Wat is NIS2?
NIS2 is de Europese richtlijn voor cyberbeveiliging. Nederland heeft die uitgewerkt in de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 geldt voor ruim 8.000 organisaties in achttien sectoren.
Val je eronder, dan registreer je je organisatie bij het NCSC, neem je maatregelen in tien categorieën en meld je een significant incident binnen 24 uur. De boete loopt op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Andere namen | NIS2-richtlijn, Cyberbeveiligingswet, Cbw, NIS2-wetgeving |
| In werking | 15 augustus 2026, zonder algemene overgangstermijn |
| Geldt voor | Ruim 8.000 organisaties in 18 sectoren |
| Ondergrens | 50 medewerkers, of een omzet en balanstotaal boven 10 miljoen euro |
| Plichten | Registratieplicht, zorgplicht en meldplicht |
| Meldtermijnen | 24 uur, 72 uur en een maand |
| Maximale boete | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet |
| Toezicht | RDI, ILT, IGJ, DNB, AFM, NVWA of ANVS, afhankelijk van de sector |
Op deze pagina: NIS2 of Cyberbeveiligingswet · voor wie · verplichtingen · zorgplicht · stappenplan · meldplicht · bestuur · toezicht en boetes · AVG, ISO 27001 en DORA · leveranciers en mkb · veelgestelde vragen
NIS2 of Cyberbeveiligingswet: het verschil
NIS2 staat voor Network and Information Security, tweede versie. De richtlijn trad op 16 januari 2023 in werking als opvolger van de eerste NIS-richtlijn uit 2016. Een Europese richtlijn werkt via nationale wetgeving: elk EU-land zet de regels om in een eigen wet.
In Nederland is dat de Cyberbeveiligingswet. De Eerste Kamer nam de wet op 7 juli 2026 aan en op 15 augustus 2026 trad hij in werking. Op dezelfde dag verviel de Wet beveiliging netwerk- en informatiesystemen (Wbni) uit 2018. Wie in Nederland over NIS2 of NIS2-wetgeving spreekt, bedoelt de verplichtingen uit de Cbw.
| NIS2-richtlijn | Cyberbeveiligingswet | Cyberbeveiligingsbesluit | |
|---|---|---|---|
| Soort regel | Europese richtlijn | Nederlandse wet | Algemene maatregel van bestuur |
| Vindplaats | Richtlijn (EU) 2022/2555 | Staatsblad 2026, 187 | Staatsblad 2026, 189 |
| Regelt | De minimumeisen voor alle EU-landen | Wie eronder valt, de drie plichten, het toezicht en de boetes | De uitwerking van de zorgplicht |
| Bindend voor | De lidstaten | Organisaties in de achttien sectoren | Dezelfde organisaties |
Daarnaast stelt elk ministerie voor zijn sectoren een ministeriële regeling op, onder meer met de drempelwaarden voor het melden van incidenten. Nederland haalde de Europese omzettingsdatum van 17 oktober 2024 niet. Een algemene overgangstermijn kent de wet niet: registratie, zorgplicht en meldplicht gelden sinds de eerste dag.
Voor wie geldt NIS2?
Twee vragen bepalen of de Cyberbeveiligingswet voor jouw organisatie geldt: hoort ze bij een van de achttien sectoren en is ze groot genoeg? De overheid wijst organisaties daarbij niet aan. Je toetst het zelf, bijvoorbeeld met de NIS2-zelfevaluatie van de RDI.
De achttien sectoren
De wet verdeelt de sectoren over twee bijlagen. Welke soorten organisaties per sector meetellen, met acht uitgewerkte voorbeelden, lees je bij NIS2: voor wie geldt het.
| Bijlage 1 (11 sectoren) | Energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart |
| Bijlage 2 (7 sectoren) | Post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging (onder meer medische hulpmiddelen, elektronica, machines en voertuigen), digitale aanbieders en onderzoek |
De omvang: essentiële of belangrijke entiteit
De ondergrens ligt bij 50 medewerkers, of bij een jaaromzet en een balanstotaal die allebei boven 10 miljoen euro liggen. Partner- en verbonden ondernemingen, zoals een moederbedrijf of dochters, tellen mee. Binnen de wet bestaan twee categorieën.
