Valt mijn bedrijf onder de Cyberbeveiligingswet? 5 vragen

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor organisaties in bepaalde sectoren die groot genoeg zijn, en raakt via hun klanten ook veel kleinere bedrijven. Met vijf vragen weet u snel of uw bedrijf eronder valt, of dat u vooral te maken krijgt met eisen van klanten. Op onze pagina over NIS2-begeleiding leest u hoe ICT Productions bedrijven helpt die wel onder de wet vallen. Werkt u in of rond de haven, gebruik dan ook onze NIS2-checklist voor de haven. Dit artikel is geen juridisch advies; het helpt u de goede vragen te stellen.

Wat is de Cyberbeveiligingswet en sinds wanneer geldt hij?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en is volgens het NCSC op 15 augustus 2026 in werking getreden. Het NCSC schat dat de wet geldt voor ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen.

Organisaties die onder de wet vallen, hebben drie hoofdplichten:

• Registreren. Zij moeten zich inschrijven in het register van het NCSC.
• Zorgplicht. Zij maken een risicoanalyse en nemen op basis daarvan passende maatregelen. Het NCSC noemt tien zorgplichtmaatregelen, waaronder back-upbeheer, incidentbehandeling, MFA en de beveiliging van leveranciers.
• Meldplicht. Zij melden significante incidenten bij het NCSC, binnen vaste termijnen.

Een entiteit is in deze wet een organisatie die onder de Cbw valt. De wet kent twee soorten: essentiële en belangrijke entiteiten. Beide moeten registreren, maatregelen nemen en incidenten melden; het verschil zit onder meer in de manier waarop de toezichthouder controleert.

Vraag 1: Valt uw sector onder de Cyberbeveiligingswet?

Uw sector valt onder de wet als hij in een van de twee bijlagen van de NIS2-richtlijn staat. Volgens het NCSC zijn dat onder meer:

• Zeer kritieke sectoren: energie, transport, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur.
• Andere kritieke sectoren: post- en koeriersdiensten, levensmiddelen, de maakindustrie en digitale aanbieders.

Twijfelt u, kijk dan naar wat u levert en niet naar hoe u uzelf noemt. Een groothandel in levensmiddelen of een bedrijf dat machines maakt, kan onder een kritieke sector vallen zonder dat het zichzelf als vitaal ziet. Staat uw sector niet in de lijst, ga dan door naar vraag 4.

Vraag 2 en 3: Is uw bedrijf groot genoeg om onder de wet te vallen?

Een bedrijf in een genoemde sector valt in de regel onder de wet bij minimaal 50 werknemers, of bij een jaaromzet en een balanstotaal van elk meer dan 10 miljoen euro. Dat is de grens voor een middelgrote onderneming volgens het NCSC. Een grote onderneming heeft meer dan 250 werknemers, of meer dan 50 miljoen euro omzet en meer dan 43 miljoen euro op de balans.

Twee dingen worden vaak vergeten:

• Partner- en verbonden ondernemingen tellen mee. Hoort uw bedrijf bij een groep, dan telt u medewerkers en cijfers van de groep mee.
• Voor een paar diensten maakt omvang niet uit. Wie bijvoorbeeld domeinnamen registreert, vertrouwensdiensten aanbiedt of elektronische communicatiediensten levert, kan ook als klein bedrijf onder de wet vallen.

Let op: vraag 2 gaat over het aantal medewerkers, vraag 3 over omzet en balans. U komt al boven de grens als u aan vraag 2 voldoet, ook als uw omzet lager is.

Vraag 4: Wat als u niet onder de wet valt, maar uw klant wel?

Valt u zelf niet onder de wet, dan kunt u er toch mee te maken krijgen via uw klanten. Volgens het NCSC vallen toeleveranciers niet rechtstreeks onder de Cyberbeveiligingswet. Organisaties die er wel onder vallen, moeten hun keten beveiligen en mogen daarom maatregelen van hun directe leveranciers vragen.

Voor veel MKB-bedrijven in Rotterdam is dit de belangrijkste vraag. Levert u aan een energiebedrijf, een havenbedrijf, een ziekenhuis of een vervoerder, dan kunt u een vragenlijst over beveiliging verwachten. Vragen die vaak terugkomen: gebruikt u MFA, maakt u back-ups en test u die, wie heeft toegang tot onze gegevens en hoe snel meldt u een incident?

Een toezichthouder houdt geen toezicht op toeleveranciers, schrijft het NCSC. Maar een klant kan u wel als leverancier laten vallen als u de vragen niet kunt beantwoorden. Wie nu basismaatregelen regelt en vastlegt, heeft straks een sterk verhaal.

Wilt u weten welke vragen uw klanten waarschijnlijk stellen? Neem contact met ons op, dan nemen we een ketenvragenlijst samen met u door.

Vraag 5: Hoe doet u de NIS2-zelfevaluatie en moet u zich registreren?

De NIS2-zelfevaluatie is een gratis vragenlijst van de Rijksinspectie Digitale Infrastructuur (RDI) op regelhulpenvoorbedrijven.nl. Daarmee ziet u of de wet mogelijk op u van toepassing is, of u een essentiële of een belangrijke entiteit bent en onder welk toezicht u valt. De uitkomst is een eerste indicatie, geen juridisch oordeel.

Komt u eruit als organisatie onder de wet, dan registreert u zich bij het NCSC via mijn.ncsc.nl, met eHerkenning. U vult organisatie-, contact- en netwerkgegevens in, zoals publieke IP-adressen en domeinnamen. Verandert er later iets, dan geeft u dat binnen 14 dagen door, volgens de registratiepagina van het NCSC.

De vijf vragen samen:

Veeg opzij om de hele tabel te zien

Wat zijn de eerste drie stappen na de zelfevaluatie?

Begin met een overzicht, daarna een risicoanalyse en dan de maatregelen met de meeste winst. De NCTV noemt vier stappen: bepaal of u eronder valt, registreer u, breng in kaart waar u staat en voer de maatregelen in.

1. Breng uw IT in kaart. Welke systemen, accounts, leveranciers en gegevens heeft u? Zonder dat overzicht is een risicoanalyse giswerk.
2. Maak een risicoanalyse. Wat gebeurt er als een systeem een dag uitvalt of als gegevens uitlekken? Leg vast welke risico's u accepteert en welke niet.
3. Regel de basis eerst. MFA op alle accounts, updates op tijd, een back-up die u test en een plan voor als het misgaat. Dit zijn ook de maatregelen waar klanten het eerst naar vragen. Hoe u ransomware voorkomt, leest u in ransomware voorkomen in het MKB.

Gaat het om persoonsgegevens, AVG of ISO 27001, kijk dan bij onze compliance-begeleiding. Neemt u ICT-beheer bij ons af, dan zit NIS2-ondersteuning en rapportage in het pakket IJzersterk. Alle pakketten staan op onze prijzenpagina.

Samengevat: u valt onder de Cyberbeveiligingswet als uw sector in de bijlagen staat en uw bedrijf minimaal middelgroot is. Valt u er niet onder, dan kunnen uw klanten toch maatregelen vragen. Doe de NIS2-zelfevaluatie van de RDI, registreer u als dat nodig is en begin met de basismaatregelen. ICT Productions helpt bedrijven in Rotterdam en omgeving bij elke stap.

Dit artikel is geen juridisch advies. Wij baseren ons op openbare informatie van het NCSC, de NCTV en de RDI, gecontroleerd op 7 oktober 2026. Controleer bij twijfel de actuele informatie op ncsc.nl.