In dit artikel8
Wat zijn NIS2 en de Cyberbeveiligingswet?
NIS2 is Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 over maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie. De richtlijn is op 27 december 2022 bekendgemaakt in het Publicatieblad van de Europese Unie en trekt Richtlijn (EU) 2016/1148 in. Volgens artikel 1 moet de richtlijn een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie bereiken en de werking van de interne markt verbeteren. De tekst op EUR-Lex bevat onder meer risicobeheersmaatregelen en rapportageverplichtingen voor entiteiten van een type uit bijlage I of II.
Een richtlijn schrijft het resultaat voor en moet door elke lidstaat in nationale wet worden gebracht. Een verordening, zoals DORA en de Cyber Resilience Act, geldt rechtstreeks. Daarom zie je bij NIS2 twee lagen: de EU-tekst en de Nederlandse wet.
De Cyberbeveiligingswet is de Nederlandse wet die NIS2 uitvoert. Ze vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Lidstaten moesten de richtlijn uiterlijk op 17 oktober 2024 omzetten en de bepalingen met ingang van 18 oktober 2024 toepassen. Voor de praktijk in Nederland is de Cbw de tekst die telt, want die bepaalt wat een organisatie die eronder valt moet doen, melden en kunnen aantonen.
NIS2 hoort bij het vakgebied cybersecurity. Alles op deze pagina is de stand op de controledatum 5 november 2026, met verwijzing naar de officiële pagina's van het NCSC en de RDI.
Welke organisaties vallen onder NIS2 en de Cbw?
De richtlijn geldt voor publieke of particuliere entiteiten van een type uit bijlage I of II die middelgrote onderneming zijn volgens de Europese aanbeveling, of groter. Ongeacht hun omvang geldt de richtlijn onder meer ook voor aanbieders van openbare elektronischecommunicatienetwerken of -diensten, aanbieders van vertrouwensdiensten, registers voor topleveldomeinnamen en aanbieders van domeinnaamregistratiediensten. Ook een entiteit die in een lidstaat de enige aanbieder is van een dienst die onmisbaar is voor de instandhouding van kritieke maatschappelijke of economische activiteiten, valt eronder.
Entiteiten van een type uit bijlage I die groter zijn dan een middelgrote onderneming, vallen in beginsel in de categorie essentieel. Andere entiteiten uit bijlage I of II zijn belangrijke entiteiten.
Bijlage I heet "zeer kritieke sectoren" en noemt elf sectoren:
- energie
- vervoer
- bankwezen
- infrastructuur voor de financiële markt
- gezondheidszorg
- drinkwater
- afvalwater
- digitale infrastructuur
- beheer van ICT-diensten (business-to-business)
- overheid
- ruimtevaart
Bijlage II heet "andere kritieke sectoren" en noemt zeven sectoren:
- post- en koeriersdiensten
- afvalstoffenbeheer
- vervaardiging, productie en distributie van chemische stoffen
- productie, verwerking en distributie van levensmiddelen
- vervaardiging
- digitale aanbieders
- onderzoek
Volgens het NCSC gaat het om ruim 8.000 organisaties. Voor een eerste check of een organisatie onder de wet valt, is er de zelfevaluatie op de pagina van de RDI.
De eerste klus bij een organisatie is meestal vaststellen of ze een entiteit in een van deze sectoren is, en in welke categorie. Dat vraagt dat iemand de activiteiten van de organisatie naast de sectorlijsten legt en de grootte beoordeelt. Dat doet vaak een compliance officer of information security officer samen met juridische zaken.
Voor banken en financiële marktinfrastructuren gelden naast DORA ook NIS2, via de Cbw, en de CER-richtlijn. Waar regels overlappen, gaan volgens de Rijksoverheid de DORA-bepalingen voor financiële instellingen voor. Vacatures waarin DORA voorkomt, staan op de skillpagina.
Wat is de stand van de Cyberbeveiligingswet?
