Nieuwe Cyberbeveiligingswet van kracht: wat betekent NIS2 voor jouw organisatie?
Sinds 15 augustus 2026 geldt in Nederland de nieuwe Cyberbeveiligingswet.
Daarmee is de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving. Voor duizenden organisaties in kritieke en zeer kritieke sectoren gelden verplichtingen rond cybersecurity, risicobeheer, registratie en het melden van incidenten.
Maar ook organisaties die niet rechtstreeks onder de Cyberbeveiligingswet vallen, kunnen ermee te maken krijgen. Bedrijven die wel onder de wet vallen, moeten namelijk ook cyberrisico's binnen hun toeleveringsketen beheersen. Daardoor kunnen zij strengere beveiligingseisen stellen aan leveranciers en ICT-partners.
In dit artikel leggen we uit wat de nieuwe Cyberbeveiligingswet inhoudt, voor welke organisaties deze geldt en wat de belangrijkste NIS2-verplichtingen zijn. Ook lees je wat de wet concreet betekent voor MKB-bedrijven met 50 of meer medewerkers én voor kleinere organisaties.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse wet waarmee de Europese NIS2-richtlijn in Nederland is ingevoerd.
Het doel is om de digitale weerbaarheid van organisaties en daarmee de samenleving en economie te vergroten. De Cyberbeveiligingswet vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen (Wbni).
De wet is op 15 augustus 2026 in werking getreden. Organisaties die onder de wet vallen moeten onder andere cyberrisico's analyseren, passende beveiligingsmaatregelen nemen en significante incidenten melden. Ook geldt een registratieplicht.
Cybersecurity is daarmee nadrukkelijk niet alleen een technisch vraagstuk. Het wordt steeds meer onderdeel van het risicomanagement van de hele organisatie.
Voor welke organisaties geldt de Cyberbeveiligingswet?
Of jouw organisatie onder de Cyberbeveiligingswet valt, hangt onder andere af van de sector waarin je actief bent, het type dienstverlening en de omvang van de organisatie.
De wet richt zich op achttien kritieke en zeer kritieke sectoren. Daaronder vallen onder andere gezondheidszorg, energie, vervoer, digitale infrastructuur, beheer van ICT-diensten, overheid, levensmiddelen, onderzoek en bepaalde vormen van vervaardiging.
Dat maakt de wet relevant voor verschillende sectoren waarin Gflex actief is.
Zo kunnen zorgorganisaties rechtstreeks onder de wet vallen. Hetzelfde geldt voor bepaalde organisaties binnen de levensmiddelenindustrie en ICT-dienstverlening.
Voor veel organisaties vormt de omvang vervolgens een belangrijke tweede toets.
Cyberbeveiligingswet voor de zorg en food industrie
Voor organisaties in de zorg maakt de nieuwe wet digitale weerbaarheid extra belangrijk. Lees meer over ICT voor de zorg en de technische ondersteuning die Gflex biedt.
Ook organisaties in de productie, verwerking en distributie van levensmiddelen kunnen met NIS2 te maken krijgen. Bekijk hoe Gflex ondersteunt met ICT voor de foodsector.
Wat betekent de Cyberbeveiligingswet voor MKB-bedrijven met +50 medewerkers?
Heb je 50 of meer medewerkers? Dan is het verstandig om te controleren of jouw organisatie onder de Cyberbeveiligingswet valt.
Alleen het aantal medewerkers bepaalt dit niet. Ook de sector, omzet, het balanstotaal en het type dienstverlening spelen een rol.
Als belangrijke omvangscriteria noemt het NCSC 50 of meer medewerkers óf een jaaromzet of balanstotaal van meer dan 10 miljoen euro. Daarnaast bestaan uitzonderingen waarbij organisaties ongeacht hun omvang onder de wet kunnen vallen.
Valt jouw organisatie binnen een aangewezen sector en voldoe je aan de criteria? Dan kun je rechtstreeks te maken krijgen met verplichtingen rond registratie, risicobeheer, beveiligingsmaatregelen en het melden van significante cyberincidenten.
