NIS2 uitgelegd
Ontdek wat de Cyberbeveiligingswet betekent voor jouw organisatie.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en is sinds 15 augustus 2026 daadwerkelijk van kracht. De wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen en stelt cyberbeveiliging verplicht voor ruim achtduizend organisaties, verdeeld over achttien sectoren zoals energie, zorg, drinkwater, vervoer, digitale infrastructuur en de (semi-)overheid. Organisaties die onder de wet vallen, moeten zich ook registreren in het entiteitenregister van het NCSC.
Voor wie geldt NIS2?
Of jouw organisatie rechtstreeks onder de
Cyberbeveiligingswet valt, hangt af van de sector waarin je actief bent en de omvang van je organisatie. Als vuistregel geldt dat middelgrote organisaties vanaf vijftig medewerkers of meer dan tien miljoen euro omzet, en grote organisaties vanaf tweehonderdvijftig medewerkers of meer dan vijftig miljoen euro omzet, onder de wet kunnen vallen wanneer zij actief zijn in een aangewezen sector.
Val je zelf buiten deze grenzen? Dan kun je toch te maken krijgen met de gevolgen van de wet. Organisaties die wel onder de Cyberbeveiligingswet vallen, zijn namelijk verplicht om risico's in hun toeleveringsketen te beheersen. Daardoor gaan zij ook eisen stellen aan leveranciers, bijvoorbeeld via contractuele afspraken of aantoonbare beveiligingsmaatregelen.
Voor veel organisaties is dat reden genoeg om nu al werk te maken van informatiebeveiliging. Niet omdat de wet rechtstreeks van toepassing is, maar omdat klanten en ketenpartners hier steeds vaker om vragen.
Wat betekent dit concreet?
De Cyberbeveiligingswet vraagt organisaties om risico's voor hun netwerk- en informatiesystemen in kaart te brengen en passende maatregelen te nemen.
Dit bestaat uit een technisch en een organisatorisch deel. Het technische deel gaat onder andere over toegangsbeveiliging, monitoring, kwetsbaarhedenbeheer en herstel na incidenten. Hier ondersteunt InventIT dagelijks organisaties bij.
Het organisatorische deel richt zich op risicoanalyses, beleid, documentatie en de meldplicht bij incidenten. Ook heeft het bestuur hierin een belangrijke verantwoordelijkheid.
Bij incidenten geldt een meldplicht met vaste termijnen. Het doel van de Cyberbeveiligingswet is niet om boetes uit te delen, maar om organisaties weerbaarder te maken tegen cyberdreigingen en risico's beter te beheersen.
Voldoet een organisatie niet aan de wet? Dan kan dit leiden tot hoge boetes en in sommige gevallen persoonlijke aansprakelijkheid van bestuurders.
