Cyberbeveiligingswet (Cbw): wat betekent de wet voor OT-monitoring?

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse wet waarmee de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) is omgezet. De Eerste Kamer nam de Cbw op 7 juli 2026 aan, samen met de Wet weerbaarheid kritieke entiteiten (Wwke). De wet is gepubliceerd als Stb. 2026, 187; de uitwerking staat in het Cyberbeveiligingsbesluit (Stb. 2026, 189). Wet en besluit gelden sinds 15 augustus 2026.

De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en raakt volgens de Rijksoverheid ruim 8.000 organisaties in 18 sectoren. Organisaties moeten zelf bepalen of ze onder de wet vallen; een brief van de overheid hoef je niet af te wachten.

Valt jouw organisatie onder de Cbw?

De Cbw onderscheidt essentiële en belangrijke entiteiten. Welke categorie op jou van toepassing is, hangt af van je sector (de bijlagen bij de wet) en je omvang; sommige organisaties vallen er ongeacht hun omvang onder. Voor OT zijn vooral deze sectoren relevant: energie, drinkwater, afvalwater, vervoer, chemie, levensmiddelen, afvalstoffenbeheer, de maakindustrie (zoals machines, elektronica en voertuigen) en waterschappen.

Het verschil tussen de twee categorieën zit vooral in toezicht en sancties:

Kritieke entiteiten die op grond van de Wwke zijn aangewezen, gelden onder de Cbw altijd als essentiële entiteit (art. 8 Cbw).

Welke verplichtingen uit de Cbw raken OT-monitoring?

Zorgplicht

Op grond van artikel 21 neem je passende en evenredige technische, operationele en organisatorische maatregelen om cyberrisico’s te beheersen en de gevolgen van incidenten te beperken. Het Cyberbeveiligingsbesluit werkt die zorgplicht uit in onderwerpen als risicobeheer, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, toegangsbeheer en assetbeheer. Het beleid moet schriftelijk vastliggen en aantoonbaar worden toegepast. Daar hoort je OT-omgeving gewoon bij.

Meldplicht

Een incident is significant als het een ernstige operationele verstoring van je diensten veroorzaakt of kan veroorzaken, of aanzienlijke schade bij anderen (art. 25). Zo’n incident meld je bij je CSIRT en de bevoegde autoriteit:

24 uur

De klok gaat lopen zodra je organisatie kennis neemt van het incident. Zonder monitoring in het OT-netwerk kan een indringer wekenlang onopgemerkt blijven, en heb je weinig bewijs om te beoordelen of een incident significant is.

Registratieplicht

Essentiële en belangrijke entiteiten registreren zich in het nationale register (art. 43–44). Volgens de Rijksoverheid gaat dat via mijn.ncsc.nl en is registratie verplicht sinds 15 augustus 2026. Wijzigingen in je registratiegegevens geef je binnen twee weken door.

Bestuurlijke verantwoordelijkheid en trainingsplicht

Het bestuur keurt de maatregelen goed en is eindverantwoordelijk (art. 24). Elk bestuurslid moet voldoende kennis en vaardigheden hebben om cyberrisico’s en maatregelen te beoordelen, en moet dat aantonen met een certificaat van een passende training. Daarvoor geldt een termijn van twee jaar. Bestuurders die hier niet aan voldoen, kunnen een last onder dwangsom of een bestuurlijke boete tot € 25.000 krijgen (art. 92–93).

Voor een OT-SOC betekent dit: het bestuur heeft rapportages nodig die het kan begrijpen en beoordelen, zoals de detectiedekking van kritieke OT-verbindingen, de belangrijkste incidenten en de resultaten van oefeningen.

Welke OT-SOC-capaciteiten passen bij de Cbw-verplichtingen?

Wie houdt toezicht in OT-sectoren?

Elke sector heeft een eigen toezichthouder en een CSIRT waar je incidenten meldt. Op basis van de doorverwijsboom van het NCSC:

RDI staat voor Rijksinspectie Digitale Infrastructuur, ILT voor Inspectie Leefomgeving en Transport en NVWA voor Nederlandse Voedsel- en Warenautoriteit. CERT-WM is het gezamenlijke cybersecurityteam van de waterschappen.

Hoe verhoudt de Cbw zich tot de Wet weerbaarheid kritieke entiteiten?

De Wwke is de Nederlandse omzetting van de Europese CER-richtlijn (Richtlijn (EU) 2022/2557) en gaat over de bredere, ook fysieke weerbaarheid van kritieke entiteiten. Volgens de Rijksoverheid gaat het om ongeveer 500 organisaties, die door de verantwoordelijke minister als kritieke entiteit worden aangewezen. Beide wetten gelden sinds 15 augustus 2026.

Voor een aangewezen kritieke entiteit lopen de twee wetten in elkaar over: ze is onder de Cbw een essentiële entiteit, de bevoegde autoriteit onder de Wwke is ook de bevoegde autoriteit onder de Cbw (art. 15 Cbw), en relevante incidentmeldingen worden tussen de autoriteiten gedeeld (art. 40 Cbw). In OT ligt dat voor de hand: een cyberaanval op een besturingssysteem kan direct een fysieke verstoring veroorzaken.

Hoe verhoudt de Cbw zich tot IEC 62443?

De Cbw zegt wat je moet bereiken; IEC 62443 beschrijft hoe je industriële automatiserings- en besturingssystemen beveiligt. IEC 62443-3-3 bevat eisen voor de toegankelijkheid van auditlogs (SR 6.1) en voor continue monitoring (SR 6.2), die direct aansluiten op de capaciteiten van een OT-SOC. IEC 62443 als technische basis gebruiken is een gangbare manier om aan te tonen dat je maatregelen passend zijn.

Wat moet je nu doen?

1. Bepaal je status onder de Cbw (essentieel, belangrijk of niet van toepassing) en registreer je als je dat nog niet hebt gedaan.
2. Neem OT op in de scope van je risicoanalyse en je schriftelijke beleid, niet alleen de kantoor-IT.
3. Dicht het zichtgat: zet passieve monitoring in op de kritieke OT-verbindingen.
4. Schrijf en test een meldrunbook dat loopt van OT-alert tot vroegtijdige waarschuwing binnen 24 uur, inclusief wie beoordeelt of een incident significant is.
5. Informeer en train het bestuur, en geef het periodiek inzicht in OT-detectie en -respons.
6. Contracteer zorgvuldig: besteed je monitoring uit, controleer dan of de dienstverlener OT afdekt en je meldtermijnen ondersteunt.

Lees ook wat een SOC voor OT is en hoe een OT-SOC verschilt van een IT-SOC.