Valt mijn organisatie onder de Cyberbeveiligingswet? Zo check je het
Valt mijn organisatie onder de Cyberbeveiligingswet? Dat hangt af van twee vragen: werk je in een van de 18 sectoren uit de wet, en ben je minimaal middelgroot, dus 50 fte of meer of een jaaromzet én balanstotaal boven €10 miljoen? Met de officiële zelfevaluatie van de RDI heb je in de meeste gevallen snel antwoord. Val je eronder, dan registreer je je via MijnNCSC met eHerkenning.
In dit artikel lopen we de check stap voor stap door, inclusief de lastige gevallen zoals zorggroepen, holdings en organisaties met vestigingen in meerdere lidstaten. Daarna lees je hoe de registratie werkt en welke gegevens je vooraf verzamelt. Voor het totaalbeeld van de wet lees je de complete gids over de Cyberbeveiligingswet.
Valt mijn organisatie onder de Cyberbeveiligingswet? De check in vier vragen
Je beantwoordt vier vragen in deze volgorde. Na de eerste twee weet je meestal al genoeg (NCSC, geraadpleegd oktober 2026).
- Is je organisatie actief in een sector uit bijlage 1 of 2 van de wet?
- Ben je minimaal middelgroot, verbonden ondernemingen meegerekend?
- Val je in een categorie die altijd onder de wet valt, of ben je aangewezen?
- Ben je een essentiële of een belangrijke entiteit?
In welke sector is je organisatie actief?
De wet geldt voor 18 sectoren: 11 zeer kritieke sectoren in bijlage 1 en 7 andere kritieke sectoren in bijlage 2 (NCSC informatiebrochure, 1 februari 2026). Bepalend is wat je organisatie zelf levert, ongeacht de sector van je klanten (NCSC checklist registratie).
Bijlage 1 bevat energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT diensten, overheid en ruimtevaart. Bijlage 2 bevat post en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek.
Voor de zorg zijn vooral deze typen organisaties relevant (bijlagen I en II bij NIS2):
- zorgaanbieders, van ziekenhuis en GGZ instelling tot thuiszorg en verpleeghuis;
- EU referentielaboratoria;
- organisaties die onderzoek en ontwikkeling van geneesmiddelen doen;
- fabrikanten van farmaceutische basisproducten en preparaten;
- fabrikanten van medische hulpmiddelen en medische hulpmiddelen voor in vitro diagnostiek (bijlage 2, vervaardiging).
Twijfel je over je sector? De doorverwijsboom van het NCSC laat per sector en subsector zien welke organisaties eronder vallen. Sommige vakministeries hebben aanvullende criteria opgesteld, die via de NCTV te vinden zijn (NCSC).
Hoe groot is je organisatie volgens de wet?
De wet volgt de Europese mkb definitie uit Aanbeveling 2003/361/EG. Je valt binnen het bereik als je 50 of meer medewerkers hebt, of als je minder medewerkers hebt maar je jaaromzet en je balanstotaal allebei boven €10 miljoen liggen (NCSC).
| Omvang | Medewerkers | Financieel | Gevolg voor de Cbw |
|---|---|---|---|
| Micro en klein | Minder dan 50 | Jaaromzet of balanstotaal maximaal €10 miljoen | Valt er in de regel buiten |
| Middelgroot | 50 tot en met 249 | Of: jaaromzet en balanstotaal boven €10 miljoen | Belangrijke entiteit (bijlage 1 en 2) |
| Groot | 250 of meer | Of: jaaromzet boven €50 miljoen en balanstotaal boven €43 miljoen | Essentieel (bijlage 1) of belangrijk (bijlage 2) |
Medewerkers tel je in jaarlijkse arbeidseenheden (fte), op basis van het laatst afgesloten boekjaar.
Tellen groepsverbanden en partnerondernemingen mee?
Ja. Bij het tellen van medewerkers, omzet en balanstotaal reken je partnerondernemingen en verbonden ondernemingen mee, zoals een moederbedrijf of dochterondernemingen (NCSC). De Aanbeveling maakt daarbij onderscheid:
- Verbonden onderneming: je hebt zeggenschap over een andere onderneming of andersom, bijvoorbeeld via een meerderheid van de stemrechten. Je telt de cijfers volledig op.
- Partneronderneming: je hebt een belang van 25% tot 50% in een andere onderneming of andersom. Je telt de cijfers op naar rato van dat belang.
- Zelfstandige onderneming: belangen onder 25%. Je telt alleen je eigen cijfers.
Een voorbeeld: een stichting voor wijkverpleging met 35 fte is op zichzelf klein. Is zij onderdeel van een zorggroep met in totaal 180 fte, dan telt de groep mee en valt de stichting als zorgaanbieder onder de wet. Bij twijfel over de precieze toerekening is het verstandig je berekening schriftelijk vast te leggen, zodat je die aan een toezichthouder kunt laten zien.
