Op 15 augustus 2026 trad de Cyberbeveiligingswet (Cbw) in werking. Vandaag, 22 oktober, is dat ruim twee maanden geleden. De eerste organisaties hebben zich geregistreerd, toezichthouders richten hun werk in en de eerste vragen van klanten en ketenpartners komen binnen. Een goed moment voor een tussenstand: niet wat de wet is, dat hebben we eerder beschreven, maar waar uw organisatie nu staat.
Hieronder vindt u een zelfcheck van tien ja/nee-vragen, verdeeld over de registratieplicht, de zorgplicht, de meldplicht en de governance. Daarna kijken we naar wat er de komende tijd nog op u afkomt.
Twee maanden later: drie plichten, één vraag
De Cbw, de Nederlandse uitwerking van de Europese NIS2-richtlijn, raakt naar schatting 8.000 Nederlandse organisaties in de essentiële en belangrijke sectoren. Voor al die organisaties draait het om dezelfde drie verplichtingen: registreren, zorgen en melden. Daarboven staat het bestuur, dat de maatregelen goedkeurt en erop toeziet. De vraag na twee maanden is niet of u "klaar" bent. De vraag is of u elk van die plichten heeft ingevuld én dat kunt laten zien.
Zelfcheck deel 1: registratieplicht
De registratieplicht is de meest concrete van de drie. Organisaties die onder de wet vallen, registreren zich in het entiteitenregister via Mijn.NCSC.nl, met onder meer naam, sector, contactgegevens en, waar van toepassing, IP-reeksen. Deze plicht geldt sinds 15 augustus 2026 en is handhaafbaar: wie niet of onjuist registreert, riskeert volgens de RDI een boete of een last onder dwangsom. Of u onder de wet valt, beoordeelt u zelf, bijvoorbeeld met de NIS2-Zelfevaluatietool van de overheid.
Zelfcheck deel 2: zorgplicht
De zorgplicht vraagt om een risicoanalyse en daarop gebaseerde passende en evenredige maatregelen. Denk aan beleid, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, cryptografie, multifactorauthenticatie en training. Het bestuur keurt die maatregelen goed. Na twee maanden gaat het niet om de vraag of u al aan alles voldoet, maar of u weet waar u staat en of dat onderbouwd is.
Zelfcheck deel 3: meldplicht
Bij een significant incident meldt u binnen 24 uur een vroegtijdige waarschuwing bij het CSIRT en de toezichthouder, binnen 72 uur een incidentmelding en uiterlijk een maand na de eerste melding een eindrapport. Die termijnen zijn alleen haalbaar als vooraf duidelijk is wie wat doet. Een procedure die in augustus is opgesteld maar nooit is doorlopen, is op het moment zelf weinig waard.
Zelfcheck deel 4: governance
De Cbw legt de verantwoordelijkheid bij het bestuur. Dat is geen formaliteit: het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en moet zelf over voldoende kennis beschikken.
Uw score
Tien keer ja betekent niet dat u klaar bent, maar wel dat u in control bent. Bij zeven tot negen keer ja weet u precies waar de komende maanden de aandacht naartoe moet. Bij minder dan zeven is het verstandig om de open punten nu als concrete taken met een eigenaar en een deadline te beleggen. Juist de punten waar het antwoord "eigenlijk wel, maar niet vastgelegd" is, verdienen prioriteit: die tellen bij een uitvraag niet mee.
Wat er nog komt
Hoe uComply helpt
Het door het NCSC ontwikkelde CBW/NIS2-controlframework, inclusief het Cyberbeveiligingsbesluit, zit als werkend normenkader in uComply. De zelfcheck hierboven zet u daarin één-op-één om in taken: elke vraag waarop het antwoord "nee" of "niet vastgelegd" is, wordt een actie met een eigenaar en een deadline. Per maatregel legt u het bewijs vast, zodat u bij een uitvraag van de toezichthouder of een klant niet hoeft te zoeken. Maatregelen die u al voor ISO 27001 of NEN 7510 heeft ingericht, koppelt u rechtstreeks aan de eisen van de Cbw, zonder dubbel werk.
Het bestuur ziet in het Flightdeck-dashboard de compliancescore, open risico's, bevindingen en de voortgang per norm, precies het inzicht dat de wet van bestuurders vraagt. En met Reminders en geplande taken bewaakt u de meldtermijnen van 24 uur, 72 uur en één maand, en plant u de opleiding van bestuurders richting 15 augustus 2028 in als serie, zodat niemand die deadline hoeft te onthouden.
Samenvatting
Twee maanden na de inwerkingtreding van de Cyberbeveiligingswet is de vraag niet meer óf u iets moet doen, maar wat u al kunt laten zien. Registratie, zorgplicht, meldplicht en governance: tien vragen geven u een eerlijk beeld. Zet de open punten om in taken met eigenaar en deadline, en u bent klaar voor de uitvraag die vroeg of laat komt.
Wilt u zien hoe u de zelfcheck in uComply omzet in aantoonbare beheersing? Plan een vrijblijvende demo of bekijk onze prijzen.
