Deze 2 cyberwetten komen eraan in 2026

Waarom komen deze wetten er?

Cyberaanvallen worden steeds geavanceerder en schadelijker. Data wordt steeds meer waard door bijvoorbeeld politieke ontwikkelingen. Daarbij zijn steeds meer 'slimme' apparaten verbonden met het internet. Dat maakt werken makkelijker, maar ook kwetsbaarder. Als één schakel niet goed beveiligd is, kan dat gevolgen hebben voor de hele keten. De behoefte aan betere beveiliging neemt dus toe.

De nieuwe cyberwetten moeten daarbij helpen. Organisaties en fabrikanten krijgen te maken met strengere eisen voor hun producten en diensten. Dat moet leveranciers en consumenten de zekerheid geven dat wat ze kopen digitaal veilig is en dat hun data wordt beschermd.

Wet 1: De Cyber Resilience Act

De Cyber Resilience Act (CRA) is een Europese wet die vanaf september 2026 in fases ingaat. Het doel: zorgen dat alle digitale producten in Europa veiliger worden.

Wat houdt de wet in?

Kort gezegd: alles wat je maakt, importeert of verkoopt met een digitale functie, moet straks aan nieuwe beveiligingseisen voldoen. Denk aan software, routers, slimme apparaten of sensoren.

Vanaf 11 september 2026 moeten ernstige beveiligingsproblemen worden gemeld bij het Nationaal Cyber Security Centrum (NCSC). Vanaf 11 december 2027 gelden de volledige eisen: producten moeten “veilig ontworpen” zijn (security by design) en de wet vereist dat fabrikanten gedurende de levenscyclus van hun producten zorg leveren.

Ook komt er een verplichte CE-markering. Daarmee laat je zien dat jouw product voldoet aan de nieuwe veiligheidsnormen. In veel gevallen mag je dat zelf beoordelen, maar bij risicovolle producten moet een onafhankelijke partij meekijken.

Wat verandert er precies?

Tot nu toe was productveiligheid vooral gericht op fysieke risico’s: brand, kortsluiting of letsel. Maar digitale risico’s kunnen minstens zoveel schade aanrichten. Denk aan een slimme camera die wordt gehackt of een app die klantgegevens lekt. De CRA moet voorkomen dat onveilige producten nog op de markt komen.

Dit betekent het voor jou 

Ontwikkel, importeer of verkoop je digitale producten? Dan krijg je direct te maken met de CRA. Je moet zorgen dat producten veilig zijn, updates krijgen en incidenten gemeld worden. Gebruik je digitale producten van anderen? Ook dan heb je indirect met de wet te maken. Je leveranciers moeten kunnen aantonen dat hun producten voldoen aan de regels. Vraag daar dus actief naar, zeker als je met buitenlandse producenten werkt.

Wet 2: De Cyberbeveiligingswet  

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Deze wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni), waarin NIS1 is opgenomen. Die vervanging bevat met name een uitbreiding van sectoren. 

Wat houdt de wet in?

De Cbw verplicht bedrijven om hun digitale systemen beter te beveiligen en incidenten sneller te melden. Het gaat vooral om organisaties die belangrijk zijn voor ons land: energiebedrijven, ziekenhuizen, transportbedrijven en banken. Als daar iets misgaat, heeft dat grote gevolgen voor de samenleving.

Voor wie geldt dit?

De eerste voorwaarde is of je bedrijf in een kritieke sector valt. Dat is het geval als de uitval van je diensten zorgt voor een ontwrichtende impact op de economie en de samenleving. Als dat het geval is, komt omvang aan de orde. Ook kleinere bedrijven kunnen eronder vallen als ze een cruciale rol spelen in een vitale keten. 

Bijvoorbeeld: je hebt een klein ICT-bedrijf waarmee je software levert aan een ziekenhuis of waterschap of je runt een logistiek bedrijf dat energiecentrales bevoorraadt. Ook al val je niet rechtstreeks onder de Cbw, je krijgt wél te maken met strengere eisen van klanten of partners.

Voor alle organisaties die onder de Cbw vallen, geldt de registratieplicht. Bekijk deze flowchart om te checken of dit ook voor jou geldt.

Wat verandert er?

Als je met je bedrijf onder de Cbw valt moet je straks het volgende doen: 

Toezichthouders controleren of bedrijven zich aan de regels houden. Kijk hier welke instantie in welke sector verantwoordelijk is.

Wat betekenen deze wetten voor jouw bedrijf? 

Of je nu een zzp’er of mkb’er bent met een webshop of een agrarisch bedrijf met digitale apparatuur: deze wetten raken iedereen die digitaal werkt. De CRA zorgt ervoor dat de producten die je gebruikt veiliger zijn. De Cbw verplicht bedrijven om hun processen beter te beveiligen. Samen versterken ze de hele keten.

Dat betekent ook: er komt meer druk om inzicht te hebben in je digitale risico’s. Grote opdrachtgevers zullen vaker vragen stellen over je beveiliging. Heb je tweestapsverificatie aanstaan? Worden er back-ups gemaakt? Ben jezelf of zijn medewerkers getraind in phishing? Het is verstandig om die vragen niet pas in 2026 te kunnen beantwoorden.

Wat kun je nu al doen?

Zelfs als de nieuwe wetten niet direct op jouw bedrijf van toepassing zijn, kun je deze stappen nemen om veiliger te werken én vertrouwen te wekken bij je klanten en partners. 

De komst van de Cyber Resilience Act en de Cyberbeveiligingswet laat zien hoe serieus cybersecurity inmiddels wordt genomen. Voor jou als ondernemer betekent dat: op tijd voorbereiden, goede keuzes maken en niet wachten tot er iets fout gaat.