1 juli 2026 was voor veel IT-dienstverleners de datum om naartoe te werken. Die dag is gekomen en gegaan zonder dat de Cyberbeveiligingswet van kracht werd. Hier lees je wat er precies is gebeurd, waarom uitstel je geen adempauze geeft, en wat dit specifiek voor MSP’s betekent.
Wat er deze week precies gebeurde
De Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de Europese NIS2-richtlijn is per 1 juli 2026 niet in werking getreden. Voor veel organisaties kwam dat als verrassing: maandenlang gold 1 juli als de streefdatum. Onterecht optimisme, blijkt nu. De laatste stap in het wetgevingsproces loopt nog.
15 april 2026 De Tweede Kamer neemt het wetsvoorstel voor de Cyberbeveiligingswet aan.
23 juni 2026 De schriftelijke behandeling in de Eerste Kamer wordt afgerond.
1 juli 2026 De eerder verwachte ingangsdatum verstrijkt. De wet is nog niet van kracht.
6-7 juli 2026 Debat en stemming in de Eerste Kamer over de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten.
15 augustus 2026 Nieuwe verwachte inwerkingtreding, bij een positieve stemming vastgelegd via koninklijk besluit.
Met andere woorden: de laatste horde is klein, maar reëel. Zodra de Eerste Kamer instemt, is een nieuwe datum een kwestie van formaliteit, geen nieuwe inhoudelijke discussie.
Waarom is de wet alwéér uitgesteld?
Dit is niet de eerste vertraging. De Europese NIS2-richtlijn had oorspronkelijk uiterlijk 17 oktober 2024 in nationale wetgeving omgezet moeten zijn. Nederland haalde die deadline niet, net als het merendeel van de EU-lidstaten. Sindsdien is het wetsvoorstel door consultatierondes, advisering door de Raad van State en parlementaire behandeling gegaan. Deze laatste vertraging komt volgens meerdere bronnen door een combinatie van factoren: de inhoudelijke complexiteit van de wet, de politieke onrust rond de val van het kabinet in 2025, en de tijd die de Eerste Kamer nodig had om de behandeling zorgvuldig af te ronden.
Wat er niet verandert, ondanks het uitstel
Een latere ingangsdatum voelt als uitstel van executie, maar dat is misleidend. Drie dingen blijven onveranderd:
- Geen overgangstermijn. Zodra de wet van kracht wordt, gelden de verplichtingen direct — er is geen inregelperiode om alsnog orde op zaken te stellen.
- De markt beweegt al, los van de wet. Grote organisaties passen nu al inkoopvoorwaarden aan en vragen leveranciers om aantoonbare cybersecuritymaatregelen, vooruitlopend op formele handhaving.
- De onderliggende risico’s wachten niet. Incidenten bij ketenpartners — recente grote datalekken maakten dat pijnlijk duidelijk — ontstaan ongeacht of een wet al formeel van kracht is.
Zo’n 4 tot 6 maanden kost het de meeste organisaties om cybersecurity en leveranciersbeheer op orde te brengen. Wie wacht tot 15 augustus om te beginnen, begint met een achterstand die niet meer in te lopen is voordat de meldplicht en zorgplicht ingaan.
Waarom dit dubbel telt voor MSP’s
Voor IT-dienstverleners en MSP’s is de Cyberbeveiligingswet geen ver-van-je-bed-show — en dat op twee manieren tegelijk.
1. Je kunt zelf direct onder de wet vallen
Beheerders van ICT-diensten en digitale infrastructuur zijn expliciet genoemd als sector binnen de reikwijdte van de wet. Afhankelijk van omvang (personeel, omzet, balanstotaal) kan een MSP dus zelf kwalificeren als essentiële of belangrijke entiteit, met alle verplichtingen van dien: zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid.
2. Je klanten schuiven de verplichtingen door
Vrijwel elke organisatie die wél onder de wet valt, moet aantoonbaar toezicht houden op de cyberbeveiliging van haar leveranciers, de zogeheten ketenverantwoordelijkheid. Als MSP ben je voor je klanten vaak dé partij met toegang tot systemen, data en processen. Verwacht dus vragenlijsten, contractuele eisen en verzoeken om bewijs, ook als je zelf niet direct in scope valt.
Er zit nog een derde laag onder: bestuurdersaansprakelijkheid. NIS2 legt persoonlijke verantwoordelijkheid bij bestuurders neer, niet alleen bij de organisatie in abstracte zin. Klanten die dit eenmaal doorhebben, gaan kritischer kijken naar wie namens hen de digitale weerbaarheid regelt en dat is vaak de MSP.
Wat je nu al kunt doen
- Bepaal je positie. Val je zelf onder de wet, en welke van je klanten vallen eronder? Dat bepaalt hoe de ketenverantwoordelijkheid bij jou terechtkomt.
- Leg de basis van de zorgplicht vast. MFA, patchmanagement, toegangsbeheer en een gedocumenteerd incidentproces zijn het fundament — bij de meeste organisaties grotendeels al aanwezig, maar zelden goed vastgelegd.
- Ken de meldtermijnen. Een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapportage binnen een maand na een significant incident.
- Betrek het bestuur nu. Wacht niet tot de opleidingsplicht formeel geldt — bestuurders die nu al aantoonbaar zijn aangehaakt, staan sterker.
- Gebruik een herkenbaar kader. De structuur van ISO 27001 — risicobeoordeling, beheersmaatregelen, leveranciersbeheer, continue verbetering — sluit opvallend goed aan op wat de Cyberbeveiligingswet vraagt, en geeft je klanten een gemeenschappelijke taal.
Weet jij (en je klanten) waar jullie staan?
Doe de gratis NIS2 Scope Check van GRC Kompas en krijg in een paar minuten helderheid over jullie positie, verplichtingen en volgende stappen.Start de gratis Scope Check
Veelgestelde vragen
Is de Cyberbeveiligingswet al verplicht?
Nee. De wet is per 1 juli 2026 niet in werking getreden. De Eerste Kamer stemt op 7 juli 2026; bij een positief besluit treedt de wet naar verwachting op 15 augustus 2026 in werking.
Wanneer treedt NIS2 in werking in Nederland?
Naar verwachting op 15 augustus 2026, mits de Eerste Kamer op 7 juli instemt. De definitieve datum wordt vastgelegd bij koninklijk besluit.
Val ik als MSP onder de Cyberbeveiligingswet?
Mogelijk direct, als beheerder van ICT-diensten of digitale infrastructuur, afhankelijk van omvang. Vrijwel altijd indirect, via de ketenverantwoordelijkheid van klanten die zelf onder de wet vallen.
Ik val er niet direct onder, maar lever wel aan een organisatie die dat wel doet
Dan krijg je de eisen via het contract doorgeschoven. Klanten die onder de wet vallen, zijn verplicht om aantoonbaar toezicht te houden op de cyberbeveiliging van hun leveranciers.