Hoe weet ik of mijn bedrijf onder de Cyberbeveiligingswet valt?

Of jouw bedrijf onder de Cyberbeveiligingswet valt, hangt af van twee dingen: de sector waarin je actief bent en de omvang van je organisatie. Voldoe je aan beide criteria, dan ben je verplicht te voldoen aan de eisen van de wet. In Nederland wordt de Europese NIS2-richtlijn vertaald naar de Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt. De vragen hieronder helpen je stap voor stap te bepalen of jouw bedrijf onder de wet valt en wat dat in de praktijk betekent.

Welke sectoren vallen verplicht onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt voor bedrijven in sectoren die als essentieel of belangrijk worden aangemerkt. Essentiële sectoren zijn onder andere energie, transport, drinkwater, gezondheidszorg, bankwezen en digitale infrastructuur. Belangrijke sectoren omvatten onder meer voedselproductie en -distributie, maakindustrie, afvalbeheer, post- en koeriersdiensten en digitale dienstverleners.

Het onderscheid tussen “essentieel” en “belangrijk” bepaalt hoe streng het toezicht is en hoe hoog de boetes kunnen uitvallen bij niet-naleving. Essentiële entiteiten staan onder actief toezicht; belangrijke entiteiten worden reactief gecontroleerd, maar de verplichtingen zijn nagenoeg gelijk.

De volledige sectorlijst is breder dan veel ondernemers verwachten. Zo vallen ook zakelijke dienstverleners in de keten van essentiële bedrijven mogelijk onder de wet, ook al zien zij zichzelf niet als een “kritieke” organisatie. Als je levert aan een ziekenhuis, een gemeente of een logistiek bedrijf, is het de moeite waard om dit te controleren.

Hoe groot moet mijn bedrijf zijn om onder NIS2 te vallen?

De Cyberbeveiligingswet geldt in principe voor middelgrote en grote ondernemingen in de aangewezen sectoren. Een middelgrote onderneming heeft minimaal 50 medewerkers en een jaaromzet of balanstotaal van meer dan 10 miljoen euro. Grote ondernemingen tellen meer dan 250 medewerkers of hebben een omzet boven de 50 miljoen euro.

Kleinere bedrijven vallen in de meeste gevallen buiten de directe reikwijdte van de wet. Toch zijn er uitzonderingen: bepaalde aanbieders van digitale diensten, ongeacht hun omvang, kunnen alsnog onder de wet vallen. Denk aan aanbieders van DNS-diensten, cloudplatforms of beheerde beveiligingsdiensten.

Ben jij een MKB-bedrijf met 50 tot 250 medewerkers in een van de genoemde sectoren? Dan is de kans groot dat de Cyberbeveiligingswet op jou van toepassing is. Dat is precies de groep waarvoor de wet in de praktijk de meeste impact heeft, omdat zij doorgaans geen dedicated compliance-afdeling hebben.

Wat als mijn bedrijf zelf niet in een NIS2-sector zit, maar levert aan één?

Als jouw bedrijf zelf buiten de aangewezen sectoren valt, maar wel levert aan een organisatie die eronder valt, ben je indirect geraakt door de Cyberbeveiligingswet. Essentiële en belangrijke entiteiten zijn namelijk verplicht om de cybersecurity van hun toeleveranciers te beoordelen en te borgen. Dat betekent dat opdrachtgevers jou steeds vaker om aantoonbare beveiligingsmaatregelen zullen vragen.

Dit wordt ketenverantwoordelijkheid genoemd. In de praktijk betekent het dat je als leverancier een vragenlijst of audit kunt verwachten van je opdrachtgever. Kun je niet aantonen dat jouw beveiliging op orde is, dan riskeer je het verlies van dat contract. Compliance wordt daarmee niet alleen een wettelijke verplichting, maar ook een commerciële voorwaarde.

Zelfs als jij formeel niet onder de wet valt, is het verstandig om je beveiligingsniveau te toetsen aan de eisen van NIS2. Zo sta je sterker in gesprekken met opdrachtgevers en voorkom je dat je achter de feiten aanloopt wanneer die eisen concreet worden gesteld.

Hoe controleer ik zelf of mijn bedrijf onder de wet valt?

