NIS2 in Nederland: de Cyberbeveiligingswet, kort.
Stand 11 november 2026. Nederland heeft de NIS2-richtlijn (EU) 2022/2555 omgezet met de Cyberbeveiligingswet (Cbw). De wet en het Cyberbeveiligingsbesluit (Cbb) gelden sinds 15 augustus 2026. Hieronder staat wat opleiding, bestuur en incidenten raakt. Elke bewering heeft een bron.*
In het gratis adviesgesprek krijg je het volledige overzicht. Het bevat zes bijlagen met de wettekst, onze uitleg en de vragen die je voor je eigen organisatie doorloopt.
Wat sinds augustus 2026 geldt
- De Cyberbeveiligingswet is een wet van 8 juli 2026 en geldt sinds 15 augustus 2026. Ze vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).
- Voor de meeste sectoren is het NCSC het CSIRT. Je registreert en meldt via MijnNCSC. Het toezicht ligt per sector bij een toezichthouder, zoals de RDI of de ILT.
- Het Cyberbeveiligingsbesluit werkt de wet uit. Het regelt onder meer de bewustwording van personeel (artikel 12) en het certificaat van de training voor het bestuur (artikel 22).
Voor wie de wet geldt
- Entiteiten in de sectoren uit bijlage 1 en bijlage 2 van de wet, als ze minstens een middelgrote onderneming zijn, en bepaalde entiteiten ongeacht hun omvang (artikelen 8 en 12).
- Ministeries, provincies, gemeenten en waterschappen zijn essentiële entiteiten (artikel 8). De politie en de veiligheidsregio's vallen buiten de wet (artikel 5).
- Een entiteit uit bijlage 1 die groter is dan een middelgrote onderneming, is een essentiële entiteit. Een middelgrote onderneming uit bijlage 1 of bijlage 2 is een belangrijke entiteit.
- Een belangrijke entiteit krijgt alleen toezicht als de toezichthouder een aanwijzing heeft van een mogelijke overtreding (artikel 81).
- Registreer je in het nationaal entiteitenregister op MijnNCSC. De plicht geldt sinds 15 augustus 2026. Een wijziging geef je binnen twee weken door (artikel 44).
De verantwoordelijkheid van het bestuur
De maatregelen "behoeven de goedkeuring van het bestuur" (artikel 24, eerste lid). Ieder lid van het bestuur moet de kennis en vaardigheden hebben om risico's te herkennen en maatregelen te beoordelen, en heeft een certificaat van een training daarover.
- In een gemeente is het college van burgemeester en wethouders het bestuur (artikel 24, twaalfde lid).
- De wet noemt geen aantal uren. Een bestuurslid heeft twee jaar na de inwerkingtreding, of na de benoeming, om aan de eis te voldoen en houdt de kennis daarna "aantoonbaar actueel". Het certificaat noemt onder meer de onderwerpen en de aanbieder van de training (Cbb artikel 22).
- De toezichthouder kan een bestuurslid een boete van ten hoogste 25.000 euro opleggen als de kennis of het certificaat ontbreekt (artikel 93). Bij een essentiële entiteit kan de toezichthouder de rechter vragen een bestuurslid te schorsen zolang de entiteit een besluit niet naleeft (artikel 78).
Opleiding van het personeel
De wet noemt "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging" als maatregel (artikel 21, derde lid). Het besluit vraagt dat personeel en andere personen die binnen de entiteit werken zich bewust zijn van de risico's en cyberhygiëne toepassen, "voor zover relevant voor hun functie" (Cbb artikel 12). De wet eist dus niet dat elke medewerker dezelfde opleiding volgt.
Personen met een rol die kennis van beveiliging vraagt, moeten "regelmatig opleiding krijgen". Een aantal uren of een frequentie staat er niet. Wij verwachten dat een toezichthouder vraagt hoe je dit aantoont.
