De Cyberbeveiligingswet (NIS2): geldt die voor jouw bedrijf?

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) voert de Europese NIS2-richtlijn in Nederland in. De Eerste Kamer stemde op 7 juli 2026 in met de wet en hij is op 15 augustus 2026 in werking getreden. De wet geldt voor ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen, verdeeld over 18 sectoren. Ook grotere bedrijven in andere sectoren en sommige toeleveranciers kunnen eronder vallen.

Dit artikel legt de wet uit in gewone taal en is geen juridisch advies. Twijfel je of de wet voor jou geldt, leg het dan voor aan een jurist.

Valt jouw bedrijf onder de Cyberbeveiligingswet?

Dat bepaal je met twee vragen: in welke sector zit je, en hoe groot ben je?

Vraag 1: zit je in een van de sectoren uit de wet?

De wet noemt 18 sectoren, verdeeld over twee bijlagen. Dit zijn de benamingen van het NCSC.

• Bijlage 1 (11 sectoren): energie, vervoer, bankwezen, drinkwater, digitale infrastructuur, beheer van ICT-diensten, ruimtevaart, infrastructuur van de financiële markt, gezondheidszorg, afvalwater en overheid.
• Bijlage 2 (7 sectoren): digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische stoffen, onderzoek en vervaardiging.

Het gaat om de sectoren waarin je bedrijf zelf actief is. In welke sectoren je klanten zitten, maakt daarvoor niet uit. Voor enkele sectoren gelden specifieke criteria, die het verantwoordelijke ministerie uitwerkt.

Vraag 2: ben je groot genoeg?

Je bent groot genoeg als een van deze twee geldt:

• Je hebt 50 of meer medewerkers (in fte).
• Je hebt minder dan 50 medewerkers, maar zowel je jaaromzet als je balanstotaal ligt boven 10 miljoen euro.

Partnerbedrijven en verbonden ondernemingen, zoals een moederbedrijf of dochterbedrijven, tellen mee voor medewerkers, omzet en balanstotaal. Kijk dus verder dan alleen je eigen bedrijf. Voor een paar soorten organisaties telt de omvang niet mee, zoals overheidsorganisaties en DNS-dienstverleners.

Zo doe je de toets in vier stappen

1. Bepaal in welke sector je bedrijf zelf actief is en kijk of die in bijlage 1 of 2 staat.
2. Tel je medewerkers (in fte), jaaromzet en balanstotaal, inclusief die van partnerbedrijven en verbonden ondernemingen.
3. Doe de NIS2-Zelfevaluatie van de RDI op regelhulpenvoorbedrijven.nl. Het NCSC noemt dat de snelste route. Met de zelfevaluatie weet je of NIS2 op je organisatie van toepassing is en of je ‘essentieel’ of ‘belangrijk’ bent.
4. Blijf je twijfelen, bijvoorbeeld door meerdere vestigingen of een groepsstructuur? Vraag het dan aan een jurist.

Wat moet je doen als je eronder valt?

De wet vraagt drie dingen van je:

• Registreren. Je meldt je organisatie aan bij het NCSC via MijnNCSC. Wie onder de wet valt, moet vanaf 15 augustus 2026 geregistreerd zijn.
• Maatregelen nemen (zorgplicht). Je voert een risicoanalyse uit en neemt op basis daarvan passende en evenredige maatregelen om je netwerk- en informatiesystemen te beveiligen.
• Significante incidenten melden (meldplicht). Je meldt via het centrale meldpunt op MijnNCSC. Je melding gaat automatisch naar je sectorale CSIRT (Computer Security Incident Response Team) en naar de toezichthouder.

Het NCSC noemt drie meldmomenten: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen 1 maand na je melding. De meldplicht geldt voor significante incidenten, dat zijn volgens het NCSC incidenten die je dienstverlening ernstig verstoren. De drempels verschillen per sector en staan in ministeriële regelingen.

Hoe registreer je je organisatie?

Registreren doe je op mijn.ncsc.nl (MijnNCSC). Je logt in met eHerkenning op betrouwbaarheidsniveau EH2+, met een machtiging om namens je organisatie te registreren. Het eHerkenningsmiddel moet gekoppeld zijn aan het KvK-nummer van je bedrijf. Een eHerkenningsmiddel aanvragen kan enkele dagen duren, dus begin op tijd.

Laat iemand registreren die beslissingsbevoegd is, bij voorkeur met kennis van cybersecurity. Het NCSC noemt als voorbeelden een CEO, een eigenaar, iemand van compliance, een CISO of een security-expert. Houd je gegevens bij de hand: organisatiegegevens, contactgegevens en netwerkgegevens, zoals publieke IP-adressen of -reeksen, domeinnamen en AS-nummers. Die liggen vaak bij verschillende collega’s, zoals de CISO of de netwerkbeheerder, dus verzamel ze vooraf.

De registratie loopt in vijf stappen:

1. Controleer je organisatiegegevens. Die worden automatisch opgehaald, voor bedrijven uit het handelsregister van de Kamer van Koophandel. Klopt er iets niet, dan pas je dat aan in de bron.
2. Controleer en vul aanvullende gegevens in: je hoofd- en subsectoren (ingevuld op basis van je SBI-codes bij de KvK), je dienstverlening, de EU-lidstaten en het type entiteit, essentieel of belangrijk.
3. Geef een eerste contactpersoon op. Het NCSC adviseert iemand die bereikbaar is bij incidenten.
4. Vul de netwerkgegevens in.
5. Controleer het overzicht, verklaar dat het formulier naar waarheid is ingevuld en verstuur het.

Verandert er daarna iets in je gegevens, dan geef je dat binnen 14 dagen door via MijnNCSC. Dat is een wettelijke verplichting.

Wie is verantwoordelijk binnen je bedrijf?

Volgens het NCSC keurt het bestuur de maatregelen goed en houdt het toezicht op de uitvoering. Daarnaast is een cybersecurity-expert betrokken, zoals de CISO. Volgens de Rijksoverheid is het bestuur eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten voldoende kennis hebben om risico’s en maatregelen te beoordelen en volgen daarvoor een passende training.

En als je er zelf niet onder valt?

Dan geldt de wet niet voor jou en hoef je je niet te registreren. Toch lopen ook jouw systemen risico, schrijft het NCSC, dus beveiligingsmaatregelen nemen blijft verstandig.

Daar komt bij dat een klant die wel onder de wet valt, vragen kan stellen over jouw beveiliging. Het vakblad Dutch IT Channel schrijft dat veel toeleveranciers vragenlijsten van klanten ontvangen. Wat een klant van je mag vragen, leg je bij twijfel voor aan een jurist. Zo bereid je je voor op zo’n vraag:

• Leg vast welke maatregelen je al hebt, zoals meervoudige verificatie, een geteste back-up volgens de 3-2-1 back-upregel en e-mailbeveiliging.
• Noteer wat nog ontbreekt en wie dat oppakt.
• Zorg dat je team weet hoe het phishing herkent en bij wie het een vermoeden meldt.