Cyberbeveiligingswet (NIS2): de complete gids voor mkb en zorg
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitvoering van de Europese NIS2 richtlijn en geldt sinds 15 augustus 2026. De wet verplicht middelgrote en grote organisaties in 18 sectoren, waaronder de zorg, om zich te registreren bij het NCSC, passende beveiligingsmaatregelen te nemen en significante incidenten uiterlijk binnen 24 uur te melden. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt zelf een training.
In deze gids lees je wat de Cyberbeveiligingswet van je organisatie vraagt, hoe je bepaalt of je eronder valt, hoe toezicht en sancties werken en hoe je in acht stappen begint. De gids is geschreven voor directies, kwaliteitsmanagers, IT verantwoordelijken en functionarissen gegevensbescherming in het mkb en in zorgorganisaties tot ongeveer 100 fte. Waar een onderwerp meer uitleg vraagt, verwijzen we naar een verdiepend artikel.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de wet waarmee Nederland de Europese NIS2 richtlijn (Richtlijn (EU) 2022/2555) omzet in nationaal recht. Hij vervangt de Wet beveiliging netwerk en informatiesystemen (Wbni), die alleen gold voor een beperkte groep aanbieders van vitale diensten en digitale dienstverleners. Met de Cbw groeit die groep naar ruim 8.000 organisaties, aldus het NCSC.
Het doel is een hoger en gelijkwaardig niveau van digitale weerbaarheid in de hele EU. Een storing bij een energiebedrijf, ziekenhuis of IT dienstverlener raakt vaak ook klanten, patiënten en andere organisaties. De wet legt daarom vast dat organisaties met een maatschappelijke functie hun risico’s beheersen, incidenten melden en dat iemand toezicht houdt.
De regels staan op drie niveaus:
- De wet zelf, gepubliceerd in Staatsblad 2026, 187. Daarin staan de verplichtingen, de rolverdeling en het toezicht.
- Het Cyberbeveiligingsbesluit (Cbb), gepubliceerd in Staatsblad 2026, 189. Dat werkt onder meer de zorgplicht, de kennis van bestuurders en de rol van het CSIRT uit en bepaalt het moment van inwerkingtreding (NJB, geraadpleegd oktober 2026).
- Ministeriële regelingen per sector. Daarin staan sectorspecifieke eisen en de drempelwaarden die bepalen wanneer een incident significant is (Rijksoverheid, 15 augustus 2026).
Voor een aantal digitale aanbieders, zoals clouddiensten, datacenters en beheerders van ICT diensten (managed service providers), geldt daarnaast rechtstreeks de Europese Uitvoeringsverordening (EU) 2024/2690. Die beschrijft de technische maatregelen en wanneer een incident voor deze aanbieders significant is.
Sinds wanneer geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Op dezelfde dag trad de Wet weerbaarheid kritieke entiteiten (Wwke) in werking, de Nederlandse uitvoering van de Europese CER richtlijn over fysieke weerbaarheid (Rijksoverheid, 15 augustus 2026).
Nederland was later dan Europa vroeg. Lidstaten moesten NIS2 uiterlijk 17 oktober 2024 hebben omgezet (artikel 41 NIS2). De Tweede Kamer nam het wetsvoorstel aan op 15 april 2026 en de Eerste Kamer stemde op 7 juli 2026 in (Bijzonderstrafrecht.nl). De wet is gedateerd 8 juli 2026.
Een algemene overgangstermijn is er niet: de verplichtingen gelden vanaf de inwerkingtreding (Houthoff; Clyde & Co, 21 juli 2026). Wie nu nog niet geregistreerd is of geen maatregelen heeft vastgelegd, loopt dus achter op een wet die al geldt.
Wie valt onder de Cyberbeveiligingswet?
Je valt onder de Cyberbeveiligingswet als je organisatie actief is in een van de sectoren uit bijlage 1 of 2 van de wet en minimaal middelgroot is. Voor een aantal organisaties geldt de wet ongeacht hun omvang, en de minister kan organisaties aanwijzen (NCSC, geraadpleegd oktober 2026).
Welke sectoren vallen onder de wet?
