Registratie Cyberbeveiligingswet: zo werkt het bij het NCSC

Moet u uw organisatie registreren voor de Cyberbeveiligingswet? Ja, als uw organisatie onder de wet valt. De registratie voor de Cyberbeveiligingswet is verplicht sinds 15 augustus 2026, zonder overgangstermijn, en gaat via MijnNCSC. Op deze pagina leest u wie zich moet registreren, welke gegevens u nodig hebt, hoe het inloggen werkt en wat er gebeurt als u het niet doet.

Wat is de registratieplicht?

De registratieplicht is de wettelijke plicht om gegevens over uw organisatie aan te leveren voor het nationale register van entiteiten (artikel 44 Cbw). Dat register valt onder de minister van Justitie en Veiligheid (artikel 43); de registratie zelf loopt via het portaal MijnNCSC. Met het register weet de overheid welke organisaties onder de wet vallen, wie zij bij een dreiging moet waarschuwen en op wie het toezicht zich richt.

De plicht geldt voor drie groepen:

• essentiële entiteiten;
• belangrijke entiteiten;
• entiteiten die domeinnaamregistratiediensten verlenen.

Of u essentieel of belangrijk bent, hangt af van uw sector en omvang. Weet u dat nog niet, lees dan eerst Valt mijn bedrijf onder de Cyberbeveiligingswet?

Sinds wanneer en tot wanneer?

De Cyberbeveiligingswet trad op 15 augustus 2026 in werking (artikel 35 Cyberbeveiligingsbesluit). Vanaf die dag moeten organisaties die onder de wet vallen geregistreerd zijn (NCSC). Er is geen overgangstermijn: wie onder de wet valt en nog niet geregistreerd is, loopt achter. U bent zelf verantwoordelijk voor het tijdig inschrijven in het register van het juiste land en voor actuele gegevens (RDI).

Gaat uw organisatie later onder de wet vallen, bijvoorbeeld door groei of een nieuwe activiteit, dan registreert u op dat moment.

Welke gegevens hebt u nodig?

De wet en het Cyberbeveiligingsbesluit bepalen welke gegevens u aanlevert:

Volgens het NCSC haalt MijnNCSC de organisatiegegevens op uit het handelsregister van de KvK of het Register van Overheidsorganisaties. Kloppen die niet, dan past u ze in de bron aan. Het NCSC vraagt ook om AS-nummers (als u die hebt) en een contactpersoon die bij incidenten bereikbaar is. Kies de sector waarin u zelf actief bent, niet de sectoren van uw klanten.

Zo registreert u via MijnNCSC

1. Stel vast dat u onder de wet valt en leg de onderbouwing vast. Gebruik eventueel de gratis zelfevaluatie van de overheid.
2. Wijs een eigenaar aan voor de registratie, bijvoorbeeld de bestuurder of de CISO. Het NCSC adviseert iemand met kennis van cybersecurity én beslissingsbevoegdheid.
3. Regel eHerkenning met een machtiging om namens uw organisatie te registreren. Het NCSC noemt betrouwbaarheidsniveau EH2+; de RDI noemt minimaal niveau 3. Met niveau 3 voldoet u aan beide. Het middel moet gekoppeld zijn aan uw KvK-nummer. Aanvragen kan enkele dagen duren; begin hier dus mee.
4. Verzamel de gegevens uit de tabel hierboven, met de checklist Cbw-registratie van het NCSC.
5. Registreer op mijn.ncsc.nl en verklaar dat de gegevens naar waarheid zijn ingevuld.
6. Leg vast wie wijzigingen doorgeeft, zodat de termijn van twee weken haalbaar is.

Rijksoverheidsorganisaties kunnen ook inloggen met Single Sign On Rijk (SSOnRijk).

Wijzigingen binnen twee weken

U geeft elke wijziging onverwijld, en in elk geval binnen twee weken na de datum van de wijziging door (artikel 44, tweede lid, Cbw). Voorbeelden zijn een nieuwe IP-reeks of domeinnaam, een andere contactpersoon, een verhuizing of een fusie. Leg dat vast in uw wijzigingsproces: wie past bij een netwerkwijziging de registratie aan?

In meer EU-landen actief?

U registreert zich in de regel in elk EU-land waar u gevestigd bent en diensten levert. Er zijn uitzonderingen (NCSC):

• overheidsinstellingen registreren zich in het eigen land;
• aanbieders van openbare elektronische communicatie registreren zich in het land waar zij hun diensten aanbieden;
• aanbieders van internetdiensten, zoals cloud, DNS en online marktplaatsen, registreren zich in het land van hun hoofdvestiging in de EU.

Voor ingewikkelde situaties heeft de NCTV een handreiking complexe bedrijfsmodellen.

Wat als u zich niet registreert?

Niet of niet juist registreren kan leiden tot een last onder dwangsom of een bestuurlijke boete (RDI). Voor overtredingen buiten de zorgplicht en de meldplicht, zoals de registratieplicht, is de maximale boete € 1 miljoen, voor essentiële en belangrijke entiteiten (artikelen 80 en 87, derde lid, onderdeel b, Cbw).

Registreren levert ook iets op: u ontvangt relevante dreigingsinformatie van het NCSC (RDI), en u kunt aansluiten op de dienstverlening van het CSIRT voor uw sector, met ondersteuning bij een incident (NCSC).

Ontheffing

De minister kan een organisatie ontheffen van de registratieplicht als zij uitsluitend werkt op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, of uitsluitend diensten verleent aan zo'n overheidsinstantie (artikel 45 Cbw). Voor de meeste bedrijven is dat niet van toepassing.

Registratie vastleggen

Leg na de registratie vast wat u hebt opgegeven, wanneer en door wie, en wie wijzigingen doorgeeft. Dat helpt bij een vraag van de toezichthouder en bij de termijn van twee weken. De Cyberbeveiligingswet Toolkit (€ 495 excl. btw) bevat daarvoor het document "Toepasselijkheid en registratie", naast de documenten voor de zorgplicht, de meldplicht en het bestuur. Meer over alle verplichtingen leest u op de pagina NIS2 en de Cyberbeveiligingswet.