Wat er is veranderd

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Er is geen overgangstermijn en geen gewenningsperiode, de verplichtingen gelden meteen, zo laat de Rijksoverheid (opent in een nieuw tabblad) weten.

De wet raakt ruim achtduizend organisaties in achttien sectoren. Denk aan energie, drinkwater, digitale infrastructuur, zorg, overheid en transport. Waar de oude richtlijn vooral over grote infrastructuurbedrijven ging, vallen er nu ook middelgrote organisaties onder.

Deze wet gaat over hoe jij je eigen organisatie beveiligt. Er loopt een tweede Europese regel naast die over digitale producten gaat die je verkoopt, de Cyber Resilience Act. Verkoop je software of apparatuur, lees dan ook geldt de CRA voor jou.

Geldt dit voor jou

Twee dingen bepalen het. Je sector en je omvang. Zit je in een van de aangewezen sectoren en heb je vijftig medewerkers of meer, of een omzet boven de tien miljoen euro, dan is de kans groot dat je eronder valt.

Ook als je er zelf buiten valt, kun je er last van krijgen. Lever je aan een organisatie die wel onder de wet valt, dan gaan die ketenafspraken met je maken. In de praktijk zien we dat terugkomen als extra eisen in contracten en vragenlijsten.

Twijfel je of je onder de wet valt? Ga uit van je sector en je omvang, en niet van je gevoel. Met de NIS2-zelfscan van de overheid (opent in een nieuw tabblad) heb je binnen tien minuten uitsluitsel. Het startpunt van het Digital Trust Center (opent in een nieuw tabblad) zet de rest op een rij.

Wat de wet vraagt

Grofweg vier dingen, en geen ervan is nieuw voor wie zijn zaken al op orde had.

  1. Registreren. Organisaties die eronder vallen melden zich aan bij de toezichthouder, via het register van het NCSC (opent in een nieuw tabblad).
  2. Risico's beheersen. Je brengt in kaart wat er mis kan gaan en neemt daar passende maatregelen op. Denk aan toegangsbeheer, back-ups, updates en logging.
  3. Incidenten melden. Een significant incident meld je binnen vierentwintig uur, gevolgd door een uitgebreidere melding. Het NCSC beschrijft wat er precies onder de meldplicht valt (opent in een nieuw tabblad).
  4. Zorgplicht bij de leiding. Het bestuur is verantwoordelijk en kan daarop worden aangesproken. Dit is dus geen onderwerp dat je alleen bij IT neerlegt.

Waar je begint

Begin niet bij de wettekst maar bij je eigen omgeving. In de meeste organisaties zit de winst in dezelfde drie dingen.

  1. Weet wat je hebt. Een actuele lijst van systemen, applicaties en leveranciers is de basis onder alle andere maatregelen.
  2. Zet meervoudige verificatie aan op alles wat vanaf internet bereikbaar is. Zie multifactor-authenticatie instellen.
  3. Test je back-up door er echt iets uit terug te zetten. Hoe dat werkt staat in een back-up die je nooit hebt teruggezet.

Wat wij hierin doen

Wij zijn geen juristen en doen niet alsof. Wat wij wel doen is de techniek op orde brengen en aantoonbaar houden, zodat je de vragen die de wet stelt met bewijs kunt beantwoorden.

Loop je vast bij de vraag waar je moet beginnen, dan is dat precies waar onze IT-consultancy voor bedoeld is. We brengen je omgeving in kaart, benoemen de gaten en zetten er een volgorde in.