Valt mijn organisatie onder de Cyberbeveiligingswet? De beslisboom in vier stappen
Je valt onder de Cyberbeveiligingswet als je organisatie tot een van de 18 aangewezen sectoren behoort en groot genoeg is: 50 medewerkers of meer, of minder dan 50 medewerkers met een jaaromzet en een balanstotaal die allebei boven 10 miljoen euro liggen. Een aantal organisaties valt eronder ongeacht de omvang, waaronder DNS-dienstverleners, vertrouwensdienstverleners en alle overheidsinstanties. Je bepaalt zelf of je kwalificeert, want er komt geen brief. De wet geldt sinds 15 augustus 2026.
Het kader: welke wet, sinds wanneer
De Cyberbeveiligingswet, kortweg Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet en het bijbehorende Cyberbeveiligingsbesluit zijn op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten. Overgangsrecht is er niet: het Cyberbeveiligingsbesluit voorziet daar uitdrukkelijk niet in. De zorgplicht, de meldplicht en de registratieplicht gelden dus vanaf die datum.
De Rijksoverheid houdt het op ruim 8.000 organisaties die onder de wet vallen. De regeldrukberekening bij het Cyberbeveiligingsbesluit rekent met 7.550 bedrijven, waarvan 1.742 grote. Wie in dat aantal zit krijgt daar geen bericht over. Organisaties bepalen zelf of ze kwalificeren en onder welke categorie, en een toezichthouder kan die zelfclassificatie later toetsen. De vier stappen hieronder volgen de systematiek van de wet zelf.
Stap 1: behoort je organisatie tot een van de 18 sectoren?
De Cbw heeft twee bijlagen. Bijlage 1 bevat 11 sectoren van zeer kritiek belang, bijlage 2 bevat 7 overige kritieke sectoren. Samen 18. Let op het detail dat de meeste samenvattingen weglaten: de bijlagen wijzen geen hele sectoren aan, maar soorten entiteiten binnen een sector of subsector. Een bedrijf in de energiesector valt alleen onder bijlage 1 als het een van de daar genoemde soorten entiteiten is, bijvoorbeeld een elektriciteitsbedrijf met een leveringsfunctie of een distributiesysteembeheerder.
Bijlage 1: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart.
Bijlage 2: post- en koeriersdiensten; afvalstoffenbeheer; vervaardiging, productie en distributie van chemische stoffen; productie, verwerking en distributie van levensmiddelen; vervaardiging als eigen, brede industriesector; digitale aanbieders; en onderzoek.
Twee categorieën worden stelselmatig over het hoofd gezien. Beheer van ICT-diensten in bijlage 1 gaat over aanbieders van beheerde diensten en beheerde beveiligingsdiensten: managed service providers en hun securitytak vallen dus in de zwaarste bijlage. En vervaardiging in bijlage 2 raakt onder meer fabrikanten van medische hulpmiddelen, van computers en elektronica, van machines en apparaten, en van motorvoertuigen, aanhangers en andere transportmiddelen. Veel maakbedrijven denken dat de wet niet over hen gaat.
Stap 2: ben je groot genoeg? De size cap
Sta je in een van de bijlagen, dan bepaalt je omvang of de wet je raakt. De Cbw gebruikt daarvoor de Europese definitie uit Aanbeveling 2003/361/EG, in de praktijk de size cap genoemd.
| Omvangsklasse | Criteria | Gevolg |
|---|---|---|
| Klein of micro | Minder dan 50 medewerkers, en niet zowel een jaaromzet als een balanstotaal boven 10 miljoen euro | In beginsel buiten de wet, behalve de categorieën die er ongeacht omvang onder vallen |
| Middelgroot | 50 tot en met 249 medewerkers, of minder dan 50 medewerkers met een jaaromzet en een balanstotaal die allebei boven 10 miljoen euro liggen | Bijlage 1: belangrijke entiteit. Bijlage 2: belangrijke entiteit |
| Groot | 250 medewerkers of meer, of een jaaromzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro | Bijlage 1: essentiële entiteit. Bijlage 2: belangrijke entiteit |
Twee valkuilen zitten in deze stap. De eerste: je telt verbonden ondernemingen mee. Moeder- en dochtermaatschappijen en partnerondernemingen tellen op bij je eigen medewerkers, omzet en balanstotaal. Een op zichzelf kleine dochter van een groot concern komt daarmee vaak alsnog boven de drempel uit.
