NIS2 en de Cyberbeveiligingswet (Cbw): valt uw organisatie onder de zorgplicht?

De Eerste Kamer heeft de Cyberbeveiligingswet op 7 juli 2026 aangenomen; de Tweede Kamer stemde al op 15 april 2026 in.¹ De wet treedt op 15 augustus 2026 in werking.² Het Cyberbeveiligingsbesluit en sectorspecifieke ministeriële regelingen geven nadere invulling aan de verplichtingen; controleer per sector welke lagere regelgeving op dat moment is gepubliceerd en in werking is getreden.

Met de Cbw wordt de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving. NIS2 schept het Europese kader; de Cbw is de wet waarop Nederlandse toezichthouders daadwerkelijk gaan handhaven. Voor naar schatting 8.000 organisaties in Nederland wordt cyberweerbaarheid daarmee een wettelijke plicht.² Voor de meeste entiteiten gelden de registratie-, zorg- en meldplicht vanaf de dag van inwerkingtreding, zonder algemene overgangstermijn; de bestuurlijke kennis- en trainingsvereisten kennen een termijn van twee jaar, en voor het bekostigd hoger onderwijs gelden de verplichtingen pas na een apart aanwijzingsbesluit van OCW (verwacht najaar 2026), met de zorgplicht drie jaar na die aanwijzing.

Essentieel of belangrijk: het verschil bepaalt uw toezichtregime

De Cbw onderscheidt twee categorieën organisaties. Beide moeten voldoen aan dezelfde zorgplicht, meldplicht en registratieplicht. Het verschil zit in de intensiteit van het toezicht en de hoogte van de maximale sancties.

Essentiële entiteiten zijn in de regel grote organisaties van een type dat in Bijlage I is aangewezen: sectoren met directe maatschappelijke impact zoals energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drink- en afvalwater, digitale infrastructuur, ICT-beheer, overheid en ruimtevaart. Daarnaast zijn enkele categorieën ongeacht omvang essentieel, of kunnen organisaties afzonderlijk als essentieel worden aangewezen. Essentiële entiteiten vallen onder ex ante toezicht: de toezichthouder kan proactief controleren, audits opleggen en inspecties uitvoeren, ook zonder dat er een incident is geweest.

Belangrijke entiteiten zijn in de regel middelgrote organisaties van een type uit Bijlage I, en middelgrote of grote organisaties van een type uit Bijlage II: sectoren als post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, productie van medische hulpmiddelen, onderzoeksinstellingen en de meeste digitale aanbieders. Voor hen geldt ex post toezicht: de toezichthouder grijpt in bij incidenten, klachten of concrete signalen van niet-naleving. Sectorale uitzonderingen en bijzondere aanwijzingen blijven mogelijk; de precieze kwalificatie vraagt altijd een toets op type, omvang en sector samen.

Wanneer valt uw organisatie onder de Cbw?

In de basis geldt de Cbw voor organisaties die actief zijn in een van de 18 aangewezen sectoren uit Bijlage I of II én als middelgroot of groot kwalificeren.³

Een organisatie kwalificeert ten minste als middelgroot wanneer zij heeft:

• minimaal 50 werknemers, of
• een jaaromzet én balanstotaal van meer dan 10 miljoen euro.

Een organisatie kwalificeert als groot wanneer zij heeft:

• minimaal 250 werknemers, of
• een jaaromzet van meer dan 50 miljoen euro én een balanstotaal van meer dan 43 miljoen euro.

Let op bij concernstructuren: bij partner- en verbonden ondernemingen kunnen werknemers, omzet en balanstotaal geheel of gedeeltelijk op groepsniveau moeten worden meegeteld.³ De combinatie van type, sector en omvang bepaalt vervolgens uw kwalificatie: grote organisaties van een Bijlage I-type zijn in de regel essentieel; middelgrote organisaties uit Bijlage I en middelgrote of grote organisaties uit Bijlage II zijn in de regel belangrijk.

Altijd in scope, ongeacht omvang

Voor een aantal categorieën geldt de omvangstoets niet. Daaronder vallen:

• ministeries, provincies, gemeenten en waterschappen, en bepaalde ZBO's en gemeenschappelijke regelingen voor zover zij aan de wettelijke criteria voldoen;
• aanbieders van openbare elektronische communicatienetwerken en -diensten;
• (gekwalificeerde) vertrouwensdienstverleners;
• aanbieders van registers voor topleveldomeinnamen en DNS-diensten;
• verleners van domeinnaamregistratiediensten.

Twee kanttekeningen bij deze lijst. Voor onder meer organisaties op het terrein van nationale veiligheid, defensie en rechtshandhaving, en voor enkele constitutionele instellingen, gelden uitzonderingen. En voor verleners van domeinnaamregistratiediensten geldt een bijzonder regime: niet alle verplichtingen voor essentiële en belangrijke entiteiten zijn op hen van toepassing.

