NIS2 en de Cyberbeveiligingswet: wat moet uw organisatie weten?

Gepubliceerd op 25 juli 2026 · Laatst bijgewerkt op 9 oktober 2026

Door Tom Meevis, advocaat bij Law & More

NIS2 en de Cyberbeveiligingswet: het korte antwoord

De Cyberbeveiligingswet zet sinds 15 augustus 2026 de Europese NIS2-richtlijn om in Nederlands recht en verplicht essentiële en belangrijke entiteiten tot risicobeheer, een meldplicht binnen 24 uur en zorg voor de keten. Kleinere organisaties vallen er in de regel buiten, maar sommige partijen, zoals aanbieders van openbare elektronische communicatie en overheidsorganisaties, vallen er ongeacht hun omvang onder. Bestuurders kunnen persoonlijk worden aangesproken op naleving.

Cybersecurity is niet langer uitsluitend een technisch vraagstuk. Het is ook een juridisch en bestuurlijk thema waarmee vrijwel iedere onderneming van enige omvang te maken krijgt.

Met de Europese NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet verschuift de verantwoordelijkheid voor digitale weerbaarheid nadrukkelijk naar het bestuur van organisaties. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Ondernemers, bestuurders en compliance officers moeten daarom vaststellen:

• of hun organisatie onder de nieuwe regelgeving valt;
• welke verplichtingen daaruit voortvloeien;
• welke maatregelen nodig zijn;
• en hoe de organisatie aan deze verplichtingen kan voldoen.

Hieronder bespreken wij de belangrijkste onderdelen van NIS2 en de Cyberbeveiligingswet: het toepassingsgebied, de zorgplicht, de meldplicht, de bestuurlijke verantwoordelijkheid, de handhaving en de stappen die organisaties nu al kunnen zetten.

Wat is NIS2?

NIS2 is de formele benaming voor richtlijn (EU) 2022/2555. De richtlijn volgt de eerste Europese netwerk- en informatiebeveiligingsrichtlijn op, die doorgaans wordt aangeduid als NIS1.

De lidstaten moesten NIS2 uiterlijk op 17 oktober 2024 in nationale wetgeving hebben omgezet. Vanaf 18 oktober 2024 verving NIS2 formeel de eerdere richtlijn.

Het doel is het verhogen en meer gelijktrekken van het niveau van cyberweerbaarheid binnen de Europese Unie. Dat gebeurt langs twee hoofdlijnen. Ten eerste een breder toepassingsgebied: veel meer organisaties vallen onder de regelgeving dan onder NIS1. Ten tweede aangescherpt toezicht en strengere handhaving, met een uitgebreider instrumentarium en duidelijkere verantwoordelijkheden voor bestuurders.

Waar NIS1 onderscheid maakte tussen aanbieders van essentiele diensten en aanbieders van digitale diensten, werkt NIS2 met essentiele entiteiten en belangrijke entiteiten. Dat onderscheid is niet alleen terminologisch: het bepaalt onder meer de intensiteit van het toezicht en de hoogte van de mogelijke boetes.

Welke organisaties vallen onder NIS2?

NIS2 is van toepassing op organisaties die actief zijn in achttien aangewezen sectoren, verdeeld in sectoren met een hoge mate van kriticiteit en overige kritieke sectoren.

Tot de sectoren met een hoge mate van kriticiteit behoren onder meer energie, transport, bankwezen, financiëlemarktinfrastructuur, gezondheidszorg, drinkwater en afvalwater, digitale infrastructuur, ICT-diensten voor zakelijke gebruikers, overheid en ruimtevaart.

De overige kritieke sectoren omvatten onder meer post- en koeriersdiensten, afvalbeheer, chemie, voeding, fabricage, digitale aanbieders en onderzoeksinstellingen.

Vanaf welke omvang valt u onder NIS2?

Binnen deze sectoren geldt als hoofdregel dat een organisatie onder NIS2 valt wanneer zij kwalificeert als middelgrote of grote onderneming. Daarbij wordt gekeken naar ten minste 50 werknemers, of een jaaromzet dan wel balanstotaal van meer dan 10 miljoen euro.

