Dienst

NIS2 en de Cyberbeveiligingswet

De wet geldt sinds 15 augustus 2026. We zoeken uit of hij op jou van toepassing is, en wat er dan nodig is.

Val je onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen. Ruim 8.000 organisaties vallen er rechtstreeks onder, en niemand van hen heeft daar een brief over gekregen. Je moet zelf nagaan of je erbij hoort, en dat is precies waar het bij de meeste organisaties op vastloopt.

Eerst de sector, dan pas de omvang. Dat is de volgorde die telt en waar de meeste verwarring ontstaat.

De wet wijst sectoren aan: zorg, energie, drinkwater, transport, productie, digitale dienstverlening, afvalverwerking, overheid en een aantal andere. Staat je kernactiviteit niet in die lijst, dan val je er in beginsel niet onder, hoe groot je ook bent. Staat je activiteit er wel in, dan komt de omvang in beeld. De grens ligt bij vijftig medewerkers, gerekend in voltijdplaatsen: heb je er vijftig of meer, dan tel je mee. Zit je daaronder, dan tel je alleen mee als je jaaromzet én je balanstotaal allebei boven de tien miljoen euro uitkomen. Hoor je bij een groep, dan tellen de cijfers van moeder- en zusterbedrijven mee. Voor sommige sectoren gelden de regels ongeacht de omvang, en overheden vallen er altijd onder.

Val je eronder, dan ben je een essentiële of belangrijke entiteit. Dat onderscheid bepaalt vooral hoe de toezichthouder naar je kijkt: bij essentiële entiteiten controleert hij uit zichzelf, bij belangrijke entiteiten pas als daar aanleiding voor is. Grote organisaties in een aangewezen sector zijn doorgaans essentieel, middelgrote belangrijk. De verplichtingen zelf verschillen niet.

In de praktijk is die eerste stap vaker doorslaggevend dan mensen denken. Een organisatie die personeel levert aan de zorg valt niet onder de sector gezondheidszorg: de zorg wordt verleend onder verantwoordelijkheid van de instelling, de economische activiteit blijft arbeidsbemiddeling. Zulke onderscheidingen bepalen de uitkomst, en ze zijn vast te stellen zonder dat daar een heel traject voor nodig is. Wat de vraag lastig maakt is dat hij zich niet in zijn algemeenheid laat beantwoorden: het gaat om je feitelijke activiteit, niet om hoe je je organisatie omschrijft. We schreven er eerder over in Val je onder NIS2 of niet?

Kom je tot de conclusie dat je er niet onder valt, lees dan toch verder. Je opdrachtgevers vallen er misschien wel onder, en dan komen hun verplichtingen als vragen bij jou terecht.

Wat de wet verplicht

De Cyberbeveiligingswet kent drie verplichtingen.

De zorgplicht vraagt om passende technische en organisatorische maatregelen. Het Cyberbeveiligingsbesluit werkt dat uit in tien onderwerpen, waaronder risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, beveiliging in de keten, toegangsbeheer, meervoudige authenticatie en bewustwording van medewerkers. Passend betekent dat de maatregelen in verhouding staan tot je risico's, niet dat alles technisch perfect is.

De registratieplicht houdt in dat je je organisatie inschrijft in het landelijke register dat het NCSC beheert. Dat gaat met eHerkenning of eenmalige inlog voor de Rijksoverheid, dus iemand met tekenbevoegdheid moet het doen. Er is geen overgangstermijn: de plicht geldt sinds 15 augustus 2026. Verandert er daarna iets wezenlijks, bijvoorbeeld door een fusie, dan geef je dat binnen twee weken door.

De meldplicht gaat in drie stappen. Bij een significant incident doe je binnen 24 uur een eerste melding, binnen 72 uur volgt een uitgebreidere melding en uiterlijk een maand na de eerste melding lever je het eindverslag. Melden doe je bij het Nationaal Cyber Security Centrum, dat optreedt als nationaal CSIRT. Eén melding is genoeg: het NCSC stuurt hem door naar het CSIRT van je sector en naar je toezichthouder. Welke toezichthouder dat is hangt af van je sector. Er zijn er acht, met de Rijksinspectie Digitale Infrastructuur als coördinerende; voor een zorginstelling is het bijvoorbeeld de Inspectie Gezondheidszorg en Jeugd. Hoe dat samenloopt met de meldplicht uit de AVG, staat in dit artikel.