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Omvang | 250 medewerkers of meer, of een omzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro | 50 medewerkers of meer, of een omzet en balanstotaal boven 10 miljoen euro |
| Sector | Bijlage 1 | Bijlage 1 voor middelgrote organisaties, bijlage 2 voor middelgrote en grote |
| Plichten | Registratie, zorgplicht en meldplicht | Dezelfde drie plichten |
| Toezicht | Vooraf en achteraf, ook zonder aanleiding | Achteraf, meestal na een incident of signaal |
| Maximale boete | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet | 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet |
Voor een aantal organisaties geldt geen omvangseis. DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en overheidsorganisaties vallen altijd onder de wet. Dat geldt ook voor organisaties die zijn aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke).
Buiten de Cbw blijven onder meer het ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s. Werk je met vestigingen in meerdere EU-landen, dan helpt de handreiking Complexe bedrijfsmodellen van het NCSC bepalen welke nationale wet voor je geldt.
Wat vraagt de Cyberbeveiligingswet van je organisatie?
De wet legt drie plichten op en regelt daarnaast de rol van het bestuur, de keten en het bewijs.
Je meldt je organisatie aan in het nationaal entiteitenregister op MijnNCSC. Inloggen gaat met eHerkenning op niveau EH2+ of met SSOnRijk. Wijzigingen geef je binnen 14 dagen door.
De goedkeuring van de maatregelen en het toezicht op de uitvoering liggen bij het bestuur. Bestuurders volgen binnen twee jaar een opleiding in cyberbeveiliging.
Je maakt een risicoanalyse en neemt maatregelen die passen bij je risico’s. Artikel 21 noemt tien onderwerpen, waaronder incidentafhandeling, back-ups en multifactorauthenticatie.
Je beoordeelt de beveiliging van je rechtstreekse leveranciers en dienstverleners. Zo werken de eisen door naar bedrijven die zelf buiten de wet vallen.
Een significant incident meld je binnen 24 uur via MijnNCSC. Binnen 72 uur volgt de melding met een eerste beoordeling, binnen een maand het eindverslag.
Tijdens een inspectie vraagt de toezichthouder hoe je risicoanalyse tot stand kwam en kan hij bewijs opvragen. Leg keuzes, besluiten en controles daarom vast.
De zorgplicht: tien maatregelen uit artikel 21
De zorgplicht vraagt om passende en evenredige maatregelen voor de beveiliging van je netwerk- en informatiesystemen. Wat passend is, volgt uit je eigen risicoanalyse. Een regionaal vervoersbedrijf loopt andere risico’s dan een datacenter. Artikel 21 noemt tien onderwerpen waarvoor je in elk geval beleid en maatregelen hebt.
- Risicoanalyse en beveiligingsbeleid. Begin hier: de analyse laat zien welke risico’s het zwaarst wegen. Lees hoe een risicoanalyse informatiebeveiliging is opgebouwd en hoe een cyber risico analyse de schade in euro’s uitdrukt.
- Incidentafhandeling. Leg in een incident response plan vast wie wat doet bij een aanval en regel vooraf hulp van een partij voor incident response.
- Bedrijfscontinuïteit. Back-upbeheer, herstelplannen en crisisbeheer. Een back-up strategie met geteste hersteltijden hoort hierbij.
- Toeleveringsketen. Afspraken over beveiliging met je rechtstreekse leveranciers en dienstverleners.
- Aankoop, ontwikkeling en onderhoud van systemen. Met patchbeleid en een contactpunt waar onderzoekers een kwetsbaarheid melden. Zie vulnerability management.
- Effectiviteit van maatregelen. Toets periodiek, bijvoorbeeld jaarlijks, of je maatregelen werken met een cybersecurity audit of een pentest.
- Cyberhygiëne en opleiding. Basisafspraken voor alle medewerkers, ondersteund met security awareness training en een phishing simulatie.
- Cryptografie. Beleid voor het versleutelen van opgeslagen gegevens en van verbindingen.
- Personeel, toegang en assets. Weet welke systemen en gegevens je hebt, geef per functie de toegang die voor het werk nodig is en bepaal voor welke functies je screent.
- Multifactorauthenticatie en beveiligde communicatie. Het NCSC raadt passkeys aan, met multifactorauthenticatie op plekken waar nog wachtwoorden nodig zijn. Meer daarover in het artikel over wachtwoordbeleid.
Het Cyberbeveiligingsbesluit werkt deze onderwerpen verder uit. De wet schrijft daarbij geen norm of certificaat voor: je legt zelf vast welke maatregelen je neemt en waarom. Alle punten om af te vinken, met per punt het bewijs dat je bewaart, staan in de NIS2 checklist.