De wet onderscheidt zeer kritieke sectoren (bijlage 1) en andere kritieke sectoren (bijlage 2). Samen zijn dat 18 sectoren (NCSC informatiebrochure, 1 februari 2026).
| Bijlage 1: zeer kritieke sectoren | Bijlage 2: andere kritieke sectoren |
|---|---|
| Energie | Post en koeriersdiensten |
| Vervoer | Afvalstoffenbeheer |
| Bankwezen | Vervaardiging, productie en distributie van chemische stoffen |
| Infrastructuur voor de financiële markt | Productie, verwerking en distributie van levensmiddelen |
| Gezondheidszorg | Vervaardiging (onder meer medische hulpmiddelen, elektronica, machines en voertuigen) |
| Drinkwater en afvalwater | Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken) |
| Digitale infrastructuur en beheer van ICT diensten | Onderzoek |
| Overheid en ruimtevaart |
Kijk bij het bepalen van je sector naar wat je organisatie zelf doet. Een IT bedrijf dat ziekenhuizen bedient, valt dus niet in de sector gezondheidszorg. Het kan wel onder "beheer van ICT diensten" vallen als het voor andere organisaties systemen beheert (NCSC checklist registratie).
Welke groottecriteria gelden?
De wet gebruikt de Europese mkb definitie uit Aanbeveling 2003/361/EG. Volgens het NCSC ben je groot genoeg voor de Cbw als je 50 of meer medewerkers (fte) hebt, of minder dan 50 medewerkers maar een jaaromzet én een balanstotaal van elk meer dan €10 miljoen. Groot ben je vanaf 250 medewerkers, of bij een jaaromzet boven €50 miljoen en een balanstotaal boven €43 miljoen.
Tel partnerondernemingen en verbonden ondernemingen mee, zoals een moederbedrijf of dochters. Een zorggroep of holdingstructuur kan daardoor boven de grens uitkomen, ook als de afzonderlijke vestiging klein is. Hoe je dat rekent, lees je in valt mijn organisatie onder de Cyberbeveiligingswet.
Ben je een essentiële of een belangrijke entiteit?
De wet kent twee categorieën. Essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten reactief toezicht. De verplichtingen voor zorgplicht, registratie en melden zijn voor beide gelijk (NCSC informatiebrochure).
| Essentiële entiteit | Belangrijke entiteit |
|---|---|
| Grote organisaties in een sector uit bijlage 1 | Middelgrote organisaties in een sector uit bijlage 1 |
| Overheidsorganisaties zoals ministeries, provincies, gemeenten en waterschappen, ongeacht omvang | Middelgrote en grote organisaties in een sector uit bijlage 2 |
| Gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinen en DNS dienstverleners, ongeacht omvang | Kleine aanbieders van openbare elektronische communicatie en niet gekwalificeerde vertrouwensdiensten |
| Middelgrote aanbieders van openbare elektronische communicatienetwerken of diensten | Organisaties die de minister als belangrijk aanwijst |
| Kritieke entiteiten onder de Wwke en organisaties die de minister als essentieel aanwijst |
Voor een middelgrote zorgaanbieder met bijvoorbeeld 60 fte betekent dit: je valt onder de wet als belangrijke entiteit. Vanaf 250 fte, of bij de financiële drempels voor groot, ben je essentieel.
Welke uitzonderingen en aanwijzingen zijn er?
Organisaties die vooral werken voor nationale veiligheid, defensie of rechtshandhaving vallen buiten de wet. Het NCSC noemt het ministerie van Defensie, de inlichtingen en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s (NCSC informatiebrochure). Banken en partijen in de financiële marktinfrastructuur vallen onder de Europese DORA verordening, met DNB en AFM als toezichthouder (NCSC doorverwijsboom).
Daartegenover staat de aanwijzing. Een minister kan een kleinere organisatie onder de wet brengen, bijvoorbeeld omdat die als enige een dienst levert die voor Nederland van groot belang is. Zo’n organisatie krijgt daarover bericht van de overheid (KVK, 8 september 2026). Hogescholen en universiteiten komen via een aanwijzing door de minister van OCW onder de wet.
Wat houdt de registratieplicht in?
