- De Cyberbeveiligingswet vertaalt de Europese NIS2-richtlijn naar Nederlandse wetgeving en is sinds 15 augustus 2026 van kracht.
- Sectoren als zorg, energie, digitale infrastructuur, overheid en transport vallen doorgaans binnen de reikwijdte.
- Toegangsbeheer is een van de grootste risicofactoren en raakt daarmee direct de kern van de zorgplicht.
- RBAC, joiner-mover-leaver, MFA, least privilege en audit trail zijn de IAM-eisen die vrijwel elk NIS2-risicokader terugkomen.
- Een gefaseerde aanpak in vijf stappen levert sneller resultaat op dan wachten tot alles in één keer compliance-proof is.
De Cyberbeveiligingswet is geen eenmalige hobbel die je met een checklist wegwerkt. Ze vraagt om aantoonbare grip op risico's, en een groot deel van het antwoord zit dichter bij huis dan je misschien denkt: bij je toegangsbeheer.
Wat is de Cyberbeveiligingswet en wie krijgt ermee te maken?
De reikwijdte van de Cyberbeveiligingswet
De Cyberbeveiligingswet vertaalt de Europese NIS2-richtlijn naar Nederlandse wetgeving en legt organisaties in vitale en belangrijke sectoren een brede zorgplicht en meldplicht op. Kort gezegd: je moet passende technische en organisatorische maatregelen nemen om je informatiesystemen te beveiligen, en je moet incidenten tijdig kunnen melden bij de toezichthouder.
De reikwijdte is groter dan bij de oude Wet beveiliging netwerk- en informatiesystemen. Sectoren als energie, zorg, digitale infrastructuur, overheid en transport vallen er nu onder, en afhankelijk van omvang geldt dat voor veel meer bedrijven dan voorheen.
Dat is precies het soort vraag waar een goed gesprek meer oplevert dan een algemene checklist: de sector, de omvang en de ketenpositie van jouw organisatie bepalen samen het antwoord.
Waarom Cyberbeveiligingswet en toegangsbeheer nu relevant zijn
Sinds 15 augustus 2026 is de wet officieel van kracht. Herken je dit: je hebt de afgelopen maanden het nieuws erover voorbij zien komen, misschien een webinar gevolgd of een compliance-checklist gedownload, maar de vraag "wat betekent dit nu concreet voor ons" is nog niet echt beantwoord. Daar sta je niet alleen in.
Een groot deel van het antwoord zit dichter bij huis dan je misschien denkt: bij je toegangsbeheer. Wie heeft toegang tot welke systemen, waarom, en kun je dat op elk moment aantonen? Dat is precies waar de Cyberbeveiligingswet en toegangsbeheer, via identity and access management (IAM), elkaar raken.
Cyberbeveiligingswet en toegangsbeheer: de kern van NIS2-compliance
Waarom toegangsbeheer centraal staat in de Cyberbeveiligingswet
De Cyberbeveiligingswet somt geen kant-en-klaar IT-systeem op dat je moet kopen. Ze vraagt om aantoonbare grip op risico's, en toegang tot systemen en data is een van de grootste risicofactoren die er is. Denk aan een oud-medewerker die na uitdiensttreding nog kan inloggen, een IT-beheerder met veel meer rechten dan zijn functie vereist, of een audit waarbij niemand precies kan uitleggen wie waarom bij welke data kan.
Dat zijn geen theoretische risico's. Het zijn precies de situaties waar toezichthouders bij een incident als eerste naar vragen: kun je aantonen wie toegang had, en waarom die toegang passend was? Zonder gestructureerd toegangsbeheer is dat antwoord vaak: nee, niet met zekerheid. Voor de Cyberbeveiligingswet en toegangsbeheer geldt daarom: goed IAM raakt direct de kern van de wet, via onze vier pijlers:
- Toegang op maat: medewerkers krijgen precies de rechten die bij hun rol horen, niet meer, niet minder.
- Soepele onboarding & doorstroom: functiewijzigingen en uitdiensttredingen worden foutloos en snel verwerkt, zodat rechten nooit blijven "hangen".
- Compliance: je kunt op elk moment aantonen wie waarom toegang heeft, het bewijsmateriaal dat een toezichthouder vraagt.
- Veiligheid: minder overtollige rechten betekent een kleiner aanvalsoppervlak en minder kans op een datalek.
De IAM-eisen voor toegangsbeheer in de Cyberbeveiligingswet
Een aantal maatregelen voor de Cyberbeveiligingswet en toegangsbeheer komt in vrijwel elk NIS2-risicokader terug. Dit is waar je toegangsbeheer concreet op wordt getoetst:
Rolgebaseerde toegang (RBAC): rechten zijn gekoppeld aan functies en rollen, niet aan losse, individuele afspraken die niemand meer kan herleiden.
Joiner-mover-leaver-proces: in-, door- en uitstroom van medewerkers is geautomatiseerd geregeld, zodat toegang meebeweegt met de rol en direct wordt ingetrokken bij vertrek.