Voor MKB-organisaties met 50 of meer medewerkers zijn daarom drie vragen belangrijk:
- Valt onze organisatie daadwerkelijk onder de Cyberbeveiligingswet?
- Hebben we onze cyberrisico's voldoende in beeld?
- Kunnen we aantonen welke beveiligingsmaatregelen we hebben genomen?
Bij twijfel kun je via het NCSC en de officiële NIS2-zelfevaluatie controleren of jouw organisatie onder de Cyberbeveiligingswet valt.
Wat betekent de nieuwe Cyberbeveiligingswet voor bedrijven met minder dan 50 medewerkers?
Heb je minder dan 50 medewerkers? Dan betekent dit niet automatisch dat de Cyberbeveiligingswet niet relevant is voor jouw organisatie.
Kleine organisaties vallen op basis van hun omvang meestal niet rechtstreeks onder de wet. Er zijn echter uitzonderingen waarbij organisaties ongeacht hun omvang onder de Cyberbeveiligingswet kunnen vallen.
Daarnaast kun je indirect met NIS2 te maken krijgen.
Organisaties die onder de Cyberbeveiligingswet vallen moeten namelijk ook aandacht besteden aan de beveiliging van hun toeleveringsketen. Een klant kan daardoor eisen stellen aan de digitale veiligheid van leveranciers en dienstverleners.
Lever je bijvoorbeeld producten of diensten aan een zorginstelling, foodproducent of andere organisatie die onder de Cyberbeveiligingswet valt? Dan kan die klant vragen stellen over jouw cybersecurity, toegangsbeheer, incidentmanagement en informatiebeveiliging.
Voor kleinere MKB-bedrijven is NIS2 daarom niet alleen een vraag over wettelijke verplichtingen. Het kan ook via klanten en ketenpartners relevant worden.
Ook als leverancier kun je met NIS2 te maken krijgen
De beveiliging van de toeleveringsketen vormt een belangrijk onderdeel van de Cyberbeveiligingswet.
Een organisatie die onder de wet valt, moet ook kijken naar cyberrisico's binnen de directe keten van leveranciers en dienstverleners. Dat is vooral relevant wanneer een leverancier toegang heeft tot netwerk- of informatiesystemen, ICT-componenten levert of op een andere manier een cyberrisico kan vormen.
Denk bijvoorbeeld aan:
- ICT-dienstverleners
- softwareleveranciers
- cloudproviders
- netwerkbeheerders
- leveranciers met toegang tot bedrijfssystemen
Een organisatie kan deze leveranciers vragen welke beveiligingsmaatregelen zij hebben getroffen. Ook kunnen afspraken over beveiliging, incidenten en verantwoordelijkheden onderdeel worden van een SLA of andere overeenkomst.
Veel kleinere organisaties zullen daardoor mogelijk niet rechtstreeks vanuit de wet iets van NIS2 merken, maar via vragen en eisen van klanten.
Welke verplichtingen brengt de Cyberbeveiligingswet met zich mee?
Valt jouw organisatie onder de Cyberbeveiligingswet? Dan zijn drie onderwerpen direct belangrijk: registreren, cyberrisico's beheersen en significante incidenten melden.
Daarnaast houdt een toezichthouder toezicht op de naleving.
Registratieplicht
Organisaties die onder de Cyberbeveiligingswet vallen moeten zich registreren in het nationale entiteitenregister via MijnNCSC.
Deze verplichting geldt sinds 15 augustus 2026.
Zorgplicht en beveiligingsmaatregelen
Je organisatie moet cyberrisico's analyseren en passende en evenredige maatregelen nemen om netwerk- en informatiesystemen te beschermen.
Het gaat dus niet alleen om het aanschaffen van beveiligingssoftware.
Je moet weten welke risico's jouw organisatie loopt en vervolgens aantoonbaar passende maatregelen treffen.
