De NIS2-richtlijn krijgt in Nederland definitief vorm in de Cyberbeveiligingswet. Op 7 juli 2026 heeft de Eerste Kamer ingestemd met deze wet. De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen, oftewel de Wbni. Vanaf dat moment gelden de nieuwe verplichtingen direct voor organisaties die onder de wet vallen.
De wet heeft rechtstreeks betrekking op ruim 8.000 Nederlandse organisaties. Toch is de impact veel groter. Organisaties die onder de Cyberbeveiligingswet vallen, moeten namelijk ook risico’s binnen hun toeleveringsketen beheersen. Daardoor kunnen zij strengere cybersecurityeisen stellen aan hun leveranciers en dienstverleners.
Ook wanneer jouw organisatie niet rechtstreeks onder de wet valt, kun je dus met NIS2-verplichtingen te maken krijgen. Denk daarom niet te snel dat deze wet niet over jouw bedrijf gaat.
Wat is de NIS2-richtlijn?
NIS2 staat voor Network and Information Security Directive 2. Het is de opvolger van de eerste Europese NIS-richtlijn uit 2016.
De oorspronkelijke richtlijn richtte zich voornamelijk op een relatief beperkte groep vitale aanbieders. Met NIS2 wordt het bereik uitgebreid naar veel meer organisaties en sectoren. Het doel is om binnen de Europese Unie een hoger en meer gelijkwaardig niveau van cyberbeveiliging te realiseren.
Nederland voert de Europese richtlijn uit via de Cyberbeveiligingswet. Deze wet legt organisaties verplichtingen op rond risicobeheersing, incidentmeldingen en registratie. Ook krijgt het bestuur een duidelijke verantwoordelijkheid voor het cybersecuritybeleid.
Wanneer treedt de Cyberbeveiligingswet in werking?
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking.
Eerder werd nog rekening gehouden met een invoering eind 2025 of begin 2026. Na meerdere vertragingen heeft de Eerste Kamer de wet op 7 juli 2026 aangenomen. Daarmee is de datum van 15 augustus 2026 definitief vastgesteld.
Voor organisaties die onder de wet vallen, gelden de verplichtingen vanaf de datum van inwerkingtreding. Er is geen algemene periode waarin organisaties eerst nog rustig aan de nieuwe verplichtingen kunnen wennen. Het is daarom belangrijk om vóór 15 augustus vast te stellen of jouw organisatie onder de wet valt en welke maatregelen nog nodig zijn.
Voor welke organisaties geldt de NIS2-richtlijn?
De Cyberbeveiligingswet geldt voor middelgrote en grote organisaties binnen verschillende kritieke sectoren. Het gaat onder andere om:
- Energie en vervoer;
- Drinkwater en afvalwater;
- Gezondheidszorg;
- Digitale infrastructuur;
- Beheerde ICT- en beveiligingsdiensten;
- Overheidsorganisaties;
- Post- en koeriersdiensten;
- Afvalbeheer;
- Voedingsmiddelen;
- Chemische stoffen;
- Productie en maakindustrie.
Organisaties zijn zelf verantwoordelijk voor het beoordelen of zij onder de Cyberbeveiligingswet vallen. Daarbij moet eerst worden gekeken naar het type activiteit en de sector. Vervolgens spelen omvangscriteria mee, waaronder het aantal medewerkers, de jaaromzet en het balanstotaal.
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Grote organisaties uit sectoren in bijlage 1 van de wet worden doorgaans als essentieel aangemerkt. Middelgrote organisaties uit deze sectoren en middelgrote en grote organisaties uit sectoren in bijlage 2 worden doorgaans als belangrijk aangemerkt.
Voor bepaalde organisaties geldt de wet ongeacht hun omvang. Dat geldt bijvoorbeeld voor specifieke overheidsorganisaties, DNS-dienstverleners, registers voor topleveldomeinen en bepaalde aanbieders van elektronische communicatiediensten.
Een eenvoudige regel als “meer dan 50 medewerkers of meer dan 10 miljoen euro omzet” geeft daarom slechts een eerste indicatie. Gebruik voor een betrouwbaardere beoordeling de officiële zelfevaluatietool en laat de situatie bij twijfel nader beoordelen.
NIS2-richtlijn geldt mogelijk ook indirect voor leveranciers
Een belangrijk onderdeel van de Cyberbeveiligingswet is de beveiliging van de toeleveringsketen.
Organisaties die rechtstreeks onder de wet vallen, moeten risico’s bij hun rechtstreekse leveranciers en dienstverleners meenemen in hun risicoanalyse. Wanneer een leverancier toegang heeft tot systemen, gegevens verwerkt of een belangrijke rol speelt in de bedrijfscontinuïteit, kan deze leverancier een cybersecurityrisico vormen.
Een organisatie kan daarom onder andere vragen om:
- Informatie over genomen beveiligingsmaatregelen;
- Afspraken over incidentmeldingen;
- Beveiligingseisen in contracten;
- Periodieke controles of evaluaties;
- Een herstel- en continuïteitsplan;
- Beleid rond toegangsbeheer en software-updates;
- Bewijs dat medewerkers veilig en bewust werken.
