Valt u in een sector uit de wet?
De wet noemt sectoren in bijlage 1 en bijlage 2. Is uw activiteit niet in een van die sectoren onder te brengen, dan geldt de wet in principe niet voor u. Zie hieronder de lijst.
Gids · bijgewerkt 28 oktober 2026
Cyberbeveiligingswet (NIS2): geldt hij voor uw bedrijf?
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Of de wet voor u geldt, bepaalt u zelf in twee stappen. Deze gids doorloopt ze, op basis van wat het NCSC erover publiceert.
15 augustus 2026De wet is in werking getreden
Twee stappenSector en omvang bepalen of de wet geldt
50 of meerMedewerkers (in fte) is een van de omvangscriteria
3 plichtenRegistreren, maatregelen nemen, melden
Kort
De Cyberbeveiligingswet geldt voor organisaties in de sectoren uit bijlage 1 en 2 van de wet die groot genoeg zijn: 50 of meer medewerkers (in fte), of minder dan 50 medewerkers met zowel jaaromzet als balanstotaal boven € 10 miljoen. Voor enkele soorten organisaties, zoals DNS-dienstverleners, geldt geen omvangseis. Een kantoor met vijf tot twintig medewerkers valt er meestal niet rechtstreeks onder, maar kan de eisen wel via klanten tegenkomen. Controleer het met de zelfevaluatie van de overheid.
Valt u eronder?
Geldt de Cyberbeveiligingswet voor uw bedrijf?
Het NCSC beschrijft twee stappen. Beide moeten kloppen voordat de wet voor uw organisatie geldt.
Bent u groot genoeg?
U bent groot genoeg bij 50 of meer medewerkers (in fte), of bij minder dan 50 medewerkers als zowel de jaaromzet als het balanstotaal boven € 10 miljoen ligt. Partner- en verbonden ondernemingen tellen mee.
Valt u onder een uitzondering?
Sommige organisaties vallen altijd onder de wet, ongeacht de omvang: DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en -diensten, vertrouwensdiensten, registers voor topleveldomeinnamen en overheidsorganisaties.
Doe de zelfevaluatie
De overheid biedt een NIS2-zelfevaluatie waarmee u vaststelt of de wet voor u geldt en of u als essentieel of belangrijk telt. Dat is betrouwbaarder dan deze samenvatting.
De sectoren
Welke sectoren vallen onder de Cyberbeveiligingswet?
Bijlage 1 noemt elf sectoren: energie, vervoer, bankwezen, drinkwater, digitale infrastructuur, beheer van ICT-diensten, ruimtevaart, infrastructuur voor financiële markten, gezondheidszorg, afvalwater en overheid.
Bijlage 2 noemt zeven sectoren: digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische stoffen, onderzoek en vervaardiging.
Voor sommige sectoren gelden specifieke criteria, die het verantwoordelijke ministerie uitwerkt. Twijfelt u of uw activiteit eronder valt, gebruik dan de zelfevaluatie of vraag het uw branchevereniging. Dit is een samenvatting en geen juridisch advies.
Als de wet wel geldt
Wat moet u doen als de wet voor u geldt?
Het NCSC noemt drie plichten: registreren, maatregelen nemen en incidenten melden.
Registreren
Organisaties die onder de wet vallen, moeten gegevens aanleveren voor het nationale entiteitenregister bij het NCSC, via MijnNCSC. U logt in met eHerkenning. Wijzigingen geeft u binnen 14 dagen door.
Maatregelen nemen
De zorgplicht bestaat uit tien maatregelen, waaronder risicoanalyse, incidentrespons, back-upbeheer en herstelplannen, beveiliging van de toeleveringsketen, training van medewerkers, patchmanagement en multifactorauthenticatie. U bepaalt zelf wat passend is.
Incidenten melden
Een ernstig incident meldt u via MijnNCSC. Het NCSC noemt als maximumtermijnen een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand, gerekend vanaf het moment dat u het incident ontdekt.
Als de wet niet geldt
En als uw bedrijf er niet onder valt?
