Cyberbeveiligingswet (Cbw) & NIS2
De nieuwe wet voor registratie-, meld- en zorgplicht is definitief. Nestor Security helpt u op tijd en aantoonbaar te voldoen.
Cbw-verklaring
Laat uw klanten zien dat u de Cbw op orde heeft
Steeds meer opdrachtgevers vragen of u voldoet aan de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2. Met een onafhankelijke verklaring laat u zwart op wit zien dat uw beveiliging op orde is.
Ontdek waarom 500+ bedrijven op Nestor Security vertrouwen voor IT-security en compliance
Cbw en NIS2
De wet vraagt om bewijs
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, zonder overgangsperiode. Organisaties die eronder vallen, moeten kunnen aantonen dat hun beveiliging op orde is. Dat bewijs vragen ze ook aan hun leveranciers.
Herkent u dit?
- Onze opdrachtgevers vragen om Cbw-garanties van leveranciers.
- We hebben van alles geregeld, maar kunnen weinig laten zien.
- Het bestuur wil weten waar we staan qua compliance.
Registreren
U meldt uw organisatie aan bij het NCSC. Zo weet de overheid dat u onder de wet valt en kan zij u snel waarschuwen bij een dreiging.
Zorgplicht
U neemt passende maatregelen op basis van een actuele risicoanalyse. De wet noemt tien onderwerpen, waaronder de beveiliging van uw leveranciers.
Meldplicht
Ernstige incidenten meldt u in drie stappen bij het NCSC, van een eerste waarschuwing tot een eindrapport.
Bestuur
Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt een verplichte opleiding.
8.000+
Organisaties vallen onder de wet, tegenover zo’n 1.000 onder de vorige wet
18
Sectoren, van zorg en energie tot digitale infrastructuur
24 uur
Om een ernstig incident te melden bij het NCSC
2028
Uiterlijk 15 augustus volgt het bestuur de verplichte opleiding
De vergelijking
Verklaring, certificaat of keurmerk?
De Cbw schrijft geen certificaat of verklaring voor. U kiest zelf hoe u aantoont dat uw maatregelen op orde zijn, en uw klanten bepalen welk bewijs zij accepteren. Zo verhouden de drie meest gebruikte vormen van bewijs zich tot elkaar.
| Cbw-verklaring | ISO 27001 of NEN 7510 | NIS2 Supply Chain-keurmerk | |
|---|---|---|---|
| Wat u ontvangt | Een rapport met het oordeel van een onafhankelijke auditor | Een certificaat, met jaarlijkse controle-audits | Een certificaat op het behaalde niveau |
| Getoetst aan | Eisen speciaal voor de Cbw, afgestemd op uw organisatie | Een vaste internationale norm, niet specifiek voor de Cbw | Vaste NIS2-eisen per niveau, van SC10 tot SC30 |
| Wie toetst | Een register EDP-auditor (RE) | Een geaccrediteerde certificerende instelling | Een door het keurmerk erkende auditpartij |
| Doorlooptijd | 16 weken, of 8 weken als het bewijs klaarligt | Vaak 4 tot 6 maanden of langer | Meestal 2 tot 6 maanden |
| Past vooral bij | Organisaties onder de Cbw en hun leveranciers | Organisaties die beveiliging structureel willen borgen | Mkb-leveranciers met een beperkt risico |
Bent u een leverancier met een beperkt risico, dan kan het keurmerk op niveau SC10 volstaan. Heeft u toegang tot systemen of gevoelige gegevens van uw klant, of vraagt uw klant om het oordeel van een RE, dan past een verklaring op maat beter. Nestor Security begeleidt ook trajecten voor ISO 27001, NEN 7510 en het NIS2 Supply Chain-keurmerk. In de kennismaking bekijken we samen welke vorm het beste bij u past.
Wat u in handen krijgt
Wat staat er in een Cbw-verklaring?
Een verklaring is geen certificaat, maar een oordeel van een auditor. In Denemarken laten leveranciers hun klanten al met zo’n verklaring zien dat ze aan NIS2 voldoen. Zo is uw verklaring opgebouwd.
