NIS2 geldt voor organisaties in achttien sectoren met minimaal 50 medewerkers, of een jaaromzet en balanstotaal die allebei boven 10 miljoen euro liggen. In Nederland staan de regels in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. Telecomaanbieders, DNS-dienstverleners, verleners van vertrouwensdiensten en overheden vallen er ongeacht hun omvang onder.
Naar schatting gaat het om 8.000 tot 10.000 Nederlandse organisaties. Op 14 augustus 2026 had minder dan de helft zich geregistreerd bij het NCSC.
Door Redactie Securiguide. Laatst gecontroleerd op 12 oktober 2026.
Op deze pagina: vier stappen · de achttien sectoren · omvang berekenen · zonder ondergrens · acht voorbeelden · buiten de wet · eerste stappen · veelgestelde vragen
In vier stappen bepalen of NIS2 voor jou geldt
De meeste organisaties krijgen geen bericht van de overheid. Je stelt zelf vast of de Cyberbeveiligingswet van toepassing is. Leg die afweging vast, zodat je hem kunt laten zien als de toezichthouder ernaar vraagt.
- Zoek je activiteit op in bijlage 1 en 2. Het gaat om wat je organisatie doet. Een softwarebedrijf dat ook servers en netwerken van klanten beheert, valt onder beheer van ICT-diensten.
- Bereken je omvang. Tel de medewerkers in fte en kijk naar jaaromzet en balanstotaal. Hoor je bij een groep, dan tellen de cijfers van verbonden ondernemingen mee.
- Controleer de uitzonderingen. Voor telecom, DNS, vertrouwensdiensten, topleveldomeinen en overheid geldt geen ondergrens. Een aantal overheidsdiensten valt juist buiten de wet.
- Bepaal je categorie. Een essentiële entiteit krijgt toezicht vooraf en achteraf, een belangrijke entiteit alleen achteraf. Registratie, zorgplicht en meldplicht gelden voor beide.
De NIS2-zelfevaluatie van de overheid loopt dezelfde stappen door. Aan het einde zie je ook of je organisatie onder Nederlands toezicht valt of onder dat van een ander EU-land.
De achttien sectoren en welke organisaties meetellen
Per sector noemt de wet de soorten organisaties die meetellen. Een adviesbureau voor energiebesparing hoort bij de energiebranche, het staat als soort organisatie niet in de lijst en valt er dus buiten.
Bijlage 1: sectoren met een hoge kriticiteit
Bijlage 2: andere kritieke sectoren
Vervoer over de weg telt alleen wegbeheerders en exploitanten van intelligente vervoerssystemen. Een transportbedrijf met vrachtwagens valt daardoor buiten de wet, tenzij het pakketten bezorgt en zo onder post- en koeriersdiensten valt.
Banken en infrastructuur voor de financiële markt volgen voor hun digitale weerbaarheid DORA. Die Europese verordening vervangt voor hen de zorgplicht en meldplicht uit de Cbw. Bij energie, drinkwater, afvalwater en vervaardiging gaat de zorgplicht ook over de systemen die installaties aansturen. Lees daarover meer bij OT security.
Omvang berekenen: medewerkers, omzet en balanstotaal
De grenzen komen uit de Europese mkb-definitie. Je organisatie is middelgroot zodra ze één van twee drempels haalt: 50 medewerkers in fte, of een jaaromzet en balanstotaal die allebei boven 10 miljoen euro liggen. Voor groot geldt hetzelfde met hogere bedragen.
Groepen, dochters en vestigingen in andere EU-landen
Hoort je organisatie bij een groep, dan tel je de medewerkers, omzet en balans van verbonden ondernemingen volledig mee. Dat zijn bedrijven waarin een meerderheid van de stemrechten of de zeggenschap ligt. Bij een belang van 25 tot 50 procent tel je naar rato mee. Een werkmaatschappij met 30 medewerkers binnen een concern van 400 medewerkers telt zo als groot.
Werk je vanuit meerdere EU-landen, dan bepaalt de vestiging welke nationale wet geldt. Voor onder meer cloudaanbieders, datacenters, managed service providers en online marktplaatsen telt het land van de hoofdvestiging. De handreiking Complexe bedrijfsmodellen van de NCTV werkt dit per situatie uit.
Organisaties die er zonder ondergrens onder vallen
Voor een aantal diensten geldt geen omvangseis, omdat uitval direct doorwerkt bij veel andere organisaties. Ook een bedrijf met vijf medewerkers valt dan onder de Cbw.
- aanbieders van openbare elektronische communicatienetwerken en -diensten, zoals internet- en telefonieproviders;
- verleners van vertrouwensdiensten, zoals elektronische handtekeningen en certificaten;
- registers voor topleveldomeinnamen en DNS-dienstverleners;
- overheidsinstanties: ministeries, zelfstandige bestuursorganen die als overheidsinstantie gelden, provincies, gemeenten, waterschappen en gemeenschappelijke regelingen;
- organisaties die zijn aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten.
Een minister kan daarnaast een klein bedrijf aanwijzen na een risicobeoordeling, bijvoorbeeld als het in Nederland de enige aanbieder is van een dienst die de samenleving nodig heeft. Die organisatie krijgt daarover bericht.
