De Cyberbeveiligingswet (NIS2): geldt hij voor jou, en wat moet je regelen?
5 min lezen · Bijgewerkt op 20 oktober 2026
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt sinds 15 augustus 2026. In dit artikel lees je of jouw organisatie eronder valt en welke plichten er dan gelden.
Wat is er veranderd?
De Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet. Het Cyberbeveiligingsbesluit is op 10 juli 2026 in het Staatsblad gepubliceerd. Daarin staat dat de wet en het besluit op 15 augustus 2026 in werking treden.
De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens de Rijksoverheid vallen ongeveer 8.000 organisaties onder de nieuwe wet. Je moet zelf bepalen of jouw organisatie daarbij hoort.
De officiële berichten van de overheid noemen geen aparte ingroeiperiode voor de zorgplicht of de meldplicht. De registratie is verplicht vanaf 15 augustus 2026.
Valt jouw organisatie eronder?
Dat hangt af van je sector en je omvang. De wet heeft twee bijlagen met sectoren. Bijlage 1 bevat onder meer energie, vervoer, bankwezen, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart. Bijlage 2 bevat onder meer post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, maakindustrie, digitale aanbieders en onderzoek.
- Middelgroot: 50 tot 250 medewerkers, of een jaaromzet boven 10 miljoen euro en een balanstotaal boven 10 miljoen euro.
- Groot: vanaf 250 medewerkers, of een jaaromzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro.
- Essentiële entiteit: onder meer grote organisaties in een sector uit bijlage 1, overheidsorganisaties, DNS-dienstverleners, TLD-registers en gekwalificeerde verleners van vertrouwensdiensten.
- Belangrijke entiteit: onder meer middelgrote organisaties uit bijlage 1 en middelgrote en grote organisaties uit bijlage 2.
Kleine organisaties vallen er alleen onder als ze bepaalde diensten leveren, zoals DNS-diensten of openbare elektronische communicatie. Een minister kan een kleine organisatie ook aanwijzen. Op Ondernemersplein vind je een quickscan en een zelfevaluatie om je situatie te bepalen.
De belangrijkste plichten
- Registratieplicht: je registreert je organisatie bij het NCSC via mijn.ncsc.nl en houdt de gegevens actueel.
- Zorgplicht: je maakt een risicoanalyse en neemt passende maatregelen. De minimale maatregelen gaan onder meer over incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, cyberhygiëne en training, cryptografie en multifactorauthenticatie.
- Meldplicht: je meldt een significant incident bij het CSIRT en de toezichthouder.
- Bestuur: het bestuur is eindverantwoordelijk, keurt de maatregelen goed en volgt een training.
De meldplicht werkt in stappen:
- Vroegtijdige waarschuwing: zo snel mogelijk, uiterlijk binnen 24 uur na het incident.
- Melding met een eerste inschatting van ernst en impact: uiterlijk binnen 72 uur.
- Tussentijds verslag: als het CSIRT of de toezichthouder daarom vraagt.
- Eindverslag: uiterlijk binnen een maand. Loopt het incident nog, dan volstaat een voortgangsverslag.
Wie houdt toezicht?
Het toezicht verschilt per sector. Voorbeelden van toezichthouders zijn de RDI, de ILT, DNB, de AFM, de IGJ en de NVWA. Voor veel sectoren is het NCSC het CSIRT. Er zijn ook sectorale CSIRTs, zoals Z-CERT voor de zorg.
Bij essentiële entiteiten is het toezicht proactief, ook zonder incident. Bij belangrijke entiteiten volgt toezicht vooral na een incident of een signaal dat de regels niet worden nageleefd.
Je valt er niet onder, maar je klanten wel
Beveiliging van de toeleveringsketen is een van de verplichte maatregelen. Organisaties die onder de wet vallen, kijken dus ook naar hun leveranciers. Advies: verwacht vragen van klanten, ook als je zelf te klein bent. Zorg dat je die vragen kunt beantwoorden.
- Bepaal met de quickscan of je zelf onder de Cbw valt.
- Zet multifactorauthenticatie aan voor alle accounts.
- Houd systemen bijgewerkt en test je back-ups.
- Leg vast wie bij een incident wat doet en wie je klanten informeert.
- Beschrijf je maatregelen kort op papier, zodat je ze aan klanten kunt laten zien.