Cyberbeveiligingswet, de Nederlandse NIS2-wet

Cyberbeveiligingswet: wat de wet eist en wat u aantoont

Naar schatting ruim 8.000 organisaties vallen sinds 15 augustus 2026 onder de Cyberbeveiligingswet. Wie eronder valt, moet aan een toezichthouder, auditor of klant kunnen laten zien wat er geregeld is. Deze pagina zet de wet op een rij, per artikel, met bij elke maatregel het bewijs dat erbij hoort: op papier en van buiten gemeten.

Doe de zelfcheck: val ik onder NIS2?Gratis securityscan

Door Edward Hasekamp, oprichter van Exposentry · Gepubliceerd op 25 oktober 2026 · Bijgewerkt op 26 oktober 2026

In het kort

Van kracht sinds 15 augustus 2026, zonder algemene overgangstermijn (Cyberbeveiligingsbesluit, artikel 35). De wet voert de Europese NIS2-richtlijn (2022/2555) uit en trekt de Wbni in (artikel 106). Tegelijk trad de Wet weerbaarheid kritieke entiteiten in werking.
Geldt voor essentiële en belangrijke entiteiten in achttien sectoren (artikelen 8 en 12, bijlagen 1 en 2). Doorgaans vanaf 50 medewerkers of een jaaromzet én balanstotaal boven 10 miljoen euro; sommige categorieën ongeacht omvang.
Vier verplichtingen: registreren bij het NCSC (artikel 44), de zorgplicht met tien maatregelen (artikel 21), incidenten melden binnen 24 uur, 72 uur en een maand (artikelen 25 tot en met 30), en een bestuur dat de maatregelen goedkeurt en opgeleid is (artikel 24).
Boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten (artikel 80) en tot 7 miljoen euro of 1,4 procent voor belangrijke (artikel 87).
De wet eist maatregelen die passen bij uw risico's, en het bewijs dat ze er zijn en werken. Welk product of welke dienst u daarvoor inzet, laat ze open.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitvoering van de Europese NIS2-richtlijn. Die richtlijn (2022/2555) is op 14 december 2022 vastgesteld en had op 17 oktober 2024 omgezet moeten zijn; Nederland was daar ruim anderhalf jaar te laat mee. De Eerste Kamer nam de wet op 7 juli 2026 aan, ze is op 10 juli 2026 gepubliceerd in het Staatsblad (2026, 187) en op 15 augustus 2026 in werking getreden. Op dezelfde dag verving ze de Wet beveiliging netwerk- en informatiesystemen (Wbni), de uitvoering van de eerste NIS-richtlijn, die gold voor vitale aanbieders, enkele digitale dienstverleners en het Rijk. NIS2 verbreedt dat tot achttien sectoren met een omvangsdrempel, voegt de toeleveringsketen en de verantwoordelijkheid van het bestuur toe en koppelt er hogere boetes aan.

De wet zelf benoemt de doelen: risico's voor netwerk- en informatiesystemen beheersen, incidenten voorkomen en beperken, en informatie over incidenten en kwetsbaarheden uitwisselen (artikel 2). De concrete invulling staat in het Cyberbeveiligingsbesluit (Staatsblad 2026, 189), dat in de artikelen 6 tot en met 18 per maatregel uitwerkt wat er minimaal moet staan. Wie wil weten wat "passend en evenredig" betekent, leest dus het besluit naast de wet.

In de praktijk worden drie namen door elkaar gebruikt: NIS2 is de Europese richtlijn, de Cyberbeveiligingswet is de Nederlandse wet die haar omzet, en Cbw is de afkorting van die wet. Wie "NIS2-compliant" zegt, bedoelt in Nederland: voldoen aan de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De Wet weerbaarheid kritieke entiteiten (Wwke, Staatsblad 2026, 188) is een aparte wet voor de fysieke weerbaarheid van ongeveer 500 kritieke entiteiten; wie daaronder valt, is onder de Cbw automatisch essentieel (artikel 8, lid 1, onder i).

Voor wie geldt de wet?

Twee criteria samen bepalen het: uw sector en uw omvang. De wet verdeelt organisaties in essentiële en belangrijke entiteiten; het verschil zit vooral in het toezicht, de verplichtingen zijn grotendeels gelijk.