Voorbeeld
Rapport van de onafhankelijke IT-auditor
Cyberbeveiligingswet, eisen op maat
Object van onderzoek[Uw organisatie]
NormenkaderCbw-eisen op maat
StandaardISAE 3000
Oordeel van de auditor
Register EDP-auditor (RE)
De standaard ISAE 3000
De internationale standaard waarmee auditors een onafhankelijke verklaring afgeven. De auditor van uw klant herkent hem direct, en er is ruimte om de eisen op uw organisatie af te stemmen.
Het oordeel van de auditor
Een formeel oordeel van een onafhankelijke auditor over uw maatregelen, dus geen verklaring die u zelf opstelt. Daardoor heeft het gewicht bij klanten, bestuur en toezichthouders.
Wat er precies is onderzocht
In het rapport heet dit het object van onderzoek. Wat daaronder valt, bepalen we samen in de kennismaking, zodat de verklaring aansluit op de vragen van uw klanten.
Eisen op maat van uw organisatie
Dit heet het normenkader, de set eisen waaraan de auditor toetst. We houden het kort en stemmen het af op de Cbw en uw werkwijze. Dat geeft doorgaans minder onterechte bevindingen.
Getekend door een register EDP-auditor
Een RE is gebonden aan de beroepsregels van NOREA, de beroepsorganisatie van IT-auditors. Bij route 1 tekent een externe RE, bij route 2 een RE van Nestor Audit.
Twee routes
Twee routes naar uw Cbw-verklaring
Wilt u hulp bij het opstellen van de eisen en het verzamelen van bewijs, dan begeleidt Nestor Security u naar de verklaring. Heeft u een eigen security- of auditteam dat het bewijs aanlevert, dan voert Nestor Audit alleen de audit uit.
Route 1Nestor Security
Begeleiding naar de verklaring
Wij stellen de eisen op, verzamelen en controleren samen met u het bewijs, regelen het contact met de externe auditor en begeleiden de audit.
Voor wieOrganisaties zonder eigen security- of auditteam die het traject naar de verklaring niet zelf willen trekken.
- Bepalen wat we onderzoeken, aan welke eisen we toetsen en welk bewijs daarbij hoort
- Samen met uw team het bewijs verzamelen
- Een externe register EDP-auditor inschakelen, eventueel uit ons netwerk
- Samen met de auditor het auditrapport opstellen
- De audit begeleiden
- Eventuele bevindingen oplossen
- Verklaring getekend door
- Externe register EDP-auditor
- Doorlooptijd
- 16 weken
- Voorstel
- Binnen twee werkdagen na de kennismaking
Route 2Nestor Audit
Audit door Nestor Audit
Wij voeren de audit uit in samenspraak met uw security- of interne auditteam. De verklaring wordt getekend door een register EDP-auditor van Nestor Audit.
Voor wieOrganisaties met een eigen security- of intern auditteam dat het bewijs aanlevert. Ook geschikt voor adviseurs zonder eigen RE die een verklaring voor een klant nodig hebben.
- Bespreken wat we onderzoeken, aan welke eisen we toetsen en hoe uw organisatie werkt
- Het bewijs ontvangen en de audit uitvoeren
- Het auditrapport opstellen
- De kwaliteit bewaken met een verplichte tweede controle
- Verklaring getekend door
- RE van Nestor Audit
- Doorlooptijd
- 8 weken
- Voorstel
- Binnen twee werkdagen na de kennismaking
Onafhankelijkheid gegarandeerd
Nestor Security begeleidt, Nestor Audit toetst. Omdat advies en audit nooit door dezelfde mensen worden gedaan, staat de onafhankelijkheid van uw verklaring vast.
Het traject
Van kennismaking tot verklaring
Een duidelijke aanpak in vier fasen, met een vast aanspreekpunt. Met begeleiding heeft u de getekende verklaring in 16 weken. Kiest u route 2 en ligt het bewijs klaar, dan is dat 8 weken. In de kennismaking maken we de planning voor u concreet.
