De Europese NIS2-richtlijn is in Nederland uitgewerkt in de Cyberbeveiligingswet, afgekort Cbw. De wet is op 15 augustus 2026 in werking getreden. Organisaties moeten zelf beoordelen of zij onder de wet vallen en welke verplichtingen voor hen gelden. De beoordeling hangt samen met de sector, de geleverde dienst, de omvang en een eventuele bijzondere aanwijzing.
Wat is de NIS2-wetgeving?
NIS2 is een Europese richtlijn. Zij verplicht EU-lidstaten om regels vast te stellen voor de digitale weerbaarheid van organisaties die belangrijk zijn voor samenleving en economie. Een richtlijn werkt niet als één identieke Europese wetstekst voor iedere organisatie. Nederland heeft de regels opgenomen in nationale wetgeving.
Wie in Nederland zoekt naar NIS2-wetgeving, komt daarom uit bij de Cyberbeveiligingswet en de daarop gebaseerde uitvoeringsregels. Voor een concrete beoordeling telt de Nederlandse wet.
Wat is de Cyberbeveiligingswet (Cbw)?
De Cyberbeveiligingswet is de Nederlandse implementatie van NIS2. De wet vervangt het eerdere stelsel van de Wet beveiliging netwerk- en informatiesystemen. De reikwijdte is breder en de eisen aan risicobeheersing, incidentmelding, bestuur en toezicht zijn aangescherpt.
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Dat onderscheid werkt door in het toezicht en de maximale sancties, maar beide groepen moeten passende en evenredige maatregelen treffen.
Voor wie geldt de NIS2-wetgeving in Nederland?
De beoordeling begint bij de sectoren en soorten diensten die in de wet zijn aangewezen. Denk aan energie, vervoer, zorg, digitale infrastructuur, overheid, drinkwater, financiële diensten en verschillende digitale en zakelijke diensten. Daarna spelen omvang en juridische structuur een rol.
- grote en middelgrote organisaties in aangewezen sectoren kunnen rechtstreeks onder de wet vallen
- sommige organisaties vallen vanwege hun functie onder de wet, ongeacht hun omvang
- bevoegde autoriteiten kunnen organisaties afzonderlijk aanwijzen
- kleine ondernemingen vallen niet automatisch buiten of binnen de wet; de precieze uitzondering moet worden beoordeeld
- leveranciers kunnen indirect stevige eisen krijgen van klanten die hun ketenrisico’s moeten beheersen
Een snelle sectorcheck geeft richting, maar is nog geen volledige scopebeoordeling. Leg de onderbouwing vast, juist wanneer u concludeert dat uw organisatie niet rechtstreeks onder de wet valt.
Welke verplichtingen bevat de Cyberbeveiligingswet?
Registratie
Entiteiten die onder de registratieplicht vallen, moeten de gevraagde organisatie- en contactgegevens tijdig aanleveren en actueel houden.
Zorgplicht en cyberrisicobeheersing
Maatregelen moeten passen bij de risico’s. De wet noemt onderwerpen als incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, kwetsbaarhedenbeheer, toegangsbeheer, encryptie en opleiding.
Incidentmelding
Significante incidenten moeten volgens een gefaseerde procedure worden gemeld. Richt intern daarom vooraf in wie beoordeelt, besluit, meldt en opvolgt.
Continuïteit en crisisbeheersing
Herstelplannen, back-ups, crisiscommunicatie en oefeningen horen bij de beheersing. Een plan telt pas mee wanneer rollen, afhankelijkheden en herstel aannemelijk zijn getest.
Supply-chain- en leveranciersrisico’s
Uitbesteding verplaatst de verantwoordelijkheid niet. Breng kritieke leveranciers, toegangen, onderaannemers, exitmogelijkheden en incidentafspraken in beeld.
Governance en verantwoordelijkheid van bestuurders
Bestuurders keuren de maatregelen goed en houden toezicht op de uitvoering. Zij moeten kunnen uitleggen welke risico’s zijn geaccepteerd, waarom prioriteiten zijn gekozen en hoe de werking wordt gevolgd.