Essentiële entiteiten (artikel 8)

Organisaties uit bijlage 1 (sectoren met hoge kritikaliteit: energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart) die groter zijn dan middelgroot. Ongeacht omvang onder meer: DNS-dienstverleners, registers van topleveldomeinen, gekwalificeerde vertrouwensdiensten, aanbieders van openbare elektronische communicatie, kritieke entiteiten onder de Wwke, ministeries, zelfstandige bestuursorganen, provincies, gemeenten en waterschappen. Het toezicht is proactief: de toezichthouder mag ook zonder aanleiding controleren.

Belangrijke entiteiten (artikel 12)

Middelgrote organisaties uit bijlage 1, en middelgrote of grotere organisaties uit bijlage 2 (post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, vervaardiging waaronder medische hulpmiddelen, digitale aanbieders en onderzoek). Het toezicht is reactief: na een incident of een signaal.

Middelgroot volgt de Europese mkb-definitie (Aanbeveling 2003/361/EG): vanaf 50 medewerkers, of een jaaromzet én balanstotaal boven 10 miljoen euro, geteld in arbeidsjaren en inclusief partner- en verbonden ondernemingen. Een kleine vennootschap in een groter concern telt dus mee met dat concern. Instellingen voor hoger onderwijs volgen een eigen route: aanwijzing door de minister van OCW (artikelen 11 en 13); de zorgplicht en de bestuursplichten gelden dan 36 maanden na die aanwijzing (artikel 97).

Valt u er zelf niet onder, dan raakt de wet u vaak alsnog: via artikel 21, lid 3, onder d, moeten uw klanten de beveiliging van hun toeleveringsketen regelen, en het Cyberbeveiligingsbesluit (artikel 10, lid 2) draagt hen op te toetsen of hun directe leveranciers aan hun eisen voldoen, en dat periodiek te controleren. Die leveranciersbeoordeling landt bij u als vragenlijst, NIS2-zelfevaluatie, contracteis of audit.

Doe de zelfcheck: val ik onder NIS2? →Voor opdrachtgevers: zo richt u de ketenzorgplicht in →

De vier verplichtingen

Registreren (artikel 44)

U registreert in het entiteitenregister van het NCSC (mijn.ncsc.nl) uw naam, adres, contactgegevens (e-mailadressen, IP-bereiken, telefoonnummers), sectoren en de lidstaten waar u diensten levert. De wet noemt voor die eerste registratie geen termijn; wijzigingen meldt u binnen twee weken (artikel 44, lid 2). Aanbieders van digitale infrastructuur en digitale aanbieders melden zich binnen een maand nadat zij onder de wet vallen ook voor het Europese register (artikel 47).

Zorgplicht (artikel 21)

Passende en evenredige technische, operationele en organisatorische maatregelen, afgestemd op uw risico's, de stand van de techniek en de kosten. Lid 3 somt tien verplichte onderdelen op; de tabel hieronder loopt ze door. Lid 4 vraagt u bij rechtstreekse leveranciers en dienstverleners hun specifieke kwetsbaarheden mee te wegen, en de kwaliteit van hun producten en cyberbeveiligingspraktijken, met inbegrip van veilige ontwikkelprocedures.

Meldplicht (artikelen 25 tot en met 30)

Een significant incident is een incident dat een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of andere entiteiten aanzienlijke schade toebrengt (artikel 25). U meldt het bij het CSIRT en de bevoegde autoriteit, in de praktijk via één loket op mijn.ncsc.nl: een vroegtijdige waarschuwing binnen 24 uur (artikel 26), een melding binnen 72 uur (artikel 27) en een eindverslag uiterlijk een maand na die melding (artikel 29). Ontvangers van uw dienst die geraakt kunnen worden, informeert u zelf (artikel 30). Bijna-incidenten mag u vrijwillig melden (artikel 33).

Bestuur (artikel 24)

Het bestuur keurt de maatregelen goed (lid 1), beschikt aantoonbaar over de kennis om risico's en maatregelen te beoordelen (lid 2) en bezit een certificaat van een training (lid 5). Daarvoor geldt een termijn van twee jaar na inwerkingtreding, dus tot 15 augustus 2028 (lid 3). Een bestuurslid dat dit nalaat, kan zelf een boete krijgen tot 25.000 euro (artikel 93).

