NIS2 en Cyberbeveiligingswet: de verplichtingen

De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die de Europese NIS2-richtlijn uitvoert: essentiële en belangrijke entiteiten krijgen een zorgplicht, meldplicht en registratieplicht, en hun bestuur wordt verantwoordelijk.

Actuele status

De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. De Tweede Kamer nam de wet op 15 april 2026 aan, samen met de Wet weerbaarheid kritieke entiteiten (Wwke) (wetsvoorstel 36.764). De verdere uitwerking staat in het Cyberbeveiligingsbesluit.

De Cbw en het Cyberbeveiligingsbesluit traden samen in werking op 15 augustus 2026 (artikel 35 Cyberbeveiligingsbesluit).

De Cbw implementeert de Europese NIS2-richtlijn (Directive (EU) 2022/2555) in Nederlandse wetgeving en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Nederland haalde de oorspronkelijke EU-deadline van 17 oktober 2024 niet.

Volgens de Rijksoverheid gelden de nieuwe verplichtingen voor ruim 8.000 organisaties. Hun leveranciers worden indirect geraakt via de ketenverplichtingen.

Wat is de NIS2-richtlijn?

De NIS2-richtlijn (Directive (EU) 2022/2555) is de herziening van de eerste Network and Information Security Directive uit 2016. NIS2 is op 16 januari 2023 in werking getreden en verplichtte EU-lidstaten de richtlijn uiterlijk 17 oktober 2024 om te zetten in nationale wetgeving. In Nederland is die omzetting gedaan met de Cyberbeveiligingswet (Cbw).

NIS2 introduceert vier grote verschuivingen ten opzichte van NIS1:

1. Bredere scope — 18 sectoren: 11 met een hoog kritiek belang (Bijlage I) en 7 andere kritieke sectoren (Bijlage II), van energie en drinkwater tot digitale infrastructuur, post, afvalbeheer, voedselproductie, chemie, onderzoek en digitale aanbieders.
2. Size-cap rule — automatische verplichting voor middelgrote en grote organisaties in deze sectoren (de EU-mkb-definitie, zie hieronder); geen aanwijzing meer op basis van kritieke status alleen.
3. Uniforme basismaatregelen — tien minimummaatregelen uit artikel 21 van de richtlijn die iedere entiteit moet invoeren (in de Nederlandse wet: artikel 21, derde lid, Cbw).
4. Verantwoordelijkheid van het bestuur — bestuurders keuren de maatregelen goed, houden toezicht en volgen training (NIS2 artikel 20; in de Cbw artikel 24).

De Cbw werkt deze Europese verplichtingen uit in drie kernverplichtingen voor Nederlandse organisaties: zorgplicht, meldplicht en registratieplicht.

NIS2 is bewust geschreven als risicogebaseerd kader: niet elke maatregel moet identiek worden ingevuld, maar moet proportioneel zijn aan de risico's die de entiteit loopt. ISO 27001 behandelt de meeste onderwerpen uit artikel 21; de meldtermijnen, de registratie en de taken van het bestuur staan alleen in de Cbw.

Valt uw organisatie onder de Cyberbeveiligingswet?

De wet hanteert twee categorieën:

De Cbw sorteert sectoren in twee bijlagen: bijlage 1 telt 11 sectoren (energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart), bijlage 2 telt 7 sectoren (post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek).

Of u essentieel of belangrijk bent, hangt af van de bijlage én de omvang (artikelen 8 en 12 Cbw):

• Essentiële entiteiten staan onder proactief toezicht en hogere maximumboetes.
• Belangrijke entiteiten staan onder reactief toezicht met lagere maximumboetes.

