Cyberbeveiligingswet: wat NIS2 in Nederland nu van je vraagt

NIS2 is in Nederland wet. De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden, samen met het bijbehorende uitvoeringsbesluit. Een algemene overgangstermijn was er niet. Sinds die datum moeten organisaties die onder de wet vallen geregistreerd zijn, aan de zorgplicht voldoen en significante incidenten binnen 24 uur melden.

Veel van wat hoog scoort op "NIS2 Nederland" is geschreven voordat de wet werd aangenomen en speculeert nog over datums. Dit artikel laat zien waar de Cbw nu staat, wie eronder valt, wat de zorgplicht en de meldplicht vragen, hoe toezicht en boetes werken en waarin de Nederlandse aanpak verschilt van de Belgische. Het sluit af met een 90-dagenplan voor een IT-team van een paar mensen in een middelgroot bedrijf.

Waar de Cyberbeveiligingswet nu staat

De Cbw is van kracht. De Tweede Kamer nam de wet aan op 15 april 2026, de Eerste Kamer op 7 juli 2026. De wet en het Cyberbeveiligingsbesluit (Cbb, de algemene maatregel van bestuur) verschenen in het Staatsblad als 2026, 187 en 2026, 189, en beide gelden vanaf 15 augustus 2026. De Cbw vervangt de oudere Wbni.

Bronnen: Staatsblad 2026, 187 en 189 (officielebekendmakingen.nl), Eerste Kamer dossier 36764, Europese Commissie.

Op "geen overgangstermijn" bestaan drie uitzonderingen die ertoe doen. Bestuurders krijgen twee jaar om de verplichte training af te ronden. Instellingen voor hoger onderwijs krijgen voor de zorgplicht 36 maanden na hun aanwijzing. Meldingen en besluiten onder de oude Wbni blijven gelden.

De start verliep traag. Van de ongeveer 8.000 organisaties die de overheid onder de wet verwacht, hadden er de dag voor de inwerkingtreding minder dan 3.000 zich geregistreerd, volgens NCSC-cijfers die Binnenlands Bestuur publiceerde. De RDI, de belangrijkste digitale toezichthouder, heeft aangekondigd het eerste jaar te gebruiken om zijn sectoren te leren kennen via brieven, vragenlijsten en kennismakingsgesprekken. Dat is tijd om je voor te bereiden, geen vrijstelling.

Wie onder de Cbw valt

De Cbw geldt voor middelgrote en grote organisaties in 18 sectoren, plus een aantal organisaties ongeacht hun omvang. Middelgroot betekent minstens 50 medewerkers, of een omzet en een balanstotaal die allebei boven €10 miljoen liggen. Grote organisaties in de sectoren met een hoge kriticiteit zijn essentiële entiteiten; de overige organisaties binnen de reikwijdte zijn belangrijke entiteiten.

De omvangstoets volgt de Europese definitie van kleine en middelgrote ondernemingen, en die telt verbonden en partnerondernemingen mee. Een bedrijf met 65 medewerkers dat eigendom is van een grotere groep kan dus als groot worden ingedeeld. Bekijk de groepsstructuur voordat je aanneemt dat je buiten de wet valt.

Bron: Cyberbeveiligingswet (Staatsblad 2026, 187), artikelen 8 en 12; EU-aanbeveling 2003/361/EG.

De derde rij is waar de meeste Nederlandse middelgrote bedrijven de wet als eerste zullen voelen. Entiteiten binnen de reikwijdte moeten de beveiliging van hun toeleveringsketen beheersen, en dat doen ze met vragenlijsten, contractclausules en auditrechten. Een softwareleverancier of logistiek bedrijf met 120 medewerkers kan juridisch buiten de wet vallen en toch multifactorauthenticatie, toegangsbeheer en een incidentproces moeten aantonen om een klant te houden. De gids over de NIS2-verplichtingen in de toeleveringsketen beschrijft wat zulke verzoeken meestal bevatten.