Cbw art. 21 · Cbb art. 12Incidenten melden
| Wanneer | Wat |
|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing over een significant incident |
| Binnen 72 uur | Melding |
| Een maand na de melding | Eindverslag |
De termijnen lopen vanaf het moment dat de entiteit kennis heeft gekregen van het significante incident (artikelen 26, 27 en 29). Je meldt via het centrale meldpunt op MijnNCSC. Een inbreuk op persoonsgegevens meld je daarnaast aan de Autoriteit Persoonsgegevens volgens artikel 33 AVG.
Cbw art. 25 tot en met 29 · NCSC, MeldplichtBestuurlijke boetes
| Wie | Hoogste boete |
|---|---|
| Essentiële entiteit | 10 miljoen euro, of 2% van de wereldwijde jaaromzet als dat bedrag hoger is |
| Belangrijke entiteit | 7 miljoen euro, of 1,4% van de wereldwijde jaaromzet als dat bedrag hoger is |
| Lid van het bestuur | Ten hoogste 25.000 euro, voor de eisen aan kennis en certificaat |
De hoge bedragen gelden voor de zorgplicht en de meldplicht (artikelen 80 en 87). Voor een andere overtreding is de hoogste boete 1 miljoen euro. De boete volgt niet automatisch: de toezichthouder kan haar opleggen.
Cbw art. 80, 87 en 93Bronnen
- Cyberbeveiligingswet (Cbw), geconsolideerde tekst, gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (25)
Deze wet wordt aangehaald als: Cyberbeveiligingswet
Wet van 8 juli 2026
de ministeries
de politie
de veiligheidsregio's
drempel voor middelgrote ondernemingen overschrijden
die in aanmerking komen als middelgrote onderneming
het college van burgemeester en wethouders
het bewijs, de aanwijzing of informatie heeft van een mogelijke overtreding
in geval van een andere overtreding: € 1.000.000,-
provincies, gemeenten en waterschappen
basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging
behoeven de goedkeuring van het bestuur van de essentiële entiteit of belangrijke entiteit
risico's voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren
binnen twee jaar na de inwerkingtreding van het tweede lid
aantoonbaar actueel
een certificaat, waaruit de deelname blijkt aan een training
binnen 24 uur nadat zij kennis heeft gekregen van het significante incident
binnen 72 uur nadat zij kennis heeft gekregen van het significante incident een melding
uiterlijk één maand na de melding, bedoeld in artikel 27, eerste lid, een eindverslag
onverwijld of in elk geval binnen twee weken na de datum van de wijziging
om één of meer leden van het bestuur van de betrokken essentiële entiteit te schorsen
€ 10.000.000,- of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de essentiële entiteit behoort
€ 7.000.000,- of 1,4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de belangrijke entiteit behoort
bedraagt ten hoogste € 25.000,-
- Cyberbeveiligingsbesluit (Cbb), geconsolideerde tekst, gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (6)
De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026
voor zover relevant voor hun functie
praktijken op het gebied van cyberhygiëne toepassen
en zorgt ervoor dat zij regelmatig opleiding krijgen over de beveiliging van netwerk- en informatiesystemen
de naam van de aanbieder van de training
de behandelde onderwerpen in de training
- NCSC, Cyberbeveiligingswet (NIS2), gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (2)
De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden
De Cbw vervangt de oude Wet beveiliging netwerk- en informatiesystemen
- NCSC, Registreren, gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (1)
nationaal entiteitenregister op MijnNCSC
- NCSC, Meldplicht, gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (1)
Je meldt via het centrale meldpunt op MijnNCSC
- NCSC, Toezicht op de Cyberbeveiligingswet, gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (3)
Voor de meeste sectoren is dat het NCSC
RDI
ILT
- Richtlijn (EU) 2022/2555 (NIS2), EUR-Lex
Dit is geen juridisch advies. Controleer altijd de actuele tekst bij de bron.