Nederlandse NIS2-wet treft 8.000 organisaties

De Nederlandse NIS2-cyberbeveiligingswet, in het Nederlands bekend als de Cyberbeveiligingswet, treedt op zaterdag 15 augustus 2026 in werking. De wet legt direct strengere digitale beveiligingsplichten op aan ongeveer 8.000 organisaties in 18 kritieke sectoren. Ziekenhuizen, drinkwaterbedrijven, gemeenten, telecomaanbieders en ov-bedrijven moeten nu cyberrisico's in kaart brengen, concrete beschermingsmaatregelen nemen en ernstige incidenten binnen 24 uur melden. De wet is de Nederlandse omzetting van de Europese NIS2-richtlijn en vervangt de oudere Wet beveiliging netwerk- en informatiesystemen (Wbni).

Wat is de Nederlandse NIS2-cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) zet de Europese NIS2-richtlijn, formeel Richtlijn (EU) 2022/2555, om in nationaal recht. Volgens het Nationaal Cyber Security Centrum (NCSC) is de wet op 15 augustus 2026 in werking getreden, nadat de Eerste Kamer het wetsvoorstel op 7 juli 2026 had aangenomen. Lidstaten moesten NIS2 uiterlijk 17 oktober 2024 omzetten, maar vertraging in Nederland leidde ertoe dat de Europese Commissie een inbreukprocedure startte. De druk op naleving van de EU-cybersecurityrichtlijn legt onevenredige implementatie in de EU bloot; in 2026 passen slechts 23 lidstaten de maatregelen volledig toe.

Vergeleken met de eerdere NIS1-regels, die slechts enkele honderden entiteiten dekten, breidt NIS2 de verplichtingen uit naar ongeveer 8.000 organisaties in 18 kritieke sectoren.

Drie kernplichten: zorg, melden en bestuursverantwoordelijkheid

Cybersecurity-expert Lisa de Wilde zegt dat de wet drie grote veranderingen introduceert voor getroffen organisaties.

• Zorgplicht: Organisaties moeten hun cyberrisico's in kaart brengen en passende technische, operationele en organisatorische maatregelen nemen om netwerk- en informatiesystemen te beschermen.
• Meldplicht binnen 24 uur: Ernstige incidenten moeten binnen 24 uur bij het relevante CSIRT en de toezichthouder worden gemeld, met een uitgebreidere melding binnen 72 uur.
• Bestuursverantwoordelijkheid: Het management moet beveiligingsmaatregelen goedkeuren en toezien op de implementatie als onderdeel van integraal risicomanagement.

Over bestuursaansprakelijkheid waarschuwde De Wilde: 'Het bestuur is verantwoordelijk voor een blijvend adequate organisatiebeveiliging. Als het bestuur hierin tekortschiet en er een incident plaatsvindt, kan het bestuur persoonlijk aansprakelijk worden gesteld.'

Rimpelwerking in de toeleveringsketen verder dan de 8.000

Hoewel de wet zich rechtstreeks richt op 8.000 grote en kritieke organisaties, zal de impact in het hele Nederlandse bedrijfsleven voelbaar zijn. Bedrijven moeten nu de beveiliging van hun hele toeleveringsketen beoordelen. 'Het kan zijn dat zij een dienst leveren aan een kritieke organisatie die zo relevant is dat ook aan die organisatie eisen worden gesteld,' legde De Wilde uit. 'Dus die 8.000 organisaties kijken ook naar hun keten. Dat betekent dat de wet feitelijk veel meer treft dan die 8.000 organisaties.' Dit weerspiegelt bredere cyberbeveiligingsregels voor kritieke infrastructuur in Europa.

Ook datalekken vallen onder de risico's waarvoor beschermingsmaatregelen nodig zijn en moeten onder de nieuwe wet worden gemeld, naast bestaande verplichtingen uit de Algemene Verordening Gegevensbescherming (AVG).

Kosten, handhaving en vertraagde implementatie

Nederlandse brancheorganisaties hebben kritiek op de administratieve lasten en nalevingskosten. De Wilde sprak dat deels tegen: 'Ik denk eigenlijk dat organisaties hier al mee bezig hadden moeten zijn. Het kost inderdaad geld, maar een cyberaanval of de impact daarvan is enorm—niet alleen financieel.'

Voor organisaties die al goed waren voorbereid, verandert er weinig, zei ze, maar voor laatkomers betekenen de nieuwe regels een flinke kostenpost. Hoe streng de wet uitpakt, hangt af van het toezicht. 'De vraag is uiteindelijk: wordt er gehandhaafd en wat zijn de gevolgen voor die organisaties?' zei De Wilde. Bedrijven kunnen hun verplichtingen bekijken via de Nederlandse cyberbeveiliging compliance-checklist die de rijksoverheid heeft gepubliceerd.

Veelgestelde vragen

Wanneer treedt de Nederlandse NIS2-cyberbeveiligingswet in werking?

De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.

Hoeveel organisaties treft de wet rechtstreeks?

Ongeveer 8.000 organisaties in 18 kritieke sectoren vallen rechtstreeks onder de wet.

Wat is de meldtermijn voor incidenten?

Ernstige incidenten moeten binnen 24 uur worden gemeld, met aanvullende details binnen 72 uur.

Kunnen bestuurders persoonlijk aansprakelijk worden gesteld?

Ja, besturen kunnen aansprakelijk worden gesteld als zij onvoldoende beveiliging hebben gewaarborgd en er een incident plaatsvindt.

Treft de wet ook kleine leveranciers?

Indirect wel: kritieke organisaties moeten hun toeleveringsketen beoordelen, waardoor eisen kunnen doorwerken naar hun leveranciers.