Cbw en Wwke: antwoord op al je vragen

Algemene vragen

Wat verandert er op 15 augustus 2026?

Op 15 augustus 2026 zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking getreden. Deze Nederlandse wetten zijn gebaseerd op de Europese NIS2- en CER-richtlijn. Ze moeten ervoor zorgen dat organisaties beter voorbereid zijn op cyberaanvallen en andere verstoringen.

Waarom zijn deze nieuwe wetten er?

We zijn steeds afhankelijker van digitale systemen. Valt zo’n systeem uit door een cyberaanval, stroomuitval of andere verstoring? Dan kan dat grote gevolgen hebben. Daarom wil de overheid dat organisaties hun risico’s beter in beeld hebben, maatregelen nemen om die risico’s beter te beheersen en incidenten sneller melden.

Ook op Europees niveau is er meer aandacht voor digitale weerbaarheid. Europa wil minder afhankelijk zijn van digitale infrastructuur en leveranciers van buiten de EU. Daarnaast moeten belangrijke sectoren beter bestand zijn tegen dreigingen die steeds groter en complexer worden.

Het gaat dus niet alleen om wat je doet als het misgaat. Je moet ook vooraf maatregelen nemen om risico’s te verkleinen en je beveiliging te verbeteren.

Wat is het verschil tussen de Cbw en de Wwke?

De wetten vullen elkaar aan, maar hebben een ander aandachtsgebied. De Cbw richt zich specifiek op de beveiliging van netwerk- en informatiesystemen. Digitale weerbaarheid dus. De Wwke kijkt breder naar de weerbaarheid van organisaties die essentiële diensten leveren. Het gaat dan niet alleen om cyberdreigingen, maar ook om bijvoorbeeld uitval van leveranciers en natuurrampen.

Wat hebben de Cbw en de Wwke met elkaar te maken?

De Cbw en de Wwke zijn allebei bedoeld om organisaties weerbaarder te maken tegen dreigingen en verstoringen. Samen vormen ze het fundament van het nieuwe Nederlandse weerbaarheidsbeleid. Ook komen beide wetten voort uit Europese wetgeving.

Hoe weet ik of mijn organisatie onder de Cbw en/of de Wwke valt?

Voor de Cyberbeveiligingswet (Cbw) hangt dit vooral af van de sector waarin je organisatie actief is en de omvang van je organisatie. De Cbw geldt voor organisaties in 18 (zeer) kritieke sectoren:

1. Energie
2. Transport
3. Bankwezen
4. Infrastructuur voor de financiële markt
5. Gezondheidszorg
6. Drinkwater
7. Afvalwater
8. Digitale infrastructuur
9. Beheer van ICT-diensten (zoals bepaalde managed service providers)
10. Overheidsdiensten
11. Ruimtevaart
12. Post- en koeriersdiensten
13. Afvalstoffenbeheer
14. Levensmiddelen
15. Chemische stoffen
16. Onderzoek
17. Vervaardiging / productie
18. Digitale aanbieders

In de meeste gevallen gaat het om middelgrote en grote organisaties. Sommige organisaties vallen ongeacht hun omvang onder de wet, zoals bepaalde overheidsorganisaties en aanbieders van openbare elektronische communicatienetwerken en -diensten.

De snelste manier om te controleren of je onder de Cbw valt is via de NIS2 Zelfevaluatie van de RDI: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/.

Voor de Wet weerbaarheid kritieke entiteiten (Wwke) werkt dit anders. Je organisatie valt onder de Wwke als je door het verantwoordelijke ministerie wordt aangewezen als kritieke entiteit. Indien jouw organisatie is aangewezen als kritieke entiteit, dan wordt jouw organisatie hierover geïnformeerd door het ministerie dat verantwoordelijk is voor de sector waarin jouw organisatie actief is. Dit gebeurt zo snel mogelijk na de inwerkingtreding van Wwke.

Cyberbeveiligingswet (Cbw)

Wat is de Cyberbeveiligingswet (Cbw)?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitvoering van de Europese NIS2-richtlijn. De wet verplicht organisaties om hun digitale beveiliging goed op orde te hebben en passende maatregelen te nemen tegen cyberaanvallen en andere digitale risico’s.

Welke verplichtingen gelden vanaf 15 augustus 2026?

