerd; belangrijke entiteiten worden reactief (ex post) gecontroleerd, doorgaans na een incident of signaal^[7]. Maximale administratieve boetes zijn EUR 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en EUR 7 miljoen of 1,4% voor belangrijke entiteiten, naar gelang welk bedrag hoger is. Toezichthouders kunnen ook bindende aanwijzingen geven en termijnen stellen om tekortkomingen te verhelpen.

• Bouw per Cbb-artikel een dossier op dat een buitenstaander kan volgen, met een logboek van proportionaliteitskeuzes.
• Plan de periodieke evaluatie die Cbb-artikel 18 vereist, minstens jaarlijks in.

In Secrato worden stappen 4 tot 8 toegewezen aan één controleset: een Cbb-maatregel die eenmaal wordt beoordeeld, dient ook als bewijs voor de gerelateerde NIS2-, ISO/IEC 27001- en CyFun-vereisten.

Hoe dit aansluit op andere frameworks

De Cbb-maatregelen volgen artikel 21 van NIS2 en bijlage 2024/2690, die sterk zijn gebaseerd op ISO/IEC 27001 bijlage A. Een werkend ISMS dekt de meeste artikelen 6 tot 18; controleer apart de training van het bestuur, de meldplicht-termijnen en de specifieke aspecten van de beveiliging van de toeleveringsketen. DORA-entiteiten volgen DORA voor beheer van ICT-risico's en incidentrapportage.

Veelgestelde vragen

Is er een overgangsperiode voor registratie of compliance?

Niet voor registratie: de NCTV stelt dat deze van toepassing is vanaf 15 augustus 2026. De enige expliciete overgang die we hebben gevonden, is het tweejarige venster voor training van het bestuur. Toezichthouders kunnen in de praktijk prioriteiten stellen, maar op het moment van schrijven is er geen algemene gepubliceerde overgangsperiode.

Moeten we aan zowel het CSIRT als de toezichthouder rapporteren?

Je dient eenmaal in via MijnNCSC, en het rapport gaat automatisch naar beide. Vrijwillige meldingen gaan alleen naar het CSIRT.

We zijn een cloud- of managed service provider. Welke maatregelen zijn van toepassing?

Uitvoeringsverordening (EU) 2024/2690 is rechtstreeks op je van toepassing, en Cbb-artikelen 6 tot 18 niet. De overige Cbw-verplichtingen, zoals registratie, rapportage en bestuurstaken, gelden nog steeds.

Welke tools helpen een middelgroot bedrijf om aan de Cbw te voldoen?

Begin met een gestructureerde gapanalyse: onze gratis Cbw-gereedheidschecklist dekt registratie, de zorgplicht, rapportage en bestuurstaken. Om het actueel te houden, koppelt een GRC-platform als Secrato elke maatregel aan controls, eigenaren en bewijs, en houdt incidentregisters klaar voor de 24-uurs-, 72-uurs- en maandrapportages.