Deze pagina behandelt de Nederlandse Cyberbeveiligingswet (Stb. 2026, 187). Zit u in België? Daar geldt de wet van 26 april 2024 (CyFun). Ga naar de Belgische versie
Reglyze
← Terug naar Reglyze
Omgezet en van toepassing

NIS 2 in Nederland: de zorgplicht (art. 21 Cbw en hoofdstuk 4 Cbb)

De cyberbeveiligingsmaatregelen in Nederland: de zorgplicht (art. 21 Cbw en hoofdstuk 4 Cbb). Er is geen Nederlandse maatregelencatalogus met niveaus of certificering. Art. 21 Cbw verplicht tot passende en evenredige maatregelen om de risico's voor de netwerk- en informatiesystemen te beheersen, en hoofdstuk 4 van het Cyberbeveiligingsbesluit werkt dat uit: de entiteit neemt ten minste de maatregelen van art. 6 tot en met 18, van beleid en risicomanagement tot incidentenbehandeling, bedrijfscontinuïteit en de beveiliging van de toeleveringsketen. Voor de elf digitale categorieën van art. 4 Cbb, waaronder DNS-dienstverleners, cloud- en datacentrumaanbieders, aanbieders van beheerde (beveiligings)diensten en verleners van vertrouwensdiensten, gelden in plaats daarvan de eisen van Uitvoeringsverordening (EU) 2024/2690.

Status: in werking sinds 15 augustus 2026; de maatregelen van het besluit zijn een minimumniveau

Het essentiële in één oogopslag

Omzettingswet

Cyberbeveiligingswet (Cbw)

In werking sinds: 2026-08-15

Bevoegde autoriteit

De minister die bevoegd is voor uw sector (art. 15 Cbw)

https://wetten.overheid.nl/BWBR0052872/2026-08-15#Hoofdstuk5_Artikel15
Zorgplicht

de zorgplicht (art. 21 Cbw en hoofdstuk 4 Cbb)

Art. 21 Cbw (tien maatregelen) · Cbb hoofdstuk 4, art. 5 tot en met 19 (ten minste de maatregelen van art. 6 tot en met 18) · Cbb hoofdstuk 5, art. 20 tot en met 22 (training en certificaat van het bestuur)

Sancties
  • essentiële entiteit: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet
  • belangrijke entiteit: tot 7 miljoen euro of 1,4 % van de wereldwijde jaaromzet

Wie valt eronder?

essentiële entiteit

Van rechtswege (art. 8 lid 1 Cbw): entiteiten uit bijlage 1 die de drempel voor middelgrote ondernemingen overschrijden; gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, ongeacht hun omvang; aanbieders van openbare elektronische communicatienetwerken en -diensten vanaf middelgrote omvang; ministeries, zelfstandige bestuursorganen, provincies, gemeenten, waterschappen en gemeenschappelijke regelingen die als overheidsinstantie kwalificeren; kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten. Daarnaast wordt een entiteit bij regeling of besluit aangewezen op de criteria van art. 9, en kunnen een voormalige aanbieder van een essentiële dienst en een instelling voor hoger onderwijs worden aangewezen (art. 10 en 11).

belangrijke entiteit

Van rechtswege (art. 12 lid 1 Cbw), voor zover geen essentiële entiteit: middelgrote entiteiten uit bijlage 1; middelgrote en grotere entiteiten uit bijlage 2; kleine en micro-aanbieders van openbare elektronische communicatienetwerken en -diensten, en kleine en micro-verleners van vertrouwensdiensten. Instellingen voor hoger onderwijs kunnen worden aangewezen (art. 13).

Vorig regime: Wet beveiliging netwerk- en informatiesystemen (Wbni), ingetrokken bij art. 106 Cbw. De wet geldt niet voor onder meer het ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het openbaar ministerie, de politie en de veiligheidsregio's (art. 5 Cbw).

Belangrijke termijnen

2026-08-15

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit zijn in werking getreden (art. 35 Cbb) en de Wbni is ingetrokken (art. 106 Cbw). Sindsdien gelden de registratieplicht, de zorgplicht en de meldplicht.

2026-10-06

Stichting Z-CERT is het CSIRT voor de gezondheidszorg en de vervaardiging van medische hulpmiddelen (art. 1a.1 Cyberbeveiligingsregeling voor de zorg).