In vier stappen aan de slag met NIS2
Toets of je onder de wet valt
Loop de achttien sectoren en de omvangscriteria na met de NIS2-zelfevaluatie van de RDI. Tel moeder- en dochterbedrijven mee.
Registreer je bij het NCSC
Verzamel vooraf organisatie-, contact- en netwerkgegevens, zoals IP-reeksen en domeinnamen. De aanvraag van eHerkenning kan een paar dagen duren.
Leg de risicoanalyse vast
De analyse van dreigingen, systemen en gevolgen bepaalt welke maatregelen passend zijn en waarom je andere achterwege laat.
Richt het meldproces in
Een termijn van 24 uur vraagt om een piketrol, een besluitboom voor significante incidenten en een oefening voordat je het proces nodig hebt.
Bewaar van elke stap het bewijs: beleidsstukken, logging, hersteltests van back-ups, leverancierscontracten en trainingsregistraties.
De meldplicht: 24 uur, 72 uur en een maand
De meldplicht geldt voor significante incidenten. Dat zijn incidenten die je dienstverlening ernstig verstoren, financiële schade veroorzaken of grote schade bij andere organisaties kunnen aanrichten. De drempelwaarden verschillen per sector en staan in de ministeriële regelingen. De termijnen tellen vanaf het moment dat je van het incident weet.
| Stap | Uiterste termijn | Wat je doorgeeft |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur | Of het incident vermoedelijk kwaadwillig is, of er gevolgen over de grens zijn en wie je contactpersoon is |
| Melding | Binnen 72 uur | Een bijgewerkte waarschuwing, een eerste beoordeling van ernst en gevolgen en de indicatoren van aantasting die je hebt |
| Eindverslag | Binnen een maand na de melding | Een beschrijving van het incident, de oorzaak en de maatregelen die je nam |
Je meldt één keer, via het centrale meldpunt op MijnNCSC. De melding gaat automatisch naar je sectorale CSIRT en naar de toezichthouder. Het CSIRT reageert binnen 24 uur op de vroegtijdige waarschuwing en geeft op verzoek advies of technische ondersteuning. Duurt een incident langer dan een maand, dan stuur je eerst een voortgangsverslag.
- Persoonsgegevens geraakt. Dan doe je daarnaast een datalekmelding bij de Autoriteit Persoonsgegevens.
- Vertrouwensdiensten. Verleners van vertrouwensdiensten doen ook de tweede melding binnen 24 uur.
- Eigen sectorregels. Onder een Europese sectorwet zoals DORA meld je mogelijk via de route van die wet, met kortere termijnen.
- Vrijwillig melden. Kleinere incidenten en bijna-incidenten mag je melden. Zo’n melding gaat naar het CSIRT, de toezichthouder ontvangt hem niet.
Wat de wet van het bestuur vraagt
De Cyberbeveiligingswet maakt cyberbeveiliging tot een bestuurstaak. Naast de CISO of securityspecialist is een bestuurder betrokken, als onderdeel van het risicomanagement van de hele organisatie.
- Goedkeuring. Het bestuur neemt het besluit over de maatregelen uit de zorgplicht.
- Toezicht op de uitvoering. Het bestuur volgt of de maatregelen worden uitgevoerd en werken.
- Opleiding. Uitvoerende bestuurders volgen binnen twee jaar na de inwerkingtreding een opleiding of training in cyberbeveiliging, dus uiterlijk op 15 augustus 2028. Telt het bestuur meerdere uitvoerende bestuurders, dan geldt dat voor ieder van hen.
Toezichtsmaatregelen richten zich op de organisatie en kunnen volgens de RDI ook individuele bestuurders raken. Leg daarom vast welke besluiten het bestuur nam en welke training elke bestuurder volgde.
Van wettekst naar maatregelen die je kunt aantonen
Securiguide zet de verplichtingen naast elkaar en legt uit welke keuzes je hebt. Zoek je begeleiding, dan vind je in het overzicht Nederlandse bureaus die NIS2-trajecten begeleiden.
