De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en is sinds 15 augustus 2026 van kracht. De wet raakt ruim 8.000 organisaties. Val je eronder, dan gelden drie verplichtingen: een zorgplicht met beveiligingsmaatregelen, een meldplicht met termijnen van 24 en 72 uur, en een registratieplicht. Het bestuur is persoonlijk verantwoordelijk.
Laatst bijgewerkt op
Op deze pagina
NIS2 is de opvolger van de eerste NIS-richtlijn uit 2016. De richtlijn (EU) 2022/2555 trad op 27 december 2022 in werking en verplicht elke lidstaat om hem in nationale wetgeving om te zetten. De Europese omzettingsdeadline was 17 oktober 2024. Nederland haalde die datum niet.
In Nederland gebeurt die omzetting via de Cyberbeveiligingswet, afgekort Cbw. De Tweede Kamer nam het wetsvoorstel op 15 april 2026 aan en de wet is op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten. De Cbw volgt de Wet beveiliging netwerk- en informatiesystemen (Wbni) op en legt de zorgplicht, de meldplicht en de registratieplicht vast voor organisaties in de aangewezen sectoren.
De wet raakt volgens de Rijksoverheid ruim 8.000 Nederlandse organisaties. Een flink deel daarvan weet dat zelf nog niet, want er komt geen brief: je bepaalt zelf of je onder de wet valt en meldt je vervolgens aan. De eerste stap is dus een scopevraag en geen technische. De verplichtingen gelden inmiddels, en het meeste werk eronder kost maanden in plaats van weken.
Twee vragen bepalen het antwoord: in welke sector zit je en hoe groot ben je. De richtlijn kent twee bijlagen met sectoren. Bijlage I bevat de sectoren van zeer kritiek belang, bijlage II de overige kritieke sectoren.
| Onderwerp | Essentiële entiteit | Belangrijke entiteit |
|---|---|---|
| Sector | Bijlage I | Bijlage I als middelgrote organisatie, of bijlage II |
| Omvang | Groot: vanaf 250 medewerkers, of meer dan 50 miljoen euro omzet en meer dan 43 miljoen euro balanstotaal | Middelgroot: vanaf 50 medewerkers, of meer dan 10 miljoen euro omzet en balanstotaal |
| Zorgplicht | Volledig van toepassing | Volledig van toepassing, identieke maatregelen |
| Meldplicht | 24 uur, 72 uur en 1 maand | Dezelfde termijnen |
| Registratieplicht | Ja, met actueel houden van de gegevens | Ja, met actueel houden van de gegevens |
| Toezicht | Proactief: de toezichthouder mag ook zonder aanleiding controleren | Reactief: controle na een melding, incident of signaal |
| Maximale boete | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet | 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet |
Een grote organisatie in bijlage I is een essentiële entiteit. Een middelgrote organisatie in bijlage I is een belangrijke entiteit, net als elke middelgrote of grote organisatie in bijlage II. Kleine organisaties vallen er als regel buiten.
Op die regel bestaan uitzonderingen die niets met omvang te maken hebben. Aanbieders van DNS-diensten, TLD-registers, vertrouwensdiensten en openbare elektronische communicatie vallen eronder ongeacht hun grootte. Ook overheidsorganisaties kunnen op andere gronden zijn aangewezen.
Val je zelf niet onder de wet maar lever je aan een organisatie die er wel onder valt, dan komt de zorgplicht voor de toeleveringsketen via het contract alsnog bij jou terecht. Je klant moet aantonen dat hij zijn leveranciers beoordeelt, dus krijg jij de vragenlijst, de beveiligingsbijlage of de audit-clausule.
Voor veel leveranciers is dat de eerste keer dat NIS2 op tafel komt. Het scheelt tijd om die vragen één keer goed te beantwoorden in plaats van per klant opnieuw.
De zorgplicht is het hart van NIS2. Je neemt passende en evenredige maatregelen om de risico's voor je netwerk- en informatiesystemen te beheersen en om de gevolgen van incidenten te beperken. De richtlijn noemt tien onderwerpen die in elk geval gedekt moeten zijn.
De lat beweegt mee met je blootstelling aan risico's, je omvang en de kans en de ernst van incidenten. Een middelgroot maakbedrijf krijgt niet dezelfde maatregelenset opgelegd als een landelijke netbeheerder.
Wat voor iedereen gelijk is: je moet kunnen laten zien dat je die afweging bewust hebt gemaakt en dat de maatregelen werken. Dat aantonen is in de praktijk het zwaarste deel. Niet omdat de maatregelen exotisch zijn, maar omdat er bewijs bij hoort. Beleid dat is vastgesteld en niet alleen geschreven. Een back-up die getest is en niet alleen gepland. Een toegangsoverzicht dat klopt met de werkelijkheid.