2028-08-15

Twee jaar na de inwerkingtreding van art. 24 lid 2: ieder bestuurslid beschikt over de vereiste kennis en vaardigheden en over een certificaat (art. 24 lid 3 en 5 Cbw). Wie later wordt benoemd, heeft twee jaar vanaf de benoeming.

doorlopend

Registratie op MijnNCSC; wijzigingen in de geregistreerde gegevens meldt u binnen twee weken (art. 44 lid 2 Cbw).

Melding van incidenten: 24 u (vroegtijdige waarschuwing) / 72 u (melding) / 1 maand na de melding (eindverslag), bij uw CSIRT en uw bevoegde autoriteit, met één melding via het centrale meldpunt op MijnNCSC (art. 25 Cbb); het CSIRT is voor de meeste sectoren het NCSC, voor de zorg en de vervaardiging van medische hulpmiddelen Z-CERT en voor de waterschappen CERT-WM.

Prioritaire sectoren

Digitale infrastructuur, beheer van ICT-diensten en digitale aanbieders

De bevoegde autoriteit is de minister van Economische Zaken (art. 15 Cbw); het toezicht ligt bij de Rijksinspectie Digitale Infrastructuur (RDI). Registers voor topleveldomeinnamen, DNS-dienstverleners en gekwalificeerde verleners van vertrouwensdiensten zijn ongeacht hun omvang essentiële entiteit. Voor cloud, datacentra, beheerde (beveiligings)diensten en de andere digitale categorieën van art. 4 Cbb gelden de eisen van Uitvoeringsverordening (EU) 2024/2690 in plaats van art. 6 tot en met 18 Cbb.

Overheid

Ministeries, zelfstandige bestuursorganen, provincies, gemeenten, waterschappen en gemeenschappelijke regelingen zijn van rechtswege essentiële entiteit (art. 8 lid 1, onderdelen g en h). De bevoegde autoriteit is de minister van Binnenlandse Zaken en Koninkrijksrelaties, voor de waterschappen de minister van Infrastructuur en Waterstaat (art. 15 Cbw). Het toezicht ligt bij de RDI, voor de waterschappen bij de Inspectie Leefomgeving en Transport (ILT). Het CSIRT is CERT-WM voor de waterschappen en het NCSC voor de andere overheden; voor gemeenten en gemeenschappelijke regelingen levert het NCSC die dienst tot in elk geval eind 2026.

Zorg en medische hulpmiddelen

De bevoegde autoriteit is de minister van Volksgezondheid, Welzijn en Sport (art. 15 Cbw); het toezicht ligt bij de Inspectie Gezondheidszorg en Jeugd (IGJ). Sinds 6 oktober 2026 is Stichting Z-CERT het CSIRT voor de gezondheidszorg en de vervaardiging van medische hulpmiddelen (art. 1a.1 Cyberbeveiligingsregeling voor de zorg). U meldt via het centrale meldpunt op MijnNCSC.