Registratieplicht

Organisaties binnen de reikwijdte moesten vanaf 15 augustus 2026 geregistreerd zijn, via MijnNCSC (mijn.ncsc.nl) met eHerkenning op niveau EH2+. De wet vraagt je naam, adres en contactgegevens, waaronder e-mailadressen, telefoonnummers en publieke IP-ranges, je sectoren en deelsectoren, en de EU-landen waar je diensten verleent. Het besluit voegt daar je KvK-nummer aan toe, of je een essentiële of een belangrijke entiteit bent, en je domeinnamen. Wijzigingen moet je binnen twee weken doorgeven.

De zorgplicht: wat je moet doen

De zorgplicht in artikel 21 van de Cbw vraagt passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor je netwerk- en informatiesystemen te beheersen. Het artikel noemt tien gebieden die elke organisatie binnen de reikwijdte moet afdekken. Het Cbb werkt ze verder uit.

1. Risicoanalyse en informatiebeveiligingsbeleid
2. Incidentbehandeling
3. Bedrijfscontinuïteit, back-upbeheer en crisisbeheer
4. Beveiliging van de toeleveringsketen
5. Beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief de behandeling van kwetsbaarheden
6. Beoordelen of de maatregelen werken
7. Basispraktijken voor cyberhygiëne en training
8. Cryptografie en versleuteling
9. Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen
10. Multifactorauthenticatie, beveiligde communicatie en noodcommunicatie

De Cbw schrijft geen enkele norm voor. ISO 27001, de BIO 2.0 voor de overheid en NEN 7510 voor de zorg kunnen allemaal als structuur dienen. De Auditdienst Rijk en NOREA, de Nederlandse beroepsorganisatie van IT-auditors, publiceerden een Cbw (NIS2) Control Framework dat deze normen koppelt aan de tien gebieden, inmiddels met een zorgmodule en een Engelstalige versie.

Een certificaat bewijst niet dat je aan de wet voldoet. De RDI zegt het letterlijk in zijn veelgestelde vragen: "Nee, het voldoen aan een eigen normenkader betekent niet dat een organisatie aan de zorgplicht voldoet." Op de pagina over toezicht staat daarnaast: "Ook mogen we ter plekke uw systemen inkijken."

Die tweede zin ontbreekt in de meeste Nederlandse uitleg. Overheidspagina's sommen de maatregelen op. Advocatenkantoren leggen de boetes uit. Geen van beide vertelt wat een inspecteur bekijkt wanneer die naast je beheerder gaat zitten. In de praktijk zijn de vragen concreet: komen de actieve toegangsrechten overeen met het huidige organigram, is multifactorauthenticatie overal afgedwongen waar dat moet, hoe maken beheerders en leveranciers op afstand verbinding, kan een gecompromitteerde laptop de servers bereiken, en zijn de logs er om te laten zien wat er gebeurd is. Het overzicht van NIS2-maatregelen en de bijbehorende technische controls loopt ze een voor een door.

De meldplicht

Onder de meldplicht meld je een significant incident in drie stappen via MijnNCSC: een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte bent, een incidentmelding binnen 72 uur en een eindverslag een maand na de incidentmelding. Eén melding bereikt zowel het CSIRT van je sector als je toezichthouder.

Bron: Cyberbeveiligingswet, artikelen 26 tot en met 29; NCSC, Meldplicht.

Wat als significant geldt, wordt per sector bepaald. Het Cbb laat elk verantwoordelijk ministerie drempels vastleggen in een ministeriële regeling, en er zijn er al verschillende gepubliceerd, onder meer voor economische zaken, overheid, zorg en infrastructuur. Voor de rijksoverheid geldt bijvoorbeeld een verstoring van de dienstverlening van vier uur of langer als significant. Zoek de regeling voor jouw sector op en neem de drempels op in je incidentprocedure.

Je IT-dienstverlener kan helpen bij de triage en het opstellen, maar de melding gaat op naam van jouw organisatie en de verantwoordelijkheid blijft bij jou. De gids over het melden van NIS2-incidenten bevat sjablonen voor elke stap.

