Valt mijn bedrijf onder de Cyberbeveiligingswet?

Valt mijn bedrijf onder de Cyberbeveiligingswet? Dat hangt af van drie dingen: uw sector staat in bijlage 1 of 2 van de wet, uw organisatie is middelgroot of groot, en u bent in Nederland gevestigd. Voldoet u aan alle drie, dan valt u onder de Cyberbeveiligingswet (Cbw). Daarnaast noemt de wet een aantal organisaties die er ongeacht hun omvang onder vallen. De wet geldt sinds 15 augustus 2026.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet is de Nederlandse wet die de Europese NIS2-richtlijn (EU) 2022/2555 uitvoert. De wet verplicht essentiële en belangrijke entiteiten om hun netwerk- en informatiesystemen te beveiligen, ernstige incidenten te melden en zich te registreren. De wet trad op 15 augustus 2026 in werking, samen met het Cyberbeveiligingsbesluit (artikel 35 Cyberbeveiligingsbesluit, Stb. 2026, 189). De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

U krijgt in de regel geen brief of aanwijzing van de overheid. Valt u eronder, dan geldt de wet "van rechtswege": u stelt dat zelf vast en handelt er zelf naar. Dat is de reden om de toets hieronder nu te doen.

Stap 1: staat uw sector in bijlage 1 of 2?

De Cbw verdeelt de sectoren over twee bijlagen bij de wet:

Kijk niet alleen naar de naam van de sector, maar naar de soort entiteit die de bijlage per sector noemt. "Vervaardiging" gaat bijvoorbeeld over specifieke productgroepen, zoals medische hulpmiddelen, elektronica, machines en voertuigen. Staat uw activiteit er niet in, dan valt u niet onder de wet, behalve als u tot de groep hoort die de wet ongeacht omvang noemt (zie stap 2).

Stap 2: bent u middelgroot of groot?

De Cbw gebruikt de Europese mkb-definitie uit Aanbeveling 2003/361/EG. Een organisatie is:

Kleine en micro-ondernemingen vallen in principe buiten de wet. Tel bij de omvang ook partner- en verbonden ondernemingen mee, zoals de mkb-definitie voorschrijft: een kleine dochter van een groot concern is volgens die definitie geen kleine onderneming.

Sommige organisaties vallen er ongeacht hun omvang onder. Volgens artikel 8 Cbw zijn onder meer gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners, ministeries, provincies, gemeenten en waterschappen altijd essentieel. Kleine aanbieders van openbare elektronische communicatie en verleners van vertrouwensdiensten zijn belangrijk (artikel 12). Daarnaast kan de minister een organisatie aanwijzen (artikel 9).

Stap 3: bent u in Nederland gevestigd?

De wet geldt voor entiteiten die in Nederland gevestigd zijn en diensten verlenen in Nederland of een andere EU-lidstaat (artikel 4 Cbw). Voor aanbieders van openbare elektronische communicatie telt waar zij hun diensten aanbieden. Bent u in meer EU-landen actief, dan kan de wet van een ander land ook gelden. De NCTV heeft daarvoor een handreiking complexe bedrijfsmodellen.

Uitgezonderd zijn onder meer overheidsinstanties die vooral werken aan nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving. Bekostigde hogescholen en universiteiten vallen er volgens de NCTV nog niet onder; daarvoor komt een eigen regeling.

Essentieel of belangrijk: wat is het verschil?

Een essentiële entiteit is een organisatie die de wet als essentieel aanmerkt omdat zij groot is en in een sector van bijlage 1 werkt, omdat zij in artikel 8 staat, of omdat de minister haar aanwijst (artikel 9). Een belangrijke entiteit is een middelgrote organisatie uit bijlage 1 of een middelgrote of grote organisatie uit bijlage 2 (artikel 12 Cbw).

De verplichtingen zijn voor beide gelijk. Het verschil zit in het toezicht en de boete. Essentiële entiteiten staan onder proactief toezicht: de toezichthouder controleert actief. Belangrijke entiteiten staan onder reactief toezicht: controle volgt na signalen. De maximale boete voor het overtreden van de zorgplicht of de meldplicht is € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten (artikel 80) en € 7 miljoen of 1,4% voor belangrijke entiteiten (artikel 87), telkens het hoogste bedrag.

Wat moet u doen als u eronder valt?

De Cbw legt vier verplichtingen op:

De registratie is verplicht sinds 15 augustus 2026, zonder overgangstermijn. Lees meer op de pagina NIS2 en de Cyberbeveiligingswet.

Valt u er niet onder, maar uw klant wel?

Dan geldt de wet niet voor u, maar merkt u haar wel. Organisaties onder de Cbw moeten de beveiliging van hun toeleveringsketen regelen, inclusief de relatie met hun rechtstreekse leveranciers en dienstverleners (artikel 21, derde lid, onderdeel d, Cbw). Verwacht daarom vragenlijsten, contractbepalingen over beveiliging en meldplichten richting de klant. Een ICT-leverancier van een gemeente valt bijvoorbeeld zelf misschien niet onder de wet, maar de gemeente wel.

Zo controleert u het in drie stappen

1. Zoek uw activiteit op in bijlage 1 en 2 van de wettekst.
2. Bepaal uw omvang met de mkb-definitie, inclusief partner- en verbonden ondernemingen.
3. Doe de gratis zelfevaluatie van de overheid en leg de uitkomst met onderbouwing vast. Die onderbouwing heeft u ook nodig als u later moet uitleggen waarom u zich wel of niet hebt geregistreerd.

Valt u eronder, dan bevat de Cyberbeveiligingswet Toolkit (€ 495 excl. btw) een document om de toepasselijkheid en de registratie vast te leggen, plus de documenten voor de zorgplicht, de meldplicht en het bestuur.