Toezicht en boetes onder de Cyberbeveiligingswet
Het toezicht is per sector belegd. De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op duizenden organisaties uit negen sectoren. Je CSIRT, voor de meeste sectoren het NCSC, ondersteunt bij incidenten en houdt geen toezicht.
| Toezichthouder | Sectoren |
|---|---|
| RDI | Energie, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart, post- en koeriersdiensten, vervaardiging (behalve medische hulpmiddelen), digitale aanbieders en onderzoek |
| ILT | Vervoer, drinkwater, afvalwater, afvalstoffenbeheer en chemie |
| IGJ | Gezondheidszorg |
| DNB en AFM | Bankwezen en infrastructuur voor de financiële markt |
| NVWA | Levensmiddelen |
| ANVS | Nucleaire sector |
De volledige indeling per sector, met het CSIRT en het verantwoordelijke ministerie, staat in de doorverwijsboom van het NCSC.
Hoe verloopt een inspectie?
Bij essentiële entiteiten controleert de toezichthouder vooraf en achteraf, ook zonder aanleiding. Bij belangrijke entiteiten volgt toezicht achteraf. De RDI werkt met een eigen toezichtskader. Tijdens een inspectie vraagt de inspecteur hoe je de risicoanalyse hebt uitgevoerd en welke maatregelen daaruit volgden, en kan hij bewijs opvragen. De uitkomsten bespreekt de RDI met de organisatie.
Hoe hoog zijn de boetes?
| Categorie | Maximale boete |
|---|---|
| Essentiële entiteit | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet |
| Belangrijke entiteit | 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet |
Het hoogste van de twee bedragen geldt. Naast een boete kan de toezichthouder een last onder dwangsom opleggen, ook als een organisatie niet meewerkt aan een inspectie.
NIS2 naast AVG, ISO 27001, DORA en BIO2
De AVG beschermt persoonsgegevens en valt onder de Autoriteit Persoonsgegevens. De Cbw beschermt de continuïteit van netwerk- en informatiesystemen. Raakt een incident persoonsgegevens, dan doe je twee meldingen. Lees meer bij AVG en beveiliging en datalek.
Een certificaat volgens ISO 27001 dekt een groot deel van de tien maatregelen en levert bruikbaar bewijs op. Volgens de RDI betekent zo’n certificaat op zichzelf nog geen naleving van de zorgplicht: dat oordeel ligt bij de toezichthouder. Over NIS2-keurmerken uit de markt doet de RDI geen uitspraken. Welk bewijs wel helpt en wat ISO 27001 per onderwerp dekt, staat bij NIS2 certificering en audit.
Financiële entiteiten volgen voor hun ICT-risicobeheer en incidentmeldingen de Europese verordening DORA. Voor de overheid is de BIO2 de verplichte uitwerking van de zorgplicht, in belangrijke mate gebaseerd op ISO 27001 en 27002.
NIS2 voor leveranciers en mkb
Een bedrijf met minder dan 50 medewerkers valt meestal buiten de Cyberbeveiligingswet en krijgt er toch mee te maken. De zorgplicht van een Cbw-organisatie omvat de toeleveringsketen. Klanten die onder de wet vallen, leggen hun eisen daarom door in contracten, inkoopvoorwaarden, vragenlijsten en audits.
Het toezicht richt zich op de Cbw-organisatie zelf. Als leverancier buiten de wet heb je daardoor geen eigen relatie met de toezichthouder: jouw klant beoordeelt of je aan zijn eisen voldoet. Reken op vragen over deze punten:
- multifactorauthenticatie op e-mail, beheeraccounts en toegang op afstand;
- back-ups waarvan het herstel is getest;
- de termijn waarbinnen je beveiligingsupdates installeert;
- een incidentproces met een afgesproken meldtermijn richting de klant;
- bewijs, zoals een ISO 27001-certificaat of een auditrapport.
Met een quickscan informatiebeveiliging zie je in korte tijd waar je staat. Een roadmap cybersecurity zet de verbeterpunten daarna op volgorde. Kleine bedrijven kunnen bij het NCSC een subsidie tot 1.250 euro aanvragen voor beveiligingsmaatregelen.
Een NIS2-adviesbureau kiezen: vijf vragen
De verantwoordelijkheid voor naleving blijft bij het bestuur, ook als een bureau het traject begeleidt. Met deze vijf vragen vergelijk je offertes op inhoud.
- Welke ervaring hebben jullie in onze sector en met onze toezichthouder?
- Leveren jullie een gap-analyse tegen de tien maatregelen van artikel 21, met prioriteiten en een planning?
