De Eerste Kamer heeft op vandaag ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Met deze stemming is de parlementaire behandeling van beide wetten afgerond. Ze treden op 15 augustus 2026 in werking, waarmee ruim 8.000 Nederlandse organisaties te maken krijgen met nieuwe verplichtingen op het gebied van digitale en fysieke weerbaarheid.
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet geldt voor organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Organisaties die onder de Cbw vallen, krijgen te maken met een registratieplicht bij het Nationaal Cyber Security Centrum, een zorgplicht voor het beheren van risico’s in hun netwerk- en informatiesystemen en een meldplicht bij incidenten. Registreren via mijn.ncsc.nl is vanaf 15 augustus verplicht, en het NCSC raadt organisaties aan die registratie nu al voor te bereiden.
Naast de Cbw is ook de Wet weerbaarheid kritieke entiteiten aangenomen. Deze wet implementeert de Europese CER-richtlijn en richt zich op bredere, fysieke en operationele dreigingen voor vitale infrastructuur, van sabotage en terrorisme tot extreem weer en pandemieën. Organisaties bepalen niet zelf of ze onder de Wwke vallen, dat doet de verantwoordelijke vakminister aan de hand van wettelijke criteria. Vanaf 15 augustus worden de eerste kritieke entiteiten formeel aangewezen.
Minister van Justitie en Veiligheid David van Weel noemt de wetten een belangrijke stap. “Of het nu gaat om digitale dreigingen, sabotage, natuurrampen of andere verstoringen, organisaties moeten voorbereid zijn op risico’s die de continuïteit van essentiële dienstverlening kunnen raken,” zegt hij. “Met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten versterken we de weerbaarheid van organisaties en onze samenleving.”
Voor MSP’s en MSSP’s is de impact van de Cbw op twee manieren voelbaar. Een deel van de dienstverleners valt zelf onder de wet, als aanbieder van digitale diensten of als beheerder van IT-omgevingen voor klanten in een van de aangewezen sectoren. Daarnaast werkt de zorgplicht door in de keten, want essentiële en belangrijke entiteiten moeten ook toezien op de beveiliging van hun leveranciers. Klanten die onder de Cbw vallen, zullen dus ook aan hun IT-partners vragen gaan stellen over risicobeheer, incidentrespons en contractuele afspraken rond cyberbeveiliging.
