NIS2 en de Cyberbeveiligingswet (Cbw): valt uw organisatie onder de zorgplicht?

De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht en zet de Europese NIS2-richtlijn om in Nederlandse wetgeving.¹ Het Cyberbeveiligingsbesluit en de gepubliceerde sectorregelingen werken de verplichtingen nader uit. Bepaal welke regeling op uw organisatie van toepassing is en gebruik de daarin opgenomen eisen en incidentdrempels bij uw inrichting.

Volgens de NCTV raakt de wet ruim 8.000 organisaties in Nederland. Voor essentiële en belangrijke entiteiten waarop de verplichtingen van toepassing zijn, gelden de registratie-, zorg- en meldplicht zonder algemene overgangstermijn. Voor de vereiste kennis en vaardigheden van bestuursleden geldt in beginsel een termijn van twee jaar. De verplichting om maatregelen bestuurlijk goed te keuren geldt al zodra de zorgplicht van toepassing is.

Voor het bekostigd hoger onderwijs geldt een afzonderlijk traject. Volgens de planning van SURF wordt de aanwijzing via de Cyberbeveiligingsregeling hoger onderwijs in maart 2027 verwacht. Dit is nog geen vastgestelde ingangsdatum.² De meeste verplichtingen gaan volgens die planning bij de aanwijzing gelden. Artikel 97 Cbw stelt de zorgplicht én de bestuurlijke verplichtingen uit artikelen 21 en 24 uit tot 36 maanden na de aanwijzing.

Essentieel of belangrijk: het verschil bepaalt uw toezichtregime

De Cbw onderscheidt essentiële en belangrijke entiteiten. Voor beide categorieën gelden dezelfde wettelijke uitgangspunten voor risicobeheersing. De concrete maatregelen hangen af van de risico's, sectorregels en eventuele uitzonderingen. Het onderscheid bepaalt vooral de vorm van het toezicht en de maximale boetes.

Essentiële entiteiten zijn in de regel grote organisaties van een type uit Bijlage I, zoals bepaalde organisaties in energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur en ICT-beheer. Sommige categorieën zijn ongeacht omvang essentieel. Ook middelgrote aanbieders van openbare elektronische communicatienetwerken en -diensten zijn essentieel. De toezichthouder kan proactief controleren, audits opleggen en inspecties uitvoeren, ook zonder incident of aanwijzing van een overtreding.

Belangrijke entiteiten zijn in de regel middelgrote organisaties van een type uit Bijlage I en middelgrote of grote organisaties van een type uit Bijlage II. Die tweede bijlage omvat onder meer post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, bepaalde maakindustrie, digitale aanbieders en onderzoeksorganisaties. Voor belangrijke entiteiten is het toezicht reactief: er moeten aanwijzingen of informatie zijn over een mogelijke overtreding. Die kunnen bijvoorbeeld voortkomen uit een incident, klacht of andere melding. Wettelijke uitzonderingen en bijzondere aanwijzingen kunnen tot een andere kwalificatie leiden.

Wanneer valt uw organisatie onder de Cbw?

De hoofdregel combineert drie vragen: behoort uw organisatie tot een wettelijk omschreven type binnen de 18 sectoren, is zij ten minste middelgroot en valt zij onder Nederlandse rechtsmacht? Alleen actief zijn in een sector is onvoldoende. Toets de activiteiten aan de omschrijvingen in Bijlage I of II van de wet.

Een organisatie bereikt in beginsel ten minste de omvang van een middelgrote onderneming bij:

• minimaal 50 werkzame personen, berekend in arbeidsjaareenheden, of
• een jaaromzet én een jaarlijks balanstotaal van meer dan 10 miljoen euro.

Een organisatie overschrijdt de omvang van een middelgrote onderneming en kwalificeert als groot bij:

• minimaal 250 werkzame personen, berekend in arbeidsjaareenheden, of
• een jaaromzet van meer dan 50 miljoen euro én een jaarlijks balanstotaal van meer dan 43 miljoen euro.

Gebruik de berekeningsregels van de Europese mkb-definitie. Een arbeidsjaareenheid staat voor een volledig jaar voltijdwerk. Deeltijdwerk en werk gedurende een deel van het jaar tellen naar verhouding mee. De gegevens komen in beginsel uit het laatste afgesloten boekjaar. Bij het overschrijden of onderschrijden van de drempels geldt doorgaans de regel van twee opeenvolgende boekjaren.³

Bij partner- en verbonden ondernemingen moeten gegevens van andere ondernemingen geheel of gedeeltelijk worden meegeteld. Daardoor kan ook een afzonderlijke kleine rechtspersoon binnen de reikwijdte vallen. Voor bepaalde digitale diensten gelden bovendien bijzondere regels over de hoofdvestiging of vertegenwoordiger. Leg de toepasselijkheid daarom vast per entiteit, met onderbouwing van activiteiten, omvang en rechtsmacht.

