NIS2 en de Cyberbeveiligingswet: wat moet u nu regelen?
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 organisaties moeten zich registreren, hun cyberrisico's aantoonbaar beheersen en ernstige incidenten snel melden. Hier leest u of dat voor u geldt, wat er van u verwacht wordt en hoe u begint.
Bijgewerkt op 16 oktober 2026Het hangt af van uw sector en uw omvang.
Allebei moeten kloppen. Het gaat om de sector waarin uw organisatie zelf actief is, niet om de sector van uw klanten.
Sectoren met een hoge kriticiteit
- Energie
- Vervoer
- Bankwezen
- Infrastructuur voor de financiële markt
- Gezondheidszorg
- Drinkwater
- Afvalwater
- Digitale infrastructuur
- Beheer van ICT-diensten
- Overheid
- Ruimtevaart
Andere kritieke sectoren
- Post- en koeriersdiensten
- Afvalstoffenbeheer
- Chemische stoffen
- Levensmiddelen
- Vervaardiging, onder meer van machines, elektronica, elektrische apparatuur, voertuigen en medische hulpmiddelen
- Digitale aanbieders
- Onderzoek
Middelgroot of groter
- 50 of meer medewerkers (in fte)
- of minder dan 50, maar een jaaromzet én een balanstotaal van elk meer dan € 10 miljoen
- Medewerkers en cijfers van partner- en verbonden ondernemingen tellen mee
Sommige organisaties vallen er altijd onder, ongeacht hun omvang, zoals DNS-dienstverleners, aanbieders van openbare elektronische communicatie en overheidsorganisaties. Een minister kan ook een kleinere organisatie aanwijzen; dat hoort u dan.
Twijfelt u? Doe de NIS2-zelfevaluatie van de Rijksinspectie Digitale Infrastructuur. Daaruit volgt ook of u een essentiële of een belangrijke entiteit bent. De verplichtingen zijn grotendeels gelijk; het verschil zit in de maximale boetes en in het toezicht. Bij essentiële entiteiten controleert de toezichthouder ook zonder aanleiding, bij belangrijke entiteiten vooral achteraf, bijvoorbeeld na een incident.
Vier verplichtingen.
Registreren
Registreer uw organisatie in het entiteitenregister van het NCSC, via mijn.ncsc.nl. Dat doet u met eHerkenning op niveau EH2+, met een machtiging voor uw organisatie. U geeft onder meer uw sector, een contactpersoon en uw netwerkgegevens op, zoals IP-adressen en domeinnamen. Sinds 15 augustus 2026 is registratie verplicht. Wijzigingen geeft u binnen twee weken door.
Zorgplicht
U neemt passende en evenredige maatregelen om de risico's voor uw netwerk- en informatiesystemen te beheersen, en om incidenten te voorkomen of de gevolgen te beperken. De wet noemt de onderwerpen die er minimaal in zitten:
- Risicoanalyse en beveiligingsbeleid
- Incidentbehandeling
- Bedrijfscontinuïteit, met back-up, herstel en crisisbeheer
- Beveiliging van de toeleveringsketen
- Beveiliging bij aanschaf, ontwikkeling en onderhoud, met het omgaan met kwetsbaarheden
- Toetsen of de maatregelen werken
- Basishygiëne en training in cyberbeveiliging
- Cryptografie en versleuteling
- Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen
- Multifactorauthenticatie en beveiligde communicatie, waar dat past
Het Cyberbeveiligingsbesluit werkt deze onderwerpen verder uit. Een certificaat zoals ISO 27001 schrijft de wet niet voor.
Meldplicht
Een significant incident meldt u via het meldportaal van het NCSC. Dat stuurt de melding door naar uw CSIRT en uw toezichthouder. Significant is een incident dat uw dienstverlening ernstig verstoort, financiële schade veroorzaakt of anderen flink kan raken; de precieze drempels verschillen per sector. De termijnen staan hieronder.
Verantwoordelijkheid van het bestuur
Het bestuur keurt de maatregelen goed en is ervoor verantwoordelijk. Bestuurders moeten genoeg kennis hebben om cyberrisico's en maatregelen te beoordelen, en volgen daarvoor een training met een certificaat.
Drie termijnen, vanaf het moment dat u het weet.
De klok begint te lopen zodra u kennis krijgt van een significant incident. Wie een aanval niet ziet, kan hem ook niet op tijd melden.
- 1OntdekkingMoment 0
U krijgt kennis van een significant incident. Vanaf nu lopen de termijnen.
- 2Vroegtijdige waarschuwingBinnen 24 uur
Is het incident vermoedelijk kwaadwillig, en heeft het gevolgen over de grens?
- 3MeldingBinnen 72 uur
Een eerste beoordeling van de ernst en de gevolgen, met de sporen van de aanval als u die heeft.
- 4EindverslagBinnen een maand
Wat er gebeurde, de oorzaak en de genomen maatregelen. Loopt het incident nog, dan eerst een voortgangsverslag.
Een aanval die niemand ziet, wordt vaak pas na weken ontdekt. Dan is de schade al gedaan, en begint het uitzoeken pas.
Een aanval wordt gezien en ingedamd zodra hij begint, en u krijgt een incidentverslag met de feiten die u voor de melding nodig heeft.
Toezicht en boetes.
