Compliance & risk
Cyberbeveiligingswet (NIS2) sinds 15 augustus 2026: valt jouw bedrijf eronder?
De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, is op 15 augustus 2026 in werking getreden en stelt eisen aan ruim 8.000 organisaties met een essentiële of belangrijke dienst. Val je onder de wet, dan moet je je registreren, een zorgplicht invullen en incidenten melden — mkb-bedrijven in de maakindustrie, energie en digitale infrastructuur zijn vaak sneller aanwijsplichtig dan ze denken.
Redactie Eindhovenadvies.nl · 25 augustus 2026 · 8 min lezen
In het kort
- De Cyberbeveiligingswet (Cbw), de Nederlandse NIS2-implementatie, is sinds 15 augustus 2026 van kracht.
- Vooral middelgrote bedrijven (vanaf circa 50 medewerkers of €10 miljoen omzet) in aangewezen sectoren vallen eronder, maar ook kleinere toeleveranciers via de ketenverplichting.
- Verplichtingen: registratie, risicobeheersmaatregelen, incidentmelding binnen 24 uur en bestuurdersaansprakelijkheid.
- Een ISO 27001-achtige aanpak helpt om aan de zorgplicht te voldoen zonder dat je alles vanaf nul hoeft op te bouwen.
- Wacht niet op handhaving: toezichthouders starten in 2026-2027 met controles en registratie is al verplicht.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht, de Nederlandse vertaling van de Europese NIS2-richtlijn (bron). Voor veel directeuren in regio Eindhoven voelt dit als een ver-van-mijn-bedshow, maar de wet raakt ruim 8.000 organisaties in Nederland — van energiebedrijven tot machinebouwers en softwareleveranciers. De vraag die nu op elk mkb-bureau ligt: valt mijn bedrijf hieronder, en zo ja, wat moet er nu concreet gebeuren?
Wat is de Cyberbeveiligingswet precies?
De Cbw vervangt de oude Wet beveiliging netwerk- en informatiesystemen en breidt de reikwijdte flink uit. Waar voorheen vooral vitale sectoren zoals energie en drinkwater onder verplichte cyberregels vielen, gelden de regels nu ook voor sectoren als maakindustrie, digitale infrastructuur, afvalbeheer, chemie en onderzoek. De wet onderscheidt 'essentiële' en 'belangrijke' entiteiten, met net iets andere verplichtingen per categorie, maar in de kern draait het om drie dingen: een registratieplicht bij het NCSC, een zorgplicht om passende beveiligingsmaatregelen te nemen, en een meldplicht bij incidenten.
Val je onder de wet? Zo bepaal je dat
De belangrijkste vuistregel is grootte plus sector: bedrijven met 50 of meer medewerkers, of een jaaromzet en balanstotaal boven €10 miljoen, in een van de aangewezen sectoren vallen in de regel onder de Cbw. Maar er is een addertje onder het gras dat veel mkb-bedrijven in regio Eindhoven raakt: ook kleinere toeleveranciers van een essentiële of belangrijke entiteit kunnen via de ketenverplichting eisen opgelegd krijgen. Een toeleverancier van bijvoorbeeld ASML, een energiebedrijf of een ziekenhuis moet dan alsnog aantonen dat de eigen cybersecurity op orde is, ook als het bedrijf zelf onder de drempelwaarden blijft.
| Verplichting | Wat het inhoudt | Termijn |
|---|---|---|
| Registratie | Aanmelden bij het NCSC/RDI als essentiële of belangrijke entiteit | Al verplicht sinds inwerkingtreding |
| Zorgplicht | Passende technische en organisatorische maatregelen nemen | Doorlopend |
| Vroegtijdige melding | Eerste signalering van een incident melden | Binnen 24 uur |
| Incidentmelding | Volledige melding met impact en oorzaak | Binnen 72 uur, eindrapport binnen een maand |
| Bestuurdersverantwoordelijkheid | Bestuur is persoonlijk aanspreekbaar op naleving | Doorlopend |
Waarom dit meer is dan een compliance-checklist
Veel bedrijven behandelen dit soort wetgeving als een papieren exercitie: een paar documenten opstellen en klaar. Dat is een vergissing. De Cbw vraagt om aantoonbaar risicomanagement, met concrete maatregelen rond toegangsbeheer, patchmanagement, back-ups en leveranciersbeheer. Voor bedrijven die al met ISO 27001-advies bezig zijn of een certificering hebben, is de aansluiting op de Cbw relatief eenvoudig: veel van de vereiste beheersmaatregelen overlappen. Voor bedrijven die nog vanaf nul beginnen, is een gestructureerd stappenplan onmisbaar om niet te verzanden in losse acties.
