De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De wet is bedoeld voor organisaties in sectoren waarvan de continuïteit belangrijk is voor de samenleving en de economie. Er zijn 18 sectoren, onder andere energie, vervoer, gezondheidszorg, digitale infrastructuur, overheid, afvalbeheer en chemie.

Of de wet voor een organisatie geldt, hangt af van drie dingen:

1. Activiteit: valt de organisatie met haar activiteiten in een van de aangewezen sectoren en soorten diensten?
2. Omvang: is de organisatie groot of middelgroot?
   • Groot: 250 of meer medewerkers, of een omzet boven € 50 miljoen en een balanstotaal boven € 43 miljoen.
   • Middelgroot: 50 of meer medewerkers, of een omzet en balanstotaal boven € 10 miljoen.
3. Uitzonderingen op omvang: voor bepaalde aanbieders geldt de wet ook als zij klein zijn, bijvoorbeeld DNS-aanbieders, aanbieders van openbare communicatienetwerken en vertrouwensdienstverleners. Ook een organisatie die als enige aanbieder een belangrijke dienst levert, kan onder de wet vallen.

Grote organisaties vallen als “essentiële” entiteit onder de wet, middelgrote als “belangrijke” entiteit. Organisaties moeten zelf nagaan of de wet voor hen geldt en zich zo nodig registreren bij het NCSC.

NIS2 is een Europese richtlijn, die elke lidstaat in nationale wetgeving omzet. In Nederland is dat de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 geldt. Organisaties in Nederland moeten dus voldoen aan de Cbw.

Dat is een doorlopende verplichting. De wet schrijft geen verplichte norm voor, maar stelt wel minimumeisen aan risicobeheer, technische en organisatorische maatregelen, leveranciersbeheer en incidentmelding. Het bestuur is verantwoordelijk.

In de praktijk gaat het om vier stappen:

1. Bepaal of de wet van toepassing is: de NIS2 Check is het startpunt.
2. Registreer de organisatie bij het NCSC.
3. Voer een gap-analyse uit: wat ontbreekt ten opzichte van de wettelijke eisen?
4. Stel het beleid op en voer de maatregelen in, met aantoonbare betrokkenheid van het bestuur.

De registratieplicht geldt sinds 15 augustus 2026, de datum waarop de Cyberbeveiligingswet in werking is getreden. Een organisatie die onder de wet valt en nog niet is geregistreerd, moet dit zo snel mogelijk doen.

Registreren gaat bij het NCSC via mijn.ncsc.nl, met eHerkenning of SSO Rijk. Is eHerkenning nog niet aanwezig, vraag het dan eerst aan, want dat kost vaak tijd.

Verzamel vooraf de benodigde gegevens:

• Organisatiegegevens (naam, KvK-nummer, adres)
• Sector en subsector
• EU-lidstaten waar diensten worden geleverd
• Contactpersoon en contactgegevens
• Netwerkgegevens (publieke IP-adressen, domeinen, AS-nummers)

Liggen alle gegevens klaar, dan duurt de registratie zelf niet langer dan ongeveer tien minuten.

De Cyberbeveiligingswet legt vier verplichtingen op:

1. Registreren: de organisatie meldt zich aan bij het NCSC via mijn.ncsc.nl.
2. Beveiligingsmaatregelen treffen: passende technische en organisatorische maatregelen op basis van een risicoanalyse, inclusief beveiliging van de toeleveringsketen.
3. Incidenten melden: significante incidenten worden gemeld in drie stappen: een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk binnen een maand.
4. Bestuurlijke betrokkenheid: het bestuur keurt de maatregelen goed, houdt toezicht op de naleving en moet aantoonbaar kennis hebben van cyberbeveiliging. Bij tekortkomingen kan het bestuur aansprakelijk worden gesteld.

De wet schrijft geen specifieke norm voor. Wel moet de organisatie kunnen aantonen dat de beveiliging op orde is. Daarop houdt de toezichthouder toezicht.

Nee, een organisatie valt niet onder de Cyberbeveiligingswet omdat zij levert aan een organisatie die onder de wet valt. Of de wet geldt, hangt af van de eigen sector, activiteit en omvang. ICT-dienstverleners kunnen zelf onder de wet vallen.

Organisaties onder de wet moeten de beveiligingsrisico’s van hun toeleveringsketen beheersen. Daarom stellen zij in de praktijk beveiligingseisen aan leveranciers, bijvoorbeeld in contracten, via vragenlijsten of audits. Een leverancier die niet zelf onder de wet valt, kan hier dus wel mee te maken krijgen.

De Cyberbeveiligingswet kent twee categorieën. De beveiligingsverplichtingen zijn grotendeels gelijk. Het verschil zit in het toezicht en de maximale boetes.

• Essentieel: grote organisaties in de zeer kritieke sectoren, zoals energie, transport, gezondheidszorg, drinkwater en digitale infrastructuur. Sommige aanbieders, zoals DNS-aanbieders, zijn altijd essentieel, ongeacht omvang.
• Belangrijk: middelgrote organisaties in die sectoren, en middelgrote en grote organisaties in de overige kritieke sectoren, zoals voeding, chemie, post en maakindustrie.

Essentiële entiteiten staan onder proactief en reactief toezicht. Bij belangrijke entiteiten grijpt de toezichthouder in na een signaal of incident.

De maximale boete bedraagt voor essentiële entiteiten € 10 miljoen of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten € 7 miljoen of 1,4%. Het hoogste bedrag geldt.

De NIS2 Check geeft een indicatie van de categorie waarin de organisatie valt.

De toezichthouder kan bij tekortkomingen bindende aanwijzingen geven, audits opleggen, een last onder dwangsom opleggen of een bestuurlijke boete geven. In uiterste gevallen kunnen bestuurders tijdelijk worden geschorst.

De maximale boete bedraagt voor essentiële entiteiten € 10 miljoen of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten € 7 miljoen of 1,4%. Het hoogste bedrag geldt.

Bestuurders kunnen zelf een last onder dwangsom of een bestuurlijke boete krijgen, bijvoorbeeld als zij de verplichte kennis- en trainingseisen niet naleven.

Ook niet of onjuist registreren is direct handhaafbaar.

De NIS2 Check is een gratis online vragenlijst die in een paar minuten een indicatie geeft of de organisatie onder de Cyberbeveiligingswet valt. De vragen gaan over de activiteiten van de organisatie, de omvang en mogelijke uitzonderingen. Bij elke vraag staat uitleg over waarom die vraag relevant is. De uitkomst is direct zichtbaar en er wordt geen e-mailadres gevraagd.

De check eindigt met één van drie uitkomsten: de organisatie valt onder de wet, valt er mogelijk onder, of er is geen aanwijzing dat de organisatie eronder valt. De tool legt de uitkomst direct uit.

De uitkomst is een indicatie en geen juridisch advies. De organisatie blijft zelf verantwoordelijk voor de beoordeling. Bij een positieve of twijfelachtige uitkomst helpt een adviseur bij de vervolgstappen.