Op de controledatum 5 november 2026 is de Cyberbeveiligingswet volgens het NCSC en de RDI in werking getreden op 15 augustus 2026. De Tweede Kamer nam de wetsvoorstellen voor de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten op 15 april 2026 aan. De Eerste Kamer nam het voorstel voor de Cyberbeveiligingswet op 7 juli 2026 aan, en de wet is van 8 juli 2026. De actuele wettekst op wetten.overheid.nl toont de wet als geldend vanaf 15 augustus 2026.
Artikel 107 van de wet bepaalt dat de wet in werking treedt op een bij koninklijk besluit te bepalen tijdstip. Dat tijdstip kan voor verschillende artikelen of onderdelen verschillend zijn, dus controleer per onderdeel wanneer het geldt. Lagere regelgeving en uitvoeringsregels kunnen nog veranderen, dus controleer wetten.overheid.nl en ncsc.nl.
Wat vraagt de zorgplicht: tien maatregelen
De zorgplicht staat in artikel 21 van de Cbw. Een entiteit in de categorie essentieel of belangrijk neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor de beveiliging van netwerk- en informatiesystemen te beheersen. Die maatregelen moeten incidenten voorkomen of de gevolgen ervan beperken. Het startpunt is een risicoanalyse: het NCSC schrijft dat organisaties een risicoanalyse uitvoeren en op basis daarvan maatregelen nemen.
De richtlijn noemt ten minste tien onderdelen. In eigen woorden:
- Je hebt beleid voor risicoanalyse en voor de beveiliging van je informatiesystemen.
- Je kunt incidenten afhandelen.
- Je kunt blijven draaien bij uitval, met back-ups, noodvoorzieningen en crisisbeheer.
- Je houdt de beveiliging van je toeleveringsketen op orde.
- Je beveiligt systemen bij aanschaf, ontwikkeling en onderhoud, en hebt een aanpak voor kwetsbaarheden.
- Je hebt beleid en procedures om te beoordelen of je maatregelen werken.
- Je hebt basishygiëne op orde en leidt medewerkers op in cyberbeveiliging.
- Je hebt beleid voor cryptografie en, waar passend, voor encryptie.
- Je regelt de beveiliging rond personeel, toegang en het beheer van middelen.
- Je gebruikt waar passend multifactor- of continue authenticatie, beveiligde communicatie en beveiligde noodcommunicatie.
Het zijn thema's, geen technische voorschriften. De lijst is geen vinklijst: de maatregelen moeten passen bij de risico's, de grootte en de blootstelling van de organisatie. Een kleine organisatie hoeft daardoor niet hetzelfde pakket te hebben als een grote, en de wet schrijft geen specifieke norm voor.
Een organisatie kan ISO 27001 (uitleg, vacatures) of het NIST Cybersecurity Framework als hulpmiddel gebruiken om die maatregelen te ordenen. Een kader helpt bij de uitvoering, maar het vervangt de wettekst niet.
Wat verandert er voor bestuurders?
Het bestuur van een entiteit in de categorie essentieel of belangrijk keurt de maatregelen voor het beheer van cyberbeveiligingsrisico's goed, ziet toe op de uitvoering en kan aansprakelijk worden gesteld voor inbreuken. Die verplichting staat in artikel 20 van de richtlijn en in artikel 24 van de Cbw. Ieder bestuurslid heeft kennis en vaardigheden om risico's en risicobeheersmaatregelen te kunnen beoordelen, houdt die aantoonbaar actueel en heeft een certificaat van deelname aan een training over deze onderwerpen.
Volgens de wettekst moet een bestuurslid daaraan voldoen binnen twee jaar na de inwerkingtreding van die bepaling. De RDI schrijft: uiterlijk medio 2028. Nieuwe bestuursleden hebben daarvoor twee jaar na hun benoeming. Volgens de RDI geldt de verplichting voor uitvoerende bestuurders. Aan een bestuurslid kan een boete van tot € 25.000 worden opgelegd bij overtreding van de bepalingen over kennis en vaardigheden.