De omvang volgt de EU-mkb-definitie (Aanbeveling 2003/361/EG), waar de Cbw naar verwijst:

• Groot: 250 of meer medewerkers, of meer dan € 50 miljoen jaaromzet én meer dan € 43 miljoen balanstotaal
• Middelgroot: 50 tot 250 medewerkers, of meer dan € 10 miljoen jaaromzet én meer dan € 10 miljoen balanstotaal (en niet groot)

Kleinere organisaties vallen in principe buiten scope, maar kunnen alsnog onder de Cbw vallen wanneer zij worden aangewezen, of wanneer de wet ze ongeacht omvang noemt (bijvoorbeeld registers voor topleveldomeinnamen, DNS-dienstverleners, gekwalificeerde verleners van vertrouwensdiensten en overheidsinstanties).

Praktische toets voor MKB-organisaties

Een ICT-dienstverlener met 60 medewerkers, een middelgrote voedselproducent of een regionale afvalverwerker valt in veel gevallen wél onder de Cbw. Een scope-bepaling is daarom altijd de eerste stap.

Welke verplichtingen geeft de Cyberbeveiligingswet?

De Cyberbeveiligingswet geeft drie verplichtingen: de zorgplicht, de meldplicht en de registratieplicht. Alle drie gelden sinds de inwerkingtreding op 15 augustus 2026.

1. Zorgplicht (artikel 21 Cbw)

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico's voor netwerk- en informatiesystemen te beheersen. Concreet: de tien onderwerpen uit artikel 21, derde lid, Cbw moeten gedocumenteerd, ingevoerd en aantoonbaar effectief zijn.

2. Meldplicht (artikelen 25 tot en met 29 Cbw)

Significante incidenten moeten volgens een gefaseerd schema gemeld worden bij het CSIRT en de bevoegde toezichthouder. De Tweede Kamer heeft een motie aangenomen voor één centraal meldportaal voor nationale en sectorale cyberincidentmeldingen — het NCSC beheert dit loket.

3. Registratieplicht (artikelen 43 en 44 Cbw)

Entiteiten die onder de wet vallen, leveren hun gegevens aan voor het nationale register dat de minister beheert (artikelen 43 en 44 Cbw): naam, adres, contactgegevens (e-mail, IP-bereiken, telefoon), sector en de lidstaten waar zij diensten verlenen. Het Cyberbeveiligingsbesluit vraagt daarnaast onder meer het KvK-nummer en de domeinnamen. De registratie is verplicht sinds 15 augustus 2026, zonder overgangstermijn: organisaties zijn zelf verantwoordelijk voor tijdige registratie. U registreert via MijnNCSC met eHerkenning: het NCSC noemt betrouwbaarheidsniveau EH2+, de RDI minimaal niveau 3. Met niveau 3 voldoet u aan beide. Een wijziging geeft u binnen twee weken door.

De combinatie van zorgplicht, meldplicht en registratieplicht betekent dat "we hebben cybersecurity intern geregeld" juridisch niet langer volstaat. De Cbw vraagt om aantoonbare, geregistreerde en gerapporteerde compliance.

Welke tien onderwerpen vallen onder de zorgplicht (artikel 21 Cbw)?

Artikel 21, derde lid, Cbw noemt tien onderwerpen die de maatregelen ten minste omvatten. De Cbw schrijft geen norm voor; alleen voor de sector overheid verplicht een ministeriële regeling ISO 27001 en BIO2. ISO 27001 behandelt de meeste onderwerpen uit artikel 21; de meldtermijnen, de registratie en de taken van het bestuur staan alleen in de Cbw. De tabel laat zien bij welke maatregelen uit bijlage A van ISO 27001 elk onderwerp past.

Belangrijk: de maatregelen moeten gedocumenteerd, geïmplementeerd en aantoonbaar effectief zijn. Het Cyberbeveiligingsbesluit eist periodieke evaluatie (artikel 18 Cbb) — bestuurders kunnen niet volstaan met "we hebben beleid".

Hoe werkt de meldplicht van de Cyberbeveiligingswet?