Elke organisatie die onder de Cyberbeveiligingswet valt, registreert zich in het entiteitenregister van het NCSC via MijnNCSC. Je logt in met eHerkenning op betrouwbaarheidsniveau EH2+ en geeft organisatie, sector, contact en netwerkgegevens op. Wijzigingen meld je binnen 14 dagen (NCSC, geraadpleegd oktober 2026).
Je registratie is ook je toegang tot de dienstverlening van je sectorale CSIRT, het team dat dreigingsinformatie deelt en helpt bij incidenten. Met de gegevens bij de hand duurt registreren volgens het NCSC ongeveer tien minuten (NCSC checklist registratie). De voorbereiding kost meer tijd, omdat je publieke IP adressen, domeinnamen en het AS nummer moet verzamelen. Welke gegevens je precies nodig hebt en wie mag registreren, staat stap voor stap in ons artikel over de check en registratie.
Welke maatregelen vraagt de zorgplicht van de Cyberbeveiligingswet?
De zorgplicht vraagt passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor je netwerk en informatiesystemen te beheersen. De wet noemt tien onderwerpen die je ten minste moet regelen. Welke maatregelen passend zijn, bepaal je zelf op basis van een risicoanalyse (NCSC infosheet zorgplicht).
De tien onderwerpen komen uit artikel 21 van NIS2 en staan in artikel 21 van de Cbw:
- Beleid voor risicoanalyse en beveiliging van informatiesystemen.
- Incidentbehandeling.
- Bedrijfscontinuïteit, zoals backupbeheer, herstel na een calamiteit en crisisbeheer.
- Beveiliging van de toeleveringsketen, inclusief de relatie met directe leveranciers en dienstverleners.
- Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief het omgaan met en melden van kwetsbaarheden.
- Beleid en procedures om de effectiviteit van de maatregelen te beoordelen.
- Basispraktijken voor cyberhygiëne en training in cyberbeveiliging.
- Beleid voor cryptografie en, waar passend, versleuteling.
- Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen (assets).
- Waar passend: multifactorauthenticatie, beveiligde spraak, video en tekstcommunicatie en beveiligde noodcommunicatie.
Evenredig betekent dat je kijkt naar de omvang van je organisatie, hoe blootgesteld je bent aan risico’s, de kans op incidenten en de mogelijke schade voor de samenleving en de economie (artikel 21 lid 1 NIS2). Een thuiszorgorganisatie van 70 fte hoeft dus niet hetzelfde ingericht te zijn als een academisch ziekenhuis. Ze moet wel kunnen laten zien waarom haar maatregelen passen bij haar risico’s.
Wat voegen het Cyberbeveiligingsbesluit en de sectorregelingen toe?
Het Cyberbeveiligingsbesluit werkt de zorgplicht voor alle sectoren verder uit, met minimale maatregelen op onder meer incidentbeheer, continuïteit, backups, crisisbeheer, ketenbeveiliging, toegangsbeheer, authenticatie en bewustwording (CMS, 11 augustus 2026). De sectorregelingen leggen daar per sector normen en drempelwaarden bovenop. Twee voorbeelden:
- De Cyberbeveiligingsregeling sector overheid (Staatscourant 2026, 27679) koppelt de zorgplicht aan ISO 27001, ISO 27002 en de BIO2. Lees meer in BIO2 en de Cyberbeveiligingswet.
- De Cyberbeveiligingsregeling zorg laat zorgorganisaties kiezen uit NEN 7510, NEN ISO/IEC 27001 met 27002 of een aantoonbaar gelijkwaardig beschermingsniveau (CMS, 10 september 2026).
Valt je organisatie onder de Europese Uitvoeringsverordening 2024/2690, zoals een managed service provider of cloudaanbieder, dan gelden voor jou de gedetailleerde technische eisen uit die verordening.
Hoe werkt de meldplicht?
Een significant incident meld je in fasen: een vroegtijdige waarschuwing uiterlijk binnen 24 uur, een incidentmelding uiterlijk binnen 72 uur en een eindverslag binnen een maand na die melding. Je meldt via MijnNCSC, waarmee de melding tegelijk bij je CSIRT en je toezichthouder terechtkomt (NCSC, geraadpleegd oktober 2026).
