Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking. Vanaf die datum gelden nieuwe verplichtingen voor ruim 8.000 Nederlandse organisaties. Toch valt niet iedere onderneming automatisch onder de wet. Of de Cyberbeveiligingswet rechtstreeks op jouw organisatie van toepassing is, hangt vooral af van de sector, de concrete dienst die je verleent, de omvang van de onderneming en enkele uitzonderingen.
Je moet die beoordeling in veel gevallen zelf maken. Wachten op een persoonlijke brief of aanwijzing is daarom geen verstandige strategie. Ook wanneer je buiten de directe reikwijdte valt, kunnen klanten beveiligingseisen aan je stellen omdat zij hun eigen ketenrisico’s moeten beheersen.
Na het lezen kun je bepalen of je rechtstreeks onder de wet valt, vooral via klanten wordt geraakt of waarschijnlijk buiten de wettelijke reikwijdte blijft.
De Nederlandse uitwerking van NIS2
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. Zij vervangt bij de inwerkingtreding de huidige Wet beveiliging netwerk- en informatiesystemen, de Wbni.
NIS2 bepaalt het Europese kader. Voor Nederlandse organisaties zijn uiteindelijk de Cyberbeveiligingswet, het Cyberbeveiligingsbesluit en eventuele sectorspecifieke regels bepalend. De relevante vraag is daarom niet meer wat NIS2 in algemene zin betekent, maar wat de Nederlandse wet vanaf 15 augustus 2026 van jouw organisatie verlangt.
Val je onder de Cyberbeveiligingswet? Doorloop vier controles
Controle 1: valt je activiteit binnen een aangewezen sector?
De wet bestrijkt achttien sectoren, verdeeld over twee bijlagen.
| Bijlage 1: hoogkritieke sectoren | Bijlage 2: andere kritieke sectoren |
| Energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten voor zakelijke klanten, overheid en ruimtevaart | Post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, bepaalde vormen van vervaardiging, digitale aanbieders en onderzoek |
Een branchebenaming is niet voldoende. Een softwarebedrijf valt bijvoorbeeld niet automatisch onder de wet omdat het actief is in de IT-sector. De concrete dienst is bepalend. Denk aan cloudcomputingdiensten, datacentrumdiensten, beheerde diensten of beheerde beveiligingsdiensten.
Ook binnen andere sectoren gelden specifieke definities. Een organisatie kan actief zijn in de zorg of levensmiddelenindustrie zonder automatisch een soort entiteit te zijn die in de wettelijke bijlagen wordt genoemd. Kijk daarom niet alleen naar je sector, maar ook naar de dienst of activiteit die je daadwerkelijk uitvoert.
Controle 2: welke juridische entiteit verleent de dienst?
Veel organisaties bestaan uit meerdere bv’s, bedrijfsonderdelen of vestigingen. De toepasselijkheid wordt niet alleen op basis van een handelsnaam of concernnaam beoordeeld. Je moet vaststellen welke juridische entiteit de aangewezen dienst daadwerkelijk verleent.
Daarbij zijn onder meer de contractpartij, de uitgevoerde activiteit, de vestigingsplaats en de relatie met andere ondernemingen relevant. Een afzonderlijke bv kan klein lijken, terwijl zij voor de omvangstoets door haar relatie met andere groepsmaatschappijen toch als een grotere onderneming telt.
Bij een eenvoudige organisatiestructuur is dit meestal goed vast te stellen. De beoordeling wordt ingewikkelder wanneer diensten over meerdere entiteiten of landen zijn verdeeld. Gebruik in dat geval de officiële zelfevaluatie en de handreiking voor complexe bedrijfsmodellen van het NCSC.
Controle 3: voldoet de organisatie aan de omvangscriteria?
De Cyberbeveiligingswet sluit voor de omvangsbepaling aan bij de Europese definitie van kleine en middelgrote ondernemingen. Daarbij tellen het aantal werkzame personen, de jaaromzet en het balanstotaal mee.
| Categorie | Criteria in hoofdlijnen |
| Kleine onderneming | Minder dan 50 werkzame personen en maximaal €10 miljoen omzet of balanstotaal |
| Middelgrote onderrneming | Minder dan 250 werkzame personen en maximaal €50 miljoen jaaromzet of maximaal €43 miljoen balanstotaal, voor zover de onderneming niet als klein geldt |
| Boven de middelgrote drempel | 250 of meer werkzame personen, of bij minder dan 250 werkzame personen zowel meer dan €50 miljoen jaaromzet als meer dan €43 miljoen balanstotaal |
De cijfers van partner- en verbonden ondernemingen kunnen geheel of gedeeltelijk meetellen. De veelgehoorde vuistregel ‘vanaf vijftig medewerkers val je onder NIS2’ is daarom te eenvoudig. Een organisatie moet ook een aangewezen dienst verlenen en de omvang moet volgens de Europese ondernemingsberekening worden vastgesteld.
