NIS2 en de Cyberbeveiligingswet: valt mijn bedrijf eronder?
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Misschien heb je de term NIS2 al gehoord van een klant, een leverancier of een adviseur. In dit artikel lees je in het kort wat de wet is, wie eronder valt en wat hij betekent voor een klein bedrijf dat er zelf niet onder valt.
Dit artikel geeft algemene uitleg en is geen juridisch advies. De actuele regels staan bij het NCSC en in de wettekst.
Wat is het?
NIS2 is een Europese richtlijn uit 2022 (Richtlijn (EU) 2022/2555) die organisaties in belangrijke sectoren digitaal weerbaarder moet maken. Elk land zet de richtlijn om in een eigen wet. In Nederland is dat de Cyberbeveiligingswet (Cbw). De wet geldt sinds 15 augustus 2026, zonder overgangsperiode, en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Volgens het NCSC vallen ruim 8.000 organisaties eronder. Het NCSC is het aanspreekpunt.
Valt mijn bedrijf eronder?
Dat hangt af van twee vragen: je sector en je grootte.
1. Werk je in een sector uit de wet?
| Bijlage 1 | Bijlage 2 |
|---|---|
| Energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart | Post- en koeriersdiensten, afvalbeheer, chemische stoffen, levensmiddelen, vervaardiging (maakindustrie), digitale aanbieders, onderzoek |
Voor sommige sectoren gelden extra voorwaarden. Niet elk bedrijf dat iets met levensmiddelen doet, valt er dus vanzelf onder.
2. Ben je groot genoeg? Kort gezegd vallen middelgrote en grote organisaties eronder. Je telt mee als je:
- 50 of meer medewerkers (fte) hebt, of
- minder dan 50 medewerkers hebt, maar je jaaromzet en je balanstotaal allebei boven 10 miljoen euro liggen.
Partnerondernemingen en verbonden ondernemingen tellen mee. Een bedrijf met 20 medewerkers dat bij een groep van 200 hoort, kan er dus toch onder vallen.
Uitzonderingen, ongeacht grootte. Een paar soorten organisaties vallen er altijd onder, hoe klein ook. Bijvoorbeeld DNS-dienstverleners, registers van topleveldomeinen, aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten en overheidsorganisaties. Ben je aangewezen onder de Wet weerbaarheid kritieke entiteiten, dan val je ook onder de Cyberbeveiligingswet.
Zelf nagaan met de zelfevaluatie
De Rijksinspectie Digitale Infrastructuur (RDI) heeft een gratis NIS2-zelfevaluatie. Je beantwoordt vragen over je sector, grootte en diensten en krijgt een uitslag. Daaruit blijkt ook of je een essentiële of een belangrijke entiteit bent. Het verschil zit vooral in het toezicht: bij essentiële entiteiten mag de toezichthouder ook uit zichzelf controleren, bij belangrijke entiteiten vooral achteraf. Hoort je bedrijf bij een groep of werk je in meer landen? Dan helpt de handreiking complexe bedrijfsmodellen van het NCSC.
Wat moet je doen als je eronder valt?
- Registreren. Je meldt je organisatie aan via MijnNCSC.
- Zorgplicht. Je maakt een risicoanalyse en neemt passende en evenredige maatregelen. Het NCSC noemt minstens tien onderwerpen, waaronder incidentbehandeling, back-ups en herstel, de beveiliging van je toeleveringsketen, training, updates, toegangsbeheer, meerfactorauthenticatie of passkeys, versleuteling en het testen of je maatregelen werken. Het bestuur keurt de maatregelen goed en houdt toezicht.
- Meldplicht. Een significant incident meld je via MijnNCSC: binnen 24 uur een eerste waarschuwing, binnen 72 uur een melding met een eerste inschatting van ernst en impact, en binnen een maand een eindrapport.
Deze melding staat los van de meldplicht voor datalekken uit de AVG. Die geldt voor iedereen die persoonsgegevens verwerkt, ook voor een zzp'er, en meld je bij de Autoriteit Persoonsgegevens. Een aanval waarbij ook klantgegevens zijn gestolen, kan dus bij allebei gemeld moeten worden.
Val je er niet onder? Dan kan de keten je toch raken
De meeste kleine bedrijven vallen niet onder de wet. Dan heb je geen registratieplicht, geen meldplicht bij het NCSC en geen toezicht. Maar organisaties die er wel onder vallen, moeten ook rekening houden met de risico's bij hun rechtstreekse leveranciers en dienstverleners. Volgens het NCSC legt de wet toeleveranciers zelf geen verplichtingen op, maar mogen klanten wel eisen stellen aan hun digitale veiligheid. Die komen dan in een contract of een vragenlijst.
Lever je aan een grotere organisatie, bijvoorbeeld als webbouwer, IT-beheerder of administratiekantoor? Dan kun je vragen krijgen als: gebruiken jullie tweestapsverificatie, wie heeft toegang tot onze gegevens, waar staan de back-ups en hoe snel melden jullie een incident?
- Eisen horen passend te zijn bij het risico van jouw dienst. Een leverancier met toegang tot de systemen krijgt zwaardere eisen dan de bakker die de lunch brengt.
- Het gaat om rechtstreekse leveranciers. De leveranciers van jouw leveranciers vallen erbuiten.
- Een certificaat schrijft de wet niet voor. Het kan helpen in het gesprek, maar het is geen garantie.
- Begin op tijd: breng in kaart welke maatregelen je al hebt en leg afspraken met je klant vast.