Sinds 15 augustus 2026 is de Cyberbeveiligingswet in Nederland van kracht. Daarmee zijn cyberbeveiligingsmaatregelen en meldplichten voor duizenden organisaties geen keuze meer, maar een bindende wettelijke eis.
Onze FAQ is een neutraal kennisgedeelte dat u wegwijs maakt in de regelgeving. Wij hebben de complexe eisen van de Europese richtlijn vertaald naar praktische antwoorden, zodat u zich kunt richten op wat telt: de weerbaarheid van uw organisatie.
NIS2 (richtlijn (EU) 2022/2555) is het herziene Europese kader voor cyberbeveiliging in kritieke sectoren. Zij vervangt de NIS-richtlijn uit 2016 en verbreedt zowel de kring van organisaties als de inhoudelijke eisen aanzienlijk. In Nederland is de Cyberbeveiligingswet (Cbw) op 15 augustus 2026 in werking getreden – naar schatting 8.000 organisaties in 18 sectoren vallen eronder.
De richtlijn verplicht organisaties tot twee kerngebieden: ten eerste tot concrete risicobeheersmaatregelen op grond van art. 21 (waaronder incidentafhandeling, ketenbeveiliging, MFA en bedrijfscontinuïteit) en ten tweede tot een getrapte meldplicht op grond van art. 23 – een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindverslag na één maand.
Het bijzondere ten opzichte van NIS1: de verantwoordelijkheid ligt uitdrukkelijk bij het bestuur – bestuurders kunnen voor verzuim persoonlijk aansprakelijk worden gesteld. Boetes voor essentiële entiteiten lopen op tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet.
Doorgaans vallen middelgrote en grote organisaties eronder wanneer zij actief zijn in een van de 18 NIS2-sectoren. Als middelgrote onderneming geldt wie ten minste 50 medewerkers heeft of ten minste 10 miljoen euro jaaromzet behaalt. Als grote onderneming geldt wie ten minste 250 medewerkers heeft of ten minste 50 miljoen euro omzet behaalt bij meer dan 43 miljoen euro balanstotaal.
Daarnaast zijn er entiteiten die ongeacht hun omvang onder NIS2 vallen – bijvoorbeeld gekwalificeerde vertrouwensdienstverleners, registers voor topleveldomeinnamen, aanbieders van DNS-resolvers en openbare communicatienetwerken. In Nederland vallen bovendien de gehele overheid, inclusief gemeenten en waterschappen, en universiteiten en hogescholen onder de wet.
Voor concernstructuren geldt: dochterondernemingen worden in de regel zelfstandig beoordeeld. Een houdbare inschaling vergt: (1) toetsing aan de sectoren, (2) de omvangs- en concernlogica, (3) de nationale bijzondere regels. Het NCSC stelt een kosteloze zelfcheck beschikbaar. De registratieplicht in het entiteitenregister geldt sinds 15 augustus 2026.
NIS2 bestrijkt in totaal 18 sectoren, verdeeld over twee bijlagen met verschillende toezichtregimes.
Bijlage I (11 sectoren, hoog kritiek belang): energie (elektriciteit, stadsverwarming en -koeling, olie, gas, waterstof), transport (lucht, spoor, water, weg), bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur (bijvoorbeeld IXP, DNS, TLD, cloud, datacentra, CDN, vertrouwensdiensten, telecommunicatie), ICT-servicebeheer B2B (met name MSP's en MSSP's), openbaar bestuur en ruimtevaart.
Bijlage II (7 sectoren, andere kritieke sectoren): post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, de verwerkende industrie (onder meer medische hulpmiddelen, computers en elektronica, machinebouw, motorvoertuigen), digitale aanbieders (onlinemarktplaatsen, zoekmachines, sociale netwerken) en onderzoeksinstellingen.
Entiteiten uit bijlage I staan onder strenger toezicht en kennen hogere boetemaxima. In Nederland vallen daarnaast de gehele overheid, waaronder gemeenten en waterschappen, en universiteiten en hogescholen onder de wet. Voor bepaalde aanbieders van digitale infrastructuur geldt NIS2 ongeacht de bedrijfsomvang. De sector alleen is niet doorslaggevend – omvangsdrempels en bijzondere regels moeten altijd afzonderlijk worden getoetst.
NIS2 deelt organisaties in twee categorieën in die verschillen in boetemaximum en in de intensiteit van het toezicht.