Een incident is significant als het je dienstverlening ernstig verstoort of financiële schade veroorzaakt, of als het andere personen of organisaties aanzienlijke schade kan toebrengen (artikel 23 lid 3 NIS2). Wat dat concreet betekent, staat in de drempelwaarden van je sectorregeling. In de zorg is bijvoorbeeld een kritisch bedrijfsproces dat langer dan vier uur geheel of gedeeltelijk stilligt al meldplichtig (CMS, 10 september 2026).
Gaat het incident ook over persoonsgegevens, dan loopt de datalekmelding onder de AVG daarnaast: binnen 72 uur bij de Autoriteit Persoonsgegevens, via een eigen formulier. Hoe je beide regimes in één draaiboek combineert, lees je in meldplicht Cyberbeveiligingswet en AVG.
Wat moet het bestuur doen onder de Cyberbeveiligingswet?
Het bestuur keurt de maatregelen voor cyberrisicobeheer goed, houdt toezicht op de uitvoering en kan aansprakelijk worden gehouden als de organisatie de zorgplicht niet naleeft. Bestuurders volgen zelf een training, zodat ze risico’s kunnen herkennen en de maatregelen kunnen beoordelen (artikel 20 NIS2; Cyberbeveiligingsbesluit).
Cyberbeveiliging wordt daarmee een vast onderdeel van het integrale risicomanagement van de organisatie (NCSC). In de praktijk betekent dit dat de directie of raad van bestuur:
- de risicoanalyse en het maatregelenpakket formeel vaststelt en dat vastlegt;
- periodiek rapportages krijgt over de stand van de maatregelen en over incidenten;
- een training volgt en die deelname kan aantonen (Clyde & Co);
- bij essentiële entiteiten rekening houdt met de mogelijkheid dat de toezichthouder in het uiterste geval een tijdelijke schorsing van een bestuurder kan vragen (NCSC informatiebrochure).
NIS2 vraagt lidstaten ook om organisaties aan te moedigen hun medewerkers regelmatig te trainen. Bewustwording voor het hele personeel is bovendien een van de tien zorgplichtonderwerpen.
Wie houdt toezicht op de Cyberbeveiligingswet?
Het toezicht is per sector geregeld. Elke sector heeft een eigen toezichthouder en een eigen CSIRT. Voor de zorg is dat de Inspectie Gezondheidszorg en Jeugd (IGJ), met Z-CERT als CSIRT (NCSC doorverwijsboom).
| Sector | Toezichthouder |
|---|---|
| Gezondheidszorg (zorgaanbieders, laboratoria, farmacie, medische hulpmiddelen) | IGJ |
| Overheid (behalve waterschappen) | RDI (Staatscourant 2026, 27674) |
| Digitale infrastructuur, beheer van ICT diensten, energie, vervaardiging, post | RDI |
| Vervoer, drinkwater en afvalwater, afvalstoffen, chemie | ILT |
| Levensmiddelen | NVWA |
| Bankwezen en financiële marktinfrastructuur | DNB en AFM (via DORA) |
Bron voor de indeling: NCSC doorverwijsboom en CMS. Controleer voor je eigen sector altijd de doorverwijsboom, omdat subsectoren soms afwijken.
Het verschil tussen de categorieën zit in hoe de toezichthouder werkt. Bij essentiële entiteiten kan de toezichthouder uit zichzelf controleren, scannen en auditen, ook zonder aanwijzing van een overtreding. Bij belangrijke entiteiten treedt de toezichthouder vooral op na een signaal of incident (CMS). De toezichthouders stemmen hun werk af in het Samenwerkend Toezicht Digitale Weerbaarheid (Bijzonderstrafrecht.nl).
Welke sancties kent de Cyberbeveiligingswet?
Toezichthouders kunnen een bindende aanwijzing geven, een last onder dwangsom of bestuursdwang opleggen, een overtreding openbaar maken en een bestuurlijke boete opleggen. Voor essentiële entiteiten bedraagt het boetemaximum €10 miljoen of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten €7 miljoen of 1,4%, telkens het hoogste bedrag (Clyde & Co; Houthoff).