Veelgestelde vragen

Welke wet zet NIS 2 om in Nederland, en sinds wanneer geldt die?
De Cyberbeveiligingswet (Cbw, Stb. 2026, 187), uitgewerkt in het Cyberbeveiligingsbesluit (Cbb, Stb. 2026, 189). Beide zijn op 15 augustus 2026 in werking getreden (art. 35 Cbb), en de Wet beveiliging netwerk- en informatiesystemen (Wbni) is ingetrokken (art. 106 Cbw). Sindsdien gelden de registratieplicht, de zorgplicht en de meldplicht; alleen voor aangewezen instellingen voor hoger onderwijs gaan de zorgplicht en de governance-eisen pas 36 maanden na de aanwijzing in (art. 97).
Wie is de bevoegde autoriteit, en wie houdt toezicht?
De bevoegde autoriteit is per sector een minister (art. 15 Cbw): Binnenlandse Zaken en Koninkrijksrelaties voor de overheid; Economische Zaken onder meer voor digitale infrastructuur, beheer van ICT-diensten, digitale aanbieders en domeinnaamregistratiediensten; Financiën voor het bankwezen en de infrastructuur voor de financiële markt; Infrastructuur en Waterstaat onder meer voor vervoer, drinkwater, afvalwater, afvalstoffenbeheer, chemische stoffen en de waterschappen; Klimaat en Groene Groei voor energie; Landbouw, Visserij, Voedselzekerheid en Natuur voor levensmiddelen; Volksgezondheid, Welzijn en Sport voor de zorg en de vervaardiging van medische hulpmiddelen; Onderwijs, Cultuur en Wetenschap voor aangewezen instellingen voor hoger onderwijs. Het toezicht ligt bij de inspecties die de minister aanwijst (art. 68 Cbw): de RDI, de ILT, de NVWA en de IGJ. Voor het bankwezen en de infrastructuur voor de financiële markt noemt het NCSC DNB en de AFM, die toezien op de DORA-verordening. Het NCSC is geen toezichthouder: het is het CSIRT van de meeste sectoren en het registratie- en meldpunt.
Hoe registreren wij ons?
In het nationale register van de minister van Justitie en Veiligheid (art. 43 Cbw), dat het NCSC namens hem beheert: op MijnNCSC, met eHerkenning (niveau EH2+) of Single Sign On Rijk. Volgens het NCSC moet een organisatie die onder de wet valt sinds 15 augustus 2026 geregistreerd zijn. U vermeldt onder meer of u zich registreert als essentiële of belangrijke entiteit, en uw KvK-nummer; een overheidsinstantie die in het Register van Overheidsorganisaties staat, geeft de code uit dat register (art. 27 Cbb). Wijzigingen meldt u binnen twee weken (art. 44 lid 2 Cbw).
Aan wie en binnen welke termijnen meldt u een significant incident?
Aan uw CSIRT en uw bevoegde autoriteit, met één melding via het centrale meldpunt op MijnNCSC (art. 25 Cbb). De termijnen lopen vanaf het moment dat u kennis krijgt van het incident: een vroegtijdige waarschuwing onverwijld en uiterlijk binnen 24 uur (art. 26 Cbw), een melding binnen 72 uur (art. 27; een verlener van vertrouwensdiensten meldt binnen 24 uur als de vertrouwensdienst wordt geraakt) en een eindverslag uiterlijk één maand na de melding (art. 29). Duurt het incident dan nog, dan dient u een voortgangsverslag in en volgt het eindverslag binnen één maand na de afhandeling. Op verzoek van uw CSIRT of uw bevoegde autoriteit dient u een tussentijds verslag in (art. 28). Het CSIRT is voor de meeste sectoren het NCSC, voor de zorg en de vervaardiging van medische hulpmiddelen Z-CERT en voor de waterschappen CERT-WM. Wanneer een incident significant is, verschilt per sector en staat in ministeriële regelingen.
Hoe hoog zijn de boetes?
Voor een essentiële entiteit ten hoogste € 10.000.000 of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe zij behoort, indien dat hoger is (art. 80 lid 3 Cbw); voor een belangrijke entiteit ten hoogste € 7.000.000 of 1,4% (art. 87 lid 3). Die maxima gelden bij overtreding van de zorgplicht (art. 21 en 21a) en de meldplicht (art. 25 tot en met 30); voor een andere overtreding is het maximum € 1.000.000. Een entiteit die domeinnaamregistratiediensten verleent, riskeert ten hoogste € 1.000.000 (art. 91), een bestuurslid dat zijn kennis- en trainingsplicht niet nakomt ten hoogste € 25.000 (art. 93).
Wat vraagt de wet van het bestuur?
Het bestuur keurt de maatregelen goed (art. 24 lid 1 Cbw). Ieder bestuurslid beschikt over de kennis en vaardigheden om risico's te identificeren en maatregelen en hun gevolgen voor de diensten te beoordelen (lid 2), voldoet daaraan binnen twee jaar na de inwerkingtreding, dus uiterlijk op 15 augustus 2028, of binnen twee jaar na een latere benoeming (lid 3), houdt die kennis aantoonbaar actueel (lid 4) en bezit een certificaat van een training over die onderwerpen (lid 5). Hoofdstuk 5 van het Cyberbeveiligingsbesluit stelt eisen aan de training en het certificaat.

Officiële bronnen

Laatst gecontroleerd: 2026-10-29 · volgende controle gepland na 2026-12-31.

Klaar om in Nederland aan NIS 2 te voldoen?

Reglyze begeleidt u met AI stap voor stap door de eisen van NIS 2: afbakening en gap-analyse op basis van de eisen van de richtlijn, en daarna documenten die de Cyberbeveiligingswet, de termijnen ervan en de juiste ontvanger van meldingen noemen.