De omvang heeft ook invloed op de classificatie. Voor veel organisaties uit bijlage 1 geldt dat een middelgrote organisatie als belangrijke entiteit wordt aangemerkt. Een organisatie die volgens de Europese berekening groter is dan een middelgrote onderneming, is doorgaans een essentiële entiteit. Organisaties uit bijlage 2 zijn in beginsel belangrijke entiteiten wanneer zij middelgroot of groter zijn.
Controle 4: geldt een uitzondering of bijzondere regel?
Voor bepaalde soorten organisaties geldt de gebruikelijke omvangstoets niet of slechts gedeeltelijk. Dit speelt onder meer bij bepaalde communicatie-, DNS- en vertrouwensdiensten en bij bepaalde overheidsinstanties.
Ook een kleinere organisatie kan daardoor rechtstreeks onder de Cyberbeveiligingswet vallen. Daarnaast kan een organisatie afzonderlijk als essentiële entiteit worden aangewezen wanneer zij bijvoorbeeld de enige aanbieder van een essentiële dienst is of wanneer uitval grote gevolgen kan hebben voor de openbare veiligheid of volksgezondheid.
Niet iedere bijzondere categorie krijgt exact dezelfde verplichtingen. Controleer een mogelijke uitzondering daarom afzonderlijk.
Een blog helpt bij de voorselectie, maar vervangt geen officiële toepasselijkheidstoets. Leg vast welke sector, dienst, juridische entiteit, omvang en uitzonderingen je hebt beoordeeld. Laat twijfelgevallen juridisch of sectorspecifiek controleren.
Wat is na deze controles je waarschijnlijke positie?
| Voorlopige uitkomst | Logische vervolgstap |
| Je verleent een aangewezen dienst en voldoet aan de omvangscriteria | Bepaal of je als essentiële of belangrijke kwalificeert |
| Je verleent geen aangewezen dienst, maar werkt voor gereguleerde klanten | Inventariseer contractuele eisen en ketenrisico’s |
| Je verleent geen aangewezen dienst en er geldt geen bijzondere regel | Leg vast waarom de wet waarschijnlijk niet rechtstreeks van toepassing is |
| De dienst, concernstructuur of uitzondering is niet duidelijk | Laat een formele beoordeling uitvoeren |
Ook een conclusie dat de wet niet van toepassing is, is een governancebesluit. Bewaar de onderbouwing en beoordeel deze opnieuw bij groei, overnames, nieuwe diensten of wijzigingen in de organisatiestructuur.
Je valt niet rechtstreeks onder de wet: ben je dan klaar?
Niet altijd.
Een leverancier valt niet automatisch onder de Cyberbeveiligingswet doordat een klant eronder valt. Een gereguleerde klant moet echter wel risico’s binnen zijn toeleveringsketen beheersen. Daardoor kan de klant beveiligingseisen stellen aan leveranciers die toegang hebben tot systemen, digitale diensten leveren of op een andere manier risico’s voor de dienstverlening kunnen veroorzaken.
Dat kan leiden tot vragen over toegangsbeheer, incidentmelding, continuïteit, kwetsbaarheden, onderaannemers en de beveiliging van producten en diensten. Directe wettelijke toepasselijkheid en commerciële ketendruk zijn dus twee verschillende vraagstukken. Je kunt juridisch buiten de wet vallen en toch informatie of contractuele waarborgen moeten aanleveren om een klantrelatie te behouden.
Hoe je leveranciers structureel aan bedrijfsmiddelen en risico’s koppelt, lees je in Effectieve leveranciersbeoordeling met CompliTrack.
Welke verplichtingen gelden als je onder de wet valt?
Organisaties die als essentiële of belangrijke entiteit kwalificeren, krijgen te maken met een registratieplicht, zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid.
Registratie vindt plaats via MijnNCSC en is vanaf 15 augustus 2026 verplicht. Controleer vooraf wie de registratie uitvoert, welke machtiging nodig is en welke gegevens moeten worden aangeleverd.
De zorgplicht begint bij risicomanagement. Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen. De wet behandelt tien gebieden, waaronder risicoanalyse, incidentrespons, continuïteit, ketenbeveiliging, cyberhygiëne, toegangsbeheer, assetbeheer, sterke authenticatie en het beoordelen van de effectiviteit van maatregelen. Het gaat niet om zo veel mogelijk maatregelen, maar om een samenhangende aanpak die aansluit op de werkelijke risico’s.
