De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Sinds 15 augustus 2026 geldt hij, en voor ongeveer 8.000 Nederlandse organisaties betekent dat een zorgplicht, een meldplicht en persoonlijke verantwoordelijkheid voor het bestuur.
Kort samengevat
- Sinds 15 augustus 2026 van kracht. De Eerste Kamer stemde op 7 juli 2026 in.
- Circa 8.000 organisaties vallen eronder, plus ongeveer 500 onder de Wet weerbaarheid kritieke entiteiten.
- Vier verplichtingen. Registreren, zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid.
- Sector plus omvang bepalen of je eronder valt. Niet je omzet alleen, en niet je SBI-code.
- Val je er niet onder, dan komt het via je klanten. Die leggen hun zorgplicht door in de keten.
Wat is de Cyberbeveiligingswet precies?
NIS2 is een Europese richtlijn, en een richtlijn werkt niet rechtstreeks. Elke lidstaat zet hem om in nationale wetgeving, en in Nederland is dat de Cyberbeveiligingswet. Je houdt je dus aan de Nederlandse wet; NIS2 is de bron, niet de norm waarop je wordt getoetst.
De wet is samen met de Wet weerbaarheid kritieke entiteiten aangenomen. Die tweede gaat over fysieke weerbaarheid en raakt ongeveer 500 organisaties. Ze overlappen deels in doelgroep, en organisaties die onder allebei vallen doen er goed aan de trajecten te combineren.
Waar de oude wetgeving zich beperkte tot een kleine groep vitale aanbieders, is de reikwijdte fors verbreed. Dat is de kern van de verandering: veel organisaties die nooit met dit soort toezicht te maken hadden, hebben dat nu wel.
Val je onder de Cyberbeveiligingswet?
Twee dingen bepalen dat samen: je sector en je omvang.
De wet werkt met twee bijlagen. Bijlage 1 bevat de sectoren van hoog kritiek belang: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, overheid en ruimtevaart. Bijlage 2 bevat de andere kritieke sectoren: post en koeriers, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek.
Daaroverheen ligt je omvang. De hoofdlijn: zit je in bijlage 1 en ben je groot, dan ben je een essentiële entiteit. Zit je in bijlage 1 en ben je middelgroot, dan ben je belangrijk. Zit je in bijlage 2, dan ben je belangrijk. Let op de groepsregel: ben je onderdeel van een groter concern, dan telt dat mee bij het bepalen van je omvang.
Die toets is de enige stap die je echt eerst moet zetten, en het is ook de stap waar de meeste organisaties te snel doorheen gaan. In ons artikel over of jouw organisatie onder NIS2 valt loop je hem systematisch door. Ben je ICT-dienstverlener, dan is er een eigen sector waar je sneller in valt dan je denkt; zie ICT-dienstverleners onder NIS2.
Wat is het verschil tussen essentieel en belangrijk?
Inhoudelijk niets. De zorgplicht is dezelfde, de meldplicht is dezelfde en de eisen aan je bestuur zijn dezelfde.
Het verschil zit in het toezicht. Bij essentiële entiteiten is dat actief: de toezichthouder kan uit zichzelf langskomen, informatie opvragen en audits opleggen. Bij belangrijke entiteiten is het toezicht achteraf, dus naar aanleiding van een incident, een klacht of een signaal.
Dat klinkt als een klein verschil en het is het niet. Actief toezicht betekent dat je op elk willekeurig moment moet kunnen laten zien dat het klopt, en niet pas wanneer er iets is gebeurd.
Welke vier verplichtingen heb je?
- Registreren. Je meldt je organisatie aan in het entiteitenregister bij het NCSC en houdt je gegevens actueel. Dit is een administratieve handeling met een termijn, geen project, en juist daarom blijft hij liggen.
- Zorgplicht. Passende technische en organisatorische maatregelen nemen om de risico’s voor je netwerk- en informatiesystemen te beheersen, en dat kunnen aantonen. Wat daar concreet onder valt staat in welke maatregelen de zorgplicht vraagt.
