Cbw en Wwke versterken de digitale veiligheid en weerbaarheid van Nederland
De Eerste Kamer heeft ingestemd met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Volgens Anderson MacGyver markeert dit een belangrijke stap in het versterken van de digitale veiligheid en weerbaarheid van Nederland. Het biedt tegelijkertijd ook een kans om risico’s proactief aan te pakken en weerbaarheid structureel te verankeren in de organisatie.
De Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) zijn twee nieuwe Nederlandse wetten die de Europese NIS2-richtlijn en CER-richtlijn implementeren. Samen moeten zij de digitale én fysieke weerbaarheid van vitale organisaties in Nederland vergroten. Beide wetten treden op 15 augustus 2026 in werking en gelden voor duizenden organisaties in Nederland.
Cyberbeveiligingswet
De Cyberbeveiligingswet richt zich op de digitale beveiliging van organisaties die essentiële of belangrijke diensten leveren. De wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) en implementeert de Europese NIS2-richtlijn. De wet omvat diverse vormen van digitale veiligheid, waaronder cyberaanvallen, datalekken, hacks, ransomware en IT-beveiliging.
Volgens een schatting van de Rijksoverheid geldt de wet voor ruim 8.000 organisaties. Zij krijgen te maken met diverse verplichtingen:
- Zorgplicht: passende technische en organisatorische maatregelen nemen om cyberrisico’s te beperken.
- Meldplicht: ernstige cyberincidenten binnen de wettelijke termijnen melden.
- Registratieplicht: registratie bij het Nationaal Cyber Security Centrum (NCSC).
- Bestuurlijke verantwoordelijkheid: bestuurders zijn eindverantwoordelijk voor cyberrisicobeheer en moeten voldoende kennis hebben van cybersecurity.
- Toezicht en handhaving: toezichthouders kunnen controles uitvoeren en sancties opleggen.
De Cyberbeveiligingswet geldt voor organisaties in 18 sectoren, waaronder energie, gezondheidszorg, drinkwater, digitale infrastructuur, overheid, openbaar vervoer, financiële dienstverlening en telecom.
Wet weerbaarheid kritieke entiteiten
De Wet weerbaarheid kritieke entiteiten richt zich op organisaties die cruciale diensten leveren. De overheid heeft momenteel zo’n 500 organisaties aangewezen als kritieke entiteiten.
Waar de Cyberbeveiligingswet draait om cyberdreigingen, kijkt de Wwke naar een veel breder spectrum van risico’s, zoals sabotage, terrorisme, natuurrampen, stroomuitval, fysieke aanvallen en andere verstoringen van essentiële dienstverlening.
Als onderdeel van de wet moeten organisaties onder meer een uitgebreide risicobeoordeling uitvoeren, maatregelen nemen om de continuïteit van hun dienstverlening te waarborgen, ernstige verstoringen melden, en plannen opstellen voor crisisbeheersing en bedrijfscontinuïteit.
Aan de regels houden
Compliant zijn met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten is voor organisaties die onder deze wetten vallen geen vrijblijvende keuze, maar een wettelijke verplichting. Toezichthouders kunnen controleren of organisaties aan de gestelde eisen voldoen en handhavend optreden wanneer dat niet het geval is.
Wanneer organisaties niet aan de wetgeving voldoen, kunnen toezichthouders verschillende maatregelen treffen. Denk aan bestuurlijke boetes, bindende aanwijzingen en andere handhavingsmaatregelen om organisaties alsnog aan de wettelijke verplichtingen te laten voldoen.
Tegelijkertijd hebben organisaties er zelf alle belang bij om hun weerbaarheid tegen de steeds grotere dreigingen te versterken. Cijfers van de overheid laten zien dat de continuïteit van essentiële diensten steeds vaker onder druk staat door incidenten zoals cyberaanvallen, ransomware en sabotage.
Naast verstoringen van de dienstverlening kunnen dergelijke incidenten leiden tot aanzienlijke financiële schade, reputatieverlies en kritische vragen van klanten, aandeelhouders, toezichthouders en andere stakeholders. Door compliant te zijn, vergroten organisaties niet alleen hun naleving van de wet, maar versterken zij ook hun eigen bedrijfsvoering, continuïteit en paraatheid.
Een belangrijk verschil met eerdere regelgeving is dat bestuurders nadrukkelijk verantwoordelijk zijn voor cyberrisicobeheer. Zij kunnen cybersecurity niet uitsluitend overlaten aan de IT-afdeling, maar moeten actief toezicht houden, risico’s begrijpen en erop toezien dat passende maatregelen worden genomen.
Van compliance naar weerbaarheid
Bij Anderson MacGyver hebben we jarenlange ervaring met het begeleiden en implementeren van digitale compliancetrajecten. Onze ervaring leert dat organisaties compliance niet moeten benaderen als een afvinkoefening, maar juist moeten aangrijpen als een kans om hun digitale volwassenheid structureel te vergroten.
Voor duizenden organisaties in onder meer de energie, zorg, financiële sector, defensie en infrastructuur is dit niet alleen een wettelijke verplichting, maar ook een uitgelezen moment om hun digitale én fysieke weerbaarheid naar een hoger niveau te tillen. De nieuwe wetgeving biedt een natuurlijk aanknopingspunt om risicomanagement, ketensamenwerking en bestuurlijke betrokkenheid kritisch tegen het licht te houden.
Het uiteindelijke doel zou moeten zijn om compliance te verankeren in een bredere strategie voor digitale veiligheid en weerbaarheid, in plaats van het te behandelen als een eenmalige of losstaande exercitie. Zo ontstaat een organisatie die niet alleen voldoet aan de wet, maar ook beter bestand is tegen de dreigingen van vandaag én morgen.
