De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Dat is de Nederlandse invulling van de Europese NIS2-richtlijn en hij raakt ruim 8.000 organisaties in achttien sectoren. Er is geen overgangstermijn, dus de verplichtingen gelden nu.

Voor DGA’s en bestuurders liggen er drie vragen op tafel: val ik eronder, wat moet ik geregeld hebben en wat gebeurt er als ik niets doe? Hieronder staat per vraag het antwoord, zonder juridisch jargon, inclusief de termijnen waarbinnen je moet melden en de datum waarop de scholingsplicht voor bestuurders afloopt.

Wat is NIS2?

NIS2 staat voor Network and Information Security Directive 2. Het is een Europese wet die bepaalt dat organisaties in kritieke sectoren hun digitale beveiliging serieus moeten nemen. Niet als vrijblijvend advies, maar als harde verplichting met toezicht en boetes.

De wet bestaat al langer op Europees niveau, en in Nederland is hij sinds 15 augustus 2026 omgezet in de Cyberbeveiligingswet, afgekort Cbw. Op dezelfde datum is ook de Wet weerbaarheid kritieke entiteiten in werking getreden. Die gaat over fysieke weerbaarheid van vitale aanbieders. Een deel van de organisaties valt onder allebei de wetten.

Veel mensen gebruiken NIS2 en Cyberbeveiligingswet door elkaar. Het verschil: NIS2 is de Europese richtlijn die alle EU-landen moeten volgen. De Cyberbeveiligingswet is de Nederlandse vertaling daarvan in nationale wetgeving. Voor jou als organisatie maakt dat inhoudelijk geen verschil, de verplichtingen zijn hetzelfde. Waar de oude NIS-richtlijn zich beperkte tot een kleine groep grote aanbieders van essentiële diensten, geldt NIS2 voor middelgrote en grote organisaties in achttien sectoren. Van ziekenhuizen en energiebedrijven tot transportbedrijven, waterbeheerders en een deel van de maakindustrie.

En dat is niet alles. Ook als jouw organisatie zelf niet direct onder de wet valt, kun je er toch mee te maken krijgen. Organisaties die wél onder NIS2 vallen, zijn namelijk verplicht om de beveiliging van hun toeleveranciers en ketenpartners te beoordelen. Als jij aan zo’n organisatie levert, kun je indirect dezelfde eisen verwachten.

Kortom: NIS2 is breder dan de meeste organisaties denken. De volgende vraag is daarom de meest relevante.

Welke sectoren vallen onder NIS2 en vanaf welke omvang?

Of jouw organisatie onder NIS2 valt, hangt af van twee dingen: de sector waarin je actief bent en de grootte van je organisatie. Beide criteria moeten van toepassing zijn, op een aantal uitzonderingen na.

NIS2-checklist: wat moet je concreet geregeld hebben?

Als jouw organisatie onder NIS2 valt, zijn er vier concrete verplichtingen waar je aan moet voldoen. We lopen ze stuk voor stuk door.

1. Zorgplicht: breng je risico’s in kaart

Je bent verplicht een risicoanalyse uit te voeren op je IT-omgeving. Dat betekent in kaart brengen welke systemen, netwerken en gegevens je gebruikt, waar de kwetsbaarheden zitten en welke maatregelen je neemt om die risico’s te beheersen. Die analyse is niet eenmalig. NIS2 verwacht dat je dit continu bijhoudt, omdat je IT-omgeving voortdurend verandert.

In de praktijk betekent dit dat je moet weten wat er in je netwerk zit, welke apparaten en systemen toegang hebben tot kritieke processen en waar de zwakste schakels zitten. Dat klinkt vanzelfsprekend, maar uit onderzoek blijkt dat veel organisaties geen volledig beeld hebben van hun eigen IT-omgeving. Bij organisaties met productieapparatuur of gebouwbeheersystemen is dat beeld nog vaker incompleet. Hoe je dat in kaart brengt staat in onze blog over OT security.

