Valt mijn bedrijf onder de Cyberbeveiligingswet?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht – de Nederlandse invulling van de Europese NIS2-richtlijn. Ongeveer 8.000 organisaties vallen eronder, en een aanzienlijk deel daarvan weet dat nog niet.

Dit artikel loopt de vraag af zoals u hem zelf zou moeten stellen: in drie stappen, op volgorde.

Vraag 1: staat uw sector op de lijst?

De wet werkt met sectoren, verdeeld over twee groepen. In de NIS2-systematiek heten die bijlage I en bijlage II, en zij bepalen of u als essentiële of als belangrijke entiteit wordt aangemerkt.

Grofweg gaat het om sectoren als energie, vervoer, bankwezen en financiële markten, gezondheidszorg, drinkwater en afvalwater, digitale infrastructuur, ICT-dienstenbeheer, overheid en ruimtevaart. Daarnaast een tweede groep met onder meer post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, industrie, digitale aanbieders en onderzoek.

Staat uw sector op geen van beide lijsten, dan valt u niet onder de wet – ga niettemin door naar vraag 3, want daar zit de meest onderschatte route.

Vraag 2: hoe groot is uw organisatie?

De wet hanteert een omvangsdrempel. In de kern: organisaties vanaf de categorie middelgroot vallen eronder, kleinere in beginsel niet.

Twee dingen die hierbij vaak misgaan:

• Omvang wordt op groepsniveau bekeken. Een kleine dochter binnen een groter concern is niet automatisch buiten beeld.
• De drempel kent uitzonderingen. Voor sommige typen aanbieders geldt de wet ongeacht de omvang, omdat hun uitval het maatschappelijk verkeer direct raakt.

Bent u klein en zit u niet in zo’n uitzonderingscategorie, dan valt u er waarschijnlijk niet zelfstandig onder. Ook dan blijft vraag 3 relevant.

Vraag 3: levert u aan een organisatie die er wél onder valt?

Dit is de route die het vaakst over het hoofd wordt gezien.

De zorgplicht verplicht entiteiten die onder de wet vallen ook om de risico’s in hun leveranciersketen te beheersen. Dat betekent dat uw opdrachtgever eisen aan u zal stellen – over beveiligingsmaatregelen, over incidentmelding, en niet zelden over aantoonbaarheid.

Die eisen komen dan niet van de toezichthouder maar uit uw contract. Juridisch is dat een wezenlijk verschil; praktisch merkt u er weinig van, want u moet er evengoed aan voldoen.

Voor veel IT-dienstverleners, softwareleveranciers en detacheerders is dít de manier waarop de Cyberbeveiligingswet hun bedrijfsvoering raakt, zonder dat zij zelf ooit in het entiteitenregister komen te staan.

Eén uitzondering die u eerst moet checken

Bent u een financiële entiteit – bank, verzekeraar, betaalinstelling en dergelijke – dan valt u op grond van artikel 7 van de Cyberbeveiligingswet juist buiten deze wet. Voor u geldt DORA, een Europese verordening die rechtstreeks werkt en die eigen eisen stelt, onder meer aan het testen van digitale weerbaarheid.

Dit is niet alleen een formaliteit. Aan een Nederlandse bank “NIS2-compliance” verkopen is domweg het verkeerde regime aanwijzen, en het is een goede manier om te toetsen of een leverancier weet waar hij het over heeft.

Essentieel of belangrijk: wat is het verschil?

Het onderscheid gaat niet over de zorgplicht. Die is voor beide groepen in de kern dezelfde. Het verschil zit in het toezicht.

Bij essentiële entiteiten kan de toezichthouder proactief optreden: controleren zonder dat er een aanleiding is. Bij belangrijke entiteiten is het toezicht in beginsel reactief – naar aanleiding van een incident of een signaal. Ook de maximale hoogte van de sancties verschilt.

Praktisch gevolg: als belangrijke entiteit heeft u dezelfde huiswerkopdracht, alleen komt de controle later.

Het antwoord is ja. Wat nu?

Vier verplichtingen, in de volgorde waarin u ze oppakt:

Het toezicht is per sector belegd; voor de digitale infrastructuur is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder, en het NCSC is als CSIRT het adres voor meldingen. Naast deze wet geldt voor de fysieke weerbaarheid de Wet weerbaarheid kritieke entiteiten.

Heeft u al ISO 27001?

Dan staat u er op de zorgplicht waarschijnlijk goed voor – maar een certificaat dekt de registratieplicht, de meldtermijn en de bestuurderstraining niet, en de wet kent geen bepaling die certificering gelijkstelt aan naleving. Dat hebben wij apart uitgewerkt in is ISO 27001 genoeg voor NIS2.

Let daarbij vooral op de scope van uw certificaat: een certificaat met een smalle scope dekt een breed wettelijk bereik niet, en dat is de blinde vlek die wij het vaakst tegenkomen.

Kort samengevat

• Sector op de lijst + voldoende omvang → u valt er zelfstandig onder. Registreren.
• Financiële entiteit → niet deze wet, maar DORA.
• Geen van beide, maar u levert aan een entiteit die er wél onder valt → de eisen bereiken u via het contract.
• Geen van alle → geen wettelijke plicht, en de vragen uit de zorgplicht blijven goede vragen.

Niet zeker in welke categorie u valt, of wat de zorgplicht in uw geval betekent? Bespreek het in een gratis adviesgesprek, of bekijk hoe wij een NIS2-pentest inrichten als technische onderbouwing van uw maatregelen.

Gerelateerde diensten van Haxoris: pentesten ter voorbereiding op NIS2 en de Cyberbeveiligingswet · security audit van de IT-omgeving · pentesten van webapplicaties en infrastructuur