Vanaf 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Daarmee krijgen ruim 8.000 organisaties te maken met nieuwe eisen op het gebied van cyberweerbaarheid, risicobeheersing en incidentmelding. Wat betekent dit voor bestuurders en toezichthouders, en hoe toont uw organisatie aan dat cyberrisico’s daadwerkelijk worden beheerst?

Voor organisaties die onder de wet vallen, betekent dit onder meer dat zij cyberrisico’s structureel moeten beheersen, significante incidenten moeten melden en zich moeten registreren. Ook de verantwoordelijkheid van het bestuur wordt nadrukkelijk vastgelegd.

Cyberweerbaarheid is daarmee niet uitsluitend een onderwerp voor de IT-afdeling. Het is een vraagstuk van governance, risicomanagement en bedrijfscontinuïteit.

Van technisch onderwerp naar bestuurlijke verantwoordelijkheid

Cyberincidenten kunnen directe gevolgen hebben voor de continuïteit van dienstverlening, financiële resultaten, reputatie en het vertrouwen van klanten en ketenpartners. De keuzes die nodig zijn om deze risico’s te beheersen, raken daarom de gehele organisatie.

Denk aan investeringen in beveiliging, de acceptatie van restrisico’s, afspraken met leveranciers en de voorbereiding op mogelijke verstoringen. Dit zijn geen zuiver technische beslissingen. Ze vragen om afwegingen over strategie, middelen, verantwoordelijkheden en risicobereidheid. De Cyberbeveiligingswet onderstreept dit. Het bestuur moet de maatregelen voor het beheersen van cyberrisico’s goedkeuren en toezicht houden op de uitvoering. Bestuurders moeten bovendien over voldoende kennis beschikken om risico’s en maatregelen te kunnen beoordelen. Hiervoor geldt een passende trainingsverplichting.

Dat betekent niet dat iedere bestuurder een cybersecurityspecialist moet worden. Het bestuur moet echter wel de juiste vragen kunnen stellen, risico’s kunnen wegen en kunnen beoordelen of de organisatie passende maatregelen heeft genomen.

Aantoonbare risicobeheersing staat centraal

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met een wettelijke zorgplicht. Deze bestaat uit maatregelen op onder meer het gebied van risicoanalyse, incidentenbehandeling, bedrijfscontinuïteit, crisisbeheersing, toegangsbeveiliging en beveiliging van de toeleveringsketen.

De uitdaging zit niet alleen in het nemen van maatregelen. Een organisatie moet ook kunnen aantonen:

• welke cyberrisico’s zijn geïdentificeerd;
• hoe deze risico’s zijn beoordeeld;
• welke maatregelen zijn gekozen;
• wie verantwoordelijk is voor de uitvoering;
• hoe de werking van de maatregelen wordt gevolgd;
• welke restrisico’s door het management of bestuur zijn geaccepteerd.

Een beleidsdocument of een eenmalige risicoanalyse is daarvoor onvoldoende. Aantoonbare beheersing vraagt om een samenhangend proces van risicoanalyse, besluitvorming, uitvoering, monitoring en periodieke evaluatie.

Essentiële en belangrijke entiteiten

De Cyberbeveiligingswet maakt onderscheid tussen essentiële en belangrijke entiteiten. De kwalificatie hangt onder meer af van de sector waarin een organisatie actief is, de activiteiten die zij uitvoert en haar omvang. Voor beide categorieën gelden verplichtingen op het gebied van registratie, zorgplicht en het melden van significante incidenten. Het belangrijkste verschil zit in de wijze waarop toezicht wordt gehouden.

Bij essentiële entiteiten kan de toezichthouder proactief controleren of de organisatie aan de verplichtingen voldoet. Bij belangrijke entiteiten vindt toezicht in beginsel achteraf plaats, bijvoorbeeld wanneer er aanwijzingen zijn dat een organisatie niet aan de wet voldoet.

Reactief toezicht betekent echter niet dat een belangrijke entiteit kan wachten totdat een toezichthouder zich meldt. Ook deze organisaties moeten vanaf de inwerkingtreding aan hun wettelijke verplichtingen voldoen en de beheersing kunnen onderbouwen.

Korte meldtermijnen vereisen voorbereiding

Een significant incident moet zo snel mogelijk worden gemeld bij het betreffende sectorale CSIRT en de bevoegde toezichthouder. De eerste vroegtijdige waarschuwing moet uiterlijk binnen 24 uur na waarneming van het incident worden gedaan. Daarna volgen aanvullende meldmomenten.

De eerste 24 uur van een incident zijn vaak onoverzichtelijk. De oorzaak en omvang zijn mogelijk nog niet volledig bekend, terwijl de organisatie tegelijkertijd de dienstverlening probeert te herstellen.

Daarom is het belangrijk dat vooraf duidelijk is:

• wat binnen de organisatie als mogelijk significant incident wordt herkend;
• wie een incident intern moet escaleren;
• wie beoordeelt of een wettelijke melding nodig is;
• wie bevoegd is om de melding te doen;
• hoe bestuur, directie, communicatie en juridische adviseurs worden betrokken.

Een incidentresponsplan dat niet periodiek wordt getest, biedt beperkt houvast. Oefeningen en crisissimulaties maken zichtbaar of verantwoordelijkheden en besluitvormingslijnen in de praktijk daadwerkelijk werken.

Uitbesteding neemt de verantwoordelijkheid niet weg

Veel organisaties zijn voor hun digitale dienstverlening sterk afhankelijk van IT-leveranciers, cloudproviders en andere ketenpartners. De Cyberbeveiligingswet vraagt daarom expliciet aandacht voor risico’s in de toeleveringsketen.

Uitbesteding kan de organisatie toegang geven tot specialistische kennis en professionele beveiligingsmaatregelen. Zij neemt echter niet de verantwoordelijkheid weg om de bijbehorende risico’s te beoordelen en te beheersen. Het opvragen van een ISO-certificaat, assurance-rapport of ingevulde leveranciersvragenlijst kan onderdeel zijn van die beoordeling, maar geeft niet automatisch voldoende zekerheid. De organisatie moet bepalen of de reikwijdte en diepgang aansluiten bij haar eigen risico’s en afhankelijkheden.

Daarbij is onder meer van belang:

• welke kritieke diensten door de leverancier worden ondersteund;
• welke data en systemen toegankelijk zijn;
• welke onderaannemers worden ingezet;
• hoe incidenten worden gemeld;
• welke herstelmogelijkheden beschikbaar zijn;
• hoe periodiek wordt gecontroleerd of afspraken worden nageleefd.

De vraag voor de boardroom

De Cyberbeveiligingswet vraagt niet om absolute veiligheid. Geen enkele organisatie kan alle cyberrisico’s volledig uitsluiten. De kern is dat risico’s bewust, passend en aantoonbaar worden beheerst. Dat vraagt om betrokkenheid van IT, risk, compliance, internal audit én het bestuur.

De centrale vraag voor uw eerstvolgende boardmeeting is daarom:

Kunnen wij bij een incident of toezicht expliciet aantonen welke cyberrisico’s wij beheersen, hoe onze maatregelen in de praktijk werken en hoe het bestuur daarop toezicht houdt?

Wilt u weten wat de Cyberbeveiligingswet concreet betekent voor uw organisatie? Onze IT-auditspecialisten denken graag met u mee tijdens een bestuurlijke sparringsessie of voeren een gerichte nulmeting uit naar uw governance, risicobeheersing en digitale weerbaarheid.

Voor een vrijblijvend oriënterend gesprek kunt u ons bellen of een mail sturen naar [email protected].