De maatregelen worden dus niet alleen door IT vastgesteld: het bestuur keurt ze goed en moet ze kunnen beoordelen. Een CISO of information security officer kan daardoor een rol krijgen als vertaler en trainer richting het bestuur: in zo'n rol moet je het bestuur kunnen informeren en opleiden. De wet laat ruimte voor nadere regels over de duur en het niveau van de training.
Hoe werkt de meldplicht bij incidenten?
Een significant incident meld je in drie stappen. Een incident is significant als het een ernstige operationele verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of andere personen of organisaties kan treffen met aanzienlijke schade. De wet laat ruimte voor nadere regels over de criteria voor een significant incident.
Stap | Termijn | Wat erin staat |
|---|---|---|
Vroegtijdige waarschuwing | Onverwijld, of als dat niet kan binnen 24 uur nadat de entiteit kennis heeft gekregen van het incident | Of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, en of er grensoverschrijdende gevolgen kunnen zijn |
Incidentmelding | Onverwijld, of als dat niet kan binnen 72 uur | De melding aan het eigen CSIRT en de bevoegde autoriteit. Op verzoek volgt een tussentijds verslag. |
Eindverslag | Uiterlijk één maand na de melding | Duurt het incident nog voort, dan volgt eerst een voortgangsverslag. Binnen één maand na afhandeling volgt het eindverslag. |
De klok loopt vanaf het moment dat de organisatie kennis heeft van het incident. Daarom moeten rollen, contactgegevens en een beslisboom vooraf klaar liggen: wie beoordeelt of een incident significant is, wie meldt en wie het bestuur informeert. Zo kan de werkverdeling eruitzien: een incident responder of SOC-analist levert de feiten, een compliance officer of CISO bewaakt de melding. De wet schrijft die verdeling niet voor. Leg haar vast in een draaiboek, zie ook incident response.
Organisaties die onder de Cbw vallen, moeten zich registreren in het entiteitenregister via Mijn NCSC. Volgens de RDI is de organisatie zelf verantwoordelijk voor een tijdige registratie. Wijzigingen in de geregistreerde gegevens meldt de entiteit onverwijld, en in elk geval binnen twee weken (artikel 44 Cbw). Meer over registratie en de status vind je op de NCSC-pagina over de Cyberbeveiligingswet.
Wie houdt toezicht en welke boetes zijn er?
Welke toezichthouder geldt, hangt af van de sector. Het NCSC is het CSIRT en biedt ondersteuning, maar het NCSC is niet de toezichthouder.
Sector | Toezichthouder |
|---|---|
Digitale infrastructuur, energie, overheid, digitale aanbieders, beheer van ICT-diensten, ruimtevaart, post- en koeriersdiensten | Rijksinspectie Digitale Infrastructuur (RDI) |
Vervoer, drinkwater, afvalwater, afvalstoffenbeheer en waterschappen | Inspectie Leefomgeving en Transport (ILT) |
Bankwezen | De Nederlandsche Bank (DNB) |
Infrastructuur voor de financiële markt | Autoriteit Financiële Markten (AFM) |
Levensmiddelen | Nederlandse Voedsel- en Warenautoriteit (NVWA) |
Vervaardiging van medische hulpmiddelen | Inspectie Gezondheidszorg en Jeugd (IGJ) |
Voor sectoren die in de tabel ontbreken, vind je de toezichthouder op de NCSC-pagina over toezicht op de Cyberbeveiligingswet en de RDI-pagina over sectoren onder toezicht.
Bij een melding krijgt de organisatie hulp van het CSIRT, het NCSC voor de meeste sectoren. De toezichthouder kijkt of de wet wordt nageleefd. Dat zijn aparte functies. Voor het bredere terrein van toezicht en naleving staat het vakgebied compliance en privacy op TrustJobs.
Voor entiteiten in de categorie essentieel geldt toezicht vooraf en achteraf. Voor belangrijke entiteiten geldt alleen toezicht achteraf.
