NIS2 in Nederland: wat de Cyberbeveiligingswet sinds 15 augustus 2026 van je vraagt

NIS2 is in Nederland geen Europees vooruitzicht meer. Op 15 augustus 2026 trad de Cyberbeveiligingswet in werking, samen met het Cyberbeveiligingsbesluit. Die wet zet Richtlijn (EU) 2022/2555 om in Nederlands recht en trekt de Wet beveiliging netwerk- en informatiesystemen in. Naar schatting ruim achtduizend organisaties in achttien sectoren hebben sindsdien een registratieplicht, een zorgplicht en een meldplicht. Zonder overgangstermijn: de verplichtingen golden vanaf dag een.

Wat een richtlijn is, en waarom dat uitmaakt

NIS2 is een richtlijn, geen verordening. Een richtlijn bindt de lidstaten aan een resultaat en laat hun de vorm. Organisaties worden dus niet rechtstreeks door NIS2 geraakt maar door de nationale wet die eruit voortkomt. In Nederland is dat de Cyberbeveiligingswet. Wie zich wil voorbereiden, leest die wet en niet de richtlijn.

Dat verschil valt op zodra je NIS2 naast DORA legt. DORA is een verordening en werkt sinds 17 januari 2025 rechtstreeks in alle lidstaten, in dezelfde bewoordingen. NIS2 kent per land verschillen in drempels, meldkanalen en toezicht. Voor organisaties met vestigingen in meerdere lidstaten is dat geen theoretisch punt: je kunt in Nederland en in Duitsland op onderdelen andere verplichtingen hebben.

NIS2 verving de oorspronkelijke NIS-richtlijn uit 2016. De omzettingsdeadline was 17 oktober 2024. Nederland haalde die datum niet, wat bij veel organisaties het beeld heeft achtergelaten dat de wet nog wel even zou wegblijven. Dat beeld klopt sinds augustus 2026 niet meer.

Val je eronder? Je bepaalt het zelf

De grootste verandering ten opzichte van de oude Wbni zit niet in de maatregelen maar in de manier waarop je in beeld komt. Onder de Wbni werd je aangewezen. Onder de Cyberbeveiligingswet ben je van rechtswege essentiele of belangrijke entiteit, op grond van je sector en je omvang. Er komt geen brief. Wie wacht op bericht van de overheid, is te laat.

De hoofdregel: je zit in een van de sectoren uit de bijlagen bij de wet, en je bent middelgroot of groter, dus meer dan vijftig medewerkers of meer dan tien miljoen euro jaaromzet. Dan val je eronder. Op die hoofdregel bestaan uitzonderingen in twee richtingen. Kleinere organisaties kunnen alsnog worden aangewezen, bijvoorbeeld op grond van een vitaalbeoordeling of omdat ze onder de Wbni al aanbieder van een essentiele dienst waren. Voor instellingen voor hoger onderwijs geldt een eigen route, met zesendertig maanden na aanwijzing om aan de zorgplicht en de bestuursverplichtingen te voldoen.

Er is nog een derde manier waarop de wet je bereikt, en die staat in geen enkele bijlage: via het contract van je klant. De zorgplicht omvat beveiliging van de toeleveringsketen, dus entiteiten leggen eisen door aan hun leveranciers. Een softwareleverancier met vijftien medewerkers valt zelf buiten de wet en krijgt toch een vragenlijst, een auditrecht en meldtermijnen in de verlenging van zijn contract. Wie die kant op werkt, doet er goed aan zijn leveranciersbeheer eerst zelf op orde te brengen.

Essentieel of belangrijk: het verschil zit in het toezicht

Beide categorieen hebben dezelfde zorgplicht en dezelfde meldtermijnen. Het onderscheid zit in hoe er toezicht wordt gehouden en wat een toezichthouder mag inzetten. Bij essentiele entiteiten is het toezicht proactief: een toezichthouder kan uit zichzelf langskomen, ook zonder incident of signaal. Bij belangrijke entiteiten is het toezicht reactief, dus pas nadat er aanleiding is.

Dat verschil loopt door in het instrumentarium. Tegen essentiele entiteiten kan een toezichthouder zwaardere middelen inzetten, tot het schorsen van een vergunning of certificering en van een bestuurslid aan toe. De boetemaxima verschillen ook: 10 miljoen euro of 2 procent van de wereldwijde jaaromzet tegenover 7 miljoen euro of 1,4 procent, waarbij telkens het hoogste bedrag geldt.

Bij die boetes past een nuance die in veel samenvattingen sneuvelt. De hoge maxima gelden voor de zorgplicht en de meldplicht. Overtreed je de registratieplicht, dan is het maximum 1 miljoen euro, ook als je essentiele entiteit bent. En een individueel bestuurslid kan zelf een boete krijgen van maximaal 25.000 euro.

De drie plichten

Registratie. Je meldt je organisatie aan in het nationale entiteitenregister dat het NCSC beheert, met eHerkenning op niveau EH2+ of met SSOnRijk. Je geeft naam en adres door, contactgegevens, de sectoren waarin je actief bent en de lidstaten waar je diensten levert. Wijzigingen in die gegevens geef je binnen twee weken door. Dit is de goedkoopste verplichting uit de hele wet en tegelijk de zichtbaarste: een toezichthouder die wil weten of je iets hebt gedaan, kijkt hier het eerst.