De overheid heeft een zelfevaluatietool beschikbaar gesteld via de website van het Nationaal Cyber Security Centrum (NCSC), maar die geeft geen definitief juridisch oordeel. Je vult een aantal vragen in over je sector en bedrijfsomvang, en op basis daarvan krijg je een indicatie. Het eindoordeel blijft echter de verantwoordelijkheid van de organisatie zelf.

Een betrouwbaardere manier om duidelijkheid te krijgen, is een nulmeting door een IT-partner met kennis van de Cyberbeveiligingswet. TCA biedt zo’n nulmeting gratis aan via een online assessment. Binnen 48 uur ontvang je een persoonlijk rapport dat aangeeft waar je organisatie nu staat en wat het verschil is met wat de wet vereist. Dat geeft je een concreet startpunt, zonder meteen grote investeringen te hoeven doen.

Wil je weten hoe TCA dit aanpakt en op welke certificeringen die aanpak is gebaseerd? Bekijk dan de certificaten en keurmerken van TCA, waaronder ISO 27001, de internationale norm voor informatiebeveiliging.

Wat zijn de gevolgen als mijn bedrijf niets doet?

Bedrijven die onder de Cyberbeveiligingswet vallen en niet aan de verplichtingen voldoen, riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daarnaast legt de wet de verantwoordelijkheid expliciet bij het management: bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten adequate maatregelen te treffen.

Naast financiële risico’s zijn er ook operationele en commerciële gevolgen. Toezichthouders kunnen tijdelijke stillegging van diensten opleggen of eisen dat specifieke maatregelen binnen een gestelde termijn worden doorgevoerd. En zoals eerder beschreven: opdrachtgevers in de keten gaan compliance steeds vaker als voorwaarde stellen voor samenwerking. Wie nu niets doet, loopt het risico straks contracten te verliezen.

De tijdsdruk is reëel. De Cyberbeveiligingswet wordt naar verwachting medio 2026 van kracht. Organisaties die nu beginnen, hebben de tijd om stap voor stap te werken aan compliance. Wie wacht tot de wet er is, staat voor een veel grotere opgave in een kortere tijd.

Wat zijn de eerste stappen als mijn bedrijf wél onder NIS2 valt?

De eerste stap is weten waar je staat. Voordat je maatregelen treft, moet je inzicht hebben in de huidige staat van je beveiliging en de afstand tot wat de wet vereist. Dat begint met een nulmeting of gap-analyse op basis van een erkend raamwerk zoals ISO 27001.

Daarna werk je aan de concrete maatregelen die de Cyberbeveiligingswet vereist:

• Technische maatregelen: een security baseline implementeren, endpoint protection, netwerksegmentatie, back-upbeleid en continue monitoring van je omgeving
• Organisatorische maatregelen: een informatiebeveiligingsbeleid opstellen, incidentresponseprocedures inrichten en medewerkers trainen in bewust digitaal gedrag
• Meldplicht: processen inrichten zodat je bij een incident binnen 24 uur kunt melden bij de bevoegde toezichthouder
• Ketenafspraken: afspraken maken met toeleveranciers over hun beveiligingsniveau en dit aantoonbaar vastleggen
• Registratie: je organisatie registreren bij de relevante toezichthouder zodra dat vereist is

Dit klinkt als een flinke lijst, maar je hoeft het niet allemaal tegelijk aan te pakken. Een ervaren IT-partner helpt je prioriteren op basis van risico en zorgt dat de technische en organisatorische kant hand in hand gaan. TCA begeleidt MKB-bedrijven, zorginstellingen en gemeenten door dit hele traject, van eerste check tot doorlopende compliance. Bekijk hoe TCA als strategische IT-partner werkt, of ga direct naar de beveiligingsoplossingen om te zien wat er mogelijk is voor jouw organisatie.

Gerelateerde artikelen

• Welke sectoren vallen onder de NIS2-richtlijn in Nederland?
• Hoe hoog zijn de boetes voor niet-naleving van NIS2?
• Wat kost het om NIS2-compliant te worden als mkb-bedrijf?
• Wat zijn de minimale beveiligingsmaatregelen die NIS2 vereist?
• Wat is het verschil tussen OneDrive en SharePoint voor bestandsbeheer?