Op deze hoofdregel bestaan uitzonderingen. Bepaalde organisaties vallen ongeacht hun omvang onder de regelgeving, omdat hun dienstverlening als bijzonder kritisch wordt beschouwd:

• aanbieders van openbare elektronische communicatienetwerken en -diensten;
• verleners van vertrouwensdiensten;
• aanbieders van diensten voor domeinnaamregistratie;
• registries voor topleveldomeinnamen;
• overheidsorganisaties.

Sinds 15 augustus 2026 gelden de nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland. Dat is een aanzienlijke uitbreiding ten opzichte van het aantal organisaties dat onder de Wet beveiliging netwerk- en informatiesystemen viel.

Ook organisaties die zichzelf niet eerder als onderdeel van een kritieke sector beschouwden, kunnen hierdoor met de regelgeving te maken krijgen. Denk aan middelgrote productiebedrijven, voedingsmiddelenfabrikanten, onderzoeksinstellingen en digitale dienstverleners. Organisaties zijn zelf verantwoordelijk om te toetsen of zij onder de wet vallen. Er volgt dus geen brief van een toezichthouder waarin dat wordt meegedeeld.

Welke maatregelen vraagt de zorgplicht?

De kern van NIS2 en de Cyberbeveiligingswet is de zorgplicht. Essentiële en belangrijke entiteiten moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen.

De regelgeving noemt de onderwerpen waarop het beleid in ieder geval betrekking moet hebben:

• risicoanalyse en beveiligingsbeleid;
• incidentafhandeling;
• bedrijfscontinuïteit, back-upbeheer en herstel na een calamiteit;
• beveiliging van de toeleveringsketen;
• cyberhygiëne en opleiding van medewerkers;
• beleid voor het omgaan met kwetsbaarheden;
• multifactorauthenticatie;
• versleutelde communicatie;
• cryptografie;
• periodieke toetsing van de effectiviteit van de maatregelen.

De maatregelen moeten evenredig zijn aan de omvang van de organisatie en de risico’s waaraan zij daadwerkelijk wordt blootgesteld. Een kleinere belangrijke entiteit hoeft daarom niet dezelfde maatregelen te treffen als een grote essentiële entiteit in een hoogrisicosector.

De zorgplicht blijft wel een harde verplichting. Organisaties moeten kunnen onderbouwen welke risico’s zij hebben vastgesteld, welke maatregelen zij hebben genomen en waarom die maatregelen passend zijn. Niet alleen de maatregelen zelf, maar ook de wijze waarop zij worden afgewogen, vastgelegd en periodiek geëvalueerd, is onderwerp van toezicht.

Binnen welke termijnen meldt u een incident?

U geeft binnen 24 uur een vroegtijdige waarschuwing, doet binnen 72 uur een formele melding en levert binnen een maand een eindrapport.

Naast de zorgplicht kent NIS2 een gefaseerde meldplicht bij significante incidenten. Wanneer een incident aanzienlijke gevolgen heeft of kan hebben voor de continuïteit van de dienstverlening, gelden in hoofdlijnen de volgende termijnen:

• binnen 24 uur een vroegtijdige waarschuwing aan het nationale computercrisisteam of de bevoegde autoriteit;
• binnen 72 uur een formele melding met een eerste beoordeling van de ernst en de gevolgen;
• uiterlijk binnen één maand een eindrapport met onder meer een beschrijving van het incident, de vermoedelijke oorzaak, de genomen maatregelen en eventuele grensoverschrijdende gevolgen.

Deze termijnen maken het noodzakelijk om vooraf duidelijke procedures in te richten. De organisatie moet weten wanneer sprake is van een meldingsplichtig incident, wie bevoegd is te melden, welke informatie beschikbaar moet zijn, wie de coordinatie doet en hoe bestuur en toezichthouder worden geïnformeerd.

Een organisatie die pas tijdens een incident een meldproces probeert op te zetten, loopt een aanzienlijk risico dat zij niet tijdig of niet volledig kan rapporteren.

Welke verantwoordelijkheid heeft het bestuur?

NIS2 legt de verantwoordelijkheid voor cyberrisicobeheersing uitdrukkelijk bij het bestuur. Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering daarvan, de cyberrisico’s van de organisatie kunnen beoordelen, en zelf voldoende training volgen.

Cybersecurity kan daarmee niet langer worden gezien als een verantwoordelijkheid van uitsluitend de IT-afdeling. Het is een bestuurlijk onderwerp dat deel moet uitmaken van de reguliere besluitvorming en risicobeheersing.