Opleiding van bestuurders
Bestuurders moeten voldoende kennis hebben om risico’s en maatregelen te beoordelen. Dat vraagt om meer dan een algemene awarenesspresentatie: de opleiding moet aansluiten op bestuurlijke beslissingen en het risicoprofiel.
Toezicht en handhaving
De bevoegde toezichthouder kan informatie opvragen, onderzoek doen en handhavend optreden. Aantoonbaarheid is daarom onderdeel van de beheersing.
Wat betekent NIS2 voor bestuurders?
Cybersecurity is geen onderwerp dat het bestuur volledig bij IT kan neerleggen. Het bestuur bepaalt risicobereidheid, middelen en prioriteiten, bewaakt afhankelijkheden en vraagt periodiek om een begrijpelijk beeld van risico, voortgang en uitzonderingen.
- leg eigenaarschap en besluitvorming vast
- vraag om rapportages die risico en bedrijfsimpact verbinden
- bespreek restrisico en uitgestelde maatregelen expliciet
- zorg dat opleiding en oefeningen aansluiten op de eigen organisatie
- bewaar besluiten en bewijs van opvolging
Wat betekent NIS2 voor leveranciers?
Een organisatie moet risico’s in de keten beoordelen. Dat leidt tot vragen over beveiliging, continuïteit, toegang, onderaannemers, meldtermijnen, auditrechten en beëindiging. Een certificaat kan bewijs leveren, maar vervangt geen beoordeling van de dienst en de concrete afhankelijkheid.
Hoe bereidt een organisatie zich op NIS2 voor?
- Bepaal toepasselijkheid en scope.
- Inventariseer kritieke processen, informatie en assets.
- Voer een risicoanalyse en NIS2 GAP-analyse uit.
- Bepaal passende maatregelen en prioriteiten.
- Leg governance, eigenaarschap en rapportage vast.
- Richt incidentmanagement en meldprocedures in.
- Beoordeel leveranciers en ketenafhankelijkheden.
- Verzamel bewijs van uitvoering en werking.
- Test maatregelen, crisisrespons en herstel.
- Rapporteer periodiek aan bestuur en toezicht.
Veelgestelde vragen
Veelgestelde vragen
Wat is de NIS2-wetgeving?
NIS2 is de Europese richtlijn voor een hoger gezamenlijk niveau van cyberbeveiliging. In Nederland is de richtlijn uitgewerkt in de Cyberbeveiligingswet.
Is NIS2 hetzelfde als de Cyberbeveiligingswet?
Niet precies. NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet waarmee die richtlijn is ingevoerd.
Wat betekent Cbw?
Cbw is de gebruikelijke afkorting van Cyberbeveiligingswet.
Wanneer is de Cyberbeveiligingswet ingegaan?
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.
Voor wie geldt NIS2?
De wet geldt voor essentiële en belangrijke entiteiten in aangewezen sectoren die aan de toepasselijkheidscriteria voldoen. Er bestaan uitzonderingen en mogelijkheden voor afzonderlijke aanwijzing.
Welke bedrijven vallen onder NIS2?
Dat hangt onder meer af van sector, soort dienst, omvang en eventuele aanwijzing. Niet ieder mkb-bedrijf valt rechtstreeks onder de wet.
Welke verplichtingen gelden onder de Cyberbeveiligingswet?
De kern bestaat uit registratie, passende en evenredige risicobeheersmaatregelen, incidentmelding, bestuurlijke verantwoordelijkheid, opleiding en toezicht.
Moet een organisatie zich registreren voor NIS2?
Entiteiten die onder de registratieplicht vallen moeten zich registreren. Controleer de officiële sectorinformatie en termijnen die voor uw organisatie gelden.
Is het bestuur verantwoordelijk voor NIS2?
Ja. Bestuurders moeten maatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis opdoen om cyberrisico’s te kunnen beoordelen.
Geldt NIS2 ook voor leveranciers?
Leveranciers kunnen rechtstreeks onder de wet vallen. Daarnaast krijgen zij indirect met NIS2 te maken doordat klanten hun ketenrisico’s moeten beheersen en aantoonbare afspraken verlangen.
Bronnen
