Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) ook in ons land van kracht. Ruim 8.000 Nederlandse organisaties krijgen te maken met registratieplicht, zorgplicht en meldplicht. De Cyberbeveiligingswet raakt naar schatting vele honderden Nederlandse contactcenters en daarnaast indirect een reeks aan BPO-spelers en techleveranciers.  

 

De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Tegelijk trad in Nederland de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Er is geen sprake van een geleidelijke invoering. De verplichtingen gelden per direct.

Drie kernverplichtingen

De wet geldt voor organisaties met 50 of meer medewerkers of meer dan 10 miljoen euro omzet in achttien aangewezen sectoren, waaronder energie, drinkwater, transport, financiële dienstverlening, zorg, digitale infrastructuur en overheid. Deze organisaties – en in specifieke gevallen ook hun ketenpartners – moeten zelf nagaan of ze onder de wet vallen, en als dat het geval is, zich registreren in het entiteitenregister via MijnNCSC.

De wet vereist dat deze organisaties passende technische en organisatorische maatregelen nemen tegen cyberincidenten, op basis van een risicobeoordeling, en significante incidenten binnen 24 uur melden bij het bevoegde CSIRT. Daar komt bestuurlijke verantwoordelijkheid bij. Bestuurders moeten de beveiligingsmaatregelen formeel goedkeuren, toezicht houden op de uitvoering en voldoen aan een trainingsplicht.

Zoals Ziptone al in juni op een rijtje zette, is de wet volop relevant voor de klantcontactsector. Valt de moederorganisatie onder de wet, dan geldt dat in specifieke gevallen ook voor alle bedrijfsonderdelen, inclusief de klantenservice. Uitval van een CRM- of CCaaS-platform of een datalek met klantgegevens kan een significant incident zijn. De frontoffice moet dus weten wat er wanneer richting klanten gecommuniceerd mag worden. Dat heeft invloed op de inrichting van processen, procedures, kennisbanken en trainingen.

De Cyberbeveiligingswet raakt honderden contactcenters

De Cyberbeveiligingswet geldt voor circa 8.100 Nederlandse entiteiten. NCTV en NCSC noemen alleen dit totaal; hoewel organisaties zich moeten registreren, is dat register niet openbaar.

• De wet geldt voor alle decentrale overheden. Dat zijn alleen al alle 342 gemeenten, de 21 waterschappen en 12 provincies. De wet geldt ook voor alle agentschappen en ZBO’s, waaronder de grootste publieke klantcontactorganisaties van het land: Belastingtelefoon, UWV, SVB, DUO, RDW, CBR, CJIB, IND en Kadaster.
• De Cbw raakt ook grotere ziekenhuisorganisaties, ggz-instellingen, VVT-organisaties, gehandicaptenzorg, huisartsenposten en grote thuiszorgorganisaties.
• In de nutssector geldt de wet voor de drinkwaterbedrijven zoals Vitens, Brabant Water, Dunea, Evides, PWN en WML, maar ook voor regionale netbeheerders (Liander, Enexis, Stedin, Coteq, Rendo, Westland Infra), TenneT en Gasunie. Daarnaast geldt de wet voor enkele tientallen energieleveranciers met consumentenklanten (Eneco, Vattenfall, Essent, Greenchoice, Budget Energie) en warmtebedrijven. De grote telecombedrijven vallen eveneens onder de wet.
• En tot slot is de vervoerssector een belangrijke groep, met vele tientallen entiteiten met reizigerscontact: NS, Arriva, Qbuzz, EBS, Transdev/Connexxion, GVB, RET, HTM, Schiphol, KLM en Transavia, TESO en andere veerdiensten, net als logistieke spelers zoals PostNL, DHL, DPD, GLS en UPS.

Vermoedelijk is over een aantal maanden duidelijk welke organisaties zich daadwerkelijk hebben geregistreerd via MijnNCSC. Op 15 augustus meldde Computable dat minder dan de helft van de acht- tot tienduizend organisaties die in Nederland onder de Cyberbeveiligingswet (Cbw) vallen, heeft zich al geregistreerd zou hebben. Gisteren aan het begin van de avond stond de teller op 2.942 registraties in het Cbw-entiteitenregister, zo gaf het NCSC aan bij Computable.

(Ziptone/Erik Bouwer)

Featured, Technologie