Multifactorauthenticatie (MFA): voor kritieke systemen is een wachtwoord alleen niet meer voldoende.
Least privilege & periodieke reviews: rechten worden regelmatig gecontroleerd op noodzaak, niet alleen bij indiensttreding toegekend en daarna vergeten.
Audit trail & logging: elke toegangswijziging is herleidbaar, essentieel voor zowel de meldplicht als een audit achteraf.
Beheer van geprivilegieerde accounts (PAM): beheerdersrechten zijn apart beveiligd en zichtbaar, juist omdat ze het grootste risico vormen.
Vrijwel geen van deze punten is nieuw. Het nieuwe is de verplichting om ze aantoonbaar te maken: niet "we doen dit ergens wel goed", maar bewijsbaar, op elk gewenst moment.
Van de eisen in de Cyberbeveiligingswet naar aantoonbaar toegangsbeheer
Waarom een generieke checklist niet volstaat
Er circuleren inmiddels genoeg algemene NIS2-checklists. Het probleem: jouw organisatie is geen gemiddelde uit een blogartikel. Een zorginstelling met wisselende diensten en veel tijdelijke medewerkers loopt tegen heel andere joiner-mover-leaver-vraagstukken aan dan een gemeente met vaste teams, of een energiebedrijf met operationele technologie naast kantoorautomatisering.
Precies daarom kijken we bij IAM in control nooit als eerste naar een tool, maar naar jouw organisatie: welke systemen zijn voor jou kritiek, welke rollen bestaan er echt op de werkvloer (in plaats van op papier), en waar loop je nu al tegen risico's aan? Pas met dat beeld scherp is een IAM-aanpak passend, en pas dan is compliance ook houdbaar, in plaats van een momentopname vlak voor een audit.
In vijf stappen naar aantoonbaar toegangsbeheer onder de Cyberbeveiligingswet
Dit hoef je niet in een keer perfect te doen. Een gefaseerde aanpak, afgestemd op jouw situatie, levert sneller resultaat op dan wachten tot alles in een keer "compliance-proof" is.
Wie heeft nu toegang tot wat, en klopt dat nog met de functie? Dit is het fundament waarop elke volgende stap voortbouwt.
Niet alles is even risicovol. Begin waar de impact het grootst is, in plaats van overal tegelijk te willen starten.
Vertaal functies naar rollen, en rollen naar rechten, zodat toegang herleidbaar en beheersbaar wordt.
Zorg dat toegang automatisch meebeweegt met in-, door- en uitstroom, zodat rechten nooit onbedoeld blijven "hangen".
Zo bouw je het bewijsmateriaal op dat je nodig hebt, lang voordat een toezichthouder erom vraagt.
Veelgestelde vragen over de Cyberbeveiligingswet en toegangsbeheer
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. Ze verplicht organisaties in vitale en belangrijke sectoren tot passende beveiligingsmaatregelen en het tijdig melden van incidenten. De wet is sinds 15 augustus 2026 van kracht.
Dat hangt af van je sector, omvang en soms je positie in de keten van een andere organisatie die wel onder de wet valt. Sectoren als zorg, energie, digitale infrastructuur, overheid en transport vallen doorgaans binnen de reikwijdte. Twijfel je? Een korte intake geeft duidelijkheid.
Toegangsbeheer is een van de kernmaatregelen om aan de zorgplicht te voldoen. Wie toegang heeft tot welke systemen, en of dat aantoonbaar passend is, staat vaak centraal bij een audit of na een incident.
Begin met een goed beeld van je huidige toegangssituatie, richt een rolgebaseerd model in en automatiseer je joiner-mover-leaver-proces. Logging en periodieke reviews maken je compliance vervolgens aantoonbaar.
Toezichthouders kunnen handhavend optreden, tot en met boetes. Onvoldoende toegangsbeheer vergroot bovendien het risico op datalekken en operationele verstoring.
Tot slot
De Cyberbeveiligingswet is geen eenmalige hobbel die je met een checklist wegwerkt. Het is een aanleiding om structureel grip te krijgen op wie waarom toegang heeft binnen jouw organisatie.
IAM IN CONTROLDat begint met een goed gesprek over jouw specifieke situatie, niet met een generieke oplossing. Wil je weten waar jouw organisatie staat ten opzichte van de Cyberbeveiligingswet en toegangsbeheer, en welke stappen voor jullie het meeste opleveren?
Weet jij waar je organisatie staat?
Ontdek waar jouw organisatie staat ten opzichte van de Cyberbeveiligingswet en toegangsbeheer, en welke stappen voor jullie het meeste opleveren.
Bronnen
- Digital Government (Rijksoverheid): NIS2 Directive (Cyberbeveiligingswet, Cbw) (laatst gewijzigd 29 juli 2026)
- NCSC: Cyberbeveiligingswet (Cbw), infosheet zorgplicht (versie september 2025)
- Forvis Mazars: NIS2-update, Cyberbeveiligingswet treedt op 15 augustus 2026 in werking