Categorieën zonder omvangsdrempel

De omvangstoets geldt onder meer niet voor:

• ministeries, provincies, gemeenten en waterschappen, en ZBO's en gemeenschappelijke regelingen die aan de wettelijke criteria voldoen, behoudens de wettelijke uitzonderingen;
• aanbieders van openbare elektronische communicatienetwerken en -diensten;
• verleners van vertrouwensdiensten;
• aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners;
• entiteiten die op grond van de Wet weerbaarheid kritieke entiteiten als kritieke entiteit zijn aangewezen.

De kwalificatie verschilt binnen deze lijst. Gekwalificeerde vertrouwensdienstverleners, DNS-dienstverleners en topleveldomeinregisters zijn bijvoorbeeld ongeacht omvang essentieel. Voor kleinere aanbieders van openbare elektronische communicatienetwerken en -diensten kan de categorie belangrijk gelden.

Voor verleners van domeinnaamregistratiediensten geldt een afzonderlijk regime zonder omvangsdrempel. Zij hebben onder meer registratie- en gegevensverplichtingen, maar zijn daardoor niet automatisch essentiële of belangrijke entiteit met een zorg- en meldplicht. Ook bestaan uitzonderingen voor onder meer defensie, inlichtingen- en veiligheidsdiensten, politie en enkele constitutionele instellingen. De verantwoordelijke minister kan daarnaast kleinere entiteiten uit de genoemde sectoren op wettelijke gronden als essentieel aanwijzen.

De samenloop met DORA

Voor financiële entiteiten die onder DORA vallen, gaan de DORA-regels voor risicobeheer, governance en incidentmeldingen in beginsel voor op de overeenkomstige Cbw-verplichtingen. Een Cbw-registratieplicht kan wel blijven gelden. Ook kunnen aanvullende verplichtingen gelden wanneer dezelfde organisatie tevens als ander type entiteit onder de Cbw valt. Beoordeel die samenloop voordat u een volledig Cbw-traject inricht.

De drie kernverplichtingen van de Cbw

Voor essentiële en belangrijke entiteiten gelden, met de genoemde uitzonderingen, drie structurele verplichtingen:⁴

1. Registratieplicht. U verstrekt de voorgeschreven gegevens voor het entiteitenregister via het NCSC. Houd deze actueel. Wijzigingen meldt u onverwijld en uiterlijk binnen twee weken.
2. Zorgplicht. U beoordeelt de risico's en neemt passende en evenredige technische, operationele en organisatorische maatregelen. Denk aan incidentafhandeling, bedrijfscontinuïteit, leveranciersbeveiliging, toegangsbeheer en cryptografie. De wet, het Cyberbeveiligingsbesluit en de toepasselijke sectorregeling bepalen de nadere eisen. Voor de in artikel 4 Cbb genoemde digitale dienstverleners geldt Uitvoeringsverordening (EU) 2024/2690 in plaats van de zorgplichtuitwerking in artikelen 6 tot en met 18 Cbb.
3. Meldplicht. Meld een significant incident onverwijld bij het aangewezen CSIRT en de bevoegde autoriteit: uiterlijk binnen 24 uur na kennisname een vroegtijdige waarschuwing en uiterlijk binnen 72 uur na kennisname de incidentmelding. Het eindverslag volgt uiterlijk één maand na de incidentmelding. Loopt het incident dan nog, dan volgt eerst een voortgangsverslag en uiterlijk één maand na afhandeling het eindverslag. Bij incidenten die een vertrouwensdienst raken, geldt voor de aanbieder ook voor de incidentmelding een maximum van 24 uur.

Of een incident significant is, beoordeelt u aan de hand van de wettelijke criteria en de toepasselijke drempelwaarden. Daarnaast informeert u waar vereist afnemers over incidenten die uw dienstverlening nadelig kunnen beïnvloeden. Bij een significante cyberdreiging kan ook een informatieplicht gelden over maatregelen die afnemers zelf kunnen nemen.

Welke sancties kent de Cbw?

Voor overtredingen van onder meer de zorgplicht en incidentmeldplichten gelden de volgende maxima:

• Essentiële entiteiten: 10 miljoen euro of 2% van de totale wereldwijde jaaromzet van de onderneming waartoe de entiteit behoort, als dat bedrag hoger is.
• Belangrijke entiteiten: 7 miljoen euro of 1,4% van die wereldwijde jaaromzet, als dat bedrag hoger is.

