Cyberbeveiligingswet — de Nederlandse invoering van NIS2

De Cyberbeveiligingswet is sinds 15 augustus 2026 de Nederlandse uitvoering van de Europese NIS2-richtlijn en verving op die datum de Wet beveiliging netwerk- en informatiesystemen. Zij verplicht organisaties in de sectoren die in bijlage 1 en bijlage 2 van de wet staan om zich te registreren, hun digitale risico’s aantoonbaar te beheersen en ernstige incidenten binnen 24 uur te melden, met het bestuur als eindverantwoordelijke. Of een organisatie eronder valt hangt af van twee vragen tegelijk: staat de sector op de lijst, en is het bedrijf groot genoeg. Anders dan de Cyber Resilience Act, die eisen stelt aan de producten die je verkoopt, stelt de Cyberbeveiligingswet eisen aan de manier waarop je eigen organisatie is beveiligd.

Waarvoor is dit bedoeld

Onder de vorige richtlijn verschilde het per lidstaat wie er onder de cyberregels viel en wat die regels inhielden. NIS2 legt voor een vaste lijst sectoren één basisniveau vast: risicobeheersing, incidentmelding en verantwoordelijkheid bij de leiding van de organisatie. De Cyberbeveiligingswet zet die richtlijn om in Nederlands recht. Het NCSC schat dat ruim achtduizend Nederlandse organisaties eronder vallen.

Voor wie

Sector en omvang moeten allebei kloppen. De sector moet in bijlage 1 of bijlage 2 van de wet staan; de doorverwijsboom van de NCTV noemt onder meer digitale infrastructuur, energie, vervoer (lucht, spoor, water en weg), drinkwater, afvalwater, bankwezen en financiële markten, beheer van ICT-diensten, gezondheidszorg, ruimtevaart, chemie, levensmiddelen, afvalstoffenbeheer, post- en koeriersdiensten, digitale aanbieders, onderzoek, vervaardiging, overheid, hoger onderwijs, meteorologie en nucleair. De omvangdrempel komt uit Aanbeveling 2003/361/EG van de Europese Commissie over de definitie van kleine, middelgrote en micro-ondernemingen. Volgens het NCSC valt een organisatie eronder bij vijftig of meer medewerkers in fte, of bij minder dan vijftig medewerkers als zowel de jaaromzet als het balanstotaal boven tien miljoen euro liggen. Verbonden ondernemingen en partnerondernemingen tellen mee bij die berekening; hoofdstuk 3 van de wet bepaalt dat artikel 3, vierde lid, van de Aanbeveling niet van toepassing is.

Wat er niet onder valt

Een bedrijf dat kleiner is dan de drempel valt er in beginsel buiten, ook als de sector wel op de lijst staat — behalve in de categorieën die ongeacht omvang meetellen. Verder blijven Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie en de politie buiten de wet, behalve waar zij vertrouwensdiensten verlenen, en zijn rootnaamservers uitgezonderd. Financiële entiteiten die onder Verordening (EU) 2022/2554 (DORA) vallen, volgen DORA in plaats van de Cyberbeveiligingswet. Leveranciers vallen niet automatisch onder de wet doordat zij leveren aan een organisatie die er wel onder valt.

Wat je moet doen

Zelf vaststellen of je eronder valt: er komt geen brief van de overheid. Daarna registreren in het Nationaal Entiteitenregister via MijnNCSC, een risicoanalyse maken en op basis daarvan passende en evenredige maatregelen nemen, significante incidenten melden bij het CSIRT en de toezichthouder, en het bestuur de maatregelen laten goedkeuren en op de uitvoering laten toezien. Voor de eerste stap verwijzen de RDI en het NCSC naar de NIS2-zelfevaluatie en de NIS2-quickscan op regelhulpenvoorbedrijven.nl.

Ongeacht de omvang

Een aantal categorieën valt er altijd onder, hoe klein ook: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten, aanbieders van domeinnaamregistratiediensten en overheidsorganisaties.

