Bedrijf

Zijn jullie al op de hoogte van de nieuwe Cybersecuritywet (CBW)?

4 mins lezen | Gepubliceerd op 3 sep 2026
Alle nieuws items

Afbeelding – Cyberbeveiligingswet

Deze wet is ingegaan op 15 augustus 2026, vrij recent en toch al redelijk actueel. Ik ben Danny Krieger en werk nu 2 jaar bij Infinigate als Teamlead Presales Cybersecurity Consultants. Vanaf het moment dat ik bij Infinigate binnen stapte, heb ik me beziggehouden met NIS2, welke als richtlijn is gebruikt voor de CBW. Dat was geen toeval.

Hoewel de CBW pas vorig jaar werd vastgesteld, was duidelijk dat dit eraan zat te komen. NIS2 was de voorbode, de Europese richtlijn die Nederland zou overnemen in nationale wet. Voor ons betekende dat: organisaties hadden al twee jaar geleden aan de slag kunnen gaan. Ze hadden niet hoeven wachten tot augustus 2026.

Daarom hebben we binnen Infinigate aan al onze partners aangegeven: kijk of je voldoet aan NIS2, wij kunnen je daarbij helpen. Dit gebeurde in de vorm van een Healthcheck (https://www.infinigate.com/nl/cybersecurity-healthcheck/), deze bestaat uit meerdere vragen en geeft je als organisatie inzicht waar de gaten zitten. Voor organisaties die dat serieus hebben opgepakt, is de stap naar CBW-compliance nu veel kleiner. Voor anderen… ja, die beginnen eigenlijk nu pas.

Eén ding staat vast: de wet is daar en deze geldt voor ruim 8000 organisaties. De tijd voor voorbereiding is voorbij. Nu telt actie.

Waar moet je op letten:

  • Zorgplicht: Je moet risico’s voor je computersystemen in kaart brengen en passende maatregelen nemen.
  • Registratieplicht: Je moet je organisatie registreren in het entiteitenregister via het Nationaal Cyber Security Centrum.
  • Meldplicht: Grote en belangrijke storingen of cyberaanvallen moet je direct melden bij de toezichthouder.
  • Bestuurlijke verantwoordelijkheid: Bestuurders moeten de beveiligingsmaatregelen goedkeuren en voldoende kennis hebben over cybersecurity.

Hoe weet je of je organisatie onder deze wet valt?

Eén ding is zeker: organisaties zijn zelf verantwoordelijk om na te gaan of ze onder deze wet vallen. Hoe? Op de website van het Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) is dit te controleren: https://www.nctv.nl/onderwerpen/c/cyberbeveiligingswet/welke-organisaties-vallen-onder-de-cyberbeveiligingswet

Ook op de website van het Nationaal Cyber Security Centrum (NCSC) is dit mogelijk: https://www.ncsc.nl/cyberbeveiligingswet-nis2

Valt je organisatie na deze zelfevaluatie niet onder deze wet, dan is het handig en verstandig om toch te bekijken wat deze wet inhoudt en waar je aan moet voldoen.

Over “te klein zijn”

Wanneer organisaties zeggen dat ze te klein zijn en niet interessant voor aanvallers, verwijs ik graag naar de volgende websites:

De stripboekwinkel om de hoek die een eigen website heeft waar je online stripboeken kunt kopen. Dat is een makkelijk doelwit. Voor hackers een leuke tussendoortje waar ze weinig tot geen moeite hoeven te doen. Vervolgens eisen ze geld wanneer ze binnen zijn. Hoe kunnen zijn dit voorkomen?

Maatregelen waar je als organisatie aan moet denken om nog veiliger te zijn:

  1. Een risicoanalyse vormt de eerste stap naar een betere cyberweerbaarheid van je organisatie.
  2. Incidentrespons is het proces waarmee je een incident beheert en de gevolgen ervan beperkt. Het is daarom verstandig om de benodigde acties vooraf vast te leggen, voordat een incident zich voordoet.
  3. Zorg voor een goede voorbereiding, zodat je organisatie snel en effectief kan herstellen wanneer zich een incident voordoet.
  4. Houd bij je risicomanagement rekening met ketenrisico’s. De afhankelijkheid van producten en diensten van toeleveranciers brengt risico’s met zich mee die impact kunnen hebben op je organisatie.
  5. Neem de basisprincipes van digitale weerbaarheid op in je cybersecuritybeleid. Zo zorg je ervoor dat medewerkers dezelfde richtlijnen volgen en de organisatie consistent handelt.
  6. Beveilig je netwerk- en informatiesystemen tegen bekende kwetsbaarheden. Kies daarbij voor systemen waarvan de leverancier langdurige ondersteuning en beveiligingsupdates biedt.
  7. Definieer duidelijke richtlijnen voor toegangsbeheer. Maak inzichtelijk welke assets aanwezig zijn en bepaal op functieniveau wie toegang nodig heeft tot welke systemen en gegevens.
  8. Gebruik passkeys voor authenticatie (in plaats van wachtwoorden). Deze techniek op basis van de FIDO2-standaard is in hoge mate bestand tegen phishing.
  9. Gebruik versleuteling om gegevens te beveiligen. Beschrijf in je versleutelingbeleid waar en hoe je dit toepast, zowel waar gegevens worden opgeslagen als op verbindingen waar gegevens worden verstuurd en ontvangen.
  10. Toets beveiligingsmaatregelen regelmatig (bijvoorbeeld jaarlijks) op hun effectiviteit. Dit draagt bij aan risicobeheersing, ondersteunt naleving en biedt inzicht in mogelijke verbeteringen.

Uiteraard zijn wij er om jullie te helpen bij deze vraagstukken en de te nemen maatregelen.