De Wet beveiliging netwerk- en informatiesystemen (Wbni) is op 15 augustus 2026 vervangen door de Cyberbeveiligingswet (Cbw). Wie nog een Wbni-procedure gebruikt, moet daarom onderzoeken welke onderdelen moeten worden aangepast en welke oude dossiers onder het overgangsrecht blijven vallen. De overgang is geen toekomstige voorbereiding meer: de nieuwe wet geldt inmiddels.
De juridische basis is concreet. Artikel 106 van de Cyberbeveiligingswet, Staatsblad 2026, 187 trekt de Wbni in. Artikel 35 van het Cyberbeveiligingsbesluit, Staatsblad 2026, 189 bepaalt dat de wet en het besluit op 15 augustus 2026 in werking treden. Deze gids, gecontroleerd op 28 september 2026, concentreert zich op de overstap vanuit de Wbni. De bredere verplichtingen staan in onze gids over de Cyberbeveiligingswet.
Wat was de functie van de Wbni?
De Wbni uit 2018 gaf uitvoering aan de eerste Europese NIS-richtlijn. Zij regelde onder meer de beveiliging van netwerk- en informatiesystemen en de melding van incidenten. Daarbij bestonden verschillende categorieën, waaronder aangewezen aanbieders van essentiële diensten, andere vitale aanbieders en bepaalde digitaledienstverleners. Niet iedere categorie had precies dezelfde verplichtingen of meldroute.
Voor digitale diensten ging het onder meer om onlinemarktplaatsen, onlinezoekmachines en cloudcomputingdiensten. De uitzondering voor kleine en micro-ondernemingen betekende niet dat uitsluitend zeer grote ondernemingen binnen bereik konden vallen. Bij aangewezen vitale dienstverlening speelde juist de betekenis van de dienst voor de samenleving een rol. Bewaar die oude afbakening wanneer u beoordeelt welke regels golden op het moment van een eerder incident.
Het doel was breder dan bescherming van persoonsgegevens. Een verstoring van een besturingssysteem kan een essentiële dienst raken zonder dat er persoonsgegevens betrokken zijn. Omgekeerd kan een privacyincident schade voor personen veroorzaken terwijl de website blijft functioneren. De Wbni en de AVG waren daarom afzonderlijke regimes. Datzelfde onderscheid blijft van belang onder de Cbw, al zijn reikwijdte en meldcriteria veranderd.
Een oude Wbni-indeling bepaalt niet automatisch de nieuwe status
Begin de overgang met de rechtspersoon of entiteit die de dienst verleent. Breng vervolgens in kaart welke activiteiten daadwerkelijk onder de bijlagen en bepalingen van de Cbw vallen. Een oude aanwijzing, een branchecode of een leverancier die het bedrijf als essentieel omschrijft, is daarvoor niet op zichzelf beslissend. Sommige entiteiten vallen van rechtswege onder de nieuwe wet; andere kunnen worden aangewezen.
Artikelen 8 en 12 onderscheiden essentiële en belangrijke entiteiten. Bij veel activiteiten spelen de Europese criteria voor middelgrote ondernemingen en de grenzen daarboven een rol. Pas daarbij ook de regels over verbonden en partnerondernemingen toe. Kijk niet uitsluitend naar het aantal medewerkers van één lokale vestiging. Voor bepaalde diensten en publieke entiteiten gelden andere routes, zodat een kleine organisatie niet altijd buiten de wet valt.
Een oude cloudleverancier kan bijvoorbeeld onder de nieuwe categorie digitale infrastructuur vallen. Een middelgrote organisatie in een nieuw bestreken sector moet een eigen beoordeling maken, ook wanneer zij nooit een Wbni-aanwijzing heeft ontvangen. Onze uitleg van essentiële en belangrijke entiteiten helpt die classificatie structureren. Leg vast op welke wettelijke bepaling de conclusie rust en wie wijzigingen in omvang of activiteiten volgt.
Controleer daarnaast bijzondere uitzonderingen en sectorwetgeving. De Cbw houdt rekening met gelijkwaardige sectorspecifieke verplichtingen uit Unierecht. Voor financiële entiteiten moet onder meer de verhouding tot DORA worden onderzocht. De conclusie dat een bank vroeger onder de Wbni viel, rechtvaardigt dus niet dat u zonder verdere analyse alle Cbw-verplichtingen boven op het bestaande financiële toezicht stapelt.