Zorgplicht. De wet somt tien categorieen maatregelen op: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuiteit en crisisbeheer, ketenbeveiliging, veilige ontwikkeling en onderhoud inclusief kwetsbaarhedenbeheer, het beoordelen van de effectiviteit van maatregelen, cyberhygiene en training, cryptografie, personeel en toegangsbeheer, en multifactorauthenticatie met beveiligde communicatie. De wet vraagt om maatregelen die passend en evenredig zijn, dus afgestemd op je omvang en je risicoprofiel. Dat is geen vrijbrief. Het betekent dat je moet kunnen uitleggen waarom je keuzes bij je risico's passen, en dat vraagt om een vastgelegde gap-analyse in plaats van een gevoel.

Meldplicht. De termijnen zijn getrapt. Binnen 24 uur na kennisname van een significant incident stuur je een vroegtijdige waarschuwing. Binnen 72 uur volgt de incidentmelding met een eerste beoordeling van aard, ernst en impact; voor verleners van vertrouwensdiensten is die termijn 24 uur. Uiterlijk een maand na die melding lever je een eindverslag. Duurt het incident langer, dan lever je op dat moment een voortgangsverslag en volgt het eindverslag binnen een maand na afhandeling. Een tussentijds verslag hoef je alleen te leveren als het CSIRT of de bevoegde autoriteit erom vraagt. Je meldt aan het CSIRT en aan de bevoegde autoriteit, waarvoor een centraal meldportaal beschikbaar is. Wanneer een incident significant is, staat niet in de wet zelf maar in sectorale ministeriele regelingen met drempelwaarden, en die verschillen per sector. Kijk dus wat er voor jouw sector geldt voordat je je incidentproces inricht.

Wat er van bestuurders wordt verwacht

De wet legt twee dingen bij het bestuur neer. Het bestuur keurt de maatregelen goed en ziet toe op de uitvoering ervan. Daarnaast moeten bestuurders scholing volgen om cyberrisico's te kunnen beoordelen. Voor die scholing geldt wel een termijn: twee jaar na inwerkingtreding, dus uiterlijk 15 augustus 2028. Dat is de enige noemenswaardige uitgestelde verplichting in de wet, en het is geen reden om de rest ook op te schuiven.

Wie het toezicht doet

De Rijksinspectie Digitale Infrastructuur is toezichthouder voor onder meer digitale infrastructuur, energie, overheid, digitale aanbieders, beheer van ICT-diensten, ruimtevaart, post en koeriersdiensten. Daarnaast houdt de Inspectie Leefomgeving en Transport toezicht op vervoer, water, afvalbeheer en chemie, De Nederlandsche Bank op het bankwezen, de AFM op de financiele marktinfrastructuur, de IGJ op de zorg, de NVWA op levensmiddelen en de ANVS op nucleair. Voor onderzoek en hoger onderwijs was medio augustus 2026 nog geen toezichthouder aangewezen.

Een coulanceperiode is nergens aangekondigd. De RDI heeft aangegeven het eerste jaar vooral te willen gebruiken om de sectoren te leren kennen, maar noemt de registratieplicht in dezelfde adem een wettelijke verplichting die actief gehandhaafd kan worden. Reken dus niet op gedoogbeleid.

Waar het in de praktijk misgaat

Vier patronen komen terug bij organisaties die wij spreken.

De scopebepaling is niet vastgelegd. Iemand heeft ooit geconcludeerd dat de organisatie er niet onder valt, maar die redenering staat nergens. Bij zelfidentificatie is dat een probleem, want de bewijslast ligt bij jou. Leg de analyse vast, ook als de uitkomst is dat je buiten de wet valt, en herzie hem als je sectorindeling of je omvang verandert.

De zorgplicht wordt gelijkgesteld aan het certificaat. Een ISO 27001-certificering dekt veel van de tien categorieen af, maar de scope van het certificaat is vaak smaller dan de dienst waarvoor de zorgplicht geldt. Vergelijk die twee scopes voordat je concludeert dat je klaar bent.

Het meldproces is nooit geoefend. Vierentwintig uur klinkt ruim tot het moment dat de klok gaat lopen tijdens een crisis waarin niemand weet wie mag besluiten dat er gemeld wordt. Bepaal vooraf wie die knoop doorhakt en oefen het een keer.

Ketenafspraken gelden alleen voor nieuwe contracten. De meeste kritieke leveranciers zitten in lopende contracten met een looptijd van jaren. Zonder verlengingsmoment gebeurt er niets, en blijft de ketenbeveiliging op papier staan.

Waar te beginnen

Als je nog niets hebt gedaan: bepaal en documenteer je scope, registreer je als je eronder valt, en zet de tien categorieen naast wat je al hebt. Die vergelijking laat binnen een dag of twee zien waar het werk zit. Wij voeren die analyse uit als onderdeel van onze compliance-dienstverlening en leveren een gap-analyse met een onderbouwing die je aan een toezichthouder kunt laten zien.

Voor de Nederlandse wet in detail, inclusief de sectorindeling en het toezichtstelsel, is de Cyberbeveiligingswet de plek om verder te lezen. Wil je liever een stappenplan dan een uitleg van het kader, kijk dan bij NIS2 compliance in 2026.