De Cyberbeveiligingswet komt eraan: wat betekent dit voor jouw organisatie?

Op 15 augustus 2026 treedt de nieuwe Cyberbeveiligingswet (Cbw) in werking, de Nederlandse uitwerking van NIS2. Maar wat verandert er precies? Valt jouw zorgorganisatie of goede doel er ook onder? En belangrijker: wat moet je regelen?

Eerst even: wat is NIS2?

NIS2 is een Europese richtlijn die organisaties beter moet beschermen tegen digitale dreigingen. Nederland verwerkt deze richtlijn in de Cyberbeveiligingswet.

De wet geldt voor organisaties die een belangrijke of essentiële rol vervullen in onze maatschappij. Denk aan organisaties binnen de energievoorziening, overheid, digitale infrastructuur en gezondheidszorg. Organisaties die onder de wet vallen, moeten aantoonbaar werk maken van hun digitale veiligheid. Cybersecurity mag niet meer iets zijn waarvan je denkt dat het goed geregeld is. Je moet weten waar je risico’s zitten, concrete maatregelen nemen en kunnen laten zien dat je daar structureel mee bezig bent.

Wanneer valt een zorgorganisatie onder de Cyberbeveiligingswet?

De gezondheidszorg is één van de sectoren die onder de Cyberbeveiligingswet valt. Toch betekent dat niet dat iedere zorgorganisatie automatisch aan de wet moet voldoen.

Als uitgangspunt valt een zorgorganisatie onder de Cyberbeveiligingswet wanneer:

• Er 50 of meer mensen werken; óf
• De organisatie een jaaromzet van minimaal 10 miljoen euro heeft; óf
• Het balanstotaal minimaal 10 miljoen euro bedraagt.

Kleinere zorgorganisaties die onder deze grenzen blijven, vallen daardoor meestal buiten de Cyberbeveiligingswet.

Twijfel je of jouw organisatie onder de Cyberbeveiligingswet valt? Doe dan de check via de NIS2-Zelfevaluatie van de RDI.

Belangrijk of essentieel: wat is het verschil?

Valt jouw organisatie binnen de reikwijdte van de wet? Dan wordt op basis van de omvang en financiële criteria bepaald of je organisatie wordt aangemerkt als belangrijke of essentiële entiteit. Die termen doen misschien vermoeden dat voor een belangrijke entiteit minder strenge eisen gelden. Dat is niet het geval. Voor beide categorieën gelden onder andere de zorgplicht, registratieplicht en meldplicht.

Het verschil zit vooral in het toezicht. Bij essentiële entiteiten kan de toezichthouder actief controleren of je aan de wet voldoet. Bij belangrijke entiteiten controleert de toezichthouder dit in principe pas wanneer daar aanleiding voor is.

Kortom: of je nu een belangrijke of essentiële entiteit bent, je cybersecurity moet aantoonbaar op orde zijn.

En hoe zit dat met goede doelen?

Ook een goed doel kan onder de Cyberbeveiligingswet vallen. Of dat zo is, hangt niet af van het feit dat je een stichting, ANBI of goed doel bent, maar van wat je organisatie doet.

Een goed doel dat bijvoorbeeld zelf zorg verleent en daarmee als zorgaanbieder wordt gezien, kan binnen de sector gezondheidszorg vallen. Voldoet de organisatie vervolgens ook aan de criteria? Dan kan de Cyberbeveiligingswet van toepassing zijn. Een gezondheidsfonds dat zich alleen bezighoudt met fondsenwerving en voorlichting is daarentegen geen zorgaanbieder.

Toch is het verstandig om de wet niet meteen naast je neer te leggen. Als goed doel verwerk je ook gevoelige persoonsgegevens, financiële gegevens en informatie over donateurs, medewerkers of hulpvragers. Bovendien kunnen organisaties waarmee je samenwerkt wél onder de Cyberbeveiligingswet vallen en daardoor strengere eisen stellen aan de digitale veiligheid van hun partners.

Wat moet je regelen als je onder de Cyberbeveiligingswet valt?

Als jouw organisatie onder de wet valt, krijg je onder andere te maken met een zorgplicht, registratieplicht en meldplicht. In de praktijk betekent dat dat je een aantal zaken goed moet regelen:

1. Breng je risico’s in kaart
De basis is een goede risicoanalyse. Welke systemen zijn belangrijk voor je organisatie? Welke gegevens verwerk je? Waar zitten mogelijke kwetsbaarheden? En wat gebeurt er als Microsoft 365, je ECD, netwerk of een andere belangrijke applicatie ineens niet beschikbaar is? Van daaruit bepaal je welke maatregelen nodig zijn om risico’s te verkleinen.

