Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, kortweg de Cbw. Die wet voert de Europese NIS2-richtlijn uit. Ze stelt eisen aan de digitale weerbaarheid van organisaties in kritieke sectoren. Maar dat betekent niet dat je bedrijf er automatisch onder valt.
Hoe kom je daar nu wel achter? Na 3 vragen weet je meestal of de wet rechtstreeks voor je organisatie geldt. Val je er zelf buiten? Met een laatste check ontdek je of het via een klant toch bij je terechtkomt.
Waarom dit nu opduikt
NIS2 kijkt niet naar hoe ‘digitaal volwassen’ je bedrijf voelt. Een levensmiddelenproducent met 50 medewerkers kan er wel onder vallen. Een klein softwarebedrijf valt er juist buiten. Dat komt doordat je sector en de omvang van je organisatie meestal de doorslag geven.
De Cbw geldt voor organisaties in 18 uiteenlopende sectoren. Daarbij gaat het bijvoorbeeld om energie, vervoer, gezondheidszorg, levensmiddelen, chemie en post- en koeriersdiensten.
Dat maakt de check soms minder vanzelfsprekend dan je denkt. Een bedrijf hoeft geen IT-bedrijf te zijn om onder de wet te vallen. Andersom valt een kleine onderneming dat vrijwel volledig digitaal werkt er niet automatisch onder.
De check: 4 vragen
1: Zit je in een aangewezen sector?
De Cbw verdeelt de betrokken organisaties over 18 sectoren, in 2 bijlagen bij de wet. In onderstaand diagram zie je daar een schematische weergave van.
Valt je organisatie duidelijk buiten de voor NIS2 gedefinieerde sectoren? Dan val je in principe niet rechtstreeks onder de Cbw.
Zit je er wel tussen? Ga dan door naar vraag 2.
Let op: kijk naar de sector van je eigen organisatie, niet alleen naar die van je klanten. Een clouddienstverlener voor ziekenhuizen zit bijvoorbeeld niet automatisch in de sector gezondheidszorg.
2: Is je organisatie groot genoeg?
Voor NIS2 geldt een omvangscriterium van 50 of meer medewerkers, gemeten in fte. Heb je minder dan 50 fte? Dan kan de wet toch rechtstreeks gelden. Dat is zo als je jaaromzet en je balanstotaal allebei boven 10 miljoen euro liggen. Bij de berekening tellen ook partner- en verbonden ondernemingen mee, zoals een moeder- of dochterbedrijf.
Een bedrijf met 65 medewerkers in een aangewezen sector valt mogelijk dus binnen de wet. Dat geldt ook als de omzet relatief bescheiden is. Een bedrijf met 35 medewerkers valt eveneens binnen de omvangstoets. Dan moeten omzet en balanstotaal allebei boven de grens uitkomen.
Zit je in een aangewezen sector én haal je de omvangsdrempel? Dan val je waarschijnlijk rechtstreeks onder de Cbw.
Haal je die drempel niet? Stop dan nog niet: voor sommige organisaties geldt de omvangseis namelijk niet.
3: Geldt voor je organisatie een uitzondering op de omvangsregel?
Voor enkele soorten organisaties geldt geen normale omvangsdrempel, maar is een uitzondering van toepassing. Er zijn er 3:
- Uitzondering voor DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en overheidsorganisaties.
- Uitzondering voor organisaties die als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten zijn aangewezen.
- Uitzondering voor organisaties waarvan de dienstverlening van groot maatschappelijk of economisch belang is.
“Voor sommige van deze organisaties volgt dat rechtstreeks uit de wet. Andere worden specifiek aangewezen. Twijfel je of zo’n uitzondering voor je organisatie geldt? Neem die dan mee in de officiële zelfevaluatie.”
Alles gecheckt?
Zit je in een aangewezen sector en voldoe je aan de omvangscriteria? Of val je binnen een uitzondering op die omvangsregels? Dan heb je een sterke eerste indicatie dat de Cbw voor je organisatie geldt. Maar wat dan?
Een logische volgende stap is de officiële
Tip: twijfel je of je organisatie onder NIS2 valt? Vul dan altijd de NIS2-Zelfevaluatie van de RDI in. Doe bij twijfel dus altijd de check.
4: Val je erbuiten? Check dan je klanten
Zelf niet onder NIS2 vallen betekent niet automatisch dat je niets van NIS2 merkt. Sterker nog: de meeste mkb-organisaties die met NIS2 te maken krijgen, vallen er niet zelf onder.
Een organisatie die wél onder de Cbw valt, moet ook risico's in zijn toeleveringsketen beheersen. Doe je zaken met zo'n organisatie? Dan ga je de impact voelen, ook als je organisatie er zelf niet onder valt. Die impact komt dan via de klant bij je terecht.
Dat kan heel praktisch zijn. Denk aan een securityvragenlijst bij een contractverlenging of eisen aan multifactorauthenticatie. Of aan afspraken over incidentmeldingen en bewijs van back-ups. Soms wil een klant ook je beveiligingsmaatregelen laten controleren. De eisen hangen af van het risico dat je dienstverlening voor de klant oplevert.
