Valt mijn bedrijf onder de Cyberbeveiligingswet?

Of je bedrijf onder de Cyberbeveiligingswet (Cbw) valt, hangt van twee dingen af: in welke sector je werkt en hoe groot je bent. Een kleine webshop of een zzp'er valt er meestal buiten. Een middelgroot bedrijf in bijvoorbeeld ICT-diensten, levensmiddelen of post valt er wel onder. De wet is op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten, meldt Digitale Overheid. Hij vervangt de Wbni en geldt voor ruim 8.000 organisaties. Het is de Nederlandse invulling van de Europese NIS2-richtlijn.

Stap 1: zit je in een van de sectoren?

De NCSC-infosheet over de registratieplicht noemt de sectoren die onder de wet vallen. Zeer kritieke sectoren:

• energie
• transport
• infrastructuur van de financiële markt
• gezondheidszorg
• drinkwater
• digitale infrastructuur
• afvalwater
• overheidsdiensten
• ruimtevaart
• beheerders van ICT-diensten
• bankwezen

Andere kritieke sectoren zijn digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische stoffen, onderzoek en vervaardiging. De exacte soorten bedrijven staan in bijlage 1 en 2 van de wet. Het gaat dus om meer dan grote energiebedrijven: ook een middelgrote voedselproducent of een koeriersbedrijf kan eronder vallen, schrijft de SRA.

Voor telecom en cloud, de onderwerpen van deze site, geldt een uitzondering op de omvangsregels: aanbieders van openbare elektronische communicatienetwerken en -diensten, vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners en overheidsorganisaties vallen volgens het NCSC altijd onder de wet, ongeacht hun omvang. Een klein bedrijf dat een openbaar netwerk of dienst aanbiedt, is daardoor een belangrijke entiteit.

Stap 2: hoe groot ben je?

De NCSC-infosheet gebruikt deze indeling:

Een bedrijf met 20 medewerkers en een omzet van €8 miljoen is dus klein en valt buiten de wet, tenzij een ministerie het heeft aangewezen of het onder de uitzonderingen hierboven valt. Een bedrijf met 20 medewerkers en een balanstotaal van €12 miljoen telt volgens dezelfde indeling als middelgroot en valt, mits de sector klopt, wel onder de wet.

Stap 3: essentieel of belangrijk

Een middelgroot bedrijf in een zeer kritieke of andere kritieke sector is een belangrijke entiteit. In een zeer kritieke sector is een groot bedrijf een essentiële entiteit. Het onderscheid bepaalt het toezicht. Essentiële entiteiten staan onder proactief toezicht, ook als er geen incident is. Belangrijke entiteiten worden vooral achteraf gecontroleerd, bijvoorbeeld na signalen of een incident.

Wie dit zelf wil nagaan, vindt in de NCSC-informatiebrochure stroomschema's en kan de NIS2-zelfevaluatie doen waarnaar het NCSC verwijst. Voor een snelle check verwijst het NCSC naar de NIS2-zelfevaluatie en naar de pagina 'Valt mijn organisatie onder de Cbw?'.

Wat je moet doen als je eronder valt

• Registreren bij het NCSC via mijn.ncsc.nl, met onder meer naam, adres, contactgegevens (e-mail, IP-ranges, telefoon), sector en subsector. Volgens het NCSC kost dat 10 minuten als je de gegevens bij de hand hebt. Een vaste registratiedeadline noemen de NCSC-pagina's niet.
• Zorgplicht: passende en evenredige maatregelen, waaronder een risicoanalyse, incidentafhandeling, back-ups en herstelplannen, beveiliging van de toeleveringsketen, multifactorauthenticatie en cryptografiebeleid. De brochure noemt tien maatregelen.
• Meldplicht: een significant incident meld je binnen 24 uur als vroege waarschuwing, binnen 72 uur met een eerste beoordeling en binnen een maand met een eindrapport.
• Bestuur: bestuurders keuren de maatregelen goed en moeten een training volgen.

Wanneer een incident precies 'significant' is, wordt per sector uitgewerkt in ministeriële regelingen.

Veelgestelde vragen

Valt een zzp'er onder de wet?

Een zzp'er heeft minder dan 50 medewerkers en een omzet onder €10 miljoen, dus valt als micro- of kleinbedrijf buiten de wet. Er zijn twee uitzonderingen: een ministerie kan een organisatie aanwijzen, ook buiten de gewone criteria, en aanbieders van openbare elektronische communicatienetwerken en -diensten vallen altijd onder de wet, ongeacht hun omvang.

Is er een overgangsperiode?

Digitale Overheid noemt als enige datum 15 augustus 2026, de dag van inwerkingtreding. Een algemene overgangsperiode staat op die pagina niet. Het Cyberbeveiligingsbesluit werkt de zorgplicht, de registratieplicht en de trainingsplicht voor bestuurders verder uit.

Wat kan er gebeuren bij overtreding?

Het overzicht in de NCSC-brochure noemt als middelen van de toezichthouder onder meer een beveiligingsscan, een beveiligingsaudit, openbaarmaking van de overtreding, een bindende aanwijzing, een last onder dwangsom of bestuursdwang en een bestuurlijke boete. Welke middelen bij welk type entiteit horen, staat in de brochure zelf. Ook bestuursleden van essentiële en belangrijke entiteiten kunnen een dwangsom of boete krijgen. Over bedragen zeggen de gelezen pagina's niets, dus reken niet met een getal dat je ergens anders las zonder de wettekst te controleren.

Je valt er niet onder, maar je klant of leverancier wel

De zorgplicht omvat de beveiliging van de toeleveringsketen. Werk je voor een organisatie die onder de wet valt, dan kan die van jou passende beveiligingsmaatregelen verwachten. Als kleine ict-dienstverlener of hostingbedrijf kan dat zich uiten in een vragenlijst, een clausule in het contract of een eis voor meervoudige verificatie. Ook als je zelf klant bent van een telecom- of cloudaanbieder, merk je er iets van: valt je aanbieder onder de wet, dan moet hij significante incidenten melden aan het CSIRT en de toezichthouder.

Wat je nu doet

Zoek je sector op in bijlage 1 en 2, tel medewerkers, omzet en balanstotaal, en doorloop het NCSC-stroomschema. Valt je bedrijf eronder, registreer je dan op mijn.ncsc.nl en begin met de risicoanalyse en een meldprocedure. Werk je met een ict-leverancier of hostingpartij, vraag dan schriftelijk of die zelf onder de wet valt en hoe hij incidenten aan jou meldt.