De tien maatregelen van artikel 21, en hoe u ze aantoont

Artikel 21, lid 3 van de wet noemt tien onderdelen (dezelfde als artikel 21, lid 2 van de richtlijn); het Cyberbeveiligingsbesluit werkt ze uit in de artikelen 6 tot en met 18. Bij elk onderdeel hoort tweeërlei bewijs: het document dat laat zien dat u het geregeld heeft, en, waar dat kan, een meting die laat zien dat het van buiten ook zo werkt. Een vragenlijst of certificaat legt vast wat u verklaart; een meting legt vast wat er staat. Wie beide kolommen kan vullen, heeft bij een auditor, toezichthouder of klant een antwoord op de vervolgvraag.

Onderdeel (Cbw art. 21 lid 3) en uitwerking (Cbb)	Op papier	Van buiten gemeten
a. Beleid voor risicoanalyse en beveiliging (Cbb art. 6 en 7)	Vastgesteld beleid, risicomanagementmethodiek, criteria voor risicoacceptatie, risicoregister	Geen directe meting; wat van buiten zichtbaar is, kan in het risicoregister worden opgenomen.
b. Incidentenbehandeling (Cbb art. 8)	Procedure voor detecteren, analyseren, reageren, documenteren, rapporteren en leren	Aanwezigheid van security.txt: kan een melder u bereiken?
c. Bedrijfscontinuïteit en crisisbeheer (Cbb art. 9)	Back-upbeleid, herstelplan met geteste hersteltijd, crisisplan	Niet van buiten meetbaar.
d. Beveiliging van de toeleveringsketen (Cbb art. 10)	Schriftelijk ketenbeleid dat u aantoonbaar toepast (art. 10 lid 1), toets of rechtstreekse leveranciers aan uw beveiligingseisen voldoen en periodieke controle (art. 10 lid 2), contracten	Een gedateerd scanrapport van zijn eigen externe aanvalsoppervlak dat de leverancier aanlevert. Zonder zijn medewerking blijft het bij een passieve meting op openbare bronnen. Bent u zelf leverancier, dan is dit wat uw klant van u wil zien.
e. Verwerven, ontwikkelen en onderhouden, inclusief omgang met kwetsbaarheden (Cbb art. 11 en 17)	Inkoop- en ontwikkeleisen, configuratie- en wijzigingsbeheer, schriftelijke beoordeling van attenderingen op kwetsbaarheden (art. 17)	Verouderde software en bekende kwetsbaarheden (CVE) op wat vanaf internet bereikbaar is: kwetsbaarhedenbeheer, ook kwetsbaarheidsbeheer genoemd.
f. Beoordeling van de effectiviteit (Cbb art. 18)	Periodieke evaluatie, schriftelijk vastgelegd; interne audit, directiebeoordeling	Een herhaalde meting toont de trend per ernstniveau ten opzichte van de vorige meting.
g. Cyberhygiëne en opleiding (Cbb art. 12)	Basispraktijken vastgelegd, trainingsregister; voor het bestuur het certificaat uit Cbw art. 24 lid 5	Mailbeveiliging (SPF, DMARC en de aanwezigheid van DKIM) en beveiligingsheaders zijn publiek toetsbaar.
h. Cryptografie (Cbb art. 13)	Beleid: wanneer, welke typen, wie implementeert, wie beheert de sleutels	TLS-versies, ciphersuites en certificaten van de publiek bereikbare diensten.
i. Personeel, toegangsbeleid en bedrijfsmiddelen (Cbb art. 14 tot en met 16)	Toegangsreviews, in- en uitdienstproces, een volledige en actuele inventaris van bedrijfsmiddelen (art. 16 lid 4)	Subdomeinen en systemen die niet in de inventaris staan; beheerpoorten en -interfaces die vanaf internet bereikbaar zijn.
j. Multifactorauthenticatie en beveiligde communicatie (Cbw art. 21 lid 3 onder j; Cbb art. 15 lid 3)	Uitrolbewijs MFA, periodieke controle van authenticatiemiddelen	Welke inlogschermen vanaf internet bereikbaar zijn. Of daar MFA achter zit, is van buiten niet vast te stellen.

De rechterkolom is bewust bescheiden: een externe meting ziet alleen de buitenkant. Ze vervangt geen enkele regel uit de linkerkolom. Ze maakt wel zichtbaar waar papier en werkelijkheid uit elkaar lopen, en dat is precies de vraag die een auditor stelt. Hoe diep de meting gaat, verschilt per pakket: de NIS2-pakketten scannen ook actief op kwetsbaarheden en bereikbare inlogschermen.