Die 24 uur klinkt kort, en dat is het ook. Het verschil tussen een organisatie die dit haalt en een die het niet haalt, zit niet in techniek maar in de vraag of iemand weet wie er gebeld moet worden. Dat is te regelen op een middag.

Je valt er zelf niet onder, maar je klant wel

Dit is voor de meeste organisaties het punt waar het echt begint. Je hebt vastgesteld dat de wet niet op jou van toepassing is, en dan komt er een mail van een opdrachtgever met een vragenlijst over je informatiebeveiliging.

Dat is geen vergissing. Organisaties die wel onder de Cyberbeveiligingswet vallen, hebben ketenverantwoordelijkheid: zij zijn verplicht de beveiliging in hun keten te beheersen. Hun leveranciers horen bij die keten. De wettelijke plicht gaat niet op jou over, maar de eisen die eruit volgen kunnen zij wel contractueel bij je neerleggen. En zij mogen daaraan consequenties verbinden.

Zo bereikt de wet je zonder dat hij op jou van toepassing is:

een vragenlijst over je beveiliging voordat een contract wordt verlengd
beveiligingseisen die opeens in inkoopvoorwaarden of een aanbesteding staan
de vraag hoe snel jij een incident meldt, omdat je klant zelf binnen 24 uur moet melden
soms een audit of het verzoek om aan te tonen wat je hebt geregeld

Lever je aan gemeenten, zorginstellingen, energie of transport, dan is dit geen scenario maar een kwestie van tijd. Wie een helder antwoord klaar heeft liggen, beantwoordt zo'n uitvraag in één keer. Wie dat niet heeft, is er dagen mee bezig en levert onderweg een slechte indruk af bij precies de klant die hij wil houden.

Het goede nieuws is dat je hier veel minder voor hoeft te doen dan een organisatie die wel onder de wet valt. Je hoeft je niet te registreren en je hebt geen meldplicht onder deze wet. De meldplicht bij een datalek uit de AVG blijft daarnaast gewoon gelden. Je hebt een onderbouwing nodig die klopt en die je kunt overleggen: waar je activiteit staat ten opzichte van de wet, wat je hebt geregeld op het gebied van toegang, back-ups en incidenten, en wie je belt als het misgaat. Het komt neer op vastleggen wat je al doet, aanvullen wat ontbreekt, en het zo opschrijven dat een inkoper er iets mee kan. Dat werk doen wij voor je.

Eén ding is daarbij belangrijk: beloof niet meer dan nodig is. Een klant die vraagt of je NIS2-proof bent, vraagt eigenlijk of jij zijn keten geen risico bezorgt. Dat is een andere vraag, en een die je met een paar bladzijden kunt beantwoorden.

Er bestaat geen NIS2-certificaat

Sinds de wet is aangenomen horen wij van klanten dat zij gebeld worden door partijen die NIS2-compliance aanbieden, met een certificaat in het vooruitzicht. Zo'n traject vraagt doorgaans een forse investering.

Dat certificaat bestaat niet. Er is geen keurmerk voor de Cyberbeveiligingswet en geen instelling die je ervoor kan certificeren. Wat er wel is, is het Cyberbeveiligingsbesluit met de tien onderwerpen van de zorgplicht. De toezichthouder verwacht een onderbouwde risicoanalyse en maatregelen die je kunt laten zien. Geen papier van een derde.

Even vaak blijkt bij een nulmeting dat een organisatie al verder is dan zij dacht, en dat het aangeboden hulpmiddel niets toevoegt aan wat er al staat. Die nulmeting doen wij. Eerst meten, dan aanschaffen.

Werk je al met een norm als ISO 27001 of NEN 7510, dan telt dat mee. Wat je daar hebt ingericht, dekt een groot deel van de zorgplicht. We sluiten daarop aan in plaats van er een tweede stelsel naast te zetten.

Hoe wij het aanpakken

Het begint met de vraag of de wet op jou van toepassing is. Die beantwoorden we schriftelijk, op basis van je feitelijke activiteit zoals je die aanlevert, met de sectorredenering erbij, zodat je het stuk kunt laten zien aan een opdrachtgever die ernaar vraagt. Vaak is dat het hele antwoord en is de rest niet nodig.

