NIS2 & de Cyberbeveiligingswet: wat verandert er in 2026?

NIS2 staat voor Network and Information Security Directive. Het is een Europese richtlijn die eisen stelt aan de beveiliging van netwerk- en informatiesystemen binnen sectoren die belangrijk zijn voor de samenleving en economie.

De richtlijn is de opvolger van de eerste NIS-richtlijn. NIS2 heeft een breder toepassingsgebied en stelt uitgebreidere eisen aan onder andere:

• risicomanagement;
• incidentenbehandeling;
• bedrijfscontinuïteit;
• beveiliging van leveranciers;
• toegangsbeheer;
• cyberbewustzijn;
• registratie en incidentmeldingen;
• verantwoordelijkheid van bestuurders.

NIS2 draait niet alleen om het beschermen van persoonsgegevens. De richtlijn richt zich ook op de beschikbaarheid, integriteit en continuïteit van systemen en dienstverlening. Een storing, ransomware-aanval of kwetsbaarheid bij een leverancier kan immers grote gevolgen hebben, ook wanneer er geen persoonsgegevens worden gelekt.

Een Europese richtlijn moet worden omgezet in nationale wetgeving. In Nederland gebeurt dat met de Cyberbeveiligingswet, afgekort als Cbw. Deze wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

De Cyberbeveiligingswet geldt voor organisaties die essentiële of belangrijke diensten verlenen. In totaal gaat het om organisaties binnen 18 sectoren, waaronder:

• gezondheidszorg;
• energie;
• vervoer;
• drinkwater en afvalwater;
• digitale infrastructuur;
• overheid;
• levensmiddelen;
• chemie;
• productie;
• post- en koeriersdiensten;
• afvalstoffenbeheer;
• onderzoek.

Naar verwachting krijgen ruim 8.000 Nederlandse organisaties rechtstreeks met de wet te maken. Daarnaast kunnen leveranciers en dienstverleners indirect aanvullende beveiligingseisen opgelegd krijgen door klanten die zelf onder NIS2 vallen.

De Europese NIS2-richtlijn trad in januari 2023 in werking. EU-lidstaten moesten de richtlijn uiterlijk op 17 oktober 2024 omzetten in nationale wetgeving. Nederland haalde deze oorspronkelijke deadline niet.

Inmiddels is de planning definitief:

• op 15 april 2026 stemde de Tweede Kamer in met de Cyberbeveiligingswet;
• op 7 juli 2026 nam ook de Eerste Kamer de wet aan;
• op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking.

Vanaf die laatste datum gelden de verplichtingen voor organisaties die binnen het toepassingsgebied vallen. De Cyberbeveiligingswet treedt tegelijk in werking met de Wet weerbaarheid kritieke entiteiten. Waar de Cyberbeveiligingswet zich richt op digitale weerbaarheid, gaat de Wet weerbaarheid kritieke entiteiten vooral over bescherming tegen fysieke risico’s en verstoringen. Bekijk de actuele informatie van de Rijksoverheid.

Of je organisatie onder de Cyberbeveiligingswet valt, hangt onder meer af van:

• de sector waarin je actief bent;
• de diensten die je levert;
• het aantal medewerkers;
• de jaaromzet;
• het balanstotaal;
• het maatschappelijke belang van je dienstverlening.

Middelgrote en grote organisaties binnen aangewezen sectoren vallen in veel gevallen rechtstreeks onder de wet. Sommige organisaties kunnen daarnaast worden aangewezen wanneer verstoring van hun dienstverlening grote gevolgen heeft voor de openbare veiligheid, volksgezondheid of economie.

De wet maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Beide categorieën moeten voldoen aan de zorgplicht, meldplicht en registratieplicht. Het verschil zit vooral in de manier waarop toezicht wordt gehouden. Essentiële entiteiten kunnen vooraf en periodiek worden gecontroleerd. Bij belangrijke entiteiten vindt toezicht doorgaans plaats na een incident of wanneer er aanwijzingen zijn dat de wet niet wordt nageleefd.

Omdat uitzonderingen en bijzondere situaties mogelijk zijn, blijft een individuele beoordeling noodzakelijk. Hiervoor kun je de officiële NIS2 Zelfevaluatie gebruiken.

Digitale systemen zijn binnen zorgorganisaties onmisbaar voor onder andere cliëntdossiers, medicatieprocessen, planning, communicatie en gegevensuitwisseling. Uitval of misbruik van deze systemen kan direct invloed hebben op de continuïteit en veiligheid van zorg.