2. Technische maatregelen: aantoonbaar veilig opereren

Het uitvoeren van een risicoanalyse is stap één. Stap twee is het nemen van technische maatregelen om de gevonden risico’s te verhelpen en aan te tonen dat je dit ook daadwerkelijk doet. NIS2 vraagt om aantoonbare beveiliging, niet om een intentie of een plan.

Concreet gaat het om maatregelen zoals toegangsbeheer, versleuteling van gevoelige data, netwerksegmentatie en het regelmatig testen van je beveiliging via pentesten. Dat laatste is cruciaal: een pentest laat zien waar kwetsbaarheden zitten die je zelf niet ziet, en een hertest achteraf bewijst dat je ze ook daadwerkelijk hebt opgelost. Wil je weten hoe moderne AI-gedreven pentesting werkt en waarom het sneller en grondiger is dan traditionele methodes, lees dan waarom je volgende pentester een AI is.

Voor NIS2-compliance is dat bewijs net zo belangrijk als de maatregel zelf.

3. Meldplicht: incidenten melden zodra ze zich voordoen

Als er iets misgaat of dreigt mis te gaan, ben je verplicht dit te melden. NIS2 hanteert een getrapte meldplicht: binnen 24 uur geef je een vroegtijdige waarschuwing af bij de bevoegde autoriteit, binnen 72 uur volgt een uitgebreidere incidentmelding en binnen een maand lever je een eindverslag aan.

Belangrijk: de meldplicht gaat al in bij een incident dat de verlening van je diensten aanzienlijk kán verstoren, ook als de daadwerkelijke schade nog niet bekend is. Wachten tot je precies weet wat er is misgegaan is geen optie meer. De klok begint te lopen zodra je het incident ontdekt.

4. Registratieplicht: aanmelden bij de toezichthouder

Organisaties die onder de wet vallen registreren zich in het entiteitenregister via MijnNCSC. Dat register geeft de overheid zicht op wie er onder de wet valt.

Het toezicht is iets anders dan de registratie. Dat ligt bij het ministerie dat verantwoordelijk is voor jouw sector, met per sector een eigen inspectie. Voor de rijksoverheid is dat de Rijksinspectie Digitale Infrastructuur, voor de waterschappen de Inspectie Leefomgeving en Transport.

Registratie levert ook iets op buiten de verplichting om. Het NCSC deelt informatie en biedt ondersteuning bij incidenten aan geregistreerde organisaties.

5. Scholing: bestuurders moeten aantoonbaar bijgeschoold zijn

De wet verplicht bestuurders een training te volgen waarmee ze risico’s kunnen herkennen, maatregelen kunnen beoordelen en de gevolgen kunnen inschatten. Daar staat een termijn op van twee jaar na inwerkingtreding, dus uiterlijk 15 augustus 2028.

Dat lijkt ver weg en het is de enige verplichting met een harde einddatum. De rest van de wet geldt per direct.

Wat zijn de gevolgen als je niets doet?

NIS2 is geen wet die je naast je neer kunt leggen. Er zit toezicht achter met concrete bevoegdheden en echte consequenties.

Boetes

Organisaties die niet voldoen aan de Cyberbeveiligingswet riskeren forse boetes. Voor essentiële entiteiten kunnen die oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten is dat 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Dit zijn geen theoretische maxima. De toezichthouder heeft de bevoegdheid om actief te controleren en te handhaven.

Persoonlijke aansprakelijkheid van bestuurders

Dit is het onderdeel dat veel DGA’s en bestuurders verrast. NIS2 maakt bestuurders persoonlijk aansprakelijk als blijkt dat er onvoldoende maatregelen zijn genomen en er een incident plaatsvindt. Je kunt als directeur dus niet langer wijzen naar de IT-afdeling of een externe partij. De verantwoordelijkheid ligt bij jou, persoonlijk en aantoonbaar.

Dat betekent ook dat het niet langer voldoende is om te zeggen dat je “bezig bent” met cybersecurity. Je moet kunnen aantonen dat je de juiste maatregelen hebt genomen, dat je risico’s in kaart hebt gebracht en dat je actief werkt aan het verhelpen van kwetsbaarheden. Zonder die documentatie sta je zwak als er iets misgaat.