De richtlijn vraagt lidstaten om het maximum van de boete voor entiteiten in de categorie essentieel vast te stellen op ten minste € 10.000.000 of 2% van de totale wereldwijde jaaromzet, en voor belangrijke entiteiten op ten minste € 7.000.000 of 1,4%, telkens het hoogste bedrag. De Cbw kent voor een entiteit in de categorie essentieel een bestuurlijke boete van ten hoogste € 10.000.000 of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat bedrag hoger is. Voor een belangrijke entiteit is het maximum € 7.000.000 of 1,4%. Die maxima gelden bij overtreding van onder meer de zorgplicht en de meldplicht. Het zijn maxima, geen voorbeelden van wat een organisatie krijgt.
Welke functies raakt NIS2 en de Cbw?
Hoe de taken verdeeld zijn, verschilt per organisatie. Een compliance officer vertaalt de wet naar beleid, houdt het register van maatregelen en bewijs bij, regelt de registratie en onderhoudt de communicatie met de toezichthouder. Op de werkgeverspagina voor compliance officers zie je welke werkgevers deze functie hebben.
Een information security officer beheert het informatiebeveiligingsbeleid en de uitvoering van de maatregelen, en rapporteert aan directie en bestuur. Het verschil met een CISO staat in deze carrieregids.
De Chief Information Security Officer is eindverantwoordelijk voor de beveiligingsstrategie en onderhoudt de relatie met het bestuur. Die functie kan ook de verbinding met de incidentmelding onderhouden.
Een risk manager voert de risicoanalyse uit waar de zorgplicht op rust, en koppelt die aan de organisatiebrede risico's. Het vakgebied staat op risk management.
Een incident responder en SOC-medewerkers leveren de feiten voor de meldingen binnen de termijnen, en een IT-auditor toetst of maatregelen werken, wat past bij het onderdeel van de richtlijn over het beoordelen van de effectiviteit.
Op vacaturepagina's kunnen de termen NIS2, Cbw of Wbni voorkomen. Begin met vacatures waarin NIS2 wordt genoemd, en lees meer over wetten en kaders in de kennisbank.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn, Richtlijn (EU) 2022/2555. De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die die richtlijn uitvoert en de Wbni vervangt. Voor de praktijk in Nederland is de Cbw de tekst die telt.
Is de Cyberbeveiligingswet al in werking?
Volgens het NCSC en de RDI is de Cbw op 15 augustus 2026 in werking getreden, en de wettenbank toont de wet als geldend vanaf die datum. Dat is de stand op de controledatum 5 november 2026. Omdat de tijdstippen per artikel kunnen verschillen en lagere regelgeving kan veranderen, controleer je de actuele tekst op wetten.overheid.nl.
Wie valt onder de Cyberbeveiligingswet?
De richtlijn geldt voor entiteiten van een type uit bijlage I of II die middelgrote onderneming zijn volgens de Europese aanbeveling, of groter. Voor een aantal typen aanbieders geldt ze ongeacht de omvang. Volgens het NCSC gaat het om ruim 8.000 organisaties, en de RDI biedt een zelfevaluatie om na te gaan of de wet voor een organisatie geldt.
Binnen welke termijn moet je een incident melden?
Een significant incident meld je in drie stappen. De vroegtijdige waarschuwing volgt onverwijld of binnen 24 uur nadat de entiteit kennis heeft gekregen van het incident. De melding volgt onverwijld of binnen 72 uur, en het eindverslag uiterlijk één maand na de melding.
Wat zijn de boetes?
De wet kent maxima: tot € 10.000.000 of 2% van de wereldwijde jaaromzet voor een entiteit in de categorie essentieel, en tot € 7.000.000 of 1,4% voor een belangrijke entiteit, telkens het hoogste bedrag. Aan een bestuurslid kan een boete van tot € 25.000 worden opgelegd bij overtreding van de regels over kennis en vaardigheden. Het zijn maxima, geen voorbeelden van opgelegde boetes.