Valt uw organisatie onder de Cyberbeveiligingswet, en wat betekent dat?
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht: de Nederlandse invulling van de Europese NIS2-richtlijn. De wet raakt naar schatting ruim 8.000 organisaties en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Veel MKB-ondernemers vragen zich af: val ik hieronder? Dit artikel helpt u die vraag te beantwoorden, en laat zien waarom u er ook mee te maken kunt krijgen zonder er direct onder te vallen.
Dit artikel geeft een praktische uitleg vanuit technisch perspectief. Of uw organisatie formeel onder de wet valt, is een juridische beoordeling. Raadpleeg de officiële bronnen en zo nodig een jurist. De officiële sectorlijst staat in bijlage 1 en 2 van de Cyberbeveiligingswet.
Officiële bronnen: NCSC: Cyberbeveiligingswet (NIS2) en NCTV: Cyberbeveiligingswet.
NIS2 verdeelt organisaties die eronder vallen in twee categorieën:
Beide categorieën moeten aan dezelfde zorgplicht voldoen; het verschil zit vooral in de manier en intensiteit van het toezicht.
De wet wijst sectoren aan waarin organisaties onder de verplichtingen vallen. Denk aan sectoren zoals:
De exacte reikwijdte per sector, en welke typen entiteiten daarbinnen vallen, staat in de bijlagen van de wet. Naast de sector speelt ook de omvang van de organisatie mee: veel kleine en micro-organisaties vallen buiten de directe werking, maar daarop bestaan uitzonderingen.
Dit is het punt dat veel MKB-organisaties over het hoofd zien. Ook als uw eigen organisatie niet rechtstreeks onder de Cyberbeveiligingswet valt, kunt u er alsnog mee te maken krijgen via de keten.
Organisaties die wél onder de wet vallen, moeten namelijk de risico's in hun toeleveringsketen beheersen. In de praktijk betekent dit dat zij beveiligingseisen doorleggen aan hun leveranciers, of dat nu een IT-dienstverlener, een softwareleverancier of een andere toeleverancier is. Levert u aan een organisatie in een aangewezen sector, dan is de kans groot dat u contractueel om aantoonbare beveiligingsmaatregelen gevraagd wordt.
Kortom: "wij zijn te klein voor NIS2" is een riskante aanname. De vraag is niet alleen of u er direct onder valt, maar ook wie uw klanten zijn en wat zij van u gaan verlangen.
Valt uw organisatie onder de wet, dan gelden grofweg deze verplichtingen:
Of u nu direct of indirect met NIS2 te maken krijgt, de kern is hetzelfde: u moet kunnen aantonen dat uw IT-omgeving beheerst en beveiligd is. Dat is geen kwestie van een document, maar van maatregelen die daadwerkelijk in uw systemen zitten en controleerbaar zijn.
Heeft u al ISO 27001 of NEN 7510? Dan heeft u een groot deel van de zorgplicht al ingevuld. Hoeveel werk de stap naar NIS2 dan nog is, leest u in het artikel NIS2 en ISO 27001: hoeveel werk is de stap echt?. En welke concrete technische maatregelen de zorgplicht vraagt, staat in De technische maatregelen van NIS2.
Wij vertalen de zorgplicht naar concrete technische maatregelen en maken zichtbaar waar uw omgeving staat. Neem contact op voor een vrijblijvend gesprek.