inzicht:
De Cyberbeveiligingswet geldt. Valt jouw bedrijf eronder?
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse invulling van NIS2. Ongeveer 8.000 organisaties krijgen een registratieplicht, zorgplicht en meldplicht. De eerste stap: uitzoeken of jij erbij hoort.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, samen met de Wet weerbaarheid kritieke entiteiten. Daarmee is NIS2, de Europese richtlijn voor netwerk- en informatiebeveiliging, na twee jaar vertraging omgezet in Nederlandse wetgeving. Volgens de Rijksoverheid krijgen ongeveer 8.000 organisaties in Nederland er nieuwe verplichtingen door.
De wet geldt voor essentiële en belangrijke entiteiten in aangewezen sectoren, waaronder vervoer, energie, gezondheidszorg, digitale aanbieders en delen van de industrie. Of je eronder valt hangt af van je sector én je omvang. De eerste vraag is dus geen beleidsvraag maar een feitelijke: valt mijn organisatie onder de wet?
Drie plichten als het antwoord ja is
1. Registratieplicht. Je meldt je organisatie aan in het entiteitenregister van het NCSC, via MijnNCSC.
2. Zorgplicht. Je neemt passende maatregelen om je digitale risico's te beheersen. Denk aan toegangsbeheer, meervoudige authenticatie, geteste backups, incidentprocedures en zicht op de beveiliging van je leveranciers.
3. Meldplicht. Significante incidenten meld je bij het CSIRT en de toezichthouder, met strakke termijnen: de richtlijn schrijft een vroege waarschuwing binnen 24 uur voor en een vollediger melding binnen 72 uur.
Geen paniekproject van maken
De zorgplicht is geen exotische lijst. Het is de beveiligingsbasis die een gezond bedrijf toch al wil: wie kan waarbij, wat gebeurt er bij een incident, en kun je dat aantonen. Wie die basis op orde heeft, heeft vooral administratief werk. Wie hem niet op orde heeft, had dat ook zonder wet moeten willen.
Val je er zelf niet onder? Dan is de kans nog steeds groot dat je er via je opdrachtgevers mee te maken krijgt: organisaties die wél onder de wet vallen moeten hun ketenpartners toetsen. Hoe dat uitpakt beschreven we in NIS2: ook als je er zelf niet onder valt.
Weten waar je staat? De NIS2-quickscan geeft in een paar minuten een eerste beeld van je gaten. Daarna is het gewoon werk: gaten dichten, vastleggen, aantoonbaar maken.
Bron: rijksoverheid.nl, ncsc.nl.
Lees verder over Cyber-security voor het MKB
NIS2: ook als je er zelf niet onder valt
De meeste wegtransporteurs vallen niet rechtstreeks onder NIS2. Toch krijgen ze er last van, via hun grote opdrachtgevers.
Wat je cyberverzekeraar wil zien voor hij uitkeert
Een cyberverzekering afsluiten is niet het moeilijke deel. Aantonen dat de beloofde maatregelen echt draaiden op het moment van het incident, daar staat of valt je dekking mee.
Een disaster-recovery-plan dat werkt als het misgaat
De meeste MKB-bedrijven hebben backups. Veel minder hebben een antwoord op de vraag hoe lang het duurt voor alles weer draait, en hoeveel werk er dan kwijt is. Dat antwoord heet een DR-plan.
Het verwerkingsregister: verplichter dan je denkt
De AVG-vrijstelling voor bedrijven onder de 250 medewerkers klinkt geruststellend, maar dekt vrijwel niemand. Wie personeels- of klantgegevens verwerkt moet gewoon een register hebben. Wat erin moet en hoe je het klein houdt.
Phishing-training die werkt (en waarom de jaarlijkse e-learning dat niet is)
Een uur e-learning per jaar voelt als afgevinkt, maar herkenning slijt in weken. Wat wel werkt: kort en vaak oefenen, melden belonen, en techniek die een verkeerde klik opvangt.
Gerelateerd lezen
NIS2-registratie bij het NCSC: zo werkt het in de praktijk
Valt je organisatie onder de Cyberbeveiligingswet, dan is registreren in het entiteitenregister een lopende wettelijke plicht. Wat je nodig hebt, welke gegevens ze vragen, en de valkuilen.
AI Act: wat de markeringsdeadline van 2 december wel en niet dekt
Op 2 december loopt de laatste overgangstermijn van de transparantieplicht af. Wie denkt dat zijn hele AI-verhaal tot dan mag wachten, leest de verkeerde klok: het meeste geldt al sinds augustus.
Phishing-training die werkt (en waarom de jaarlijkse e-learning dat niet is)
Een uur e-learning per jaar voelt als afgevinkt, maar herkenning slijt in weken. Wat wel werkt: kort en vaak oefenen, melden belonen, en techniek die een verkeerde klik opvangt.