- Week 1 tot 2
Kennismaking en voorstel
- Kennismaking van 30 minuten
- Binnen twee werkdagen een voorstel met scope, planning en prijs
- U kiest de route die bij u past
- Week 3 tot 6
Eisen en bewijs bepalen
- Vastleggen wat we onderzoeken
- Een korte, passende set eisen opstellen
- Per eis bepalen welk bewijs nodig is
- Week 7 tot 12
Bewijs verzamelen
- Samen met uw team het bewijs verzamelen en controleren
- Een externe register EDP-auditor inschakelen, eventueel uit ons netwerk
- Week 13 tot 16
Audit en verklaring
- Samen met de auditor het auditrapport opstellen
- De audit begeleiden en eventuele bevindingen oplossen
- De auditor tekent uw verklaring
Verklaring ontvangen
Uw verklaring bevat een onafhankelijk oordeel over uw maatregelen. U deelt hem met klanten, bestuur en toezichthouders en vernieuwt hem elk jaar. Bij oplevering kunt u kiezen voor een jaarcontract, met een tussentijdse check na zes maanden en een herhaalaudit na twaalf maanden.
Bestaand certificaat
Heeft u al ISO 27001 of NEN 7510? Dan kan het in 10 weken
Uw certificaat dekt al veel van wat de Cbw vraagt. Met een verklaring laat u zien dat uw bestaande maatregelen ook de extra Cbw-eisen afdekken, zoals de meldplicht en de rol van het bestuur. Uw certificaat en maatregelen gebruiken we daarbij als bewijs.
Nog geen certificaat?
Geen probleem. Met een Cbw-verklaring toont u gericht aan dat u aan de Cbw voldoet, zonder eerst een volledig managementsysteem op te zetten.
Wat de Cbw vraagt naast ISO 27001
Registratie bij het NCSC
Organisaties die onder de Cbw vallen, melden zich aan in het register van het NCSC, via MijnNCSC. Daarna krijgt u ook toegang tot de diensten van uw CSIRT, het team dat helpt bij digitale incidenten.
Eisen aan uw leveranciers
De zorgplicht geldt ook voor uw leveranciers. U beoordeelt hun risico’s en legt afspraken over beveiliging vast in contracten.
De hele organisatie telt mee
Een ISO-certificaat geldt soms voor een deel van de organisatie. De zorgplicht geldt voor alle netwerk- en informatiesystemen die u gebruikt voor uw werk en uw dienstverlening.
Meldtermijnen van 24 en 72 uur
ISO 27001 vraagt een proces voor incidenten, maar geen wettelijke termijnen. Onder de Cbw meldt u een ernstig incident binnen 24 uur bij het NCSC, met een vervolgmelding binnen 72 uur en een eindrapport binnen een maand.
Goedkeuring en opleiding van het bestuur
Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt een opleiding, aangetoond met een certificaat. Zittende bestuurders hebben daarvoor tot 15 augustus 2028.
Multifactorauthenticatie en beveiligde communicatie
De Cbw noemt multifactorauthenticatie, beveiligde communicatie en noodcommunicatie expliciet. Onder ISO 27001 hangen zulke keuzes af van uw eigen risicoanalyse.
Succesverhalen
Neem het niet alleen van ons aan
U bent in goed gezelschap bij Nestor.
ISO 27001
De lijnen met Nestor Security waren kort. De organisatie is pragmatisch ingesteld en een nuchtere partij om zaken mee te doen. Daardoor is het proces soepel en vrij snel verlopen.
Pascal Kamphuis
Corpoflow
NEN 7510Privacy Officer
Wij werken het liefst zoveel mogelijk regionaal samen en doen meetings graag face-to-face. Als je kijkt naar partners in het Noorden, blijven er een aantal over, en daar stak Nestor Security met kop en schouders bovenuit.
Irene Bernsen
Joyce-House
ISO 27001ISO 27701
Nestor Security heeft voor ons de interne audits van ISO 27001 en ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid. Ze zijn pragmatisch, denken goed mee met onze behoeften en de audits zijn goed verzorgd.
Wouter Buzing
Effectory
Over ons
Wie zijn Nestor Security en Nestor Audit?
Nestor Security helpt organisaties om informatie veilig en praktisch te gebruiken. Wij adviseren en voeren uit, met een aanpak waarin uw kernactiviteiten centraal staan.
Via Nestor Audit beschikken wij over drie register EDP-auditoren die de audits uitvoeren. U werkt met korte lijnen en een vast aanspreekpunt, zonder het traject en het tarief van een groot accountantskantoor.
Nestor Audit
Register EDP-auditoren (RE)
- Drie eigen register EDP-auditoren
- Ingeschreven in het register van NOREA, de beroepsorganisatie van IT-auditors
- Werkt volgens ISAE 3000 en de beroepsregels van NOREA
- Bij elke audit een verplichte tweede controle op de kwaliteit
Contact opnemen
Direct aan de slag met de Cbw?
