De Cyberbeveiligingswet (Cbw) is vandaag, 15 augustus, in werking getreden. De Cbw is bedoeld om Nederland digitaal weerbaarder en veiliger te maken. De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen. Zij zijn vanaf vandaag verplicht passende maatregelen nemen tegen risico’s voor de beveiliging van hun netwerk- en informatiesystemen en moeten ernstige incidenten melden. De Rijksinspectie Digitale Infrastructuur (RDI) is een van de toezichthouders op de Cbw en houdt onder meer toezicht op de energiesector, de digitale infrastructuur en de overheid.
Zelfevaluatietool
Organisaties zijn er zelf verantwoordelijk voor om te bepalen of zijn onder de Cbw vallen. De RDI roept organisaties op om dit zo snel mogelijk te doen. Hiervoor kunnen zij gebruik maken van een zelfevaluatietool.
Registratieplicht
Organisaties die onder de Cbw vallen moeten zich zo snel mogelijk registreren. Registratie zorgt ervoor dat organisaties tijdig kunnen worden bereikt door overheid, toezichthouders of hun Computer Security Incident Response Team (CSIRT), bijvoorbeeld voor waarschuwingen, dreigingsinformatie en ondersteuning bij cyberincidenten. Organisaties kunnen zich registreren in het Nationaal Entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).
Zorgplicht
Organisaties waarvoor de Cbw geldt moeten passende maatregelen nemen om cyberrisico’s te beheersen, incidenten te voorkomen en de gevolgen daarvan te beperken.
Meldplicht
Organisaties die onder de Cbw vallen zijn verplicht om significante cyberincidenten te melden bij het NCSC.
Bestuurlijke verantwoordelijkheid en trainingsplicht
Alle leden van het bestuur zijn eindverantwoordelijk voor governance en risicobeheersing van de organisatie als geheel. Dit geldt ook voor de cyberbeveiliging van de organisatie. Zodra de Cyberbeveiligingswet van kracht is op 15 augustus 2026, wordt van bestuurders verwacht dat zij een training volgen. In deze training leren zij hoe ze risico’s voor de beveiliging van hun organisatie kunnen herkennen en beoordelen.