Die bedragen volgen uit artikel 34 van NIS2, dat de minimale hoogte van het boetemaximum voorschrijft. Een boete is het zwaarste middel. Toezichthouders wegen onder meer de ernst en duur van de overtreding, de schade en de vraag of er opzet of nalatigheid was (Clyde & Co). Ook bestuurders zelf kunnen een last onder dwangsom of een bestuurlijke boete krijgen (NCSC informatiebrochure).
Wat betekent de Cyberbeveiligingswet voor leveranciers die er zelf niet onder vallen?
Een leverancier die zelf niet onder de wet valt, heeft geen wettelijke verplichtingen uit de Cbw. Zijn klanten moeten wel de risico’s in hun toeleveringsketen beheersen, en zullen daarom vragen naar beveiligingsmaatregelen, afspraken over incidentmeldingen en bewijs zoals een certificaat (KVK; Digital Trust Center).
Ketenbeveiliging is een van de tien zorgplichtonderwerpen. Een organisatie onder de Cbw moet kunnen laten zien dat zij de beveiliging van haar kritieke leveranciers heeft beoordeeld (CMS). Volgens de KVK kun je als toeleverancier vragen verwachten als:
- Werk je volgens ISO 27001?
- Gebruik je tweestapsverificatie?
- Houd je systemen up to date?
- Maak je regelmatig backups?
- Heb je een continuïteitsplan?
Verwacht daarnaast contractuele afspraken over hoe snel je een incident meldt, medewerking aan audits en een exitregeling. Twee kanttekeningen voor IT leveranciers. Beheer je systemen voor andere organisaties en heb je 50 of meer medewerkers, dan val je mogelijk zelf onder de wet in de sector beheer van ICT diensten. En de Cbw geeft vakministers de bevoegdheid om organisaties te verplichten producten of diensten van bepaalde leveranciers te weren, als dat nodig is voor de nationale veiligheid (Houthoff).
Hoe verhoudt de Cyberbeveiligingswet zich tot ISO 27001 en NEN 7510?
ISO 27001 en NEN 7510 dekken een groot deel van de zorgplicht, omdat ze dezelfde risicogestuurde aanpak volgen en veel van dezelfde maatregelen bevatten. Ze dekken niet automatisch de wettelijke onderdelen zoals registratie, meldtermijnen, sectorale drempelwaarden en de trainingsplicht voor bestuurders. Een certificaat is een sterk bewijsstuk, de toezichthouder beoordeelt de naleving van de wet zelf.
De tabel laat zien waar de tien zorgplichtonderwerpen terugkomen in ISO/IEC 27001:2022 en de bijbehorende maatregelen uit bijlage A.
| Zorgplichtonderwerp | Aanknopingspunt in ISO/IEC 27001:2022 |
|---|---|
| Risicoanalyse en beveiligingsbeleid | Hoofdstuk 5.2 en 6.1, maatregel 5.1 |
| Incidentbehandeling | Maatregelen 5.24 tot en met 5.28 |
| Bedrijfscontinuïteit en backups | Maatregelen 5.29, 5.30 en 8.13 |
| Toeleveringsketen | Maatregelen 5.19 tot en met 5.23 |
| Aanschaf, ontwikkeling, kwetsbaarheden | Maatregelen 8.8 en 8.25 tot en met 8.29 |
| Effectiviteit beoordelen | Hoofdstuk 9 (monitoring, interne audit, directiebeoordeling) |
| Cyberhygiëne en training | Maatregel 6.3 en hoofdstuk 7.2 en 7.3 |
| Cryptografie | Maatregel 8.24 |
| Personeel, toegang en assets | Maatregelen 5.9, 5.15 tot en met 5.18, 6.1 en 6.2 |
| Multifactorauthenticatie en beveiligde communicatie | Maatregelen 5.14 en 8.5 |
NEN 7510 volgt dezelfde opbouw en voegt zorgspecifieke eisen toe. Voor zorgorganisaties onder de Cbw is NEN 7510 een van de routes die de sectorregeling noemt (CMS). Wil je weten hoe je een managementsysteem opzet, lees dan de gids voor ISO 27001 implementatie in het mkb of de gids voor NEN 7510 certificering. Een goede start is een risicoanalyse volgens ISO 27001 in vijf stappen.