Toezicht, boetes en de verantwoordelijkheid van het bestuur

Het toezicht is per sector verdeeld over bestaande toezichthouders. De RDI dekt de meeste digitale sectoren en de maakindustrie; de IGJ de zorg, de ILT vervoer, water en chemische stoffen, de NVWA levensmiddelen, en DNB en de AFM de financiële sector. Bestuurlijke boetes lopen voor essentiële entiteiten op tot €10 miljoen of 2% van de wereldwijde omzet, en bestuurders kunnen persoonlijk beboet worden.

Welke toezichthouder de jouwe is

Nederland koos voor een sectoraal model, gecoördineerd door de NCTV. De doorverwijsboom Cyberbeveiligingswet op ncsc.nl vertelt je welke toezichthouder en welk CSIRT voor jouw sector gelden.

• RDI (Rijksinspectie Digitale Infrastructuur): energie, digitale infrastructuur, beheer van ICT-diensten, overheid (behalve waterschappen), ruimtevaart, post- en koeriersdiensten, maakindustrie (behalve medische hulpmiddelen) en digitale aanbieders.
• IGJ: zorg en fabrikanten van medische hulpmiddelen.
• ILT: vervoer, drinkwater, afvalwater, afvalbeheer, chemische stoffen en waterschappen.
• NVWA: levensmiddelen.
• DNB en AFM: de financiële sector, waar DORA geldt.

Essentiële entiteiten krijgen proactief toezicht: inspecties en audits zonder dat er eerst een incident is geweest. Voor belangrijke entiteiten geldt vooral toezicht achteraf, in gang gezet door een incident, een melding of een tip. Zodra een onderzoek loopt, zijn de bevoegdheden dezelfde.

Boetes

Bron: Cyberbeveiligingswet, Staatsblad 2026, 187.

De eigen verplichtingen van het bestuur

Artikel 24 legt cybersecurity bij het leidinggevend orgaan. Het bestuur keurt de maatregelen voor risicobeheer goed, ziet toe op de uitvoering en kan erop aangesproken worden. Bestuurders moeten binnen twee jaar na de inwerkingtreding over voldoende kennis en vaardigheden beschikken, aangetoond met een trainingscertificaat: uiterlijk 15 augustus 2028, of twee jaar na hun benoeming voor latere bestuurders. De training hoeft van bestuurders geen technici te maken. Ze moet hen in staat stellen risico's te beoordelen, en de maatregelen die hun worden voorgelegd.

Nederland tegenover België

België zette NIS2 op tijd om, met één nationaal kader en een certificeringsroute. Nederland deed het bijna twee jaar te laat, met sectorale toezichthouders en zonder voorgeschreven kader. Voor bedrijven die in beide landen actief zijn, overlappen de verplichtingen, maar het bewijs dat elke toezichthouder verwacht verschilt.

Bronnen: Staatsblad 2026, 187 en 189; NCSC; Belgisch Staatsblad van 17 mei 2024; CCB.

Het praktische verschil zit in de vraag die je moet beantwoorden. In België is dat "welk CyFun-niveau, en zijn we op tijd gecertificeerd", uitgewerkt in CyFun Essential en de mijlpaal van 2027. In Nederland is het "kunnen we een inspecteur laten zien dat deze maatregelen echt draaien". Een bedrijf in beide landen kan voor allebei één set controls gebruiken, en daar helpt CyFun versus ISO 27001. Over de handhaving in België lees je meer in hoe NIS2-boetes in België eruitzien.

Wat je de komende 90 dagen doet

Een team van drie tot tien mensen bouwt in drie maanden geen volledig programma. Het kan wel de gaten dichten die een toezichthouder of klant als eerste ziet.

1. Week 1 tot 2: reikwijdte en registratie. Bevestig je indeling, inclusief groepsmaatschappijen. Registreer je in MijnNCSC als je dat nog niet gedaan hebt, en zoek je toezichthouder en CSIRT op in de doorverwijsboom.
2. Week 2 tot 4: klaar voor incidenten. Zoek de ministeriële regeling voor jouw sector op, neem de drempels op in een incidentprocedure en leg vast wie de vroegtijdige waarschuwing binnen 24 uur indient, ook in het weekend.
3. Week 3 tot 8: toegang. Dwing multifactorauthenticatie af op elk toegangspunt voor werken op afstand en beheer. Controleer wie toegang heeft tot wat, en schrap wat niet overeenkomt met het organigram. Vervang brede netwerktoegang voor medewerkers en leveranciers door toegang per applicatie.
4. Week 6 tot 10: bewijs. Zorg dat toegang, authenticatie en beheerhandelingen centraal gelogd worden met betrouwbare tijdstempels, en dat je die logs kunt terugvinden.
5. Week 8 tot 12: leveranciers en bestuur. Deel je leveranciers in naar de toegang die ze hebben, begin bij wie op afstand bij je systemen kan, en zet de bestuurstraining ruim voor augustus 2028 in de agenda.

