De Cyberbeveiligingswet is ingegaan: wat betekent dit voor jouw gemeente?
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. Deze wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en heeft grote gevolgen voor gemeenten, ook al is er in de praktijk nog veel onduidelijkheid over wat er precies van gemeenten wordt verwacht. In dit artikel leggen we uit wat de wet inhoudt, waarom hij er is gekomen en wat jouw gemeente nu moet doen om te voldoen aan de nieuwe regels.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn (Network and Information Security Directive 2). Deze richtlijn is door de Europese Unie vastgesteld met als doel een hoog gemeenschappelijk niveau van cyberbeveiliging binnen de EU te bereiken. Tegelijk met de Cbw is ook de Wet weerbaarheid kritieke entiteiten (Wwke) ingegaan, gebaseerd op de Europese CER-richtlijn, die zich richt op fysieke weerbaarheid van kritieke organisaties.
De invoering verliep niet zonder vertraging: de Europese omzettingstermijn liep al af op 17 oktober 2024, maar Nederland haalde die datum niet. Gemeenten wisten daardoor al geruime tijd dat ze onder de wet zouden vallen, terwijl de concrete Nederlandse regels nog niet vastlagen. Sinds 15 augustus 2026 is die onduidelijkheid weggenomen: de wet legt nu vast wat verplicht is en hoe de toezichthouder kan handhaven.
De wet geldt in totaal voor organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, vervoer en de overheid. In Nederland vallen ruim 8.000 organisaties onder de nieuwe verplichtingen.
Waarom is dit relevant voor gemeenten?
Nederland heeft ervoor gekozen om gemeenten, provincies en waterschappen aan te merken als 'essentiële entiteit', ongeacht hun omvang. Dat betekent dat de wet voor elke gemeente geldt, van de kleinste tot de grootste, en dat er geen ondergrens is qua inwonertal of aantal medewerkers zoals bij sommige andere sectoren. Bovendien geldt de wet zonder overgangstermijn: gemeenten moeten er per direct aan voldoen.
De achterliggende reden is een reële en groeiende dreiging. Digitale ontwrichting wordt gezien als een van de grootste operationele en bestuurlijke risico's van dit moment en cybersecurity verschuift daarmee nadrukkelijk van de serverruimte naar de bestuurskamer. Dat dit geen abstract risico is, bleek onder meer in maart 2026, toen de gemeente Epe werd getroffen door een ernstig datalek als gevolg van een professionele cyberaanval. Het NCSC (Nationaal Cyber Security Centrum) benadrukt dat dergelijke incidenten aantonen dat geen enkele organisatie immuun is voor digitale dreigingen, met mogelijk grote financiële schade, operationele verstoringen en reputatieschade als gevolg.
De drie kernverplichtingen
De Cyberbeveiligingswet draait om drie samenhangende verplichtingen.
1. Zorgplicht
Gemeenten moeten passende technische, organisatorische en bestuurlijke maatregelen treffen, onderhouden en aantoonbaar borgen om cyberrisico's te beheersen. Dit geldt niet alleen voor digitale systemen, maar ook voor de fysieke omgeving waarin die systemen zich bevinden.
Voor gemeenten is deze zorgplicht niet vrijblijvend: de Baseline Informatiebeveiliging Overheid 2 (BIO2) geldt als het verplichte normenkader waarmee de zorgplicht gestructureerd en aantoonbaar moet worden ingevuld. Er is overigens een duidelijke overlap met artikel 32 van de AVG over de beveiliging van persoonsgegevens: een gemeente die haar AVG-beveiliging op orde heeft, legt daarmee al een deel van de zorgplicht af. De Cbw gaat echter verder, omdat het niet alleen om persoonsgegevens draait, maar om de continuïteit van de dienstverlening als geheel.
2. Registratieplicht
Gemeenten moeten zich registreren en relevante informatie actueel houden, in het landelijk entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).
3. Meldplicht
Bij significante incidenten geldt een gefaseerde meldplicht bij het Computer Security Incident Response Team (CSIRT) en de toezichthouder:
- Binnen 24 uur: een vroegtijdige waarschuwing (early warning), zo snel mogelijk na waarneming van het incident.
- Binnen 72 uur: een incidentmelding met een eerste beoordeling.
- Binnen 1 maand: een eindrapport met oorzaak, impact en genomen maatregelen.
Let op: één en hetzelfde incident kan zowel meldplichtig zijn onder de Cyberbeveiligingswet (bij het NCSC) als een datalek onder de AVG (bij de Autoriteit Persoonsgegevens). Het is daarom belangrijk om het interne incidentproces zo in te richten dat beide meldroutes tegelijk bediend kunnen worden.
Bestuurlijke verantwoordelijkheid
Een belangrijk nieuw element van de Cbw is dat cyberbeveiliging expliciet wordt neergelegd bij het bestuur, niet alleen bij de IT-afdeling. De wet introduceert een trainingsplicht voor bestuurders en maakt hen persoonlijk aansprakelijk wanneer zij hierin tekortschieten. Daarnaast moeten gemeenten rekening houden met strenger toezicht: organisaties kunnen te maken krijgen met audits en inspecties, en moeten kunnen aantonen dat zij aan de nieuwe regels voldoen.
Wat betekent dit voor gemeentelijke samenwerkingsverbanden?
De Cbw raakt niet alleen individuele gemeenten, maar ook organisaties waarmee zij nauw samenwerken, zoals gemeenschappelijke regelingen, omgevingsdiensten, regionale samenwerkingsverbanden en IT-dienstverleners binnen de gemeentelijke keten. Voor deze verbonden organisaties kan de wet zelfstandig van toepassing zijn of gevolgen hebben via contractuele en ketenverantwoordelijkheden. Het is daarom belangrijk om binnen een samenwerkingsstructuur helder te hebben hoe rollen, verantwoordelijkheden en verplichtingen precies zijn verdeeld. Gemeenten blijven hierbij zelf verantwoordelijk om voldoende inzicht te hebben in risico's en incidenten die gevolgen kunnen hebben voor de continuïteit van hun dienstverlening.
Wat kan jouw gemeente nu doen?
Ondanks dat de wet al geldt, blijkt in de praktijk dat veel gemeenten nog niet volledig voorbereid zijn. Voor veel gemeenten zijn nog aanvullende stappen nodig op het gebied van governance, capaciteit, deskundigheid en technische weerbaarheid. Concreet gaat het dan onder meer om:
- Het actualiseren van risicoanalyses.
- Het versterken van interne rapportagelijnen, zodat incidenten snel bij de juiste mensen terechtkomen.
- Het beschikbaar stellen van voldoende capaciteit en expertise, ook in de begroting.
- Het beoordelen of het beleid, de organisatie en de beschikbare middelen daadwerkelijk aan de wettelijke eisen voldoen.
- Het navragen bij gemeenschappelijke regelingen, omgevingsdiensten en andere ketenpartners hoe zij omgaan met hun eigen verplichtingen onder de Cbw.
En CARE?
Als leverancier van gemeentelijke websites maken wij deel uit van de digitale keten waarin gemeenten opereren. Dat betekent dat de zorgvuldigheid waarmee wij omgaan met beveiliging, continuïteit en incidenten direct raakt aan de weerbaarheid die gemeenten onder de Cyberbeveiligingswet moeten kunnen aantonen. Wij volgen de ontwikkelingen rond de Cbw op de voet en denken graag met je mee over wat dit voor jouw situatie betekent, zowel binnen je eigen organisatie als in de samenwerking met ons.
Heb je vragen over dit onderwerp, of wil je weten hoe CARE hiermee omgaat? Neem gerust contact met ons op.