De Cbw is wet. Dit vraagt hij van jullie.
De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. Met deze wet zet Nederland de Europese NIS2-richtlijn om in eigen recht. Hieronder: voor wie hij geldt, wat hij vraagt, en waar wij kunnen helpen.
Hoe het zo gekomen is
NIS2, de Europese richtlijn voor netwerk- en informatiebeveiliging, geldt sinds januari 2023 en verhoogde de eisen in 18 sectoren. Lidstaten moesten de richtlijn voor oktober 2024 in nationale wetgeving omzetten. Nederland haalde die deadline niet.
De Tweede Kamer nam de Cyberbeveiligingswet (Cbw) aan op 15 april 2026, de Eerste Kamer volgde op 7 juli. Sinds 15 augustus 2026 geldt de wet. Het bestuur wordt verantwoordelijk voor cyberrisico's, er komen strakke termijnen voor het melden van incidenten, en managed service providers vallen er zelf onder.
- Jan 2023
NIS2 geldt in de hele EU
De richtlijn vervangt de eerste NIS-richtlijn en geldt voortaan voor 18 sectoren.
- Okt 2024
Nederland mist de deadline
Er is nog geen nationale wet, dus bedrijven die eronder vallen moeten wachten.
- Mei 2025
De Europese Commissie grijpt in
Inbreukprocedures tegen Nederland en andere lidstaten die nog niets hadden geregeld.
- Apr en jul 2026
Beide Kamers stemmen in
De Tweede Kamer op 15 april, de Eerste Kamer op 7 juli.
- 15 aug 2026
De Cbw geldt
Registratie, meldplicht en de andere verplichtingen zijn nu te handhaven.
Voor wie de wet geldt
Organisaties moeten zelf nagaan of ze eronder vallen. Dat hangt af van de sector en de omvang.
Sectoren met een hoge kriticiteit
- Banken en financiën
- Energie
- Transport
- Gezondheidszorg
- Digitale infrastructuur
- Openbaar bestuur
Andere kritieke sectoren
- Post en koeriers
- Afvalbeheer
- Voedselproductie
- Maakindustrie
- Online marktplaatsen
- Onderzoek
Omvang: 50 of meer medewerkers, of meer dan €10 miljoen omzet
Een organisatie in een van deze sectoren die over een van beide grenzen gaat, valt onder de wet. Sommige digitale aanbieders vallen er altijd onder, ongeacht hun omvang.
Ook IT-leveranciers vallen eronder
Managed service providers, ook IT-outsourcingpartners, vallen zelf onder de wet. En omdat de wet ook over jullie toeleveringsketen gaat, telt de beveiliging van jullie leverancier mee voor die van jullie.
van de cyberincidenten die ENISA in 2025 in de EU registreerde, trof sectoren die onder NIS2 vallen. ENISA Threat Landscape 2025
Wat de wet vraagt
Een risicoanalyse en zorgplicht
Leg de cyberrisico's vast, houd die analyse actueel, en neem maatregelen die passen bij jullie omvang en risico. Deze zorgplicht is de basis van al het andere.
Het bestuur is verantwoordelijk
Het bestuur keurt de beveiligingsmaatregelen goed, houdt toezicht op de uitvoering en volgt er een training over. Onder NIS2 kunnen bestuurders aansprakelijk worden gesteld, en bij essentiële entiteiten kan een toezichthouder een bestuurder tijdelijk een leidinggevende functie verbieden.
Incidenten snel melden
Bij een significant incident: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Te laat melden is zelf al een overtreding.
Veilige toeleveringsketen
Jullie zijn verantwoordelijk voor de beveiliging van kritieke leveranciers: IT-dienstverleners, SaaS-tools en MSP's. Dat moet in de contracten staan, en het bewijs moet bewaard worden.
Identiteit en toegang
MFA, least privilege en regelmatige access reviews zijn nu het minimum. Identity governance wordt de kern van hoe jullie compliance aantonen.
Registreren bij het NCSC
Organisaties die onder de wet vallen, registreren zich in het nationale register van het NCSC en houden hun gegevens actueel.
Waar Skales helpt
Compliance-nulmeting
Een gap-analyse van twee weken, gekoppeld aan de artikelen van NIS2 en de Cbw. Jullie krijgen een plan met kosten, de belangrijkste punten eerst.
Identiteit en toegang
Okta of JumpCloud vanaf dag één ingericht voor governance: single sign-on, MFA, toegang per rol en controles op in-, door- en uitstroom.
Bewijspakket
Koppelingen naar de maatregelen, screenshots, beleid en rapporten, klaar voor auditors, investeerders en de toezichthouder.
Klaar voor een incident
Geteste draaiboeken voor de termijn van 24 uur, met een vastgelegde bewaarketen voor de logs.
Doorlopende controle
Access reviews per kwartaal, meldingen bij afwijkingen en SaaS in beeld, zodat compliance ook tussen audits op orde blijft.
Wie doet wat
Compliance is gedeeld werk. We spreken de verdeling vooraf af, zodat er niets tussen wal en schip valt als de auditor komt.
Wat Skales oppakt
Volledig technisch eigenaarschap van jullie werkplek: devices, identiteit en SaaS-instellingen.
Beveiliging van devices
Beheerde macOS- en iOS-devices: FileVault, updates, firewall, wissen op afstand en live compliance-rapportage.
Identiteit en toegang
Een centrale identity provider, phishing-bestendige MFA, single sign-on, toegang per rol en logs van alle accounts.
In- en uitdienst
Accounts worden gesloten zodra HR iemand uitschrijft, met logs met tijdstempel die dat aantonen.
SaaS-instellingen
Google Workspace of Microsoft 365 dichtgezet, DKIM, SPF en DMARC, bewaartermijnen, en exporteerbare basisrapporten.
Toegangsbeheer
Toegangsoverzichten voor reviews per kwartaal en gebruikerslijsten die de auditor kan aftekenen.
Wat bij jullie team blijft
Bedrijfsvoering en de governance van het bedrijf.
Productie en cloud
We configureren of beveiligen jullie AWS-, GCP- of Azure-omgeving niet, en we auditen jullie code niet.
Beleid
Wij leveren het technische bewijs. Het ISMS, het bedrijfscontinuïteitsplan en het herstelbeleid schrijven jullie zelf.
HR en fysieke beveiliging
We automatiseren de technische kant van onboarding. Screening, geheimhoudingsverklaringen, toegangspassen en camera's blijven bij HR.
24/7 bewaking en melden
We zijn geen security operations center dat 24/7 draait. Bij een incident leveren we de technische logs, maar de melding binnen 24 uur aan het CSIRT en de toezichthouder is jullie verplichting.