Meldplicht
Significante cyberincidenten moet je melden. Voor incidenten die onder de meldplicht vallen, geldt een gefaseerd meldproces. Een eerste waarschuwing moet in beginsel binnen 24 uur na kennisname van het significante incident plaatsvinden.
Dat vraagt om voorbereiding.
Je moet vooraf weten wie een incident herkent, wie actie onderneemt en wie verantwoordelijk is voor de melding en opvolging.
Magazine: Cybersecurity in de Zorg
In het Gflex Magazine over cybersecurity in de zorg ontdek je hoe zorginstellingen zich kunnen beschermen tegen de toenemende dreigingen van cybercriminaliteit. Van het veilig delen van patiëntdata tot het beschermen van essentiële digitale werkprocessen. Download het magazine en lees hoe jij je organisatie kunt beschermen tegen cyberdreigingen.
Wat betekent de NIS2-zorgplicht praktisch voor je ICT?
De Cyberbeveiligingswet schrijft niet simpelweg een lijst met beveiligingsproducten voor.
De maatregelen moeten passen bij de risico's van jouw organisatie.
In de praktijk betekent dit dat je onder andere kijkt naar:
- risicoanalyse
- netwerkbeveiliging
- updates en patchbeheer
- multi-factor authenticatie
- toegangsbeheer
- beveiliging van laptops en andere apparaten
- back-ups en herstel
- monitoring en logging
- incidentrespons
- beveiliging van leveranciers
- bewustwording bij medewerkers
Goed beheer van werkplekken en servers helpt bijvoorbeeld om apparaten, servers en systemen actueel en beheersbaar te houden.
Monitoring speelt eveneens een belangrijke rol. Met ICT-beheer uitbesteden kun je beheer, updates, beveiliging en monitoring structureel organiseren.
De precieze maatregelen verschillen per organisatie. Een risicoanalyse helpt bepalen waar de grootste kwetsbaarheden zitten en welke maatregelen daarbij passen.
Cybersecurity is nu ook nadrukkelijk een bestuurszaak
Een belangrijke verandering is de rol van bestuurders.
Cybersecurity is onder de Cyberbeveiligingswet niet alleen een verantwoordelijkheid van de IT-afdeling. Bestuurders moeten de maatregelen voor cyberrisicobeheer goedkeuren en toezicht houden op de uitvoering.
Voor directies en management verandert daarmee ook de vraag.
Niet alleen:
"Heeft IT onze systemen beveiligd?"
Maar vooral:
"Weten we welke cyberrisico's we lopen, welke maatregelen we hebben genomen en of deze maatregelen daadwerkelijk werken?"
Dat vraagt om inzicht. Techniek blijft belangrijk. Maar beleid, verantwoordelijkheden, controle en bewustwording horen daar net zo goed bij.
Wat moet je nu doen als jouw organisatie onder de Cyberbeveiligingswet valt?
Wacht niet tot een klant, toezichthouder of incident duidelijk maakt waar zwakke plekken zitten.
Begin met inzicht.
Een praktische aanpak bestaat uit:
- Controleer of jouw organisatie onder de Cyberbeveiligingswet valt.
- Registreer jouw organisatie wanneer dit verplicht is.
- Breng cyberrisico's in kaart.
- Inventariseer bestaande beveiligingsmaatregelen.
- Bepaal waar aanvullende maatregelen nodig zijn.
- Breng kritieke leveranciers en ketenrisico's in kaart.
- Richt incidentrespons en meldprocedures in.
- Leg verantwoordelijkheden bij IT, management en bestuur vast.
- Controleer periodiek of maatregelen daadwerkelijk werken.
Registratie alleen is dus niet voldoende. De kern zit in risicobeheer en passende beveiligingsmaatregelen.
Voor actuele informatie over de verplichtingen kun je terecht bij het NCSC over de Cyberbeveiligingswet en NIS2
Ook als NIS2 niet verplicht is, zijn de maatregelen verstandig
Valt jouw organisatie niet onder de Cyberbeveiligingswet?
Dan betekent dit niet dat cyberrisico's verdwijnen.
