Cyberbeveiligingswet: veilig zijn is niet genoeg, u moet het kunnen aantonen

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse invulling van de Europese NIS2-richtlijn. Volgens het NCSC vallen er ruim 8.000 organisaties onder. Voor hen is cyberbeveiliging geen goed voornemen meer, maar een wettelijke plicht waar het bestuur zelf verantwoordelijk voor is.

Eén ding wordt daarbij vaak onderschat: het is niet genoeg om veilig te zijn. U moet ook kunnen aantonen dat u dat was. En niet alleen vandaag, maar ook op de dag dat er iets misging.

Stand per 25 augustus 2026. Dit artikel is geen juridisch advies.

Valt uw organisatie onder de Cbw?

De wet geldt voor organisaties in 18 sectoren, waaronder energie, transport, zorg, drinkwater, digitale infrastructuur, overheid, productie en levensmiddelen. In de regel gaat het om middelgrote en grote organisaties: vanaf 50 medewerkers, of met een jaaromzet én balanstotaal boven 10 miljoen euro. Sommige organisaties vallen er ongeacht hun omvang onder. Het NCSC heeft een zelfcheck waarmee u nagaat of en hoe de wet voor u geldt.

Valt u er zelf niet onder, dan krijgt u er waarschijnlijk toch mee te maken. Organisaties die wel onder de wet vallen, moeten ook de beveiliging van hun toeleveringsketen regelen. Zij gaan hun leveranciers dus vragen hoe het met hun beveiliging staat.

Wat de wet vraagt

De Cbw kent drie hoofdverplichtingen:

• Registratieplicht: u registreert zich bij het NCSC.
• Meldplicht: een significant incident meldt u binnen 24 uur (vroegtijdige waarschuwing), daarna binnen 72 uur (incidentmelding) en uiterlijk een maand later met een eindverslag.
• Zorgplicht: u neemt passende en evenredige maatregelen om de risico’s voor uw netwerk- en informatiesystemen te beheersen.

Artikel 21 van de wet noemt de onderwerpen die die maatregelen ten minste moeten afdekken. Een aantal daarvan raakt direct aan uw Microsoft 365-omgeving:

• toegangsbeleid en beheer van assets
• waar gepast: multifactorauthenticatie en beveiligde communicatie
• incidentenbehandeling en bedrijfscontinuïteit, waaronder back-ups
• beveiliging van de toeleveringsketen
• cyberhygiëne en opleiding
• beleid en procedures om de effectiviteit van de maatregelen te beoordelen

Dat laatste punt is belangrijk. De wet vraagt niet alleen dat u maatregelen neemt, maar ook dat u blijft beoordelen of ze werken.

Het bestuur is aan zet

De Cbw legt de verantwoordelijkheid nadrukkelijk bij het bestuur (artikel 24). Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. Bestuurders moeten zelf voldoende kennis hebben om risico’s en maatregelen te beoordelen. Binnen twee jaar moeten ze daarvoor een training met certificaat hebben gevolgd, en die kennis moeten ze actueel houden.

Daar hangen gevolgen aan. Een bestuurder die niet aan deze kennis- en trainingsplicht voldoet, kan een last onder dwangsom of een persoonlijke boete tot € 25.000 krijgen. De organisatie zelf riskeert bij overtreding van de zorgplicht of de meldplicht een boete tot € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot € 7 miljoen of 1,4% voor belangrijke entiteiten. Bij essentiële entiteiten kan de toezichthouder de rechter zelfs vragen een bestuurder te schorsen zolang een besluit niet wordt nageleefd.

Waarom aantonen zo belangrijk is

De toezichthouder heeft stevige middelen. Hij kan een beveiligingsscan laten uitvoeren, u verplichten een onafhankelijke deskundige te laten onderzoeken of u aan de wet voldoet, en een bindende aanwijzing geven om maatregelen te nemen. Bij essentiële entiteiten houdt de toezichthouder vooraf toezicht. Bij belangrijke entiteiten komt het toezicht meestal achteraf, na een signaal of een incident.