Wanneer val je ongeacht je omvang onder de wet?
Een aantal organisaties valt altijd onder de Cyberbeveiligingswet, hoe klein ze ook zijn. Daarnaast kan een minister een organisatie aanwijzen (NCSC).
- DNS dienstverleners en registers voor topleveldomeinen;
- aanbieders van openbare elektronische communicatienetwerken en diensten;
- verleners van vertrouwensdiensten, zoals aanbieders van elektronische handtekeningen;
- overheidsorganisaties;
- organisaties die onder de Wet weerbaarheid kritieke entiteiten als kritieke entiteit zijn aangewezen.
Een aanwijzing kan bijvoorbeeld volgen als een kleine organisatie als enige een dienst levert die voor Nederland van groot belang is. Je krijgt daarover bericht van de overheid (KVK, 8 september 2026). Uitgezonderd zijn onder meer Defensie, de inlichtingen en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s (NCSC informatiebrochure).
Ben je een essentiële of een belangrijke entiteit?
Grote organisaties in een sector uit bijlage 1 zijn essentieel. Middelgrote organisaties uit bijlage 1 en alle middelgrote en grote organisaties uit bijlage 2 zijn belangrijk. De plichten zijn voor beide gelijk, het verschil zit in het toezicht en het boetemaximum (NCSC informatiebrochure).
Een essentiële entiteit krijgt proactief toezicht: de toezichthouder kan uit zichzelf audits en scans laten uitvoeren. Bij een belangrijke entiteit kijkt de toezichthouder vooral achteraf, na een incident of signaal. In de gids over de Cyberbeveiligingswet staat een volledig overzicht van beide categorieën.
Hoe gebruik je de officiële zelfevaluatie?
De snelste route is de NIS2 Zelfevaluatie NL van de Rijksinspectie Digitale Infrastructuur (RDI). Die bepaalt of de wet op je van toepassing is en of je essentieel of belangrijk bent (NCSC).
Zo haal je er het meeste uit:
- Zoek vooraf je SBI codes op in het KvK uittreksel en beschrijf in één zin welke diensten je levert.
- Pak de cijfers van het laatst afgesloten boekjaar erbij: fte, jaaromzet en balanstotaal, voor je eigen organisatie en voor verbonden en partnerondernemingen.
- Doorloop de zelfevaluatie en bewaar de uitkomst met de gebruikte cijfers als onderbouwing.
- Herhaal de check als je organisatie groeit, fuseert of nieuwe diensten gaat leveren.
Heb je vestigingen in meerdere lidstaten van de EU? Dan bepaalt de handreiking complexe bedrijfsmodellen van het NCSC welk nationaal recht geldt. Als hoofdregel val je onder de lidstaat waar je gevestigd bent. Voor een aantal digitale diensten, zoals cloud, datacenters en managed services, geldt de lidstaat waar de beslissingen over cyberbeveiliging overwegend worden genomen (artikel 26 NIS2).
Hoe registreer je je organisatie in MijnNCSC?
Je registreert je in het entiteitenregister via MijnNCSC, met eHerkenning op niveau EH2+ en een machtiging voor deze dienst. Rijksorganisaties kunnen SSOnRijk gebruiken. Met de gegevens bij de hand duurt het invullen ongeveer tien minuten (NCSC registreren; NCSC checklist registratie).
Wie mag registreren?
Het NCSC adviseert iemand met beslissingsbevoegdheid en bij voorkeur inhoudelijke kennis van cyberbeveiliging, zoals een CISO of IT verantwoordelijke. Een directeur, eigenaar of compliance officer kan ook, als die beide combineert. De eHerkenning moet gekoppeld zijn aan het KvK nummer van de organisatie die je registreert, en de eHerkenningbeheerder van je organisatie geeft de machtiging. Reken op enkele dagen om eHerkenning aan te vragen (NCSC).
Welke stappen doorloop je?
- Organisatiegegevens. Naam en adres worden automatisch uit het KvK register gehaald. Klopt iets niet, dan corrigeer je dat bij de KvK.
- Cbw gegevens. Je kiest je sectoren en subsectoren (vooraf ingevuld op basis van je SBI codes), het type dienst volgens de bijlagen, de lidstaten waar je diensten levert, je hoofdvestiging in de EU en of je essentieel of belangrijk bent. Fte, omzet en balanstotaal zijn optioneel.
- Contactgegevens. Naam, telefoonnummer, mailadres en functie van de eerste contactpersoon.
- Netwerkgegevens. Publieke IP adressen of IP ranges, domeinnamen en het AS nummer (ASN).
- Samenvatting. Je controleert alles en bevestigt dat de gegevens juist en volledig zijn.