Het NIS2-plan voor IT-teams in middelgrote bedrijven beschrijft het langere programma zodra deze basis staat.

Waar technologie helpt, en waar niet

Zes van de tien gebieden gaan over governance, mensen en processen: risicoanalyse, continuïteit, leveranciersbeheer, beoordeling, training en de verantwoordelijkheid van het bestuur. Geen enkel product doet dat voor je. Een tool die belooft je Cbw-compliant te maken, verkoopt een document.

Technologie telt voor de maatregelen die een inspecteur op het scherm test: toegangsbeheer, multifactorauthenticatie, netwerkscheiding, veilige toegang op afstand voor medewerkers en leveranciers, en de logs die dat allemaal aantonen. Dat zijn ook de maatregelen die in netwerken van middelgrote bedrijven het vaakst tekortschieten, omdat die netwerken gegroeid zijn rond een VPN die elke gebruiker het hele netwerk geeft.

Dit is het deel dat een platform eenvoudiger kan maken. Jimber is een Europees SASE-platform dat zero trust network access en netwerkisolatie combineert met webbeveiliging en firewalling, met gegevensverwerking binnen de EU. Medewerkers en leveranciers krijgen toegang tot specifieke applicaties in plaats van tot het netwerk, en het platform legt vast wie waar bij kwam. Dat helpt bij verschillende technische maatregelen en bij het bewijs ervoor. Het vervangt je risicoanalyse, je incidentprocedure of de beslissingen van je bestuur niet. Wil je zien hoe dat er voor jouw netwerk uitziet, plan dan een demo.

IT-dienstverleners die Nederlandse klanten adviseren over de Cbw, kunnen ook kijken naar het partnerprogramma van Jimber.

De blik van de sceptische directeur

Een Nederlandse directeur met een beperkt budget zal drie terechte bezwaren opwerpen.

"De toezichthouders kunnen geen 8.000 organisaties inspecteren." Klopt, en de RDI heeft gezegd dat het eerste jaar draait om het leren kennen van de sectoren. Voor een belangrijke entiteit is een onaangekondigde inspectie niet waarschijnlijk. Maar toezicht op belangrijke entiteiten start bij incidenten, en de melding binnen 24 uur is precies wat het in gang zet. Na een ransomware-incident gaan de eerste vragen over multifactorauthenticatie, toegang op afstand en segmentatie. Op dat moment worden ontbrekende maatregelen boetes.

"Onze klanten sturen vragenlijsten, maar ze kopen op prijs." Soms, voorlopig. Maar het bestuur van de klant draagt zelf de plicht voor ketenbeveiliging en kan daarvoor beboet worden, dus inkoopteams maken van beveiligingsantwoorden toelatingscriteria. Een leverancier die geen basiscontrols kan aantonen, loopt het risico van de shortlist te vallen voordat de prijs ter sprake komt.

"We draaien op Microsoft 365 en Entra ID; dat is veilig." Het platform is veilig; je configuratie is jouw verantwoordelijkheid. Wie beheerrechten heeft, hoe leveranciers verbinding maken, of een gestolen sessie meer dan één applicatie bereikt: dat zijn instellingen van de klant, en precies daar kijkt een inspecteur naar. De cloud helpt veel. Hij vinkt het vakje niet vanzelf aan.

Conclusie

De Cyberbeveiligingswet geldt sinds 15 augustus 2026. De registratieplicht, de zorgplicht en de meldplicht met de termijn van 24 uur gelden nu; voor de bestuurstraining loopt de termijn tot augustus 2028. Anders dan België geeft Nederland je geen kader om je tegen te certificeren. De toezichthouder wil zien dat de maatregelen draaien, en je klanten willen steeds vaker hetzelfde.