Toezicht en boetes

Het toezicht is per sector belegd, onder meer bij de RDI (digitale infrastructuur en diverse andere sectoren), de IGJ (zorg), de ILT (vervoer) en DNB en de AFM (financiële sector). Het NCSC beheert het meldloket en is zelf geen toezichthouder. Een toezichthouder kan een beveiligingsscan laten uitvoeren (artikelen 71 en 82), een audit afdwingen (artikelen 72 en 83), een bindende aanwijzing geven (artikelen 74 en 85) en bestuursdwang toepassen (artikelen 75 en 86).

Bij overtreding van de zorgplicht of de meldplicht geldt voor essentiële entiteiten een boete tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste bedrag telt (artikel 80, lid 3); voor belangrijke entiteiten tot 7 miljoen euro of 1,4 procent (artikel 87, lid 3). Andere overtredingen: tot 1 miljoen euro (dezelfde artikelen, onder b). Volgt een essentiële entiteit een bevel met einddatum niet op, dan kan de toezichthouder de burgerlijke rechter bovendien vragen bestuursleden te schorsen (artikelen 76 en 78). Voor overheidsinstanties geldt die schorsing niet (artikel 79).

Waar begint u?

Vijf stappen, in deze volgorde. De eerste twee zijn snel te doen, mits uw eHerkenning geregeld is; de rest is doorlopend werk.

Bepaal uw positie: sector en omvang (bijlagen 1 en 2, artikelen 8 en 12), of indirect via klanten die onder de wet vallen. De zelfcheck en de regelhulp van de Rijksoverheid lopen dit met u door.
Registreer uw organisatie in het entiteitenregister van het NCSC (artikel 44), wijs intern een contactpersoon voor meldingen aan en richt de meldprocedure in: 24 uur, 72 uur en een eindverslag via mijn.ncsc.nl.
Leg uw risicoanalyse en beleid vast (Cbb artikelen 6 en 7) en toets de tien onderdelen van artikel 21 aan de minimumeisen van Cbb artikelen 8 tot en met 18. De checklist in de kennisbank volgt die indeling.
Laat het bestuur de maatregelen goedkeuren en plan de training met certificaat vóór 15 augustus 2028 (artikel 24).
Bouw het bewijsdossier op: per onderdeel het document én, waar dat kan, de meting van buiten. Herhaal de meting en leg de evaluatie vast (Cbb artikel 18).

NIS2-compliance checklist →Stappenplan voor overheidsbesturen →

Wat de wet niet doet

De wet eist doelen: risico's kennen, maatregelen nemen die daarbij passen, incidenten melden, en dat alles kunnen aantonen. Welk product, welke dienst of welk certificaat u daarvoor gebruikt, laat ze aan u, binnen de minimumeisen van het Cyberbeveiligingsbesluit. Een leverancier die een scan of een tool als "wettelijk verplicht" verkoopt, verkoopt urgentie. Waarom zelfs een goede scan u niet compliant maakt, staat in de kennisbank.

Scannen is geen NIS2-compliance →

Bent u leverancier van een organisatie die onder de wet valt?

Dan krijgt u de toets uit artikel 10 van het Cyberbeveiligingsbesluit op uw bureau, meestal als vragenlijst. Wat u daarbij voegt, hoe de meting werkt en wat het kost, staat op een eigen pagina.

Wat u bijvoegt bij de vragenlijst →

Waar Exposentry in dit verhaal past

Exposentry vult de rechterkolom van de tabel voor de onderdelen b, e, f, g, h en i: een doorlopende kwetsbaarhedenscan van wat uw organisatie vanaf internet bereikbaar heeft, met een rapport dat vastlegt wat er stond, wanneer, en welke scanmodule het vond, voorzien van een digitaal zegel en tijdstempel. Bij een abonnement komt dat rapport elke maand. Het draait op OpenKAT, de scanner met open broncode die binnen de Nederlandse overheid is ontwikkeld; Edward Hasekamp, de bouwer van Exposentry, draagt zelf aan OpenKAT bij. Het is één bouwsteen van uw zorgplicht. Wat het meet en wat niet, leest u in de kennisbank; wat het kost, op de prijspagina.

