Voor wie geldt de Cyberbeveiligingswet en wat betekent die voor bestuurders?
In oktober 2026 werd in korte tijd twee keer zichtbaar hoe kwetsbaar organisaties digitaal zijn. Bij Albert Heijn werden na een cyberincident uit voorzorg logistieke systemen uitgeschakeld, waardoor distributiecentra tijdelijk niet volledig operationeel waren. Kort daarna haalden veel organisaties hun websites uit voorzorg offline vanwege ernstige kwetsbaarheden in de veelgebruikte programmeertaal PHP, waaronder de Tweede Kamer en Logius met DigiD en MijnOverheid. Ook wijzelf stemden snel af en academievoorleiderschap.nl was even niet bereikbaar.
Incidenten als deze laten zien dat de Cyberbeveiligingswet (Cbw), die sinds augustus van dit jaar van kracht is, niet overbodig is. De wet biedt een kader, verplichtingen en verantwoordelijkheden om veilig op te treden in de digitale wereld. Zij geldt voor ruim 8.000 organisaties in achttien sectoren, veel meer dan haar voorganger de Wbni. Voor veel bestuurders is het daarom de vraag: voor wie geldt de Cyberbeveiligingswet precies? En valt mijn organisatie eronder?
Dit artikel beantwoordt die vraag vanuit de bestuurstafel. Je leest hoe je bepaalt of de wet voor jouw organisatie geldt, wat die betekent voor jouw rol als bestuurder of toezichthouder en waarom digitale weerbaarheid ook buiten de wet een belangrijke bestuurszaak is. Bij elk onderdeel vind je een vraag om in je eigen bestuur te bespreken.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet richt zich op organisaties waarvan de dienstverlening van groot belang is voor samenleving en economie en waarvan uitval grote gevolgen heeft. Er gelden drie verplichtingen voor organisaties die onder de wet vallen: een zorgplicht om passende maatregelen te nemen tegen cyberrisico’s, een meldplicht voor significante incidenten en een registratieplicht. Daarnaast legt de wet specifieke verplichtingen op aan het bestuur.
Twee vragen bepalen of de wet voor jou geldt
Het hangt in de meeste gevallen van twee vragen af of de wet voor jou geldt. In welke sector is je organisatie actief? En hoe groot is je organisatie?
Vraag 1: is je organisatie actief in een van de sectoren?
De wet onderscheidt zeer kritieke sectoren en andere kritieke sectoren. Tot de zeer kritieke sectoren behoren energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart. De kritieke sectoren zijn post- en koeriersdiensten, afvalbeheer, chemische stoffen, levensmiddelen, maakindustrie zoals medische hulpmiddelen, elektronica, machines en voertuigen, onderzoek en digitale aanbieders zoals online marktplaatsen, zoekmachines en sociale netwerken. Daarnaast wordt eraan gewerkt om hogescholen en universiteiten onder de wet te laten vallen.
Bepalend is daarbij vooral welke diensten je organisatie precies levert. De algemene sector waarin zij actief is, zegt daarover niet altijd genoeg. Dat geldt bijvoorbeeld voor zorginstellingen en voor onderwijs- en onderzoeksinstellingen.
Vraag 2: is je organisatie middelgroot of groot?
In de meeste sectoren geldt de wet voor middelgrote en grote organisaties. Een organisatie is middelgroot bij minimaal 50 medewerkers of bij een jaaromzet én balanstotaal van elk meer dan 10 miljoen euro. Een organisatie is groot bij 250 medewerkers of meer of bij een jaaromzet van meer dan 50 miljoen euro en een balanstotaal van meer dan 43 miljoen euro.
Bij het bepalen van de omvang tel je ook partnerondernemingen en verbonden ondernemingen mee, zoals andere rechtspersonen binnen hetzelfde concern. Voor zorgconcerns en andere organisaties met meerdere rechtspersonen kan dat de uitkomst veranderen.
Voor de bestuurstafel: hebben we vastgesteld of onze organisatie onder de wet valt? En wie in de organisatie is verantwoordelijk voor die toets?