De toezichthouder van uw sector kan een last onder dwangsom of een boete opleggen. Voor overtreding van de zorgplicht of de meldplicht is dat bij een essentiële entiteit maximaal € 10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is. Bij een belangrijke entiteit is het maximaal € 7 miljoen of 1,4%.
Ook bestuurders zelf kunnen een boete krijgen, van maximaal € 25.000, als zij hun eigen verplichtingen niet nakomen, zoals de training.
Valt u er niet onder? Uw klanten misschien wel.
De wet legt toeleveranciers geen eigen verplichtingen op. Maar organisaties die er wel onder vallen, moeten hun toeleveringsketen beveiligen. Levert u hun ICT-diensten, onderdelen of toegang tot hun systemen, dan kunnen zij eisen stellen aan uw beveiliging: een vragenlijst, afspraken in het contract of een audit.
Een certificaat schrijft de wet ook dan niet voor. Wel helpt het als u kunt laten zien wat u geregeld heeft, zodat u niet bij elke klant opnieuw begint.
De Cyberbeveiligingswet in één A4.
De vragen om met uw directie door te lopen: valt u eronder, is de registratie geregeld, staan de tien onderwerpen uit de zorgplicht op orde, en weet iedereen wat er gebeurt bij een incident.
Veelgestelde vragen
Geldt NIS2 ook voor kleine bedrijven?
In de regel niet. De wet geldt vanaf middelgrote organisaties: 50 fte of meer, of een jaaromzet én een balanstotaal van elk meer dan € 10 miljoen. Uitzonderingen zijn onder meer DNS-dienstverleners, aanbieders van openbare elektronische communicatie, overheidsorganisaties en organisaties die een minister aanwijst. Wel kunnen klanten die er onder vallen eisen aan u stellen als toeleverancier.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn (EU) 2022/2555. De Cyberbeveiligingswet is de Nederlandse wet die deze richtlijn uitvoert, samen met het Cyberbeveiligingsbesluit. Ze vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor veel meer sectoren en organisaties.
Moeten wij ISO 27001-gecertificeerd zijn?
Nee. De wet en het besluit schrijven geen certificaat voor. Een norm als ISO 27001 kan wel helpen om te laten zien hoe u de zorgplicht invult, en sommige klanten vragen erom.
Wij zijn nog niet geregistreerd. Wat nu?
Registratie is sinds 15 augustus 2026 verplicht voor organisaties die eronder vallen. Doe eerst de zelfevaluatie van de RDI, en registreer dan zo snel mogelijk via mijn.ncsc.nl. Zorg dat u eHerkenning op niveau EH2+ met de juiste machtiging heeft, en verzamel vooraf uw netwerkgegevens.
Kan Remarx zeggen of wij eronder vallen?
Wij lopen de criteria graag met u door, maar wij zijn geen juristen. Het oordeel komt uit de zelfevaluatie van de RDI, het ministerie van uw sector of uw jurist. Waar wij wel bij helpen: de maatregelen die de wet vraagt, aantoonbaar op orde brengen.
Van verplichting naar maatregel.
Security Assessment & pentest
Waar komt een aanvaller binnen? Een security assessment laat zien waar u kwetsbaar bent: technisch en organisatorisch.
Lees verderCISO as a Service
Security-regie op directieniveau. Een fulltime CISO kost al snel € 10.000 tot € 15.000 per maand, als u er al een vindt.
Lees verderManaged Detection & Response
Bewaking die ook echt ingrijpt. Een gekaapt account wordt binnen seconden tot minuten geblokkeerd, een besmette laptop geïsoleerd: automatisch, ook 's nachts.
Lees verderBronnen
Geraadpleegd op 16 oktober 2026.
- Cyberbeveiligingswet, geldend vanaf 15 augustus 2026 (artikelen 21, 24, 25 tot en met 29, 44, 80, 87 en 93) · wetten.overheid.nl
- Cyberbeveiligingsbesluit, geldend vanaf 15 augustus 2026 (artikelen 5 tot en met 22) · wetten.overheid.nl
- Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht (7 juli 2026) · Rijksoverheid
- Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)? · NCSC
- Registreer jouw organisatie voor de Cyberbeveiligingswet · NCSC
- Meld incidenten onder de Cyberbeveiligingswet (meldplicht) · NCSC
- De Cyberbeveiligingswet en toeleveranciers · NCSC
- NIS2-zelfevaluatie · Rijksinspectie Digitale Infrastructuur
- Richtlijn (EU) 2022/2555 (NIS2), bijlagen I en II en artikelen 32 en 33 · EUR-Lex
Deze pagina is een samenvatting in gewone taal en geen juridisch advies. Twijfelt u over uw situatie, raadpleeg dan de zelfevaluatie van de RDI, het ministerie dat verantwoordelijk is voor uw sector of uw jurist.
Kennismaken in twintig minuten.
U spreekt direct met een specialist die het vak kent. U vertelt wat er speelt, wij zeggen eerlijk of en hoe we kunnen helpen. Ook als het antwoord 'niet nodig' is.
Kies zelf een moment
Op werkdagen, via Teams of telefoon. U kiest een tijd in onze agenda en krijgt direct een bevestiging.
Bekijk de agenda Liever bellen? 085 060 9448 · Of stuur een bericht