Cyberbeveiligingswet vanaf 15 augustus in werking: raakt ook uitzenders

Na instemming van de Tweede Kamer zette de Eerste Kamer op 7 juli de laatste handtekening onder de Cyberbeveiligingswet (Cbw) en de bijbehorende Wet weerbaarheid kritieke entiteiten (Wwke). Beide wetten gaan op 15 augustus 2026 in, zonder overgangsperiode. 

De Cbw is de Nederlandse vertaling van de Europese NIS2-richtlijn en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Nederland loopt daarmee bijna twee jaar achter op de oorspronkelijke Europese deadline van oktober 2024.

Wat de wet inhoudt

De Cbw geldt voor ruim 8.000 organisaties in achttien sectoren, van energie en drinkwater tot digitale infrastructuur, zorg, overheid en vervoer. Zij krijgen drie kernverplichtingen:

• Zorgplicht: aantoonbaar passende technische en organisatorische maatregelen tegen cyberrisico’s, inclusief risico’s bij leveranciers.
• Meldplicht: cyberincidenten moeten snel worden gemeld bij de toezichthouder. Een vroege waarschuwing binnen 24 uur, een formele melding binnen 72 uur.
• Registratieplicht: organisaties die onder de wet vallen, moeten zich inschrijven in het nationaal entiteitenregister.

Waarom dit ook voor de flexbranche telt

Uitzendbureaus, detacheerders en zzp-bemiddelaars vallen niet rechtstreeks onder de Cyberbeveiligingswet. Toch is de impact voor de sector aanzienlijk, doordat organisaties die wél onder de wet vallen verplicht hun hele toeleveringsketen moeten controleren. 

Opdrachtgevers gaan dus vragen stellen aan hun flexleveranciers over wachtwoordbeleid, incidentprotocollen en certificering. Wie dat niet op orde heeft, loopt het risico opdrachten mis te lopen.

Voor bureaus komt daar een extra risico bij indien hun uitzendkrachten of gedetacheerden rechtstreeks toegang hebben tot systemen en gevoelige data van de opdrachtgever. Daarbij  verwerken de bureaus zelf al veel persoonsgegevens via ATS’en, salarisadministraties en klantportalen. Dat maakt ze tot een aantrekkelijk doelwit én tot een risicovolle schakel in de keten, waar opdrachtgevers extra kritisch naar kijken.

Aan de slag 

Dat de wet later dan gepland ingaat, betekent niet dat de wet is afgezakt. De ketenverplichtingen staan onverkort overeind. Organisaties die voor 15 augustus geen bewijs kunnen overleggen van hun digitale weerbaarheid, riskeren op termijn het verlies van grote klanten.

Op FlexNieuws publiceerden we eerder al een praktisch stappenplan waarmee leveranciers in de flexmarkt zich kunnen voorbereiden op de nieuwe eisen (zie Nieuwe Cyberbeveiligingswet: stappenplan voor leveranciers in de flexbranche).

Op de website van het Nationaal Cyber Security Centrum (NCSC) is veel (achtergrond)informatie te vinden over deze nieuwe verplichting.