Voor een gestructureerde nulmeting hebben de Auditdienst Rijk en NOREA het Cbw (NIS2) Control Framework gepubliceerd, waarmee je je maatregelen toetst aan de Cbw en het Cyberbeveiligingsbesluit.
Hoe begin je met de Cyberbeveiligingswet? Een stappenplan
Begin met vaststellen of en hoe de wet op je van toepassing is, registreer je, en bouw daarna aantoonbaar de zorgplicht en de meldketen op. Deze acht stappen geven houvast.
- Bepaal of je eronder valt. Doe de NIS2 Zelfevaluatie van de RDI en leg de uitkomst vast, inclusief je berekening van omvang met verbonden ondernemingen.
- Registreer bij het NCSC. Regel eHerkenning EH2+ met een machtiging, verzamel de netwerkgegevens en registreer via MijnNCSC.
- Beleg het bij het bestuur. Wijs een eigenaar aan, plan de bestuurderstraining en spreek af hoe vaak het bestuur rapportages krijgt.
- Voer een risicoanalyse uit. Breng je kritieke processen, systemen en leveranciers in kaart en bepaal welke risico’s het zwaarst wegen.
- Doe een nulmeting. Vergelijk je huidige maatregelen met de tien zorgplichtonderwerpen en de eisen uit je sectorregeling, bijvoorbeeld met het Cbw Control Framework.
- Richt de meldketen in. Leg vast wie een incident beoordeelt, wie meldt bij MijnNCSC en bij de Autoriteit Persoonsgegevens, en oefen dat.
- Pak de keten aan. Maak een lijst van kritieke leveranciers, stel eisen in contracten en vraag om bewijs.
- Maak het aantoonbaar. Leg besluiten, maatregelen en evaluaties vast en plan een jaarlijkse beoordeling van de effectiviteit.
Werk je al met ISO 27001 of NEN 7510, dan zit veel van stap 4, 5 en 8 al in je managementsysteem. Richt je dan op de wettelijke aanvullingen: registratie, meldtermijnen, drempelwaarden en de rol van het bestuur.
Waar lees je meer over de check en de meldplicht?
Twijfel je of je organisatie onder de wet valt, bijvoorbeeld door een groepsstructuur of activiteiten in meerdere lidstaten? In valt mijn organisatie onder de Cyberbeveiligingswet lopen we de check stap voor stap door: sector, omvang, partner en verbonden ondernemingen, de officiële zelfevaluatie en de registratie in MijnNCSC.
Wil je weten wat je in de eerste uren na een incident moet doen? In meldplicht Cyberbeveiligingswet en AVG vind je een draaiboek met de termijnen van beide regimes naast elkaar, zodat je een ransomwareaanval met gestolen persoonsgegevens op tijd bij alle partijen meldt.
Veelgestelde vragen
Moet ik ISO 27001 gecertificeerd zijn voor de Cyberbeveiligingswet?
De Cbw vraagt passende maatregelen en geen algemene certificering. Een ISO 27001 of NEN 7510 certificaat helpt wel om aan te tonen dat je de zorgplicht invult. Let erop dat registratie, meldtermijnen en de training voor bestuurders apart geregeld moeten zijn.
Geldt de Cyberbeveiligingswet ook voor organisaties met minder dan 50 medewerkers?
In de regel niet, tenzij jaaromzet en balanstotaal allebei boven €10 miljoen liggen of verbonden ondernemingen meetellen. Een aantal aanbieders valt er ongeacht omvang onder, zoals DNS dienstverleners en overheidsorganisaties, en een minister kan een kleine organisatie aanwijzen.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?
De verplichtingen zijn gelijk. Het verschil zit in het toezicht: bij essentiële entiteiten kan de toezichthouder proactief controleren, bij belangrijke entiteiten vooral achteraf. Ook het boetemaximum is voor essentiële entiteiten hoger.
Is er een overgangstermijn voor de Cyberbeveiligingswet?