Begin met reikwijdte, registratie en incidentparaatheid, en pak daarna toegang en bewijs aan. Wil je bespreken hoe je toegangsbeheer en netwerkisolatie in de praktijk aantoont, plan dan een demo. Test je het liever eerst zelf, probeer het gratis.

Veelgestelde vragen

Wanneer is de Cyberbeveiligingswet in werking getreden?

Op 15 augustus 2026, samen met het Cyberbeveiligingsbesluit. Er is geen algemene overgangstermijn: de registratieplicht, de zorgplicht en de meldplicht gelden vanaf die datum. Bestuurders hebben tot 15 augustus 2028 om de verplichte training af te ronden.

Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?

NIS2 is een Europese richtlijn (2022/2555) die lidstaten in nationale wetgeving moeten omzetten. De Cyberbeveiligingswet is de Nederlandse wet die dat doet. Ze vervangt de Wbni en regelt de Nederlandse details, zoals de toezichthouders, de boetes en de registratie via MijnNCSC.

Wie valt onder de Cyberbeveiligingswet?

Middelgrote en grote organisaties in 18 sectoren, in totaal ongeveer 8.000. Middelgroot betekent minstens 50 medewerkers, of een omzet en een balanstotaal die allebei boven €10 miljoen liggen, groepsmaatschappijen meegerekend. Sommige organisaties, zoals DNS-dienstverleners en gekwalificeerde verleners van vertrouwensdiensten, vallen eronder ongeacht hun omvang.

Wat vraagt de zorgplicht?

Passende en evenredige maatregelen op tien gebieden: risicoanalyse, incidentbehandeling, continuïteit, beveiliging van de toeleveringsketen, veilige ontwikkeling en behandeling van kwetsbaarheden, toetsing van de effectiviteit, cyberhygiëne en training, cryptografie, toegangsbeleid en beheer van bedrijfsmiddelen, en multifactorauthenticatie met beveiligde communicatie.

Hoe snel moet je een incident melden onder de Cbw?

Voor een significant incident doe je een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte bent, een incidentmelding binnen 72 uur en een eindverslag een maand na de incidentmelding, allemaal via MijnNCSC. Welke incidenten als significant gelden, staat per sector in ministeriële regelingen.

Hoe hoog zijn de boetes onder de Cyberbeveiligingswet?

Tot €10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten, bij overtreding van de zorgplicht of de meldplicht. Op andere overtredingen staat een bestuurlijke boete tot €1 miljoen. Bestuurders kunnen persoonlijk een boete tot €25.000 krijgen.

Is een ISO 27001-certificering genoeg om aan de Cbw te voldoen?

Nee. De RDI stelt dat voldoen aan een eigen normenkader niet betekent dat je aan de zorgplicht voldoet. ISO 27001 is een bruikbare structuur, maar toezichthouders mogen je systemen ter plekke inkijken en zullen bekijken hoe de maatregelen in de praktijk werken.

Waar registreren we ons voor de Cyberbeveiligingswet?

In MijnNCSC (mijn.ncsc.nl), met eHerkenning op niveau EH2+ gekoppeld aan je KvK-inschrijving. Je geeft contactgegevens, publieke IP-ranges, domeinnamen, sectoren en de EU-landen waar je actief bent op, en meldt wijzigingen binnen twee weken.

Kan onze IT-dienstverlener de meldplicht overnemen?

Die kan helpen bij de triage van het incident en bij het opstellen van de meldingen, maar de melding gaat op naam van je organisatie en de juridische verantwoordelijkheid blijft bij je bestuur. Spreek vooraf af wie wat doet binnen de termijn van 24 uur.

Waarin verschilt de Nederlandse aanpak van de Belgische?

België heeft één nationale autoriteit, het CCB, en een certificeringsroute via CyFun of ISO 27001. Nederland werkt met sectorale toezichthouders, schrijft geen kader voor en inspecteert hoe maatregelen werken. Bedrijven in beide landen registreren en melden in beide systemen.