De Cyberbeveiligingswet legt niet automatisch dezelfde wettelijke verplichtingen op aan iedere leverancier. Wel kunnen organisaties die onder de wet vallen eisen stellen aan hun directe toeleveranciers. Daardoor kan de wet ook gevolgen hebben voor kleinere mkb-bedrijven die zelf niet rechtstreeks onder de Cyberbeveiligingswet vallen.
Lever je IT-diensten, software, apparatuur, onderhoud of andere bedrijfskritische diensten aan grotere organisaties? Dan is het verstandig om nu al te bepalen hoe je jouw digitale veiligheid aantoonbaar kunt maken.
Doe de NIS2-richtlijn Quickscan!
Beantwoord 5 korte vragen en ontvang direct een indicatie of de NIS2-richtlijn relevant is voor uw organisatie. Duurt minder dan 1 minuut.
In welke sector is uw organisatie actief?
Hoe groot is uw organisatie?
Is uw organisatie afhankelijk van IT- of OT-systemen?
Denk aan ERP, cloudomgevingen, machines, productielijnen, sensoren, PLC’s of logistieke systemen.
Zijn cybersecuritymaatregelen al aantoonbaar ingericht?
Weet u zeker of uw organisatie onder de NIS2-richtlijn valt?
De drie belangrijkste NIS2-richtlijn verplichtingen
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met drie hoofdverplichtingen: de registratieplicht, de zorgplicht en de meldplicht.
1. Registratieplicht
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister. De registratie verloopt via MijnNCSC.
Deze registratie is vanaf 15 augustus 2026 verplicht. Het NCSC adviseert organisaties om de registratie vooraf voor te bereiden, zodat de benodigde informatie tijdig beschikbaar is. Na registratie kunnen organisaties worden aangesloten op de dienstverlening van het aangewezen Computer Security Incident Response Team, oftewel CSIRT.
2. Zorgplicht
De zorgplicht verplicht organisaties om passende en evenredige technische, operationele en organisatorische maatregelen te nemen.
De maatregelen moeten gebaseerd zijn op een risicoanalyse. Het is dus niet voldoende om enkele losse beveiligingsproducten aan te schaffen. De organisatie moet inzichtelijk maken welke risico’s bestaan, welke maatregelen daartegen worden genomen en waarom deze maatregelen passend zijn.
De zorgplicht heeft onder andere betrekking op:
- Risicoanalyse en informatiebeveiligingsbeleid;
- Incidentpreventie en incidentrespons;
- Bedrijfscontinuïteit, back-ups en herstel;
- Crisismanagement;
- Beveiliging van de toeleveringsketen;
- Veilig aanschaffen, ontwikkelen en onderhouden van systemen;
- Kwetsbaarheden en patchmanagement;
- Toegangsbeheer en sterke authenticatie;
- Encryptie waar dat passend is;
- Training en bewustwording van medewerkers;
- Evaluatie van de effectiviteit van beveiligingsmaatregelen.
De Cyberbeveiligingswet benoemt tien categorieën van zorgplichtmaatregelen waaraan organisaties ten minste aandacht moeten besteden. Welke concrete maatregelen nodig zijn, hangt af van de risico’s, omvang en activiteiten van de organisatie.
3. Meldplicht
- Ernstige operationele verstoring veroorzaakt;
- Tot aanzienlijke financiële schade leidt;
- Andere organisaties of personen raakt;
- Aanzienlijke materiële of immateriële schade veroorzaakt.
Via het centrale meldportaal op MijnNCSC kunnen organisaties een incident tegelijkertijd melden bij hun CSIRT en toezichthouder.
Bestuurders zijn verantwoordelijk voor cybersecurity
Cybersecurity is onder de Cyberbeveiligingswet niet uitsluitend een technische verantwoordelijkheid van de IT-afdeling.
Het bestuur moet de maatregelen binnen de zorgplicht goedkeuren en toezicht houden op de uitvoering daarvan. Ook wanneer de dagelijkse werkzaamheden zijn belegd bij een IT-manager, CISO of externe IT-partner, blijft het bestuur eindverantwoordelijk.
Uitvoerende bestuurders van essentiële en belangrijke entiteiten moeten daarnaast aantoonbare kennis en vaardigheden opdoen door middel van een cybersecuritytraining. Zij moeten risico’s en maatregelen kunnen beoordelen en hierover goed onderbouwde besluiten kunnen nemen.
De directie moet daarom niet alleen kunnen aangeven dát er beveiligingsmaatregelen zijn genomen, maar ook waarom deze maatregelen passend zijn en hoe de werking ervan wordt gecontroleerd.
Toezicht en handhaving
De naleving van de Cyberbeveiligingswet wordt gecontroleerd door verschillende sectorspecifieke toezichthouders.
Bij het toezicht wordt onderscheid gemaakt tussen essentiële en belangrijke entiteiten:
- Essentiële entiteiten kunnen proactief worden gecontroleerd, ook wanneer er nog geen incident of concrete aanwijzing van een overtreding is.
