NIS2 / Cyberbeveiligingswet: checklist en advies

Laatst bijgewerkt: 18 oktober 2026 · Redactie IT-Checklist · Alle wijzigingen

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet is sinds 15 augustus 2026 van kracht en geldt voor middelgrote en grote organisaties in 18 aangewezen sectoren. Via de keten raakt hij ook veel kleinere bedrijven die aan zulke organisaties leveren.

Dit thema helpt je bepalen of de wet voor jou geldt. En zo ja, of de belangrijkste verplichtingen geregeld zijn.

Kijk waar jouw bedrijf staat op nis2 / cyberbeveiligingswet

De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.

Start de IT-check →

Waarom dit ertoe doet

Organisaties die onder de wet vallen, moeten zich registreren bij het NCSC via mijn.ncsc.nl. Daar zit geen overgangstermijn op.

Een significant incident meld je snel bij het CSIRT en de toezichthouder. Eerst een waarschuwing binnen 24 uur, dan een melding binnen 72 uur en een eindrapport binnen een maand. Zonder voorbereide procedure haal je dat bijna niet in de chaos van een incident.

Bestuurders zijn persoonlijk verantwoordelijk voor het goedkeuren van de maatregelen en het toezicht erop. Ze moeten ook een passende training volgen.

De 5 vragen in dit thema, met advies

Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.

Wij hebben gecontroleerd of de NIS2-richtlijn (in Nederland: de Cyberbeveiligingswet) op ons bedrijf van toepassing is — ook als toeleverancier van een groter bedrijf.
Eerst regelen
De Cyberbeveiligingswet geldt voor 'essentiële' en 'belangrijke' entiteiten in 18 aangewezen sectoren (o.a. energie, transport, zorg, digitale diensten, maakindustrie) en raakt via ketenbeveiliging ook kleinere toeleveranciers. Doe de zelfevaluatie via ncsc.nl of vraag advies.
Wij hebben onze organisatie geregistreerd bij het NCSC via mijn.ncsc.nl, als de Cyberbeveiligingswet (NIS2) op ons van toepassing is.
Belangrijk
De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht. Essentiële en belangrijke entiteiten zijn wettelijk verplicht zich te registreren in het entiteitenregister van het NCSC; doe dit ook als je twijfelt of de wet op je van toepassing is, dan weet je het zeker.
Wij hebben de basismaatregelen uit de NIS2-zorgplicht geregeld: risicoanalyse, incidentprocedures en beveiliging van de leveranciersketen.
Eerst regelen
Begin met een risicoanalyse: wat zijn je belangrijkste systemen en data, wat kan er misgaan en welke maatregelen horen daarbij? Leg incidentprocedures en afspraken met leveranciers vast.
Wij weten dat ernstige incidenten onder de Cyberbeveiligingswet snel gemeld moeten worden bij het NCSC (binnen 24 uur een vroege waarschuwing, binnen 72 uur een melding, en uiterlijk na één maand een eindverslag).
Belangrijk
Zet de meldtermijnen en het meldloket (het NCSC, naast de Autoriteit Persoonsgegevens voor datalekken) in je incidentplan, zodat je bij een incident niet hoeft te zoeken.
De directie is aantoonbaar betrokken bij informatiebeveiliging en draagt daarvoor de eindverantwoordelijkheid (een verplichting onder de Cyberbeveiligingswet).
Belangrijk
De Cyberbeveiligingswet legt de verantwoordelijkheid expliciet bij het bestuur, inclusief persoonlijke aansprakelijkheid bij ernstige nalatigheid. Zet informatiebeveiliging periodiek op de directie-agenda en leg besluiten vast.
Geldt voor: mkb, bv

Hier begin je

Doe de zelfevaluatie van het NCSC. Dan weet je of je een essentiële of belangrijke entiteit bent, of alleen indirect via de keten met de wet te maken krijgt.
Registreer je organisatie via mijn.ncsc.nl als de wet voor je geldt.
Leg de meldprocedure vast. Wie beoordeelt of een incident significant is, wie meldt het en via welk kanaal?
Plan een cybersecuritytraining voor de directie en bewaar het bewijs dat ze eraan meededen.

Veelgemaakte fouten

Denken dat de wet niet voor je geldt omdat je onder de omvangsgrenzen zit, terwijl een grote klant in het contract dezelfde maatregelen van je eist.
De verantwoordelijkheid helemaal bij de IT-partner leggen. De wet legt die bij het bestuur.
Met de risicoanalyse wachten tot de toezichthouder aanklopt.

Officiële bronnen

Lees verder

Alle thema's in de checklist

NIS2 / Cyberbeveiligingswet: checklist en advies

Waarom dit ertoe doet

De 5 vragen in dit thema, met advies

Wij hebben gecontroleerd of de NIS2-richtlijn (in Nederland: de Cyberbeveiligingswet) op ons bedrijf van toepassing is — ook als toeleverancier van een groter bedrijf.

Wij hebben onze organisatie geregistreerd bij het NCSC via mijn.ncsc.nl, als de Cyberbeveiligingswet (NIS2) op ons van toepassing is.

Wij hebben de basismaatregelen uit de NIS2-zorgplicht geregeld: risicoanalyse, incidentprocedures en beveiliging van de leveranciersketen.

Wij weten dat ernstige incidenten onder de Cyberbeveiligingswet snel gemeld moeten worden bij het NCSC (binnen 24 uur een vroege waarschuwing, binnen 72 uur een melding, en uiterlijk na één maand een eindverslag).

De directie is aantoonbaar betrokken bij informatiebeveiliging en draagt daarvoor de eindverantwoordelijkheid (een verplichting onder de Cyberbeveiligingswet).

Hier begin je

Veelgemaakte fouten

Officiële bronnen

Lees verder