Van wachten naar handelen: hoe begin je nu met de Cyberbeveiligingswet?
Ruim twee jaar lang was er één argument om te wachten: duidelijkheid over de wet ontbrak. De Nederlandse implementatie van NIS2 liet op zich wachten, sectorgrenzen waren onduidelijk en drempelwaarden stonden niet vast. Voor veel bestuurders en managers was uitstel een rationele keuze.
Die duidelijkheid is er nu.
De Tweede Kamer heeft ingestemd met de Cyberbeveiligingswet. De inwerkingtreding volgt in Q2 2026, meer dan 8.000 organisaties vallen eronder en de persoonlijke aansprakelijkheid van bestuurders staat in de wet. Wachten is geen strategie meer.
Waarom wachten structureel risico heeft opgebouwd
Organisaties die hebben gewacht, hebben niet stilgestaan. Ze hebben gewoon andere prioriteiten gehad. Maar uitstel op het gebied van informatiebeveiliging heeft een eigenschap die andere uitgestelde investeringen niet hebben: het risico groeit ondertussen door.
Dreigingen nemen toe. Aanvalsmethoden worden geavanceerder, de afhankelijkheid van digitale systemen stijgt jaar op jaar, en een organisatie die in 2022 besloot te wachten op duidelijkheid, heeft inmiddels drie jaar aan risico-accumulatie achter de rug zonder structurele aanpak. Dat heeft een praktische consequentie. Wie nu begint, begint niet op nul. De afstand tot een werkend managementsysteem is groter dan die zou zijn geweest bij een eerder startpunt.
Stap 1: Bepaal of je onder de wet valt
De wet onderscheidt essentiële en belangrijke entiteiten. De drempelwaarden zijn gebaseerd op Europese definities: een middelgrote onderneming heeft minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Onder die grens val je formeel buiten de directe scope, maar de wet raakt je via de keten alsnog.
Stap 2: Voer een gap-analyse uit
Een gap-analyse brengt in kaart wat er al is en wat ontbreekt. Voor organisaties die al werken met 27001 of 7510, is de afstand vaak kleiner dan verwacht. De analyse richt zich op drie lagen:
- Maatregelen: welke technische en organisatorische maatregelen zijn al getroffen, en wat ontbreekt op basis van de zorgplicht?
- Processen: is er een incidentproces, en is de meldketen naar externe toezichthouders ingericht en getest?
- Governance: is het bestuur aantoonbaar betrokken, en worden beveiligingsbeslissingen vastgelegd?
Een gerichte beoordeling op deze drie lagen geeft binnen enkele weken een helder beeld van prioriteiten en investeringen.
Stap 3: Stel prioriteiten op basis van risico
Niet alles kan tegelijk, en dat hoeft ook niet. De wet verwacht een risicogebaseerde aanpak, geen perfecte staat van beveiliging op dag één. Prioriteer op basis van twee criteria: de kans op een incident en de impact als het misgaat. Systemen en processen die bij uitval direct de dienstverlening raken of waarbij een incident direct onder de meldplicht valt, krijgen prioriteit.
Documenteer die prioritering. Een bestuurder die kan aantonen dat er een bewuste risicoafweging is gemaakt, staat aanzienlijk sterker dan een bestuurder die niets heeft vastgelegd.
Stap 4: Richt governance in, niet alleen techniek
De meest voorkomende fout is dat organisaties de Cyberbeveiligingswet als een IT-project behandelen. Firewalls, patches en toegangsbeveiliging zijn noodzakelijk, maar niet voldoende. De wet toetst governance: wie is verantwoordelijk voor welk risico, hoe worden beveiligingsbeslissingen genomen en vastgelegd, en hoe is het bestuur betrokken?
Een werkend managementsysteem combineert beide. Technische maatregelen worden gedragen door een organisatorische structuur die zorgt voor continuïteit, opvolging en aantoonbaarheid.
Stap 5: Registreer je zodra het portaal beschikbaar is
Zodra het registratieportaal van de RDI beschikbaar komt, verwacht de wet dat organisaties zich registreren. Zorg dat de benodigde informatie al klaarstaat: organisatienaam, sector, omvang, contactgegevens en een overzicht van relevante activiteiten. Dat is een kwestie van voorbereiding, geen complexe exercitie.
Wat een realistisch tijdpad eruit ziet
Perfecte compliance op dag één van inwerkingtreding is voor de meeste organisaties niet haalbaar. Wat de wet verwacht, is aantoonbare voortgang en een structurele aanpak. Een werkbaar tijdpad ziet er als volgt uit:
- Nu: gap-analyse uitvoeren, scope bepalen, prioriteiten stellen;
- Komende maanden: governance inrichten, meldproces opstellen, bestuur actief betrekken bij risicoafweging;
- Voor inwerkingtreding: registratie afronden, meldketen testen, documentatie op orde brengen.
Een organisatie die kan laten zien dat ze serieus aan de slag is gegaan, staat fundamenteel anders dan een organisatie die niets heeft gedaan.
