NIS2 vanaf 15 augustus: valt uw bedrijf onder de Cyberbeveiligingswet?

Wat verandert er op 15 augustus 2026?

De Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Beide wetten treden op 15 augustus 2026 in werking. Daarmee is Nederland, ruim anderhalf jaar na de Europese deadline, eindelijk aangesloten op de NIS2-richtlijn.

De Cyberbeveiligingswet gaat gelden voor ruim achtduizend organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, vervoer en de overheid. Daarnaast worden ongeveer vijfhonderd organisaties in twaalf sectoren formeel aangewezen als kritieke entiteit onder de Wwke. Die laatste groep is klein en weet inmiddels heel goed dat het over hen gaat.

Waar de AVG over persoonsgegevens gaat, gaat deze wet over continuïteit en weerbaarheid: kunt u blijven leveren als er iets misgaat, en hebt u dat georganiseerd in plaats van gehoopt? Het toezicht ligt onder meer bij de Rijksinspectie Digitale Infrastructuur (RDI); het NCSC is het centrale meldpunt.

Valt uw bedrijf eronder? Drie situaties

Om onder de wet te vallen moet u aan twee dingen tegelijk voldoen: u zit in een aangewezen sector, én u bent groot genoeg. Die tweede drempel ligt bij ongeveer vijftig medewerkers, of een jaaromzet of balanstotaal van meer dan tien miljoen euro. Zit u daaronder, dan valt u in principe buiten de wet.

Wilt u het zeker weten in plaats van inschatten? De Rijksoverheid heeft een NIS2-zelfevaluatie waarmee u in een kwartier bepaalt of de wet op uw organisatie van toepassing is, en of u dan als essentieel of als belangrijk geldt. Doe hem een keer, en bewaar de uitkomst.

De tien zorgplichtmaatregelen, in gewoon Nederlands

Het hart van de wet is de zorgplicht: tien categorieën maatregelen die passend en evenredig moeten zijn voor uw organisatie. Passend en evenredig betekent dat een bedrijf van twaalf mensen iets anders hoeft dan een ziekenhuis. Hieronder staan ze in de bewoording van de toezichthouder, met daaronder wat het voor een normaal bedrijf betekent.

• 1. Maak een risicoanalyse

  Zet op papier welke systemen en gegevens u echt niet kunt missen: de e-mail, de administratie, het kassasysteem, de planning. Wat gebeurt er als die een dag plat liggen? Alle andere maatregelen volgen uit dit lijstje, dus begin hier.

• 2. Richt incident response in

  Spreek af wie er wat doet als er iets misgaat. Wie zet de computers uit, wie belt de IT-partner, wie informeert klanten? Twee A4'tjes is genoeg, zolang iedereen weet waar ze liggen.

• 3. Bereid u voor op uitval

  Back-ups maken is het halve werk. De andere helft is een keer proberen of u er ook echt iets uit terug kunt zetten. Zorg daarnaast voor minimaal een kopie die niet permanent aan het netwerk hangt, want ransomware versleutelt ook uw back-up.

• 4. Maak uw toeleveringsketen veilig

  Weet welke externe partijen bij uw gegevens kunnen: het boekhoudpakket, de hostingpartij, de webshop, de mailingdienst. Vraag hun hoe zij het geregeld hebben en leg afspraken vast in het contract.

• 5. Zorg dat de cyberhygiëne op orde is

  De basis: updates automatisch installeren, geen verouderde apparaten aan het netwerk, en medewerkers die weten hoe een phishingmail eruitziet. Onspannend werk, maar het voorkomt het merendeel van de ellende.

• 6. Beveilig netwerk- en informatiesystemen

  Denk aan een fatsoenlijke firewall, een gescheiden gastennetwerk en het tijdig doorvoeren van updates op de router en de access points. Ook nieuwe systemen moeten al bij aanschaf veilig staan ingesteld.

• 7. Regel toegang, personeel en assetbeheer

  Houd bij welke apparaten en accounts er zijn, en geef mensen alleen toegang tot wat ze nodig hebben. Belangrijkste praktijkpunt: sluit accounts van vertrokken medewerkers dezelfde dag af.

• 8. Gebruik sterke authenticatie

  Alleen een wachtwoord is niet genoeg. Zet meervoudige verificatie (MFA) aan op e-mail, boekhouding en beheeraccounts. De RDI wijst nadrukkelijk naar passkeys, die zowel veiliger als makkelijker in gebruik zijn dan sms-codes.

• 9. Stel cryptografiebeleid op

  Kort gezegd: versleutel wat gevoelig is. Laptopschijven met BitLocker, verbindingen via https, en leg in een half A4 vast wat u versleutelt en waarom.

• 10. Beoordeel of het werkt

  Kijk minimaal een keer per jaar terug: klopt de lijst met systemen nog, werken de back-ups, staat MFA overal aan? Zonder die controle staat alles alleen op papier.

Valt u zelf buiten de wet, lees deze lijst dan als een gratis audit. Punt 5 en 6 gaan over de basis van uw netwerk; hoe u dat praktisch aanpakt staat in ons artikel over stabiel en veilig wifi op de zaak. En loopt er nog een pc op verouderde software, kijk dan bij Windows 10 en de verlengde beveiligingsupdates.

Registreren, en melden binnen 24 uur

Organisaties die onder de wet vallen moeten zich registreren in het entiteitenregister bij het NCSC, inclusief de internetdomeinen waarvoor zij verantwoordelijk zijn. Daarnaast geldt een meldplicht bij significante incidenten, in drie stappen.