De belangrijkste verplichtingen zijn:

1. Registratieplicht: je moet je organisatie registreren bij de toezichthouder.
2. Zorgplicht: je moet passende maatregelen nemen om cyberrisico’s te verkleinen.
3. Meldplicht: je moet ernstige incidenten binnen de vastgestelde termijnen melden.
4. Bestuurlijke verantwoordelijkheid: bestuurders moeten voldoende kennis hebben van cyberrisico's en actief betrokken zijn bij cybersecurity.

Wat zijn de belangrijkste registratie- en incidentmeldingsverplichtingen en de bijbehorende deadlines?

Registratie:

Val je onder de Cbw? Dan moet je je vanaf 15 augustus 2026 registreren bij het NCSC via mijn.ncsc.nl.

Verandert er iets in je registratiegegevens? Dan moet je dit binnen de daarvoor geldende termijn doorgeven. Niet registreren, te laat registreren of onjuiste informatie doorgeven kan leiden tot een boete of een last onder dwangsom.

Incidentmelding:

Bij een ernstig incident geldt een meldplicht in drie stappen:

1. Binnen 24 uur: een vroege waarschuwing. Meld wat er is gebeurd, wanneer je het incident hebt ontdekt en wat je eerste inschatting van de impact is. Een volledige analyse is op dat moment nog niet nodig.‍
2. Binnen 72 uur: een volledige melding. Geef meer informatie over de aard van het incident, de eerste inschatting van de impact en de maatregelen die je al hebt genomen.‍
3. Binnen 1 maand: een eindrapportage. Geef een volledige analyse van de oorzaak, beschrijf de genomen maatregelen en deel de belangrijkste lessen.

Let op: de klok begint te lopen zodra je organisatie zich bewust wordt van het incident. Je hoeft dus niet eerst de oorzaak van het incident te kennen.

Wat betekent de zorgplicht voor jouw organisatie?

De zorgplicht betekent dat je passende maatregelen moet nemen om je organisatie te beschermen tegen cyberrisico’s. Je moet ook kunnen aantonen dat je deze maatregelen hebt genomen.

De Europese regels noemen tien onderwerpen waar je in ieder geval aandacht aan moet besteden:

• Risico's en beveiligingsbeleid: breng je cyberrisico’s in kaart en leg vast hoe je deze aanpakt.
• Incidenten: zorg dat je cyberincidenten snel kunt ontdekken, aanpakken en melden.
• Bedrijfscontinuiteit: zorg dat je organisatie kan doorgaan bij een incident, bijvoorbeeld met goede back-ups en een plan voor crisissituaties.
• Toeleveranciers: zorg dat ook de cybersecurity van belangrijke leveranciers op orde is.
• Beveiliging van systemen: richt systemen veilig in, onderhoud ze goed en pak kwetsbaarheden aan.
• Controle van maatregelen: controleer regelmatig of je beveiligingsmaatregelen nog goed werken.
• Bewustwording: zorg dat medewerkers weten hoe ze veilig moeten omgaan met systemen en informatie.
• Versleuteling: gebruik passende versleuteling om gegevens en communicatie te beschermen.
• Toegang en beheer: bepaal wie toegang heeft tot systemen en gegevens en beheer deze toegang goed.
• Multifactorauthenticatie en veilige communicatie: gebruik bijvoorbeeld MFA en beveiligde communicatiemiddelen waar dat nodig is.

Er is geen vaste checklist die voor iedere organisatie hetzelfde is. Welke maatregelen nodig zijn, hangt af van de risico’s, de sector en de omvang van je organisatie.

Wat betekenen de incidentmeldingsverplichtingen voor jouw organisatie?

De meldplicht betekent dat je organisatie al vóór een incident goed voorbereid moet zijn. Je moet een incident snel kunnen herkennen, beoordelen en melden. Daarom is het belangrijk om vooraf duidelijk te hebben:

• wie verantwoordelijk is voor het melden van een incident;
• bij welke toezichthouder je moet melden. Dit kan de RDI zijn, maar ook een toezichthouder die specifiek verantwoordelijk is voor jouw sector;
• welke informatie je nodig hebt om een melding te kunnen doen.

Omdat de eerste melding al binnen 24 uur moet worden gedaan, is er weinig tijd om dit tijdens een incident nog uit te zoeken. Praktisch betekent dit: zorg voor duidelijke afspraken, een goed incidentproces en de juiste contactgegevens voordat er iets misgaat. Zo voorkom je dat je een belangrijke deadline mist.

Is een pentest verplicht?