Daarnaast kan de verantwoordelijke minister individuele micro- of kleinbedrijven aanwijzen als essentieel of belangrijk wanneer hun dienstverlening cruciaal is voor de Nederlandse economie of maatschappij.

De drie kernverplichtingen van de Cbw

Valt uw organisatie onder de wet, dan gelden drie structurele verplichtingen:⁴

1. Registratieplicht. U registreert zich in het entiteitenregister van het NCSC, met actuele contact- en dienstgegevens.
2. Zorgplicht. U voert een gestructureerde risicoanalyse uit en implementeert passende en evenredige technische, operationele en organisatorische maatregelen. Het Cyberbeveiligingsbesluit (Cbb) werkt dit uit, inclusief supply chain security, incidentafhandeling, bedrijfscontinuïteit, toegangsbeheer, multifactorauthenticatie en cryptografie.
3. Meldplicht. Significante incidenten meldt u gefaseerd: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur de incidentmelding, en uiterlijk een maand later een eindverslag.

Daarnaast kan bij significante incidenten die de dienstverlening waarschijnlijk nadelig beïnvloeden een verplichting gelden om afnemers tijdig te informeren over de gevolgen en de maatregelen die zij zelf kunnen nemen.

Welke sancties kent de Cbw?

De maximale boetes zijn omzetgerelateerd:

• Essentiële entiteiten: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
• Belangrijke entiteiten: tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, eveneens de hoogste van de twee.

De maxima zijn in de praktijk voorbehouden aan ernstige of herhaalde overtredingen. Daarnaast beschikken toezichthouders over bindende aanwijzingen, dwangsommen, verplichte audits, schorsing van certificeringen en, in het uiterste geval, kan de toezichthouder voor essentiële entiteiten de burgerlijke rechter verzoeken een bestuurder tijdelijk te schorsen; die bepaling geldt niet voor overheidsinstanties.

Bestuurlijke verantwoordelijkheid en individuele handhaving

De Cbw verankert bestuurlijke verantwoordelijkheid expliciet in de wet. Het bestuursorgaan:

• keurt de risicobeheersmaatregelen goed;
• houdt toezicht op de uitvoering ervan;
• zorgt dat ieder bestuurslid aantoonbaar over voldoende kennis en vaardigheden beschikt en daarvoor de voorgeschreven training volgt (bij een monistisch bestuursmodel geldt dit voor de uitvoerende bestuursleden);
• en de individuele leden kunnen bij niet-naleving van deze persoonlijke kennis- en trainingsverplichtingen een last onder dwangsom of een bestuurlijke boete opgelegd krijgen.

Los daarvan hoort passende bewustwording en opleiding van medewerkers en andere relevante werkenden tot de zorgplicht van de organisatie zelf.

Cybersecurity verschuift daarmee van de IT-agenda naar de governance-agenda. Bestuurders moeten kunnen aantonen dat zij geïnformeerd en risicobewust sturen. Een handtekening onder een beleidsdocument is daarvoor niet voldoende.

De keten: leveranciersrisico blijft uw beheersingsvraagstuk

De Cbw eist dat u grip heeft op de cyberbeveiliging van uw toeleveringsketen. Ook wanneer een leverancier zelf niet onder de Cbw valt, bent u verplicht om:

• passende beveiligings-, meldings- en informatieafspraken vast te leggen in contracten en SLA's, evenredig aan het risico;
• leveranciersrisico's mee te nemen in uw eigen risicoanalyse;
• afspraken te maken over incidentmelding en informatievoorziening richting uw organisatie.

De praktische reikwijdte van de Cbw is daardoor aanzienlijk groter dan het aantal organisaties dat formeel in scope valt.

Hoe ik u help bij de Cbw-implementatie

Het vaststellen van uw status is het startpunt. De werkelijke opgave zit in het vertalen van de zorgplicht naar een werkbare, aantoonbare beveiligingspraktijk, zonder overbodige bureaucratie en zonder belangrijke risico's te missen. Als onafhankelijk security- en solution architect ondersteun ik organisaties bij:

1. Toepasselijkheidsanalyse. Valt u onder de Cbw, in welke categorie, en welke ministeriële regeling is op u van toepassing?
2. Gap-analyse. Hoe verhouden uw huidige maatregelen zich tot de zorgplicht uit het Cyberbeveiligingsbesluit en de sectorspecifieke regelingen?
3. Governance-inrichting. Hoe borgt u bestuurlijke betrokkenheid op een manier die de toezichthouder overtuigt, inclusief trainingsplicht, goedkeuringsprocessen en rapportagelijnen?
4. Supply chain security. Hoe bouwt u ketenverantwoordelijkheid proportioneel in via contracten, assessments en monitoring?
5. Aantoonbaarheid. Welke documentatie, evidence en processen richt u in om bij een audit of na een incident sterk te staan?

Meer weten over de concrete maatregelen die de Cbw-zorgplicht van u vraagt? Lees mijn artikel over de zorgplicht en Cbw-beveiligingsmaatregelen.

Deze aanpak is de kern van de dienst NIS2 en BIO2 →