Essentieel of belangrijk

Artikel 8 wijst een groep entiteiten van rechtswege aan als essentiële entiteit: gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en -diensten vanaf de omvang van een middelgrote onderneming, de ministeries, provincies, gemeenten en waterschappen, kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten, en de overige entiteiten uit bijlage 1 die de drempel voor middelgrote ondernemingen overschrijden. Artikel 12 maakt belangrijke entiteit van wat overblijft: middelgrote entiteiten uit bijlage 1 die niet essentieel zijn, entiteiten uit bijlage 2 vanaf middelgroot, en kleine of micro-ondernemingen die elektronische communicatie- of vertrouwensdiensten leveren. Op grond van artikel 9 kan een minister een entiteit alsnog als essentieel aanwijzen, bijvoorbeeld omdat zij de enige aanbieder van een dienst in Nederland is of omdat uitval de openbare veiligheid raakt. Artikel 13 maakt het mogelijk instellingen voor hoger onderwijs als belangrijke entiteit aan te wijzen. Het onderscheid raakt niet de verplichtingen — registratie, zorgplicht en meldplicht zijn voor beide groepen gelijk — maar het toezicht: essentiële entiteiten staan onder proactief toezicht, waarbij de naleving actief wordt gecontroleerd, ook zonder incident of signaal, terwijl de toezichthouder bij belangrijke entiteiten reactief optreedt, na een incident of bij aanwijzingen van niet-naleving.

Registratieplicht

Hoofdstuk 10 van de wet, de artikelen 43 tot en met 46, regelt het nationale register van essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Registreren gaat via MijnNCSC met eHerkenning op betrouwbaarheidsniveau EH2+ of met SSOnRijk, gekoppeld aan het KvK-nummer. Gevraagd worden organisatie- en contactgegevens plus netwerkgegevens: publieke IP-adressen of IP-reeksen, domeinnamen en AS-nummers. Wijzigingen moeten binnen veertien dagen worden doorgegeven. De RDI schrijft dat organisaties zich zo snel mogelijk moeten inschrijven; een wettelijke registratietermijn is niet gepubliceerd.

Zorgplicht: tien categorieën

De wet schrijft geen concrete techniek voor, maar tien categorieën maatregelen die je op basis van je eigen risicoanalyse invult: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, beveiliging bij aanschaf en onderhoud van systemen inclusief kwetsbaarheden- en patchbeheer, beleid om de doeltreffendheid van maatregelen te beoordelen, basale cyberhygiëne en opleiding, cryptografie en versleuteling, personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen, en multifactorauthenticatie en beveiligde communicatie. Het Cyberbeveiligingsbesluit (BWBR0052875) werkt deze categorieën uit in de artikelen 5 tot en met 18; artikel 6 eist vastgesteld en aantoonbaar toegepast beveiligingsbeleid.

Als je klant er wél onder valt

Dit is de route waarlangs de wet ook bedrijven bereikt die er zelf buiten vallen. Artikel 10 van het Cyberbeveiligingsbesluit verplicht entiteiten tot vastgesteld beleid over hun omgang met afhankelijkheden van producten en diensten van leveranciers, en tot periodieke controle of directe leveranciers voldoen aan de beveiligingseisen die de entiteit stelt. Het is de Nederlandse uitwerking van de maatregelen van artikel 21, lid 2, van de NIS2-richtlijn. Volgens de NCTV vallen leveranciers daardoor niet zelf onder de wet, maar krijgen zij wel vaker informatieverzoeken en risicobeoordelingen over zich heen en nieuwe contractuele eisen over beveiligingsmaatregelen, incidentmelding, omgang met kwetsbaarheden en continuïteit.

Meldplicht en termijnen

Significante incidenten — incidenten die de dienstverlening ernstig verstoren, financiële schade veroorzaken of andere organisaties raken — gaan in drie stappen via het meldportaal op MijnNCSC, waar zowel het CSIRT als de toezichthouder ze ontvangt. Binnen 24 uur een vroegtijdige waarschuwing met de vraag of het incident kwaadaardig lijkt en grensoverschrijdende gevolgen heeft. Binnen 72 uur de melding zelf, met een eerste ernstbeoordeling en, als die er zijn, indicatoren van compromittering. Binnen een maand het eindrapport. Duurt het incident langer dan een maand, dan volgt op dat moment een voortgangsrapport en het eindrapport binnen een maand na afronding. Verleners van vertrouwensdiensten hebben voor de tweede stap 24 uur in plaats van 72. Het CSIRT reageert binnen 24 uur met advies of technische ondersteuning. Wat per sector als significant geldt, wordt bij ministeriële regeling ingevuld.

