Valt jouw organisatie onder de NIS2? Zo check je het in 5 minuten

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse implementatie van de Europese NIS2-richtlijn. Zonder overgangsperiode. Toch weten veel bestuurders nog niet zeker of hun organisatie eronder valt, en dat is riskant, want de verplichtingen gelden vanaf dag één.

In dit artikel lees je wat de wet inhoudt, wie eronder valt en hoe je dat vandaag nog controleert.

Wat is de Cyberbeveiligingswet (NIS2)?

De Cyberbeveiligingswet is geen vrijblijvend advies, maar een wettelijke verplichting. Op 7 juli 2026 nam de Eerste Kamer de wet aan; per 15 augustus 2026 is hij van kracht. De wet stelt eisen aan de digitale weerbaarheid van organisaties in sectoren die belangrijk zijn voor de economie en samenleving, van energie en zorg tot digitale infrastructuur en de maakindustrie.

Ruim 8.000 organisaties in Nederland vallen er rechtstreeks onder. Via de toeleveranciersketen raakt de wet indirect ook naar schatting 133.000 mkb-bedrijven die als leverancier voor deze organisaties werken. Ook als je zelf niet in scope bent, kan een opdrachtgever dus eisen dat jij jouw zaken op orde hebt.

Wie valt eronder?

Of jouw organisatie onder de wet valt, hangt af van drie zaken: de sector waarin je actief bent, jouw omvang (aantal medewerkers en omzet) en soms de aard van je dienstverlening. Grofweg gaat het om middelgrote en grote organisaties in aangewezen sectoren, ingedeeld als ‘essentieel‘ of ‘belangrijk‘. Kleinere organisaties vallen er meestal buiten, tenzij ze een sleutelrol spelen in een sector.

Omdat de indeling per sector verschilt, is een algemene vuistregel niet genoeg. Een concrete check is nodig.

Check het zelf: de officiële zelfevaluatie

De Rijksoverheid biedt een gratis zelfevaluatietool waarmee je in een paar minuten een eerste inschatting krijgt of jouw organisatie onder de wet valt, en zo ja, of je als ‘essentieel’ of ‘belangrijk’ wordt aangemerkt.

Doe de zelfevaluatie: regelhulpenvoorbedrijven.nl/NIS-2-NL

Let op: de uitkomst geeft een eerste indicatie, geen juridisch bindend oordeel. Twijfel je na de test nog, raadpleeg dan een specialist of de officiële informatie van het NCSC.

Wat moet je doen als je eronder valt?

Als blijkt dat jouw organisatie onder de wet valt, gelden drie kernverplichtingen:

1. Zorgplicht. Je moet passende technische en organisatorische maatregelen nemen om digitale risico’s te beheersen, in verhouding tot de risico’s die je organisatie loopt. Dat gaat verder dan alleen een firewall en een antivirusprogramma: denk aan toegangsbeheer en versleuteling, een uitgewerkt incident response plan, bewustwording en training van medewerkers, beveiliging van de toeleveringsketen (ook je leveranciers en onderaannemers moeten dus hun zaken op orde hebben) en maatregelen voor bedrijfscontinuïteit, zoals back-ups en crisismanagement. Het bestuur is hier persoonlijk verantwoordelijk voor: goedkeuring en toezicht op het beveiligingsbeleid mag je niet doorschuiven naar de IT-afdeling alleen.

2. Registratieplicht. Als je onder de wet valt, moet je jouw organisatie registreren bij het Nationaal Cyber Security Centrum (NCSC). Je geeft daarbij onder meer contactgegevens, de sector waarin je actief bent en of je als ‘essentieel’ of ‘belangrijk’ bent aangemerkt. Deze registratie is nieuw ten opzichte van de oude wetgeving en moet vanaf de inwerkingtreding van de wet in orde zijn.

3. Meldingsplicht. Bij een significant incident geldt een getrapt meldproces met drie momenten. Binnen 24 uur na ontdekking dien je een vroegtijdige waarschuwing in bij het CSIRT en de toezichthouder. Binnen 72 uur volgt een vervolgmelding met een eerste beoordeling van het incident, de ernst en mogelijke impact. Uiterlijk één maand na de eerste melding lever je een eindverslag op met de oorzaak, de genomen maatregelen en de geleerde lessen. Deze termijnen zijn kort, dus het loont om vooraf te weten wie waarvoor verantwoordelijk is als het misgaat.

Niet-naleving kan leiden tot boetes en persoonlijke aansprakelijkheid van bestuurders. De wet legt de verantwoordelijkheid nadrukkelijk bij het bestuur zelf, niet alleen bij de IT-afdeling.

Hoe bereidt het bestuur zich voor?

Omdat de wet zonder overgangsperiode ingaat, is er weinig tijd om nog te wachten. Bestuurders moeten kunnen aantonen dat ze grip hebben op risico’s, een incident response plan hebben en weten wanneer en hoe ze moeten melden.

Bij CompUniversity vertalen we de wet naar de praktijk. Onze NIS2-training voor bestuurders levert een concreet actieplan op, inclusief incident response plan en risicomanagement, zodat je niet alleen weet wat de wet vraagt, maar ook wat dat morgen voor jouw organisatie betekent.

Meer weten over de training? Bekijk de NIS2-training voor bestuurders.