NIS2 (Cyberbeveiligingswet)
Wat verandert er voor jouw organisatie?
De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, is op 7 juli 2026 aangenomen door de Eerste Kamer en treedt op 15 augustus 2026 in werking, zonder overgangsperiode. Wie de afgelopen jaren op basis van de richtlijn al is gaan bouwen, kan nu toetsen of dat werk de Nederlandse invulling dekt; wie heeft gewacht op wettekst, heeft geen ruimte meer voor een gefaseerde aanpak. In dit artikel: de verplichtingen zoals ze nu vaststaan, wat de bestuurdersverantwoordelijkheid concreet betekent, en waar de toezichthouder als eerste naar zal kijken.
Voor wie geldt de Cyberbeveiligingswet?
De wet geldt voor organisaties in achttien sectoren, waaronder energie, transport, gezondheidszorg, digitale infrastructuur, overheid, voedsel en industrie. Bepalend zijn de sector én de omvang: grofweg vallen middelgrote en grote organisaties (vanaf 50 medewerkers of 10 miljoen euro omzet) in de aangewezen sectoren onder de wet, verdeeld in 'essentiële' en 'belangrijke' entiteiten. Let op: ook als je organisatie zelf buiten de wet valt, kun je er via je klanten mee te maken krijgen. Organisaties die onder de wet vallen, moeten namelijk ook de risico's in hun toeleveringsketen beheersen, en stellen dus eisen aan hun leveranciers.
De vier kernverplichtingen
Zorgplicht: je moet passende maatregelen nemen om risico's voor je netwerk- en informatiesystemen te beheersen. De wet noemt daarbij expliciet onderwerpen als risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging en cyberhygiëne.
Meldplicht: significante incidenten meld je binnen 24 uur (vroegtijdige waarschuwing) en binnen 72 uur (incidentmelding) bij de toezichthouder en het CSIRT.
Registratieplicht: organisaties die onder de wet vallen, moeten zich registreren bij de toezichthouder.
Bestuurdersverantwoordelijkheid: het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zelf aantoonbaar geschoold zijn in cyberrisico's. Bestuurders kunnen bij ernstige nalatigheid persoonlijk aansprakelijk worden gesteld.
Er is geen overgangsperiode
Anders dan bij veel wetgeving is er geen overgangstermijn: de verplichtingen gelden vanaf de inwerkingtreding. De toezichthouders hebben aangegeven risicogericht te handhaven, maar wachten tot de eerste controle is geen passende strategie . Zeker de meldplicht vraagt om voorbereiding: binnen 24 uur melden lukt alleen als je incidentproces werkend en getest is.
Waar begin je?
Onze aanpak in vijf stappen, in lijn met hoe we altijd werken:
Bepaal je positie: val je onder de wet, als essentiële of belangrijke entiteit, en welke eisen stellen jouw klanten via de keten?
Voer een risicoanalyse en nulmeting uit: waar sta je ten opzichte van de zorgplicht?
Richt de basis in: incident management, continuïteitsplan, leveranciersbeleid, bewustwording en governance.
Organiseer de meldplicht: wie beoordeelt, wie meldt, en is dat binnen 24 uur haalbaar?
Monitor en verbeter: NIS2-compliance is geen project met een einddatum, maar een doorlopende cyclus.
Werk je al met ISO 27001 of NEN 7510, dan heb je een flinke voorsprong: het managementsysteem en veel maatregelen overlappen. De wet vraagt dan vooral om aanscherping op ketenbeveiliging, meldprocessen en de rol van het bestuur.
Wat betekent de bestuurdersverantwoordelijkheid concreet?
De meest besproken vernieuwing van de wet is de expliciete rol van het bestuur. Concreet betekent dit drie dingen. Ten eerste: het bestuur keurt de beveiligingsmaatregelen goed en kan die verantwoordelijkheid niet delegeren aan IT of een stafafdeling. Ten tweede: bestuurders moeten zelf voldoende kennis hebben om risico's en maatregelen te kunnen beoordelen, een opleidingsverplichting die aantoonbaar moet zijn. Ten derde: bij ernstige nalatigheid kan de toezichthouder bestuurders persoonlijk aanspreken, tot aan een tijdelijk beroepsverbod voor bestuurders van essentiële entiteiten. Voor veel directies is dit hét moment waarop informatiebeveiliging van de IT-agenda naar de boardroomagenda verschuift, en dat is precies de bedoeling van de wetgever.
Toezicht en sancties
Het toezicht is per sector belegd bij verschillende toezichthouders, met de Rijksinspectie Digitale Infrastructuur (RDI) in een centrale rol. Essentiële entiteiten kunnen proactief toezicht verwachten (inspecties en audits), belangrijke entiteiten vooral reactief, bijvoorbeeld na een incident of melding. De boetes zijn fors: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Belangrijker dan de boete is in de praktijk de reputatieschade en de ketendruk: klanten die zelf onder de wet vallen, zullen leveranciers die hun zaken niet op orde hebben simpelweg gaan mijden.
Veelgestelde vragen
We vallen net onder de omvangsdrempel, zijn we dan klaar? Niet per se: voor sommige categorieën (zoals bepaalde digitale dienstverleners) geldt de wet ongeacht omvang, en via klanten in de keten kun je alsnog met vergelijkbare eisen te maken krijgen.
Is een ISO 27001-certificaat voldoende voor de Cyberbeveiligingswet? Het is een uitstekende basis, maar geen automatische naleving: de wet stelt aanvullende eisen aan onder meer melding, registratie en bestuurdersbetrokkenheid. Een gerichte gap-analyse maakt het verschil zichtbaar.
Wanneer moeten we ons registreren? De registratieplicht geldt vanaf de inwerkingtreding; de toezichthouder publiceert de precieze werkwijze. Zorg dat je positie (essentieel/belangrijk, sector) vooraf helder is.
Aan de slag
Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt en waar je staat? We voeren NIS2-nulmetingen uit en helpen organisaties de verplichtingen praktisch in te richten, van risicoanalyse tot boardroomsessie. Neem vrijblijvend contact op.