Uw vragen beantwoord
FAQs
Wat kost een Cbw-verklaring?
Begeleiding naar de verklaring (route 1) kost vanaf € 12.500. Kiest u alleen de audit door Nestor Audit (route 2), dan betaalt u vanaf € 6.500. Alle bedragen zijn exclusief btw.
De precieze prijs hangt af van wat we onderzoeken en hoeveel eisen er zijn. Na de kennismaking ontvangt u binnen twee werkdagen een voorstel met scope, planning en prijs.
Is een Cbw-verklaring verplicht?
Nee. De Cbw schrijft geen verklaring of certificaat voor. Wel moet u kunnen aantonen dat u passende maatregelen neemt, ook bij uw leveranciers.
Een onafhankelijke verklaring is de duidelijkste manier om dat te laten zien. Of u aan de wet voldoet, beoordeelt de toezichthouder zelf.
Hoe lang is de verklaring geldig?
U vernieuwt de verklaring elk jaar, zodat uw bewijs actueel blijft.
Bij oplevering kunt u kiezen voor een jaarcontract, met een tussentijdse check na zes maanden en een herhaalaudit na twaalf maanden.
Val ik onder de Cyberbeveiligingswet?
De Cbw geldt voor organisaties in 18 sectoren, zoals energie, vervoer, zorg, digitale infrastructuur, ICT-dienstverlening, afvalbeheer, productie en levensmiddelen. Binnen die sectoren gaat het om organisaties met minimaal 50 medewerkers, of een jaaromzet en balanstotaal van meer dan 10 miljoen euro. Sommige organisaties vallen er ongeacht hun omvang onder.
Dat bepaalt u zelf. De overheid wijst organisaties meestal niet aan. Met de NIS2-zelfevaluatie van het NCSC gaat u na of uw organisatie onder de wet valt.
Mag ik de verklaring delen met klanten?
Ja. De verklaring is bedoeld om te delen met klanten, bestuur en toezichthouders.
Zo beantwoordt u vragen van klanten met een onafhankelijk oordeel, in plaats van elke vragenlijst opnieuw in te vullen.
Hoe blijft mijn verklaring onafhankelijk?
Advies en audit worden nooit door dezelfde mensen gedaan. Een auditor beoordeelt dus nooit werk waaraan hij zelf heeft meegewerkt.
Daarom kiest u vooraf voor begeleiding door Nestor Security of voor de audit door Nestor Audit. Zo staat de onafhankelijkheid van uw verklaring vast, ook voor uw klanten en de toezichthouder.
Wat is het verschil tussen de Cbw en NIS2?
NIS2 is een Europese richtlijn. Elk EU-land zet die om in eigen wetgeving, en in Nederland is dat de Cyberbeveiligingswet. Uw verplichtingen komen dus uit de Cbw, niet rechtstreeks uit de richtlijn.
De concrete eisen staan in het Cyberbeveiligingsbesluit en in regelingen per sector. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).
Is ISO 27001 genoeg om aan de Cbw te voldoen?
U heeft een flinke voorsprong, maar u bent er niet automatisch. De wet vraagt ook registratie bij het NCSC, meldtermijnen van 24 en 72 uur en een bestuur dat goedkeurt, toezicht houdt en een opleiding volgt.
Met een verklaring laat u zien dat uw bestaande maatregelen ook de Cbw-eisen dekken. Uw certificaat en maatregelen gebruiken we daarbij als bewijs.
Wat gebeurt er als de auditor bevindingen heeft?
Bij route 1 helpen wij u eventuele bevindingen op te lossen. Dat hoort standaard bij de begeleiding.
Bij route 2 voert Nestor Audit de audit uit in samenspraak met uw eigen team. Bevindingen oplossen doen wij dan niet, omdat advies en audit strikt gescheiden blijven.
Hoe lang duurt het om een Cbw-verklaring te krijgen?
Met begeleiding heeft u de getekende verklaring 16 weken na de kennismaking. Heeft u al ISO 27001 of NEN 7510, dan is dat 10 weken.
Kiest u route 2 en levert uw eigen team het bewijs aan, dan heeft u de verklaring in 8 weken.