En juist dan wordt de vraag: hoe stond het ervoor? Wie een incident meldt, moet in het eindverslag uitleggen wat er gebeurde, wat de oorzaak was en welke maatregelen zijn genomen. Een goedgekeurd beleidsdocument beantwoordt die vraag niet. Wat telt, is hoe de omgeving op dat moment werkelijk was ingericht.

Een momentopname is niet genoeg

Veel organisaties laten eens per jaar een audit of scan uitvoeren. Dat geeft een goed beeld van één moment. Maar een Microsoft 365-omgeving verandert elke dag: er komen beheerders bij, er wordt een uitzondering op MFA gemaakt voor een project, een gast krijgt toegang tot een gevoelige site, een beleidsregel wordt tijdelijk uitgezet en niet meer aangezet.

Een audit in maart zegt daarom weinig over de situatie in juni. Stel dat er in juni een account wordt overgenomen. Dan wil de toezichthouder weten of MFA op die dag aanstond voor dat account, sinds wanneer er een uitzondering was en wie daarvoor koos. Dat kunt u alleen beantwoorden als u het doorlopend heeft vastgelegd.

Met historische metingen kunt u wel laten zien:

• op 3 juni stond de configuratie goed, gemeten tegen een erkende standaard
• op 4 juni veranderde er iets, en u kreeg daar een melding van
• op 5 juni was het hersteld, of was het risico bewust geaccepteerd met een eigenaar, een reden en een einddatum

Dat is precies wat de wet bedoelt met het beoordelen van de effectiviteit van maatregelen. Het laat ook zien dat het bestuur toezicht houdt en bewuste keuzes maakt, in plaats van te vertrouwen op een rapport van maanden geleden.

Waar Microsoft 365 in beeld komt

Voor de meeste organisaties is Microsoft 365 het hart van de digitale werkplek: identiteiten, e-mail, documenten en apparaten komen daar samen. Daarmee is het ook een van de belangrijkste plekken om uw zorgplicht aan te tonen. Denk aan:

• Conditional Access en multifactorauthenticatie voor alle gebruikers
• het aantal en het gebruik van beheerdersaccounts
• gasttoegang en het delen van gegevens buiten de organisatie
• de beveiliging van e-mail tegen phishing en spoofing
• apparaten die aan de beveiligingseisen voldoen voordat ze bij gegevens kunnen

Er zijn erkende standaarden om dit tegen te meten, zoals de CIS Microsoft 365 Foundations Benchmark, de beveiligingsbaselines van CISA en het Zero Trust-model van Microsoft.

Eerste stappen

1. Doe de zelfcheck van het NCSC en registreer uw organisatie als de wet voor u geldt.
2. Voer een risicoanalyse uit en leg vast welke maatregelen u neemt.
3. Betrek het bestuur: laat het de maatregelen goedkeuren en plan de verplichte training.
4. Maak een nulmeting van uw Microsoft 365-omgeving tegen een erkende standaard.
5. Meet daarna doorlopend en leg de uitkomsten vast, zodat u op elk moment kunt laten zien hoe het ervoor stond.

Hoe wij kunnen helpen

Met de Security Health Check meten wij de beveiliging van uw Microsoft 365-, Entra- en Intune-omgeving tegen de CIS-benchmark, de CISA-baselines en Zero Trust. Bij de doorlopende varianten gebeurt dat elke dag, met een historie die u altijd terug kunt zien, een melding bij elke verslechtering, een risicoregister en auditbewijs in begrijpelijke taal. Zo levert u voor uw Microsoft-omgeving bewijsmateriaal dat aansluit bij uw zorgplicht onder de Cbw.

De Health Check is geen volledige Cbw-toets van uw organisatie en geen juridisch advies. Hij dekt het deel van uw zorgplicht dat in uw Microsoft-omgeving zit, en dat is voor de meeste organisaties een groot deel.

Plan een kennismaking of bekijk de Security Health Check.

Bronnen

• Cyberbeveiligingswet (NIS2), NCSC
• Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht, Rijksoverheid (15 augustus 2026)
• Cyberbeveiligingswet, wetten.overheid.nl: artikel 21 (zorgplicht), 24 (bestuur), 26 tot en met 29 (meldtermijnen), 70 tot en met 78 (toezicht), 80 en 87 (boetes), 92 en 93 (bestuurders)