De Cyberbeveiligingswet (Cbw; Stb. 2026, 187), die Richtlijn (EU) 2022/2555 (NIS2) in Nederlands recht omzet, is op 15 augustus 2026 in werking getreden, samen met het Cyberbeveiligingsbesluit (Cbb; Stb. 2026, 189), op grond van artikel 35 van het Cbb.
Statusnotitie. Of een entiteit essentieel of belangrijk is, volgt uit de Cbw zelf (art. 8 en 12); de entiteit stelt dit zelf vast en verstrekt haar gegevens voor het register (art. 44).
Wat is er veranderd
Sinds 15 augustus 2026 moeten essentiële entiteiten (art. 8 Cbw) en belangrijke entiteiten (art. 12) passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen (zorgplicht, art. 21); die maatregelen moeten door het bestuursorgaan worden goedgekeurd (art. 24, lid 1). Zij verstrekken hun gegevens voor het nationale register dat de minister bijhoudt (art. 43 en 44, lid 1) en geven elke wijziging binnen twee weken door (art. 44, lid 2). Een significant incident wordt gemeld aan het CSIRT en de bevoegde autoriteit van de entiteit: een vroegtijdige waarschuwing onverwijld of, indien dat niet mogelijk is, binnen 24 uur na kennisname (art. 26, lid 1) en een melding onverwijld of, indien dat niet mogelijk is, binnen 72 uur na kennisname (art. 27, lid 1). Een verlener van vertrouwensdiensten meldt onverwijld of, indien dat niet mogelijk is, binnen 24 uur na kennisname als het incident zijn vertrouwensdienst raakt (art. 27, lid 2). Iedere meldende entiteit dient uiterlijk een maand na de melding een eindverslag in (art. 29, lid 1); is het incident dan nog niet afgehandeld, dan dient zij op dat moment een voortgangsverslag in en het eindverslag binnen een maand na afhandeling van het incident (art. 29, lid 2). Voor vervoer houden ambtenaren van de Inspectie Leefomgeving en Transport (ILT) toezicht op de naleving (Stcrt. 2026, 24155).
Waarom het uitmaakt
Voor transport- en logistieke entiteiten binnen het toepassingsgebied gelden de zorgplicht, de registratie en de incidentmelding vanaf de datum van inwerkingtreding. Bestuursleden die op 15 augustus 2026 al in functie waren, hebben tot 15 augustus 2028 om aan de kennis- en vaardigheidseis te voldoen, later benoemde bestuursleden twee jaar vanaf hun benoeming (art. 24, lid 3, Cbw), maar de goedkeuring van de maatregelen door het bestuursorgaan (art. 24, lid 1) geldt nu al.
Wie het raakt
Entiteiten van een soort die is opgenomen in bijlage 1 (waaronder vervoer) of bijlage 2 bij de Cbw en die op grond van de artikelen 8 en 12 essentiële of belangrijke entiteiten zijn, en de leden van hun bestuursorganen.
Rollenbestuursorganenbeveiligingsteamsincidentresponseteamscomplianceteams
Organisatiesessentiële entiteitenbelangrijke entiteitentransport- en logistieke bedrijven
Wat u nu controleert
- Stel vast of uw organisatie een essentiële entiteit (art. 8 Cbw) of een belangrijke entiteit (art. 12) is
- Verstrek uw gegevens voor het nationale register (art. 44, lid 1) en geef wijzigingen binnen twee weken door (art. 44, lid 2)
- Laat de zorgplichtmaatregelen van art. 21, lid 3, inclusief beveiliging van de toeleveringsketen (onder d), goedkeuren door het bestuursorgaan (art. 24, lid 1)
- Test de meldroute: vroegtijdige waarschuwing onverwijld of, indien dat niet mogelijk is, binnen 24 uur na kennisname (art. 26, lid 1); melding onverwijld of, indien dat niet mogelijk is, binnen 72 uur na kennisname, of binnen 24 uur na kennisname voor verleners van vertrouwensdiensten als het incident hun vertrouwensdienst raakt (art. 27, leden 1 en 2); eindverslag binnen een maand na de melding of, als het incident dan nog niet is afgehandeld, op dat moment een voortgangsverslag en het eindverslag binnen een maand na afhandeling van het incident (art. 29, leden 1 en 2).
- Leg voor bestuursleden die op 15 augustus 2026 al in functie waren vast dat zij uiterlijk 15 augustus 2028 aan de kennis- en vaardigheidseis voldoen; later benoemde bestuursleden hebben twee jaar vanaf hun benoeming. Plan het bijbehorende opleidingscertificaat tegen de geldende termijn (art. 24, leden 3 en 5, Cbw)
Belangrijke data
- 2026-07-10Cbw en Cbb gepubliceerd (Stb. 2026, 187 en 189)
- 2026-08-15Cbw en Cbb in werking getreden (art. 35 Cbb)
- 2028-08-15Termijn voor de kennis- en vaardigheidseis voor bestuursleden die op 15 augustus 2026 al in functie waren (art. 24, lid 3, Cbw)
Bron. Staatsblad 2026, 187 — Cyberbeveiligingswet ↗
Document: Stb. 2026, 187 (Cyberbeveiligingswet); Stb. 2026, 189 (Cyberbeveiligingsbesluit)
Door Trusq geverifieerd tegen deze bron op 6 nov 2026. Trusq publiceert alleen wat het kan herleiden tot een officiële bron; de brontekst prevaleert. Geen juridisch advies.
Document: Stb. 2026, 187 (Cyberbeveiligingswet); Stb. 2026, 189 (Cyberbeveiligingsbesluit)
Door Trusq geverifieerd tegen deze bron op 6 nov 2026. Trusq publiceert alleen wat het kan herleiden tot een officiële bron; de brontekst prevaleert. Geen juridisch advies.