Valt uw bedrijf onder de Cyberbeveiligingswet?

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens het NCSC is de wet op 15 augustus 2026 in werking getreden en stelt hij eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen. Organisaties die onder de wet vallen, moeten zich registreren, een risicoanalyse maken en op basis daarvan passende maatregelen nemen (de zorgplicht), en significante incidenten melden (de meldplicht).

Welke sectoren vallen onder de wet?

De wet kent twee bijlagen met sectoren. Bijlage 1 bevat de zeer kritieke sectoren: Energie, Vervoer, Bankwezen, Drinkwater, Digitale infrastructuur, Beheer van ICT-diensten, Ruimtevaart, Infrastructuur financiële markt, Gezondheidszorg, Afvalwater, Overheid. Bijlage 2 bevat de andere kritieke sectoren: Digitale aanbieders, Post- en koeriersdiensten, Afvalstoffenbeheer, Levensmiddelen, Chemische stoffen, Onderzoek, Vervaardiging. Binnen elke sector noemt de wet welke soorten organisaties eronder vallen. Een groothandel in levensmiddelen of een bedrijf dat producten maakt, kan dus onder een kritieke sector vallen zonder dat het zichzelf als vitaal ziet. De volledige uitleg staat op de pagina valt mijn organisatie onder de Cyberbeveiligingswet.

Wanneer is uw bedrijf groot genoeg?

Een bedrijf in een van de sectoren valt volgens het NCSC onder de wet als het 50 of meer medewerkers heeft (in fte), of minder dan 50 medewerkers maar een jaaromzet en een balanstotaal van elk meer dan €10 miljoen. Let op het woord of: wie 50 of meer medewerkers heeft, valt er al onder, ook als de omzet lager is. Partner- en verbonden ondernemingen, zoals een moederbedrijf of dochters, tellen mee. Een kleine werkmaatschappij binnen een grotere groep kan daardoor toch onder de wet vallen.

Voor een paar organisaties maakt de omvang niet uit. Volgens het NCSC vallen DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en overheidsorganisaties altijd onder de wet.

En als u er niet zelf onder valt?

Toeleveranciers vallen volgens het NCSC niet rechtstreeks onder de wet. Organisaties die er wel onder vallen, moeten hun keten beveiligen en mogen daarom maatregelen vragen van hun directe leveranciers, vooral als die ICT leveren of toegang hebben tot hun systemen. Zie de Cyberbeveiligingswet en toeleveranciers. Voor veel MKB-bedrijven in Rotterdam is dat de belangrijkste vraag: levert u aan een havenbedrijf, een vervoerder of een ziekenhuis, dan kunt u een vragenlijst over beveiliging verwachten. Vragen die vaak terugkomen gaan over MFA, back-ups en het melden van incidenten.

Wat doet u na deze check?

1. Doe de NIS2-zelfevaluatie van de RDI. Die laat ook zien of u een essentiële of een belangrijke entiteit bent en of u onder Nederlands toezicht valt.
2. Valt u onder de wet, registreer u dan bij het NCSC via mijn.ncsc.nl, met eHerkenning. Wijzigingen geeft u volgens de registratiepagina van het NCSC binnen 14 dagen door.
3. Breng uw systemen, accounts en leveranciers in kaart, maak een risicoanalyse en regel de basis eerst: MFA, updates, een geteste back-up en een plan voor als het misgaat. De NIS2-checklist voor de haven helpt u daarbij, ook als u niet in de haven zit.

ICT Productions helpt bedrijven in Rotterdam en omgeving met de technische en organisatorische maatregelen, van MFA en back-up tot monitoring en documentatie. Lees hoe dat werkt op de pagina NIS2-begeleiding. Bent u een klein bedrijf, kijk dan ook of u in aanmerking komt voor subsidie met de subsidiecheck Mijn Cyberweerbare Zaak. Alle hulpmiddelen staan op gratis tools.