Cyberbeveiligingswet (NIS2): wat de wet vanaf 15 augustus 2026 eist van uw gebouwbeheer
De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van NIS2 en geldt sinds 15 augustus 2026. Of een organisatie onder de wet valt, hangt onder meer af van sector, omvang en specifieke criteria. Voor plichtige organisaties kan gebouwgebonden OT relevant zijn voor de beveiliging van hun diensten. Een gebouwbeheersysteem maakt een organisatie niet automatisch Cbw-plichtig.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en zet de Europese NIS2-richtlijn om in Nederlands recht. Het doel: de digitale weerbaarheid van essentiële en belangrijke organisaties structureel verhogen. De wet kent drie kernverplichtingen:
- Zorgplicht — passende technische en organisatorische maatregelen tegen cyberrisico's, inclusief risico's in de leveranciersketen;
- Meldplicht — significante incidenten binnen 24 uur (vroegtijdige waarschuwing) melden bij de toezichthouder en het CSIRT;
- Registratieplicht — plichtige organisaties registreren zich bij de toezichthouder; bestuurders volgen verplicht training en zijn aanspreekbaar op naleving.
Wie valt eronder — en waarom u waarschijnlijk ook
Direct plichtig zijn ruim 8.000 organisaties in 18 sectoren: onder meer zorg, overheid, energie, drinkwater, transport, digitale infrastructuur en afvalbeheer. Maar de werkelijke reikwijdte is groter: de zorgplicht omvat expliciet ketenrisico. Plichtige organisaties moeten aantonen dat óók hun leveranciers en dienstverleners hun beveiliging op orde hebben. In de praktijk betekent dat: leveranciersscreenings, beveiligingseisen in aanbestedingen en contractverlengingen, en vragenlijsten van verzekeraars. Wie geen bewijs kan overleggen, valt buiten de selectie — zonder dat er ooit een toezichthouder aan te pas komt.
Wat betekent dit voor gebouwbeheer en OT?
Moderne gebouwen zijn digitaal verbonden: klimaatinstallaties, gebouwbeheersystemen, toegangscontrole, camerabeveiliging en sensoren communiceren via het netwerk. Deze operationele technologie (OT) valt onder dezelfde zorgplicht als de kantoorautomatisering — en is in de praktijk vaak het zwakst beveiligde deel. Gebouwprotocollen als BACnet zijn ontworpen voor interoperabiliteit, niet voor beveiliging; een GBS dat het netwerk deelt met de bedrijfsomgeving kan een directe ingang vormen voor aanvallers.
Concreet vraagt de zorgplicht voor gebouwgebonden systemen om:
- Netwerksegmentatie (OT/IT-scheiding) — gebouwinstallaties gescheiden van de kantooromgeving;
- Identity & access management — wie mag bij welke installatie, met welke rechten, en is dat herleidbaar;
- Logging en monitoring — handelingen en afwijkingen worden vastgelegd en gesignaleerd;
- Incidentproces — een storing of aanval op de installaties past in de 24-uurs meldsystematiek;
- Continuïteit — het gebouw blijft functioneren als de verbinding of een leverancier wegvalt.
Hoe ControllX deze eisen architectureel invult — segmentatie, identity, logging en continuïteit als ontwerpprincipe — leest u op veiligheid & architectuur.
Belangrijke data
| Datum | Gebeurtenis |
|---|---|
| 17 oktober 2024 | NIS2-richtlijn EU-breed van kracht (omzettingsdeadline) |
| 7 juli 2026 | Cyberbeveiligingswet aangenomen door de Eerste Kamer |
| 15 augustus 2026 | Cyberbeveiligingswet in werking — zonder overgangsperiode |
GACS én NIS2: één opgave, niet twee
Voor vastgoedeigenaren komen twee wettelijke lijnen samen op hetzelfde systeem: de GACS-verplichting eist een slim, verbonden gebouwautomatiseringssysteem, en de Cyberbeveiligingswet eist dat zo'n verbonden systeem aantoonbaar veilig is. Wie beide los van elkaar aanpakt, betaalt dubbel en creëert naden waar risico's doorheen glippen. De efficiënte route is één architectuur waarin compliance-rapportage en beveiliging uit hetzelfde ontwerp komen.
Bronnen
Veelgestelde vragen
Toets de sector, omvang en specifieke criteria van uw organisatie. De wet bestrijkt 18 sectoren. Leveranciers kunnen daarnaast contractuele beveiligingseisen krijgen van plichtige opdrachtgevers zonder zelf rechtstreeks onder de wet te vallen.
Nee. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden zonder overgangsperiode. De zorgplicht en registratieplicht gelden vanaf dat moment.
Verbonden gebouwinstallaties — klimaatsystemen, toegangscontrole, camera's, sensoren — zijn onderdeel van uw digitale aanvalsoppervlak (OT). Voor plichtige organisaties vraagt de zorgplicht om passende maatregelen voor de systemen waarmee zij hun diensten verlenen. Beoordeel welke gebouwgebonden OT daarbij relevant is en neem die op in de risicoanalyse.
Nee, er bestaat geen officiële 'NIS2-certificering'. Aantoonbaarheid loopt in de praktijk via erkende normen zoals ISO 27001 (informatiebeveiliging) en sectorspecifieke kaders. De wet vraagt om passende maatregelen en bewijsvoering, niet om één specifiek certificaat.
Weten waar ú staat?
Doe de gratis GACS-check voor een eerste indicatie en een passende vervolgstap. De uitkomst is geen beoordeling van de feitelijke naleving in uw gebouw.