De tweede: de wet zet de uitzondering buiten werking die normaal geldt voor ondernemingen die voor een kwart of meer in handen zijn van een overheid. Artikel 8, tweede lid en artikel 12, tweede lid van de Cbw verklaren artikel 3, vierde lid van de bijlage bij de Aanbeveling niet van toepassing. Publiek aandeelhouderschap houdt je dus niet buiten de wet, terwijl het je onder de gewone Europese definitie van kleine en middelgrote ondernemingen wel uit de categorie zou halen.
Stap 3: essentiële of belangrijke entiteit?
Sector en omvang samen bepalen in welke categorie je valt. Dat onderscheid bepaalt niet wat je moet doen, maar wel hoe streng het toezicht is en hoe hoog de boete kan oplopen.
| Onderwerp | Essentiële entiteit | Belangrijke entiteit |
|---|---|---|
| Wie | Grote organisaties uit bijlage 1. Daarnaast ongeacht omvang: alle overheidsinstanties, gekwalificeerde vertrouwensdienstverleners, TLD-registers en DNS-dienstverleners. Ook middelgrote aanbieders van openbare elektronische communicatienetwerken en -diensten, plus kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten | Middelgrote organisaties uit bijlage 1 die geen essentiële entiteit zijn, en middelgrote en grote organisaties uit bijlage 2. Ook kleine en micro-aanbieders van openbare elektronische communicatie en niet-gekwalificeerde vertrouwensdienstverleners |
| Zorgplicht | Volledig van toepassing | Identieke maatregelen |
| Meldplicht | 24 uur, 72 uur en 1 maand | Dezelfde termijnen |
| Toezicht | Proactief: de toezichthouder controleert ook zonder aanleiding | Reactief: controle na een signaal, melding of incident |
| Maximale boete | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet bij overtreding van de zorgplicht- en meldplichtartikelen, 1 miljoen euro bij andere overtredingen | 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet, 1 miljoen euro bij andere overtredingen |
De maatregelen zijn dus voor beide categorieën gelijk. Wie hoopt dat de status belangrijk een lichtere zorgplicht oplevert, komt bedrogen uit. Het verschil zit in het toezichtregime en in het boeteplafond, en die twee verschillen worden pas voelbaar als er iets misgaat of als de toezichthouder langskomt.
Stap 4: de uitzonderingen die de eerste drie stappen overrulen
- Ongeacht omvang eronder: gekwalificeerde vertrouwensdienstverleners, registers voor topleveldomeinnamen, DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en -diensten, en overheidsinstanties.
- Registrars vormen een eigen categorie: verleners van domeinnaamregistratiediensten staan niet in bijlage 1 of 2 en zijn dus geen essentiële en geen belangrijke entiteit. Voor hen geldt een lichter regime: niet alle verplichtingen uit de wet raken hen, maar registreren moeten ze wel en op grond van artikel 49 houden ze een database met domeinnaamregistratiegegevens bij.
- Overheid: ministeries met hun dienstonderdelen en zelfstandige bestuursorganen van de centrale overheid, en daarnaast provincies, gemeenten en waterschappen, plus de openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties uit de Wet gemeenschappelijke regelingen. Zij zijn essentiële entiteit, ongeacht hoe groot ze zijn.
- Buiten de wet: het Ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het openbaar ministerie, de politie en de veiligheidsregio's. Ook root-naamservers vallen erbuiten, net als entiteiten die op grond van artikel 2, vierde lid van de DORA-verordening zijn uitgezonderd.
