Cyberbeveiligingswet (NIS2)

Wat is NIS2?

NIS2 staat voor Network and Information Security Directive 2, een Europese richtlijn die de cybersecurity-eisen voor organisaties in de EU fors aanscherpt. De richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en is op 16 januari 2023 in werking getreden. Volledige richtlijn op EUR-Lex →

Wanneer is NIS2 in Nederland van kracht geworden?

EU-lidstaten hadden tot 17 oktober 2024 de tijd om NIS2 om te zetten in nationale wetgeving — Nederland heeft die deadline gemist (alleen België en Kroatië haalden hem). De Nederlandse vertaling heet de Cyberbeveiligingswet (Cbw).

Op 15 april 2026 stemde de Tweede Kamer met ruime meerderheid in met zowel de Cyberbeveiligingswet als de bijbehorende Wet weerbaarheid kritieke entiteiten (Wwke). De Eerste Kamer (wetsvoorstel 36764) → nam het voorstel op 7 juli 2026 aan. Beide wetten zijn op 15 augustus 2026 in werking getreden. De Cyberbeveiligingswet raakt daarmee zo'n 8.000 organisaties in Nederland, de Wwke ongeveer 500.

Valt u onder de wet, dan moet u zich registreren in het entiteitenregister via MijnNCSC →. Die registratieplicht geldt sinds 15 augustus 2026.

Let op het verschil tussen de twee instanties: het NCSC is het CSIRT — daar meldt u incidenten en haalt u ondersteuning. Het toezicht en de handhaving liggen bij de Rijksinspectie Digitale Infrastructuur (RDI) → en per sector aangewezen sectorale toezichthouders. Zij kunnen boetes opleggen.

Voor wie geldt NIS2?

De wet geldt voor organisaties met meer dan 50 medewerkers of een jaaromzet boven €10 miljoen, actief in een aangewezen sector. Kleinere organisaties kunnen ook vallen als zij een kritieke rol vervullen. NIS2 onderscheidt twee categorieën:

Essentiële entiteiten

Grote organisaties (250+ medewerkers of omzet >€50 mln) in kritieke sectoren:

• Energie (elektriciteit, gas, olie, warmte, waterstof)
• Transport (luchtvaart, spoor, scheepvaart, wegvervoer)
• Bankwezen en financiële marktinfrastructuur
• Gezondheidszorg en farmaceutische industrie
• Drinkwater en afvalwaterbeheer
• Digitale infrastructuur (datacenters, cloudproviders, DNS, internetknooppunten)
• Beheerde ICT-diensten (MSPs, MSSPs)
• Overheid en ruimtevaart

Overheid, telecomaanbieders, DNS-aanbieders en vertrouwensdienstverleners vallen er ongeacht omvang onder.

Belangrijke entiteiten

Middelgrote organisaties (50–249 medewerkers of omzet €10–50 mln) in aanvullende sectoren:

• Post- en koeriersdiensten
• Afvalstoffenbeheer
• Chemische industrie en voedselproductie
• Maakindustrie (medische apparatuur, elektronica, machines, voertuigen)
• Digitale aanbieders (zoekmachines, online marktplaatsen, sociale netwerken)
• Onderzoeksorganisaties

Wat moet u doen? (Artikel 21)

Organisaties die onder NIS2 vallen zijn verplicht passende technische en organisatorische maatregelen te nemen. De wet schrijft tien specifieke maatregelgebieden voor:

• Risicoanalyse en beveiligingsbeleid voor netwerk- en informatiesystemen
• Incidentafhandeling: detectie, reactie en herstel
• Bedrijfscontinuïteit: back-ups, noodherstel, crisismanagement
• Beveiliging van de toeleveringsketen: eisen stellen aan leveranciers en dienstverleners
• Beveiliging bij acquisitie, ontwikkeling en onderhoud van systemen
• Beoordeling van de effectiviteit van beveiligingsmaatregelen
• Cyberhygiene en opleiding van medewerkers
• Cryptografie en encryptie: beleid en procedures
• Personeelsbeveiliging: toegangscontrole en scheiding van taken
• Multi-factor authenticatie en beveiligde communicatie

Registreren als organisatie is verplicht via mijn.ncsc.nl →

Meldplicht (Artikel 23)

Bij een beveiligingsincident met significante impact geldt een strikte meldtermijn:

Bestuurdersaansprakelijkheid

NIS2 introduceert persoonlijke aansprakelijkheid voor bestuurders. Zij kunnen aansprakelijk worden gesteld als de organisatie de NIS2-verplichtingen niet naleeft. Bestuurders moeten cybersecurity-trainingen volgen en aantoonbaar betrokken zijn bij het beveiligingsbeleid — cyberveiligheid is expliciet een bestuurstaak.

Sancties bij niet-naleving

Hoe helpt Meerkati?

Meerkati is ontworpen om MKB-organisaties te ondersteunen bij NIS2-compliance:

• Compliance-overzicht per NIS2-artikel (Art. 20 t/m 23) met voortgangsbeheer per controlepunt
• CVE-monitoring: kritieke kwetsbaarheden direct gekoppeld aan uw softwareprofiel
• Incident Tracker: registreer en beheer beveiligingsincidenten conform de meldplicht
• Audittrail: volledige logging van acties voor verantwoording aan toezichthouders
• Beveiligingsnieuws van NCSC-NL, ENISA en CERT-EU op één plek