Nee. De wet schrijft geen pentest voor. Wel moet je kunnen aantonen dat je beveiligingsmaatregelen effectief zijn. Een pentest is daarvoor vaak een belangrijk hulpmiddel.

Is een Cloud Configuration Review verplicht?

Niet letterlijk. Maar als je organisatie cloudomgevingen gebruikt, moet je wel aantoonbaar zorgen voor een veilige inrichting. Een Cloud Configuration Review helpt om verkeerde configuraties op te sporen voordat aanvallers daar misbruik van kunnen maken.

Heb ik een Security Officer nodig?

De Cbw verplicht je niet om een Security Officer in dienst te hebben. Wel moet je organisatie informatiebeveiliging goed en structureel regelen. Dat betekent dat iemand binnen de organisatie verantwoordelijk moet zijn voor informatiebeveiliging en dat er duidelijke afspraken en processen zijn.

Een externe Security Officer kan hierbij een praktische oplossing zijn. Zo kun je de benodigde securitykennis flexibel in huis halen en waar nodig aanvullende maatregelen inzetten, zoals social engineering, om de weerbaarheid van medewerkers te testen.

Wwke & vitale infrastructuur

Wat is de Wet weerbaarheid kritieke entiteiten (Wwke)?

De Wwke is de Nederlandse uitvoering van de Europese CER-richtlijn. De wet richt zich op organisaties die essentiële diensten leveren voor Nederland en dus belangrijk zijn voor de samenleving. Denk aan organisaties in sectoren zoals energie, transport en gezondheidszorg.

Wat is vitale infrastructuur?

Vitale infrastructuur bestaat uit diensten en voorzieningen die we dagelijks nodig hebben, zoals drinkwater, energie, telecom, betalingsverkeer, gezondheidszorg en digitale infrastructuur. Als deze diensten uitvallen, kan dat grote gevolgen hebben voor de samenleving. Daarom is het belangrijk dat deze voorzieningen goed beschermd zijn en ook tijdens een verstoring zo goed mogelijk blijven werken.

Is vitale infrastructuur hetzelfde als de Wwke?

Nee. Vitale infrastructuur is een algemene term voor diensten en voorzieningen die belangrijk zijn voor de samenleving. De Wwke is een Nederlandse wet die eisen stelt aan een deel van deze organisaties. Deze organisaties worden kritieke entiteiten genoemd.

Kort gezegd: niet alle vitale infrastructuur valt automatisch onder de Wwke.

Wat is een kritieke entiteit?

Een kritieke entiteit is een organisatie die een belangrijke dienst levert aan de samenleving. Als deze dienst uitvalt, kan dat grote gevolgen hebben voor de samenleving of de economie. De overheid bepaalt welke organisaties als kritieke entiteit worden aangewezen en informeren deze organisaties hierover.

Wat moet een kritieke entiteit doen?

Organisaties die onder de kritieke entiteit vallen moeten onder andere:

• Risico’s in kaart brengen: bepalen welke dreigingen de organisatie en haar dienstverlening kunnen raken.
• Maatregelen nemen: risico’s verkleinen en de organisatie beter beschermen.
• Een weerbaarheidsplan opstellen: vastleggen hoe de organisatie zich voorbereidt op verstoringen en hoe zij daarop reageert.
• Incidenten melden: ernstige incidenten melden bij de bevoegde instantie.
• Zich voorbereiden op verstoringen: plannen maken voor verschillende situaties, zodat de dienstverlening zo veel mogelijk kan doorgaan.

Gaat de Wwke alleen over cybersecurity?

Nee. De Wwke gaat over de brede weerbaarheid van organisaties. Het gaat dus niet alleen om cyberaanvallen, maar ook om andere dreigingen en verstoringen.

Denk bijvoorbeeld aan:

• sabotage;
• problemen met leveranciers;
• natuurrampen;
• stroomuitval;
• fysieke schade of andere fysieke dreigingen.

Het doel is dat kritieke organisaties hun dienstverlening ook tijdens een ernstige verstoring zo veel mogelijk kunnen blijven leveren.

Kan mijn organisatie onder beide wetten vallen?

Ja. Het is goed mogelijk dat je organisatie onder zowel de Cbw als de Wwke valt. Veel kritieke entiteiten moeten aan beide wetten voldoen.

De wetten vullen elkaar aan. De Cbw richt zich vooral op cybersecurity en digitale risico’s. De Wwke kijkt breder naar de weerbaarheid van je organisatie, bijvoorbeeld tegen fysieke dreigingen, stroomuitval of problemen bij leveranciers.