Essentiële entiteiten zijn in de regel grote ondernemingen vanaf 250 medewerkers (of vanaf 50 miljoen euro jaaromzet en meer dan 43 miljoen euro balanstotaal) in sectoren uit bijlage I, plus bepaalde entiteiten ongeacht hun omvang – bijvoorbeeld gekwalificeerde vertrouwensdienstverleners, registers voor topleveldomeinnamen en aanbieders van DNS-resolvers. Voor hen geldt proactief toezicht: de bevoegde toezichthouder kan op elk moment controles en bewijsstukken verlangen.
Belangrijke entiteiten zijn doorgaans middelgrote ondernemingen (50–249 medewerkers of 10–50 miljoen euro omzet) in sectoren uit bijlage I en grote ondernemingen in sectoren uit bijlage II. Voor hen geldt reactief toezicht – de toezichthouder treedt in de regel pas op bij concrete aanwijzingen van overtredingen. Het toezicht is in Nederland per sector verdeeld over onder meer de RDI, de ILT, DNB, de AFM, de IGJ, de NVWA, de ANVS en de Inspectie van het Onderwijs.
Boetemaxima: essentiële entiteiten tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet; belangrijke entiteiten tot 7 miljoen euro of 1,4 %. Steeds geldt het hoogste bedrag.
Voor organisaties met ongeveer 50 tot 500 medewerkers is de eerste vraag: vallen wij door onze activiteit of branche in een NIS2-sector en voldoen wij aan de omvangslogica? De kritieke drempels: middelgrote ondernemingen vanaf 50 medewerkers of vanaf 10 miljoen euro omzet; grote ondernemingen vanaf 250 medewerkers of vanaf 50 miljoen euro omzet.
Een pragmatische werkwijze: (1) leg de activiteiten en aangeboden diensten naast de NIS2-sectoren, (2) toets de omvang en zo nodig de concern- of groepslogica – dochterondernemingen moeten in de regel zelfstandig worden beoordeeld, (3) ga na of de organisatie als kritieke digitale dienst of ICT-dienstverlener dan wel als schakel in een kritieke waardeketen in beeld komt, (4) leg de uitkomst intern vast (datum, aannames, bronnen).
Het NCSC stelt een kosteloze zelfcheck beschikbaar; die geeft een eerste indicatie, maar vervangt de juridisch bindende zelfinschaling niet. Aanbeveling: leg de uitkomst schriftelijk vast en toets haar jaarlijks op actualiteit. Wie zich nog niet in het entiteitenregister heeft geregistreerd, doet dat zonder uitstel.
De kern bestaat uit drie onlosmakelijke onderdelen:
Zonder governance geen prioriteiten, zonder maatregelen geen weerbaarheid, zonder melding geen tijdige afhandeling van incidenten.
Art. 21 NIS2 benoemt tien minimumgebieden voor risicobeheersmaatregelen, die evenredig aan het risico en aan de omvang van de organisatie moeten worden uitgevoerd:
Het sleutelbegrip is evenredigheid: de vereiste diepgang hangt af van het risico, de omvang van de organisatie en de mogelijke gevolgen van uitval. Vertrekpunt is altijd een vastgelegde risicoanalyse – die bepaalt welke gebieden direct moeten worden aangepakt en waar een stapsgewijze opbouw verdedigbaar is. Meestal beginnen organisaties met drie prioriteiten: een vastgelegde risicoanalyse, een beproefd incidentproces en een aantoonbaar werkend herstel vanaf back-up. Die gebieden vormen de basis en geven bij echte incidenten het vaakst de doorslag.
NIS2 schrijft geen ISO 27001-certificering voor, maar verlangt passende en evenredige beveiligingsmaatregelen. Organisaties kunnen zich richten naar erkende standaarden zoals ISO 27001, de Duitse IT-Grundschutz-standaard, SOC 2 of het NIST CSF – een certificeringsplicht bestaat niet.
In de praktijk kan een ISO 27001-certificering wel nuttig zijn: zij structureert het implementatietraject, levert een auditbaar bewijsstuk en vergemakkelijkt de communicatie met klanten, leveranciers en toezichthouders.
Doorslaggevend is de werkelijke doeltreffendheid van de maatregelen en een functionerende governance – niet het certificaat. Organisaties die al ISO 27001-gecertificeerd zijn, hebben een goed vertrekpunt, maar moeten nagaan of de NIS2-specifieke eisen – met name meldtermijnen en ketenbeveiliging – volledig zijn afgedekt. Wie nog niet gecertificeerd is, begint pragmatisch en plant certificering als doel op middellange termijn. Een vastgelegde onderbouwing van die keuze vergroot de auditbaarheid aanzienlijk.
