Vanaf 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Deze wet zet de Europese NIS2-richtlijn om in Nederlandse regels en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen.
Ongeveer 8.000 Nederlandse organisaties krijgen te maken met strengere eisen voor cybersecurity. Zij moeten zich registreren, cyberrisico’s aantoonbaar beheersen en ernstige incidenten snel melden. Ook het bestuur krijgt een duidelijke verantwoordelijkheid.
Toch geldt NIS2 niet automatisch voor ieder bedrijf. Vooral de sector waarin je actief bent en de omvang van je organisatie bepalen of je onder de Cyberbeveiligingswet valt.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is een Europese richtlijn die de digitale weerbaarheid van belangrijke organisaties binnen de Europese Unie moet verbeteren. Iedere lidstaat moet deze richtlijn verwerken in nationale wetgeving.
In Nederland gebeurt dat met de Cyberbeveiligingswet, vaak afgekort tot Cbw. Vanaf 15 augustus 2026 gelden de verplichtingen uit deze wet direct voor organisaties die binnen het toepassingsbereik vallen.
Het doel is niet alleen om cyberaanvallen te voorkomen. Bedrijven moeten ook voorbereid zijn op uitval, datalekken, ransomware, storingen bij leveranciers en andere incidenten die hun dienstverlening kunnen raken.
Voor welke sectoren geldt de Cyberbeveiligingswet?
De wet richt zich op organisaties die belangrijke of essentiële diensten leveren. In totaal gaat het om achttien sectoren, verdeeld over twee groepen.
Onder de zeer kritieke sectoren vallen onder meer:
- energie;
- vervoer;
- bankwezen en financiële marktinfrastructuur;
- gezondheidszorg;
- drinkwater en afvalwater;
- digitale infrastructuur;
- beheer van ICT-diensten;
- overheid;
- ruimtevaart.
Daarnaast geldt de wet voor sectoren zoals:
- digitale aanbieders;
- post- en koeriersdiensten;
- afvalstoffenbeheer;
- levensmiddelen;
- chemische stoffen;
- onderzoek;
- bepaalde vormen van industrie en productie.
Niet ieder bedrijf binnen zo’n brede sector valt automatisch onder de wet. In de bijlagen van de Cyberbeveiligingswet staat per sector beschreven om welke soorten organisaties en diensten het precies gaat.
Een administratiekantoor, kledingwinkel of regulier marketingbureau valt daardoor normaal gesproken niet rechtstreeks onder NIS2. Een aanbieder van clouddiensten, datacentrum, beheerde IT-diensten of digitale beveiligingsdiensten kan dat juist wel.
Hoe groot moet je bedrijf zijn?
Naast de sector telt de omvang van je organisatie mee.
Als algemeen uitgangspunt geldt dat je waarschijnlijk onder de Cyberbeveiligingswet valt wanneer je binnen een aangewezen sector actief bent en:
- minimaal 50 medewerkers hebt; of
- meer dan €10 miljoen jaaromzet hebt; of
- een balanstotaal van meer dan €10 miljoen hebt.
Bij ingewikkelde bedrijfsstructuren kan de beoordeling lastiger zijn. Verbonden ondernemingen, internationale vestigingen en groepsmaatschappijen kunnen invloed hebben op de berekening van de omvang. De overheid biedt daarom een officiële NIS2-zelfevaluatie waarmee bedrijven een eerste beoordeling kunnen uitvoeren.
Sommige organisaties vallen ongeacht hun omvang onder de wet. Dat geldt onder andere voor overheidsorganisaties, DNS-dienstverleners, registers voor topleveldomeinen, bepaalde vertrouwensdiensten en aanbieders van openbare elektronische communicatienetwerken en -diensten.
Essentiële of belangrijke entiteit
Val je onder de wet, dan word je aangemerkt als een essentiële of belangrijke entiteit.
Grote organisaties uit de zeer kritieke sectoren zijn doorgaans essentieel. Middelgrote organisaties binnen deze sectoren zijn meestal belangrijk. Middelgrote en grote organisaties uit de overige aangewezen sectoren vallen in de regel eveneens onder de categorie belangrijke entiteiten.
Voor beide groepen gelden verplichtingen rond registratie, risicobeheersing en incidentmeldingen. Het belangrijkste verschil zit in het toezicht.