- Meldplicht. Significante incidenten melden bij je CSIRT en de bevoegde autoriteit, binnen wettelijke termijnen die in uren lopen en niet in dagen. Zie de meldtermijnen bij een incident.
- Bestuurlijke verantwoordelijkheid. Je bestuur moet de risico’s kennen, de maatregelen goedkeuren en scholing volgen. Dat is persoonlijk en niet te delegeren, en het is de verplichting die het meest wordt onderschat. Zie waar de directie op aanspreekbaar is.
Die vierde is niet symbolisch. De wet legt de verantwoordelijkheid expliciet bij het bestuur, en scholing is een eis en geen aanbeveling. Daar is onze NIS2-directietraining voor bedoeld.
Wat vraagt de zorgplicht concreet?
De wet noemt een set onderwerpen die je in elk geval moet afdekken. Kort samengevat gaat het om risicoanalyse en beleid, incidentafhandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veilige ontwikkeling en onderhoud van systemen, beleid om de effectiviteit van maatregelen te toetsen, basishygiëne en opleiding, versleuteling, toegangsbeheer en waar passend meervoudige authenticatie.
Wat de wet níet doet is voorschrijven hóe. Er staat geen productlijst en geen verplichte norm in. Dat is bewust: passend bij een ziekenhuis is iets anders dan passend bij een softwarebedrijf van dertig man. Het betekent wel dat je je keuzes moet kunnen onderbouwen, want zonder onderbouwing is “passend” een mening.
Veel organisaties gebruiken ISO 27001 als kapstok, omdat die norm het grootste deel van deze onderwerpen al structureert. Een certificaat stelt je niet vrij, maar het scheelt enorm veel losse documentatie. Hoe die twee zich verhouden staat in NIS2 tegenover ISO 27001.
Je keten telt mee
Een van de opvallendste onderdelen is dat de zorgplicht uitdrukkelijk je toeleveringsketen omvat. Je moet rekening houden met de kwetsbaarheden van je directe leveranciers en met de kwaliteit van hun praktijken.
Dat werkt twee kanten op. Naar beneden moet je weten wie je leveranciers zijn, wat ze voor je doen en hoe je dat toetst; zie hoe je leveranciers toetst en wat je in leverancierscontracten vastlegt. Naar boven krijg je zelf die vragen van je eigen klanten, ook als je niet onder de wet valt.
Wat daarbij vaak wordt overgeslagen is de afhankelijkheid zelf: als drie leveranciers op dezelfde onderaannemer draaien, heb je één storingspunt in plaats van drie leveranciers. Daarover gaat concentratierisico in je keten. En dat ketenrisico geen theorie is, lieten we zien aan de hand van een datalek dat via een leverancier binnenkwam.
Waar begin je?
In deze volgorde, en de eerste twee kun je deze week doen.
Stel vast of je eronder valt en leg dat vast, met de onderbouwing. Ook als de conclusie nee is, want die vraag komt terug.
Registreer je bij het NCSC als het antwoord ja is. Dit is de enige verplichting met een harde termijn die niets met techniek te maken heeft.
Bepaal waar je staat. Een GAP-analyse geeft dat in kaart, inclusief hoeveel werk er nog ligt. Wil je het eerst zelf aflopen, gebruik dan de NIS2-compliance checklist.
Betrek je bestuur vanaf het begin. Niet aan het eind voor een handtekening, want de wet vraagt kennis en betrokkenheid en dat laat zich niet achteraf organiseren.
Wat het kost hangt af van je startpunt en je omvang; onze onze tarieven staan online zodat je kunt rekenen. Wil je het traject uitbesteden, dan doen wij dat via NIS2-implementatie, en zoek je iemand die het daarna blijft bewaken in plaats van één project te draaien, dan past een security partner beter.
