NIS2 en Cyberbeveiligingswet: de verplichtingen

Actuele status

De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. De Tweede Kamer nam de wet op 15 april 2026 aan, samen met de Wet weerbaarheid kritieke entiteiten (Wwke) (wetsvoorstel 36.764). De verdere uitwerking staat in het Cyberbeveiligingsbesluit.

De Cbw en het Cyberbeveiligingsbesluit traden samen in werking op 15 augustus 2026 (artikel 35 Cyberbeveiligingsbesluit).

De Cbw implementeert de Europese NIS2-richtlijn (Directive (EU) 2022/2555) in Nederlandse wetgeving en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Nederland haalde de oorspronkelijke EU-deadline van 17 oktober 2024 niet.

Het NCSC heeft aangegeven dat zijn werkterrein door de Cbw uitbreidt naar circa 8.000 organisaties. Hun leveranciers worden indirect geraakt via de ketenverplichtingen.

Wat is de NIS2-richtlijn?

De NIS2-richtlijn (Directive (EU) 2022/2555) is de herziening van de eerste Network and Information Security Directive uit 2016. NIS2 is op 16 januari 2023 in werking getreden en verplichtte EU-lidstaten de richtlijn uiterlijk 17 oktober 2024 om te zetten in nationale wetgeving. In Nederland is die omzetting gedaan met de Cyberbeveiligingswet (Cbw).

NIS2 introduceert vier grote verschuivingen ten opzichte van NIS1:

1. Bredere scope — 18 sectoren: 11 met een hoog kritiek belang (Bijlage I) en 7 andere kritieke sectoren (Bijlage II), van energie en drinkwater tot digitale infrastructuur, post, afvalbeheer, voedselproductie, chemie, onderzoek en digitale aanbieders.
2. Size-cap rule — automatische verplichting voor middelgrote en grote organisaties in deze sectoren (de EU-mkb-definitie, zie hieronder); geen aanwijzing meer op basis van kritieke status alleen.
3. Uniforme basismaatregelen — 10 minimum-maatregelen uit Artikel 21 die iedere entiteit moet implementeren.
4. Verantwoordelijkheid van het bestuur — bestuurders keuren de maatregelen goed, houden toezicht en volgen training (NIS2 artikel 20; in de Cbw artikel 24).

De Cbw werkt deze Europese verplichtingen uit in drie kernverplichtingen voor Nederlandse organisaties: zorgplicht, meldplicht en registratieplicht.

NIS2 is bewust geschreven als risicogebaseerd kader: niet elke maatregel moet identiek worden ingevuld, maar moet proportioneel zijn aan de risico's die de entiteit loopt. Dat maakt ISO 27001 een zeer geschikt referentiekader.

Valt uw organisatie onder de Cyberbeveiligingswet?

De wet hanteert twee categorieën:

De Cbw sorteert sectoren in twee bijlagen: bijlage 1 telt 11 sectoren (energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart), bijlage 2 telt 7 sectoren (post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek).

Of u essentieel of belangrijk bent, hangt af van de bijlage én de omvang (artikelen 8 en 12 Cbw):

• Essentiële entiteiten staan onder proactief toezicht en hogere maximumboetes.
• Belangrijke entiteiten staan onder reactief toezicht met lagere maximumboetes.

De omvang volgt de EU-mkb-definitie (Aanbeveling 2003/361/EG), waar de Cbw naar verwijst:

• Groot: 250 of meer medewerkers, of meer dan € 50 miljoen jaaromzet én meer dan € 43 miljoen balanstotaal
• Middelgroot: 50 tot 250 medewerkers, of meer dan € 10 miljoen jaaromzet én meer dan € 10 miljoen balanstotaal (en niet groot)

Kleinere organisaties vallen in principe buiten scope, maar kunnen alsnog onder de Cbw vallen wanneer zij worden aangewezen, of wanneer de wet ze ongeacht omvang noemt (bijvoorbeeld registers voor topleveldomeinnamen, DNS-dienstverleners, gekwalificeerde verleners van vertrouwensdiensten en overheidsinstanties).

Praktische toets voor MKB-organisaties

Veel MKB-directies denken dat ze niet in scope vallen omdat hun kernactiviteit niet cyber-gerelateerd is. Maar een ICT-dienstverlener met 60 medewerkers, een middelgrote voedselproducent of een regionale afvalverwerker valt in veel gevallen wél onder de Cbw. Een scope-bepaling is daarom altijd de eerste stap.

De drie kernverplichtingen uit de Cbw

De Nederlandse Cyberbeveiligingswet vertaalt de NIS2-richtlijn in drie concrete verplichtingen. Alle drie gelden sinds de inwerkingtreding op 15 augustus 2026.

