Cyberbeveiligingswet in werking getreden

Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) officieel in werking getreden. Daarmee is de Nederlandse implementatie van de Europese NIS2-richtlijn een feit. SIDN heeft registrars inmiddels geïnformeerd over de aanpak en de concrete tijdlijn, die is afgestemd met de VvR en is overlegd met de Rijksinspectie Digitale Infrastructuur (RDI).

In eerdere berichtgeving informeerden we jullie over de parlementaire behandeling van de wet en de betekenis ervan voor registrars. De VvR werkte samen met SIDN, Dotlocal en Verisign aan een matrix met een gedetailleerd overzicht van de registratie- en verificatieverplichtingen. Die matrix werd afgestemd met het Ministerie van Economische Zaken, waarna SIDN in overleg trad met de RDI over de start van de implementatie.

Op 7 juli 2026 stemde de Eerste Kamer in met de wet. Per 15 augustus is de Cyberbeveiligingswet formeel van kracht, samen met de Wet weerbaarheid kritieke entiteiten (Wwke).

De afgelopen maanden heeft SIDN samen met de VvR gewerkt aan een vertaling van de verplichtingen uit de wet naar de dagelijkse praktijk. Over de uitkomsten is overleg geweest met de RDI (die toezicht houdt op de naleving) en zijn zij geïnformeerd.

De kern van de gekozen aanpak: verificatie van houdergegevens vindt plaats door de registrar, primair via e-mail. Die werkwijze sluit aan bij wat registrars al kennen van gTLD-registraties via ICANN. Telefonische verificatie blijft als optie beschikbaar voor registrars die daarvoor kiezen.

• Verificatie vóór opname in de zone. Een domeinnaam mag pas worden opgenomen in de zone nadat de vereiste verificatie heeft plaatsgevonden. Dit is een belangrijk verschil met de huidige gTLD-procedure.
• Deadline 1 januari 2027. SIDN en de VvR hebben gezamenlijk een tijdlijn opgesteld die met de RDI is gedeeld. Registrars krijgen tot 1 januari 2027 de tijd om hun processen aan te passen. Per die datum worden ook de algemene voorwaarden van SIDN bijgewerkt.
• De wet geldt ook voor gTLD’s en niet-Nederlandse ccTLD’s. Ben je als registrar in Nederland gevestigd, dan gelden de verplichtingen voor alle domeinnamen in je portfolio, dus niet alleen voor .nl.
• Voorlichting in het vierde kwartaal. In oktober starten SIDN en de VvR met uitgebreide ondersteuning: webinars, FAQ’s en best practices.

Informatie over de Cyberbeveiligingswet, de verplichtingen uit artikelen 49 en 50 en de tijdlijn vind je in het dossier op onze website.

Het volledige bericht van SIDN, inclusief de concrete uitwerking van de verificatieprocedure, vind je op de besloten registrarsite.