NIS2 verlangt passende, evenredige maatregelen. Dat betekent: het risico, de omvang van de organisatie, de kans op een incident en de mogelijke schade bepalen hoe diep en hoe breed maatregelen worden uitgevoerd.
In de praktijk is evenredigheid vooral een documentatie- en besluitvormingslogica: waarom geven wij X voorrang boven Y, welke risico's aanvaarden wij tijdelijk en welke moeten onmiddellijk worden gemitigeerd.
Een voorbeeld: een organisatie met 60 medewerkers en een overzichtelijke IT hoeft niet dezelfde diepgang te bereiken als een concern met kritieke infrastructuur – maar moet dezelfde gebieden wel in de basis adresseren. Doorslaggevend is dat elke prioritering berust op een vastgelegde risicobeoordeling en navolgbaar is onderbouwd. Bij een controle toetst de bevoegde toezichthouder niet of elke denkbare maatregel is getroffen, maar of de gemaakte keuzes risicogericht, vastgelegd en doeltreffend zijn. Een heldere onderbouwing van de evenredigheid is daarmee zelf een centraal bewijs van auditbaarheid.
Een incident geldt onder NIS2 als significant wanneer het ernstige verstoringen van de bedrijfsvoering veroorzaakt of kan veroorzaken, aanzienlijke financiële verliezen tot gevolg heeft of andere personen en organisaties aanzienlijke schade toebrengt. Doorslaggevend is niet alleen een datalek, maar het effect op de beschikbaarheid, integriteit of vertrouwelijkheid van de dienstverlening.
De Europese uitvoeringsverordening 2024/2690 werkt voor bepaalde sectoren aanvullende criteria uit – bijvoorbeeld het aantal getroffen gebruikers, de duur van de uitval en de geografische reikwijdte van het incident.
In de praktijk moeten organisaties een interne classificatielogica ontwikkelen: wie besluit of een incident meldplichtig is? Op grond van welke criteria? Dat besluit moet vóór het incident zijn genomen – de termijn van 24 uur begint namelijk te lopen op het moment van kennisname en niet pas na intern uitzoekwerk. Een beproefd hulpmiddel is een vooraf vastgelegde drempeltabel met voorbeeldscenario's en heldere beslispaden. Die tabel wordt ten minste jaarlijks op actualiteit getoetst.
NIS2 schrijft voor significante incidenten een getrapt meldproces voor. In Nederland loopt de melding via het NCSC (Nationaal Cyber Security Centrum), het aangewezen CSIRT, terwijl het toezicht bij de sectorale toezichthouder ligt. De termijnen lopen vanaf het moment waarop de organisatie kennis krijgt van het incident:
Voorwaarde voor het halen van de termijnen is voorbereiding: wie rollen, escalatiepaden en minimale sjablonen niet vooraf vastlegt, haalt de termijnen in het echt nauwelijks. Meldingen dient u in Nederland in bij het NCSC; zorg dat de toegang tot mijn.ncsc.nl en het meldproces al tijdens de normale bedrijfsvoering zijn ingericht.
De vroegtijdige waarschuwing is niet het uitgewerkte eindverslag. Zij moet de bevoegde instantie vroeg signaleren dat zich een significant incident kan voordoen, met een aanwijzing van mogelijke oorzaken en van mogelijke grensoverschrijdende gevolgen.
In de praktijk helpt een voorbereid minimaal sjabloon: tijdstip en ontdekking, getroffen diensten, eerste gevolgen, eerste hypothese, contactpersoon en het moment van de volgende update.
Het eindverslag (uiterlijk na één maand) bevat:
Dat vraagt erom dat tijdens het incident een logboek wordt bijgehouden, anders is het achteraf moeilijk te reconstrueren.
NIS2 en de AVG zijn twee zelfstandige regelingen met verschillende beschermingsdoelen die bij een incident tegelijk kunnen gelden. De AVG beschermt persoonsgegevens en verlangt een melding bij de Autoriteit Persoonsgegevens binnen 72 uur. NIS2 richt zich op de beschikbaarheid en integriteit van systemen en verlangt al een vroegtijdige waarschuwing binnen 24 uur.
Bij een ransomware-aanval die systemen platlegt en gegevens laat weglekken, lopen beide meldplichten parallel – met verschillende termijnen en bij verschillende instanties. NIS2 gaat ervan uit dat de toezichthouders en de privacytoezichthouder samenwerken wanneer een incident beide terreinen raakt.