Significante incidenten moeten binnen wettelijke termijnen worden gemeld. Eerst volgt onverwijld en uiterlijk binnen 24 uur een vroegtijdige waarschuwing. Uiterlijk binnen 72 uur volgt een inhoudelijkere melding. Uiterlijk één maand na die 72-uursmelding volgt een eindverslag. Loopt het incident dan nog, dan wordt eerst een voortgangsverslag ingediend en volgt het eindverslag binnen één maand na de afhandeling.
Dat lukt alleen wanneer vooraf duidelijk is wie de ernst beoordeelt, wie mag escaleren en wie de melding indient. Meer over het registreren, analyseren en opvolgen van incidenten lees je in Van incident naar verbetering: hoe organisaties incidentbeheer optimaliseren met GRC-software.
Ook het bestuur krijgt een concrete verantwoordelijkheid. De maatregelen onder de zorgplicht moeten door het bestuur worden goedgekeurd. Ieder bestuurslid moet binnen twee jaar over voldoende kennis en vaardigheden beschikken om cyberrisico’s en maatregelen te kunnen beoordelen. Die kennis moet aantoonbaar actueel worden gehouden en deelname aan een passende training moet met een certificaat kunnen worden aangetoond. Cyberbeveiliging kan dus niet volledig bij IT of een externe adviseur worden neergelegd.
Je hebt ISO 27001: voldoe je dan automatisch?
Nee.
Een werkend ISMS volgens ISO 27001 biedt wel een sterke basis. Onderwerpen als risicoanalyse, incidentmanagement, leveranciersbeheer, toegangsbeheer, interne audits en continue verbetering komen ook binnen de Cyberbeveiligingswet terug.
Een ISO 27001-certificaat bepaalt echter niet of de wet juridisch op jouw organisatie van toepassing is. Ook de registratie, wettelijke meldtermijnen, bestuurlijke verplichtingen en specifieke zorgplicht moeten afzonderlijk worden beoordeeld.
Gebruik ISO 27001 daarom als fundament. Hergebruik bestaande risicoanalyses, maatregelen en processen, maar controleer expliciet welke wettelijke aanvullingen nodig zijn.
Wat moet je nu concreet doen?
Begin niet direct met een omvangrijk implementatieprogramma. Start met vijf bestuurbare stappen:
- Leg vast welke sector, dienst en juridische entiteit je hebt beoordeeld.
- Bereken de omvang volgens de Europese ondernemingsdefinitie.
- Bepaal je voorlopige positie: essentieel, belangrijk, indirect geraakt of waarschijnlijk buiten de wet.
- Inventariseer welke wettelijke verplichtingen of klantvragen daaruit volgen.
- Wijs verantwoordelijkheden toe en leg vast wanneer de beoordeling opnieuw plaatsvindt.
Val je waarschijnlijk binnen de wet, bereid dan de registratie voor en beoordeel gericht wat nog ontbreekt bij risico’s, incidentmelding, leveranciers en bestuurlijke verantwoordelijkheid.
Val je waarschijnlijk buiten de wet, documenteer dan waarom. Controleer daarnaast welke klanten zelf gereguleerd zijn en welke contractuele eisen zij aan jou stellen. Zo voorkom je dat iedere nieuwe vragenlijst uitgroeit tot een los complianceproject.
Conclusie: begin met bepalen wat voor jouw organisatie geldt
De Cyberbeveiligingswet vraagt niet van iedere organisatie hetzelfde. De eerste stap is daarom niet het aanschaffen van tooling, het schrijven van nieuw beleid of het starten van een uitgebreid adviestraject.
Begin met drie vragen: leveren we een aangewezen dienst, voldoen we aan de omvangscriteria of een bijzondere regel en welke wettelijke of contractuele eisen volgen daar concreet uit?
Leg de beoordeling vast. Zo weet je niet alleen wat je moet doen, maar kun je ook uitleggen waarom bepaalde verplichtingen wel of niet op jouw organisatie van toepassing zijn.
Breng samenhang aan in je voorbereiding
Valt je organisatie onder de Cyberbeveiligingswet, of stellen klanten steeds vaker NIS2-eisen?
Met CompliTrack leg je de uitkomst van je beoordeling, risico’s, maatregelen, incidenten, leveranciers en vervolgacties samenhangend vast. Zo werk je aantoonbaar aan digitale weerbaarheid, zonder dat compliance uitgroeit tot een omvangrijk en kostbaar implementatieproject.
Verder lezen
In DORA uitgelegd: wanneer raakt digitale weerbaarheid jouw organisatie? lees je meer over het verschil tussen rechtstreekse wettelijke verplichtingen en beveiligingseisen die via klanten en ketenpartners ontstaan.
