Toepassingsbereik · Cyberbeveiligingswet
Wie valt onder de Cyberbeveiligingswet
De wet kent twee soorten: de essentiële entiteit en de belangrijke entiteit. U komt er niet in door u aan te melden en ook niet door een brief af te wachten, maar doordat u aan de wettelijke omschrijving voldoet. Hieronder de test zoals de wet die stelt, artikel voor artikel.
Bron: Cyberbeveiligingswet, Staatsblad 2026, 187, hoofdstuk 4 (art. 8 tot en met 13). In werking op 15 augustus 2026.
Essentiële entiteit van rechtswege (art. 8)
«Van rechtswege» betekent: zonder besluit, zonder aanwijzing, zonder kennisgeving. U bent het of u bent het niet.
Zonder enige omvangtoets
Gekwalificeerde verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners. Hier speelt uw omvang geen enkele rol: één medewerker of duizend, de uitkomst is dezelfde.
Elektronische communicatie, vanaf middelgroot
Aanbieders van openbare elektronische communicatienetwerken en van openbare elektronische communicatiediensten die kwalificeren als middelgrote onderneming in de zin van art. 2 van de bijlage bij Aanbeveling 2003/361/EG.
Bijlage 1, boven de drempel
Andere entiteiten uit bijlage 1 van de wet die de drempel voor middelgrote ondernemingen van art. 2, eerste lid, van diezelfde bijlage overschrijden. De sectorlijst staat in de bijlage bij de wet; wij nemen die hier niet uit tweede hand over.
De rijksoverheid
De ministeries met hun dienstonderdelen en zelfstandige bestuursorganen van de centrale overheid. Uitgezonderd zijn de inlichtingen- en veiligheidsdiensten in de zin van de Wet op de inlichtingen- en veiligheidsdiensten 2017.
Belangrijke entiteit van rechtswege (art. 12)
- Entiteiten uit bijlage 1 die geen essentiële entiteit zijn en die kwalificeren als middelgrote onderneming.
- Entiteiten uit bijlage 2 die geen essentiële entiteit zijn en die als middelgrote onderneming kwalificeren óf de drempels daarvoor overschrijden.
- Aanbieders van openbare elektronische communicatienetwerken uit bijlage 1 die kwalificeren als kleine of micro-onderneming en geen essentiële entiteit zijn.
- Aanbieders van openbare elektronische communicatiediensten uit bijlage 1, idem.
Let op de laatste twee. De vuistregel «onder de vijftig medewerkers valt u erbuiten» klopt hier niet: aanbieders van openbare elektronische communicatie zijn juist als kleine of micro-onderneming belangrijke entiteit. Wie op de vuistregel afgaat, concludeert precies verkeerd.
Aanwijzing: de route buiten de omvangtoets om
Staat u in bijlage 1 of bijlage 2, dan kan de minister u aanwijzen als essentiële entiteit op grond van één of meer van vier criteria (art. 9):
- u bent in Nederland de enige aanbieder van een dienst die essentieel is voor de instandhouding van kritieke maatschappelijke of economische activiteiten;
- verstoring van uw dienst kan aanzienlijke gevolgen hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid;
- verstoring kan een aanzienlijk systeemrisico met zich brengen, met name waar dat grensoverschrijdend uitwerkt;
- u bent kritiek vanwege uw specifieke belang op nationaal of regionaal niveau, voor de sector of voor onderling afhankelijke sectoren.
Twee bijzondere routes daarnaast: wie vóór 16 januari 2023 onder de Wet beveiliging netwerk- en informatiesystemen was aangewezen als aanbieder van een essentiële dienst kan opnieuw worden aangewezen (art. 10), en instellingen voor hoger onderwijs kennen een eigen aanwijzingsgrond via de minister van OCW, zowel als essentiële als als belangrijke entiteit (art. 11 en 13).
Waarom u hier geen sectorlijst vindt
Bijna elke pagina over dit onderwerp somt de sectoren op. Wij doen dat hier niet, om een reden die u ten goede komt: de indeling in bijlage 1 en bijlage 2 bepaalt of u essentieel of belangrijk bent, en die bijlagen hebben wij niet in de brontekst kunnen lezen. Een lijst uit tweede hand overnemen zou precies het soort fout opleveren waar u niets aan heeft: precies genoeg om geloofd te worden, en mogelijk verkeerd.
Wat hierboven staat, is wel woordelijk uit de wet gelezen. Voor de sectorlijsten: de bijlagen bij Staatsblad 2026, 187.