Phishing, ransomware, datalekken: cyberaanvallen zijn allang geen ver-van-mijn-bedshow meer. De dreiging groeit, en komt van alle kanten. Van individuele hackers tot georganiseerde criminelen en statelijke actoren. De Europese Unie heeft daarom de NIS2-richtlijn vastgesteld. In Nederland wordt die vertaald naar de Cyberbeveiligingswet (Cbw), die de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt. Naar verwachting treedt de Cbw in het tweede kwartaal van 2026 in werking.
Maar wat betekent dit concreet? En waarom is security awareness training daarin de logische eerste stap?
De vier pijlers van de Cyberbeveiligingswet
De Cbw legt vier kernverplichtingen op aan organisaties:
- Zorgplicht. Organisaties moeten passende technische en organisatorische maatregelen nemen. Denk aan risicoanalyses, back-upbeheer, patchmanagement, multifactorauthenticatie, ketenbeveiliging en bewustzijnstraining voor medewerkers.
- Meldplicht. Ernstige cyberincidenten moeten binnen 24 uur (bij dienstverstoring) of 72 uur aan de toezichthouder worden gemeld.
- Registratieplicht. Organisaties die onder de wet vallen, registreren zich in het entiteitenregister via mijn.ncsc.nl.
- Trainingsplicht voor bestuurders. Artikel 20 van de NIS2-richtlijn verplicht bestuurders om zelf cybersecuritytraining te volgen en vergelijkbare training aan te bieden aan medewerkers.
De wet geldt voor organisaties met 50 of meer medewerkers, of met een jaaromzet van 10 miljoen euro of meer, actief in een van de 18 aangewezen sectoren. Van energie en gezondheidszorg tot voedselproductie en digitale infrastructuur. De sancties zijn niet mals: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten.
Waarom training in security awareness de logische eerste stap is
Van alle verplichtingen die de Cbw oplegt, is er een die direct raakt aan elke medewerker: bewustzijn. Training in security awareness is geen bijzaak. Het is een wettelijke verplichting onder NIS2.
En dat is logisch. Het merendeel van succesvolle cyberaanvallen begint bij menselijk handelen. Een klik op een phishinglink, een zwak wachtwoord, een onbeveiligde USB-stick. Technische maatregelen zijn essentieel, maar zonder getrainde medewerkers blijft de zwakste schakel onbeschermd.
Wat levert training security awareness concreet op?
- Compliance wordt tastbaar. Het raakt direct aan de zorgplicht en trainingsplicht uit de Cbw.
- Het risico op incidenten daalt. En daarmee de kans dat de meldplicht in werking treedt.
- Er ontstaat een veiligheidscultuur. Beveiliging wordt onderdeel van het dagelijks handelen, niet alleen een IT-kwestie.
- De keten wordt beter beschermd. Want NIS2 stelt ook eisen aan de beveiliging van toeleveranciers.
Hoe begin je?
De Cyberbeveiligingswet komt eraan. Organisaties die nu starten met security awareness training, bouwen niet alleen aan compliance. Ze bouwen aan een weerbare organisatie. En ze voldoen direct aan een van de meest concrete verplichtingen uit de wet.
Meer weten over hoe een security awareness training werkt? Of benieuwd naar het complete overzicht van verplichtingen? Bekijk dan de NIS2 gids 2026.