Een significant incident meldt u binnen 24 uur na het bekend worden (vroegtijdige waarschuwing), binnen 72 uur (melding) en uiterlijk een maand na de melding (eindverslag). De Cbw neemt de gefaseerde meldplicht uit NIS2 (artikel 23) over in de artikelen 25 tot en met 29. Voor significante incidenten — die de dienstverlening ernstig verstoren of grote materiële/immateriële schade veroorzaken — gelden strakke termijnen:

De Tweede Kamer heeft bij behandeling van de Cbw een motie aangenomen voor één centraal meldportaal, beheerd door het NCSC. Daarmee hoeven organisaties niet per sector apart te melden — één melding volstaat. Sectorale toezichthouders (zoals RDI voor digitale infrastructuur) krijgen de gegevens via dit loket aangeleverd.

Organisaties die vóór een incident al een incident response-playbook hebben ingericht — inclusief meldsjablonen, juridische review en een beslissingsmatrix "wanneer is een incident significant?" — halen de 24-uurstermijn veel makkelijker. Zonder voorbereiding wordt die termijn onhaalbaar.

Het bestuur: goedkeuring, training en sancties (artikel 24 Cbw)

NIS2 legt in artikel 20 een eigen verantwoordelijkheid bij het bestuur. In de Cbw staat die uitwerking in artikel 24:

1. Goedkeuring: de maatregelen van de zorgplicht (artikel 21) hebben de goedkeuring van het bestuur nodig. Dat geldt sinds 15 augustus 2026.
2. Kennis: elk bestuurslid kan risico's voor netwerk- en informatiesystemen identificeren en maatregelen en hun gevolgen voor de dienstverlening beoordelen, en houdt die kennis aantoonbaar actueel.
3. Training met certificaat: elk bestuurslid heeft een certificaat van een training over deze onderwerpen. Zittende bestuurders hebben daarvoor twee jaar, dus tot 15 augustus 2028; een nieuw bestuurslid heeft twee jaar na de benoeming.

Het Cyberbeveiligingsbesluit (artikelen 20 tot en met 22) bepaalt dat de training in ieder geval de soorten risico's, risicomanagement, risicobeoordeling en de tien maatregelen van de zorgplicht behandelt. Het is uitdrukkelijk geen technische opleiding. Het certificaat vermeldt de naam van het bestuurslid, de datum of data, de behandelde onderwerpen en de aanbieder, en is in het Nederlands of Engels. De training zelf mag in elke taal.

Sancties per bestuurslid. De Cbw regelt geen civiele aansprakelijkheid van bestuurders; die volgt uit het Burgerlijk Wetboek. De wet geeft de toezichthouder wel sancties die het bestuurslid persoonlijk raken: een last onder dwangsom (artikel 92) en een bestuurlijke boete van ten hoogste € 25.000 (artikel 93) bij overtreding van de kennis- en trainingsplicht. Voert een essentiële entiteit een opgelegde maatregel niet op tijd uit, dan kan de toezichthouder de rechter vragen bestuursleden te schorsen (artikel 78).

Voor mkb-ondernemers betekent dit dat cybersecurity niet alleen bij "de IT-afdeling" kan liggen: het vraagt een besluit van het bestuur, gedocumenteerde goedkeuring en een certificaat per bestuurslid. Begin daar vroeg mee.

Hoe hoog zijn de boetes onder de Cyberbeveiligingswet?

Een essentiële entiteit kan een boete krijgen van ten hoogste € 10 miljoen of 2% van de wereldwijde jaaromzet, een belangrijke entiteit ten hoogste € 7 miljoen of 1,4%; het hoogste bedrag geldt.

De maximale boetes onder de Cyberbeveiligingswet staan in de artikelen 80 en 87 Cbw en gelden voor overtreding van de zorgplicht en de meldplicht. Voor andere overtredingen, zoals de registratieplicht, is het maximum € 1 miljoen. De toezichthouder bepaalt de boete per geval. Daarnaast kunnen toezichthouders een einddatum stellen om een overtreding te beëindigen, en bij een essentiële entiteit de rechter vragen bestuursleden te schorsen (artikelen 76 en 78).

