Cyberbeveiligingswet (NIS2): wat moet jouw bedrijf doen?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet verving op 15 augustus 2026 de Wbni en geldt voor ruim 8.000 organisaties die in Nederland essentiële of belangrijke diensten leveren.

De wet schrijft geen product of beveiligingscertificering voor. Ze vraagt organisaties hun cyberrisico's te kennen, passende maatregelen te nemen, ernstige incidenten snel te melden en hun bestuur daarvoor verantwoordelijk te maken. Die vier plichten lees je hieronder.

Drie vragen bepalen het: je sector, je omvang en, als je eronder valt, wat voor entiteit je bent.

Of je eronder valt, gaat over de organisatie, niet over één website of één afdeling. Een machinebouwer met 60 medewerkers valt eronder als belangrijke entiteit, ook als IT maar een klein deel van het bedrijf is.

Organisaties onder de wet moeten ook de risico's in hun toeleveringsketen beheersen. Zo bereikt de wet kleine bedrijven die er zelf niet onder vallen: de IT-leverancier van een ziekenhuis, de softwaremaker van een waterbedrijf, de logistieke partner van een voedselproducent.

In de praktijk komt het binnen als een beveiligingsvragenlijst, nieuwe clausules bij een contractverlenging, of een verzoek om te laten zien hoe je toegang, updates en incidenten regelt. De vragen volgen dezelfde tien gebieden als de wet, dus je voorbereiden is hetzelfde werk op kleinere schaal.

Voor registreren, beveiligen en melden geldt geen overgangstermijn. Alleen de scholing van bestuurders heeft een overgangstermijn van maximaal twee jaar.

De zorgplicht rust op tien gebieden uit de NIS2-richtlijn. Samen beschrijven ze een beveiligingsprogramma dat de meeste middelgrote bedrijven kunnen draaien met een paar heldere afspraken, goede tools en één verantwoordelijke.

Gebied zes vraagt je te toetsen of je maatregelen werken. Een pentest van je website, apps en e-mail is een van de duidelijkste manieren om dat te doen, en het rapport laat zien wat er is gecontroleerd en opgelost. Kijk ook vroeg naar je e-mail: met SPF, DKIM en DMARC instellen voorkom je dat anderen mail versturen uit naam van je bedrijf.

Een incident is significant als het je dienstverlening ernstig verstoort of financiële verliezen veroorzaakt, of dat kan doen, of als het anderen aanzienlijke schade berokkent of kan berokkenen. Vanaf het moment dat je er een opmerkt, loopt de klok.

Vierentwintig uur is kort. Spreek nu af wie een incident opmerkt, wie beoordeelt of het significant is en wie de melding doet, ook in het weekend.

De wet geldt al, dus als je eronder valt, begin dan nu. Met dit plan komt een middelgroot bedrijf in ongeveer drie maanden van onzekerheid naar een verdedigbare positie.

Houd na de eerste 90 dagen een ritme aan: bekijk je risico's elk jaar opnieuw, test je maatregelen en houd je registratie actueel.

Hulp nodig bij de risicoanalyse, de maatregelen of een test van wat je al hebt? Beveilig omvat beveiligingsscans, pentests en hardening, en je kunt ons eerst een vraag stellen.