Val ik onder NIS2? In vier vragen een eerste antwoord, met het wetsartikel erbij

Naar schatting van de Rijksoverheid vallen ruim 8.000 organisaties sinds 15 augustus 2026 onder de Cyberbeveiligingswet, overheden niet meegerekend, en lang niet elke organisatie weet of zij erbij hoort. Dat een klant u "NIS2-plichtig" noemt, maakt u dat nog niet: de wet bepaalt het, via sector, omvang en een korte lijst uitzonderingen. Beantwoord de vragen; bij elke stap staat het wetsartikel, en de uitkomst is af te drukken als voorbereiding op de officiële zelfevaluatie.

Door Edward Hasekamp, oprichter van Exposentry · Gepubliceerd op 26 oktober 2026 · Bijgewerkt op 29 oktober 2026

Is uw organisatie een overheidsorganisatie?

Deze check gaat uit van een organisatie die in Nederland is gevestigd (artikel 4). De wet wijst een aantal overheden ongeacht hun omvang aan als essentiële entiteit, en sluit een aantal onderdelen van de overheid juist uit.

Hoe deze check werkt

De Cyberbeveiligingswet geldt sinds 15 augustus 2026, zonder algemene overgangstermijn, en verdeelt organisaties in essentiële entiteiten (artikel 8) en belangrijke entiteiten (artikel 12). Twee criteria bepalen samen waar u staat: de sector waarin u een dienst of activiteit levert en de omvang van uw organisatie. Bijlage 1 en 2 tellen samen 18 sectoren: elf met hoge kritikaliteit, waaronder de overheid uit vraag 1, en zeven overige. Daarbovenop wijst de wet een aantal categorieën ongeacht omvang aan: delen van de overheid, DNS-dienstverleners, telecomaanbieders, vertrouwensdiensten en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten. En artikel 5 houdt Defensie, de inlichtingendiensten, het OM, de politie en de veiligheidsregio's erbuiten.

De omvang telt u volgens de Europese mkb-definitie (Aanbeveling 2003/361/EG): medewerkers in arbeidsjaren, inclusief meewerkende eigenaren, en partner- en verbonden ondernemingen tellen mee. Daardoor kan een kleine vennootschap in een groot concern tóch onder de wet vallen. De check gaat uit van een organisatie die in Nederland is gevestigd (artikel 4); waar het hoofdkantoor van het concern staat, doet er dan niet toe. Voor DNS-, cloud-, datacenter- en CDN-aanbieders, MSP's en MSSP's, online marktplaatsen, zoekmachines, sociale netwerken en registrars telt alleen de hoofdvestiging in de EU; ligt die in een andere lidstaat, dan geldt de wet van dat land. Voor telecomaanbieders telt het land waar zij de dienst aanbieden.

De uitkomst noemt bij elke stap het wetsartikel, zodat u hem kunt nalezen. De officiële zelfevaluatie van de Rijksoverheid blijft het document voor uw dossier; die regelhulp dateert van oktober 2024 en volgt de richtlijn; de definitieve wettekst is van later datum. Wat de wet daarna van u vraagt, per artikel en met bij elke maatregel het bewijs op papier en de meting van buitenaf, staat op de pagina over de Cyberbeveiligingswet.

Na de check: papier en meting

De zelfevaluatie is papierwerk, en nuttig papierwerk: het legt vast of en waarom de wet voor u geldt. Eén onderdeel van de zorgplicht vraagt daarna om iets anders: weten wat er feitelijk van uw organisatie aan internet hangt, en dat gedateerd kunnen laten zien als onderdeel van uw onderbouwing. Exposentry meet dat met OpenKAT, de open-source scanner die uit de Nederlandse overheid voortkomt en waaraan Edward Hasekamp bijdraagt.

Wat zo'n meting oplevert, en waar die ophoudt, leest u in wat een aanvaller van uw domein ziet en in waarom een scan op zichzelf nog geen compliance is.

Bronnen

Verder lezen