Welke gegevens verzamel je vooraf?
| Gegeven | Waar vind je het | Wie levert het meestal |
|---|---|---|
| KvK nummer, SBI codes | KvK uittreksel | Administratie |
| Sector, subsector en type dienst | Uitkomst zelfevaluatie, bijlagen bij de wet | Directie of compliance |
| Lidstaten en hoofdvestiging | Overzicht vestigingen en klanten | Directie |
| Contactpersoon | Intern besluit | Directie |
| Publieke IP adressen en domeinnamen | Netwerkdocumentatie, DNS beheer | IT beheer of IT leverancier |
| AS nummer | Internetprovider of eigen netwerkregistratie | IT leverancier |
Na registratie geef je wijzigingen binnen 14 dagen door via MijnNCSC (NCSC). Denk aan een nieuwe contactpersoon, een verhuizing van je IP ranges naar een andere provider of een nieuwe domeinnaam. Leg daarom in je change proces vast dat netwerkwijzigingen ook tot een update in MijnNCSC leiden.
Wat als je organisatie er niet onder valt?
Dan hoef je je niet te registreren en gelden de plichten uit de wet niet voor je. Het NCSC raadt wel aan beveiligingsmaatregelen te blijven nemen (NCSC). Valt een klant van je wel onder de Cbw, dan kun je vragen verwachten over je beveiliging, zoals of je met ISO 27001 werkt, tweestapsverificatie gebruikt en backups maakt (KVK). Het Digital Trust Center heeft hiervoor een aparte pagina voor toeleveranciers van Cbw organisaties.
Veelgestelde vragen
Tellen moeder en dochterondernemingen mee voor de Cyberbeveiligingswet?
Ja. Je telt medewerkers, omzet en balanstotaal van verbonden ondernemingen volledig mee en die van partnerondernemingen (25% tot 50% belang) naar rato. Een kleine dochter van een grote groep kan daardoor onder de wet vallen.
Hoe lang duurt registreren in MijnNCSC?
Het invullen kost ongeveer tien minuten als je alle gegevens klaar hebt. Plan vooral tijd voor het aanvragen van eHerkenning EH2+ met machtiging en voor het verzamelen van IP adressen, domeinnamen en het AS nummer.
Kan mijn IT leverancier de registratie voor ons doen?
Het NCSC vraagt om iemand met beslissingsbevoegdheid binnen de organisatie, ingelogd met eHerkenning die aan jullie KvK nummer is gekoppeld. Je IT leverancier kan wel de netwerkgegevens aanleveren.
Moet ik wijzigingen doorgeven na registratie?
Ja, binnen 14 dagen via MijnNCSC. Dat geldt bijvoorbeeld voor een nieuwe contactpersoon, nieuwe IP ranges of een nieuwe domeinnaam.
Wat als de zelfevaluatie geen duidelijk antwoord geeft?
Raadpleeg de doorverwijsboom van het NCSC voor je sector en de handreiking complexe bedrijfsmodellen bij vestigingen in meerdere lidstaten. Voor sectorspecifieke vragen kun je terecht bij het ministerie dat verantwoordelijk is voor je sector.
Kunnen we ons vrijwillig registreren als we er niet onder vallen?
De registratieplicht geldt voor essentiële en belangrijke entiteiten. Bij registratie bevestig je dat je gegevens juist zijn, inclusief je categorie. Val je er niet onder, gebruik dan de algemene informatie van het NCSC en het Digital Trust Center.
Twijfel je nog over je positie?
Een groepsstructuur of een mix van diensten maakt de check soms lastiger dan de zelfevaluatie doet vermoeden. Op de pagina NIS2 en Cyberbeveiligingswet bij Novins lees je hoe Novins de toepasselijkheid met je vastlegt en daarna de zorgplicht en meldketen helpt inrichten.
Bronnen
- NCSC: Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)? (geraadpleegd 27-10-2026)
- NCSC: Registreer jouw organisatie voor de Cbw (geraadpleegd 27-10-2026)
- NCSC: Checklist Cbw registratie (PDF) (geraadpleegd 27-10-2026)
- NCSC: Informatiebrochure Cyberbeveiligingswet (PDF) (01-02-2026)
- NCSC: Doorverwijsboom Cbw organisaties (geraadpleegd 27-10-2026)
- NCSC: Handreiking complexe bedrijfsmodellen (geraadpleegd 27-10-2026)
- RDI: NIS2 Zelfevaluatie NL (Regelhulpen voor bedrijven) (geraadpleegd 27-10-2026)
- Richtlijn (EU) 2022/2555 (NIS2) (27-12-2022, geraadpleegd 27-10-2026)
- Aanbeveling 2003/361/EG over de definitie van kleine en middelgrote ondernemingen (06-05-2003, geraadpleegd 27-10-2026)
- KVK: Nieuwe Cyberbeveiligingswet, voldoe jij al aan de regels? (08-09-2026)
- Digital Trust Center / NCSC: Toeleveranciers van Cbw organisaties (geraadpleegd 27-10-2026)
