Cyberbeveiligingswet (NIS2): wat de wet vanaf 15 augustus 2026 eist van uw gebouwbeheer

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en zet de Europese NIS2-richtlijn om in Nederlands recht. Het doel: de digitale weerbaarheid van essentiële en belangrijke organisaties structureel verhogen. De wet kent drie kernverplichtingen:

• Zorgplicht — passende technische en organisatorische maatregelen tegen cyberrisico's, inclusief risico's in de leveranciersketen;
• Meldplicht — significante incidenten binnen 24 uur (vroegtijdige waarschuwing) melden bij de toezichthouder en het CSIRT;
• Registratieplicht — plichtige organisaties registreren zich bij de toezichthouder; bestuurders volgen verplicht training en zijn aanspreekbaar op naleving.

Wie valt eronder — en waarom u waarschijnlijk ook

Direct plichtig zijn ruim 8.000 organisaties in 18 sectoren: onder meer zorg, overheid, energie, drinkwater, transport, digitale infrastructuur en afvalbeheer. Maar de werkelijke reikwijdte is groter: de zorgplicht omvat expliciet ketenrisico. Plichtige organisaties moeten aantonen dat óók hun leveranciers en dienstverleners hun beveiliging op orde hebben. In de praktijk betekent dat: leveranciersscreenings, beveiligingseisen in aanbestedingen en contractverlengingen, en vragenlijsten van verzekeraars. Wie geen bewijs kan overleggen, valt buiten de selectie — zonder dat er ooit een toezichthouder aan te pas komt.

Wat betekent dit voor gebouwbeheer en OT?

Moderne gebouwen zijn digitaal verbonden: klimaatinstallaties, gebouwbeheersystemen, toegangscontrole, camerabeveiliging en sensoren communiceren via het netwerk. Deze operationele technologie (OT) valt onder dezelfde zorgplicht als de kantoorautomatisering — en is in de praktijk vaak het zwakst beveiligde deel. Gebouwprotocollen als BACnet zijn ontworpen voor interoperabiliteit, niet voor beveiliging; een GBS dat het netwerk deelt met de bedrijfsomgeving kan een directe ingang vormen voor aanvallers.

Concreet vraagt de zorgplicht voor gebouwgebonden systemen om:

• Netwerksegmentatie (OT/IT-scheiding) — gebouwinstallaties gescheiden van de kantooromgeving;
• Identity & access management — wie mag bij welke installatie, met welke rechten, en is dat herleidbaar;
• Logging en monitoring — handelingen en afwijkingen worden vastgelegd en gesignaleerd;
• Incidentproces — een storing of aanval op de installaties past in de 24-uurs meldsystematiek;
• Continuïteit — het gebouw blijft functioneren als de verbinding of een leverancier wegvalt.

Hoe ControllX deze eisen architectureel invult — segmentatie, identity, logging en continuïteit als ontwerpprincipe — leest u op veiligheid & architectuur.

Belangrijke data

GACS én NIS2: één opgave, niet twee

Voor vastgoedeigenaren komen twee wettelijke lijnen samen op hetzelfde systeem: de GACS-verplichting eist een slim, verbonden gebouwautomatiseringssysteem, en de Cyberbeveiligingswet eist dat zo'n verbonden systeem aantoonbaar veilig is. Wie beide los van elkaar aanpakt, betaalt dubbel en creëert naden waar risico's doorheen glippen. De efficiënte route is één architectuur waarin compliance-rapportage en beveiliging uit hetzelfde ontwerp komen.

Bronnen

• NCSC — Cyberbeveiligingswet (NIS2)
• NCTV — Cyberbeveiligingswet: vragen en antwoorden
• Digitale Overheid — Cyberbeveiligingswet (NIS2-richtlijn)