De Cyberbeveiligingswet (Cbw) gaat in werking vanaf 15 augustus 2026 en staat op het punt om de Nederlandse cybersecuritysector ingrijpend te veranderen. Met deze wet zet Nederland de Europese NIS2-richtlijn om in nationale wetgeving. Duizenden organisaties worden zo verplicht om hun cyberweerbaarheid structureel te versterken. De boodschap vanuit de overheid duidelijk: wachten is geen optie.
Alles wat u moet weten én welke lessen we uit België kunnen meenemen
Voor veel organisaties roept de Cyberbeveiligingswet heel wat vragen op.
- Wie valt onder de wet?
- Wat verandert er precies?
- En hoe bereid je je hierop voor zonder te verzanden in een puur technische oefening?
Belgische organisaties hebben hierin een voorsprong. België implementeerde de NIS2-richtlijn al in oktober 2024, waardoor organisaties intussen al bijna twee jaar praktijkervaring hebben opgebouwd in deze nieuwe verplichtingen. Bij ACEN hebben we die evolutie van dichtbij meegemaakt en tientallen organisaties begeleid bij hun traject. Die ervaringen bieden vandaag waardevolle inzichten voor Nederlandse organisaties die nu aan dezelfde startlijn staan.
De Cyberbeveiligingswet is veel meer dan een nieuwe compliance verplichting
De Cyberbeveiligingswet is de Nederlandse vertaling van de Europese NIS2-richtlijn. Het doel is duidelijk: de digitale weerbaarheid van organisaties verhogen en ervoor zorgen dat cyberincidenten minder impact hebben op de maatschappij en de economie.
De vorige wetgeving richtte zich voornamelijk op een beperkte groep vitale organisaties. Nu wordt het toepassingsgebied nu aanzienlijk uitgebreid. Ook middelgrote organisaties in sectoren zoals gezondheidszorg, onderwijs, industrie, logistiek, digitale dienstverlening, IT en financiële dienstverlening vallen mogelijk rechtstreeks onder de wet. Daarnaast zullen ook heel wat organisaties die zelf niet onder de richtlijnen vallen, indirect met strengere beveiligingseisen geconfronteerd worden. Klanten, leveranciers en partners zullen ook hogere verwachtingen en eisen gaan stellen op vlak van cybersecurity.
De Cyberbeveiligingswet draait niet uitsluitend om strengere regelgeving. Ze cultiveert vooral een andere manier van denken. Cybersecurity verschuift van een technisch IT-thema naar een strategisch onderdeel in de bedrijfsvoering van elke moderne organisatie.
Governance wordt even belangrijk als technologie
Wanneer organisaties zich beginnen voorbereiden op de Cyberbeveiligingswet, wordt er vaak spontaan gekeken naar het aankopen van nieuwe security-oplossingen en -tools. Dat is begrijpelijk. Maar in de praktijk blijkt technologie zelden de grootste uitdaging te zijn.
Nieuwe tools op zich bieden vaak geen oplossing. De eerste stappen die organisaties moeten nemen zijn het krijgen van controle en inzicht in hun interne werking. Dat start vaak met het stellen van enkele fundamentele vragen.
- Is het duidelijk wie verantwoordelijk is voor het cybersecurity-luik?
- Zijn de belangrijkste risico’s ergens beschreven en in kaart gebracht?
- Bestaan er processen om mogelijke dreigingen structureel op te volgen?
- Is er voldoende zicht op leveranciers en externe partijen die toegang hebben tot kritieke systemen?
Onze ervaring in België leert ons dat nét daar de grootste inspanningen nodig zijn. Governance vormt de basislaag waarop alle technische maatregelen steunen. Zonder duidelijke verantwoordelijkheden, processen en risicobeheer wordt het bijzonder moeilijk om aan te tonen dat een organisatie effectief in controle is van haar systemen.
Cybersecurity wordt de verantwoordelijkheid van management
Een van de meest cruciale veranderingen die de Cyberbeveiligingswet met zich meebrengt, is dat cybersecurity niet langer uitsluitend de verantwoordelijkheid van de IT-afdeling kan zijn.
Bestuurders krijgen een actieve rol in het beheer van cyberrisico’s. Hun taak zal erin bestaan om een inzicht te krijgen in de risico’s waarmee hun organisatie geconfronteerd wordt. Daarnaast zullen zij keuzes moeten maken rond investeringen in passende beveiligingsmaatregelen en erop toezien dat de organisatie blijft voldoen aan de wettelijke verplichtingen .