Binnen NIS2 voor de zorg kunnen onder meer de volgende organisaties onder de Cyberbeveiligingswet vallen:

• zorgaanbieders;
• organisaties die onderzoek doen naar geneesmiddelen;
• farmaceutische bedrijven;
• fabrikanten van bepaalde medische hulpmiddelen.

In hoofdlijnen valt een zorgorganisatie onder de wet wanneer zij minimaal 50 fte heeft. Een organisatie kan ook onder de wet vallen wanneer zowel de omzet als het balanstotaal meer dan 10 miljoen euro bedraagt. Voor grote organisaties gelden hogere omvangscriteria en kan de organisatie als essentiële entiteit worden aangemerkt.

De precieze beoordeling hangt af van de activiteiten, omvang en organisatiestructuur. Ook bestaan er uitzonderingen, bijvoorbeeld voor bepaalde fabrikanten van medische hulpmiddelen. Controleer daarom altijd de actuele criteria. Het ministerie van VWS biedt hiervoor sectorspecifieke informatie over de Cyberbeveiligingswet in de zorg.

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met drie centrale verplichtingen: de zorgplicht, meldplicht en registratieplicht.

1. Zorgplicht

De zorgplicht houdt in dat je een risicoanalyse uitvoert en op basis daarvan passende en evenredige beveiligingsmaatregelen neemt. De maatregelen moeten aansluiten op de risico’s, omvang en activiteiten van je organisatie.

De Cyberbeveiligingswet benoemt tien onderdelen waarop je maatregelen moet treffen:

1. Beleid voor risicoanalyse en beveiliging van informatiesystemen.
2. Incidentenbehandeling en incidentrespons.
3. Bedrijfscontinuïteit, back-ups, herstelplannen en crisisbeheer.
4. Beveiliging van de toeleveringsketen.
5. Cyberhygiëne en trainingen voor medewerkers.
6. Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen.
7. Personeelsbeveiliging, toegangsbeleid en assetbeheer.
8. Sterke authenticatie en beveiligde communicatie.
9. Beleid voor cryptografie en encryptie.
10. Periodieke beoordeling van de effectiviteit van maatregelen.

Een eenmalige risicoanalyse is dus niet voldoende. Je moet risico’s, maatregelen en resultaten periodiek evalueren en aanpassen. Risicomanagement wordt daarmee een continu proces binnen de PDCA-cyclus. Het NCSC geeft per zorgplichtmaatregel praktische uitleg.

2. Meldplicht

Significante incidenten moeten worden gemeld bij het verantwoordelijke Computer Security Incident Response Team en de toezichthouder. Het gaat bijvoorbeeld om incidenten die:

• een ernstige operationele verstoring kunnen veroorzaken;
• aanzienlijke financiële verliezen kunnen opleveren;
• grote materiële of immateriële schade bij andere organisaties kunnen veroorzaken;
• de continuïteit van belangrijke dienstverlening aantasten.

De meldplicht verloopt gefaseerd. De eerste vroegtijdige waarschuwing moet zo snel mogelijk, maar uiterlijk binnen 24 uur na constatering van het incident worden gedaan.

Om aan deze korte termijn te kunnen voldoen, moet vooraf duidelijk zijn:

• wat binnen de organisatie als significant incident geldt;
• wie een incident beoordeelt;
• wie verantwoordelijk is voor de melding;
• welke informatie direct beschikbaar moet zijn;
• hoe besluitvorming buiten kantooruren is geregeld.

Voor zorgorganisaties die onder NIS2 zorg vallen, is het belangrijk om deze procedure te verbinden met bestaande processen voor informatiebeveiliging, crisismanagement, datalekken en continuïteit.

3. Registratieplicht

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister. Dat gebeurt via MijnNCSC. De registratie maakt duidelijk welke organisaties binnen het bereik van NIS2 vallen en zorgt ervoor dat zij relevante informatie en ondersteuning kunnen ontvangen.

Vanaf 15 augustus 2026 is registratie verplicht voor organisaties waarop de wet van toepassing is. Je kunt de registratie nu al voorbereiden of uitvoeren. Bekijk de registratie-informatie van het NCSC.

Cyberbeveiliging wordt met NIS2 nadrukkelijk een bestuurlijke verantwoordelijkheid. Het bestuur moet de maatregelen voor risicobeheersing goedkeuren en toezicht houden op de uitvoering daarvan.