Melden gaat via MijnNCSC; daarmee bereikt u in een keer zowel het sectorale CSIRT als de toezichthouder. Voor bestuurders geldt bovendien dat zij voldoende kennis moeten hebben en een passende training moeten volgen, waarvoor maximaal twee jaar na inwerkingtreding de tijd is.

Vierentwintig uur klinkt kort, en dat is het ook. In de praktijk betekent het dat u de belvolgorde bij een incident van tevoren geregeld moet hebben, niet op het moment zelf. Overigens staat deze meldplicht los van de AVG: bij een datalek met persoonsgegevens meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens, en bij een groot incident kunt u dus met beide termijnen tegelijk te maken hebben.

Wat als een organisatie zich er niets van aantrekt?

De boetes zijn fors. Voor essentiële entiteiten loopt het op tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Voor belangrijke entiteiten geldt maximaal zeven miljoen euro of 1,4 procent van de omzet. Daarbovenop kunnen bestuurders persoonlijk worden aangesproken op nalatigheid.

Voor de meeste lezers van dit artikel zijn die bedragen echter niet het punt, want ze gelden alleen voor organisaties die onder de wet vallen. Uw risico zit ergens anders: een grote klant die zijn keten op orde moet brengen en bij de volgende contractverlenging aantoonbaarheid eist. Dat is geen boete, maar het kan wel een opdracht kosten.

Acht vragen die uw grootste klant u binnenkort stelt

Beveiliging van de toeleveringsketen is maatregel vier van de zorgplicht. Concreet betekent dat: organisaties die onder de wet vallen, moeten hun leveranciers beoordelen. Dat doen ze meestal met een vragenlijst. Hieronder staan de vragen die daar vrijwel altijd op staan, en het antwoord dat u erop wilt kunnen geven.

• Staat meervoudige verificatie aan op e-mail en administratie?

  Dit is de meest gestelde vraag, en de goedkoopste maatregel. Aanzetten in Microsoft 365 of Google Workspace kost een uurtje voor het hele bedrijf.

• Wie heeft er toegang tot welke systemen?

  Een simpele lijst per medewerker volstaat. Loop hem een keer per jaar na en verwijder accounts van mensen die er niet meer werken.

• Maakt u back-ups, en heeft u een herstel weleens getest?

  Het tweede deel van de vraag is het lastige. Zet een keer per jaar een willekeurig bestand terug en noteer de datum; dat is uw bewijs.

• Wat doet u binnen 24 uur als u gehackt wordt?

  Uw klant wil weten dat hij snel bericht krijgt, omdat hij zelf een meldplicht van 24 uur heeft. Zet uw eigen belvolgorde op papier.

• Draait u nog op ondersteunde software?

  Een pc zonder beveiligingsupdates is een open deur in de keten. Loop na op welke Windows-versie uw apparaten staan en of ze nog updates krijgen.

• Weten uw medewerkers hoe ze phishing herkennen?

  Twee keer per jaar een kwartiertje uitleg, plus de afspraak dat niemand ooit wordt uitgelachen om een melding, doet meer dan welk pakket ook.

• Welke andere partijen verwerken de gegevens die u van ons krijgt?

  Denk aan uw hostingpartij, boekhoudpakket en cloudopslag. Uw klant wil geen verrassingen twee schakels verderop in de keten.

• Kunt u dat ook aantonen?

  Alles hierboven mag in een gedeeld document staan. Wie het opschrijft, hoeft het bij de volgende leverancierscheck alleen bij te werken.

Dat een lek bij een leverancier het probleem van de opdrachtgever wordt, is geen theorie: bij het datalek bij Bol en de Bijenkorf zat de aanval bij hun logistieke partner, terwijl zij hun klanten moesten waarschuwen. Precies dat scenario is de reden dat de wet de hele keten aanspreekt.

Zo begint u deze week

U hoeft dit niet in een keer af te hebben, en zeker niet voor 15 augustus. Maar vijf dingen kunt u binnen een week doen, en daarmee bent u verder dan de meeste bedrijven in uw straat.

1. 1

   Doe de zelfevaluatie

   Vul de NIS2-zelfevaluatie van de Rijksoverheid in. In een kwartier weet u of u direct onder de wet valt, en of u dan essentieel of belangrijk bent.

2. 2

   Vraag het uw drie grootste klanten

   Vallen zij onder de Cyberbeveiligingswet? Zo ja, dan komt de leveranciersvragenlijst uw kant op. Beter dat u er dan als eerste over begint.

3. 3

   Zet meervoudige verificatie aan

   Begin bij e-mail, boekhouding en beheeraccounts. Dit is de maatregel met de meeste winst per bestede euro, en u kunt hem vandaag nog afvinken.

4. 4

   Test een keer of uw back-up werkt

   Zet een willekeurig bestand terug uit de back-up van vorige week. Lukt dat niet vlot, dan hebt u geen back-up maar een geruststelling.

5. 5

   Schrijf op wat u doet

   Een gedeeld document met uw systemen, uw leveranciers en uw belvolgorde bij incidenten. Dat document is straks het antwoord op de meeste klantvragen.

Veelgestelde vragen over NIS2 en de Cyberbeveiligingswet

Bronnen: Rijksoverheid · NCSC · RDI (zorgplicht) · RDI (meldplicht) · NIS2-zelfevaluatie

Dit artikel is algemene uitleg en geen juridisch advies. Twijfelt u over uw positie onder de wet, raadpleeg dan de zelfevaluatie of uw jurist.