Essentiële entiteiten staan onder proactief toezicht. De toezichthouder kan dus controles uitvoeren zonder dat eerst een incident heeft plaatsgevonden. Bij belangrijke entiteiten is het toezicht vooral reactief, bijvoorbeeld na een incident of een signaal dat de regels niet worden nageleefd.
Je moet je organisatie registreren
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister via MijnNCSC. Registreren kan al voor de ingangsdatum en is vanaf 15 augustus 2026 verplicht.
Voor de registratie heb je onder meer nodig:
- organisatie- en contactgegevens;
- de sector en het soort dienstverlening;
- contactpersonen die bereikbaar zijn bij incidenten;
- publieke IP-adressen of IP-reeksen;
- domeinnamen;
- eventuele AS-nummers.
Je logt in met eHerkenning op niveau EH2+ of, voor aangesloten rijksorganisaties, via Single Sign On Rijk. Verandert geregistreerde informatie later, dan moet je die wijziging binnen veertien dagen doorgeven.
Registratie is geen aanvraag waarbij de overheid vooraf bepaalt of je onder de wet valt. Je bent als organisatie zelf verantwoordelijk voor die beoordeling.
De zorgplicht: aantoonbaar risico’s beheersen
Alleen antivirussoftware installeren is niet voldoende. De Cyberbeveiligingswet verlangt een risicogerichte aanpak.
Je moet eerst in kaart brengen welke systemen, processen en gegevens belangrijk zijn voor je organisatie. Vervolgens moet je passende en evenredige technische, operationele en organisatorische maatregelen nemen.
Daarbij gaat het onder meer om:
- een actuele risicoanalyse;
- een plan voor het reageren op cyberincidenten;
- goede back-ups en herstelprocedures;
- bescherming tegen uitval;
- beveiliging van leveranciers en de toeleveringsketen;
- training en bewustwording van medewerkers;
- patchmanagement en veilige systeeminstellingen;
- toegangsbeheer en multifactorauthenticatie;
- versleuteling van gevoelige gegevens;
- periodieke controle of maatregelen werkelijk werken.
Welke maatregelen passend zijn, hangt af van je risico’s, omvang en dienstverlening. Je moet vooral kunnen uitleggen waarom je bepaalde keuzes hebt gemaakt en hoe je controleert of die maatregelen effectief blijven.
Incidenten moeten snel worden gemeld
Krijg je te maken met een significant cyberincident, dan geldt een gefaseerde meldplicht.
Een incident is bijvoorbeeld significant wanneer het de dienstverlening ernstig verstoort, grote financiële schade veroorzaakt of aanzienlijke schade kan veroorzaken bij andere organisaties.
De eerste waarschuwing moet zo snel mogelijk en uiterlijk binnen 24 uur nadat je kennis hebt gekregen van het incident worden verstuurd. Binnen 72 uur volgt een uitgebreidere melding met een eerste beoordeling van de ernst, oorzaak en gevolgen. Uiterlijk één maand na deze melding moet je een eindverslag indienen. Duurt het incident dan nog voort, dan lever je eerst een voortgangsverslag aan.
De melding loopt via MijnNCSC en komt terecht bij het sectorale Computer Security Incident Response Team en de bevoegde toezichthouder.
Deze korte termijnen betekenen dat je vooraf moet weten wie een incident beoordeelt, wie de melding doet en welke informatie nodig is. Een plan maken nadat ransomware je systemen heeft geblokkeerd, is te laat.
Cybersecurity wordt een verantwoordelijkheid van het bestuur
De Cyberbeveiligingswet maakt duidelijk dat cybersecurity niet alleen een taak van de IT-afdeling is.
Het bestuur moet de maatregelen voor cyberrisicobeheersing goedkeuren en blijft eindverantwoordelijk, ook wanneer de dagelijkse uitvoering bij een IT-manager of CISO ligt.
Uitvoerende bestuurders van essentiële en belangrijke entiteiten moeten bovendien een passende cybersecuritytraining volgen. Binnen twee jaar na de inwerkingtreding moeten zij aantoonbaar over de benodigde kennis en vaardigheden beschikken. Die kennis moet daarna actueel worden gehouden.
