Nieuwe cybersecuritywetgeving verandert de manier waarop organisaties naar beveiliging moeten kijken

De Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten treden op 15 augustus 2026 in werking. Wat verandert er, voor welke organisaties gelden de nieuwe verplichtingen en wat betekent dit voor de fysieke beveiligingsomgeving?

Op 15 augustus 2026 treden in Nederland twee belangrijke wetten in werking: de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). De Cbw implementeert de Europese NIS2-richtlijn en richt zich voornamelijk op digitale weerbaarheid. De Wwke implementeert de Europese CER-richtlijn en richt zich op organisaties die door de overheid als kritieke entiteit worden aangewezen omdat zij één of meerdere essentiële diensten leveren.

Hoewel beide wetten een eigen toepassingsgebied en verplichtingen kennen, hebben ze een belangrijk uitgangspunt gemeen: organisaties moeten beter voorbereid zijn op risico's en verstoringen die hun dienstverlening kunnen raken.

Voor organisaties is dit daarom meer dan een nieuwe compliancevraag. Het is ook een logisch moment om opnieuw te kijken naar de manier waarop digitale én fysieke beveiliging zijn georganiseerd.

Cyberbeveiligingswet: digitale weerbaarheid wordt een bestuurlijke verantwoordelijkheid

De Cyberbeveiligingswet vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties die binnen het toepassingsbereik van de wet vallen, worden aangemerkt als essentiële of belangrijke entiteit. Daarbij spelen onder andere de sector, het type dienst en de omvang van de organisatie een rol.

Voor organisaties waarop de wet van toepassing is, gelden onder andere een registratieplicht, zorgplicht en meldplicht. Daarnaast krijgen bestuurders nadrukkelijk verantwoordelijkheid voor de beheersing van cyberrisico's.

Vooral de zorgplicht is relevant. Deze vraagt om passende en evenredige technische, operationele en organisatorische maatregelen om risico's te beheersen en de gevolgen van incidenten te beperken.

Die zorgplicht omvat meer dan technische netwerkbeveiliging. Ook bedrijfscontinuïteit, beveiliging van de toeleveringsketen en beveiligingsmaatregelen rondom personeel, toegangsbeleid en assetbeheer maken deel uit van de bredere risicobeheersing.

Cybersecurity wordt daarmee steeds nadrukkelijker een organisatiebreed vraagstuk.

Wwke: continuïteit en fysieke weerbaarheid

De Wet weerbaarheid kritieke entiteiten kent een ander uitgangspunt. De overheid kan organisaties aanwijzen als kritieke entiteit wanneer zij essentiële diensten leveren en aan de daarvoor geldende criteria voldoen.

Kritieke entiteiten krijgen tijd om aan de verplichtingen te voldoen. De eerste eigen risicobeoordeling moet uiterlijk binnen negen maanden zijn uitgevoerd; binnen tien maanden moet aan de zorg- en meldplicht worden voldaan.

Daarbij gaat het niet alleen om digitale dreigingen. Ook fysieke risico's zoals sabotage, ongeoorloofde toegang en andere verstoringen kunnen de continuïteit beïnvloeden.

Voor organisaties die met beide wetten te maken krijgen, ligt het daarom voor de hand om digitale en fysieke weerbaarheid steeds meer in samenhang te beoordelen.

Wat betekent dit voor fysieke beveiliging?

Een organisatie kan uitgebreide maatregelen treffen om haar digitale omgeving te beschermen, terwijl medewerkers, leveranciers of externe partijen fysieke toegang hebben tot ruimtes waarin kritieke systemen en processen zich bevinden.

Denk bijvoorbeeld aan een ziekenhuis met technische ruimtes en medicatieopslag, een gemeente met meerdere locaties of een organisatie met serverruimtes en kritieke installaties.

Fysieke toegang wordt daarmee onderdeel van een breder beveiligingsvraagstuk.

Niet alleen de vraag of iemand naar binnen kan, is relevant. Organisaties moeten ook inzicht hebben in wie toegang heeft, waarom die toegang is verleend, hoelang een autorisatie geldig blijft en wat er gebeurt wanneer iemands functie of relatie met de organisatie verandert.

Daarmee worden onderwerpen als identity management, autorisatiebeheer, logging en lifecyclebeheer steeds relevanter binnen fysieke beveiliging.

Het perspectief verschuift van het beheren van passen en deuren naar het beheersen van identiteiten, autorisaties en toegang tot kritieke processen.

Wat betekent dit voor bestaande beveiligingssystemen?

Nieuwe wetgeving betekent niet automatisch dat bestaande beveiligingssystemen vervangen moeten worden.

Wel ontstaat er een logisch moment om te beoordelen of de bestaande omgeving nog aansluit op de eisen die organisaties de komende jaren aan beveiliging stellen.

