NIS2 in Nederland: wat de Cyberbeveiligingswet (Cbw) nu betekent

De Nederlandse NIS2-wet, de Cyberbeveiligingswet, is op 15 augustus 2026 in werking getreden. Hier lees je wat het vereist, wie het toezicht houdt en waar je moet beginnen als je je nog niet hebt geregistreerd.

Na meerdere uitstellingen is de Nederlandse implementatie van de NIS2-richtlijn eindelijk live. De Eerste Kamer keurde de Cyberbeveiligingswet (Cbw) op 7 juli 2026 goed, en deze trad op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten (Wwke), die de EU-richtlijn CER implementeert ^[1][2]. De Cbw vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen (Wbni) ^[1][3].

Twee maanden later werken veel organisaties nog uit of zij in scope vallen. Hier lees je wat de wet vereist.

Wie vallen onder de Cbw?

De regering schat dat meer dan 8.000 organisaties in 18 sectoren onder de wet vallen, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, openbaar bestuur en vervoer ^[1]. Er is geen aanwijzingsbrief: organisaties moeten zelf beoordelen of de wet van toepassing is ^[1][2].

Het NCSC beschrijft een tweeledige toets ^[3]:

1. Sector en entiteittype. Levert je organisatie een type dienst dat in Bijlage 1 (sectoren van hoge kriticaliteit) of Bijlage 2 (andere kritieke sectoren) staat vermeld?
2. Omvang. Voldoe je aan de omvangdrempels? In lijn met de richtlijn zijn dit over het algemeen middelgrote organisaties (50 of meer werknemers, of boven de EU-drempels voor omzet en balanstotaal) en grote organisaties ^[7][9].

Entiteiten die kwalificeren, worden ingedeeld als essentieel of belangrijk. Sommige vallen ongeacht de omvang in scope, zoals gekwalificeerde vertrouwensdienstaanbieders, registrars van topniveaudomeinen en domeinnaamregistratiediensten. Organisaties die onder de Wwke als kritiek zijn aangewezen, zijn automatisch essentieel ^[4].

Internationale groepsstructuren hebben hier bijzonder veel moeite mee, volgens persberichten ^[11]. Het RDI wijst organisaties op een zelfbeoordelingsinstrument van de regering als startpunt ^[10].

Onder de Cbw is cyberrisico niet langer iets wat de raad delegeert en vergeet: hij keurt de maatregelen goed, ziet toe op de uitvoering en is daarvoor verantwoordelijk.

Registratie bij het NCSC

Registratie in het nationale entiteitenregister (entiteitenregister) is sinds 15 augustus 2026 verplicht ^[1]. Dit gebeurt via het NCSC-portaal, mijn.ncsc.nl, en het NCSC schat dat het ongeveer tien minuten duurt als je je hebt voorbereid ^[4]. Je hebt nodig ^[4]:

• organisatienaam en adres;
• actuele contactgegevens, inclusief e-mailadressen, telefoonnummers en IP-bereiken;
• sector en subsector;
• de EU-lidstaten waarin je diensten levert.

Registratie geeft je ook toegang tot de diensten van je sectorale CSIRT ^[1][3].

Onzeker: we vonden geen afzonderlijke wettelijke respijttermijn voor registratie in officiële bronnen. Behandel de verplichting als al van toepassing. Volgens Het Financieele Dagblad, zoals gerapporteerd in augustus, hadden op dat moment ongeveer 3.200 van de geschatte 8.000-plus organisaties zich geregistreerd ^[11]. Dit getal zal inmiddels zijn veranderd.

De zorgplicht

Essentiële en belangrijke entiteiten moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om hun netwerk- en informatiesystemen, en de fysieke omgeving van die systemen, te beschermen ^[5]. Evenredigheid hangt af van blootstelling aan risico's, omvang, waarschijnlijkheid van incidenten en hun potentiële maatschappelijke en economische gevolgen ^[5].

Het NCSC stelt tien minimale maatregelen vast ^[5]:

1. risicoanalyse;
2. personeelsbeveiliging, toegangscontrole en activabeheer;
3. bedrijfscontinuïteit;
4. incidentafhandeling, inclusief een incidentresponsplan;
5. basale cyberhygiëne en bewustmakingstraining;
6. beleid voor de beveiliging van netwerk- en informatiesystemen;
7. beveiliging van de toeleveringsketen;
8. cryptografie- en versleutelingsbeleid;
9. meervoudige of andere veilige authenticatie;
10. voortdurende beoordeling van de doeltreffendheid van de maatregelen.

Het Cyberbeveiligingsbesluit (Cbb), het uitvoeringsbesluit dat in juli 2026 in het Staatsblad is gepubliceerd, werkt deze verplichtingen nader uit. Het behandelt de zorgplicht, registratie, bestuursopleidingen en incidentmelding ^[8][13]. Sectorspecifieke ministeriële regelingen voegen daar verdere details aan toe ^[2][13].

Incidentmelding (meldplicht)

Een significant incident is een incident dat ernstige operationele verstoring of financieel verlies voor de organisatie kan veroorzaken, of aanzienlijke materiële of immateriële schade voor anderen ^[6]. De concrete drempels worden per sector in ministeriële regelingen vastgesteld, dus controleer degene die op jou van toepassing is ^[2].

