Sinds 15 augustus 2026 zijn twee nieuwe wetten van kracht die duizenden Nederlandse organisaties raken: de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Samen verplichten ze zowel je digitale als je fysieke weerbaarheid aantoonbaar op orde te brengen. De Cbw is de Nederlandse invulling van de Europese NIS2-richtlijn en richt zich op digitale veiligheid. De Wwke komt voort uit de CER-richtlijn en gaat specifiek over fysieke bescherming tegen zogeheten all hazard-dreigingen: van sabotage en aanslagen tot extreem weer. De vraag is niet meer of je voldoet aan de wet, maar of je beveiliging het houdt zodra iemand haar echt op de proef stelt.

Wat verandert er precies?

De cijfers geven de omvang aan. Ongeveer 8000 bedrijven en instellingen vallen onder de Cyberbeveiligingswet. De 500 meest essentiële, denk aan drinkwater, energie en digitale infrastructuur, gelden als ‘kritieke entiteit’ en moeten aan de hoogste eisen voldoen. De boetes voor het niet naleven van de zorg- en meldplicht lopen bij die essentiële instellingen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag telt.

Vier verplichtingen springen eruit:

• Registratieplicht: betrokken organisaties schrijven zich in in het nationaal entiteitenregister, beheerd door het NCSC.
• Zorgplicht: je neemt aantoonbaar passende technische en organisatorische maatregelen om risico’s te beheersen.
• Meldplicht: een significant incident meld je direct bij het NCSC, een fysieke verstoring van essentiële dienstverlening binnen 24 uur.
• Bestuurlijke verantwoordelijkheid: de eindverantwoordelijkheid ligt expliciet bij het bestuur. Bestuurders keuren maatregelen goed, zien toe op uitvoering en zijn wettelijk verplicht een training te volgen om beveiligingsniveaus inhoudelijk te kunnen beoordelen.

Dat laatste punt is nieuw en ingrijpend. Cybersecurity is geen ICT-onderwerp meer dat je delegeert. Het staat op de bestuurstafel, met persoonlijke consequenties.

Fysieke beveiliging: het onderwerp dat lang onderschat werd

Het programma Nieuwsuur besteedde er eerder deze week een uitzending aan, en het beeld is confronterend. Red teams, beveiligingsspecialisten die tegen betaling proberen binnen te komen, hebben het drukker dan ooit dankzij de nieuwe wetgeving. Hun bevindingen zijn ontnuchterend. Een gekopieerd pasje, een nepidentiteit of gewoon een goed verhaal bij de receptie blijkt vaak genoeg. Een van de geïnterviewde bedrijven kwam bij een zorginstelling binnen door voor de hand liggende wachtwoorden te raden, waarna het camera’s kon overnemen en kon meekijken in patiëntenkamers.

De rode draad in die uitzending: we zijn in Nederland te naïef. De dreiging vanuit statelijke actoren neemt toe, terwijl de vanzelfsprekende rugdekking van bondgenoten afneemt. En de zwakste schakel zit vaak niet in de techniek, maar bij de mens aan de balie die iemand gewoon binnenlaat.

Precies daarom trekt de Wwke fysieke weerbaarheid naar hetzelfde niveau als digitale. Terreinen, installaties en toegang moeten aantoonbaar beschermd zijn. De vraag is niet langer of je een camerasysteem hebt, maar of je hele keten van fysieke barrières standhoudt als iemand er doelbewust doorheen probeert te komen.

De keten is je nieuwe perimeter

Een onderdeel van de wetgeving dat makkelijk over het hoofd wordt gezien: de beveiliging van je keten. Je kunt je eigen systemen perfect op orde hebben en alsnog kwetsbaar zijn via een leverancier, cateraar of onderhoudspartij met toegang tot je terrein of netwerk. Juist bedrijven in die keten krijgen nu voor het eerst met deze verplichtingen te maken, en niet iedereen heeft de kennis of middelen om dat direct op te pakken.

Hoe wij organisaties helpen: van maatregel naar bewijs

We denken graag met je mee over de volledige breedte van (cyber) security, met een duidelijke overtuiging: een maatregel die je niet hebt getest, is een aanname. De wet vraagt om aantoonbare weerbaarheid, en aantoonbaar betekent bewezen onder realistische omstandigheden.

We werken langs twee sporen die elkaar versterken.

We selecteren de juiste technologie. Fysieke beveiliging begint bij zien wat er gebeurt, overal, op elk moment. Wij helpen bij het kiezen en inrichten van toegangs- en cameratechnologie die past bij je risicoprofiel, zoals het cloud-based videobeveiligingsplatform van Verkada. Geen los kastje bij de ingang, maar één samenhangend overzicht over al je locaties, waarin toegang, beeld en gebeurtenissen samenkomen. Technologie is daarbij het middel, niet het doel. Het draait om de zekerheid dat je weet wat er speelt voordat het een incident wordt.

We testen of het echt werkt. Techniek alleen is geen bewijs. Daarom laten we de daadwerkelijke weerbaarheid onafhankelijk toetsen met fysieke pentests, uitgevoerd door specialisten van Strix Consulting. Zij proberen, net als de red teams uit de Nieuwsuur-uitzending, langs je fysieke maatregelen te komen: via toegang, via processen, via mensen. Wat ze vinden, vertaal je direct naar concrete verbeteringen. Zo weet je niet alleen dat je maatregelen op papier voldoen, maar dat ze standhouden als het erop aankomt.

Van aanname naar bewijs. Van losse maatregelen naar aantoonbare weerbaarheid. Dat is wat de wet vraagt, en wat wij samen met jou opbouwen.

Wat betekent dit voor jouw organisatie?

Val je onder de Cbw of de Wwke, dan is de eerste stap een eerlijke risicoanalyse: waar zitten je digitale én fysieke kwetsbaarheden, en wat is de maatschappelijke impact als het misgaat? Vanuit dat beeld richt je passende maatregelen in, leg je vast wie waarvoor verantwoordelijk is, en zorg je dat het bestuur inhoudelijk kan meepraten. En je test. Want compliance zonder toetsing is hopen dat het goed zit.

Wij helpen je door dat hele traject heen, van technologiekeuze tot onafhankelijke pentest, zodat je met vertrouwen aantoonbaar voldoet.