Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden, ook voor de sector overheid. Directeur CIO Rijk en Digitaliseringsbeleid Art de Blaauw is blij met deze stap. “Het is heel bijzonder dat we nu op dit punt staan. Na jaren van hard werken en intensief overleggen.” De Blaauw is helder: de Cyberbeveiligingswet is zeer welkom omdat hiermee de vrijblijvendheid rondom digitale veiligheid voorbij is.
En dat is belangrijk, want als we volgens De Blaauw de afgelopen jaren één ding hebben geleerd, is het dat cyberveiligheid geen luxe is, maar ‘een levensader voor onze samenleving’. “We zien nog te vaak situaties en incidenten die ons pijnlijk duidelijk maken dat we meer moeten doen. Denk aan de ransomware-aanvallen bij gemeenten, het offline gaan van het OM of verstoringen in kritieke infrastructuur die onze economie en veiligheid bedreigen. Als overheid hebben we een voorbeeldfunctie en die vullen we nog niet altijd goed in. Met de komst van de Cyberbeveiligingswet is de vrijblijvendheid voorbij.”
De urgentie om vooraf te handelen
Volgens De Blaauw is de Cyberbeveiligingswet broodnodig: “We bevinden ons in een ander geopolitiek speelveld waarin aanvallen vanuit statelijke actoren als onderdeel van hybride oorlogsvoering reëel zijn. Bovendien kost cybercriminaliteit de Nederlandse economie jaarlijks miljarden euro’s.”
Ter illustratie noemt hij een voorbeeld dat flinke gevolgen had, ook voor overheden: de Log4j-kwetsbaarheid in 2021. “Die casus liet zien hoe belangrijk het is om snel te kunnen reageren. En hoe cruciaal het is dat organisaties weten wat ze in huis hebben, wie verantwoordelijk is, en waar ze afhankelijk zijn van andere partijen. De Cyberbeveiligingswet dwingt ons om die vragen vooraf te beantwoorden, niet achteraf. Dit alles wordt met de ontwikkelingen rondom AI alleen maar urgenter. Aanvallers kunnen AI gebruiken om hun cyberaanvallen sneller, efficiënter en op grotere schaal uit te voeren.”
Een hoger volwassenheidsniveau
De wet vraagt ook om een hoger volwassenheidsniveau van digitale veiligheid. Dat brengt volgens De Blaauw meteen ook onzekerheden met zich mee. “We waren gewend aan heldere checklistjes met maatregelen. Klaar! Maar de Cyberbeveiligingswet gaat verder. Het vereist continue aanpassing van maatregelen vanuit het managementsysteem en de risicogedreven aanpak. Het gaat niet alleen om het voldoen aan de regels, we moeten ons intrinsiek verantwoordelijk voelen om écht veilig te zijn.”
Dat betekent volgens hem dat we moeten leren omgaan met complexiteit. En dat we moeten accepteren dat er niet voor elke situatie een kant en klaar antwoord is. “We moeten flexibeler worden en beter in staat zijn om in te spelen op nieuwe dreigingen. Want cyberveiligheid is een dynamisch proces, waarin we continu moeten bijsturen.”
Pak je verantwoordelijkheid
Dan naar de wet zelf. Organisaties, ook overheden, krijgen met de Cyberbeveiligingswet een expliciete zorgplicht, een meldplicht voor incidenten en ze moeten zich registreren. Verder moeten bestuurders een training volgen en zijn ze aan zet om de implementatie tot een succes te maken. Maar, De Blaauw is duidelijk: de wet is geen wondermiddel. “Het is een kader dat ons dwingt om structureel na te denken over veiligheid, dat ons dwingt om verantwoordelijkheid te nemen. Om het te laten slagen moeten we samenwerken. Want cyberveiligheid is geen taak voor 1 afdeling of 1 persoon. De inspanning gaat elke laag van onze organisaties aan.” Van inkoop tot archivering, van ondersteuner tot directeur tot leveranciers. Eén functie noemt hij expliciet: “De CISO heeft in deze transitie een adviserende rol. Ik verwacht van bestuurders dat zij die rol, van de CISO, ook daadwerkelijk benutten.”
4 tips rondom de Cyberbeveiligingswet
Voor die structurele samenwerking ziet De Blaauw de Cyberbeveiligingswet dus als ‘een goed fundament. “Waar we overheidsbreed op kunnen bouwen om de overheid digitaal weerbaarder te maken. De wet is ook geen eindpunt, maar een wake-upcall. Want eigenlijk zou digitale veiligheid net zo vanzelfsprekend moeten zijn als de fysieke veiligheidsmaatregelen die we treffen. Een brug bouw je ook niet zonder zeker te zijn over de draagconstructie.” Hij geeft professionals 4 tips:
- Neem je verantwoordelijkheid, als bestuurder, als lijnmanager, als CISO. Zorg dat cyberveiligheid hoog op de agenda staat.
- Investeer in samenwerking met collega’s, met leveranciers, met toezichthouders.
- Gebruik de ondersteuning die beschikbaar is. Bijvoorbeeld bij het NCSC.
- Blijf leren en verbeteren. Cyberveiligheid is geen eindbestemming, maar een voortdurende reis.
Een digitaal weerbare overheid
De Blaauw blikt gedreven vooruit: “Ik zie een overheid die digitaal weerbaarder is en die goed omgaat met de gegevens van burgers. Een overheid die vertrouwen uitstraalt. Die klaar is voor de uitdagingen van morgen. En dat begint nu, met de inwerkingtreding van de Cyberbeveiligingswet. Met de inzet van alle overheidsprofessionals die zich dagelijks hiervoor inspannen. We kunnen echt niet langer afwachten, want de toekomst van onze digitale veiligheid ligt in onze handen.”
Symposium
Meer weten over de Cyberbeveiligingswet?
Nu het dan écht zover is en de Cyberbeveiligingswet in werking is getreden, kijken we ook vooruit. Wil je meer weten, houd dan het dossier op Digitale Overheid in de gaten. En ben je op zoek naar tips en ondersteuning? Duik dan een keer in de Cbw-toolingpagina.
