Cyberbeveiligingswet (NIS2): valt uw bedrijf eronder, of uw klant?

Het verzoek komt via de inkoopafdeling van een vaste klant, een netbeheerder of een ziekenhuisgroep: of u een vragenlijst over informatiebeveiliging wilt invullen, "in het kader van de Cyberbeveiligingswet". Dat roept twee vragen op. Valt uw eigen bedrijf onder die wet? En zo niet, wat mag de klant dan van u eisen?

Hieronder eerst wie onder de wet valt en wat die organisaties moeten, daarna wat de wet betekent voor hun leveranciers.

Wat de wet regelt en sinds wanneer

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026; hij vervangt de Wet beveiliging netwerk- en informatiesystemen (bron: Rijksoverheid, augustus 2026). Ruim 8.000 organisaties krijgen met nieuwe verplichtingen te maken (bron: Rijksoverheid, juli 2026). Tegelijk ging de Wet weerbaarheid kritieke entiteiten in, voor organisaties die een minister als kritieke entiteit aanwijst; die vallen ook onder de Cbw (bron: NCSC, november 2026).

Wie eronder valt: sector en omvang

Twee toetsen bepalen of u eronder valt: sector en omvang. De sectoren staan in twee bijlagen bij de wet.

Indeling volgens het NCSC (bron: NCSC, februari 2026). De bijlagen noemen per sector welke soorten organisaties bedoeld zijn.

Uw organisatie is groot genoeg als zij 50 of meer medewerkers heeft, of minder dan 50 medewerkers maar een jaaromzet én balanstotaal boven de Europese grens voor kleine ondernemingen (bron: NCSC, november 2026). Partner- en verbonden ondernemingen, zoals een moeder- of dochtermaatschappij, tellen mee. Ook een kleine werkmaatschappij van een concern kan er dus onder vallen.

Ongeacht hun omvang vallen eronder: overheidsorganisaties, DNS-dienstverleners (die domeinnamen vertalen naar internetadressen), aanbieders van openbare elektronische communicatienetwerken of -diensten, verleners van vertrouwensdiensten (zoals elektronische handtekeningen) en registers voor topleveldomeinnamen (bron: NCSC, november 2026). Kleine en micro-ondernemingen vallen er in de regel niet onder, tenzij ze worden aangewezen (bron: NCSC, februari 2026).

Groot betekent 250 of meer medewerkers, of een jaaromzet én balanstotaal boven de Europese grens voor middelgrote ondernemingen; voor enkele soorten aanbieders gelden afwijkende regels (bron: NCSC, februari 2026).

De snelste check is de NIS2-zelfevaluatie van de RDI, waar het NCSC naar verwijst: die bepaalt of u eronder valt en of u essentieel of belangrijk bent (bron: NCSC, november 2026). Zie de uitkomst als eerste indicatie.

Wat de wet vraagt van organisaties die eronder vallen

Registreren

Registratie in het entiteitenregister via mijn.ncsc.nl is verplicht sinds 15 augustus 2026, en wijzigingen zoals een fusie of nieuwe IP-adressen geeft u binnen twee weken door (bron: RDI, augustus 2026). U geeft onder meer naam, adres, contactgegevens inclusief IP-ranges (de reeksen internetadressen van uw organisatie), sector en de EU-landen waar u diensten levert op (bron: NCSC, september 2025).

Zorgplicht

Volgens artikel 21 neemt de organisatie "passende en evenredige technische, operationele en organisatorische maatregelen" om de risico's voor haar netwerk- en informatiesystemen te beheersen (bron: Staatsblad, juli 2026). U kiest zelf welke maatregelen passen, op basis van een risicoanalyse, maar tien onderwerpen moeten geregeld zijn: van risicoanalyse, incidentbehandeling en back-ups tot ketenbeveiliging, updates, training, versleuteling, toegangsbeheer en multifactorauthenticatie (bron: NCSC, november 2026). Het Cyberbeveiligingsbesluit werkt dit verder uit. Hoe u de basis legt, leest u in informatiebeveiliging: de basismaatregelen.

