1. In augustus 2026 is een nieuwe wet over cyberbeveiliging ingegaan. Deze wet, ook bekend als de Cyberbeveiligingswet, verplicht duizenden belangrijke organisaties in Nederland om hun cyberbeveiliging te verbeteren en cyberaanvallen te melden.
2. Deze wet is van toepassing op ongeveer 8000 organisaties die essentieel worden geacht voor de samenleving. Dit omvat sectoren zoals de zorg, drinkwaterbedrijven, banken, en de levensmiddelensector, waaronder supermarkten.
3. Belangrijke organisaties die onder de wet vallen, moeten vanaf nu (vermoedens van) cyberincidenten met een grote impact verplicht melden aan het Nationaal Cyber Security Centrum (NCSC).
4. Een cyberincident wordt als een grote impact beschouwd wanneer er sprake is van aanzienlijke financiële schade of een ernstige verstoring van de dienstverlening. Het incident bij Albert Heijn in 2026, waarbij de website, app, online bezorging en distributiecentra waren getroffen, is een voorbeeld van een dergelijk incident met grote impact.
5. Na de eerste melding van een incident met grote impact aan het NCSC, moeten bedrijven binnen 24 uur de melding doen en 72 uur later een update verstrekken.
6. Het melden van incidenten bij het NCSC stelt de getroffen bedrijven in staat gebruik te maken van de kennis en expertise van het centrum om de situatie aan te pakken.
7. De informatie die het NCSC ontvangt, wordt doorgestuurd naar de relevante toezichthouders. Voor supermarkten is dit bijvoorbeeld de Nederlandse Voedsel- en Warenautoriteit (NVWA).
8. Toezichthouders, zoals de NVWA, controleren of de bedrijven de juiste, 'passende' maatregelen hebben getroffen om cyberincidenten te voorkomen en om een plan te hebben voor het geval deze zich toch voordoen.
9. Bedrijven die onder de wet vallen, zijn ook verplicht om de cyberrisico's van hun zakelijke partners in kaart te brengen en kunnen specifieke eisen stellen aan hun cyberbeveiliging.
10. De Cyberbeveiligingswet vereist dat cybersecurity op het hoogste niveau binnen bedrijven en organisaties aandacht krijgt.
11. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld wanneer bedrijven hun cyberbeveiliging niet op orde hebben. Dit geldt met name in gevallen van ernstig verwijtbaar handelen of opzet. Toezichthouders hebben de bevoegdheid om straffen op te leggen als de cyberbeveiliging onvoldoende was.