De omzet betreft het voorgaande boekjaar. Voor andere overtredingen geldt volgens artikelen 80 en 87 Cbw een maximum van 1 miljoen euro. De feitelijke sanctie hangt onder meer af van de ernst en duur van de overtreding, de schade, verwijtbaarheid en medewerking aan herstel.¹

Toezichthouders kunnen ook bindende aanwijzingen geven, dwangsommen opleggen en audits verlangen. Voor essentiële entiteiten kent de wet onder strikte voorwaarden aanvullende maatregelen, waaronder tijdelijke schorsing van een certificering of vergunning. Als herstel uitblijft, kan de toezichthouder de burgerlijke rechter verzoeken een bestuurder tijdelijk te schorsen. Deze aanvullende schorsingsmaatregelen gelden niet voor overheidsinstanties.

Bestuurlijke verantwoordelijkheid en individuele handhaving

Het bestuur moet de risicobeheersmaatregelen goedkeuren en sturen op de uitvoering. Artikel 24 Cbw stelt daarnaast eisen aan de kennis en vaardigheden van de betrokken bestuursleden:⁵

• zij moeten cyberrisico's, maatregelen en de gevolgen voor de dienstverlening kunnen beoordelen;
• zij volgen een training over de voorgeschreven onderwerpen en beschikken over een certificaat van deelname;
• zij houden hun kennis en vaardigheden aantoonbaar actueel.

Voor de vereiste kennis en vaardigheden geldt in beginsel een termijn van twee jaar na inwerkingtreding. Voor later benoemde bestuursleden loopt die termijn vanaf hun benoeming. Bij een monistisch bestuursmodel gelden de verplichtingen uit artikel 24 voor de uitvoerende bestuurders. Voor aangewezen instellingen voor hoger onderwijs geldt de eerder genoemde afwijkende startdatum.

Bij overtreding van de individuele kennis-, actualiserings- en trainingsverplichtingen kan de bevoegde autoriteit een bestuurslid een last onder dwangsom of een bestuurlijke boete opleggen. Het maximum voor die individuele boete is 25.000 euro. Dit staat los van de boetes voor de organisatie.

Passende opleiding en bewustwording van medewerkers behoren tot de zorgplicht van de organisatie. Bestuurlijke sturing vraagt daarnaast om bruikbare rapportages: welke risico's lopen we, welke maatregelen werken en welke besluiten zijn nodig?

De keten: leveranciersrisico blijft uw beheersingsvraagstuk

De Cbw vraagt beheersing van risico's in de toeleveringsketen, ook als een leverancier zelf buiten de wet valt. Praktisch betekent dit:

• afhankelijkheden en leveranciersrisico's opnemen in uw risicoanalyse;
• passende beveiligings-, meldings- en informatieafspraken vastleggen met leveranciers, bijvoorbeeld in contracten en SLA's;
• toetsen of rechtstreekse leveranciers aan de vastgestelde beveiligingseisen voldoen en dit periodiek opnieuw beoordelen.

Daarmee werkt de Cbw ook door naar organisaties die zelf geen essentiële of belangrijke entiteit zijn. De afspraken moeten aansluiten op het risico van de geleverde dienst en op de informatie die u nodig heeft om uw eigen verplichtingen na te komen.

Hoe ik u help bij de Cbw-implementatie

Het vaststellen van uw status is het startpunt. Daarna volgt de vertaling naar een werkbare, aantoonbare beveiligingspraktijk. Als onafhankelijk security- en solution architect ondersteun ik organisaties bij:

1. Toepasselijkheidsanalyse. Welke activiteiten en entiteiten vallen onder de Cbw, in welke categorie en onder welke nadere regels?
2. Gap-analyse. Welke verschillen bestaan tussen uw huidige maatregelen en de eisen die op uw organisatie van toepassing zijn?
3. Governance-inrichting. Hoe legt u besluitvorming, training, goedkeuring en rapportage vast zodat het bestuur gericht kan sturen?
4. Supply chain security. Hoe beheerst u leveranciersrisico's met passende afspraken, beoordelingen en monitoring?
5. Aantoonbaarheid. Welke documentatie en toetsing laten zien dat uw maatregelen zijn ingericht en werken?

Meer weten over de concrete maatregelen die de Cbw-zorgplicht van u vraagt? Lees mijn artikel over de zorgplicht en Cbw-beveiligingsmaatregelen.

Deze aanpak is de kern van de dienst NIS2 en BIO2 →