Essentieel of belangrijk: twee categorieën
Als je organisatie onder de wet valt, is de volgende vraag in welke categorie. Grote organisaties in een zeer kritieke sector zijn een essentiële entiteit. Belangrijke entiteiten zijn middelgrote organisaties in een zeer kritieke sector en middelgrote of grote organisaties in een andere kritieke sector. Het verschil zit vooral in het toezicht. Bij essentiële entiteiten houdt de toezichthouder proactief toezicht met audits en controles vooraf. Bij belangrijke entiteiten is het toezicht reactief: de toezichthouder komt vooral in actie naar aanleiding van een incident of signaal. Beide categorieën hebben dezelfde zorg- en meldplicht, waarbij voor essentiële entiteiten hogere maximale boetes gelden.
Voor de bestuurstafel: weet het bestuur in welke categorie onze organisatie valt? En is ons risicomanagement ingericht op het toezicht dat daarbij hoort?
Wanneer de omvang geen rol speelt
Voor een aantal organisaties is de omvang niet bepalend. Overheidsinstanties zoals ministeries, provincies, gemeenten en waterschappen zijn ongeacht hun grootte essentiële entiteit. Uitgezonderd zijn onder meer Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s. Ook gekwalificeerde vertrouwensdienstverleners, registers voor topleveldomeinnamen en DNS-dienstverleners zijn altijd essentiële entiteit, net als middelgrote aanbieders van openbare elektronische communicatie. Kleinere aanbieders van communicatie- en vertrouwensdiensten zijn belangrijke entiteit. Organisaties die zijn aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten, zijn automatisch essentiële entiteit.
Ook in de keten merk je de gevolgen
Ook als jouw organisatie zelf buiten de wet valt, kun je ermee te maken krijgen. De Cyberbeveiligingswet vraagt van organisaties dat zij ook de risico’s in hun toeleveringsketen beheersen. Leveranciers en ketenpartners van een organisatie die onder de wet valt, kunnen daardoor eisen verwachten in contracten, audits of vragenlijsten. Digitale weerbaarheid wordt zo een onderwerp in de hele keten.
Voor de bestuurstafel: welke leveranciers zijn bepalend voor onze dienstverlening? En wat weten we over hun digitale weerbaarheid?
Maakt het uit of je onder de wet valt?
Valt jouw organisatie buiten de Cyberbeveiligingswet, dan blijft informatiebeveiliging een verantwoordelijkheid van het bestuur. De AVG vraagt van iedere organisatie passende beveiliging van persoonsgegevens. Veel sectoren hebben daarnaast eigen normenkaders, zoals de NEN 7510 in de zorg en de Baseline Informatiebeveiliging Overheid (BIO) bij overheden.
Ook governancecodes vragen om goed risicomanagement. De Governancecode Zorg vraagt bijvoorbeeld van het bestuur een intern risicobeheersings- en controlesysteem waar digitale risico’s deel van uitmaken.
Het PHP-lek in oktober 2026 liet bovendien zien dat een digitale dreiging zich weinig aantrekt van wettelijke categorieën. Ministeries, gemeenten, webwinkels en dus ook opleidingsinstituten zoals de onze stonden binnen een paar uur voor dezelfde afweging tussen het risico van een hack en de gevolgen van uitval.
De vragen die de wet stelt, zijn daarom voor elke bestuurder waardevol. Waar liggen onze grootste digitale risico’s? Hoe afhankelijk zijn we van leveranciers? En wie heeft de regie als het erop aankomt? Cyberveiligheid gaat iedereen aan, met of zonder wettelijke plicht.
“Digitale weerbaarheid hoort in hetzelfde rijtje als financiën, kwaliteit en compliance: een vast onderdeel van goed bestuur.”
Wat vraagt de wet van bestuurders?
De Cyberbeveiligingswet legt de verantwoordelijkheid nadrukkelijk bij het bestuur. Bestuurders van essentiële en belangrijke entiteiten keuren de maatregelen voor het beheersen van cyberrisico’s goed en houden toezicht op de uitvoering. Daarnaast geldt een scholingsplicht voor uitvoerende bestuurders: zij moeten voldoende kennis en vaardigheden hebben om cyberrisico’s en de gevolgen daarvan voor de organisatie te begrijpen en te beoordelen. Bestuurders die al in functie waren, moeten uiterlijk twee jaar na de inwerkingtreding over die kennis beschikken. Wie later wordt benoemd, heeft daarvoor twee jaar vanaf de benoeming. Daarna houden bestuurders hun kennis aantoonbaar actueel.