Dan hoeft u zich niet te registreren, maar het NCSC adviseert wel om beveiligingsmaatregelen te nemen. Er is bovendien een indirect effect. Organisaties die onder de wet vallen, zijn verantwoordelijk voor de beveiliging van hun keten, en de wet vraagt hen om ook de relaties met hun rechtstreekse leveranciers en dienstverleners mee te nemen. Het Digital Trust Center verwacht dat dit leidt tot een hogere vraag naar beveiligingsstandaarden bij bedrijven in de toeleveringsketen.
Voor een kantoor dat levert aan een grotere organisatie, bijvoorbeeld in de zorg, de haven of de overheid, betekent dat in de praktijk vaker een vragenlijst of een clausule in het contract. Wat er dan wordt gevraagd, lijkt op de maatregelen hierboven: MFA, back-ups, updates, rechten en training. Lees ook ons nieuwsbericht over de Cyberbeveiligingswet en onze pagina cybersecurity en regelgeving.
Het NCSC noemt daarnaast een subsidie voor kleine bedrijven die maatregelen nemen: tot € 1.250, tot en met 30 november 2026. Meer daarover staat in ons nieuwsbericht over de subsidie. De zekerste stap voor elk kantoor is Microsoft 365 goed beveiligen; lees onze gids Microsoft 365 beveiligen.
Wat wij doen
Waarmee kan SOSO u helpen?
Wij zijn geen auditor en verkopen geen keurmerk. Wat wij wel doen: laten zien waar uw Microsoft-omgeving nu staat. Met onze Security Check krijgt u een nulmeting en een rapport met een volgorde van aanpakken, dat van u is, ook als u niets verder met ons doet. In Cloud 365 Secure+ regelen wij beveiliging in vijf lagen, van preventie tot bewustwording. Heeft u een formele toets nodig, dan verwijzen wij u door.
Vragen
Veelgestelde vragen
Geldt de Cyberbeveiligingswet voor een kantoor met tien medewerkers?
Meestal niet rechtstreeks. De wet geldt voor organisaties in bepaalde sectoren die groot genoeg zijn, in principe 50 of meer medewerkers, of die onder een uitzondering vallen. Controleer het met de zelfevaluatie van de overheid. Via uw klanten kunt u de eisen wel tegenkomen.
Wat is het verschil tussen de Cyberbeveiligingswet en NIS2?
NIS2 is de Europese richtlijn. De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die deze richtlijn uitvoert. Sinds 15 augustus 2026 is de Nederlandse wet van kracht.
Moet ik mijn bedrijf registreren?
Alleen als uw organisatie onder de wet valt. Registratie loopt via MijnNCSC bij het NCSC en vraagt inloggen met eHerkenning. Valt u er niet onder, dan hoeft u zich niet te registreren.
Wat is de meldplicht voor incidenten?
Organisaties die onder de wet vallen, melden ernstige incidenten via MijnNCSC. Het NCSC noemt een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand, als maximumtermijnen.
Mijn opdrachtgever stuurt een vragenlijst over beveiliging. Moet ik die invullen?
Dat is geen verplichting uit de wet voor uw bedrijf, maar het kan wel een voorwaarde zijn om zaken te blijven doen. Wij vullen de lijst niet voor u in, want u ondertekent hem, maar wij onderbouwen de antwoorden met wat er in uw omgeving staat.
Bronnen: NCSC, Valt mijn organisatie onder de Cbw (NIS2)?, Registreren, Meldplicht en Zorgplicht, geopend op 28 oktober 2026; Rijksoverheid, flitspeiling NIS2 bij toeleveranciers van het Digital Trust Center, 16 oktober 2024. Dit is een samenvatting en geen juridisch advies. Zie ook ons nieuwsbericht.
Weten waar u staat voordat de vragenlijst komt?
Een nulmeting van uw Microsoft-omgeving laat zien wat er openstaat en in welke volgorde u het zou aanpakken. Het rapport is van u, ook als u niets verder met ons doet.