Blijkt dat je er niet onder valt, dan is dat document meteen je antwoord aan de keten. Als we dat aanvullen met wat je feitelijk hebt geregeld, heb je iets wat je bij elke volgende uitvraag opnieuw kunt gebruiken, in plaats van elke keer opnieuw te beginnen.

Val je er wel onder, dan begint het implementeren. We kijken eerst wat er al staat en wat er ontbreekt. Meestal is dat minder dan gevreesd: in de trajecten die wij doen blijken de maatregelen er vaak wel te zijn, maar niet vastgelegd. Daarna bepalen we samen wat nu moet en wat kan wachten, en richten we het in. Dat werk doen wij, met de mensen erbij die er straks mee moeten werken. Je krijgt geen lijst met verbeterpunten waar je het verder zelf mee mag uitzoeken, maar een organisatie waarin het geregeld is.

Registratie, het meldproces en de rolverdeling bij een incident nemen we daarin mee. Dat zijn de onderdelen waar je op wordt afgerekend als het misgaat.

Daarna laten we het niet los. Een maatregel die niemand bijhoudt is na een jaar een papieren maatregel, en bij deze wet zit daar een concrete plicht aan vast: verandert er iets wezenlijks aan je organisatie, bijvoorbeeld door een fusie, dan geef je dat binnen twee weken door. Wij toetsen periodiek of wat er staat nog klopt, en zijn het aanspreekpunt zodra er iets verandert of misgaat. Zo blijft het geen stuk werk dat je een keer hebt laten doen.

FAQ

Veelgestelde vragen over de Cyberbeveiligingswet

Geldt de Cyberbeveiligingswet al?

Ja, sinds 15 augustus 2026. Vanaf die datum gelden de zorgplicht, de registratieplicht en de meldplicht.

Is NIS2 hetzelfde als de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn. Een richtlijn werkt niet rechtstreeks, maar wordt door elk land omgezet in eigen wetgeving. In Nederland is dat de Cyberbeveiligingswet, in de wandelgangen vaak de cyberwet genoemd. In de praktijk gaat het over dezelfde verplichtingen.

Hoe weet ik of ik me moet registreren?

Dat volgt uit de vraag of je onder de wet valt. Eerst de sector, dan de omvang. Bij twijfel is dat in een kort gesprek uit te zoeken.

Mijn opdrachtgever stuurt een vragenlijst over NIS2, maar ik val er zelf niet onder. Moet ik die invullen?

Wettelijk niet. Commercieel meestal wel. Je opdrachtgever moet zijn keten kunnen beheersen en jij hoort bij die keten. Je kunt de lijst dus beter beantwoorden, maar je hoeft niet te voldoen aan verplichtingen die niet voor jou gelden. Beloof niets wat je niet waar hoeft te maken.

Wat als mijn klant vraagt of ik NIS2-proof ben?

Die term bestaat niet als keurmerk. Wat je klant wil weten is of jij een risico vormt voor zijn keten. Dat beantwoord je met wat je geregeld hebt en hoe je handelt bij een incident, niet met een certificaat.

Wat als ik te laat meld?

De meldplicht is een wettelijke verplichting waarop de toezichthouder van jouw sector toezicht houdt. Belangrijker dan de sanctie is dat je bij een incident niet wilt improviseren over wie belt en waarheen.

Moet alles technisch perfect zijn?

Nee. De wet vraagt passende maatregelen, in verhouding tot je risico's, en dat je kunt onderbouwen waarom je die keuzes hebt gemaakt.

Wat betekent dit voor bestuur en directie?

Het bestuur is verantwoordelijk en moet aantoonbaar sturen en toezicht houden. Dat laat zich niet delegeren naar de ICT-afdeling.

Deze pagina is bijgewerkt op 20 augustus 2026. Meer achtergrondinformatie is beschikbaar via de Rijksoverheid en het NCSC.

Wil je weten wat NIS2 voor jouw organisatie betekent?

Plan een vrijblijvende kennismaking. In 30 minuten is duidelijk of je onder NIS2 valt en welke stappen logisch zijn.

Plan een NIS2-kennismaking