De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, geldt sinds 15 augustus 2026. Wij helpen je bepalen of je eronder valt, wat je moet regelen en hoe je laat zien dat het geregeld is.
De Cyberbeveiligingswet geldt direct voor middelgrote en grote organisaties in achttien kritieke sectoren. Middelgroot betekent hier: minimaal 50 medewerkers, of een jaaromzet en balanstotaal boven de 10 miljoen euro. Het gaat om ongeveer 8.000 organisaties, onder meer in:
Ben je kleiner, of zit je in een andere sector, dan kom je NIS2 toch tegen als je levert aan een organisatie die er wel onder valt. Die klant mag eisen stellen aan jouw beveiliging en dat controleren. Naar verwachting raakt NIS2 zo meer dan 50.000 extra MKB-bedrijven.
Wat de wet precies vraagt, lees je in onze blog over NIS2-verplichtingen voor het MKB.
Aantonen
Met vastgelegde afspraken die je ook naleeft. Een auditor of een klant vraagt naar:
Of je maatregelen ook werken, toets je met een security scan of pentest. Heb je een ISO 27001-certificaat of werk je ernaartoe, dan ligt een groot deel van dit werk er al.
Gemiddeld duurt het invoeren van de NIS2-maatregelen zes maanden. Wij werken in zes stappen:
Wil je daarna iemand die het bijhoudt, dan kan dat met onze CISO as a Service.
Doe de NIS2 Quickscan en krijg direct inzicht in waar je staat. Samen met onze partner hebben we een handige online tool ontwikkeld die je in enkele minuten doorloopt.
Bestuur
Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. De wet vraagt ook dat bestuurders genoeg kennis hebben om risico’s en maatregelen te beoordelen. Het werk kun je uitbesteden. De verantwoordelijkheid blijft bij de directie.
De maximale boete onder de Cyberbeveiligingswet is 10 miljoen euro of 2% van de wereldwijde jaaromzet.
In onze NIS2-directietraining leer je als bestuurder welke vragen je stelt en welke besluiten bij jou liggen.
Sinds 15 augustus 2026. Op die dag trad de Cyberbeveiligingswet in werking, de Nederlandse invulling van de Europese NIS2-richtlijn.
Direct meestal niet. Lever je aan een organisatie die er wel onder valt, dan kan die klant eisen stellen aan jouw beveiliging en dat controleren.
Gemiddeld zes maanden. Hoe lang het bij jou duurt, hangt af van wat er al ligt: een organisatie met een ISO 27001-certificaat is sneller klaar dan een organisatie die bij nul begint.
Minimaal tien, onder meer een risicoanalyse, een plan voor als er iets misgaat, toegangsbeheer, multifactorauthenticatie, beveiliging van leveranciers, encryptie, training van medewerkers en systemen die actueel blijven. Hoe je ze invult, hangt af van de omvang en de risico’s van je organisatie.
Binnen 24 uur bij een ernstig incident, via het meldportaal van het NCSC. Dat is een eerste waarschuwing. Binnen 72 uur volgt de eigenlijke melding en binnen een maand een eindverslag.
Nee, de wet schrijft geen certificering voor. ISO 27001 is wel een gangbare manier om de zorgplicht in te vullen, en met een certificaat laat je een klant of toezichthouder zien hoe je dat hebt gedaan.
Ja, als je direct onder de wet valt. Je meldt je aan via het NCSC-portaal op mijn.ncsc.nl. Dat is de eerste formele stap.
Wil je weten waar je organisatie staat? Wij doen een gratis NIS2-nulmeting voor MKB-bedrijven. Je krijgt een eerlijk beeld van wat je al doet, wat er ontbreekt en wat voorrang heeft.