- Wie voert het werk uit en welke taken blijven bij onze eigen mensen?
- Welke bewijsstukken hebben we na afloop in handen voor een inspectie?
- Begeleiden jullie ook het bestuur, inclusief de opleiding voor bestuurders?
Een vergelijking van de Nederlandse bureaus die NIS2- en ISO 27001-trajecten begeleiden, staat bij adviesbureaus voor ISO 27001 en NIS2, elk met plaats en aanbod.
Verder lezen over NIS2 en compliance
Deze pagina’s gaan dieper in op de maatregelen en normen die bij de Cyberbeveiligingswet horen.
- Risicoanalyse informatiebeveiliging: de eerste maatregel van de zorgplicht, stap voor stap.
- Cyber risico analyse: wat een incident je organisatie in euro’s kost.
- ISO 27001: de norm voor een managementsysteem voor informatiebeveiliging.
- Cybersecurity audits: toetsen of maatregelen werken en aantoonbaar zijn.
- AVG en beveiliging: de eisen voor persoonsgegevens naast de Cbw.
- Datalek: melden bij de Autoriteit Persoonsgegevens binnen 72 uur.
- Security awareness training: opleiding van medewerkers als onderdeel van cyberhygiëne.
- Incident response: hulp bij een aanval en de voorbereiding daarop.
- BIV-classificatie: systemen indelen op beschikbaarheid, integriteit en vertrouwelijkheid.
- OT security: beveiliging van industriële systemen in energie, water en productie.
Veelgestelde vragen over NIS2
Wat betekent NIS2?
NIS staat voor Network and Information Security. De 2 geeft aan dat het de tweede versie is, de opvolger van de NIS-richtlijn uit 2016. In Nederland heet de uitwerking de Cyberbeveiligingswet, afgekort Cbw.
Is NIS2 al verplicht in Nederland?
Ja. De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Registratie, zorgplicht en meldplicht gelden vanaf die dag voor organisaties binnen de reikwijdte van de wet.
Hoe registreer ik mijn organisatie?
Registreren gaat in vijf stappen op MijnNCSC. Je logt in met eHerkenning op niveau EH2+ en vult organisatie-, contact- en netwerkgegevens in, zoals publieke IP-reeksen, domeinnamen en AS-nummers. Wijzigingen geef je binnen 14 dagen door.
Bestaat er een NIS2-certificaat?
Nee. De wet schrijft geen certificaat of keurmerk voor en de toezichthouder beoordeelt zelf of je de wet naleeft. Een ISO 27001-certificaat of een auditrapport helpt wel om je maatregelen te onderbouwen.
Geldt NIS2 voor gemeenten?
Ja. Overheidsorganisaties vallen ongeacht hun omvang onder de wet. Voor gemeenten, provincies en ministeries is de RDI de toezichthouder en geldt de BIO2 als verplicht normenkader.
Bronnen
- Europese Unie, Richtlijn (EU) 2022/2555 (NIS2), 14 december 2022.
- Cyberbeveiligingswet, Staatsblad 2026, 187.
- Cyberbeveiligingsbesluit, Staatsblad 2026, 189.
- NCSC, Cyberbeveiligingswet (NIS2). Geraadpleegd op 5 oktober 2026.
- NCSC, Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)? Geraadpleegd op 5 oktober 2026.
- NCSC, Registreer jouw organisatie voor de Cyberbeveiligingswet. Geraadpleegd op 5 oktober 2026.
- NCSC, Zorgplicht. Geraadpleegd op 5 oktober 2026.
- NCSC, Meld incidenten onder de Cyberbeveiligingswet (meldplicht). Geraadpleegd op 5 oktober 2026.
- NCSC, Toezicht op de Cyberbeveiligingswet (NIS2): hoe zit dat? Met de doorverwijsboom van 18 augustus 2026.
- NCSC, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht, 15 augustus 2026.
- NCTV, Veelgestelde vragen Cyberbeveiligingswet, bijgewerkt op 18 augustus 2026.
- RDI, Veelgestelde vragen (FAQ) Cyberbeveiligingswet, bijgewerkt op 14 september 2026.
- RDI, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht, 7 juli 2026.
- Data voor gezondheid, Cyberbeveiligingswet, met veelgestelde vragen. Geraadpleegd op 5 oktober 2026.
- NBIP, Cyberbeveiligingswet per 15 augustus 2026 van kracht, juli 2026.