Daarbij kunnen bijvoorbeeld de volgende vragen worden gesteld:

• Worden bestaande hardware en software nog actief ondersteund?
• Hoe worden beveiligingsupdates en kwetsbaarheden afgehandeld?
• Hoe worden identiteiten en autorisaties beheerd?
• Is relevante logging beschikbaar en bruikbaar?
• Kunnen HR- en identitymanagementsystemen veilig worden gekoppeld?
• Kan de beveiligingsomgeving integreren met andere systemen?
• Hoe afhankelijk is de organisatie van specifieke leveranciers of gesloten technologie?
• Is duidelijk hoelang producten en software ondersteund blijven?

Hiermee verandert ook de aanleiding voor modernisering.

Waar beveiligingssystemen traditioneel vooral werden vervangen wanneer hardware verouderde, onderdelen niet meer beschikbaar waren of software niet langer werd ondersteund, kunnen cybersecurity, lifecyclebeheer, integratiemogelijkheden en aantoonbaarheid steeds belangrijkere redenen worden om een bestaande omgeving opnieuw te beoordelen.

Een beveiligingssysteem hoeft dus niet defect te zijn om aan modernisering toe te zijn.

Ook de Cyber Resilience Act komt dichterbij

Naast de Cbw en Wwke speelt de Cyber Resilience Act (CRA) een steeds belangrijkere rol.

De CRA richt zich op producten met digitale elementen en stelt cybersecurity-eisen aan fabrikanten gedurende de levenscyclus van hardware en software. De verordening trad in december 2024 in werking en wordt gefaseerd van toepassing. De meldverplichtingen voor actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten gaan gelden vanaf 11 september 2026. De CRA wordt vanaf 11 december 2027 volledig van toepassing.

 

Hoe EAL organisaties hierbij ondersteunt

 

Voor EAL is juist die overgang van bestaande naar toekomstbestendige beveiligingsomgevingen een belangrijk uitgangspunt.

We werken met organisaties die vaak al jarenlang gebruikmaken van fysieke beveiligingssystemen. De uitdaging is daarom niet alleen het introduceren van nieuwe technologie, maar vooral het bepalen hoe bestaande infrastructuur verantwoord kan worden meegenomen naar een nieuwe omgeving.

Vanuit die gedachte is ook Axentry ontwikkeld.

Axentry brengt identiteiten, autorisaties en fysieke toegang samen binnen één platform en is ontwikkeld met aandacht voor Security by Design, open standaarden, integratiemogelijkheden en lifecyclebeheer. Bedrade en draadloze toegangscontrole kunnen daarbij binnen dezelfde omgeving worden beheerd.

Het uitgangspunt is niet om bestaande infrastructuur zo snel mogelijk te vervangen. Juist de mogelijkheid om bestaande investeringen waar verantwoord te behouden en gericht te moderniseren, maakt het mogelijk om stap voor stap naar een nieuwe beveiligingsomgeving toe te werken.

EAL kan organisaties daarbij ondersteunen door samen naar de bestaande situatie te kijken en te bepalen welke onderdelen behouden, gekoppeld of gemoderniseerd kunnen worden.

Wat kunt u nu al doen?

De nieuwe wetgeving betekent niet dat iedere organisatie op 15 augustus haar volledige beveiligingsomgeving op orde of vervangen moet hebben. Welke verplichtingen gelden en welke maatregelen nodig zijn, hangt af van de wet, de organisatie en de specifieke risico's.

Wel is dit een logisch moment om inzicht te creëren.

Breng in kaart welke kritieke processen en locaties afhankelijk zijn van fysieke beveiliging. Kijk naar de systemen die deze processen beschermen, de manier waarop identiteiten en autorisaties worden beheerd en de ondersteuning die leveranciers gedurende de lifecycle bieden.

De belangrijkste vraag is daarbij niet:

"Welke nieuwe technologie moeten we aanschaffen?"

Maar:

"Past onze huidige beveiligingsomgeving nog bij de risico's en verantwoordelijkheden van morgen?"

Meer informatie over Cbw, Wwke en CRA

De Cyberbeveiligingswet, Wwke en Cyber Resilience Act kennen ieder hun eigen reikwijdte, verplichtingen en tijdlijn. Voor de exacte wettelijke verplichtingen adviseren wij altijd de actuele informatie van de verantwoordelijke overheidsinstanties te raadplegen.

Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten
De Rijksoverheid geeft meer informatie over de inwerkingtreding, reikwijdte en belangrijkste verplichtingen van beide wetten. 
Bekijk de officiële uitleg van de Rijksoverheid

Zorgplicht binnen de Cyberbeveiligingswet
De NCTV geeft meer informatie over onder andere de zorgplicht, registratieplicht en meldplicht en de maatregelen die binnen de bredere risicobeheersing een rol spelen. 
Lees meer over de zorgplicht bij de NCTV

Cyber Resilience Act
De Europese Commissie geeft meer informatie over de cybersecurity-eisen voor producten met digitale elementen en de gefaseerde invoering van de CRA. 
Bekijk de officiële informatie over de Cyber Resilience Act