De richtlijn benoemt bovendien expliciet de persoonlijke aansprakelijkheid van leden van het senior management wanneer de organisatie haar verplichtingen niet naleeft. Leg de bestuurlijke betrokkenheid daarom vast, bijvoorbeeld met documentatie van gevolgde trainingen, bestuursbesluiten, goedgekeurd beleid, risicoanalyses, rapportages en het toezicht op de uitvoering.

Hoe is NIS2 in Nederland ingevoerd?

Via de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten, die op 15 augustus 2026 in werking zijn getreden. Nederland was daarmee te laat: de omzettingstermijn liep op 17 oktober 2024 af.

De Nederlandse implementatie van NIS2 heeft aanzienlijke vertraging opgelopen. De omzettingstermijn van 17 oktober 2024 is niet gehaald.

Op 8 juli 2026 besloot de Europese Commissie Nederland, samen met Ierland, Spanje en Frankrijk, voor het Hof van Justitie van de Europese Unie te dagen omdat deze lidstaten geen omzettingsmaatregelen hadden gemeld. Nederland behoorde daarmee tot de vier achterblijvers van de Europese Unie.

De timing is opvallend. Een dag eerder, op 7 juli 2026, had de Eerste Kamer ingestemd met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Of het feit dat de wet is aangenomen voordat de verwijzing werd verstuurd gevolgen heeft voor de uitkomst van de procedure, staat nog niet vast; dat oordeel is aan het Hof.

Beide wetten zijn op 15 augustus 2026 in werking getreden. De Cyberbeveiligingswet implementeert de NIS2-richtlijn; de Wet weerbaarheid kritieke entiteiten implementeert de Europese CER-richtlijn, gericht op de weerbaarheid van kritieke infrastructuur. Organisaties die onder die laatste wet vallen, worden vanaf 15 augustus 2026 formeel aangewezen als kritieke entiteit.

Met de inwerkingtreding is de Wet beveiliging netwerk- en informatiesystemen (Wbni) vervallen. Voor organisaties die daar al onder vielen betekent dit verzwaarde verplichtingen; voor organisaties die voor het eerst binnen het bereik komen, een geheel nieuw regime.

Hoe registreert u zich bij het NCSC?

U registreert uw organisatie via het portaal MijnNCSC in het nationale entiteitenregister. Dat is sinds 15 augustus 2026 verplicht.

Een belangrijke nieuwe verplichting is de registratie bij het Nationaal Cyber Security Centrum. Essentiële en belangrijke entiteiten moeten worden opgenomen in het nationale entiteitenregister. Die registratie is per 15 augustus 2026 verplicht en verloopt via het portaal MijnNCSC, met eHerkenning voor reguliere organisaties en met SSOnRijk voor overheidsorganisaties. Wijzigingen in de geregistreerde gegevens moeten binnen veertien dagen worden doorgegeven.

Registratie is niet alleen een administratieve verplichting. Na registratie kunnen organisaties aansluiten op de dienstverlening van hun CSIRT, waar zij producten en diensten krijgen om hun weerbaarheid te vergroten en ondersteuning bij een incident.

Heeft uw organisatie zich nog niet geregistreerd, doe dat dan alsnog zo snel mogelijk.

Wie houdt toezicht en welke sancties gelden?

Het toezicht verschilt per sector; de Rijksinspectie Digitale Infrastructuur is een van de toezichthouders. De toezichthouder kan onder meer een bindende aanwijzing, een last onder dwangsom of een bestuurlijke boete opleggen.

De Cyberbeveiligingswet voorziet in een gedifferentieerd toezichtregime. Essentiële entiteiten staan onder proactief toezicht: de toezichthouder kan doorlopend en uit eigen beweging controleren, zonder dat een concreet incident of signaal nodig is.

Belangrijke entiteiten staan onder reactief toezicht, waarbij de toezichthouder in beginsel in actie komt naar aanleiding van een incident, een klacht of een ander concreet signaal.

Het toezicht is verdeeld over meerdere instanties. De Rijksinspectie Digitale Infrastructuur houdt sinds 15 augustus 2026 toezicht op organisaties uit negen sectoren; voor andere sectoren zijn andere toezichthouders aangewezen.