Uitzonderingen en open punten
Overheidsdiensten die vooral werken aan nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving vallen buiten de wet. Het gaat onder meer om het ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s.
Bekostigde hogescholen en universiteiten volgen later. Het ministerie van OCW werkt aan een regeling die hen aanwijst als belangrijke entiteit (stand 1 september 2026). Verleners van domeinnaamregistratiediensten staan niet in de bijlagen en hebben een beperkt deel van de plichten.
Acht voorbeelden: valt deze organisatie onder NIS2?
De voorbeelden volgen de vier stappen. Een andere activiteit of groepsstructuur kan de uitkomst veranderen.
Een fabriek uit bijlage 2 wordt nooit vanzelf een essentiële entiteit, hoe groot ze ook is. Dat gebeurt alleen als een minister haar aanwijst, bijvoorbeeld als kritieke entiteit.
Buiten de wet en toch met NIS2-eisen te maken
Valt je organisatie buiten de Cbw, dan krijg je er vaak via klanten mee te maken. De zorgplicht van een Cbw-organisatie omvat ook haar toeleveringsketen. Zij legt daarom eisen vast in contracten, vragenlijsten en audits. Welke eisen je kunt verwachten, staat bij NIS2 voor leveranciers en mkb.
Toets opnieuw zodra er iets verandert in je organisatie. Denk aan groei voorbij 50 medewerkers, een overname door een groter bedrijf of een nieuwe dienst, zoals het beheer van IT voor klanten.
Valt je organisatie eronder: de eerste vier stappen
De wet kent geen algemene overgangstermijn. Registratie, zorgplicht en meldplicht gelden sinds 15 augustus 2026.
- Registreer je organisatie op mijn.ncsc.nl. Je hebt onder meer het KvK-nummer en netwerkgegevens nodig. Met alles voorbereid duurt de registratie volgens het NCSC ongeveer tien minuten. Een wijziging geef je binnen twee weken door.
- Beleg het onderwerp bij het bestuur. De bestuurders geven akkoord op de maatregelen, zien toe op de uitvoering en volgen een training. Lees wat de wet van het bestuur vraagt.
- Maak een risicoanalyse en kies op basis daarvan de maatregelen uit de zorgplicht. Een risicoanalyse informatiebeveiliging is daarvoor het startpunt.
- Richt het meldproces in voor een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. De details staan bij de meldplicht.
Werk je al met ISO 27001, dan heb je een groot deel van de maatregelen al ingericht. Een adviesbureau kan in kaart brengen wat er voor de Cbw nog ontbreekt. Alle 24 punten om af te vinken staan in de NIS2 checklist.
Vergelijk adviesbureaus voor NIS2 en ISO 27001
In de gids van Securiguide staan Nederlandse bureaus die organisaties begeleiden bij de Cyberbeveiligingswet, met per bedrijf een profiel van diensten en specialisaties.
Veelgestelde vragen over wie onder NIS2 valt
Geldt NIS2 voor het mkb?
Kleine bedrijven met minder dan 50 medewerkers en een omzet of balanstotaal tot 10 miljoen euro vallen er in principe buiten. Uitzonderingen zijn telecom, DNS, vertrouwensdiensten en bedrijven die een minister aanwijst. Middelgrote bedrijven in een van de achttien sectoren vallen er wel onder.
Valt een zzp’er onder NIS2?
Meestal niet, want een zzp’er is een micro-onderneming. Dat verandert alleen als je een dienst levert zonder ondergrens, zoals DNS of een vertrouwensdienst. Opdrachtgevers die onder de wet vallen, kunnen je wel eisen opleggen.
Wie bepaalt of mijn organisatie onder de Cyberbeveiligingswet valt?
Dat doe je zelf. De wet geldt van rechtswege: past je organisatie in een sector en haalt ze de omvang, dan val je eronder. De toezichthouder kan achteraf toetsen of je die afweging juist hebt gemaakt.
Geldt NIS2 voor bedrijven buiten de EU?
Voor een deel van de digitale diensten wel. Cloudaanbieders, datacenters, managed service providers en digitale aanbieders zonder vestiging in de EU wijzen een vertegenwoordiger aan in een EU-land waar ze diensten leveren. Dat land houdt dan toezicht.
Bronnen
- NCTV, Welke organisaties vallen onder de Cyberbeveiligingswet?, bijgewerkt op 1 september 2026.
- Ondernemersplein (RVO), Meer bedrijven in kritieke sectoren hebben verplichtingen voor cyberbeveiliging (NIS2), geraadpleegd op 12 oktober 2026.
- Richtlijn (EU) 2022/2555, bijlagen I en II, 14 december 2022.
- Europese Commissie, Aanbeveling 2003/361/EG over de definitie van kleine, middelgrote en micro-ondernemingen, 6 mei 2003.
- NCTV, Handreiking complexe bedrijfsmodellen, 18 maart 2026.
- NCSC, Checklist Cbw-registratie, 2026.
- Binnenlands Bestuur, Meer dan helft organisaties nog niet geregistreerd voor cyberwet, augustus 2026, op basis van NCSC-cijfers via Computable.
- Securiguide, NIS2 en de Cyberbeveiligingswet.