In de praktijk: het incidentresponsproces moet vanaf het eerste moment toetsen of de AVG-meldplicht gelijktijdig wordt geraakt, zodat beide meldroutes en termijnen gelijk oplopen. Aanbeveling: leg in het incidentlogboek vast welke meldplichten zijn getoetst en welke besluiten met welke onderbouwing zijn genomen. Zo is sluitend aan te tonen dat alle termijnen zijn gehaald.
Ketenbeveiliging onder NIS2 (art. 21 lid 2 onder d) betekent dat entiteiten de cyberrisico's van hun directe leveranciers en dienstverleners stelselmatig moeten beoordelen en beheersen – niet eenmalig, maar als herhaalbaar proces. Daarbij hoort ten minste:
Bijzonder van belang: wordt een kritieke leverancier zelf slachtoffer van een aanval, dan moet uw eigen organisatie kunnen inschatten of daaruit een eigen meldplicht voortvloeit. In de praktijk beginnen de meeste organisaties met een kritiekheidslijst van hun tien belangrijkste leveranciers. Voor leveranciers met een hoog risico is daarnaast een audit ter plaatse of een uitgebreidere vragenlijst aan te raden.
NIS2 noemt veilige inkoop, ontwikkeling en onderhoud, inclusief de omgang met kwetsbaarheden en de behandeling en openbaarmaking daarvan. In de praktijk omvat dat:
Zonder die structuur ontstaan achterstanden die het audit- en incidentrisico vergroten.
NIS2 verankert cyberbeveiliging uitdrukkelijk op bestuursniveau: op grond van art. 20 NIS2 moeten bestuursorganen – directie, raad van bestuur of vergelijkbare organen – de cyberbeveiligingsmaatregelen goedkeuren en toezien op de uitvoering ervan, en kunnen zij bij verzuim persoonlijk aansprakelijk worden gesteld. Dat is een kernvernieuwing ten opzichte van NIS1.
Concreet betekent dat drie verplichtingen voor het bestuur:
Voor het mkb betekent dat: de directie moet NIS2 actief in de bedrijfsvoering opnemen. Louter delegeren aan de IT-afdeling zonder eigen betrokkenheid bij de governance beschermt niet tegen persoonlijke aansprakelijkheid. Aanbeveling: voer een jaarlijkse bestuursevaluatie in waarin wordt vastgelegd dat maatregelen zijn goedgekeurd, uitgevoerd en getoetst. Dat verslag dient bij een controle als bewijs van de bestuursplicht. In Nederland riskeren bestuurders die de scholingsplicht niet nakomen bovendien een boete van ten hoogste 25.000 euro, na een overgangsperiode van twee jaar.
Voor overtreding van de NIS2-verplichtingen kent de richtlijn bindende minimale boetemaxima waar lidstaten niet onder mogen blijven. In Nederland zet de Cyberbeveiligingswet die kaders om. De richtlijn noemt als minimum:
Steeds geldt het hoogste bedrag. Boetes zijn echter niet het enige instrument: bij ernstige overtredingen door een essentiële entiteit kan de toezichthouder ook een leidinggevende tijdelijk verbieden die functie uit te oefenen.
Daar komt de persoonlijke bestuurdersaansprakelijkheid op grond van art. 20 NIS2: bestuursorganen moeten de cyberbeveiligingsmaatregelen goedkeuren en op de uitvoering toezien – bij aangetoond verzuim kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Nederland kent daarnaast een boete van ten hoogste 25.000 euro voor bestuurders die de scholingsplicht niet nakomen, na een overgangsperiode van twee jaar. De uiteindelijke hoogte van een sanctie hangt af van de ernst en de duur van de overtreding en van de bereidheid tot medewerking. Toezichthouders kunnen bovendien gelasten dat een entiteit het publiek over een overtreding informeert wanneer dat in het algemeen belang is.
NIS2 is niet alleen een IT-opgave, maar vraagt heldere governance. Voor het mkb werkt een minimaal rollenmodel:
Leg de verantwoordelijkheden schriftelijk vast en maak de escalatie duidelijk – pas daarna rolt u maatregelen uit.
NIS2 wordt verder ingevuld door richtsnoeren, nationale uitleg en voorstellen tot aanpassing. Goede praktijk is daarom:
Een datum van de laatste actualisering en korte wijzigingsnotities vergroten de transparantie richting toezichthouders en auditors.
Excel kan het mkb aan het begin helpen (inventaris, maatregelenlijst, verantwoordelijkheden) – maar NIS2 vraagt meer dan een lijst: herhaalbare processen, melden binnen de termijn, beheersing van de keten en bewijs van doeltreffendheid.