Een algemene overgangstermijn is er niet. De registratieplicht, zorgplicht en meldplicht gelden sinds 15 augustus 2026. Toezichthouders bepalen zelf hoe en wanneer ze handhaven.
Wie is de toezichthouder voor zorgorganisaties?
Voor zorgaanbieders is dat de Inspectie Gezondheidszorg en Jeugd (IGJ). Incidenten meld je via MijnNCSC, waarna de melding naar Z-CERT als CSIRT voor de zorg en naar de IGJ gaat.
Wat gebeurt er als ik me niet registreer?
Niet of onjuist registreren is een overtreding waarop de toezichthouder een last onder dwangsom of bestuurlijke boete kan opleggen. Daarnaast mis je de dreigingsinformatie en ondersteuning van je sectorale CSIRT.
Hulp bij de Cyberbeveiligingswet
Wil je weten waar je organisatie staat en welke stappen voor jouw situatie passend zijn? Op de pagina NIS2 en Cyberbeveiligingswet bij Novins lees je hoe Novins organisaties helpt met de nulmeting, de zorgplicht en een werkbare meldketen, uitgaande van wat al werkt.
Bronnen
- Rijksoverheid: Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht (15-08-2026)
- Staatsblad 2026, 187: Cyberbeveiligingswet (wet van 08-07-2026, geraadpleegd 27-10-2026)
- Staatsblad 2026, 189: Cyberbeveiligingsbesluit (besluit van 08-07-2026, geraadpleegd 27-10-2026)
- NJB: Cyberbeveiligingsbesluit, Stb. 2026, 189 (geraadpleegd 27-10-2026)
- Richtlijn (EU) 2022/2555 (NIS2) (27-12-2022, geraadpleegd 27-10-2026)
- Uitvoeringsverordening (EU) 2024/2690 (17-10-2024, geraadpleegd 27-10-2026)
- Aanbeveling 2003/361/EG over de definitie van kleine en middelgrote ondernemingen (06-05-2003, geraadpleegd 27-10-2026)
- NCSC: Cyberbeveiligingswet (NIS2), overzichtspagina (geraadpleegd 27-10-2026)
- NCSC: Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)? (geraadpleegd 27-10-2026)
- NCSC: Registreer jouw organisatie voor de Cbw (geraadpleegd 27-10-2026)
- NCSC: Checklist Cbw registratie (PDF) (geraadpleegd 27-10-2026)
- NCSC: Infosheet Cyberbeveiligingswet, zorgplicht (geraadpleegd 27-10-2026)
- NCSC: Meld incidenten onder de Cyberbeveiligingswet (meldplicht) (geraadpleegd 27-10-2026)
- NCSC: Informatiebrochure Cyberbeveiligingswet (PDF) (01-02-2026)
- NCSC: Doorverwijsboom Cbw organisaties (geraadpleegd 27-10-2026)
- RDI: NIS2 Zelfevaluatie NL (Regelhulpen voor bedrijven) (geraadpleegd 27-10-2026)
- Staatscourant 2026, 27679: Cyberbeveiligingsregeling sector overheid (05-08-2026)
- Staatscourant 2026, 27674: Besluit aanwijzing toezichthouders Cbw sector overheid (14-08-2026)
- Auditdienst Rijk en NOREA: Cbw (NIS2) Control Framework (30-09-2025)
- KVK: Nieuwe Cyberbeveiligingswet, voldoe jij al aan de regels? (08-09-2026)
- Digital Trust Center / NCSC: Toeleveranciers van Cbw organisaties (geraadpleegd 27-10-2026)
- CMS: De Cyberbeveiligingswet (11-08-2026)
- CMS: Cyberbeveiligingswet voor zorgaanbieders (10-09-2026)
- Clyde & Co: Dutch Cybersecurity Act enters into force on 15 August 2026 (21-07-2026)
- Houthoff: Cyberbeveiligingswet vanaf 15 augustus van kracht (geraadpleegd 27-10-2026)
- Bijzonderstrafrecht.nl: Cbw en Wwke van kracht per 15 augustus 2026 (geraadpleegd 27-10-2026)
