Bibliotheek
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking en legt alle essentiële en belangrijke entiteiten dezelfde kernverplichtingen op. Wie jou beoordeelt, hoe streng dat gebeurt en wanneer een incident meldplichtig is, verschilt wel per sector.
Dit artikel gaat over die verschillen. Zoek je eerst de basis, lees dan Cyberbeveiligingswet: 15 augustus 2026, met de reikwijdte, de drie kernverplichtingen en de formele documentatie per ministerie.
Nederland heeft geen centrale cybertoezichthouder aangewezen. Tien toezichthouders houden toezicht op dezelfde wet, elk binnen de eigen sector. Ze werken samen in het Samenwerkend Toezicht Digitale Weerbaarheid, maar blijven zelfstandige inspecties met eigen werkwijzen en een eigen toezichtcultuur.
Welke toezichthouder bij jou hoort, hangt af van je subsector. Dat geldt ook voor je CSIRT, en dat is niet altijd het NCSC.
| Sector of subsector | Toezichthouder | CSIRT |
|---|---|---|
| Energie | RDI | NCSC |
| Digitale infrastructuur | RDI | NCSC |
| Beheer van ICT-diensten | RDI | NCSC |
| Vervoer | ILT | NCSC |
| Drinkwater uit leidingen | ILT | NCSC |
| Verpakt drinkwater | NVWA | NCSC |
| Levensmiddelen | NVWA | NCSC |
| Gezondheidszorg | IGJ | Z-CERT |
| Bankwezen | DNB | NCSC |
| Infrastructuur financiële markt | AFM | NCSC |
| Gemeenten | RDI | IBD |
| Waterschappen | ILT | CERT-WM |
Het CSIRT en de toezichthouder zijn verschillende partijen met verschillende rollen. Het CSIRT ondersteunt bij incidenten, de toezichthouder beoordeelt je naleving. Melden gaat via één centraal meldloket dat beide bedient.
Ben je essentiële entiteit, dan krijg je proactief toezicht. Er hoeft geen incident te zijn voordat een inspecteur langskomt, een vragenlijst stuurt of documentatie opvraagt. Bij belangrijke entiteiten kijkt de toezichthouder in beginsel achteraf, na een incident of bij signalen dat je de wet niet naleeft.
Het handhavingsinstrumentarium omvat beveiligingsscans en audits, bindende aanwijzingen, lasten onder dwangsom, openbaarmaking van een overtreding en bestuurlijke boetes. Die boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
Bij essentiële entiteiten kan een toezichthouder daarnaast vragen om tijdelijke schorsing van een certificering, een vergunning of zelfs een bestuurslid. Dat instrument bestaat niet voor belangrijke entiteiten.
De Cbw is niet simpelweg één document. De wet vormt het kader, het Cyberbeveiligingsbesluit werkt de verplichtingen uit voor alle sectoren, en daaronder zitten ministeriële regelingen per sector.
Het Cyberbeveiligingsbesluit geeft de betrokken minister de bevoegdheid om per subsector eigen criteria vast te stellen. Daardoor verschilt de feitelijke meldgrens per sector, terwijl de wettelijke norm voor iedereen gelijk blijft. Wie alleen de wet leest, mist dus precies het getal dat tijdens een incident telt.
De wet geeft daarvoor een open norm. Een incident is significant bij ernstige operationele verstoring, financiële verliezen, of aanzienlijke schade bij anderen. Daar kun je tijdens een incident weinig mee.
De ministeriële regelingen maken dat concreet. In de Regeling cyberbeveiliging EZK van 21 juli 2026 is een incident bij een telecomaanbieder in ieder geval significant als een onderbreking minimaal 50.000 gebruikers vier uur of langer treft. Bij een internetknooppunt ligt de grens op uitval van 25 procent van het actuele verkeer gedurende ten minste 30 minuten.
Deze grenzen of drempels geven richting maar zijn zeker geen harde ondergrens. Blijf je binnen deze grenzen dan moet je alsnog aan de open norm van de wet toetsen. En de meldplicht geldt niet alleen bij aanvallen. Ook een verkeerd uitgevoerde systeemupdate of het onbedoeld openbaar maken van vertrouwelijke gegevens kan meldplichtig zijn.
