--- title: "De Cyberbeveiligingswet (NIS2) uitgelegd" description: "De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor circa 8.000 organisaties. Wie eronder valt, wat de vier verplichtingen zijn en waar je begint." canonical: https://boemcybersecurity.nl/de-cyberbeveiligingswet-nis2-uitgelegd/ url: https://boemcybersecurity.nl/de-cyberbeveiligingswet-nis2-uitgelegd/ last_updated: 2026-10-30T20:21:33+00:00 lang: nl source: BOEM Cybersecurity --- # De Cyberbeveiligingswet (NIS2) uitgelegd - 20/07/2026 - [NIS2 en Cyberbeveiligingswet](https://boemcybersecurity.nl/category/nis2-cyberbeveiligingswet/) **De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Sinds 15 augustus 2026 geldt hij, en voor ongeveer 8.000 Nederlandse organisaties betekent dat een zorgplicht, een meldplicht en persoonlijke verantwoordelijkheid voor het bestuur.** ## Kort samengevat - **Sinds 15 augustus 2026 van kracht.** De Eerste Kamer stemde op 7 juli 2026 in. - **Circa 8.000 organisaties** vallen eronder, plus ongeveer 500 onder de Wet weerbaarheid kritieke entiteiten. - **Vier verplichtingen.** Registreren, zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid. - **Sector plus omvang bepalen of je eronder valt.** Niet je omzet alleen, en niet je SBI-code. - **Val je er niet onder, dan komt het via je klanten.** Die leggen hun zorgplicht door in de keten. ## Wat is de Cyberbeveiligingswet precies? NIS2 is een Europese richtlijn, en een richtlijn werkt niet rechtstreeks. Elke lidstaat zet hem om in nationale wetgeving, en in Nederland is dat de Cyberbeveiligingswet. Je houdt je dus aan de Nederlandse wet; NIS2 is de bron, niet de norm waarop je wordt getoetst. De wet is samen met de Wet weerbaarheid kritieke entiteiten aangenomen. Die tweede gaat over fysieke weerbaarheid en raakt ongeveer 500 organisaties. Ze overlappen deels in doelgroep, en organisaties die onder allebei vallen doen er goed aan de trajecten te combineren. Waar de oude wetgeving zich beperkte tot een kleine groep vitale aanbieders, is de reikwijdte fors verbreed. Dat is de kern van de verandering: veel organisaties die nooit met dit soort toezicht te maken hadden, hebben dat nu wel. ## Val je onder de Cyberbeveiligingswet? Twee dingen bepalen dat samen: je sector en je omvang. De wet werkt met twee bijlagen. Bijlage 1 bevat de sectoren van hoog kritiek belang: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, overheid en ruimtevaart. Bijlage 2 bevat de andere kritieke sectoren: post en koeriers, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek. Daaroverheen ligt je omvang. De hoofdlijn: zit je in bijlage 1 en ben je groot, dan ben je een essentiële entiteit. Zit je in bijlage 1 en ben je middelgroot, dan ben je belangrijk. Zit je in bijlage 2, dan ben je belangrijk. Let op de groepsregel: ben je onderdeel van een groter concern, dan telt dat mee bij het bepalen van je omvang. Die toets is de enige stap die je echt eerst moet zetten, en het is ook de stap waar de meeste organisaties te snel doorheen gaan. In ons artikel over [of jouw organisatie onder NIS2 valt](https://boemcybersecurity.nl/valt-mijn-organisatie-onder-nis2/) loop je hem systematisch door. Ben je ICT-dienstverlener, dan is er een eigen sector waar je sneller in valt dan je denkt; zie [ICT-dienstverleners onder NIS2](https://boemcybersecurity.nl/ict-dienstverleners-nis2/) . ## Wat is het verschil tussen essentieel en belangrijk? Inhoudelijk niets. De zorgplicht