Oude besluiten verdwijnen niet door de intrekking
Artikel 95 lid 1 Cbw bevat overgangsrecht voor besluiten die vóór de intrekking op grond van de Wbni zijn genomen. Het oude recht blijft voor zo’n besluit gelden tot het in de wet omschreven eindpunt. Dat kan onder meer zijn dat het besluit onherroepelijk is geworden én volledig is uitgevoerd, of dat het is ingetrokken of vervallen. Voor een last onder dwangsom noemt de wet afzonderlijke beëindigingssituaties.
Een organisatie met een bestaande herstelmaatregel moet dus niet stoppen met rapporteren omdat de Wbni is ingetrokken. Controleer het besluit, de toepasselijke termijn, eventuele bezwaar- of beroepsprocedure en de stand van uitvoering. Houd correspondentie over dat oude dossier bij elkaar en leg daarnaast vast welke nieuwe Cbw-verplichtingen gelden. Eén organisatie kan zo tijdelijk met een oud handhavingsdossier en actuele naleving onder de nieuwe wet te maken hebben.
Dit overgangsrecht betekent evenmin dat alle oude beleidsdocumenten onbeperkt bruikbaar blijven. Een eerder besluit heeft een andere juridische status dan een eigen incidentenhandleiding of een interne risicoanalyse. Werk die interne documenten bij aan de hand van de nieuwe eisen, terwijl u bewaart welke versie gold tijdens de oude periode. Dat maakt achteraf duidelijk waarom een melding destijds via een bepaalde route is gedaan.
Eerdere incidentmeldingen hebben een specifieke overgangsroute
Artikel 95 lid 2 regelt bepaalde meldingen die vóór de intrekking zijn gedaan op grond van artikel 10 of 13 Wbni. Als aan de wettelijke voorwaarden is voldaan en artikel 25 Cbw vanaf de inwerkingtreding op de melder van toepassing is, wordt de oude melding aangemerkt als een vroegtijdige waarschuwing onder artikel 26 Cbw. Het gaat dus niet om een algemene regel dat ieder oud signaal alle nieuwe meldstappen vervangt.
Voor een lopend incident moet de incidentverantwoordelijke onderzoeken of deze overgangsbepaling van toepassing is en welke vervolginformatie nog moet worden aangeleverd. Bewaar het oorspronkelijke ontvangstbewijs en koppel dat aan het nieuwe dossier. Noteer welke toezichthouder en welk CSIRT de informatie hebben ontvangen. De wet voorziet voor de omschreven categorie beveiligingsinbreuken ook in doorzending aan de bevoegde autoriteit.
Deze beoordeling vraagt aandacht voor tijdstippen: wanneer ontstond het incident, wanneer kreeg de organisatie daarvan kennis en wanneer werd welke melding gedaan? Een incident dat weken doorloopt, kan niet zorgvuldig worden behandeld door alleen het woord Wbni in een document te vervangen door Cbw. De juridische overgang en de feitelijke voortgang moeten beide zichtbaar blijven.
Vervang het oude meldschema door de huidige stappen
Voor actuele significante incidenten gelden de artikelen 25 tot en met 29 Cbw. Artikel 25 kijkt onder meer naar ernstige operationele verstoring of financiële verliezen voor de entiteit, en naar aanzienlijke materiële of immateriële schade voor andere entiteiten. Ook mogelijke gevolgen tellen mee. Controleer daarnaast de toepasselijke nadere criteria en, voor de betrokken digitale dienstverleners, de relevante Europese uitvoeringsregels.
Artikel 26 verlangt een vroegtijdige waarschuwing onverwijld of, als dat niet mogelijk is, binnen 24 uur nadat de organisatie kennis heeft gekregen van het significante incident. De waarschuwing gaat naar zowel haar CSIRT als haar bevoegde autoriteit. Zij bevat onder meer informatie over mogelijk kwaadwillig handelen, grensoverschrijdende gevolgen en de contactpersoon. De 24 uur is geen wachttijd om eerst het gehele technische onderzoek af te ronden.
