Zorgplicht Cyberbeveiligingswet: welke maatregelen zijn verplicht?
Door Niels Maas (LinkedIn) · Gepubliceerd op 16 oktober 2026
De zorgplicht van de Cyberbeveiligingswet is de verplichting om passende en evenredige technische, operationele en organisatorische maatregelen te nemen voor de beveiliging van uw netwerk- en informatiesystemen. Ze staat in artikel 21 van de Cyberbeveiligingswet (Cbw) en geldt sinds 15 augustus 2026 voor essentiële en belangrijke entiteiten. Welke maatregelen verplicht zijn, staat in artikel 21, derde lid, en in artikel 6 tot en met 18 van het Cyberbeveiligingsbesluit (Stb. 2026, 189).
Wat is de zorgplicht van de Cyberbeveiligingswet?
Artikel 21 Cbw verplicht een essentiële of belangrijke entiteit om maatregelen te nemen die:
- de risico's beheersen voor de netwerk- en informatiesystemen die zij gebruikt voor haar werk en haar diensten;
- incidenten voorkomen of de gevolgen ervan beperken voor de afnemers van haar diensten (eerste lid).
De maatregelen moeten een beveiligingsniveau opleveren dat past bij de risico's. U houdt daarbij rekening met de stand van de techniek, de kosten en, waar van toepassing, Europese en internationale normen. Bij de evenredigheid tellen uw blootstelling aan risico's, uw omvang, en de kans op en de ernst van incidenten (tweede lid).
Weet u nog niet of uw organisatie onder de wet valt? Lees eerst Valt mijn bedrijf onder de Cyberbeveiligingswet?
Welke maatregelen zijn verplicht?
Artikel 21, derde lid, Cbw noemt tien onderwerpen die de maatregelen ten minste omvatten. Het Cyberbeveiligingsbesluit werkt ze uit: volgens artikel 5 van het besluit neemt u ten minste de maatregelen uit artikel 6 tot en met 18.
| Art. 21 lid 3 Cbw | Onderwerp | Uitwerking in het Cbb | Document in de Cbw-toolkit |
|---|---|---|---|
| a | Risicoanalyse en beveiligingsbeleid | Art. 6 (beleid), art. 7 (risicomanagement) | BLD-002, ISB-P01, RSK-002 |
| b | Incidentenbehandeling | Art. 8 | ISB-P03, ISB-P10 |
| c | Bedrijfscontinuïteit, back-ups, herstel en crisisbeheer | Art. 9 | ISB-P04, ISB-P11 |
| d | Beveiliging van de toeleveringsketen | Art. 10 | ISB-P05, T-LEV-001 |
| e | Veilig verwerven, ontwikkelen en onderhouden, inclusief kwetsbaarheden | Art. 11 | ISB-P08, ISB-P12, ISB-P13, ISB-P14 |
| f | Beoordelen of de maatregelen werken | Art. 18 (evaluatie) | AUD-P01, KPI-001 |
| g | Cyberhygiëne en opleiding | Art. 12 | CMP-001, GBR-001 |
| h | Cryptografie en encryptie | Art. 13 | ISB-P09 |
| i | Personeel, toegang en assets | Art. 14, 15 en 16 | HRM-P01, ISB-P02, AST-001 |
| j | Waar passend: multifactorauthenticatie, beveiligde communicatie en noodcommunicatie | Niet apart uitgewerkt; raakt art. 15 (toegang) en art. 9, vijfde lid (noodcommunicatie) | ISB-P02, ISB-P04 |
| – | Omgaan met gerichte waarschuwingen en dreigingsinformatie | Art. 17 | CBW-003 |
De wet zegt "ten minste": uw risicobeoordeling kan tot meer maatregelen leiden (artikel 7, vijfde lid, Cbb).
Wat vraagt het Cyberbeveiligingsbesluit precies?
Het besluit gebruikt telkens hetzelfde patroon: u hebt vastgesteld beleid, legt dat schriftelijk vast en past het aantoonbaar toe. Daarnaast:
| Cbb | Onderwerp | Kern van de eis |
|---|---|---|
| Art. 6 | Beveiligingsbeleid | Beleid, rollen en bevoegdheden, conflicterende rollen zoveel mogelijk gescheiden, en een managementsystematiek om aantoonbaar te voldoen |
| Art. 7 | Risicomanagement | Methodiek, criteria voor risicoacceptatie, overzicht van risico's, eisen en maatregelen op basis daarvan |
| Art. 8 | Incidentenbehandeling | Rollen en procedures voor detecteren, analyseren, reageren, documenteren, rapporteren en leren; monitoren; logbestanden bewaren en beschermen |
| Art. 9 | Continuïteit en crisisbeheer | Back-ups maken en periodiek controleren; continuïteitsplan, herstelplan en crisisplan, alle periodiek getest |
| Art. 10 | Toeleveringsketen | Beleid over afhankelijkheden van leveranciers; periodiek toetsen of rechtstreekse leveranciers aan uw beveiligingseisen voldoen |
| Art. 11 | Verwerven, ontwikkelen, onderhouden | Beleid voor inkoop van software, hardware en diensten; veilige ontwikkeling waar van toepassing; configuratie- en wijzigingsbeheer |
| Art. 12 | Cyberhygiëne en opleiding | Medewerkers zijn zich bewust van de risico's; wie beveiligingstaken heeft, krijgt regelmatig opleiding |
| Art. 13 | Cryptografie | Wanneer, welke versleuteling, wie verantwoordelijk is voor invoering en sleutelbeheer |
| Art. 14 | Personeel | Beveiligingsrollen aanwijzen en periodiek evalueren; betrouwbaarheidseisen |
| Art. 15 | Toegang | Beleid voor logische en fysieke toegang; identiteiten en autorisaties periodiek controleren |
| Art. 16 | Assets | Classificatie, regels voor aanvaardbaar gebruik, volledige en actuele inventaris |
| Art. 17 | Waarschuwingen en dreigingsinformatie | Bij een gerichte waarschuwing beoordelen of maatregelen moeten veranderen, en dat vastleggen |
| Art. 18 | Evaluatie | Periodiek de doeltreffendheid van de maatregelen evalueren, vastleggen en zo nodig aanpassen |
"Aantoonbaar" is het sleutelwoord: de toezichthouder kan om bewijs vragen. Zonder vastgelegd beleid, verslagen en registraties is moeilijk aan te tonen dat u aan de zorgplicht voldoet.
