Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Organisaties in 18 sectoren krijgen te maken met strengere eisen voor hun digitale beveiliging.
De Europese richtlijn dateert van 14 december 2022. Nederland had de regels uiterlijk op 17 oktober 2024 moeten omzetten, maar haalde die datum niet. De Eerste Kamer stemde op 7 juli 2026 in met de wet. Daarna volgde de inwerkingtreding.
Afbeeldingsbron: Pexels
Wie onder de wet valt
Niet elke organisatie valt onder de Cbw. Volgens de Rijksdienst voor Ondernemend Nederland hangt dat af van de sector, de diensten en de omvang van het bedrijf. Organisaties die eronder vallen, moeten zich registreren. Na een significant cyberincident moet in de regel binnen 24 uur een eerste melding zijn gedaan.
Ook partijen die zelf niet onder de wet vallen, kunnen er indirect mee te maken krijgen. Dat geldt voor leveranciers van organisaties die wel onder de wet vallen. Zij krijgen vaak te maken met eisen die hun afnemers aan de keten stellen.
Wat de wet van organisaties vraagt
De wet legt onder meer een zorgplicht, een meldplicht en risicobeheer van de toeleveringsketen op. In de praktijk betekent dat dat een organisatie moet kunnen aantonen dat de risico’s in kaart zijn gebracht en dat er maatregelen zijn getroffen die daarbij passen. Alles hoeft niet vanaf de eerste dag volledig te zijn ingericht, maar de basis moet er liggen. Toezichthouders zijn sinds 15 augustus bevoegd om de naleving te controleren.
Webshops in de keten
Een webshop draait zelden op één partij. Er is een hostingpartij, een betaaldienstverlener, een softwareleverancier en vaak nog een aantal koppelingen daaromheen. In de richtlijn zelf worden aanbieders van clouddiensten en online marktplaatsen expliciet genoemd, waardoor vooral die onderdelen van de keten onder de aandacht komen.
Webshophouders die het technische beheer hebben uitbesteed aan managed cloud hosting, leggen een deel van de dagelijkse beveiligingstaken bij de leverancier, zoals het bijhouden van updates en het monitoren van de omgeving. De verantwoordelijkheid van de ondernemer zelf verdwijnt daarmee niet. Het inventariseren van risico’s, het vastleggen van een incidentprocedure en afspraken met leveranciers blijven eigen werk.
Naast de Cbw geldt voor webshops die persoonsgegevens verwerken de meldplicht datalekken uit de AVG. Een ernstig datalek moet binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens. Voor ondernemers die klantgegevens en betalingen verwerken, komen beide verplichtingen dus naast elkaar te staan.
Eerste stappen voor ondernemers
Het eerste punt is vaststellen of de organisatie onder de wet valt. Daarna volgen registratie en het in kaart brengen van de bestaande beveiligingsmaatregelen. Per schakel in de keten, van hosting tot betaalgateway, is het gebruikelijk om vast te leggen wie waarvoor verantwoordelijk is. De NCTV publiceert hiervoor een stappenplan.
Hoe streng het toezicht in de praktijk wordt, moet de komende maanden blijken. Voor webshops die dagelijks klantgegevens en betalingen verwerken, geldt in elk geval dat de keten nu nadrukkelijker op tafel ligt.