is dezelfde, de meldplicht is dezelfde en de eisen aan je bestuur zijn dezelfde. Het verschil zit in het toezicht. Bij essentiële entiteiten is dat actief: de toezichthouder kan uit zichzelf langskomen, informatie opvragen en audits opleggen. Bij belangrijke entiteiten is het toezicht achteraf, dus naar aanleiding van een incident, een klacht of een signaal. Dat klinkt als een klein verschil en het is het niet. Actief toezicht betekent dat je op elk willekeurig moment moet kunnen laten zien dat het klopt, en niet pas wanneer er iets is gebeurd. ## Welke vier verplichtingen heb je? 1. **Registreren.** Je meldt je organisatie aan in het entiteitenregister bij het NCSC en houdt je gegevens actueel. Dit is een administratieve handeling met een termijn, geen project, en juist daarom blijft hij liggen. 2. **Zorgplicht.** Passende technische en organisatorische maatregelen nemen om de risico’s voor je netwerk- en informatiesystemen te beheersen, en dat kunnen aantonen. Wat daar concreet onder valt staat in [welke maatregelen de zorgplicht vraagt](https://boemcybersecurity.nl/zorgplicht-nis2-welke-maatregelen/) . 3. **Meldplicht.** Significante incidenten melden bij je CSIRT en de bevoegde autoriteit, binnen wettelijke termijnen die in uren lopen en niet in dagen. Zie [de meldtermijnen bij een incident](https://boemcybersecurity.nl/meldplicht-nis2-termijnen-incident-melden/) . 4. **Bestuurlijke verantwoordelijkheid.** Je bestuur moet de risico’s kennen, de maatregelen goedkeuren en scholing volgen. Dat is persoonlijk en niet te delegeren, en het is de verplichting die het meest wordt onderschat. Zie [waar de directie op aanspreekbaar is](https://boemcybersecurity.nl/nis2-bestuurdersaansprakelijkheid/) . Die vierde is niet symbolisch. De wet legt de verantwoordelijkheid expliciet bij het bestuur, en scholing is een eis en geen aanbeveling. Daar is onze [NIS2-directietraining](https://boemcybersecurity.nl/nis2-boardroom-training/) voor bedoeld. ## Wat vraagt de zorgplicht concreet? De wet noemt een set onderwerpen die je in elk geval moet afdekken. Kort samengevat gaat het om risicoanalyse en beleid, incidentafhandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veilige ontwikkeling en onderhoud van systemen, beleid om de effectiviteit van maatregelen te toetsen, basishygiëne en opleiding, versleuteling, toegangsbeheer en waar passend meervoudige authenticatie. Wat de wet níet doet is voorschrijven hóe. Er staat geen productlijst en geen verplichte norm in. Dat is bewust: passend bij een ziekenhuis is iets anders dan passend bij een softwarebedrijf van dertig man. Het betekent wel dat je je keuzes moet kunnen onderbouwen, want zonder onderbouwing is “passend” een mening. Veel organisaties gebruiken ISO 27001 als kapstok, omdat die norm het grootste deel van deze onderwerpen al structureert. Een certificaat stelt je niet vrij, maar het scheelt enorm veel losse documentatie. Hoe die twee zich verhouden staat in [NIS2 tegenover ISO 27001](https://boemcybersecurity.nl/nis2-vs-iso-27001-wat-heeft-jouw-organisatie-nodig/) . ## Je keten telt mee Een van de opvallendste onderdelen is dat de zorgplicht uitdrukkelijk je toeleveringsketen omvat. Je moet rekening houden met de kwetsbaarheden van je directe leveranciers en met de kwaliteit van hun praktijken. Dat werkt twee kanten op. Naar beneden moet je weten wie je leveranciers zijn, wat ze voor je doen en hoe je dat toetst; zie [hoe je