Reputatieschade en verlies van opdrachten

Naast de juridische gevolgen is er een zakelijk risico dat minder zichtbaar is maar minstens even groot. Organisaties die onder NIS2 vallen zijn verplicht hun leveranciers en ketenpartners te beoordelen op cybersecurity. Als jij als leverancier niet kunt aantonen dat je beveiliging op orde is, verlies je opdrachten. Niet omdat een klant dat wil, maar omdat die klant dat wettelijk verplicht is te doen.

De vraag is dus niet alleen wat er gebeurt als je niets doet in de richting van de toezichthouder. De vraag is ook wat er gebeurt in de richting van je klanten.

Hoe begin je? Drie stappen die je nú kunt zetten

Weten dat je onder NIS2 valt is één ding. Weten waar je moet beginnen is een ander. Veel organisaties lopen vast op het gevoel dat het groot en complex is. Dat is het ook, als je er in één keer mee wilt zijn. Maar je hoeft niet in één keer klaar te zijn. Je moet aantoonbaar bezig zijn, en dat begint met drie concrete stappen.

Stap 1: stel vast of je onder de wet valt

Klinkt vanzelfsprekend, maar veel organisaties hebben dit nog niet formeel vastgesteld. Gebruik de gratis regelhulp van de overheid via regelhulpenvoorbedrijven.nl om in een paar minuten een eerste indicatie te krijgen. Vergeet daarbij niet de ketencheck: lever je aan organisaties die wél onder NIS2 vallen, dan kun je indirect dezelfde eisen verwachten van je opdrachtgevers.

Stap 2: breng je huidige situatie in kaart

Voordat je maatregelen neemt, moet je weten waar je staat. Dat betekent een risicoanalyse van je IT-omgeving: welke systemen gebruik je, wie heeft er toegang tot wat, waar zitten de kwetsbaarheden en wat heb je al geregeld? Een gestructureerde nulmeting geeft je binnen korte tijd een helder beeld van de gaten die je moet dichten, zonder dat je daar een maandenlang traject voor hoeft op te starten.

Stap 3: regel aantoonbare beveiliging

NIS2 vraagt niet alleen om maatregelen, maar om bewijs dat die maatregelen werken en dat je ze blijft bijhouden. Een pentest laat zien waar kwetsbaarheden zitten. Een hertest bewijst dat je ze hebt opgelost. Compliancerapportages laten zien dat je dit structureel bijhoudt. Wil je begrijpen hoe dat proces werkt van detectie tot oplossing, lees dan hoe NetBoss patch management aanpakt in het AI-tijdperk. Dat bewijs is wat je nodig hebt richting de toezichthouder, je bestuur en je klanten.

NetBoss helpt organisaties precies hiermee. Via een continue cyclus van vinden, oplossen en verifiëren bouw je niet alleen aan betere beveiliging, maar ook aan de aantoonbaarheid die NIS2 van je vraagt.

Weet jij waar jouw organisatie nu staat?

De wet geldt sinds 15 augustus 2026. Er was geen overgangstermijn, dus de vraag is niet meer of je op tijd bent maar of je kunt aantonen waar je staat.

De organisaties die straks het minste stress hebben zijn degenen die nu al weten waar ze staan. Niet omdat ze alles al geregeld hebben, maar omdat ze een helder beeld hebben van wat er moet gebeuren en daar stap voor stap aan werken.

NetBoss laat je in een concrete demonstratie zien hoe jouw IT-omgeving eruitziet vanuit het perspectief van een aanvaller, waar de kwetsbaarheden zitten en wat je moet doen om aantoonbaar compliant te zijn voor NIS2. 

Plan een demonstratie en weet binnen een uur waar je staat.

Bronnen: Dutch IT Leaders, 27 mei 2026 | Qualys: Adapting to Mythos, april 2026 | Anthropic Project Glasswing Initial Update, 2026

“We Got Your Back”

Veelgestelde vragen over NIS2