Bestuur: goedkeuren, toezien, scholen

Cyberbeveiliging is nadrukkelijk belegd bij het bestuur: dat moet de maatregelen goedkeuren, op de uitvoering toezien en voldoende kennis hebben om de risico’s te beoordelen. De scholingsplicht geldt voor uitvoerende bestuurders van essentiële en belangrijke entiteiten; toezichthoudende en niet-uitvoerende bestuurders, zoals commissarissen, vallen er volgens de NCTV buiten. Uitvoerende bestuurders moeten uiterlijk twee jaar na inwerkingtreding van de wet over de vereiste kennis en vaardigheden beschikken — dus uiterlijk 15 augustus 2028 — en die aantoonbaar actueel houden. De handhaving van de bestuursverplichtingen van artikel 24, tweede tot en met zesde lid, is apart geregeld in paragraaf 15.5 van de wet, de artikelen 92 en 93.

Verhouding tot andere regels

Voor digitale aanbieders is de zorgplicht niet door Nederland maar door Brussel ingevuld: artikel 4 van het Cyberbeveiligingsbesluit stelt DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputing-, datacentrum- en CDN-diensten, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen, onlinezoekmachines, socialenetwerkplatforms en verleners van vertrouwensdiensten vrij van de artikelen 6 tot en met 18 van dat besluit, omdat voor hen Uitvoeringsverordening (EU) 2024/2690 rechtstreeks geldt. Financiële entiteiten volgen DORA. Kritieke entiteiten die onder de Wet weerbaarheid kritieke entiteiten worden aangewezen, zijn van rechtswege essentiële entiteit onder deze wet. Voor de sector overheid vult BIO2 de zorgplicht in.

Hoe het er in de praktijk voor staat

De NIS2-zelfevaluatie op regelhulpenvoorbedrijven.nl werd volgens de RDI 22.800 keer geraadpleegd; van de organisaties die hem invulden viel 58 procent onder de NIS2-regels. De aanvullende NIS2-quickscan werd tussen februari 2024 en september 2025 3.389 keer anoniem ingevuld, het vaakst door organisaties in beheer van ICT-diensten (1.480), overheid (1.025), digitale infrastructuur (829), energie (459), digitale aanbieders (402), vervaardiging (356), onderzoek (210) en post- en koeriersdiensten (102).

Toezicht NL

Er is geen centrale toezichthouder; elke sector heeft een eigen vakdepartement, een CSIRT en een toezichthouder, samengevat in de doorverwijsboom van de NCTV. De Rijksinspectie Digitale Infrastructuur houdt toezicht op onder meer digitale infrastructuur, beheer van ICT-diensten, digitale aanbieders, energie, ruimtevaart, post- en koeriersdiensten, vervaardiging, onderzoek en de overheid; de Inspectie Leefomgeving en Transport op vervoer, drinkwater, afvalwater en meteorologie; De Nederlandsche Bank en de AFM op het bankwezen en de financiële marktinfrastructuur; de NVWA op levensmiddelen; de ANVS op nucleair; en de IGJ op de gezondheidszorg. Het NCSC is voor de meeste sectoren het CSIRT en het meldpunt, en is uitdrukkelijk géén toezichthouder; voor de zorg vervult Z-CERT die rol.

Boete

Hoofdstuk 15 van de wet, Handhaving, loopt van artikel 68 tot en met artikel 93 en is per doelgroep opgesplitst: paragraaf 15.2 (artikelen 70 tot en met 80) voor essentiële entiteiten, paragraaf 15.3 (81 tot en met 87) voor belangrijke entiteiten, paragraaf 15.4 (88 tot en met 91) voor entiteiten die domeinnaamregistratiediensten verlenen en paragraaf 15.5 (92 en 93) voor de bestuursverplichtingen van artikel 24. De RDI noemt als instrumenten voorlichting en waarschuwing, een aanwijzing of opdracht om maatregelen te treffen, audits, een last onder dwangsom of bestuursdwang en een bestuurlijke boete. De exacte maximumbedragen staan in dat hoofdstuk; zie de onzekerheden.