Cyberaanvallen op ziekenhuizen, gemeenten, vitale en andere publieke dienstverleners zijn inmiddels geen uitzondering meer. Organisaties moeten zich daarom steeds beter beschermen tegen digitale dreigingen. Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden. Met deze wet voert Nederland de Europese NIS2-richtlijn uit. Met de Cbw wil de wetgever organisaties verplichten om hun digitale weerbaarheid serieus op orde te brengen. Voor bestuurders is dat in de eerste plaats een compliance-vraagstuk. Maar wie kijkt naar wat die verplichtingen in de praktijk betekenen, ziet dat ook de ondernemingsraad hier een rol te vervullen heeft.
De Cyberbeveiligingswet geldt voor essentiële en belangrijke entiteiten in verschillende sectoren, zoals bijvoorbeeld zorg, energie, ruimtevaart, onderzoek, digitale infrastructuur en overheid. Ook grotere bedrijven in andere sectoren kunnen onder de wet vallen. Dit gaat bijvoorbeeld om bedrijven met meer dan 50 medewerkers, of met een jaaromzet en/of balanstotaal van meer dan 10 miljoen euro. Ook toeleveranciers of dochterbedrijven van zulke organisaties kunnen onder de wet vallen of hiermee te maken krijgen. Dit hangt af van hun rol in de keten. Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de Cyberbeveiligingswet vallen. Via een zelfevaluatie kunnen organisaties checken of ze onder de Cbw vallen.
De wet verplicht organisaties om passende maatregelen te nemen om hun netwerk- en informatiesystemen te beschermen tegen cyberrisico's. In hoofdlijnen bestaat deze uit een zorgplicht, een meldplicht, verschillende governance verplichtingen (incl. opleidingsplicht en risico’s) en een registratieplicht. Daarnaast moeten ernstige incidenten worden gemeld bij de toezichthouder. In onze eerdere blogs ‘Cyberbeveiligingswet bent u al voorbereid?‘ en 'De Cyberbeveiligingswet treedt in werking op 15 augustus 2026. Bent u er klaar voor?' is toegelicht hoe cyberrisico’s binnen de organisatie in kaart kunnen worden gebracht en welke verplichtingen uit deze wet voortvloeien.
Uit de Cyberbeveiligingswet zelf volgen geen directe rechten voor de ondernemingsraad. Wel bevat de wet een aantal concrete artikelen die in de uitvoering vrijwel onvermijdelijk raken aan onderwerpen waarvoor de OR op grond van de Wet op de ondernemingsraden (WOR) instemmings- of adviesrechten kan hebben. Denk aan:
Zorgplicht en governance (Artikel 21 Cbw)
De kern van de zorgplicht staat in artikel 21 lid 3, dat de categorieën beveiligingsmaatregelen opsomt die entiteiten minimaal moeten treffen. Twee onderdelen daarvan zijn direct relevant voor de OR. Onderdeel g verplicht tot "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging". Vult de organisatie dit in met een verplichte, structurele trainingsverplichting voor (een groep van) werknemers, dan kan dat kwalificeren als een wijziging van een regeling op het gebied van de personeelsopleiding in de zin van artikel 27 lid 1 sub f WOR, en afhankelijk van de vormgeving mogelijk ook als een regeling op het gebied van de personeelsbeoordeling in de zin van artikel 27 lid 1 sub g WOR.
Onderdeel i verplicht daarnaast tot "beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets". De concrete uitwerking hiervan — screeningsprocedures bij aanstelling, autorisatiemodellen, toegangscontrole tot systemen — kan neerkomen op een regeling omtrent de verwerking of bescherming van persoonsgegevens van werknemers (artikel 27 lid 1 sub k WOR) of een voorziening die geschikt is voor waarneming of controle van personeel (artikel 27 lid 1 sub l WOR).
Gaat het om de invoering van een substantieel nieuw beveiligingssysteem — bijvoorbeeld een nieuw platform voor toegangsbeheer, multifactor-authenticatie of monitoring — dan kan dit bovendien kwalificeren als een belangrijke adviesplichtige technologische voorziening in de zin van artikel 25 lid 1 sub k WOR. Afhankelijk van de bedragen die hiermee gemoeid zijn, kan ook sprake zijn van een belangrijke investering in de zin van artikel 25 lid 1 h WOR.
Governance (Artikel 24 Cbw)
Artikel 24 bevat een belangrijk signaal voor de OR: wacht niet af. Bestuurders zijn verplicht voldoende kennis van cyberrisico's te hebben en moeten daarvoor een opleiding volgen. Bovendien moeten zij de beveiligingsmaatregelen die op grond van de wet worden genomen formeel goedkeuren.
In de praktijk betekent dit dat veel organisaties op korte termijn besluiten zullen nemen over opleidingen, toegangsbeleid, monitoring en andere beveiligingsmaatregelen. Omdat bestuurders bij niet-naleving persoonlijk risico lopen op handhaving en bestuurdersaansprakelijkheid, zal de druk om snel te implementeren groot zijn. Voor de OR is dat juist een reden om tijdig het gesprek aan te gaan en na te gaan of instemmings- of adviesrechten aan de orde zijn.
Wij adviseren OR-leden die werkzaam zijn in een van de sectoren die onder de Cbw vallen, om tijdens de bespreking van de algemene gang van zaken (art. 24 WOR) actief te vragen wat de inwerkingtreding van deze wet voor de eigen organisatie betekent, hoe daaraan uitvoering wordt gegeven en welke gevolgen dat heeft voor de medewerkers. Bestuurder en OR kunnen dan samen bespreken of en in hoeverre sprake is van formele bevoegdheden van de OR en afspraken maken over een eventueel medezeggenschapstraject.
Wil jouw organisatie de uitvoering van de Cyberbeveiligingswet goed en met oog voor medezeggenschap vormgeven? Wij denken graag met je mee.
Neem bij vragen contact op met Barbara van Dam-Keuken, Juridisch medewerker Arbeid & Medezeggenschap of Michelle Wijnant Advocaat IT, Privacy en Cybersecurity.
Wilt u maandelijks een overzicht ontvangen van onze nieuwste juridische updates en blogartikelen? Schrijf u dan in voor onze nieuwsbrief.
