De Cyberbeveiligingswet komt eraan. Waarom wachten organisaties nog steeds af?

Cybercriminelen wachten niet op wetgeving; veel organisaties wel. Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse invulling van NIS2. Het grootste risico voor je OT-omgeving is stilzitten. Je leest hier waarom digitale weerbaarheid verder gaat dan compliance, waarom dit op de bestuurstafel hoort, en hoe je vandaag de eerste stap zet.

Na jaren van uitstel is het zover. De Eerste Kamer heeft ingestemd met de Cyberbeveiligingswet, kortweg de CBW en de Nederlandse invulling van de Europese NIS2-richtlijn. Vanaf 15 augustus 2026 moeten ruim 8.000 organisaties aantoonbaar voldoen aan strengere eisen voor digitale weerbaarheid. Toch volgen veel organisaties de ontwikkelingen nog vanaf de zijlijn. Eerst maar eens afwachten hoe streng de toezichthouder handhaaft. Pas daarna beslissen ze of extra investeringen nodig zijn.

Dat is een riskante gedachte. Niet vanwege de boetes, maar omdat cybercriminelen zich niets aantrekken van invoeringsdata. De vraag is allang niet meer óf een organisatie wordt aangevallen, maar wanneer. En hoeveel pijn een cyberincident moet doen voordat iemand in actie komt.

Een investering zonder zichtbaar rendement

Waarom blijven zoveel organisaties dan toch afwachten? Dat heeft alles te maken met hoe we naar investeringen kijken. Een nieuwe productielijn verhoogt de capaciteit. Een nieuwe machine levert meer output. De opbrengst is direct zichtbaar en eenvoudig uit te leggen.

Cybersecurity werkt andersom. Je investeert in het oplossen van een onzichtbaar probleem, en als je het goed doet, zie je nooit waarom die investering nodig was. Daardoor is de urgentie lastig te voelen.

Veel organisaties hebben bovendien nooit een ernstig cyberincident meegemaakt. Of ze zijn wel geraakt, maar de impact bleef beperkt doordat een back-up kon worden teruggezet. Dan ontstaat al snel het gevoel dat het risico meevalt, terwijl de onderliggende kwetsbaarheden vaak nog gewoon aanwezig zijn.

Waarom juist de OT-omgeving kwetsbaar is

De grootste blinde vlek zit in de OT-omgeving: de operationele technologie die fysieke processen aanstuurt, van productielijnen tot gebouwbeheer- en klimaatsystemen. Die systemen zijn vaak 10 tot 30 jaar oud en ontworpen in een tijd waarin ze niet aan het internet hingen. Beveiliging zat niet in het ontwerp. Ze zijn gebouwd op betrouwbaarheid en beschikbaarheid, niet op weerbaarheid tegen aanvallen.

Dat maakt OT lastiger te beveiligen dan een kantoornetwerk. Je kunt een productielijn niet zomaar stilleggen voor een update, onderhoudsvensters zijn schaars en verouderde software laat zich niet altijd patchen. Juist daarom bleven deze systemen lang onder de radar, terwijl ze inmiddels wél met IT-netwerken verbonden zijn. Precies die combinatie brengt de Cyberbeveiligingswet nu in beeld.

Het gaat om continuïteit, niet alleen om compliance

De Cyberbeveiligingswet wordt vaak benaderd als compliancevraagstuk. Organisaties moeten kunnen aantonen dat ze passende maatregelen nemen en risico's beheersen. Terecht, en de sanctie is fors: voor essentiële entiteiten loopt de boete op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten ligt die grens op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Maar de boete is niet de belangrijkste reden om te beginnen. Digitale weerbaarheid gaat uiteindelijk over de continuïteit van je organisatie. Wat gebeurt er als een productieproces stilvalt? Als een gebouwbeheersysteem niet meer reageert? Of als medewerkers geen toegang meer hebben tot kritieke applicaties? De impact van zo'n verstoring is vaak vele malen groter dan een boete.

