Module 9 · 9.1
NIS2 en de Cyberbeveiligingswet
Module 9: Regels en organisatie · Leestijd: 11 minuten
Leerdoel: Na deze les kun je uitleggen wat de Cyberbeveiligingswet (NIS2) regelt, voor wie hij geldt en wat hij via de keten voor kleine bedrijven betekent.
Kernbegrippen: NIS2, Cyberbeveiligingswet (Cbw), essentiële en belangrijke entiteit, sector, grootte, zorgplicht, meldplicht (24 uur, 72 uur, 1 maand), registratieplicht, keten, RDI-zelfevaluatie
Van Europese richtlijn naar Nederlandse wet
NIS2 is een Europese richtlijn uit 2022 (Richtlijn (EU) 2022/2555) die de digitale weerbaarheid van belangrijke organisaties in de hele EU moet verhogen. Een richtlijn geldt niet rechtstreeks: elk land zet hem om in een eigen wet. In Nederland is dat de Cyberbeveiligingswet (Cbw). Die is in werking sinds 15 augustus 2026, tegelijk met de Wet weerbaarheid kritieke entiteiten en het Cyberbeveiligingsbesluit, waarin de regels verder zijn uitgewerkt. De oude Wet beveiliging netwerk- en informatiesystemen (Wbni) is ingetrokken. Er is geen overgangsperiode: wie eronder valt, moet nu voldoen.
Volgens het NCSC vallen ruim 8.000 organisaties onder de wet. Dat is een klein deel van alle bedrijven in Nederland. Voor de meeste kleine bedrijven is de belangrijkste vraag daarom niet "wat moet ik doen voor de wet?", maar "wat vragen mijn klanten van mij omdat zíj onder de wet vallen?". Daar komen we straks op.
Het NCSC is het aanspreekpunt voor de Cbw, en sinds 1 januari 2026 ook voor het mkb: het vroegere Digital Trust Center is nu onderdeel van het NCSC.
Val jij eronder? Sector en grootte
Of een organisatie onder de Cbw valt, hangt af van twee vragen.
1. Werk je in een sector uit de wet? De wet heeft twee bijlagen.
| Bijlage 1 (11 sectoren) | Bijlage 2 (7 sectoren) |
|---|---|
| energie, vervoer, bankwezen, drinkwater, digitale infrastructuur, beheer van ICT-diensten, ruimtevaart, infrastructuur voor de financiële markt, gezondheidszorg, afvalwater, overheid | digitale aanbieders, post- en koeriersdiensten, afvalbeheer, levensmiddelen, chemische stoffen, onderzoek, vervaardiging (maakindustrie) |
Voor sommige sectoren gelden extra voorwaarden die het verantwoordelijke ministerie bepaalt. Niet elke organisatie die iets met "levensmiddelen" doet, valt er dus automatisch onder.
2. Ben je groot genoeg? Je organisatie telt mee als je:
- 50 of meer medewerkers (fte) hebt, of
- minder dan 50 medewerkers hebt, maar je jaaromzet én je balanstotaal allebei boven 10 miljoen euro liggen.
Partner- en verbonden ondernemingen tellen mee. Een bedrijf met 20 medewerkers dat bij een groep van 200 hoort, kan er dus toch onder vallen.
Uitzonderingen: ongeacht grootte. Een paar soorten organisaties vallen er altijd onder, hoe klein ook: DNS-dienstverleners, registers van topleveldomeinen, aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten en overheidsorganisaties. Ook aanbieders van domeinnaamregistratiediensten moeten zich registreren.
Essentieel of belangrijk
Organisaties onder de wet zijn essentiële of belangrijke entiteiten. Grofweg: grote organisaties in de sectoren van bijlage 1 en een paar soorten die ongeacht grootte zijn aangewezen zijn essentieel; de rest is belangrijk. Het verschil zit vooral in het toezicht: bij essentiële entiteiten mag de toezichthouder ook uit zichzelf controleren, bijvoorbeeld met inspecties en audits; bij belangrijke entiteiten grijpt hij vooral achteraf in, als er aanwijzingen zijn dat iets niet klopt. De plichten zelf zijn grotendeels gelijk. Of je essentieel of belangrijk bent, bepaal je met de zelfevaluatie hieronder.
