Nieuwe cyberwetten in 2026: wat betekenen ze voor ondernemers?
In 2026 krijgen ondernemers te maken met nieuwe regels op het gebied van cyberveiligheid. De Europese Cyber Resilience Act (CRA) en de Nederlandse Cyberbeveiligingswet (Cbw) moeten de digitale weerbaarheid van bedrijven vergroten. Afhankelijk van je activiteiten kunnen deze wetten ook gevolgen hebben voor jouw onderneming.
Cyberaanvallen vormen een risico voor ondernemers. Criminelen richten zich steeds vaker op bedrijven om gegevens te stelen, systemen te verstoren of geld af te persen. Tegelijkertijd worden organisaties steeds afhankelijker van digitale systemen, software en slimme apparaten. Daardoor kunnen beveiligingsproblemen grote gevolgen hebben. Niet alleen voor het bedrijf, maar ook voor klanten, leveranciers en andere organisaties in de keten.
Om de digitale weerbaarheid te versterken, worden dit jaar twee nieuwe wetten ingevoerd: de Cyber Resilience Act (CRA) en de Cyberbeveiligingswet (Cbw). Deze wetgeving stelt strengere eisen aan de beveiliging van digitale producten, diensten en bedrijfsprocessen. Hier lees je of de wetten voor jou gelden.
Wet 1: de Cyber Resilience Act (CRA)
De Cyber Resilience Act (CRA) is een Europese verordening, in Nederland ook wel de Verordening cyberweerbaarheid genoemd. Deze wet stelt eisen aan de veiligheid van digitale producten, zoals software, routers, slimme apparaten of sensoren. Ontwikkel, importeer of verkoop je software, slimme apparaten of andere digitale producten? Dan krijg je te maken met de CRA.
Met de CRA wil de Europese Unie ervoor zorgen dat cyberveiligheid al tijdens de ontwikkeling van een product wordt meegenomen en niet pas nadat er problemen ontstaan.
Wat betekent deze wet voor ondernemers?
Ondernemers die digitale producten ontwikkelen, importeren of verkopen, krijgen direct te maken met de CRA. Je moet kunnen aantonen dat producten voldoen aan de beveiligingseisen, beveiligingsupdates beschikbaar stellen en ernstige incidenten melden.
Gebruik je zelf digitale producten of software van andere leveranciers? Dan kun je indirect de gevolgen merken van de nieuwe regels. Leveranciers moeten kunnen aantonen dat hun producten aan de wet voldoen. Het is daarom verstandig om tijdig in gesprek te gaan met leveranciers en na te gaan welke maatregelen zij nemen om aan de nieuwe eisen te voldoen.
Wanneer gaat de wet in?
De invoering van de CRA gebeurt stapsgewijs. Vanaf 11 september 2026 geldt een meldplicht voor ernstige beveiligingsproblemen en actief misbruik van kwetsbaarheden. Ondernemers kunnen een incident melden bij het Nationaal Cyber Security Centrum (NCSC).
Vanaf 11 december 2027 gelden de overige verplichtingen uit de CRA. Op dat moment moeten digitale producten voldoen aan alle beveiligingseisen. Denk aan het toepassen van het principe ‘security by design’ en het beschikbaar stellen van beveiligingsupdates gedurende de levenscyclus van een product.
Daarnaast wordt een CE-markering verplicht. Daarmee toon je aan dat een product voldoet aan de Europese eisen voor cyberveiligheid. Voor sommige producten volstaat een eigen beoordeling, terwijl voor producten met een hoger risico een onafhankelijke toetsing nodig kan zijn.
Wet 2: de Cyberbeveiligingswet (Cbw)
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Deze wet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni), waarin nog oude NIS1-regels staan.
De Cbw verplicht bedrijven om hun digitale systemen beter te beveiligen en problemen of cyberincidenten sneller te melden. De wet geldt vooral voor organisaties die belangrijk zijn voor de samenleving, zoals energiebedrijven, ziekenhuizen, transportbedrijven en banken. Ook andere bedrijven in cruciale sectoren vallen hieronder. Als daar iets misgaat, kan dat grote gevolgen hebben voor de maatschappij.
Wat betekent deze wet voor ondernemers?
Of je onder de Cbw valt, hangt in de eerste plaats af van de sector waarin je actief bent. Het gaat om sectoren waarvan uitval grote gevolgen heeft voor de economie en de samenleving. Daarna wordt gekeken naar de omvang en rol van je onderneming. Ook kleinere bedrijven kunnen onder de wet vallen als ze een belangrijke schakel zijn in een vitale keten. Denk bijvoorbeeld aan een klein ICT-bedrijf dat software levert aan een ziekenhuis of waterschap.
Met deze tool controleer je of jouw onderneming onder de wet valt.
Als je onder de Cbw valt, krijg je te maken met een aantal verplichtingen. Zo moet je je registreren bij het NCSC, je cyberrisico’s in kaart brengen en passende maatregelen nemen om die risico’s te beperken. Daarnaast geldt er een meldplicht: ernstige cyberincidenten moeten binnen 24 uur worden gemeld. Ook moet je kunnen aantonen dat je voldoet aan de eisen, bijvoorbeeld via audits of certificeringen.
Val je niet direct onder de Cbw? Dan kun je alsnog indirect met de wet te maken krijgen. Grote klanten of partners kunnen namelijk strengere eisen stellen. Alle organisaties die onder de Cbw vallen, krijgen bovendien te maken met een registratieplicht.
Wanneer gaat de wet in?
De invoering van de Cbw wordt momenteel verwacht in juli 2026.
Waarom worden deze wetten ingevoerd?
De overheid en de Europese Unie willen de impact van cyberaanvallen beperken en de veiligheid van digitale producten vergroten. Veel producten en systemen zijn tegenwoordig verbonden met het internet. Dat biedt kansen, maar brengt ook risico’s met zich mee. Een kwetsbaarheid in één product of systeem kan gevolgen hebben voor een hele keten van organisaties.
Met de nieuwe wetgeving krijgen fabrikanten, leveranciers en organisaties meer verantwoordelijkheid voor hun digitale veiligheid. Het doel is dat producten beter worden beveiligd, kwetsbaarheden sneller worden opgelost en organisaties beter voorbereid zijn op cyberincidenten. Zo moeten bedrijven en consumenten erop kunnen vertrouwen dat hun gegevens en systemen beter beschermd zijn.
Cyberveiligheid is voor iedere ondernemer belangrijk
Ook wanneer de nieuwe wetgeving niet rechtstreeks op jouw onderneming van toepassing is, blijft cyberveiligheid een belangrijk aandachtspunt. Sterke wachtwoorden, tweestapsverificatie, regelmatige software-updates en bewustwording onder werknemers verkleinen de kans op cyberincidenten aanzienlijk. Door nu al maatregelen te nemen, versterk je de digitale weerbaarheid van je bedrijf in de toekomst.