NIS2 en de Cyberbeveiligingswet: wat betekent het voor jouw organisatie?

De Europese NIS2-richtlijn is in Nederland omgezet in de Cyberbeveiligingswet (Cbw). Die wet, de Nederlandse uitwerking van NIS2, geldt sinds 15 augustus 2026. Valt jouw organisatie eronder, dan moet je je registreren bij het NCSC, je cyberrisico’s aantoonbaar beheersen en ernstige incidenten binnen 24 uur melden. Het bestuur is daar eindverantwoordelijk voor.

Valt je organisatie er niet onder, dan krijg je er vaak alsnog mee te maken. Klanten die wel onder de wet vallen, moeten ook de beveiliging bij hun leveranciers op orde hebben. In dit artikel lees je hoe je bepaalt of de wet voor jou geldt, wat er dan van je wordt verwacht en waar je begint.

Val ik onder NIS2 en de Cyberbeveiligingswet?

Dat hangt af van twee dingen: je sector en je omvang.

De sector. De wet noemt achttien sectoren. Naast de bekende, zoals energie, drinkwater, transport en gezondheidszorg, vallen er ook minder voor de hand liggende onder: afvalbeheer, levensmiddelen, chemie, de maakindustrie, post- en koeriersdiensten, digitale aanbieders en beheerde ICT-diensten. Ook IT-dienstverleners die de systemen van andere organisaties beheren, vallen er dus onder.

De omvang. In die sectoren geldt de wet in principe voor middelgrote en grote organisaties: vanaf 50 medewerkers, of met een jaaromzet én balanstotaal boven de 10 miljoen euro. Voor een klein aantal diensten, zoals DNS-diensten en vertrouwensdiensten, speelt de omvang geen rol.

Op de website van het NCSC kun je nagaan of je organisatie eronder valt. Doe dat zorgvuldig. Het is niet ongebruikelijk dat een organisatie via één bedrijfsonderdeel of dochter toch onder een sector valt.

Wat vraagt NIS2 als je eronder valt?

Registreren

Organisaties die onder de wet vallen, moeten zich registreren in het entiteitenregister van het NCSC, via MijnNCSC en eHerkenning. Die plicht geldt sinds 15 augustus 2026. Heb je dat nog niet gedaan, dan is dit de eerste stap.

De zorgplicht

Je moet de risico’s voor je netwerk en informatiesystemen in kaart brengen en daar passende maatregelen tegen nemen. De wet schrijft geen vaste lijst voor, maar in de praktijk gaat het om onderwerpen als:

• toegangsbeheer en multifactorauthenticatie
• het tijdig installeren van updates
• back-ups en het kunnen herstellen na een incident
• detectie van verdachte activiteit op apparaten en in het netwerk
• de beveiliging bij leveranciers die toegang hebben tot je systemen
• training van medewerkers en bestuur

Het woord passend is belangrijk. Een logistiek bedrijf met vijftig medewerkers hoeft niet hetzelfde te doen als een ziekenhuis. Wel moet je kunnen uitleggen waarom je maatregelen passen bij jouw risico’s.

De meldplicht

Een significant incident meld je bij het CSIRT en je toezichthouder. De wet volgt de termijnen uit de richtlijn: een eerste waarschuwing binnen 24 uur, een melding met een eerste beoordeling binnen 72 uur en een eindrapport binnen een maand. Vierentwintig uur is kort. Spreek daarom vooraf af wie beslist of iets een significant incident is en wie de melding doet, ook in het weekend.

Het bestuur is verantwoordelijk

Cybersecurity kan niet meer alleen bij IT liggen. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en moet zelf voldoende kennis hebben om die rol te kunnen invullen. De wet noemt daarvoor expliciet training.

Toezicht en boetes

Per sector is er een toezichthouder. De richtlijn noemt als maximale boetes 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Die bedragen zijn een bovengrens. In de praktijk begint toezicht meestal met vragen en aanwijzingen.

Je valt niet onder NIS2, maar je klant wel

Dit is voor veel mkb-bedrijven de grootste verandering. Een klant die onder de wet valt, moet ook de risico’s in zijn keten beheersen. Verwacht dus vragenlijsten over je beveiliging, afspraken in contracten en soms een verzoek om aan te tonen wat je hebt geregeld.

Het helpt als je die antwoorden klaar hebt liggen: staat MFA overal aan, hoe snel installeer je updates, hoe zijn je back-ups geregeld en wat doe je bij een incident. Wie dat kan laten zien, heeft een voorsprong op concurrenten die het nog moeten uitzoeken.

Waar begin je met NIS2?

1. Stel vast of de wet voor jou geldt, en noteer hoe je tot die conclusie bent gekomen.
2. Breng je belangrijkste systemen en gegevens in kaart. Wat mag er niet uitvallen, en wat mag niet op straat komen te liggen?
3. Regel eerst de basis. MFA, updates, back-ups die je hebt getest en beveiliging op alle apparaten. Hiermee verklein je de meeste risico’s.
4. Leg je incidentproces vast. Wie wordt gebeld, wie beslist en wie meldt binnen 24 uur.
5. Betrek het bestuur met een kort overzicht van risico’s, maatregelen en wat er nog openstaat.
6. Leg vast wat je doet en herhaal de risicoanalyse als er iets verandert.

Een ISO 27001-certificering is niet verplicht, maar het is wel een bruikbaar kader. Veel van wat de Cyberbeveiligingswet vraagt, komt daarin terug.

Hoe wij helpen met NIS2

DesktopToWork is zelf ISO/IEC 27001-gecertificeerd. We beginnen meestal met een securityscan, zodat duidelijk is waar jullie staan. Daarna regelen we de maatregelen die ontbreken en houden we de voortgang bij in een security dashboard, met een maandelijks rapport dat ook voor het bestuur leesbaar is. Meer over onze aanpak lees je bij Security.

Dit artikel is een algemene uitleg. Kijk voor de actuele regels en de precieze afbakening altijd op de website van het NCSC.