17 augustus 2026

De Cyberbeveiligingswet is ingegaan. Waarom bestuurders nú aan zet zijn.

Afgelopen weekend, op 15 augustus 2026, zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) officieel in werking getreden. Daarmee is cyberveiligheid niet langer uitsluitend een verantwoordelijkheid van IT-afdelingen, securityspecialisten of compliance officers. De wet legt de verantwoordelijkheid nadrukkelijk bij het bestuur.

Voor veel organisaties voelt deze nieuwe wetgeving als een extra set regels waaraan voldaan moet worden. Maar bestuurders die de ontwikkelingen alleen vanuit compliance bekijken, missen mogelijk het belangrijkste punt. Deze wetgeving gaat in essentie niet over regelgeving. Ze gaat over de continuïteit van uw organisatie.

Cyberrisico is een bedrijfsrisico

Vrijwel elke organisatie is afhankelijk van digitale systemen. Klanten worden online bediend, medewerkers werken vanuit cloudomgevingen, productieprocessen worden digitaal aangestuurd en leveranciers zijn direct gekoppeld aan bedrijfsprocessen.

In de digitale wereld moeten we ons bewust zijn van de schade die ontstaat, als IT (even) niet beschikbaar is. Een ransomware-aanval, een verstoring bij een leverancier, een datalek of sabotage van kritieke systemen kan bedrijfsprocessen stilleggen, reputaties beschadigen en klanten direct raken. De nieuwe wetgeving erkent wat veel bestuurders al langer weten: cyberrisico's zijn geen technische risico's. Het zijn ondernemingsrisico's.

Van IT-verantwoordelijkheid naar bestuursverantwoordelijkheid

De grootste verandering die de Cyberbeveiligingswet met zich meebrengt is misschien niet de meldplicht, registratieplicht of het toezicht. De echte verandering zit in de bestuurskamer.

De wet bepaalt dat bestuurders verantwoordelijk zijn voor het goedkeuren van beveiligingsmaatregelen, het toezicht op de uitvoering en het beoordelen van cyberrisico's. Bestuurders worden bovendien verplicht om voldoende kennis op te bouwen om deze verantwoordelijkheid daadwerkelijk te kunnen invullen. Daarom introduceert de wet een specifieke trainingsplicht voor bestuurders.

Dat betekent dat cyberveiligheid niet langer kan worden gedelegeerd aan de IT-manager of CISO met de boodschap: "regel het maar". Natuurlijk blijft specialistische expertise noodzakelijk, maar de eindverantwoordelijkheid ligt voortaan aantoonbaar aan de top van de organisatie.

De belangrijkste vraag: vallen wij eigenlijk onder de wet?

Naar schatting krijgen ruim 8.000 Nederlandse organisaties direct met de nieuwe wetgeving te maken. Dat betreft niet alleen vitale infrastructuur zoals energie, drinkwater en telecom, maar ook sectoren als gezondheidszorg, digitale dienstverlening, cloudproviders, managed service providers, logistiek, overheid en maakindustrie.

Daarnaast kan een organisatie indirect worden geraakt doordat klanten of ketenpartners hogere eisen gaan stellen aan beveiliging en aantoonbare weerbaarheid. Veel bestuurders stellen daarom op dit moment dezelfde vraag: Valt mijn organisatie onder de wet?

Die vraag verdient prioriteit. Organisaties zijn namelijk zelf verantwoordelijk om vast te stellen of zij binnen het toepassingsgebied vallen. Registratie, risicoanalyses en andere verplichtingen beginnen niet nadat een toezichthouder zich meldt, maar vanaf het moment dat de organisatie onder de wet valt. Wilt u weten of uw organisatie onder deze wet valt? Doe de test via de Digitale Overheid.

De echte uitdaging is niet compliance, maar aantoonbaarheid

Waar veel eerdere normen ruimte lieten voor interpretatie, legt de Cyberbeveiligingswet een duidelijke nadruk op aantoonbaarheid. Het is straks niet voldoende om te zeggen dat cybersecurity belangrijk wordt gevonden. Organisaties moeten kunnen onderbouwen welke risico's zijn geïdentificeerd, welke maatregelen zijn genomen, hoe incidenten worden afgehandeld en hoe het bestuur toezicht houdt op deze processen.

Dat vraagt om een andere manier van sturen. Bestuurders moeten inzicht krijgen in vragen zoals:

  • Welke systemen zijn cruciaal voor onze dienstverlening?
  • Welke cyberrisico's vormen het grootste bedrijfsrisico?
  • Hoe afhankelijk zijn wij van leveranciers en ketenpartners?
  • Kunnen wij onze dienstverlening voortzetten na een ernstig cyberincident?
  • Weten wij hoeveel tijd herstel daadwerkelijk kost?
  • Hoe meten we of onze beveiligingsmaatregelen effectief zijn?

Dit zijn geen technische vragen. Het zijn strategische vragen over continuïteit, risico en governance.

De keten wordt onderdeel van uw verantwoordelijkheid

Een ander belangrijk aspect van de nieuwe wetgeving is de aandacht voor leveranciers en ketenpartners. Cybercriminelen vallen steeds vaker niet rechtstreeks hun doelwit aan, maar zoeken de zwakste schakel in de keten. Een hostingpartij, softwareleverancier of dienstverlener kan daardoor uitgroeien tot een direct bedrijfsrisico. Voor bestuurders betekent dit dat cyberweerbaarheid verder gaat dan de muren van de eigen organisatie. Risicobeheersing moet zich ook uitstrekken naar kritieke leveranciers, uitbestede diensten en digitale afhankelijkheden. De vraag "Hoe veilig zijn wij?" verandert daarmee in: "Hoe veilig is ons ecosysteem?"

Wat zou elke bestuurder deze maand moeten doen?

Voor organisaties die mogelijk onder de Cyberbeveiligingswet of Wwke vallen, zijn er vijf acties die direct aandacht verdienen:

  1. Bepaal of uw organisatie onder de wetgeving valt.
  2. Laat een actuele risicoanalyse uitvoeren.
  3. Breng afhankelijkheden van leveranciers en kritieke processen in kaart.
  4. Controleer of incidentrespons- en herstelplannen aantoonbaar werken.
  5. Richt structurele rapportages voor bestuur en toezicht in.

Minstens zo belangrijk: zorg dat cybersecurity een vast onderdeel wordt van de bestuursagenda. Cyberveiligheid hoort niet thuis op de agenda nadat een incident heeft plaatsgevonden. Het hoort onderdeel te zijn van de reguliere bedrijfsvoering.

Goed bestuur begint bij digitale weerbaarheid

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten markeren een kantelpunt. Niet omdat er nieuwe regels zijn gekomen, maar omdat de wetgever expliciet vastlegt wat in de praktijk al langer zichtbaar was: de continuïteit van organisaties is onlosmakelijk verbonden met hun digitale weerbaarheid.

Voor bestuurders ligt er daarom een duidelijke opdracht. Niet om cyberexpert te worden, maar om de juiste vragen te stellen, de juiste governance in te richten en ervoor te zorgen dat cyberrisico's dezelfde aandacht krijgen als financiële, operationele en juridische risico's.

Hulp nodig?

Bij Claranet helpen wij organisaties om hun digitale weerbaarheid naar een hoger niveau te brengen. Of het nu gaat om een impactanalyse, een NIS2/Cbw-gap assessment, ondersteuning bij governance en rapportage, security monitoring en security awareness programma's of het versterken van uw technische maatregelen: onze specialisten helpen u om compliance te vertalen naar daadwerkelijke weerbaarheid.

Bronnen

Zin in een goed gesprek? Wij ook!