2. Zorg voor goede basisbeveiliging
Vervolgens moet je passende en evenredige maatregelen nemen om je netwerk- en informatiesystemen te beschermen. Denk bijvoorbeeld aan:

• Sterke authenticatie met passkeys of multifactorauthenticatie;
• Goed beheer van gebruikersaccounts en toegangsrechten;
• Tijdig installeren van beveiligingsupdates;
• Bescherming van apparaten en netwerken;
• Veilige back-ups én regelmatig testen of je deze kunt terugzetten;
• Encryptie van gevoelige informatie;
• Monitoring en detectie van verdachte activiteiten;
• Goede beveiligingsafspraken met leveranciers;
• Periodiek controleren of je beveiligingsmaatregelen nog werken.

Welke maatregelen precies nodig zijn, verschilt per organisatie. De wet vraagt om maatregelen die passen bij de risico’s en omvang van jouw organisatie.

3. Bereid je voor op een incident
Voorkomen is belangrijk, maar honderd procent veiligheid bestaat niet. Daarom moet je ook weten wat je doet als het misgaat. Wie wordt gebeld als systemen uitvallen? Wie neemt beslissingen? Kunnen medewerkers doorwerken? Hoe herstel je systemen en gegevens? En hoe communiceer je met medewerkers, cliënten, klanten of andere betrokkenen? Een goed incidentresponse- en continuïteitsplan mag daarom niet ontbreken. En minstens zo belangrijk: test het plan ook. Tijdens een cyberincident wil je niet voor het eerst ontdekken dat belangrijke informatie niet is vastgelegd of alleen in een systeem staat waar niemand meer bij kan.

4. Kijk ook naar je leveranciers
Je digitale veiligheid stopt niet bij je eigen voordeur. Organisaties zijn steeds afhankelijker van IT-leveranciers, softwareleveranciers, cloudomgevingen en andere partners. De Cyberbeveiligingswet besteedt daarom nadrukkelijk aandacht aan de beveiliging van de toeleveringsketen. Je moet dus ook kijken naar de risico’s van partijen waarmee je samenwerkt en goede afspraken maken over informatiebeveiliging.

5. Zorg dat medewerkers weten wat ze moeten doen
De beste technische beveiliging helpt maar beperkt als een medewerker zonder nadenken zijn inloggegevens invult op een overtuigende phishingwebsite. Bewustwording en training zijn daarom een belangrijk onderdeel van goede cybersecurity. Medewerkers moeten weten hoe ze veilig werken, verdachte situaties herkennen en incidenten melden.

6. Regel je registratie en meldproces
Tot slot geldt een registratieplicht. Je organisatie moet gegevens aanleveren voor het entiteitenregister via het Nationaal Cyber Security Centrum (NCSC). Daarnaast geldt een meldplicht voor significante cyberincidenten. Die meldplicht verloopt in verschillende stappen. De eerste waarschuwing moet zo snel mogelijk en uiterlijk binnen 24 uur na het waarnemen van een significant incident worden gedaan. Dat betekent dat je vooraf moet weten wie binnen jouw organisatie verantwoordelijk is voor zo’n melding.

Cybersecurity wordt ook een bestuurstaak

Goede cybersecurity begint misschien bij de techniek, maar stopt daar niet. Onder de Cyberbeveiligingswet krijgt ook het bestuur hierin een belangrijke rol.

De dagelijkse uitvoering kan prima bij je IT-afdeling of IT-partner liggen. Als bestuurder moet je alleen wél weten hoe je organisatie ervoor staat. Welke risico’s lopen we? Welke maatregelen hebben we genomen? En zijn die voldoende? Daarom vraagt de wet ook van bestuurders dat zij zich hierin laten trainen.

Oftewel: de vraag ‘Hebben we onze IT-beveiliging eigenlijk goed geregeld?’ hoort voortaan ook thuis aan de bestuurstafel.

15 augustus is dichterbij dan je denkt

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Wacht dus niet tot iemand komt controleren of je alles op orde hebt. Een goede voorbereiding kost tijd en niet voldoen aan de wet kan flinke boetes opleveren.

Ook als de wet uiteindelijk niet voor jouw organisatie geldt, is die voorbereiding zeker niet voor niets. Een goed beveiligde IT-omgeving verkleint de kans op incidenten én helpt je organisatie om snel verder te kunnen als er toch iets misgaat.

Benieuwd waar jouw organisatie staat? Onze IT-specialisten kijken graag met je mee.