- Aanwijzing: een vakminister kan een entiteit uit bijlage 1 of 2 alsnog aanwijzen als essentiële entiteit, bijvoorbeeld omdat je in Nederland de enige aanbieder van een dienst bent of omdat uitval een systeemrisico oplevert. Hbo- en wo-instellingen kunnen door OCW worden aangewezen. Voor hen begint de zorgplicht pas 36 maanden na die aanwijzing.
- Wwke: ben je aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten, dan ben je automatisch essentiële entiteit onder de Cbw.
De Rijksinspectie Digitale Infrastructuur biedt een NIS2-zelfevaluatie waarmee je deze stappen kunt aflopen. Die tool geeft een indicatie, geen beschikking: de uitkomst blijft je eigen classificatie en je eigen verantwoordelijkheid.
Val je er niet onder? Dan komt de zorgplicht via je klanten
De zorgplicht bevat een expliciete eis over de toeleveringsketen: entiteiten moeten de beveiliging beoordelen van de relaties met hun directe leveranciers en dienstverleners. Lever je aan een organisatie die wel onder de wet valt, dan moet die klant kunnen aantonen dat hij jou beoordeelt. Zo bereikt de wet je via het contract, ook al sta je in geen enkele bijlage.
In de praktijk is dat een vragenlijst, een beveiligingsbijlage bij het contract of een auditclausule. Het scheelt tijd om die vragen een keer goed te beantwoorden en het antwoord met bewijs te onderbouwen, in plaats van per klant opnieuw te beginnen.
Leg je uitkomst vast, wat die ook is
Of je nu binnen of buiten de reikwijdte valt: schrijf de redenering op. Vier dingen horen daarin te staan.
- De sector en het soort entiteit uit bijlage 1 of 2 waar je jezelf in herkent, of de onderbouwing dat geen enkel soort entiteit past.
- Het aantal medewerkers in fte, de jaaromzet en het balanstotaal, met de peildatum en de verbonden ondernemingen die je hebt meegeteld.
- De conclusie: essentiële entiteit, belangrijke entiteit of buiten de reikwijdte.
- De datum en de naam van degene die de vaststelling deed, plus een moment waarop je hem opnieuw beoordeelt. Een overname of een groeisprong verandert de uitkomst.
Die notitie is geen formaliteit. Bij een toets of een incident is het het eerste stuk dat gevraagd wordt.
Wat er volgt als je eronder valt
Drie verplichtingen komen dan tegelijk op je af. Je registreert je in het nationale entiteitenregister bij het NCSC, en dat doe je zelf: lees hoe dat werkt in registratieplicht en het NCSC-entiteitenregister. Je voldoet aan de zorgplicht met tien onderwerpen die aantoonbaar gedekt moeten zijn, uitgewerkt in de NIS2-zorgplicht. En je richt de meldketen in voor significante incidenten, met de termijnen uit de NIS2-meldplicht.
Daarbovenop staat het bestuur zelf in de wet. Bestuursleden keuren de maatregelen goed, houden toezicht op de uitvoering en volgen daarvoor training. De regeldrukberekening bij het Cyberbeveiligingsbesluit gaat uit van bijna 9 uur per bestuurder bij een grote onderneming en bijna 5 uur bij een middelgrote. Het volledige overzicht van zorgplicht, meldplicht, boetes en bestuursrol staat in onze gids NIS2 en de Cyberbeveiligingswet.
Waar je vandaag mee begint
Begin bij het deel dat vandaag meetbaar is. Onze gratis domeinscan controleert in enkele minuten je TLS-configuratie, security headers, DNSSEC, e-mailbeveiliging en een reeks andere publiek zichtbare instellingen, en laat zien welke daarvan als bewijs meetellen voor NIS2 en ISO 27001. Dat vervangt de scopevraag niet, maar het geeft je binnen een kwartier een eerste feitelijk beeld naast de papieren analyse.
Doe daarna de vier stappen hierboven, leg de uitkomst vast en plan de registratie in. De volgorde is niet omkeerbaar: zonder heldere scope weet je niet welke systemen, locaties en leveranciers binnen je zorgplicht vallen, en dan wordt elke maatregel daarna een gok.
Bronnen
Geschreven door Rishi
Expert op het gebied van compliance en risicobeheer.