Op 15 augustus 2026 zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking getreden. Daarmee zijn nieuwe verplichtingen op het gebied van digitale veiligheid, continuïteit en fysieke weerbaarheid werkelijkheid geworden.
De wetten richten zich vooral op organisaties die belangrijk zijn voor de Nederlandse economie en samenleving. Toch kunnen ook mkb-bedrijven die niet rechtstreeks onder de wet vallen ermee te maken krijgen.
Wat houdt de Cyberbeveiligingswet in?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt voor essentiële en belangrijke organisaties in achttien sectoren, waaronder energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur, levensmiddelen, afvalbeheer en bepaalde vormen van productie.
Of een bedrijf onder de wet valt, hangt onder meer af van de sector en de omvang. Als uitgangspunt geldt dat een organisatie waarschijnlijk onder de Cbw valt wanneer zij actief is in een aangewezen sector én minimaal 50 medewerkers heeft, of een jaaromzet of balanstotaal van meer dan 10 miljoen euro. Voor sommige soorten organisaties gelden uitzonderingen en kan de wet ook bij een kleinere omvang van toepassing zijn.
Organisaties die onder de Cbw vallen, krijgen onder andere te maken met:
- een registratieplicht bij het Nationaal Cyber Security Centrum;
- een zorgplicht voor het beheersen van digitale risico’s;
- een meldplicht voor significante cyberincidenten;
- bestuurlijke verantwoordelijkheid voor cyberbeveiliging;
- toezicht en mogelijke handhaving.
De zorgplicht betekent dat organisaties risicoanalyses moeten uitvoeren en passende maatregelen moeten treffen. Denk aan toegangsbeveiliging, multifactorauthenticatie, back-ups, incidentrespons, continuïteitsplannen, leveranciersbeheer en het trainen van medewerkers. Ook moeten bestuurders de maatregelen goedkeuren, toezicht houden op de uitvoering en een passende opleiding volgen.
Significante incidenten moeten zo snel mogelijk worden gemeld. Voor de eerste waarschuwing geldt in beginsel een termijn van maximaal 24 uur.
Wat regelt de Wwke?
De Wet weerbaarheid kritieke entiteiten is de Nederlandse uitwerking van de Europese CER-richtlijn. Waar de Cbw vooral over digitale veiligheid gaat, kijkt de Wwke breder naar de continuïteit van essentiële dienstverlening.
Het gaat bijvoorbeeld om risico’s door sabotage, terrorisme, extreem weer, overstromingen, uitval van energie of verstoringen bij leveranciers. Kritieke entiteiten moeten deze risico’s onderzoeken en maatregelen treffen om incidenten te voorkomen, de gevolgen te beperken en de dienstverlening snel te herstellen.
Een organisatie valt niet automatisch onder de Wwke. De verantwoordelijke minister wijst organisaties formeel aan als kritieke entiteit. Na zo’n aanwijzing worden de verplichtingen gefaseerd van toepassing. De wet raakt naar verwachting ongeveer 500 organisaties.
Wat zijn de gevolgen voor mkb-bedrijven?
Voor veel kleinere mkb-bedrijven geldt de wet niet rechtstreeks. Dat betekent echter niet dat zij er niets van zullen merken.
Organisaties die wel onder de Cbw vallen, moeten namelijk ook de beveiligingsrisico’s binnen hun toeleveringsketen beheersen. Zij zullen daarom vaker eisen stellen aan hun ICT-leveranciers, softwarebedrijven, installatiepartners, logistieke dienstverleners en andere zakelijke dienstverleners.
Mkb-bedrijven kunnen daardoor te maken krijgen met:
- uitgebreidere beveiligingsvragenlijsten en leverancierscontroles;
- strengere eisen in contracten en aanbestedingen;
- verplicht gebruik van multifactorauthenticatie en versleuteling;
- aantoonbare procedures voor back-ups, updates en incidentmelding;
- eisen aan continuïteits- en herstelplannen;
- verzoeken om certificeringen, rapportages of ander bewijs;
- hogere investeringen in techniek, beleid en bewustwording.
Cyberveiligheid wordt daarmee steeds vaker een voorwaarde om klant of leverancier te kunnen blijven. Een bedrijf dat niet kan aantonen dat de beveiliging op orde is, loopt het risico opdrachten mis te lopen of niet langer aan de leveranciersvoorwaarden van grote klanten te voldoen.
Tegelijkertijd biedt deze ontwikkeling kansen. Mkb-bedrijven die hun beveiliging aantoonbaar goed organiseren, onderscheiden zich als betrouwbare leverancier. Bovendien verkleinen zij hun eigen risico op ransomware, dataverlies, bedrijfsstilstand en reputatieschade.
Wat kunnen mkb-bedrijven nu doen?
Begin met vaststellen of jouw organisatie rechtstreeks onder de Cyberbeveiligingswet valt. Kijk daarbij niet alleen naar het aantal medewerkers, maar ook naar de sector, omzet, het balanstotaal en eventuele uitzonderingen.
Breng vervolgens de belangrijkste systemen, gegevens, leveranciers en bedrijfsprocessen in kaart. Controleer of basismaatregelen zoals multifactorauthenticatie, tijdige beveiligingsupdates, goede back-ups, toegangsbeheer en een incidentprocedure daadwerkelijk zijn ingericht én worden getest.
Leg de getroffen maatregelen ook vast. In de praktijk wordt aantoonbaarheid steeds belangrijker: niet alleen zeggen dat de beveiliging op orde is, maar dit ook kunnen laten zien.
Van wettelijke verplichting naar bedrijfszekerheid
De Cbw en Wwke maken duidelijk dat cyberveiligheid en continuïteit niet langer uitsluitend onderwerpen voor de ICT-afdeling zijn. Ze horen thuis op de bestuurstafel en vormen een vast onderdeel van professioneel ondernemerschap.
Ook als jouw organisatie niet rechtstreeks onder de nieuwe wetten valt, kunnen klanten en ketenpartners vergelijkbare eisen stellen. Dit is daarom een goed moment om te beoordelen waar jouw organisatie staat en welke verbeteringen nodig zijn.
Analyst ICT helpt mkb-bedrijven met het in kaart brengen van risico’s, het versterken van hun digitale weerbaarheid en het praktisch toepassen van passende beveiligingsmaatregelen.
Bronnen: Rijksoverheid – inwerkingtreding Cbw en Wwke, NCSC – valt mijn organisatie onder de Cbw?, NCSC – gevolgen voor toeleveranciers en NCTV – wetten en regelgeving.
