Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Toch bleek een paar dagen na de invoering dat minder dan de helft van de betrokken organisaties zich had geregistreerd bij het Nationaal Cyber Security Centrum. Veel ondernemers weten simpelweg niet dat ze onder de wet vallen, of denken dat het alleen energiebedrijven en ziekenhuizen raakt. Dat is een misvatting die je bedrijf duur kan komen te staan.
Wat de cyberbeveiligingswet precies regelt
De wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen en legt drie verplichtingen op: een zorgplicht, een registratieplicht en een meldplicht. De zorgplicht betekent dat je risico's in kaart brengt en passende beveiligingsmaatregelen neemt, van toegangsbeheer tot een actueel patchbeleid. De registratieplicht houdt in dat je je gegevens, denk aan adres, contactpersonen en IP-ranges, aanlevert en actueel houdt in het Nationaal Entiteitenregister via mijn.ncsc.nl. De meldplicht verplicht je om een incident dat de continuïteit van je systemen bedreigt binnen 24 uur te melden.
Opvallend is dat bestuurders persoonlijk verantwoordelijk zijn. Niet alleen de IT-afdeling, maar ook de directie moet kunnen aantonen dat er een actief cybersecuritybeleid is, inclusief training. Dat is een flinke verschuiving ten opzichte van de oude situatie, waarin cybersecurity vaak werd afgeschoven naar een externe IT-partij.
Welke bedrijven vallen erbuiten
De wet geldt voor organisaties in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, vervoer, zorg en overheid. Een vuistregel die vaak wordt gebruikt: meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro binnen een van die sectoren. In totaal gaat het naar schatting om 8.000 tot 10.000 organisaties.
Val je er niet rechtstreeks onder? Dan kun je er alsnog mee te maken krijgen. Grote klanten in de genoemde sectoren stellen steeds vaker eisen aan hun toeleveranciers, juist omdat zij zelf verantwoording moeten afleggen over hun hele keten. Je ziet dezelfde dynamiek al bij de registratieplicht voor AI-gebruik: regelgeving die eerst alleen grote partijen raakt, werkt via contracten al snel door naar het mkb.
Wat je nu al kunt checken, ook als je twijfelt
Twijfel je of je bedrijf onder de wet valt? Ga niet zelf gokken, maar gebruik de officiële bronnen. De Kamer van Koophandel en de Rijksdienst voor Ondernemend Nederland hebben allebei een duidelijke uitleg gepubliceerd over wie moet registreren en hoe je dat doet. De KVK legt per sector uit welke drempels gelden, terwijl de RVO vooral ingaat op de praktische stappen richting registratie.
Belangrijk: ook als je niet onder de registratieplicht valt, is een zorgplicht zonder registratie in sommige gevallen al verstandig. Een ransomware-aanval kost een gemiddeld mkb-bedrijf makkelijk enkele weken productieverlies, los van reputatieschade bij klanten. De wet is in die zin minder een bureaucratische last dan een aanleiding om iets te doen wat eigenlijk al jaren op de planning stond.
De gevolgen als je niets doet
Niet voldoen aan de wet kan leiden tot boetes die kunnen oplopen tot in de miljoenen, afhankelijk van de categorie waarin je organisatie valt. Toezicht ligt bij meerdere instanties, waaronder de Rijksinspectie Digitale Infrastructuur, die sinds oktober 2026 nauwer samenwerkt met andere toezichthouders om bedrijven actief te benaderen die nog niet geregistreerd staan. De pakkans is dus geen hypothetisch scenario meer, maar iets waar toezichthouders dit najaar concreet mee aan de slag gaan.
Daarnaast speelt er iets subtielers: verzekeraars en banken vragen bij nieuwe contracten steeds vaker naar je cybersecuritybeleid. Een bedrijf dat kan aantonen dat het de basis op orde heeft, krijgt in de praktijk betere voorwaarden dan een bedrijf dat daar geen antwoord op heeft. Dat raakt ook ondernemingen die formeel buiten de wet vallen, net zoals bedrijven zonder digitale ambities toch last krijgen van de discussie over digitale afhankelijkheid van grote techpartijen.
Zo pak je het praktisch aan
Begin niet met de wettekst, maar met drie vragen. Val je onder een van de achttien sectoren? Heb je meer dan 50 medewerkers of een omzet boven de 10 miljoen euro? Levert een klant van je diensten aan een sector die wel onder de wet valt? Bij een ja op een van die vragen, is registratie via mijn.ncsc.nl de eerste stap, niet de laatste.
Daarna volgt de inhoudelijke kant: een risicoanalyse, een actueel overzicht van wie toegang heeft tot welke systemen, en een plan voor wat je doet bij een incident. Veel bedrijven laten dit nog steeds afhandelen door één IT-collega die het "er wel even bij doet". Dat werkte misschien tien jaar geleden, maar past niet meer bij een wet die de directie persoonlijk aansprakelijk stelt. Vergelijk het met brandveiligheid tijdens een verbouwing: ook daar verschuift verantwoordelijkheid steeds vaker naar de bestuurder die het had moeten weten, niet naar de uitvoerder die het vergat te checken.
Wat je deze maand concreet regelt
Plan een uur in met iemand die verstand heeft van jullie IT-omgeving en loop samen de checklist van de KVK of RVO langs. Dat uur kost minder dan de eerste helft van een boeteprocedure, en je weet meteen of registratie bij het NCSC voor jou verplicht is. Is dat het geval, doe het dan deze maand, niet in het vierde kwartaal wanneer de toezichthouders klaar zijn met hun eerste controleronde. Wachten tot je een brief van de Rijksinspectie Digitale Infrastructuur op de mat krijgt, is geen strategie, het is gokken met je eigen aansprakelijkheid.