leveranciers toetst](https://boemcybersecurity.nl/nis2-supply-chain-audit-leveranciers-toetsen/) en [wat je in leverancierscontracten vastlegt](https://boemcybersecurity.nl/nis2-leverancierscontracten-afspraken/) . Naar boven krijg je zelf die vragen van je eigen klanten, ook als je niet onder de wet valt. Wat daarbij vaak wordt overgeslagen is de afhankelijkheid zelf: als drie leveranciers op dezelfde onderaannemer draaien, heb je één storingspunt in plaats van drie leveranciers. Daarover gaat [concentratierisico in je keten](https://boemcybersecurity.nl/concentratierisico-leveranciersketen-nis2/) . En dat ketenrisico geen theorie is, lieten we zien aan de hand van [een datalek dat via een leverancier binnenkwam](https://boemcybersecurity.nl/datalek-secureholiday-ketenrisico-leverancier/) . ## Waar begin je? In deze volgorde, en de eerste twee kun je deze week doen. **Stel vast of je eronder valt en leg dat vast,** met de onderbouwing. Ook als de conclusie nee is, want die vraag komt terug. **Registreer je bij het NCSC** als het antwoord ja is. Dit is de enige verplichting met een harde termijn die niets met techniek te maken heeft. **Bepaal waar je staat.** Een [GAP-analyse](https://boemcybersecurity.nl/gap-analyse-informatiebeveiliging-waar-sta-je-en-wat-moet-beter/) geeft dat in kaart, inclusief hoeveel werk er nog ligt. Wil je het eerst zelf aflopen, gebruik dan [de NIS2-compliance checklist](https://boemcybersecurity.nl/nis2-compliance-checklist-2026/) . **Betrek je bestuur vanaf het begin.** Niet aan het eind voor een handtekening, want de wet vraagt kennis en betrokkenheid en dat laat zich niet achteraf organiseren. Wat het kost hangt af van je startpunt en je omvang; onze [onze tarieven](https://boemcybersecurity.nl/tarieven-cybersecurity-boem/) staan online zodat je kunt rekenen. Wil je het traject uitbesteden, dan doen wij dat via [NIS2-implementatie](https://boemcybersecurity.nl/nis2-cyberbeveiligingswet-cbw/) , en zoek je iemand die het daarna blijft bewaken in plaats van één project te draaien, dan past een [security partner](https://boemcybersecurity.nl/security-partner/) beter. ## Veelgestelde vragen ### Sinds wanneer geldt de Cyberbeveiligingswet? Sinds 15 augustus 2026. De Eerste Kamer stemde op 7 juli 2026 in met zowel de Cyberbeveiligingswet als de Wet weerbaarheid kritieke entiteiten. Het gaat om ongeveer 8.000 organisaties onder de Cyberbeveiligingswet en ongeveer 500 onder de Wwke. ### Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet? NIS2 is de Europese richtlijn. Een richtlijn werkt niet rechtstreeks: elke lidstaat zet hem om in eigen wetgeving. In Nederland is dat de Cyberbeveiligingswet. Praktisch betekent dat je je aan de Nederlandse wet houdt en niet aan de richtlijn zelf. ### Wat is het verschil tussen een essentiu00eble en een belangrijke entiteit? De zorgplicht en de meldplicht zijn hetzelfde. Het verschil zit in het toezicht: bij essentiu00eble entiteiten is dat actief, dus de toezichthouder kan uit zichzelf komen kijken. Bij belangrijke entiteiten gebeurt het achteraf, naar aanleiding van een incident of een signaal. ### Krijg je een boete als je niet op tijd klaar bent? De wet kent bestuursrechtelijke handhaving met forse maxima, maar een toezichthouder begint zelden met een boete. Wat je vooral moet kunnen laten zien is dat je weet waar je staat en dat er een plan ligt. Niets kunnen tonen weegt zwaarder dan nog niet klaar zijn. ### Wat moet je als