Let daarnaast op welk normenkader voor je geldt. Aanbieders van cloudcomputing, datacentra, DNS, CDN, vertrouwensdiensten en beheerde beveiligingsdiensten vallen rechtstreeks onder Uitvoeringsverordening (EU) 2024/2690. Zij zitten in dezelfde sector en hebben dezelfde toezichthouder, maar volgen andere regels.
Een organisatie die produceert, een eigen datacentrum exploiteert en beheerde ICT-diensten levert, kan met meerdere toezichthouders, meerdere ministeriële regelingen en meerdere meldgrenzen tegelijk te maken krijgen. De toezichthouders voeren ecosysteemanalyses uit om die afhankelijkheden in kaart te brengen, en bij overlap kan één van hen optreden als coördinerende toezichthouder.
Die coördinatie is een bestuurlijke afspraak tussen inspecties en geen wettelijke ontheffing. De verplichtingen blijven per entiteit gelden, en ook het onderscheid tussen essentiële en belangrijke entiteit werkt per onderdeel door. Bepaal je positie daarom per rechtspersoon, niet op organisatieniveau.
Dan raakt de wet je indirect, ook als je er zelf buiten valt. Organisaties onder de Cbw moeten hun toeleveringsketen meenemen in hun risicobeheersing en kunnen dus eisen aan je stellen. Dat geldt vooral als je diensten of componenten levert die deel uitmaken van hun netwerk- en informatiesystemen, of als je toegang tot die systemen hebt.
Een certificering zoals ISO 27001 maakt zo'n gesprek makkelijker, maar dekt niet automatisch het risico af dat je klant heeft geïnventariseerd. Een toezichthouder houdt geen toezicht op toeleveranciers en kan je dus geen boete opleggen. Je klant kan wel eisen opleggen in het contract, of de opdracht bij iemand anders neerleggen.
Leg per rechtspersoon vast welke toezichthouder, welk CSIRT, welk vakdepartement en welke ministeriële regeling van toepassing zijn. Zonder dat overzicht weet je tijdens een incident niet waar je moet melden en aan welke drempel je toetst.
Vertaal vervolgens de drempelwaarden uit jouw regeling naar je incidentproces, zodat niemand hoeft te discussiëren over de vraag of de klok al loopt. Beleg daarna één informatiepositie richting alle betrokken toezichthouders, met dezelfde risicoanalyse en dezelfde bewijsvoering, zodat verschillende inspecties niet op verschillende documentatie stuiten.
De toezichthouders beginnen op 15 augustus 2026 zonder ervaring met deze wet. Hun toezichtkaders, interventiebeleid en de rol van de coördinerende toezichthouder moeten zich nog bewijzen. De verplichtingen gelden intussen wel vanaf dag één.
De Cyberbeveiligingswet vraagt om aantoonbare beheersing van risico's, niet alleen om beleidsdocumenten. DeepBlue Security & Intelligence ondersteunt organisaties bij het bepalen van hun positie, het toetsen van maatregelen en het inrichten van detectie en respons. Welke diensten passen, hangt af van je sector, je omvang en de maatregelen die je al hebt getroffen.
Een pentest, assessment of compliance-traject toont naleving niet aan en garandeert geen veiligheid. Het levert onafhankelijk technisch bewijs over de vraag of maatregelen werken, waarmee je het bestuur en de toezichthouder onderbouwd kunt informeren.
Laatst inhoudelijk gecontroleerd: 6 augustus 2026.
Bespreek een securityvraagstuk, actueel risico of complexe IT- of OT-omgeving met een van onze senior specialisten. Het eerste gesprek richt zich op de technische context, operationele randvoorwaarden en de meest passende vervolgstappen.
Geen mailinglijsten of geautomatiseerde salesopvolgingInformatie wordt vertrouwelijk behandeldKan het niet wachten?
Bel ons op +31 (0) 70 290 6 290
of stuur een email naar info@deepbluesecurity.nl
