Cyberbeveiligingswet (NIS2): wat het voor u betekent

Wat is de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn voor cybersecurity. Ze vervangt de eerste NIS-richtlijn uit 2016 en maakt het aantal organisaties dat eronder valt veel groter.

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw). De wet is gepubliceerd in het Staatsblad (Stb. 2026, 187), het bijbehorende Cyberbeveiligingsbesluit in Stb. 2026, 189, en is op 15 augustus 2026 in werking getreden. Volgens de Rijksoverheid gaat het om ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen.

Het is dus geen vrijblijvende richtlijn meer. Organisaties die eronder vallen moeten passende maatregelen nemen, ernstige incidenten melden en kunnen bij tekortkomingen een boete krijgen.

Valt uw organisatie eronder?

Een organisatie valt onder de wet als ze in een van de 18 sectoren actief is (zie hieronder) en een middelgrote of grote organisatie is:

• 50 of meer medewerkers, of
• minder dan 50 medewerkers, maar zowel een jaaromzet als een jaarlijks balanstotaal van meer dan EUR 10 miljoen.

Enkele aanbieders, zoals DNS-aanbieders en TLD-registers, vallen er ongeacht hun omvang onder.

Of u een essentiële of een belangrijke organisatie bent, hangt af van de bijlage waarin uw sector staat en van uw omvang. Grote organisaties in de sectoren van bijlage I zijn in de regel essentieel, de overige organisaties zijn belangrijk. Twijfelt u? De Rijksinspectie Digitale Infrastructuur (RDI) heeft een zelftest, en op ncsc.nl leest u hoe u bepaalt of de wet voor u geldt.

En kleinere organisaties? De meeste organisaties met minder dan 50 medewerkers vallen er niet zelf onder. Toch merken ze de wet. Organisaties die er wel onder vallen moeten hun leveranciers beoordelen, en vragen daarom steeds vaker om aantoonbare beveiliging. Bent u zo'n leverancier, dan komt die vraag via uw klanten bij u terecht.

Sectoren

De wet noemt 18 sectoren, verdeeld over twee bijlagen.

Bijlage I: sectoren met een hoge mate van kritiek belang

• Energie: elektriciteit, olie, gas, waterstof, stadsverwarming
• Vervoer: lucht, spoor, water, weg
• Bankwezen
• Infrastructuur voor de financiële markt
• Gezondheidszorg: ziekenhuizen, laboratoria, fabrikanten van medische hulpmiddelen, farmaceutische bedrijven
• Drinkwater: levering en distributie
• Afvalwater
• Digitale infrastructuur: internetknooppunten, DNS, TLD-registers, cloud computing, datacenters, CDN's, vertrouwensdiensten, elektronische communicatie
• Beheer van ICT-diensten (B2B): managed service providers en managed security service providers
• Openbaar bestuur
• Ruimtevaart

Ook IT-dienstverleners en MSP's kunnen er dus zelf onder vallen, als ze groot genoeg zijn.

Bijlage II: andere kritieke sectoren

• Post- en koeriersdiensten
• Afvalbeheer
• Chemische stoffen: vervaardiging, productie en distributie
• Levensmiddelen: productie, verwerking en distributie
• Industrie: medische hulpmiddelen, computers, elektronica, machines, motorvoertuigen, overige transportmiddelen
• Digitale aanbieders: onlinemarktplaatsen, zoekmachines, socialenetwerkplatforms
• Onderzoeksorganisaties

Wat de wet vraagt

Artikel 21 van de wet verplicht organisaties tot passende en evenredige maatregelen voor het beheer van cybersecurityrisico's. Het gaat onder meer om:

• risicoanalyse en beleid voor de beveiliging van informatiesystemen
• het afhandelen van incidenten
• bedrijfscontinuïteit, zoals back-ups en crisismanagement
• beveiliging van de toeleveringsketen
• beveiliging bij de aanschaf, ontwikkeling en het onderhoud van systemen, inclusief het afhandelen van kwetsbaarheden
• het beoordelen of de maatregelen werken
• cyberhygiëne en opleiding
• cryptografie en versleuteling
• personeel, toegangsbeheer en het beheer van middelen
• multifactorauthenticatie en beveiligde communicatie

Hoe ver u moet gaan, hangt af van uw risico's en uw omvang.

Boetes

De wet kent bestuurlijke boetes:

• Essentiële organisaties: tot EUR 10 miljoen of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is (artikel 80).
• Belangrijke organisaties: tot EUR 7 miljoen of 1,4% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is (artikel 87).
• Bestuurders: een persoonlijke boete tot EUR 25.000 (artikel 93).

Melden van incidenten

Een organisatie die onder de wet valt, moet een significant incident melden bij het nationale CSIRT (in Nederland het NCSC) en bij de toezichthouder. De termijnen zijn:

Een significant incident is een incident dat een ernstige operationele verstoring of financiële schade veroorzaakt of kan veroorzaken, of dat andere organisaties of personen treft of kan treffen. De meldplicht rust op de organisatie zelf.

De rol van het bestuur

De wet maakt cybersecurity een zaak van het bestuur. Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering ervan. Bestuurders kunnen zich dus niet volledig achter hun IT-afdeling of IT-partner verschuilen.

Waar Zybur wel, deels en niet bij helpt

Zybur helpt bij een deel van de maatregelen: het opsporen van verdachte activiteit op werkplekken, servers en (met Enterprise) domeincontrollers en accounts, een melding aan uw IT-partner bij een incident, en rapporten die vastleggen wat wij zagen. Zo komt u dichter bij wat de wet vraagt. Risicoanalyse, beleid, bestuur, back-ups, opleiding en leveranciersbeheer blijven uw eigen werk. Zybur zorgt er niet voor dat u aan de wet voldoet.

Wat u nu kunt doen

1. Bepaal of de wet voor u geldt. Gebruik de zelftest van de RDI en de uitleg op ncsc.nl.
2. Breng uw maatregelen in kaart. Wat heeft u al geregeld, en wat ontbreekt?
3. Betrek het bestuur. De wet maakt het een bestuurszaak.
4. Kijk naar uw leveranciers en uw klanten. Wat vraagt u van uw leveranciers, en wat vragen uw klanten van u?
5. Praat met uw IT-partner. Samen bepaalt u welke maatregelen bij uw organisatie passen.

Vragen? Praat met ons over wat Zybur wel en niet voor u doet.