1. Zorgplicht (artikel 21 Cbw)

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico's voor netwerk- en informatiesystemen te beheersen. Concreet: de 10 basismaatregelen uit NIS2 Artikel 21 lid 2 moeten gedocumenteerd, geïmplementeerd en aantoonbaar effectief zijn.

2. Meldplicht (artikelen 25 tot en met 29 Cbw)

Significante incidenten moeten volgens een gefaseerd schema gemeld worden bij het CSIRT en de bevoegde toezichthouder. De Tweede Kamer heeft een motie aangenomen voor één centraal meldportaal voor nationale en sectorale cyberincidentmeldingen — het NCSC beheert dit loket.

3. Registratieplicht (artikelen 43 en 44 Cbw)

Entiteiten die onder de wet vallen, leveren hun gegevens aan voor het nationale register dat de minister beheert (artikelen 43 en 44 Cbw): naam, adres, contactgegevens (e-mail, IP-bereiken, telefoon), sector en de lidstaten waar zij diensten verlenen. Het Cyberbeveiligingsbesluit vraagt daarnaast onder meer het KvK-nummer en de domeinnamen. De registratie is verplicht sinds 15 augustus 2026, zonder overgangstermijn: organisaties zijn zelf verantwoordelijk voor tijdige registratie. U registreert via MijnNCSC met eHerkenning: het NCSC noemt betrouwbaarheidsniveau EH2+, de RDI minimaal niveau 3. Met niveau 3 voldoet u aan beide. Een wijziging geeft u binnen twee weken door.

De combinatie van zorgplicht, meldplicht en registratieplicht betekent dat "we hebben cybersecurity intern geregeld" juridisch niet langer volstaat. De Cbw vraagt om aantoonbare, geregistreerde en gerapporteerde compliance.

De 10 basismaatregelen uit NIS2 Artikel 21

Artikel 21 lid 2 schrijft tien minimumverplichtingen voor. Deze maatregelen sluiten sterk aan bij ISO 27001 Annex A — onderstaande mapping laat zien hoe een goed opgezet ISMS vrijwel de volledige Artikel 21-scope dekt.

Belangrijk: de maatregelen moeten gedocumenteerd, geïmplementeerd en aantoonbaar effectief zijn. De Cbw (in lijn met NIS2 Artikel 21 lid 1) eist periodieke evaluatie — bestuurders kunnen niet volstaan met "we hebben beleid".

Meldplicht en incidentrapportage

De Cbw neemt de gefaseerde meldplicht uit NIS2 (artikel 23) over in de artikelen 25 tot en met 29. Voor significante incidenten — die de dienstverlening ernstig verstoren of grote materiële/immateriële schade veroorzaken — gelden strakke termijnen:

De Tweede Kamer heeft bij behandeling van de Cbw een motie aangenomen voor één centraal meldportaal, beheerd door het NCSC. Daarmee hoeven organisaties niet per sector apart te melden — één melding volstaat. Sectorale toezichthouders (zoals RDI voor digitale infrastructuur) krijgen de gegevens via dit loket aangeleverd.

Organisaties die vóór een incident al een incident response-playbook hebben ingericht — inclusief meldsjablonen, juridische review en een beslissingsmatrix "wanneer is een incident significant?" — halen de 24-uurstermijn veel makkelijker. Zonder voorbereiding wordt die termijn onhaalbaar.

Het bestuur: goedkeuring, training en sancties (artikel 24 Cbw)

NIS2 legt in artikel 20 een eigen verantwoordelijkheid bij het bestuur. In de Cbw staat die uitwerking in artikel 24:

1. Goedkeuring: de maatregelen van de zorgplicht (artikel 21) hebben de goedkeuring van het bestuur nodig. Dat geldt sinds 15 augustus 2026.
2. Kennis: elk bestuurslid kan risico's voor netwerk- en informatiesystemen identificeren en maatregelen en hun gevolgen voor de dienstverlening beoordelen, en houdt die kennis aantoonbaar actueel.
3. Training met certificaat: elk bestuurslid heeft een certificaat van een training over deze onderwerpen. Zittende bestuurders hebben daarvoor twee jaar, dus tot 15 augustus 2028; een nieuw bestuurslid heeft twee jaar na de benoeming.

Het Cyberbeveiligingsbesluit (artikelen 20 tot en met 22) bepaalt dat de training in ieder geval de soorten risico's, risicomanagement, risicobeoordeling en de tien maatregelen van de zorgplicht behandelt. Het is uitdrukkelijk geen technische opleiding. Het certificaat vermeldt de naam van het bestuurslid, de datum of data, de behandelde onderwerpen en de aanbieder, en is in het Nederlands of Engels. De training zelf mag in elke taal.