Organisaties die al ISO 27001-gecertificeerd zijn: De Cbw schrijft geen norm voor. ISO 27001 behandelt de meeste onderwerpen uit artikel 21; de meldtermijnen, de registratie en de taken van het bestuur staan alleen in de Cbw. Hun extra werk zit in de Cbw-specifieke onderdelen: een incident response-proces volgens de wettelijke termijnen, bestuurlijke training en aangescherpte ketenverplichtingen. De efficiëntste route is daarom meestal: eerst ISO 27001 opzetten, dan de Cbw-specifieke onderdelen invullen. Zie de pagina ISO 27001 voor meer details.

Stappenplan voor Cbw-compliance

Stap 1 - Scope bepalen

Stel vast of uw organisatie onder de Cbw valt en in welke categorie (essentieel of belangrijk). Beoordeel sector, grootte en ketenafhankelijkheden en leg de onderbouwing vast — die heeft u nodig voor de registratieplicht.

Stap 2 - Gap-analyse artikel 21

Beoordeel per onderwerp (a tot en met j) uit artikel 21, derde lid, Cbw de huidige stand van zaken. Het resultaat is een prioriteitenplan met tijdsbesteding en verantwoordelijken. Dit vormt tegelijk de onderbouwing van de wettelijke zorgplicht.

Stap 3 - Maatregelen invoeren

Leg beleid en procedures vast en richt cryptografie, toegangsbeheer, MFA, leveranciersbeoordeling en secure development in. Gebruik ISO 27001 als praktisch fundament waar mogelijk — efficiënt, herbruikbaar en certificeerbaar.

Stap 4 - Incident response en meldproces

Zorg voor een playbook, meldsjablonen, 24-uurs bereikbaarheid en oefeningen, afgestemd op het centrale NCSC-meldportaal. Zo bent u voorbereid op de wettelijke meldtermijnen (24u / 72u / 1 maand) voordat het eerste incident zich voordoet.

Stap 5 - Governance en bestuurlijke training

Het bestuur keurt de maatregelen goed en elk bestuurslid volgt een training met certificaat (artikel 24 Cbw), zittende bestuurders uiterlijk 15 augustus 2028. Besluitvorming wordt gedocumenteerd, zodat aantoonbaar is dat het bestuur zijn verantwoordelijkheid heeft genomen.

Cbw vs ISO 27001 vs BIO

De Cbw, ISO 27001 en BIO2 lijken op elkaar, maar verschillen in juridische status, doelgroep en certificeerbaarheid.

De kern: de Cbw is een verplichting, ISO 27001 is een instrument dat helpt aan die verplichting te voldoen. Voor overheidsorganisaties doet BIO2 hetzelfde binnen de publieke context.

Lees ook de pagina's ISO 27001 en BIO voor verdieping. Documenten voor overheidsorganisaties vindt u in de BIO2 Toolkit.

Ketenverplichtingen: ook relevant zonder directe scope

Onderdeel d van artikel 21, derde lid, Cbw verplicht in-scope entiteiten om beveiliging in de toeleveringsketen te waarborgen. Dit werkt door naar leveranciers die zelf niet onder de Cbw vallen:

• Aanscherping van leveranciersvoorwaarden en SLA's
• Verplichte security-assessments van kritieke leveranciers
• Contractuele auditrechten en incidentmeldplichten
• Uitsluiting van leveranciers die onvoldoende aantoonbaar beveiligd zijn

Bovenop de ruim 8.000 organisaties die direct onder de wet vallen, raken deze ketenverplichtingen dus ook hun leveranciers, ook als die zelf niet onder de Cbw vallen.

Voor MKB-dienstverleners, software-leveranciers en (sub)contractors in de keten betekent dit: ook al valt u niet direct onder de Cbw, uw klanten zullen u vragen om aantoonbaar compliant te zijn. Een ISO 27001-certificaat is dan in de praktijk vaak het verschil tussen wél of niet op de leverancierslijst blijven staan.

Gebruikt u voor uw ISO 27001-documenten een toolkit van een aanbieder die stopt? Dan staat de overstap in vier stappen op Overstappen van CertiKit (verkoop stopt 30 oktober).