Cbw en Wwke van kracht per 15 augustus 2026: sectoraal toezicht en samenwerking in het STDW

De Eerste Kamer heeft op 7 juli 2026 ingestemd met de wetsvoorstellen voor de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Beide wetten treden op 15 augustus 2026 in werking. Met de Cbw zet Nederland de Europese NIS2-richtlijn om; de Wwke implementeert de CER-richtlijn. De Cbw vervangt de sinds 9 november 2018 geldende Wet beveiliging netwerk- en informatiesystemen (Wbni), de eerdere omzetting van de NIS-richtlijn uit 2016. Het toezicht op beide wetten is sectoraal verdeeld over tien afzonderlijke toezichthouders, die hun werkzaamheden afstemmen in het Samenwerkend Toezicht Digitale Weerbaarheid (STDW). Vanaf de inwerkingtreding gelden voor ruim 8.000 organisaties nieuwe verplichtingen op het gebied van cyberbeveiliging.

Instemming door de Eerste Kamer en datum van inwerkingtreding

De instemming van de Eerste Kamer volgde op de aanvaarding door de Tweede Kamer op 15 april 2026. Na de schriftelijke behandeling en het debat op 6 en 7 juli 2026 nam de Eerste Kamer beide wetsvoorstellen aan. Beide wetten treden op 15 augustus 2026 in werking. Vanaf dat moment moeten organisaties die onder de Cbw vallen zich registreren bij het Nationaal Cyber Security Centrum (NCSC).

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten

De Cyberbeveiligingswet vormt de Nederlandse omzetting van de NIS2-richtlijn (Network and Information Security Directive, Directive (EU) 2022/2555) en geldt voor organisaties die essentiële of belangrijke diensten verlenen. De Wet weerbaarheid kritieke entiteiten zet de CER-richtlijn (Critical Entities Resilience Directive, Directive (EU) 2022/2557) om en maakt het mogelijk organisaties formeel aan te wijzen als kritieke entiteit. De NIS2-richtlijn ziet op de digitale weerbaarheid van netwerk- en informatiesystemen; de CER-richtlijn richt zich op de bescherming van kritieke infrastructuur tegen dreigingen als sabotage en natuurrampen. De aanwijzing als kritieke entiteit onder de Wwke geschiedt door de betrokken vakminister.

Sectoraal toezicht door tien toezichthouders

Nederland koos bij de invoering van de nieuwe cyberwetgeving voor sectoraal toezicht in plaats van één centrale cybertoezichthouder. Elke toezichthouder houdt binnen de eigen sector toezicht op hetzelfde wettelijke kader. De achtergrond die de betrokken toezichthouders daarbij noemen, is dat een cyberincident een energieleverancier anders raakt dan een voedselbedrijf of een telecomaanbieder, en dat de kennis van de sector bij de sectorale toezichthouder ligt. Onder de Cbw en de Wwke zijn tien toezichthouders betrokken: de Autoriteit Nucleaire Veiligheid en Stralingsbescherming (ANVS), de Autoriteit Persoonsgegevens (AP), De Nederlandsche Bank (DNB), de Inspectie Gezondheidszorg en Jeugd (IGJ), de Inspectie Leefomgeving en Transport (ILT), de Inspectie Justitie en Veiligheid (Inspectie JenV), de Inspectie van het Onderwijs, de Nederlandse Voedsel- en Warenautoriteit (NVWA), de Rijksinspectie Digitale Infrastructuur (RDI) en het Staatstoezicht op de Mijnen (SodM). Elke toezichthouder blijft handelen binnen de eigen wettelijke rol, grondslag en verantwoordelijkheid.

Samenwerkend Toezicht Digitale Weerbaarheid en het Directeurenoverleg

Het Samenwerkend Toezicht Digitale Weerbaarheid bestaat al sinds de periode van de Wbni, die op 9 november 2018 in werking trad. Met de komst van de Cbw en de Wwke nam de RDI het initiatief om de samenwerking te intensiveren en werd het Directeurenoverleg Toezicht Digitale Weerbaarheid opgericht. Het DTDW bepaalt de koers en fungeert als opdrachtgever van het STDW, waarin toezichthouders in werkgroepen werken aan producten zoals een samenwerkingsprotocol, toezichtkaders en afspraken over interventies. De gezamenlijke doelen zijn het harmoniseren van toezicht, het uitwisselen van informatie, het beperken van de toezichtlast en het verkrijgen van een beter beeld van de digitale weerbaarheid van Nederland.

Toezichtkaders, ecosysteemanalyses en de coördinerende toezichthouder

In de werkgroepen werken de toezichthouders aan gezamenlijke toezichtkaders en interventiebeleid. Daarbij komen vragen aan de orde over de eisen die tijdens een audit worden gesteld, de bewijzen die worden gevraagd om te beoordelen of een organisatie haar risico's beheerst, en de reactie op een tekortschietende organisatie. Via ecosysteemanalyses brengen de toezichthouders in kaart welke organisaties, diensten en sectoren van elkaar afhankelijk zijn, omdat een cloudleverancier of datacenter voor meerdere sectoren tegelijk van belang kan zijn. In gevallen waarin meerdere sectoren betrokken zijn, spreken de toezichthouders af wie optreedt als coördinerende toezichthouder, zodat de toezichtactiviteiten op elkaar worden afgestemd.

Verplichtingen en handhaving onder de Cyberbeveiligingswet

De Cyberbeveiligingswet legt organisaties verschillende verplichtingen op. Zij moeten zich registreren in het entiteitenregister via het NCSC, maatregelen nemen om risico's voor de beveiliging van netwerk- en informatiesystemen te beheersen (de zorgplicht) en significante incidenten binnen de wettelijke termijnen melden bij hun CSIRT en de bevoegde autoriteit (de meldplicht). Het bestuur van een organisatie is eindverantwoordelijk voor de beheersing van cyberrisico's en moet over voldoende kennis beschikken om risico's en maatregelen te kunnen beoordelen. De toezichthouders controleren of organisaties aan deze verplichtingen voldoen en beschikken daarvoor over bevoegdheden tot toezicht en handhaving. De RDI gaat toezicht houden op duizenden organisaties uit negen sectoren; in totaal krijgen ruim 8.000 organisaties met de nieuwe verplichtingen te maken.

Afsluiting

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten zijn door beide Kamers aanvaard en treden op 15 augustus 2026 in werking. Het toezicht is verdeeld over tien toezichthouders, die in het STDW en het DTDW afspraken hebben gemaakt over toezichtkaders, interventiebeleid en de rol van een coördinerende toezichthouder. De praktische werking van die afspraken wordt zichtbaar wanneer de wetgeving van kracht is en de eerste organisaties zich registreren en onder toezicht komen te staan. De betrokken toezichthouders geven aan dat de nadruk daarna verschuift van het inrichten van de samenwerking naar de uitvoering ervan.