In die zin lijkt cybersecurity steeds meer op safety. Niemand vraagt zich af of investeren in machineveiligheid, brandveiligheid of persoonlijke beschermingsmiddelen wel genoeg rendement oplevert. Het hoort bij een veilige werkplek en verantwoord ondernemen. Digitale veiligheid verdient dezelfde plek: als integraal onderdeel van risicobeheersing en bedrijfscontinuïteit.

Wat de Cyberbeveiligingswet van bestuurders vraagt

Daarom verschuift cybersecurity van een IT-vraagstuk naar een bestuurlijke verantwoordelijkheid. De Cyberbeveiligingswet maakt dat expliciet: bestuurders moeten inzicht hebben in de belangrijkste digitale risico's en toezien op passende maatregelen. Daarnaast geldt een opleidingsplicht. Bestuurders moeten binnen twee jaar een cybersecuritytraining hebben gevolgd. Wie niet aan die verplichting voldoet, riskeert een persoonlijke boete tot 25.000 euro. Cyberrisico is daarmee geen post meer die je volledig kunt delegeren aan de IT-afdeling.

Cybersecurity begint met inzicht

Opvallend genoeg ontstaan de meeste beveiligingsproblemen niet door geavanceerde aanvallen, maar doordat de basis niet op orde is. Veel organisaties weten niet precies welke assets ze beheren, welke software daarop draait of welke leveranciers toegang hebben tot hun omgeving. Zonder dat overzicht is het vrijwel onmogelijk om de juiste maatregelen te nemen.

Ook remote toegang verdient aandacht. Leveranciers moeten installaties kunnen onderhouden, maar krijgen daarbij soms ruimere rechten dan nodig. Functioneel lijkt dat efficiënt, vanuit veiligheid vergroot het onbedoeld het aanvalsoppervlak. Cybersecurity begint daarom met overzicht. Een NIS2 Quickscan brengt de risico's en gaps in kaart en vormt het vertrekpunt voor een gerichte aanpak.

Vanuit dat inzicht vergroot je stap voor stap je weerbaarheid: IT- en OT-netwerken segmenteren, toegangsrechten beperken, remote toegang veilig inrichten en kwetsbaarheden structureel beheren. Dat je hierin keuzes maakt is geen zwakte, het is de norm. Veel fabrieken hebben de scheiding tussen IT- en OT-netwerken nog niet doorgevoerd. Niet alles hoeft in één keer, zolang er maar een duidelijke route ligt.

Bereid je voor op de dag erna

Geen enkele organisatie kan garanderen dat ze nooit gehackt wordt. Daarom is het minstens zo belangrijk om voorbereid te zijn op wat er gebeurt als het tóch misgaat. Wie wordt er gebeld? Zijn contactgegevens nog beschikbaar als het netwerk uitvalt? Kunnen kritieke processen doorgaan zonder internet? En hoe snel herstel je?

De CBW dwingt die voorbereiding deels af. Bij een significant incident geldt een meldplicht: een eerste melding binnen 24 uur, een vervolgmelding binnen 72 uur en een eindrapport binnen een maand. Zonder incident response-plan haal je die termijnen niet. En een plan dat in een la ligt, werkt niet. Net als een brandoefening heeft een cybernoodplan alleen waarde als je het regelmatig test, bijvoorbeeld met tabletop-oefeningen waarin je een aanval op papier doorleeft. Pas dan weet je zeker dat processen, systemen én mensen doen wat ze moeten doen wanneer iedere minuut telt.

Wachten vergroot alleen de opgave

Cyberdreigingen ontwikkelen zich sneller dan ooit. De tijd tussen het ontdekken van een kwetsbaarheid en het actief misbruiken ervan wordt steeds korter. De luxe om af te wachten wordt daarmee kleiner.

Organisaties die nu investeren in digitale weerbaarheid, voldoen straks aan de Cyberbeveiligingswet én verkleinen de kans dat een incident hun kritieke processen platlegt. Compliance en continuïteit wijzen dezelfde kant op. Eén ding staat vast: hoe langer je wacht, hoe groter de risico's en hoe omvangrijker de opgave. De organisaties die vandaag beginnen, kiezen niet voor de wet. Ze kiezen ervoor dat hun productie blijft draaien, ook op de dag dat het misgaat.