Praktisch stappenplan voor de komende maanden
1. 1. Bepaal je status
Toets sector, omvang en ketenpositie tegen de bijlagen van de wet. Twijfel je, vraag dan gericht NIS2-advies aan om dit zwart-op-wit te krijgen.
2. 2. Voer een gap-analyse uit
Vergelijk je huidige beveiligingsniveau met de vereisten: toegangsbeheer, netwerksegmentatie, back-upstrategie en incidentrespons.
3. 3. Registreer je organisatie
Meld je aan bij het NCSC zodra duidelijk is dat je onder de wet valt; dit is een verplichte eerste stap.
4. 4. Richt een meldproces in
Zorg dat je binnen 24 uur een incident kunt signaleren en melden, inclusief een aangewezen verantwoordelijke.
5. 5. Borg het structureel
Bouw de zorgplicht in als terugkerend proces, bijvoorbeeld via een jaarlijkse audit of ISO 27001-traject, in plaats van een eenmalige actie.
Wat kost naleving en wie helpt daarbij?
De kosten lopen sterk uiteen afhankelijk van de startsituatie: een bedrijf dat al met een informatiebeveiligingsbeleid werkt, is sneller klaar dan een bedrijf dat bij nul begint. Een externe cybersecurity consultant kan in een paar weken een impactanalyse en routekaart opleveren, zodat je weloverwogen keuzes maakt over waar je zelf capaciteit inzet en waar je externe expertise nodig hebt. Voor de bredere aanpak van risico's rond compliance, privacy en continuïteit is het raadzaam dit onder te brengen bij compliance & risk-advies, zodat cybersecurity niet los komt te staan van je bredere risicomanagement.
Wat als je de deadline al hebt gemist?
Omdat de wet al op 15 augustus 2026 inging, zijn sommige bedrijven simpelweg te laat met registreren. Dat is geen reden om te wachten tot een boete of incident je dwingt tot actie. Toezichthouders kijken doorgaans coulant naar bedrijven die aantoonbaar en snel stappen zetten. Wacht niet af tot een controle je bedrijf in de spotlights zet: neem contact op om je situatie in kaart te brengen en een realistisch stappenplan te maken.
Veelgestelde vragen
Valt mijn mkb-bedrijf automatisch onder de Cyberbeveiligingswet?
Niet automatisch. De wet geldt voor organisaties in aangewezen sectoren die aan bepaalde omvangscriteria voldoen, doorgaans vanaf 50 medewerkers of €10 miljoen omzet en balanstotaal. Kleinere toeleveranciers kunnen via ketenverplichtingen alsnog eisen opgelegd krijgen.
Wat gebeurt er als ik me niet registreer?
Toezichthouders kunnen handhavend optreden, met boetes die kunnen oplopen tot miljoenen euro's bij grote overtredingen. Belangrijker op korte termijn: grotere ketenpartners vragen steeds vaker om bewijs van naleving voordat ze zaken blijven doen.
Is ISO 27001-certificering verplicht onder de Cbw?
Nee, certificering is geen wettelijke eis, maar een ISO 27001-managementsysteem dekt een groot deel van de zorgplicht af en maakt het makkelijker om naleving aan te tonen.
Hoe snel moet ik een cyberincident melden?
Binnen 24 uur moet je een eerste signaal afgeven, gevolgd door een uitgebreidere melding binnen 72 uur en een eindrapportage binnen een maand.
Wie is binnen mijn bedrijf verantwoordelijk voor naleving?
De wet legt de verantwoordelijkheid nadrukkelijk bij het bestuur. Bestuurders kunnen persoonlijk aangesproken worden als de zorgplicht aantoonbaar wordt verwaarloosd.