Uiterlijk zodra u meerdere locaties, veel systemen of frequente wijzigingen hebt, wordt Excel lastig: versiechaos, ontbrekend auditspoor, onduidelijk eigenaarschap, handmatige herinneringen, broos bewijs.
Aanbeveling: begin pragmatisch, maar bepaal vroeg een streefbeeld, zodat u niet vastloopt in losse eilandoplossingen.
De Cyberbeveiligingswet (Cbw, Stb. 2026, 187), waarmee Nederland de NIS2-richtlijn omzet, is op 15 augustus 2026 in werking getreden. Zij vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Daarmee gelden bindende eisen, onder meer de zorgplicht en de meldplicht, uitgewerkt in het Cyberbeveiligingsbesluit en in sectorale ministeriële regelingen.
Vanaf de inwerkingtreding geldt ook de registratieplicht: entiteiten schrijven zich in het entiteitenregister in sinds 15 augustus 2026. Die plicht loopt dus nu.
Belangrijk: de NIS2-verplichtingen gelden ongeacht of u zich al hebt geregistreerd. Organisaties die zich nog niet in het entiteitenregister hebben geregistreerd, doen dat zonder uitstel alsnog – de registratie verloopt via mijn.ncsc.nl, waar u inlogt met eHerkenning, en wijzigingen geeft u binnen veertien dagen door. Wie niet geregistreerd staat, ontkomt daarmee niet aan de meldplicht bij significante incidenten en evenmin aan de persoonlijke verantwoordelijkheid van bestuursorganen. Naarmate de uitvoering vordert, neemt bovendien de toezichtactiviteit toe van de sectorale toezichthouders – snel registreren en de minimale maatregelen opbouwen is daarom dringend aan te raden.
Eerst: bevestig of de wet op u van toepassing is. Valt de organisatie naar sector en omvang onder NIS2? Het NCSC stelt daarvoor een kosteloze online zelfcheck beschikbaar. Is dat bevestigd, dan is aan te raden te beginnen met een pragmatische start in vijf stappen:
Deze vijf stappen leveren een werkbare basis op voordat de volledige opbouw van maatregelen volgens art. 21 begint. Tijdpad: de toets op toepasselijkheid en de registratie horen in de eerste vier weken rond te zijn; stap 4 en 5 kunnen parallel in week 2 tot 8 lopen. Werk daarnaast de eerste risicoanalyse uit – die vormt de grondslag voor alle verdere maatregelen volgens art. 21.
De registratie verloopt in twee stappen: eerst inloggen bij mijn.ncsc.nl met eHerkenning als identiteitsmiddel, daarna volgt de eigenlijke registratie in het entiteitenregister.
Houd rekening met voorbereidingstijd: voor het inloggen is in de regel eHerkenning op het juiste betrouwbaarheidsniveau nodig – aanvragen en verkrijgen kost extra tijd.
In het register legt u de basisgegevens, de inschaling en gegevens over de entiteit en de contactgegevens vast. Bepaal intern wie het register beheert en wie als contactpunt optreedt. Wijzigingen geeft u binnen veertien dagen door.
Het NCSC stelt een stapsgewijze uitleg beschikbaar.
Registratie: De registratieplicht geldt sinds de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 – registratie in het entiteitenregister hoort zonder uitstel te gebeuren; wijzigingen geeft u binnen veertien dagen door.
Incidentmeldingen (getrapt):
Termijnen zijn alleen haalbaar wanneer rollen, communicatiepaden en minimale sjablonen vooraf zijn vastgelegd.
Officiële instanties noemen geen vaste bedragen, omdat NIS2 risicogericht en evenredig moet worden uitgevoerd. Typische kostenposten in het mkb:
Belangrijk: officiële richtbedragen of een vast subsidiekader zijn er niet. Ga uit van een eigen budget en plan de inspanning in golven: eerst de minimale capaciteiten, daarna stapsgewijs een hoger volwassenheidsniveau.
Drie bijzonder nuttige officiële routes:
Tip: leg intern een NIS2-bronnenlijst aan (pagina's van het NCSC, de wettekst, publicaties van uw toezichthouder) en loop die elk kwartaal na.
Van de eerste inventarisatie tot het borgen van uw toeleveringsketen – gestructureerd en realistisch.
59 vakbegrippen over NIS2, de AVG en cyberbeveiliging – helder uitgelegd en op één plek gebundeld.
Compliance Compass automatiseert alle NIS2-verplichtingen – van risicoanalyse tot meldplicht. Binnen 4–8 weken compliant.