'/%3E%3C/svg%3E){kind=small}
Inzichten · Cyberbeveiligingswet
8 juli 2026
Zes hardnekkige mythes over de Cyberbeveiligingswet
De wet is aangenomen en treedt op 15 augustus 2026 in werking. Deze aannames kloppen niet meer – als ze dat ooit deden.
Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet. De wet treedt op 15 augustus 2026 in werking en brengt nieuwe verplichtingen met zich mee voor ruim 8.000 organisaties in Nederland. Daarmee raakt de wet niet alleen organisaties die er rechtstreeks onder vallen – via leveranciersketens, uitbestedingsrelaties en contractuele verplichtingen krijgt u er mogelijk ook mee te maken, ook als uw organisatie zelf niet rechtstreeks onder de wet valt.
Rond de Cyberbeveiligingswet doen nog steeds veel misverstanden de ronde. Herkent u een van onderstaande aannames? Dit zijn de zes mythes die op dit moment het vaakst terugkomen in gesprekken, artikelen en discussies over de wet.
Mythe 1
“De Cyberbeveiligingswet wordt vast weer uitgesteld”
Jarenlang was vertraging de norm. Daardoor leeft bij veel organisaties nog steeds het idee dat de invoering opnieuw kan worden doorgeschoven.
De werkelijkheid is anders. De Eerste Kamer heeft de Cyberbeveiligingswet aangenomen en de wet treedt op 15 augustus 2026 in werking. Organisaties die onder de wet vallen moeten vanaf dat moment voldoen aan de wettelijke verplichtingen, waaronder registratie, zorgplicht en meldverplichtingen.
Werkelijkheid
De wet is aangenomen en heeft een inwerkingtredingsdatum. De aandacht verschuift daarmee van voorbereiding naar naleving.
Mythe 2
“Deze wet geldt alleen voor grote organisaties en kritieke sectoren”
Veel bestuurders denken direct aan energiebedrijven, telecomproviders, ziekenhuizen of overheden.
Hoewel de wet zich richt op organisaties binnen aangewezen sectoren, is de reikwijdte breder dan vaak wordt gedacht. Naast de sector telt ook de omvang van de organisatie: bedrijven met meer dan 50 medewerkers, of een jaaromzet en/of balanstotaal van meer dan 10 miljoen euro, kunnen ook onder de wet vallen als zij in een aangewezen sector actief zijn – ongeacht of zij zichzelf als “kritiek” beschouwen.
Werkelijkheid
Niet alleen de sector telt. Ook de omvang en rol van een organisatie bepalen of de Cyberbeveiligingswet van toepassing is.
Mythe 3
“Wij vallen niet onder de Cyberbeveiligingswet, dus we hoeven niets te doen”
Dit is misschien wel het meest onderschatte misverstand.
Organisaties die onder de Cyberbeveiligingswet vallen, moeten risico’s in hun toeleveringsketen beheersen. Daardoor krijgen leveranciers, softwareontwikkelaars, MSP’s, SaaS-aanbieders en andere dienstverleners steeds vaker vragen over hun cyberweerbaarheid.
Ook wanneer uw organisatie niet rechtstreeks onder de wet valt, kan een belangrijke klant eisen stellen aan beveiligingsmaatregelen, leveranciersbeoordelingen, audits of aanvullende contractuele verplichtingen. Een toezichthouder zal u in dat geval niet direct beboeten – maar uw klant kan wel degelijk de samenwerking of het contract ervan laten afhangen.
Werkelijkheid
Voor veel organisaties komt de impact van de Cyberbeveiligingswet niet rechtstreeks via de overheid, maar via klanten en ketenpartners.
Mythe 4
“Cybersecurity is iets van IT, niet van het bestuur”
Cybersecurity wordt nog regelmatig gezien als een technisch onderwerp dat volledig bij IT of Security thuishoort.
De Cyberbeveiligingswet maakt duidelijk dat cyberrisico’s een bestuurlijke verantwoordelijkheid zijn. Van bestuurders wordt verwacht dat zij betrokken zijn bij cyberrisicobeheer en toezien op passende maatregelen binnen de organisatie. Cybersecurity wordt daarmee niet alleen een technisch vraagstuk, maar ook een governance- en risicomanagementvraagstuk.
Werkelijkheid
Cybersecurity is geen IT-project. Het is een organisatiebreed vraagstuk waarbij bestuur, directie, risk, compliance, juridische zaken, inkoop en IT samenwerken.
Mythe 5
“Wij hebben ISO 27001, dus we voldoen al aan de Cyberbeveiligingswet”
ISO 27001 biedt een sterke basis voor informatiebeveiliging, maar een certificaat betekent niet automatisch dat een organisatie voldoet aan alle eisen van de Cyberbeveiligingswet.
Een belangrijk punt dat vaak wordt vergeten: ISO 27001-certificering is scopegebonden. Een certificaat kan betrekking hebben op een specifiek organisatieonderdeel, product, dienst of proces. De Cyberbeveiligingswet kijkt daarentegen naar de weerbaarheid, verantwoordelijkheden en risico’s van de organisatie als geheel.
Een ISO 27001-certificering laat zien dat informatiebeveiliging serieus wordt aangepakt. De Cyberbeveiligingswet kijkt echter breder en stelt aanvullende eisen aan governance, leveranciersrisico’s, incidentmeldingen en bestuurlijke betrokkenheid.
Werkelijkheid
ISO 27001 is een uitstekend vertrekpunt, maar geen eindstation. De vraag is niet alleen of een certificaat aanwezig is, maar ook of de organisatie als geheel aantoonbaar voldoet aan de verplichtingen uit de Cyberbeveiligingswet.
Mythe 6
“We wachten wel tot de toezichthouder contact met ons opneemt”
Sommige organisaties gaan ervan uit dat zij vanzelf worden benaderd wanneer de wet op hen van toepassing is.
De Cyberbeveiligingswet werkt echter vanuit eigen verantwoordelijkheid. Organisaties moeten zelf beoordelen of zij onder de wet vallen en zelf maatregelen treffen om aan de verplichtingen te voldoen. De overheid heeft expliciet aangegeven dat organisaties dit zelf moeten vaststellen.
Werkelijkheid
De vraag is niet of de toezichthouder contact heeft opgenomen. De vraag is of u inmiddels heeft vastgesteld wat de impact van de Cyberbeveiligingswet is op uw eigen organisatie.
Geen compliance-oefening, maar weerbaarheid
De grootste misvatting is misschien wel dat de Cyberbeveiligingswet een compliance-oefening is. In werkelijkheid gaat de wet over de weerbaarheid van organisaties. Bestuurders, leveranciers, risico’s in de keten en governance spelen daarin een net zo grote rol als techniek.
Organisaties die nu nog afwachten, lopen het risico dat klanten, leveranciers of toezichthouders sneller zijn dan zijzelf. Wilt u weten waar uw organisatie staat?
Doe de gratis CBW/NIS2 zelftest →Vier vragen, twee minuten – geen verplichtingen.
Weet u al genoeg en wilt u direct verder?
Bronnen
- Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht — rijksoverheid.nl
- Eerste Kamer — Cyberbeveiligingswet (36.764) — eerstekamer.nl
- Nationaal Cyber Security Centrum (NCSC) — Cyberbeveiligingswet (NIS2) — ncsc.nl
- NCSC — De Cyberbeveiligingswet en toeleveranciers — ncsc.nl
- Rijksinspectie Digitale Infrastructuur (RDI) — Cyberbeveiligingswet — rdi.nl