WWKE & CBW: dit is geen IT-project. Dit is boardroom-werk.

Op 15 april 2026 gaf de Tweede Kamer groen licht voor de Cyberbeveiligingswet (CBW) en de Wet weerbaarheid kritieke entiteiten (WWKE) — de Nederlandse implementatie van NIS2 en CER.

Veel organisaties framen dit nog als “meer security”: betere firewalls, extra camera’s, hogere hekken. Maar de echte boodschap is anders: aantoonbare organisatorische weerbaarheid (continuïteit) komt centraal te staan.

Naar schatting vallen ruim 8.000 Nederlandse organisaties onder deze wetgeving. En de bal ligt daarmee rechtstreeks bij de directietafel.

3 dingen die je nu al scherp wilt hebben:

1. Bestuurlijke verantwoordelijkheid: directie/C-level is expliciet verantwoordelijk voor het vaststellen  

én het actief toezicht houden op risicobeheersmaatregelen. Weerbaarheid is geen onderwerp dat je ‘even’ naar beneden delegeert.

2. Integrale zorgplicht (continuïteit): fysiek en digitaal komen samen, maar het gaat vooral om de vraag: blijft de organisatie functioneren bij verstoringen? Denk aan ketenrisico’s, awareness en crisismanagement.

3. Registratie en meldplicht: val je onder de wet, dan moet je je registreren en bij betekenisvolle incidenten strak melden richting toezichthouder en NCSC.

De wetsvoorstellen gaan nu door naar de Eerste Kamer. De beoogde inwerkingtreding is Q2 2026.

Mijn advies: wacht niet af. Zet WWKE/CBW nu op de directieagenda en start met een realistische gap-analyse (governance, keten, crisisorganisatie, meldprocessen) zodat je niet onder tijdsdruk hoeft te improviseren.