Is er meer dan alleen de Cbw en de Wwke?

Voor een deel van de organisaties stopt het niet bij deze twee wetten. Sommige sectoren hebben aanvullende, sectorspecifieke wetgeving die naast de Cbw en de Wwke geldt. Een paar voorbeelden:

• Drinkwaterwet: stelt eigen kwaliteits- en beveiligingseisen aan drinkwaterbedrijven, naast de algemene verplichtingen uit de Cbw en de Wwke.
• Wet veiligheidstoets investeringen, fusies en overnames (Wet Vifo): verplicht een investeringstoets bij fusies en overnames van vitale aanbieders en bedrijven met gevoelige technologie. Deze wet is sinds 2023 van kracht en wordt per 1 januari 2027 verder uitgebreid met zes extra technologieën.
• DORA (Digital Operational Resilience Act): geldt specifiek voor de financiële sector (banken, verzekeraars, beleggingsondernemingen) en regelt daar de digitale weerbaarheid in plaats van de Cbw.

Welke aanvullende wetgeving voor jouw organisatie relevant is, hangt sterk af van je sector. www.ondernemersplein.nl biedt een overzicht per sector van welke wetgeving van toepassing is.

Bestuur & management

Wat betekent de Cbw en Wwke voor bestuurders?

De Cbw en Wwke geven bestuurders een grotere verantwoordelijkheid voor de digitale veiligheid en weerbaarheid van hun organisatie. Bestuurders moeten onder andere:

• de belangrijkste cyber- en andere risico’s begrijpen;
• beslissingen nemen over passende beveiligingsmaatregelen;
• erop toezien dat deze maatregelen worden uitgevoerd;
• zorgen dat zij zelf voldoende kennis hebben en trainingen volgen.

Bestuurders kunnen daarnaast persoonlijk verantwoordelijk worden gehouden als zij hun verantwoordelijkheden op het gebied van cybersecurity en weerbaarheid niet serieus nemen.

Bekijk onze traning voor bestuurders: ben jij klaar voor de Cyberbeveiligingswet (NIS2)?

Waar begin ik?

Begin niet met de wet, maar met je eigen organisatie. Breng het volgende in kaart:

• Welke regels gelden? Bepaal welke wet- en regelgeving op jouw organisatie van toepassing is.

• Welke risico’s loop ik? Breng de belangrijkste cyberrisico’s en andere dreigingen in kaart.

• Wat heb ik al geregeld? Kijk welke beveiligingsmaatregelen en processen al aanwezig zijn.

• Waar zitten de grootste verbeterpunten? Bepaal waar je organisatie het meest kwetsbaar is en wat als eerste aandacht nodig heeft.

Van daaruit kun je gericht aan de slag met compliance én een betere beveiliging. Zo maak je de wetgeving praktisch en werk je stap voor stap aan een weerbare organisatie.

Welke vervolgstappen moet ik nemen?

Met dit praktische stappenplan kun je direct aan de slag:

1. Bepaal welke regels voor jou gelden. Val je onder de Cbw, de Wwke, beide of aanvullende sectorale wetgeving, zoals DORA of de Wet Vifo?
2. Registreer je organisatie. Valt je organisatie onder de Cbw? Registreer je dan bij het NCSC via mijn.ncsc.nl.
3. Breng je huidige situatie in kaart. Voer een risicoanalyse of nulmeting uit. Zo zie je waar je nu staat en waar nog werk nodig is.
4. Pak de belangrijkste risico’s aan. Leg vast welke maatregelen je neemt en zorg dat ook risico’s bij leveranciers en de afhandeling van incidenten zijn geregeld.
5. Richt je meldproces in. Zorg dat je weet wat je moet doen en wie verantwoordelijk is, zodat je de bovengenoemde deadlines haalt.
6. Betrek het bestuur. Zorg dat bestuurders de belangrijkste risico’s kennen en betrokken zijn bij beslissingen over cybersecurity en weerbaarheid.
7. Blijf verbeteren. Weerbaarheid is geen eenmalig project. Blijf risico’s, maatregelen en processen regelmatig controleren en verbeteren. Een Security Officer kan je hierbij helpen.

Staat jouw vraag er niet tussen? Of twijfel je waar je moet beginnen? Neem contact met ons op! We helpen je graag met een onafhankelijke risicoanalyse of nulmeting.