Bij een significant incident lopen drie termijnen. Een incident is significant als het een ernstige operationele verstoring of financieel verlies veroorzaakt of kan veroorzaken, of als het anderen aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen.
| Termijn | Wat je indient | Vanaf wanneer de klok loopt |
|---|---|---|
| 24 uur | Vroegtijdige waarschuwing: het eerste signaal, met de vermoedelijke oorzaak en of er grensoverschrijdende gevolgen zijn | Vanaf het moment dat je kennis krijgt van het significante incident |
| 72 uur | Incidentmelding: de waarschuwing bijgewerkt met een eerste beoordeling van ernst, impact en indicatoren | Vanaf datzelfde moment van kennisname |
| Op verzoek | Tussentijds rapport met de stand van zaken | Wanneer het CSIRT of de toezichthouder erom vraagt |
| 1 maand | Eindrapport: volledige beschrijving, type dreiging of oorzaak, genomen maatregelen en grensoverschrijdende gevolgen | Vanaf de incidentmelding van 72 uur |
Meldingen gaan naar het CSIRT. In Nederland vervult het Nationaal Cyber Security Centrum (NCSC) die rol voor het grootste deel van de entiteiten. Voor bepaalde digitale dienstverleners kan een ander CSIRT aangewezen zijn, dus controleer bij je registratie welk meldpunt voor jou geldt.
Naast de melding aan het CSIRT geldt een informatieplicht richting je eigen afnemers. Kan een significante cyberdreiging hen raken, dan moet je ze daarover informeren en aangeven wat ze zelf kunnen doen.
Vierentwintig uur is kort. In die eerste dag is de vraag niet of je het incident al begrijpt, maar of iemand weet dat er gemeld moet worden en waar. Leg dat vast voordat je het nodig hebt, inclusief de vervanger voor het geval dat je meldverantwoordelijke op vakantie is.
Essentiële en belangrijke entiteiten moeten zichzelf registreren. Dat gaat niet vanzelf. Er komt geen brief waarin staat dat je eronder valt: je bepaalt zelf of je kwalificeert en onder welke bijlage, en je meldt je vervolgens aan. De toezichthouder kan die zelfclassificatie later toetsen.
Bij de registratie geef je in elk geval door: naam, adres en contactgegevens, sector en subsector, de IP-adresbereiken die je gebruikt en een beschrijving van de diensten die je levert. Die gegevens houd je actueel en wijzigingen meld je door.
Welke instantie je registratie ontvangt hangt af van je sector. Voor de digitale sectoren is dat de Rijksinspectie Digitale Infrastructuur (RDI). Andere sectoren hebben hun eigen aangewezen toezichthouder. Controleer welke voor jou geldt voordat je je aanmeldt.
De maxima staan in de tabel hierboven: 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Het hoogste van die twee bedragen geldt.
De boete is niet het enige instrument. Een toezichthouder kan ook een last onder dwangsom opleggen, een bindende aanwijzing geven, een audit of beveiligingsscan afdwingen en in het uiterste geval een certificering of vergunning schorsen. Bij essentiële entiteiten mag dat proactief, dus zonder dat er iets is misgegaan.
Voor bestuurders komt daar een tweede laag bij. Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij niet-naleving en in het uiterste geval tijdelijk worden verboden om een leidinggevende functie uit te oefenen. Er hoort ook een scholingsplicht bij: genoeg kennis om risico's te herkennen en maatregelen te kunnen beoordelen.
Dat verandert waar het gesprek plaatsvindt. NIS2 is geen onderwerp dat in de ICT-hoek kan blijven liggen tot er iets gebeurt.
ISO 27001 is niet verplicht voor NIS2. Er staat geen enkele norm met naam en toenaam in de wet. De overlap is wel groot: de tien zorgplicht-onderwerpen komen bijna allemaal terug in de beheersmaatregelen van ISO 27001, en een managementsysteem is een praktische manier om aan te tonen dat je maatregelen werken.
Wie al ISO 27001 heeft, is een groot deel van het werk kwijt. Wat er dan nog bij komt is vooral NIS2-eigen: de meldplicht met haar termijnen, de registratie, de rol en de scholing van het bestuur en de expliciete eisen aan de toeleveringsketen.
Wie nog niets heeft, hoeft niet met een certificeringstraject te beginnen. De verplichting is de zorgplicht, niet het certificaat. Certificering kan later alsnog, op het moment dat een klant of aanbesteding erom vraagt.
Vier stappen, in deze volgorde:
De technische buitenkant kun je in vijf minuten toetsen. Onze gratis domeinscan controleert TLS, security headers, DNSSEC, e-mailbeveiliging en een reeks andere publiek zichtbare instellingen, en laat zien welke daarvan als bewijs meetellen voor normen als NIS2 en ISO 27001.
Wil je weten hoeveel werk de rest is, reken het dan door zonder account. Je krijgt de werklast per onderwerp, gebaseerd op je sector en omvang, en je ziet in welke volgorde het werk logisch loopt.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Begin zelf met het platform of ga de diepte in met onze mensen. Allebei brengen ze je ICT in control.