Wie keurt de maatregelen goed?
Het bestuur. Artikel 24, eerste lid, Cbw bepaalt dat de maatregelen uit artikel 21 de goedkeuring van het bestuur nodig hebben. Elk bestuurslid moet bovendien kennis en vaardigheden hebben om risico's en maatregelen te beoordelen, en moet daarvoor een training volgen met certificaat. Meer daarover in Cyberbeveiligingswet voor bestuurders: trainingsplicht en aansprakelijkheid.
Uitzondering: digitale dienstverleners
Artikel 4 van het Cyberbeveiligingsbesluit bepaalt dat artikel 6 tot en met 18 niet gelden voor onder meer DNS-dienstverleners, aanbieders van cloudcomputingdiensten, datacentrumdiensten, beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen en verleners van vertrouwensdiensten. Voor hen werkt de Europese Uitvoeringsverordening (EU) 2024/2690 de maatregelen uit. De zorgplicht uit artikel 21 Cbw geldt voor hen wel.
Wat gebeurt er als u niet voldoet?
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Toezicht | Vooraf en achteraf (proactief) | Achteraf (reactief) |
| Maximale boete bij overtreding zorgplicht | € 10.000.000 of 2% van de wereldwijde jaaromzet, het hoogste bedrag (art. 80 Cbw) | € 7.000.000 of 1,4% van de wereldwijde jaaromzet, het hoogste bedrag (art. 87 Cbw) |
De toezichthouder kan ook een aanwijzing geven of een last onder bestuursdwang opleggen. Een overzicht van toezicht en sancties staat op de pagina over de Cyberbeveiligingswet (NIS2).
Hoe pakt u de zorgplicht aan?
| Stap | Wat | Grondslag |
|---|---|---|
| 1 | Vaststellen dat u onder de wet valt en registreren | Art. 4, 8, 12 en 44 Cbw |
| 2 | Beveiligingsbeleid en managementsystematiek opzetten | Art. 6 Cbb |
| 3 | Risicobeoordeling en overzicht van risico's | Art. 7 Cbb |
| 4 | Maatregelen per onderwerp vastleggen en invoeren | Art. 8 tot en met 17 Cbb |
| 5 | Goedkeuring door het bestuur | Art. 24 Cbw |
| 6 | Periodiek evalueren en verbeteren | Art. 18 Cbb |
Wie al een ISMS volgens ISO 27001 heeft, heeft een groot deel van deze stappen al gezet; de wet verplicht geen certificaat.
Gratis begin: de NIS2-checklist Cyberbeveiligingswet zet alle eisen uit de Cbw en het Cbb op een rij, met bij elke eis het artikel. Wilt u de documenten niet zelf schrijven? De Cyberbeveiligingswet Toolkit bevat per artikel van het Cyberbeveiligingsbesluit het beleid, de procedure of het register, met een eisenoverzicht (ISB-001) dat elk document aan het artikel koppelt.
Veelgestelde vragen
Wat is de zorgplicht van de Cyberbeveiligingswet?
De zorgplicht is de verplichting uit artikel 21 Cbw om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico's voor de netwerk- en informatiesystemen te beheersen en incidenten te voorkomen of de gevolgen te beperken. Ze geldt voor essentiële en belangrijke entiteiten.
Welke maatregelen zijn verplicht onder de Cyberbeveiligingswet?
Artikel 21, derde lid, Cbw noemt ten minste: risicoanalyse en beveiligingsbeleid, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veilige verwerving en ontwikkeling, beoordeling van de effectiviteit, cyberhygiëne en opleiding, cryptografie, personeel, toegang en assets, en waar passend multifactorauthenticatie en beveiligde communicatie. Artikel 6 tot en met 18 Cyberbeveiligingsbesluit werken dit uit.
Is ISO 27001 verplicht voor de zorgplicht?
Nee. De wet verplicht geen certificaat. Wel moet u rekening houden met Europese en internationale normen waar die van toepassing zijn (artikel 21, tweede lid, Cbw), en eist het besluit een managementsystematiek. Een ISMS volgens ISO 27001 sluit daar goed op aan.
Geldt de zorgplicht ook voor belangrijke entiteiten?
Ja. De zorgplicht geldt voor essentiële en belangrijke entiteiten. Het verschil zit in het toezicht en de maximale boete: € 10 miljoen of 2% van de omzet voor essentiële entiteiten, € 7 miljoen of 1,4% voor belangrijke entiteiten.
Wie controleert of wij aan de zorgplicht voldoen?
De bevoegde autoriteit voor uw sector, bijvoorbeeld de Rijksinspectie Digitale Infrastructuur (RDI) voor digitale infrastructuur. Bij essentiële entiteiten houdt die proactief toezicht, bij belangrijke entiteiten achteraf.