Bestuurders moeten daardoor onder meer begrijpen:
- welke digitale risico’s de organisatie loopt;
- welke gevolgen uitval of een aanval kan hebben;
- welke maatregelen zijn genomen;
- welke restrisico’s bewust worden geaccepteerd;
- hoe de organisatie op een ernstig incident reageert.
Een periodieke rapportage over cyberrisico’s hoort daarmee op de bestuurstafel thuis.
Hoge boetes bij overtredingen
Toezichthouders kunnen onder meer waarschuwingen, aanwijzingen, beveiligingsaudits, lasten onder dwangsom en bestuurlijke boetes inzetten.
Voor een essentiële entiteit kan de maximale boete voor ernstige overtredingen van bijvoorbeeld de zorg- of meldplicht oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, wanneer dat percentage hoger uitvalt.
Voor een belangrijke entiteit geldt een maximum van €7 miljoen of 1,4% van de wereldwijde jaaromzet. Het gaat om maximale bedragen; de uiteindelijke sanctie hangt af van onder meer de ernst en verwijtbaarheid van de overtreding.
De grootste schade ontstaat in de praktijk echter vaak al vóór een eventuele boete. Denk aan productie-uitval, herstelkosten, verloren gegevens, claims en reputatieschade.
Wat betekent NIS2 voor toeleveranciers?
Ook bedrijven die niet rechtstreeks onder de Cyberbeveiligingswet vallen, kunnen de gevolgen merken.
Organisaties die wel onder de wet vallen, moeten namelijk ook risico’s binnen hun toeleveringsketen beheersen. Zij kunnen daardoor strengere eisen opnemen in contracten met IT-bedrijven, softwareleveranciers en andere dienstverleners die toegang hebben tot systemen of gegevens.
Denk aan afspraken over:
- beveiligingsmaatregelen;
- toegang tot systemen;
- het melden van incidenten;
- back-ups en beschikbaarheid;
- audits en controles;
- het gebruik van onderaannemers;
- beëindiging van toegang na afloop van een contract.
Een toeleverancier valt niet automatisch onder NIS2 omdat hij aan een NIS2-organisatie levert. De opdrachtgever kan wel eisen dat de leverancier aantoonbaar voldoende beveiligd werkt.
Voor IT-dienstverleners kan cyberveiligheid daardoor steeds vaker een voorwaarde worden om opdrachten te behouden of nieuwe klanten binnen te halen.
Zo bereid je je bedrijf voor
Begin met vaststellen of je organisatie binnen een aangewezen sector en de omvangscriteria valt. Gebruik hiervoor niet alleen je handelsnaam of SBI-code, maar kijk naar de diensten die je daadwerkelijk verleent.
Val je onder de wet? Pak dan in ieder geval deze stappen op:
- Voer de officiële zelfevaluatie uit en leg de uitkomst vast.
- Registreer je organisatie via MijnNCSC.
- Breng belangrijke systemen, gegevens en leveranciers in kaart.
- Voer een actuele cyberrisicoanalyse uit.
- Controleer je beveiligings-, back-up- en herstelmaatregelen.
- Stel een incidentrespons- en meldprocedure op.
- Informeer en train medewerkers en bestuurders.
- Leg verantwoordelijkheden en genomen besluiten aantoonbaar vast.
Val je niet rechtstreeks onder de Cyberbeveiligingswet? Controleer dan alsnog of belangrijke klanten nieuwe beveiligingseisen aan je gaan stellen.
Wacht niet op het eerste incident
De Cyberbeveiligingswet gaat op 15 augustus 2026 in, maar de digitale risico’s bestaan natuurlijk al langer.
Voor bedrijven die onder NIS2 vallen, is cybersecurity vanaf dat moment aantoonbaar een wettelijke verplichting. Een map met beleidsdocumenten is daarbij niet genoeg. Je moet maatregelen daadwerkelijk uitvoeren, testen en blijven verbeteren.
Begin daarom met de belangrijkste vraag: kan je organisatie blijven functioneren wanneer systemen, leveranciers of gegevens plotseling uitvallen?
Het antwoord daarop bepaalt niet alleen of je aan de Cyberbeveiligingswet voldoet. Het bepaalt vooral hoe goed je bedrijf een serieus cyberincident kan doorstaan.
Dit artikel bevat algemene informatie. Het precieze toepassingsbereik en de verplichtingen kunnen per sector, ondernemingsstructuur en dienstverlening verschillen.