Zelf nagaan
De Rijksinspectie Digitale Infrastructuur (RDI) heeft een gratis NIS2-zelfevaluatie op https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Je beantwoordt een reeks vragen over sector, grootte en diensten en krijgt een uitslag. Twijfel je, bijvoorbeeld omdat je bedrijf bij een groep hoort of in meerdere landen werkt, dan heeft het NCSC een handreiking voor complexe bedrijfsmodellen.
Wat de wet vraagt
Valt je organisatie eronder, dan gelden drie plichten.
Registratieplicht
Je meldt je organisatie aan in het entiteitenregister via MijnNCSC. Zo weet de overheid wie eronder valt en kan ze je bereiken bij een dreiging.
Zorgplicht
Je maakt een risicoanalyse en neemt op basis daarvan passende en evenredige maatregelen voor de beveiliging van je netwerk- en informatiesystemen. Het NCSC noemt minstens tien onderwerpen, die je in deze cursus allemaal bent tegengekomen:
- risicoanalyse (les 1.1 en 9.3);
- incidentbehandeling met een incidentplan (les 8.1);
- voorbereiding op uitval: back-ups, herstelplannen, crisisbeheer (module 6);
- beveiliging van de toeleveringsketen, inclusief leveranciersrisico's (les 7.2);
- cyberhygiëne en training (les 9.2);
- veilig aanschaffen, ontwikkelen en onderhouden van systemen, inclusief updates (les 5.1);
- personeel, toegangsbeleid en beheer van apparatuur en software (les 7.1);
- passkeys of meerfactorauthenticatie en beveiligde communicatie (module 2);
- een beleid voor cryptografie (versleuteling);
- beoordelen of de maatregelen werken, bijvoorbeeld door periodiek te testen (les 6.3 en 9.3).
Het bestuur is verantwoordelijk: het keurt de maatregelen goed en houdt toezicht op de uitvoering. Volgens de Europese richtlijn moeten bestuurders ook een opleiding over cyberrisico's volgen. Cyberbeveiliging is dus geen klusje meer dat je bij de IT-man neerlegt.
Meldplicht
Een significant incident meld je bij het NCSC, via MijnNCSC. Dat is een incident dat je dienstverlening ernstig verstoort, financiële schade veroorzaakt of grote schade bij anderen kan veroorzaken; de precieze drempels verschillen per sector. De termijnen tellen vanaf het moment dat je van het incident weet:
| Termijn | Wat je stuurt |
|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing: is het vermoedelijk kwaadwillig, zijn er gevolgen over de grens, wie is het contactpersoon |
| Binnen 72 uur | Incidentmelding: een update met een eerste inschatting van ernst en impact |
| Binnen 1 maand na de melding | Eindrapport: wat er gebeurde, de oorzaak en de maatregelen (duurt het incident langer: een voortgangsrapport) |
Eén melding bij MijnNCSC bereikt zowel het CSIRT (het team dat helpt bij het incident) als de toezichthouder. Daarnaast moet je volgens de richtlijn de afnemers van je diensten zo nodig informeren over significante incidenten die hen kunnen raken.
Cbw-melding en AVG-melding: twee verschillende dingen
Het lijkt op de meldplicht voor datalekken uit de AVG (les 8.2), en de "72 uur" komt in beide voor. Toch zijn het twee aparte plichten.
| Cyberbeveiligingswet | AVG (datalek) | |
|---|---|---|
| Voor wie | Organisaties die onder de Cbw vallen | Iedereen die persoonsgegevens verwerkt, ook een zzp'er |
| Waarover | Significante incidenten met je dienstverlening | Inbreuken op de beveiliging van persoonsgegevens |
| Bij wie | NCSC via MijnNCSC | Autoriteit Persoonsgegevens |
| Termijnen | 24 uur, 72 uur, 1 maand | Zonder onredelijke vertraging, zo mogelijk binnen 72 uur |
Een ransomware-aanval bij een Cbw-organisatie waarbij ook klantgegevens zijn gestolen, moet dus bij beide gemeld worden. En een klein bedrijf dat niet onder de Cbw valt, heeft wél de AVG-meldplicht als er persoonsgegevens lekken.
Valt je er niet onder: de keten
Voor de meeste lezers van deze cursus is het antwoord op de eerste vraag: nee, mijn bedrijf valt niet onder de Cbw. De bakkerij met twaalf mensen, het administratiekantoor met vijf, de webbouwer in zijn eentje. Dan heb je geen wettelijke plichten uit de Cbw: geen registratie, geen meldplicht bij het NCSC, geen toezicht.