Sancties per bestuurslid. De Cbw regelt geen civiele aansprakelijkheid van bestuurders; die volgt uit het Burgerlijk Wetboek. De wet geeft de toezichthouder wel sancties die het bestuurslid persoonlijk raken: een last onder dwangsom (artikel 92) en een bestuurlijke boete van ten hoogste € 25.000 (artikel 93) bij overtreding van de kennis- en trainingsplicht. Voert een essentiële entiteit een opgelegde maatregel niet op tijd uit, dan kan de toezichthouder de rechter vragen bestuursleden te schorsen (artikel 78).

Voor mkb-ondernemers betekent dit dat cybersecurity niet alleen bij "de IT-afdeling" kan liggen: het vraagt een besluit van het bestuur, gedocumenteerde goedkeuring en een certificaat per bestuurslid. Begin daar vroeg mee.

Boetes bij niet-naleving

Deze maxima staan in de artikelen 80 en 87 Cbw en gelden voor overtreding van de zorgplicht en de meldplicht. Voor andere overtredingen, zoals de registratieplicht, is het maximum € 1 miljoen. De toezichthouder bepaalt de boete per geval. Daarnaast kunnen toezichthouders een einddatum stellen om een overtreding te beëindigen, en bij een essentiële entiteit de rechter vragen bestuursleden te schorsen (artikelen 76 en 78).

Organisaties die al ISO 27001-gecertificeerd zijn, zitten op circa 70-80% van de Artikel 21-scope. Hun extra werk blijft doorgaans beperkt tot Cbw-specifieke onderdelen: een incident response-proces volgens de wettelijke termijnen, bestuurlijke training en aangescherpte ketenverplichtingen. De efficiëntste route is daarom meestal: eerst ISO 27001 opzetten, dan de Cbw-specifieke onderdelen invullen. Zie de pagina ISO 27001 voor meer details.

Stappenplan voor Cbw-compliance

Stap 1 - Scope bepalen

Stel vast of uw organisatie onder de Cbw valt en in welke categorie (essentieel of belangrijk). Beoordeel sector, grootte en ketenafhankelijkheden en leg de onderbouwing vast — die heeft u nodig voor de registratieplicht.

Stap 2 - Gap-analyse Artikel 21

Beoordeel per basismaatregel (a tot j) de huidige stand van zaken ten opzichte van de NIS2-vereisten. Het resultaat is een prioriteitenplan met tijdsbesteding en verantwoordelijken. Dit vormt tegelijk de onderbouwing van de wettelijke zorgplicht.

Stap 3 - Maatregelen invoeren

Leg beleid en procedures vast en richt cryptografie, toegangsbeheer, MFA, leveranciersbeoordeling en secure development in. Gebruik ISO 27001 als praktisch fundament waar mogelijk — efficiënt, herbruikbaar en certificeerbaar.

Stap 4 - Incident response en meldproces

Zorg voor een playbook, meldsjablonen, 24-uurs bereikbaarheid en oefeningen, afgestemd op het centrale NCSC-meldportaal. Zo bent u voorbereid op de wettelijke meldtermijnen (24u / 72u / 1 maand) voordat het eerste incident zich voordoet.

Stap 5 - Governance en bestuurlijke training

Het bestuur keurt de maatregelen goed en elk bestuurslid volgt een training met certificaat (artikel 24 Cbw), zittende bestuurders uiterlijk 15 augustus 2028. Besluitvorming wordt gedocumenteerd, zodat aantoonbaar is dat het bestuur zijn verantwoordelijkheid heeft genomen.

Cbw vs ISO 27001 vs BIO

Deze drie kaders lijken op elkaar, maar verschillen in juridische status, doelgroep en certificeerbaarheid.

De kern: de Cbw is een verplichting, ISO 27001 is een instrument dat helpt aan die verplichting te voldoen. Voor overheidsorganisaties doet BIO2 hetzelfde binnen de publieke context.

Lees ook de pagina's ISO 27001 en BIO voor verdieping.

Ketenverplichtingen: ook relevant zonder directe scope

Maatregel d) van Artikel 21 verplicht in-scope entiteiten om beveiliging in de toeleveringsketen te waarborgen. Dit werkt door naar leveranciers die zelf niet onder de Cbw vallen:

• Aanscherping van leveranciersvoorwaarden en SLA's
• Verplichte security-assessments van kritieke leveranciers
• Contractuele auditrechten en incidentmeldplichten
• Uitsluiting van leveranciers die onvoldoende aantoonbaar beveiligd zijn

Bovenop de circa 8.000 organisaties die direct onder de wet vallen, raken deze ketenverplichtingen dus ook hun leveranciers, ook als die zelf niet onder de Cbw vallen.

Voor MKB-dienstverleners, software-leveranciers en (sub)contractors in de keten betekent dit: ook al valt u niet direct onder de Cbw, uw klanten zullen u vragen om aantoonbaar compliant te zijn. Een ISO 27001-certificaat is dan in de praktijk vaak het verschil tussen wél of niet op de leverancierslijst blijven staan.