eerste doen? Vaststellen of je eronder valt, en dat vastleggen met de onderbouwing. Daarna registreren bij het NCSC, want dat is een handeling met een termijn en geen project. Pas daarna begin je aan de zorgplicht. ### Wie houdt toezicht op de Cyberbeveiligingswet? Per sector een eigen toezichthouder; voor de meeste bedrijven is dat de Rijksinspectie Digitale Infrastructuur (RDI). Het NCSC is het meldpunt voor incidenten en het CSIRT. Essentiële entiteiten krijgen proactief toezicht met audits; belangrijke entiteiten worden gecontroleerd na een incident of een signaal. ### Wat moet je als eerste geregeld hebben? Vier dingen, in deze volgorde: de registratie bij het NCSC via mijn.ncsc.nl, een vastgelegde risicoanalyse, een meldproces dat binnen 24 uur werkt, en een ingeplande training voor het bestuur. De scholingsplicht voor bestuurders moet binnen twee jaar na inwerkingtreding aantoonbaar zijn ingevuld. ## Verdieping in deze reeks - [Meldplicht NIS2: binnen welke termijnen moet je een incident melden?](https://boemcybersecurity.nl/meldplicht-nis2-termijnen-incident-melden/) - [Zorgplicht NIS2: welke maatregelen moet je organisatie nemen?](https://boemcybersecurity.nl/zorgplicht-nis2-welke-maatregelen/) - [NIS2 bestuurdersaansprakelijkheid: waar is de directie op aanspreekbaar?](https://boemcybersecurity.nl/nis2-bestuurdersaansprakelijkheid/) - [NIS2 registratieplicht: wanneer en waar meld je je organisatie aan?](https://boemcybersecurity.nl/nis2-registratieplicht-aanmelden/) - [NIS2 incidentregistratie: wat leg je vast en hoe lang bewaar je het?](https://boemcybersecurity.nl/nis2-incidentregistratie-vastleggen-bewaren/) Voor wie de wet geldt en wat de zorgplicht vraagt, lees je op onze pagina over [de Cyberbeveiligingswet (NIS2)](https://boemcybersecurity.nl/normen/cyberbeveiligingswet/) . Verder lezen - [Cyberbeveiligingswet in werking: wat 15 augustus 2026 betekent voor jouw organisatie](https://boemcybersecurity.nl/cyberbeveiligingswet-in-werking-15-augustus-2026/) - [Wat is NIS2? De richtlijn, de wetgeving en de afkorting in het kort uitgelegd](https://boemcybersecurity.nl/wat-is-nis2-richtlijn-wetgeving-afkorting/) [Christian Boertje](https://boemcybersecurity.nl/christian-boertje/) CEO & Founder · BOEM Cybersecurity en AVG Juristen ### Klaar om je cybersecurity écht op orde te krijgen? In een vrijblijvend kennismakingsgesprek kijken we samen wat er voor jouw organisatie nodig is, concreet en zonder verplichtingen. [Plan een kennismakingsgesprek in](https://meetings-eu1.hubspot.com/yannick-boertje) Direct naar een dienst: [NIS2 Supply Chain](https://boemcybersecurity.nl/nis2-supply-chain/) · [ISO 27001](https://boemcybersecurity.nl/iso27001-implementatie/) · [Pentest](https://boemcybersecurity.nl/pentest-laten-uitvoeren/) · [Security Partner](https://boemcybersecurity.nl/security-partner/) ## Deel dit bericht: [VorigeVorigeWat is een pentest? Types, aanpak en kosten](https://boemcybersecurity.nl/wat-is-een-pentest-types-aanpak-en-kosten/) [VolgendeISO 27001-audit voorbereiding: checklist voor organisatiesVolgende](https://boemcybersecurity.nl/iso-27001-audit-voorbereiding-checklist/) ## Meer nieuwtjes ### [Toegangsbeheer: wie mag wat, en hoe leg je dat vast](https://boemcybersecurity.nl/toegangsbeheer-autorisatiematrix/) 12 november 2026 ### [Pentest uitstellen: wanneer wachten verstandig is, en wanneer niet](https://boemcybersecurity.nl/pentest-uitstellen/) 11 november 2026