Stel daarom vast welke toezichthouder voor uw organisatie bevoegd is.

Het handhavingsinstrumentarium is breed en omvat onder meer:

• een beveiligingsscan of beveiligingsaudit;
• een bindende aanwijzing;
• een last onder bestuursdwang of een last onder dwangsom;
• openbaarmaking van een overtreding;
• een bestuurlijke boete;
• bij essentiële entiteiten: schorsing van een certificering, een vergunning of een bestuurslid.

Voor essentiële entiteiten bedraagt de maximale boete ten minste 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, waarbij het hoogste bedrag als uitgangspunt geldt.

Voor belangrijke entiteiten geldt ten minste 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, eveneens met het hoogste bedrag als uitgangspunt.

De uiteindelijke hoogte hangt af van de omstandigheden van het geval, waaronder de aard, ernst en duur van de overtreding, de mate van verwijtbaarheid en de getroffen maatregelen.

Wat kan uw organisatie nu doen?

Begin met een zelfevaluatie en registreer uw organisatie bij het NCSC als zij onder de wet valt.

• Voer een zelfevaluatie uit. Beoordeel of de organisatie actief is in een aangewezen sector en of zij voldoet aan de omvangdrempel.
• Bepaal de juiste categorie. Stel vast of de organisatie kwalificeert als essentiële of belangrijke entiteit, en welke toezichthouder bevoegd is.
• Registreer de organisatie. Verzamel de gegevens die nodig zijn voor registratie bij het NCSC via MijnNCSC en rond de registratie af.
• Toets de zorgplichtmaatregelen. Beoordeel de bestaande maatregelen op risicoanalyse, incidentrespons, bedrijfscontinuïteit, ketenbeveiliging, cyberhygiëne, kwetsbaarheden, multifactorauthenticatie en cryptografie.
• Richt het meldproces in. Leg vast wie beoordeelt of een incident meldingsplichtig is, wie meldt en hoe de termijnen van 24 uur, 72 uur en een maand worden gehaald.
• Betrek het bestuur aantoonbaar. Leg vast welke besluiten het bestuur heeft genomen, welke trainingen zijn gevolgd en hoe het toezicht op de uitvoering wordt uitgeoefend.
• Neem de keten mee. Een groot deel van de kwetsbaarheden ontstaat niet binnen de organisatie zelf, maar bij leveranciers en dienstverleners. Toets uw contracten op beveiligingsafspraken, meldverplichtingen en auditrechten.

Wat kunnen wij voor u doen bij NIS2 en de Cyberbeveiligingswet?

Wij adviseren ondernemingen en bestuurders over de Cyberbeveiligingswet binnen het ICT-recht.

• Wij beoordelen of uw organisatie onder de Cyberbeveiligingswet valt en of zij een essentiële of belangrijke entiteit is.
• Wij stellen vast welke toezichthouder bevoegd is en begeleiden de registratie via MijnNCSC.
• Wij toetsen uw zorgplichtmaatregelen en de vastlegging daarvan aan de onderwerpen uit de wet.
• Wij stellen een meldprotocol op waarmee u de termijnen van 24 uur, 72 uur en een maand haalt.
• Wij toetsen leverancierscontracten op beveiligingsafspraken, meldverplichtingen en auditrechten.
• Wij staan u bij als de toezichthouder een aanwijzing, last onder dwangsom of boete overweegt, en maken binnen zes weken bezwaar tegen een besluit (art. 6:7 Awb).

Samengevat

• De Cyberbeveiligingswet zet NIS2 om en geldt sinds 15 augustus 2026; de Wbni is vervallen.
• De wet geldt in achttien sectoren, in de regel voor organisaties met ten minste 50 werknemers of meer dan 10 miljoen euro omzet of balanstotaal.
• Een incident meldt u binnen 24 uur (waarschuwing), 72 uur (melding) en een maand (eindrapport).
• Registratie bij het NCSC via MijnNCSC is verplicht; wijzigingen geeft u binnen veertien dagen door.
• Boetes lopen tot ten minste 10 miljoen euro of 2% van de wereldwijde jaaromzet (essentiële entiteiten) en 7 miljoen euro of 1,4% (belangrijke entiteiten).

Veelgestelde vragen

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.