Melden

Een incident is significant als het een ernstige verstoring of financieel verlies veroorzaakt of kan veroorzaken, of anderen aanzienlijke schade kan toebrengen (bron: Staatsblad, juli 2026). De drempelwaarden per sector staan in ministeriële regelingen (bron: Rijksoverheid, augustus 2026). Eén melding via mijn.ncsc.nl bereikt zowel het CSIRT (het team dat helpt bij incidenten) als de toezichthouder (bron: NCSC, februari 2026).

Wat u in de eerste uren doet, leest u in gehackt of ransomware.

Bestuur

Het bestuur keurt de maatregelen goed, en elk bestuurslid moet risico's kunnen herkennen en maatregelen kunnen beoordelen, aangetoond met een certificaat van een training (bron: Staatsblad, juli 2026). Zittende bestuurders krijgen daarvoor twee jaar vanaf het moment dat die eis geldt, nieuwe bestuurders twee jaar na hun benoeming; de regels gelden ook voor vennoten en maten (bron: Staatsblad, juli 2026).

Toezicht en handhaving

Het toezicht is per sector belegd: de RDI onder meer voor digitale infrastructuur, energie, overheid, digitale aanbieders en beheer van ICT-diensten, de ILT onder meer voor vervoer, water, afvalstoffen en chemie, DNB voor banken, de AFM voor de financiële marktinfrastructuur en de NVWA voor levensmiddelen (bron: NCSC, november 2026). Voor de zorg is dat de IGJ (bron: NCSC, februari 2026). Het instrumentarium loopt van een audit en een bindende aanwijzing tot een last onder dwangsom en een bestuurlijke boete (bron: NCSC, februari 2026).

Geen Cbw-organisatie, wel een Cbw-klant

Een installatiebedrijf dat de gebouwbeheersystemen van een ziekenhuis onderhoudt, of een softwareleverancier van een waterbedrijf, valt er vaak niet zelf onder. De klant wel, en die moet de risico's in zijn keten beheersen.

Toeleveranciers krijgen van de wet geen eigen verplichtingen en staan niet onder toezicht, maar de klant kan om bewijs van maatregelen vragen om aan zijn toezichthouder te laten zien (bron: NCSC, juli 2025). U komt vooral in beeld als wat u levert raakt aan de netwerk- en informatiesystemen van de klant, als u er een ICT-onderdeel van levert of als u er toegang toe heeft; de leveranciers van uw leveranciers vallen buiten de wet (bron: NCSC, juli 2025).

Wat de klant vraagt, volgt uit wat de toezichthouder van hem verwacht. De RDI wil dat organisaties met leveranciers met grote impact schriftelijk vastleggen welke beveiliging nodig is, wie wat doet bij een groot incident en wat er bij beëindiging met data gebeurt, en dat zij dit toetsen met assessments of audits (bron: RDI, juli 2026). Een certificaat is geen wettelijke eis en er bestaat geen keurmerk dat aantoont dat u aan de wet voldoet (bron: NCSC, juli 2025).

Het NCSC raadt toeleveranciers vijf stappen aan: zorg dat de basis op orde is, zet beveiliging zelf bij de klant op de agenda, breng in kaart welke systemen en gegevens voor de klant het belangrijkst zijn en welke invloed u daarop heeft, leg afspraken vast in contract of SLA (de afspraken over de dienstverlening) en oefen samen een incident (bron: NCSC, november 2026).

Let ook op uw eigen IT-partner. Beheer van ICT-diensten voor andere bedrijven staat in de eerste bijlage, dus een middelgrote of grote IT-beheerpartij kan zelf onder de wet vallen (bron: NCSC, februari 2026). Hoe u een partner beoordeelt, leest u in IT-partner kiezen; meer onderwerpen staan in de kennisbank ICT en data.

Zelftoets, modelantwoorden en de zorgplicht in acties

Hieronder vindt u een zelftoets als stroomschema, modelantwoorden voor beveiligingsvragenlijsten van klanten en de zorgplicht vertaald naar acties, met het bewijs dat een klant of toezichthouder wil zien.