Wat ziet een aanvaller van uw domein? →Prijzen en pakketten →

Veelgestelde vragen

Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn (2022/2555). Een richtlijn geldt niet rechtstreeks; elke lidstaat zet haar om in eigen wetgeving. De Cyberbeveiligingswet is die Nederlandse omzetting, het Cyberbeveiligingsbesluit de uitwerking. Wie in Nederland aan NIS2 moet voldoen, voldoet dus aan de Cbw en het Cbb.

Sinds wanneer geldt de Cyberbeveiligingswet?

Sinds 15 augustus 2026, zonder algemene overgangstermijn. Het Cyberbeveiligingsbesluit legt die datum vast in artikel 35. De eerder genoemde richtdatum 1 juli 2026 is vervallen. Alleen voor de opleiding van bestuurders geldt een termijn van twee jaar, en het hoger onderwijs volgt een eigen route.

Hoe weet ik of mijn organisatie eronder valt?

Kijk eerst of uw activiteit in bijlage 1 of 2 van de wet staat, dan naar uw omvang: vanaf 50 medewerkers of een jaaromzet en balanstotaal boven 10 miljoen euro. Enkele categorieën vallen er ongeacht omvang onder, zoals DNS-dienstverleners en overheidsorganisaties. De regelhulp van de Rijksoverheid en de zelfcheck in onze kennisbank lopen deze stappen met u door.

Wat is het Cyberbeveiligingsbesluit?

De algemene maatregel van bestuur bij de wet (Staatsblad 2026, 189). Het besluit werkt de zorgplicht uit in minimale maatregelen (artikelen 6 tot en met 18), regelt de inhoud van meldingen en de training van bestuurders, en stelt de inwerkingtreding vast. Voor onder meer cloud-, DNS-, datacenter- en beheerde diensten gelden in plaats daarvan de eisen van Uitvoeringsverordening (EU) 2024/2690 (Cbb artikel 4).

Wat moet ik melden, en wanneer?

Elk significant incident: een incident dat een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of andere entiteiten aanzienlijke schade toebrengt (artikel 25). Binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding en uiterlijk een maand later een eindverslag, via mijn.ncsc.nl. Niet melden valt in de hoogste boetecategorie (artikelen 80 en 87, lid 3, onder a).

Is een kwetsbaarhedenscan verplicht onder de Cyberbeveiligingswet?

Nee. De wet eist dat u kwetsbaarheden beheerst (artikel 21, lid 3, onder e), attenderingen daarop beoordeelt en vastlegt (Cbb artikel 17) en de effectiviteit van uw maatregelen periodiek evalueert (Cbb artikel 18). Hoe u dat doet, laat de wet open; een externe meting is daarvoor een gebruikelijke en aantoonbare invulling.

Wat betekent de wet voor mij als leverancier?

Uw klanten die onder de wet vallen, moeten toetsen of u aan hun beveiligingseisen voldoet en dat periodiek controleren (Cbb artikel 10, lid 2). Formeel valt u zelf vaak buiten de wet; in de praktijk krijgt u de vragenlijst. Een gedateerd rapport van uw externe aanvalsoppervlak is dan een bijlage die uw antwoorden onderbouwt.

Wie houdt toezicht?

Per sector een eigen toezichthouder, zoals de RDI, de IGJ, de ILT, DNB en de AFM. Het NCSC beheert het meldloket en het register. Essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten reactief toezicht na een incident of signaal.

Hoe verhoudt de Cyberbeveiligingswet zich tot DORA, de AVG en de Wwke?

Voor financiële entiteiten onder DORA gelden de eisen van DORA in plaats van de zorgplicht en de meldplicht van de Cbw (artikelen 22 en 31); de wet zelf blijft op hen van toepassing. De AVG blijft naast de Cbw gelden: een incident met persoonsgegevens meldt u binnen 72 uur óók bij de Autoriteit Persoonsgegevens. De Wet weerbaarheid kritieke entiteiten regelt de fysieke weerbaarheid van ongeveer 500 kritieke entiteiten; die zijn onder de Cbw automatisch essentieel.

Is er een NIS2-certificaat?

Nee. De wet eist maatregelen en het bewijs dat ze werken. ISO 27001, NEN 7510 en de BIO zijn routes om die maatregelen in te richten en leveren bruikbaar papieren bewijs. Een certificaat blijft een momentopname van een auditor; de toezichthouder toetst zelf (artikelen 72 en 83). De checklist in de kennisbank loopt de tien onderdelen door met per onderdeel het papieren bewijs en het meetbare signaal.