- Belangrijke entiteiten vallen voornamelijk onder reactief toezicht, bijvoorbeeld na een incident of een signaal dat de wet mogelijk niet wordt nageleefd.
Tijdens een controle moet een organisatie kunnen aantonen dat zij haar risico’s kent, passende maatregelen heeft genomen en de werking daarvan bewaakt. Alleen aangeven dat de IT “goed geregeld” is, is niet voldoende. Risicoanalyses, beleidsdocumenten, procedures, contractuele afspraken, registraties en uitgevoerde controles kunnen hierbij als bewijs dienen.
Waarom moet je nu beginnen?
De periode tot 15 augustus 2026 is kort. Bovendien is cybersecurity geen eenmalig project dat vlak voor de deadline kan worden afgerond.
Een goede voorbereiding begint met inzicht. Breng daarom eerst in kaart:
- Of jouw organisatie rechtstreeks onder de Cyberbeveiligingswet valt;
- Of belangrijke klanten of ketenpartners onder de wet vallen;
- Welke netwerk- en informatiesystemen bedrijfskritisch zijn;
- Welke cyberrisico’s voor jouw organisatie het zwaarst wegen;
- Welke beveiligingsmaatregelen al zijn getroffen;
- Welke procedures, documentatie en maatregelen nog ontbreken;
- Hoe incidenten worden herkend, opgevolgd en gemeld;
- Welke risico’s bestaan bij leveranciers en externe IT-dienstverleners.
Het NCSC adviseert organisaties om te beginnen met een risicoanalyse en op basis daarvan passende maatregelen te bepalen. Wachten tot een klant, toezichthouder of incident om bewijs vraagt, vergroot het risico dat belangrijke onderdelen niet tijdig op orde zijn.
Gratis e-book downloaden
Hiermee werk je toe naar naleving van de NIS2-richtlijn
SOCaaS
Met Security Operations Center as a Service wordt jouw IT-omgeving continu bewaakt op verdachte activiteiten, kwetsbaarheden en mogelijke aanvallen. Afwijkingen kunnen sneller worden ontdekt en onderzocht, waardoor je eerder kunt ingrijpen bij een incident.
Continue monitoring ondersteunt onder andere de risico- en incidentbeheersing die binnen de zorgplicht van de Cyberbeveiligingswet wordt gevraag
Netwerkbeheer
Een veilig en betrouwbaar netwerk vormt de basis van de digitale weerbaarheid van jouw organisatie. Goed netwerkbeheer helpt bij het beveiligen van verbindingen, apparaten, gebruikers en toegang tot bedrijfskritische systemen.
Vinotechniek ondersteunt organisaties bij het inzichtelijk maken, beheren, monitoren en beveiligen van hun netwerkomgeving.
Bereid jouw organisatie voor op de Cyberbeveiligingswet
Weet je niet zeker of jouw organisatie onder de Cyberbeveiligingswet valt? Of wil je weten welke technische maatregelen nog nodig zijn om jouw digitale weerbaarheid aantoonbaar te verbeteren?
Begin met een inventarisatie van jouw huidige IT-omgeving, risico’s en beveiligingsmaatregelen. Zo krijg je inzicht in kwetsbaarheden en kun je gericht bepalen welke stappen vóór en na 15 augustus 2026 nodig zijn.
Neem contact op met Vinotechniek voor ondersteuning bij jouw netwerkbeveiliging, monitoring en technische voorbereiding op de Cyberbeveiligingswet.
FAQ over de NIS2-richtlijn
Wanneer gaat de NIS2-richtlijn in Nederland in?
De Nederlandse Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Deze wet implementeert de Europese NIS2-richtlijn en vervangt de huidige Wbni.
Geldt NIS2 ook voor mkb-bedrijven?
Dat kan. Middelgrote bedrijven in aangewezen sectoren kunnen rechtstreeks onder de Cyberbeveiligingswet vallen. Daarnaast kunnen kleinere mkb-bedrijven indirect met de wet te maken krijgen wanneer zij leverancier zijn van een organisatie die wel rechtstreeks onder de wet valt.
Geldt de wet automatisch voor ieder bedrijf met meer dan 50 medewerkers?
Nee. Naast de omvang moet worden gekeken naar de sector, de activiteiten, de jaaromzet, het balanstotaal en mogelijke uitzonderingen. Sommige specifieke organisaties vallen bovendien ongeacht hun omvang onder de wet
Wat houdt de registratieplicht in?
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister via MijnNCSC. Deze verplichting geldt vanaf 15 augustus 2026.
Binnen hoeveel tijd moet een cyberincident worden gemeld?
Een significant incident moet zo snel mogelijk worden gemeld. De eerste waarschuwing moet in ieder geval binnen 24 uur na constatering bij het CSIRT en de bevoegde toezichthouder worden gedaan.
Wat moet ik doen om mijn organisatie voor te bereiden?
Begin met het vaststellen of jouw organisatie rechtstreeks of indirect met de Cyberbeveiligingswet te maken krijgt. Voer vervolgens een risicoanalyse uit, inventariseer bestaande maatregelen en bepaal welke technische, operationele en organisatorische verbeteringen nog nodig zijn.