Volgens artikel 27 volgt de melding met de beschikbare initiële beoordeling en aanvullende informatie onverwijld of, als dat niet mogelijk is, binnen 72 uur na kennisneming. Voor een entiteit die een vertrouwensdienst aanbiedt, geldt daarvoor een termijn van 24 uur wanneer het significante incident gevolgen heeft voor de verlening van die vertrouwensdienst. Die uitzondering mag niet worden veralgemeniseerd tot ieder incident bij iedere organisatie die ook een vertrouwensdienst heeft.
Op verzoek volgt een tussentijds verslag. Artikel 29 verlangt uiterlijk één maand na de melding het eindverslag. Duurt het incident dan nog voort, dan komt daarvoor op dat moment een voortgangsverslag in de plaats; het eindverslag volgt binnen één maand nadat het incident is afgehandeld. Leg deze vervolgdata meteen vast, zodat een tijdige eerste waarschuwing niet gevolgd wordt door een vergeten eindrapportage. De aparte gids over de NIS2-meldplicht behandelt de voorbereiding van de inhoud.
Houd de AVG-beoordeling naast de Cbw-beoordeling
Een cyberincident is niet automatisch een datalek. Onderzoek afzonderlijk of sprake is van een inbreuk in verband met persoonsgegevens en wat het risico voor personen is. Artikel 33 AVG verlangt melding aan de bevoegde privacytoezichthouder zonder onnodige vertraging en, waar mogelijk, binnen 72 uur na kennisneming, tenzij risico voor rechten en vrijheden onwaarschijnlijk is. Bij een latere melding moeten de redenen voor vertraging worden vermeld.
Documenteer ieder datalek, ook als de organisatie gemotiveerd niet meldt. Bij waarschijnlijk hoog risico kan daarnaast informatie aan betrokkenen vereist zijn onder artikel 34 AVG. Dat is weer een andere beslissing dan de Cbw-waarschuwing aan CSIRT en bevoegde autoriteit. Zie voor de privacyroute artikel 33 en datalekmeldingen.
Neem bijvoorbeeld diefstal van klantbestanden zonder uitval van de dienstverlening. Het ontbreken van uitval sluit een Cbw-melding niet automatisch uit: ook andere significante gevolgen en de toepasselijke incidentcriteria moeten worden beoordeeld. Omgekeerd kan een ernstige verstoring van industriële besturing zonder persoonsgegevens wel onder de Cbw vallen. Gebruik daarom één feitenoverzicht met afzonderlijke juridische beslissingen, termijnen en ontvangstbewijzen.
Breng de zorgplicht in verband met bestaande maatregelen
Een organisatie die onder de Wbni al risicoanalyses en herstelplannen gebruikte, hoeft die kennis niet weg te gooien. Toets wel of de dekking overeenkomt met artikel 21 Cbw en de toepasselijke uitvoeringsregels. De wet noemt onder meer incidentenbehandeling, bedrijfscontinuïteit, ketenbeveiliging, kwetsbaarheden, opleiding, toegangsbeleid en beoordeling van de effectiviteit van maatregelen. Ook de fysieke omgeving van systemen hoort bij de beoordeling.
Koppel iedere bestaande maatregel aan een concreet risico en aan bewijs van uitvoering. Een back-upbeleid zegt bijvoorbeeld weinig als niemand weet of een herstel binnen de benodigde tijd lukt. Een leverancierslijst helpt pas wanneer duidelijk is welke dienst uitvalt als een leverancier wordt geraakt en welke contractuele en technische maatregelen daartegen bestaan. Dat zijn praktische manieren om de wettelijke risicoafweging controleerbaar te maken.
Controleer ook bestaande leveranciersafspraken waarin alleen naar de Wbni wordt verwezen. Een contractuele melding na afronding van het volledige onderzoek kan de eigen wettelijke meldroute frustreren. Maak duidelijk welke eerste informatie de leverancier snel moet doorgeven, wie bereikbaar is en hoe updates volgen. De wettelijke termijn voor uw organisatie wordt niet automatisch verlengd doordat een leverancier meer tijd nodig heeft. Leg bij een wijziging vast welke diensten en systemen worden geraakt, zodat een algemene contractupdate niet de indruk wekt dat alle afhankelijkheden inhoudelijk zijn beoordeeld. Een contractuele termijn en een wettelijke termijn hebben daarbij ieder hun eigen functie.