De Cyberbeveiligingswet maakt cyberbeveiliging expliciet onderdeel van de bestuurlijke verantwoordelijkheid. Het niet naleven van verplichtingen kan leiden tot handhavingsmaatregelen en, afhankelijk van de omstandigheden, gevolgen hebben voor individuele bestuurders. Cyberbeveiliging is daarmee definitief een bestuurlijk onderwerp geworden.
Voor de bestuurstafel: wanneer stonden cyberrisico’s voor het laatst op de bestuursagenda? En hoe zorgen we dat iedere bestuurder de kennis heeft om ze te beoordelen?
En toezichthouders?
De verplichtingen uit artikel 24, waaronder de scholingsplicht, gelden voor uitvoerende bestuurders. Leden van een raad van toezicht of raad van commissarissen vallen daar in beginsel buiten. Toch speelt de toezichthouder een belangrijke rol: de raad houdt toezicht op hoe het bestuur met cyberrisico’s omgaat. Dat vraagt om voldoende kennis om de juiste vragen te stellen en heldere afspraken te maken over rapportagelijnen.
Voor de bestuurstafel: welke informatie over digitale weerbaarheid ontvangt de raad van toezicht? En hoe vaak staat het onderwerp op de agenda van bestuur en toezicht samen?
Doe direct de online check
Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de wet vallen. Met de NIS2 Zelfevaluatie van de overheid doe je in een paar vragen een eerste beoordeling: geldt de wet voor jouw organisatie en in welke categorie val je?
Vijf stappen voor de bestuurstafel
- Zet op de bestuursagenda of jullie organisatie onder de wet valt en in welke categorie.
- Laat de toets uitvoeren met de online zelfevaluatie en bepaal wie de uitkomst bewaakt.
- Beleg de rollen: wie is eigenaar van informatiebeveiliging? En hoe lopen de rapportagelijnen naar bestuur en raad van toezicht?
- Laat de registratie en de eisen voor jouw sector uitwerken
- Plan de scholing van het bestuur en betrek de raad van toezicht, zodat bestuur en toezicht vanuit dezelfde kennis het gesprek voeren.
Het Nationaal Cyber Security Centrum (NCSC) en de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) bieden uitgebreide informatie over de wet. Bij complexe situaties, zoals concernstructuren of organisaties die in meerdere sectoren actief zijn, is juridisch advies verstandig.
Van verplichting naar bestuurlijke grip
De Cyberbeveiligingswet stelt een ondergrens. Bestuurlijke grip op digitale weerbaarheid vraagt om oordeelsvermogen. Een cyberincident kondigt zich zelden aan. Besluiten neem je onder tijdsdruk en met onvolledige informatie.
Daarom verdient digitale weerbaarheid een vaste plek in het bestuurlijke gesprek, met een gedeelde taal tussen bestuur, management en informatiebeveiliging. Bestuurders die vooraf oefenen met de vragen die er dan toe doen (wat weet ik, wie beslist, wie informeer ik?), handelen met doordachte daadkracht als het erop aankomt.
Training Cyberbeveiligingswet voor Bestuurders
Versterk je bestuurlijke grip op digitale weerbaarheid.
In de Training Cyberbeveiligingswet voor Bestuurders leg je met een korte e-learning de basis en vertaal je die tijdens een bijeenkomst naar bestuurlijk handelen. Dit onder meer in een realistische boardroomsimulatie. Na afronding ontvang je een certificaat waarop de gevolgde training en de behandelde onderwerpen staan vermeld. De training is ontwikkeld om bestuurders te ondersteunen bij het voldoen aan de wettelijke scholingsplicht. Ook toezichthouders en bestuurders van organisaties die buiten de wet vallen, zijn van harte welkom: de training versterkt de digitale weerbaarheid van iedere organisatie.
Trainingsdata: dinsdag 19 januari en woensdag 3 februari 2027.
