De Cyberbeveiligingswet geldt. Ben je aantoonbaar in control?

Dat hangt af van je sector en omvang. NIS2 geldt voor 18 sectoren, van energie en transport tot ICT-dienstverlening en maakindustrie. Belangrijke entiteit vanaf 50+ medewerkers of 10M+ omzet; essentiele entiteit vanaf 250+ medewerkers of 50M+ omzet binnen Bijlage I. Sommige typen organisaties (DNS, TLD, telecom, vertrouwensdiensten, centrale overheid) vallen er ongeacht omvang onder. De RDI biedt een officiele zelfevaluatietool op zelfevaluatie.rdi.nl; onze quickscan geeft in 2 dagen uitsluitsel.

Ja. Op 29 april 2025 heeft minister Bruins (OCW) per kamerbrief besloten dat bekostigde hbo- en wo-instellingen onder de Cyberbeveiligingswet vallen. De EU-richtlijn biedt lidstaten de keuze om onderwijs wel of niet op te nemen; Nederland heeft hiervoor gekozen vanwege het toenemende aantal cyberaanvallen op universiteiten (ransomware, bedrijfsspionage en statelijke actoren gericht op onderzoek). MBO-instellingen vallen er (nog) niet onder. Universiteiten van Nederland (UNL) en de Vereniging Hogescholen hebben bezwaar aangetekend vanwege het ontbreken van compensatie en de korte voorbereidingstijd.

Essentiele entiteiten: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten: tot 7 miljoen of 1,4%. Daarnaast kan de toezichthouder maatregelen opleggen en zijn bestuurders persoonlijk aansprakelijk bij nalatigheid.

NIS2 is wetgeving, ISO 27001 is een certificeringsnorm. De overlap is circa 70%. Het verschil zit in NIS2-specifieke eisen zoals incidentmelding binnen 24 uur, ketenverantwoordelijkheid en bestuurdersaansprakelijkheid. Wij combineren beide in een traject.

Nu. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden, zonder overgangs- of gedoogperiode: registratieplicht, zorgplicht en meldplicht gelden sindsdien onverkort. Een uitzondering geldt voor de opleidingsplicht van uitvoerende bestuurders, die tot 15 augustus 2028 de tijd hebben om hun kennis aantoonbaar op peil te brengen. Ben je nog niet gestart, dan is de realistische doorlooptijd 6 tot 12 maanden. Begin met de registratie en de scopebepaling: dat is het onderdeel dat direct handhaafbaar is.

Verschillend per regeling, en dat onderscheid bepaalt wat je moet doen. DORA (sinds 17 januari 2025) is lex specialis voor financiele entiteiten: voor ICT-risicobeheer, incidentrapportage, testen en leveranciersbeheer gaat DORA voor op de CBW, met DNB en de AFM als toezichthouder. De AVG loopt ernaast: een incident met persoonsgegevens vraagt zowel een CBW-melding bij het CSIRT (24 uur) als een datalekmelding bij de Autoriteit Persoonsgegevens (72 uur), en de een vervangt de ander niet. De Cyber Resilience Act (meldplicht vanaf 11 september 2026) en de Machineverordening (vanaf 20 januari 2027) reguleren je product in plaats van je organisatie en zijn vooral relevant voor de maakindustrie. Meer hierover op de pagina over de Cyberbeveiligingswet.

Ja, en dat raden we aan. De overlap is groot. Met een gecombineerd traject voldoe je aan NIS2 en heb je tegelijk een certificeerbaar ISMS. Bespaart tijd, geld en dubbel werk.

Een quickscan (1-2 dagen, max 2.000 euro) geeft een helder beeld. Op basis daarvan maken we een projectvoorstel met vaste prijs. Heb je al een ISO 27001 ISMS? Dan is het traject aanzienlijk korter.

De Cyberbeveiligingswet (CBW) is de Nederlandse omzetting van de Europese NIS2-richtlijn. Het wetsvoorstel (36764) is op 2 juni 2025 ingediend bij de Tweede Kamer, op 15 april 2026 aangenomen door de Tweede Kamer en op 7 juli 2026 door de Eerste Kamer. De wet is op 15 augustus 2026 in werking getreden, samen met het Cyberbeveiligingsbesluit (Stb. 2026, 189) dat de zorgplicht, de registratie, de meldingen en de kennisniveaus voor bestuurders uitwerkt. De CBW vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en raakt ruim 8.000 organisaties. Toezicht ligt bij de RDI en sectorale toezichthouders; incidentmeldingen gaan naar het NCSC als nationaal CSIRT.

Registratie loopt via het entiteitenregister op mijn.ncsc.nl, met eHerkenning van minimaal niveau 3 (rijksorganisaties gebruiken SSOnRijk). Je legt onder meer vast: naam en adres, sector, de EU-lidstaten waar je diensten levert, actuele contactgegevens en waar van toepassing IP-reeksen. Wijzigingen zoals een fusie of een gewijzigde IP-reeks moet je binnen twee weken doorgeven. Registreren is een wettelijke plicht en is direct handhaafbaar: niet of onjuist registreren kan leiden tot een boete of een last onder dwangsom.

Ja. Uitvoerende bestuurders van essentiele en belangrijke entiteiten moeten voldoende kennis en vaardigheden hebben om cyberrisico's te begrijpen en te beoordelen, en die kennis aantoonbaar actueel houden. Hiervoor geldt een termijn van twee jaar na inwerkingtreding, dus uiterlijk 15 augustus 2028 (of twee jaar na aantreden). Het Cyberbeveiligingsbesluit stelt de eisen aan de training; na afronding volgt een certificaat waarop staat welke onderwerpen zijn behandeld. Het gaat om strategische kennis, geen technische verdieping. De verplichting geldt voor uitvoerende bestuurders, niet voor commissarissen of toezichthoudende bestuurders.

De wettelijke bevoegdheden gelden vanaf 15 augustus 2026, zonder gedoogperiode. In de praktijk gebruikt de RDI de eerste toezichtperiode vooral om de sectoren te leren kennen: brieven, kennismakingsgesprekken, vragenlijsten en sectorpresentaties. Dat verandert niets aan de juridische positie. De registratieplicht is het meest direct handhaafbare onderdeel, en bij een significant incident wordt de meldplicht meteen relevant. Rekenen op coulance is dus geen strategie die standhoudt.

Ja. Onze quickscan is een formele audit tegen de NIS2-vereisten op basis van het CyFun-framework. We toetsen de technische, organisatorische en governance-maatregelen tegen de eisen van de Cyberbeveiligingswet. Het resultaat is een auditrapport met gap-analyse, risicoclassificatie en concrete aanbevelingen. Dit is geen certificeringsaudit (dat vereist een geaccrediteerde instelling), maar een professionele compliance-toets die bruikbaar is als voorbereiding op externe audits en interne besluitvorming.

NIS2 Consultancy is een handelsnaam van Hollanders Diensten en Consultancy. Wij zijn gespecialiseerd in informatiebeveiliging en governance, met expertise in ISO 27001, NIS2, SOC2 en DORA. Pragmatisch en gericht op werkbare oplossingen die standhouden bij toezicht.