De meldvolgorde is ^[6][9]:

Fase	Deadline	Inhoud
Vroegtijdige waarschuwing	Zonder onnodig uitstel, binnen 24 uur nadat je ervan op de hoogte bent geraakt	Of er sprake is van vermoeden van kwaadwillige actie en of er mogelijk grensoverschrijdende gevolgen zijn
Incidentmelding	Binnen 72 uur	Initiële beoordeling van ernst en impact
Tussentijdse update	Op verzoek	Statusupdate voor het CSIRT of de toezichthouder
Eindrapport	Binnen één maand	Oorzaak, impact en mitigatie; een voortgangsrapport als het incident nog gaande is

Alle meldingen gaan via één centraal meldpunt op mijn.ncsc.nl, dat ze doorstuurt naar zowel het sectorale CSIRT als de bevoegde toezichthouder ^[6]. Sommige entiteiten hebben strakkere termijnen. Volgens de NCSC moeten entiteiten die ook onder DORA of de Nederlandse netcoderegeling voor cyberbeveiliging (Netcode) vallen, een vroegtijdige waarschuwing geven binnen 4 uur, en vertrouwensdienstaanbieders hebben een meldingstermijn van 24 uur ^[6]. Vrijwillige meldingen van niet-significante incidenten en bijna-incidenten gaan alleen naar het CSIRT, niet naar de toezichthouder ^[6].

Verantwoordelijkheid van het bestuursorgaan

De Cbw maakt cyberrisico een zaak voor het bestuursorgaan. Het bestuursorgaan moet ^[5][1]:

• de maatregelen voor cyberrisicobeheer goedkeuren;
• toezien op hoe deze worden geïmplementeerd;
• training volgen zodat het cyberrisico's zelf kan beoordelen, en ervoor zorgen dat personeel training krijgt;
• de uiteindelijke verantwoordelijkheid dragen, en kan aansprakelijk worden gesteld voor niet-naleving.

Voor essentiële entiteiten kunnen toezichthouders verzoeken om een bestuursorgaanlid tijdelijk te schorsen. Bestuursorgaanleden van zowel essentiële als belangrijke entiteiten kunnen ook te maken krijgen met periodieke dwangsommen en bestuurlijke boetes ^[7]. Het is daarom de moeite waard om bestuursbesluiten over cyberrisico goed vast te leggen. Zwakke documentatie is op zichzelf een mogelijke handhavingstrigger ^[13].

Toezicht en boetes

Het toezicht is per sector georganiseerd. Tien toezichthouders delen de taak, waaronder de RDI, ILT, DNB, AFM, IGJ, NVWA en de Autoriteit Persoonsgegevens (AP). Ze coördineren via het Samenwerkend Toezicht Digitale Weerbaarheid (STDW) ^[12][13]. De RDI houdt toezicht op sectoren waaronder energie, digitale infrastructuur, ICT-servicebeheer, openbaar bestuur, ruimtevaart, postdiensten, onderzoek en productie ^[10].

De intensiteit van het toezicht hangt af van de classificatie ^[3][7]:

• Essentiële entiteiten krijgen proactief toezicht, dus inspecties kunnen plaatsvinden zonder enige voorafgaande aanwijzing van een inbreuk. De instrumenten omvatten audits, beveiligingsscans, bindende aanwijzingen, bevelen met dwangsommen, openbare bekendmaking, verzoeken om schorsing en bestuurlijke boetes.
• Belangrijke entiteiten krijgen vooral reactief toezicht, meestal geactiveerd door een incident of een signaal, en de meeste van dezelfde handhavingsinstrumenten zijn van toepassing.

Boetes: onder NIS2 moeten lidstaten maximale boetes voorzien van minstens €10 miljoen of 2% van de wereldwijde jaarlijkse omzet (welke het hoogst is) voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten ^[9]. Onzeker: we konden de exacte Nederlandse maxima niet verifiëren aan de hand van de definitieve Cbw-tekst in de officiële bronnen die we hebben geraadpleegd. Controleer de gepubliceerde wet voordat je op specifieke bedragen vertrouwt.

Praktische eerste stappen

1. Bevestig je status. Werk de bijlagen en groottedrempels door, of gebruik het zelfbeoordelingsinstrument, voor elke rechtspersoon in je groep. Leg de redenering vast ^[3][10].
2. Registreer je nu op mijn.ncsc.nl als je in scope bent, en houd je contactgegevens en IP-bereiken up-to-date ^[4].
3. Identificeer je toezichthouder en sectorale regelgeving, inclusief de incidentdrempels die voor jou gelden ^[2][12].
4. Voer een gapanalyse uit aan de hand van de tien zorgplichtmaatregelen en de Cbb. De NCSC wijst ook op het Cbw Control Framework en de RDI NIS2 Quickscan ^[3][5].
5. Oefen rapportage. Bepaal wie beslist dat een incident significant is en wie de 24-uurs vroegtijdige waarschuwing indient. Als DORA ook voor jou geldt, plan dan voor de 4-uurs deadline ^[6].
6. Informeer en train het bestuursorgaan. Plan training in en zet een regelmatige rapportagelijn op, en leg de goedkeuringen van het bestuursorgaan vast ^[5].
7. Controleer je toeleveringsketen, te beginnen met kritieke ICT-aanbieders ^[5].

Secrato helpt organisaties frameworks zoals NIS2, DORA en ISO/IEC 27001 in één EU-gehoste platform te beheren, met gedeelde controls, bewijs en audit trails.