Ransomware kijkt niet naar het aantal medewerkers.
Phishing ook niet.
De uitgangspunten achter NIS2 zijn daarom relevant voor vrijwel iedere organisatie die afhankelijk is van ICT.
Ken je risico's. Bescherm systemen en gegevens. Beperk toegangsrechten. Zorg voor betrouwbare back-ups. Monitor kritieke systemen. En weet wat je moet doen wanneer toch een incident ontstaat.
Dat vormt ook voor kleinere MKB-organisaties een sterke basis voor digitale weerbaarheid.
Hoe Gflex helpt bij digitale weerbaarheid en NIS2
NIS2-compliance bereik je niet door één beveiligingsprogramma te installeren.
Je moet weten waar risico's zitten en vervolgens passende maatregelen nemen.
Gflex ondersteunt organisaties bij de technische en organisatorische ICT-maatregelen die helpen om de digitale weerbaarheid te verbeteren.
Denk aan:
- security-audits
- netwerkbeveiliging
- firewall- en endpointbeveiliging
- 24/7 monitoring
- werkplekbeveiliging
- MFA en toegangsbeheer
- back-up en herstel
- updates en patchbeheer
- incident response
- ICT-beheer
Met cybersecurity voor het MKB kijken we naar de complete IT-omgeving. Niet alleen naar afzonderlijke beveiligingsproducten.
Gflex kan ondersteunen bij de technische maatregelen die bijdragen aan digitale weerbaarheid en NIS2. Voor de formele beoordeling van wettelijke verplichtingen blijft juridisch of gespecialiseerd complianceadvies belangrijk.
Wil je inzicht in de technische beveiliging van jouw organisatie en mogelijke verbeterpunten?
Vraag een meer informatie of advies aan.
Cyberbeveiligingswet en NIS2 voor bedrijven in Nijkerk en regio Amersfoort
Gflex ondersteunt vanuit Nijkerk organisaties bij cybersecurity, ICT-beheer en digitale weerbaarheid.
Voor bedrijven in Nijkerk, Amersfoort, Barneveld en Midden-Nederland kan de nieuwe Cyberbeveiligingswet een logisch moment zijn om opnieuw naar de beveiliging van de IT-omgeving te kijken.
Dat geldt niet alleen voor organisaties die rechtstreeks onder NIS2 vallen.
Ook bedrijven die leveren aan bijvoorbeeld zorgorganisaties, foodbedrijven of andere organisaties binnen kritieke sectoren kunnen te maken krijgen met strengere eisen aan cybersecurity.
Als ICT-partner in Nijkerk helpt Gflex organisaties om technische risico's zichtbaar te maken en beveiligingsmaatregelen structureel onderdeel te maken van het ICT-beheer.
De Cyberbeveiligingswet maakt digitale weerbaarheid concreter. Meer weten?
De nieuwe Cyberbeveiligingswet maakt cybersecurity nadrukkelijk onderdeel van risicomanagement en bestuurlijke verantwoordelijkheid.
Voor organisaties die rechtstreeks onder NIS2 vallen zijn maatregelen nu wettelijk verplicht. Voor andere bedrijven kunnen vergelijkbare eisen via klanten en leveranciersketens relevant worden.
Daarom is dit een goed moment om niet alleen te vragen of jouw organisatie onder de Cyberbeveiligingswet valt.
De belangrijkere vraag is: Hoe digitaal weerbaar is jouw organisatie op dit moment?
Wil je weten waar jouw IT-beveiliging staat en welke technische maatregelen verbetering vragen?
ICT-beheer voor bedrijven in Nijkerk en omgeving
Bedrijven in Nijkerk en omgeving vertrouwen elke dag op Gflex voor solide ICT-beheer. Bij ons draait alles om het ondersteunen van jouw werk. We houden je systemen veilig, stabiel en up-to-date. Zonder gedoe. Zonder ruis. Zodat jij gewoon je werk kunt doen. Punt. Wij regelen het.
Gflex is de regionale ICT-partner waarop je kunt bouwen.
