De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten zijn vanaf 15 augustus 2026 van kracht. De wetten versterken de digitale en fysieke weerbaarheid van organisaties en brengen voor duizenden organisaties nieuwe wettelijke verplichtingen mee, waaronder registratie-, zorg- en meldplichten, toezicht en bestuurlijke verantwoordelijkheid.
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Organisaties moeten zelf vaststellen of de wet op hen van toepassing is.
Organisaties die onder de wet vallen, moeten zich registreren in het nationaal entiteitenregister en passende en evenredige maatregelen nemen om risico’s voor netwerk- en informatiesystemen te beheersen. Significante incidenten moeten binnen de wettelijke termijnen worden gemeld aan het bevoegde CSIRT en de bevoegde autoriteit. Het bestuur is verantwoordelijk voor het goedkeuren en uitvoeren van de zorgplichtmaatregelen. Bestuurders moeten bovendien voldoende kennis hebben en daarvoor een passende training volgen.
De Wet weerbaarheid kritieke entiteiten implementeert de Europese CER-richtlijn en geldt voor ongeveer 500 organisaties die door het verantwoordelijke ministerie als kritieke entiteit worden aangewezen. Binnen negen maanden na aanwijzing moeten zij een risicobeoordeling uitvoeren. Binnen tien maanden moeten passende technische, organisatorische en fysieke maatregelen zijn getroffen. Incidenten die een aanzienlijke verstoring van essentiële diensten veroorzaken of kunnen veroorzaken, moeten binnen 24 uur worden gemeld.