Cybersecurity · NIS2
Cyberbeveiligingswet sinds 15 augustus 2026: wat moet uw mkb-bedrijf nu regelen?
Kort antwoord
De Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2, geldt sinds 15 augustus 2026. Valt uw organisatie in een van de aangewezen sectoren en hebt u 50 of meer medewerkers, of een jaaromzet én balanstotaal van elk meer dan €10 miljoen, dan bent u waarschijnlijk een belangrijke of essentiële entiteit. U moet zich dan registreren via mijn.ncsc.nl, passende beveiligingsmaatregelen nemen (zorgplicht) en significante incidenten melden: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding en binnen een maand een eindrapport. Valt u er zelf niet onder maar levert u aan zo'n organisatie, dan krijgt u de eisen vaak via contracten.
Veel mkb-ondernemers denken dat de Cyberbeveiligingswet alleen voor energiebedrijven en ziekenhuizen geldt. Dat klopt niet: de wet bestrijkt 18 sectoren, waaronder sectoren dicht bij het mkb, zoals voedselproductie en -distributie, afvalbeheer, bepaalde maakindustrie en post- en koeriersdiensten. En ook wie er niet direct onder valt, merkt het via klanten.
Stap 1: valt u eronder?
| Omvang | Criteria | In een sector uit bijlage I (zeer kritiek) | In een sector uit bijlage II (overig kritiek) |
|---|---|---|---|
| Groot | 250+ medewerkers, of omzet > €50 mln én balanstotaal > €43 mln | Essentiële entiteit | Belangrijke entiteit |
| Middelgroot | 50-249 medewerkers, of omzet > €10 mln én balanstotaal > €10 mln | Belangrijke entiteit | Belangrijke entiteit |
| Klein of micro | Minder dan 50 medewerkers en omzet of balans ≤ €10 mln | Valt er in principe niet onder, met uitzonderingen zoals DNS-dienstverleners, TLD-registers en (gekwalificeerde) vertrouwensdiensten, of na aanwijzing door een ministerie | |
Het NCSC biedt een zelfevaluatie om dit te bepalen. Het verschil tussen essentieel en belangrijk zit vooral in het toezicht: essentiële entiteiten krijgen proactief toezicht (audits), belangrijke entiteiten reactief toezicht (na een incident of signaal).
Stap 2: de drie plichten
Registratieplicht
Organisaties die onder de wet vallen, registreren zich in het entiteitenregister via mijn.ncsc.nl. Hebt u dat nog niet gedaan, regel het dan direct.
Zorgplicht
Op basis van een risicoanalyse neemt u passende en evenredige maatregelen. In de praktijk gaat het om:
- Beleid voor risicoanalyse en informatiebeveiliging
- Incidentafhandeling en een geoefend draaiboek
- Bedrijfscontinuïteit: back-ups die u test, en een herstelplan
- Beveiliging van de toeleveringsketen: afspraken met leveranciers en IT-partners
- Veilige aanschaf, ontwikkeling en onderhoud van systemen, inclusief kwetsbaarhedenbeheer
- Basishygiëne en training van medewerkers
- Toegangsbeheer, meerfactorauthenticatie en versleuteling
- Periodiek toetsen of de maatregelen werken
Meldplicht
| Termijn | Wat |
|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing bij het NCSC na kennisname van een significant incident (4 uur voor organisaties die ook onder DORA of de Netcode vallen) |
| Binnen 72 uur | Incidentmelding met een eerste beoordeling van ernst en impact |
| Binnen een maand | Eindrapport met oorzaak, impact en maatregelen |
Zijn er ook persoonsgegevens bij betrokken, dan geldt daarnaast de AVG-datalekmelding bij de Autoriteit Persoonsgegevens: twee meldingen, twee routes.
Stap 3: het bestuur is verantwoordelijk
Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zelf training volgen. Bij schending van de zorgplicht kunnen bestuurders persoonlijk worden aangesproken. De maximale boetes zijn €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten.
Valt u er niet onder? Dan bent u waarschijnlijk leverancier
Organisaties onder de wet moeten hun ketenrisico's beheersen. Dat betekent dat kleinere leveranciers, zoals IT-dienstverleners, installateurs en logistieke partners, vragenlijsten, contractclausules en soms certificering opgelegd krijgen. MKB-Nederland en VNO-NCW hebben hiervoor het platform Samen Digitaal Veilig opgezet. Wie zijn basis op orde heeft, maakt hier een verkoopargument van.
Een praktisch stappenplan voor de komende 90 dagen
- Week 1-2: bepaal uw status met de NCSC-zelfevaluatie en registreer zo nodig via mijn.ncsc.nl.
- Week 2-4: wijs een verantwoordelijke aan, inventariseer systemen, data en leveranciers en maak een risicoanalyse.
- Week 4-8: regel de basis: MFA overal, gepatchte systemen, geteste back-ups en logging.
- Week 6-10: schrijf een meldprocedure voor de 24/72-uurtermijnen en oefen die één keer.
- Week 8-12: leg beleid en maatregelen vast, laat het bestuur ze goedkeuren en plan de bestuurderstraining. Wie verder wil, gebruikt ISO 27001 als raamwerk.
Dit artikel is algemene informatie en geen juridisch advies. Raadpleeg voor uw specifieke situatie de NCSC-zelfevaluatie of een specialist. Laatst bijgewerkt: 7 november 2026.
Veelgestelde vragen
Sinds wanneer geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden.
Valt mijn bedrijf onder de Cyberbeveiligingswet?
Als u actief bent in een aangewezen sector en 50 of meer medewerkers hebt, of een jaaromzet én balanstotaal van elk meer dan €10 miljoen, dan bent u waarschijnlijk een belangrijke of essentiële entiteit. Gebruik de NCSC-zelfevaluatie om het zeker te weten.
Hoe snel moet ik een incident melden?
Binnen 24 uur na kennisname een vroegtijdige waarschuwing bij het NCSC, binnen 72 uur een uitgebreidere melding en binnen een maand een eindrapport.
Waar registreer ik mijn organisatie?
Bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl.
Ik ben klein en val er niet onder. Moet ik iets doen?
Vaak wel indirect: klanten die onder de wet vallen, moeten hun leveranciers beoordelen en leggen eisen op via contracten en vragenlijsten.
Hoe hoog zijn de boetes?
Tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en tot €7 miljoen of 1,4% voor belangrijke entiteiten.