Maar de wet kan je wel bereiken via je klanten. Organisaties onder de Cbw moeten hun toeleveringsketen beveiligen: ze moeten rekening houden met de kwetsbaarheden van hun rechtstreekse leveranciers en dienstverleners. Het NCSC schrijft dat de wet toeleveranciers zelf geen verplichtingen oplegt, maar dat Cbw-organisaties wel eisen kunnen stellen aan de digitale veiligheid van hun toeleveranciers. Die eisen komen dan in je contract of in een vragenlijst.
Een voorbeeld. Een klein IT-bedrijf met zes medewerkers beheert de laptops en het netwerk van een middelgroot transportbedrijf met 140 medewerkers. Het transportbedrijf valt onder de Cbw (vervoer, groot genoeg). Het IT-bedrijf zelf niet: "beheer van ICT-diensten" staat wel in bijlage 1, maar het bedrijf is te klein. Toch krijgt het een vragenlijst: hebben jullie tweestapsverificatie op de beheertools, wie heeft toegang tot onze systemen, hoe snel melden jullie een incident bij ons, waar staan de back-ups?
Wat het NCSC daarover zegt, en wat dat voor jou betekent:
- Eisen moeten passend zijn. Een klant hoort te kijken naar het risico dat jouw dienst voor hem oplevert. Een leverancier met toegang tot de systemen krijgt zwaardere eisen dan de bakker die de lunch levert.
- Het gaat om rechtstreekse leveranciers. De leveranciers van jouw leveranciers vallen buiten de wet.
- Een certificaat is niet verplicht. De Cbw schrijft geen keurmerk voor. Een certificaat kan het gesprek makkelijker maken, maar het is geen garantie en geen eis van de wet.
- Begin vroeg met het gesprek. Breng in kaart welke maatregelen je al hebt op de plekken waar je met de klant te maken hebt, en leg afspraken vast.
Overdrijf het dus niet. De Cbw maakt van een klein bedrijf geen "NIS2-plichtige" organisatie, en een adviseur die je dat vertelt om een dure certificering te verkopen, vertelt maar een deel van het verhaal. Maar onderschat het ook niet: wie aan grotere organisaties levert, moet steeds vaker kunnen laten zien dat de basis op orde is. De basismaatregelen uit deze cursus zijn precies wat zo'n vragenlijst meestal vraagt.
Deze les geeft algemene uitleg en is geen juridisch advies. Kijk voor de actuele regels op https://www.ncsc.nl/cyberbeveiligingswet-nis2 en in de wettekst op https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Samenvatting
- De Cyberbeveiligingswet is de Nederlandse invulling van NIS2 en geldt sinds 15 augustus 2026, zonder overgangsperiode.
- Je valt eronder bij een sector uit bijlage 1 of 2 én 50 of meer fte, of jaaromzet en balanstotaal allebei boven 10 miljoen euro; sommige soorten (zoals DNS-dienstverleners en overheid) ongeacht grootte.
- Plichten: registreren via MijnNCSC, zorgplicht met risicoanalyse en passende maatregelen onder verantwoordelijkheid van het bestuur, en significante incidenten melden binnen 24 uur, 72 uur en 1 maand.
- De Cbw-melding bij het NCSC staat los van de AVG-melding van datalekken bij de AP; soms moeten beide.
- Een klein bedrijf valt er meestal niet zelf onder, maar kan via klanten die er wel onder vallen passende beveiligingseisen krijgen.
Quiz
Opdracht
Opdracht A9.1: Valt het onder de Cyberbeveiligingswet? Je krijgt zes korte beschrijvingen van organisaties (sector, aantal medewerkers, omzet, balanstotaal, eventueel een groep of een grote klant). Bepaal per organisatie: valt eronder, valt er niet onder maar krijgt waarschijnlijk eisen via een klant, of valt er niet onder. Het programma kijkt na en laat per organisatie de stappen van de beslisboom zien.
Verder lezen
Over de Cyberbeveiligingswet staat nog geen artikel in de kennisbank van WebOké; gebruik de officiële bronnen.
- NCSC, Cyberbeveiligingswet (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- NCSC, Valt mijn organisatie onder de Cyberbeveiligingswet?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- NCSC, Zorgplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- NCSC, Meldplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- NCSC, De Cyberbeveiligingswet en toeleveranciers: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, NIS2-zelfevaluatie: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Wettekst Cyberbeveiligingswet: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0