De beveiligingseisen van artikel 32 AVG kunnen bruikbare aanknopingspunten geven, maar naleving daarvan bewijst niet automatisch naleving van de Cbw. De doelen, systemen en gevolgen die moeten worden onderzocht verschillen. Gebruik voor de volledige risicoanalyse de uitleg van de NIS2-zorgplicht en maatregelen, met aandacht voor de Nederlandse uitwerking.
Bestuur: goedkeuring en aantoonbare kennis
Artikel 24 Cbw verlangt goedkeuring door het bestuur van de maatregelen uit artikel 21. Het bevat daarnaast eisen aan kennis en vaardigheden om risico’s, maatregelen en de gevolgen voor de dienstverlening te beoordelen. De wet koppelt daaraan training en een certificaat waarmee deelname wordt aangetoond. Een certificaat vervangt de inhoudelijke bestuursbeslissing over ontoereikende maatregelen niet.
Let op de wettelijke termijn voor de kennisvereisten: artikel 24 lid 3 noemt twee jaar na de inwerkingtreding van het tweede lid, of voor later benoemde leden twee jaar na benoeming. De kennis en vaardigheden moeten vervolgens aantoonbaar actueel blijven. Die termijn is geen algemeen uitstel van de zorgplicht of meldplicht. Een organisatie kan niet wachten met beveiligingsmaatregelen totdat ieder bestuurslid een training heeft afgerond.
Een andere gerichte overgangsregel staat in artikel 97. Voor de daar genoemde aangewezen instellingen voor hoger onderwijs gelden de artikelen 21 en 24 vanaf 36 maanden na aanwijzing. Deze regeling mag niet worden voorgesteld als een algemene overgangstermijn voor alle nieuwe Cbw-organisaties. Controleer steeds of uw entiteit precies binnen de genoemde wettelijke categorie valt.
Registratie en contactroutes opnieuw organiseren
Het nationale register is geen voortzetting die u zonder controle aan een oude Wbni-contactlijst kunt overlaten. Artikel 44 noemt de informatie die essentiële en belangrijke entiteiten en aanbieders van domeinnaamregistratiediensten moeten verstrekken. Daarbij horen onder meer identiteit, contactgegevens en de toepasselijke sectorinformatie. Wijzigingen moeten onverwijld en in ieder geval binnen twee weken na de wijziging worden doorgegeven.
Het NCSC beschrijft de registratie via MijnNCSC, met de benodigde toegang en machtiging. Controleer wie namens de juiste entiteit mag handelen en welke contactpersoon ook tijdens afwezigheid bereikbaar blijft. Een leverancier die technisch ondersteunt bij registratie neemt daarmee niet uw verantwoordelijkheid voor de juistheid van de gegevens over.
De wet verdeelt bevoegdheden per sector. Artikel 15 wijst de bevoegde autoriteiten aan en artikel 16 regelt de aanwijzing van CSIRT’s. Verwar de autoriteit die toezicht houdt niet met het team dat incidentbijstand verleent. Controleer de actuele sectorroute en de praktische meldinstructies, inclusief de vraag hoe een melding aantoonbaar bij beide vereiste ontvangers terechtkomt. Een algemeen contactformulier is niet vanzelf het aangewezen meldkanaal.
Sluit de overgang af met een uitvoerbare controle
Laat de proceseigenaren samen een realistisch incidentscenario doorlopen. Kan een medewerker de juiste contactpersoon bereiken, kent die persoon de actuele meldcriteria en zijn de ontvangstbewijzen vindbaar? Controleer ook of een lopend oud besluit apart herkenbaar blijft. Het doel is dat het team zonder juridisch improviseren weet welke route op welke situatie van toepassing is.
Als u daarvoor NIS2-software voor de Nederlandse markt onderzoekt, beoordeel dan of het systeem oude en nieuwe dossiers, meerdere ontvangers en vervolgtermijnen kan onderscheiden. Een hulpmiddel moet de besluiten en bewijsstukken ondersteunen; het bepaalt niet zelfstandig of uw organisatie binnen de wet valt. Houd de verantwoordelijke persoon en de onderbouwing zichtbaar.
De Nederlandse omzetting van NIS2 is daarmee het vertrekpunt voor actuele werkzaamheden. Bewaar de Wbni waar zij nodig is om oude feiten en besluiten te begrijpen, en pas de Cbw toe op de huidige verplichtingen. Zo voorkomt u zowel het voortzetten van verouderde werkwijzen als het voortijdig afsluiten van dossiers die juridisch nog doorlopen.