Cyberbeveiligingswet en Cyber Resilience Act: dit verandert er voor de maakindustrie

Cyberbeveiligingswet sinds 15 augustus 2026 van kracht

Sinds 15 augustus 2026 is de Cyberbeveiligingswet in werking: de Nederlandse implementatie van de Europese NIS2-richtlijn. Organisaties die onder deze wet vallen, krijgen te maken met drie verplichtingen:

• Zorgplicht - passende technische en organisatorische maatregelen treffen, inclusief beveiliging van de toeleveringsketen.
• Meldplicht - significante incidenten binnen 24 uur melden bij het CSIRT.
• Registratieplicht - inschrijving in het nationale entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).

Met deze wet wordt de reikwijdte van de regelgeving fors uitgebreid: niet alleen kritieke infrastructuur, maar ook belangrijke entiteiten vallen eronder. Organisaties kunnen zich al registreren bij het NCSC.

Meldplicht Cyber Resilience Act sinds 11 september 2026

Sinds vrijdag 11 september 2026 geldt daarnaast de meldplicht onder de Europese Cyber Resilience Act (CRA). Fabrikanten van hard- en software moeten vanaf die datum actief geëxploiteerde kwetsbaarheden en ernstige incidenten bij hun producten melden bij het NCSC of het Europees Agentschap voor cyberbeveiliging (ENISA). Deze meldplicht geldt ook voor producten die al eerder op de Europese markt zijn gebracht.

Dit is een eerste, belangrijke stap: vanaf 11 december 2027 wordt het onder de CRA daarnaast verplicht om nieuwe digitale producten cybersecure op de markt te brengen en gedurende de verwachte levensduur van het product veiligheidsupdates te blijven leveren.

Waarom dit extra relevant is voor de maakindustrie

Het risico in de technologische sector is groter dan in veel andere branches: naast de IT-omgeving is er ook de OT-omgeving, waarin steeds meer machines op de werkvloer digitale componenten bevatten en verbonden zijn met netwerken. Dat creëert extra ingangen voor cyberaanvallen - een aanval kan daardoor niet alleen data raken, maar ook het productieproces stilleggen. Door de nieuwe regelgeving verschuift de eindverantwoordelijkheid hiervoor nadrukkelijk naar de top van de organisatie: cyberveiligheid is niet langer alleen een taak van de (externe) IT-afdeling, maar een strategisch thema voor het bestuur.

Aan de slag

Nog niet voorbereid? Op de website van FME lees je meer over wat deze wetgeving betekent voor de Nederlandse maakindustrie en hoe je jouw organisatie hierop voorbereidt:

• Cyber Resilience Act – achtergrond, tijdlijn en FAQ
• Cyberveiligheid: van bijzaak naar bestuurszaak
• Het is bijna zover: Cyberbeveiligingswet op 15 augustus in werking