Let op! Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus actief

De Eerste Kamer heeft ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Beide wetten treden op 15 augustus 2026 in werking en brengen nieuwe verplichtingen met zich mee voor ruim 8.000 Nederlandse organisaties op het gebied van digitale en fysieke weerbaarheid.

Cyberbeveiligingswet: implementatie van NIS2
Met de Cyberbeveiligingswet wordt de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving. De huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) komt hiermee te vervallen.

De wet is van toepassing op organisaties in achttien sectoren, waaronder energie, drinkwater, gezondheidszorg, digitale infrastructuur, overheid en vervoer. Organisaties die onder de Cyberbeveiligingswet vallen, krijgen onder meer te maken met:

• een registratieplicht bij het Nationaal Cyber Security Centrum (NCSC);

• een zorgplicht voor het beheersen van cyberrisico's binnen netwerk- en informatiesystemen;

• een meldplicht voor significante cyberincidenten.

Registratie via mijn.ncsc.nl is vanaf 15 augustus verplicht. Het NCSC adviseert organisaties om de benodigde gegevens en voorbereidingen tijdig op orde te brengen.

Ook Wet weerbaarheid kritieke entiteiten van kracht
Naast de Cyberbeveiligingswet treedt ook de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Deze wet implementeert de Europese CER-richtlijn en richt zich op de bescherming van vitale organisaties tegen fysieke en operationele dreigingen, zoals sabotage, terrorisme, extreem weer en pandemieën.

Organisaties kunnen zichzelf niet aanmelden voor deze wet. De verantwoordelijke vakminister bepaalt op basis van wettelijke criteria welke organisaties als kritieke entiteit worden aangewezen. De eerste aanwijzingen vinden plaats vanaf 15 augustus 2026.

Wat betekent dit voor MSP's en MSSP's?
Voor managed service providers (MSP's) en managed security service providers (MSSP's) heeft de Cyberbeveiligingswet een directe én indirecte impact.

Sommige dienstverleners vallen zelf onder de wet, bijvoorbeeld wanneer zij digitale diensten aanbieden of IT-omgevingen beheren voor organisaties die onder de Cyberbeveiligingswet vallen.

Daarnaast krijgen leveranciers een belangrijke rol binnen de ketenzorgplicht. Organisaties die onder de wet vallen, moeten namelijk ook de cyberweerbaarheid van hun leveranciers beoordelen. Daardoor zullen IT-partners steeds vaker vragen krijgen over hun beveiligingsmaatregelen, risicobeheer, incidentrespons en de contractuele afspraken rondom informatiebeveiliging.

Voor MSP's en MSSP's wordt aantoonbare cyberweerbaarheid daarmee niet alleen een wettelijke verplichting voor sommigen, maar ook een belangrijke voorwaarde om klanten in vitale sectoren te kunnen blijven ondersteunen.