Dat wil zeggen dat cybersecurity steeds vaker op de agenda van directie- en bestuursvergaderingen zal verschijnen. Organisaties zullen beslissingen beter moeten documenteren en risico’s periodiek moeten evalueren. Ze zullen ertoe worden verplicht om te kunnen aantonen dat beveiliging een integraal onderdeel vormt van hun bedrijfsvoering.
Identity Security als fundamentele bouwsteen
In vrijwel elk NIS2-traject stuiten organisaties uiteindelijk op dezelfde vraag: wie heeft eigenlijk toegang tot welke systemen en gegevens?
Dat lijkt een eenvoudige vraag, maar in complexe IT-omgevingen is het antwoord vaak minder vanzelfsprekend dan verwacht. Medewerkers veranderen van functie, externe consultants krijgen tijdelijke toegang, applicaties groeien en evolueren door de jaren heen en gebruikersrechten worden zelden systematisch geëvalueerd.
Precies daarom wordt Identity Security een steeds belangrijkere bouwsteen binnen NIS2. Oplossingen voor Identity Governance & Administration (IGA) en Privileged Access Management (PAM) helpen organisaties om inzicht te krijgen in alle digitale identiteiten. daarnaast helpen ze met het centraal beheer van toegangsrechten en de (snellere) opsporing van afwijkingen Dat verhoogt niet alleen de veiligheid, maar maakt ook aantoonbare compliance aanzienlijk eenvoudiger.
Compliance stopt niet na implementatie
Misschien wel de belangrijkste les die we in België geleerd hebben, is dat NIS2 geen checklist is die je één keer afwerkt om daarna achterover te leunen. Projecten hebben niet altijd een duidelijke einddatum of exact eindpunt.
Veel organisaties starten met een gap-analyse, voeren verbeteringen door en beschouwen het daarna als afgerond. In werkelijkheid begint de echte uitdaging dan pas. De Cyberbeveiligingswet vraagt om een continue aanpak waarbij risico’s regelmatig worden geëvalueerd, toegangsrechten periodiek worden gecontroleerd, leveranciers actief worden opgevolgd en beveiligingsmaatregelen voortdurend worden aangepast aan nieuwe dreigingen.
Cybersecurity evolueert voortdurend, vaak sneller dan wetgeving kan volgen.
Organisaties die compliance benaderen als een jaarlijkse oefening, lopen het risico dat hun beveiligingsaanpak binnen korte tijd alweer achterhaald is.
Waarom Nederlandse organisaties nu al in actie moeten komen
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Organisaties die nog moeten starten met hun voorbereiding, doen er goed aan om snel in actie te komen. Het opzetten van governance, processen en technische maatregelen vraagt veel meer tijd dan verwacht.
Bovendien zijn de voordelen groter dan alleen wettelijke naleving. Door vandaag te investeren in beter risicobeheer, identity security en continue monitoring bouwen organisaties niet alleen aan een betere bescherming tegen cyberincidenten. Ze creëren ook meer inzicht in hun digitale landschap. Zo kunnen ze zicht krijgen op kritieke systemen, afhankelijkheden en kwetsbaarheden waardoor hun cybersecurity beter beheersbaar en doelgerichter wordt.
ACEN's ervaring maakt het verschil
Nederland staat vandaag op hetzelfde punt waar België zich twee jaar geleden bevond. De vragen en uitdagingen zijn grotendeels dezelfde, maar Nederlandse organisaties hoeven niet vanaf nul te beginnen.
Bij ACEN begeleiden we organisaties al jaren bij Identity Security, governance, Managed Detection & Response en Security Advisory. Sinds de invoering van NIS2 in België hebben we die expertise ook ingezet om organisaties te ondersteunen bij hun voorbereiding op de nieuwe regelgeving. Daardoor weten we uit de praktijk welke aanpak werkt, waar projecten vaak vertraging oplopen en welke stappen het meeste impact maken op de kortste doorlooptijd.
De Cyberbeveiligingswet draait uiteindelijk niet om het afvinken van een checklist.
Ze biedt organisaties de kans om hun cyberweerbaarheid structureel te versterken, meer controle te krijgen over hun digitale omgeving en beter voorbereid te zijn op toekomstige dreigingen. Wie vandaag die stap zet, voldoet morgen niet alleen sneller aan de wettelijke verplichtingen, maar bouwt tegelijk aan een veiligere, veerkrachtigere en beter beheersbare organisatie.