Bestuurders moeten bovendien voldoende kennis hebben om:

• cyberrisico’s te begrijpen;
• beveiligingsmaatregelen te beoordelen;
• prioriteiten te stellen;
• toezicht te houden op de uitvoering;
• de gevolgen voor dienstverlening en bedrijfscontinuïteit te overzien.

Daarom geldt een trainingsplicht voor bestuurders. Cyberveiligheid kan niet uitsluitend worden overgelaten aan de IT-afdeling. Ook kwaliteitsmanagement, risicomanagement, compliance, HR, facilitair management en operationele teams hebben een rol.

De Cyberbeveiligingswet stelt expliciete eisen aan de beveiliging van de toeleveringsketen. Organisaties moeten daarom niet alleen naar hun eigen systemen kijken, maar ook naar de risico’s van directe leveranciers en dienstverleners.

Denk bijvoorbeeld aan leveranciers van:

• cloudsoftware;
• hosting;
• netwerkbeheer;
• cliënt- en patiëntdossiers;
• medische apparatuur;
• salaris- en personeelssoftware;
• communicatieplatforms;
• externe back-updiensten.

Valt je eigen organisatie niet rechtstreeks onder NIS2? Dan kun je er toch mee te maken krijgen. Opdrachtgevers kunnen aanvullende eisen opnemen in contracten, leveranciersbeoordelingen en aanbestedingen. Zij kunnen bijvoorbeeld vragen om informatie over beveiligingsmaatregelen, certificeringen, incidentprocedures en continuïteitsplannen.

NEN 7510 en ISO 27001 bieden een waardevolle basis voor informatiebeveiliging en risicomanagement. Voor NIS2 zorg is vooral NEN 7510 relevant, omdat deze norm specifiek is gericht op informatiebeveiliging binnen de gezondheidszorg.

De normen hebben belangrijke raakvlakken met de Cyberbeveiligingswet, zoals:

• risicoanalyses;
• beleidsvorming;
• toegangsbeheer;
• incidentmanagement;
• leveranciersbeveiliging;
• continuïteitsmanagement;
• evaluatie en verbetering.

Een certificering betekent echter niet automatisch dat je volledig aan de Cyberbeveiligingswet voldoet. Je moet afzonderlijk beoordelen of alle wettelijke verplichtingen zijn afgedekt. Denk daarbij ook aan de registratieplicht, wettelijke meldtermijnen, bestuurlijke verantwoordelijkheid en sectorspecifieke eisen.

Bij de voorbereiding op NIS2 zorg kun je NEN 7510 dus gebruiken als startpunt voor een gerichte gap-analyse.

Een gestructureerde voorbereiding helpt je om risico’s gericht te beheersen en aantoonbaar te maken wat je organisatie heeft geregeld.

Stap 1: bepaal of de wet van toepassing is

Controleer de sector, activiteiten en omvang van je organisatie. Leg de uitkomst en onderbouwing vast, ook wanneer je concludeert dat je organisatie niet rechtstreeks onder de wet valt.

Stap 2: maak verantwoordelijkheden duidelijk

Wijs een verantwoordelijke aan en betrek bestuur, IT, kwaliteit, compliance en operationele teams. Leg vast wie besluiten neemt, maatregelen uitvoert en rapporteert.

Stap 3: voer een risicoanalyse uit

Breng kritieke processen, systemen, informatie, locaties en leveranciers in kaart. Beoordeel per risico de kans, impact, bestaande beheersmaatregelen en het restrisico.

Stap 4: voer een gap-analyse uit

Vergelijk de huidige maatregelen met de zorgplicht uit de Cyberbeveiligingswet. Gebruik daarbij bestaande kaders zoals NEN 7510, ISO 27001 of het Cbw Control Framework.

Stap 5: stel een verbeterplan op

Prioriteer maatregelen op basis van risico en impact. Koppel iedere actie aan een eigenaar, deadline en evaluatiemoment.

Stap 6: richt incident- en continuïteitsprocessen in

Stel een incidentresponseplan, meldprocedure, back-upstrategie en herstelplan op. Test deze plannen met oefeningen en praktijkscenario’s.

Stap 7: beoordeel leveranciers

Breng directe leveranciers in kaart en beoordeel hun invloed op kritieke dienstverlening. Maak duidelijke afspraken over beveiliging, beschikbaarheid, meldingen en herstel.

Stap 8: documenteer en evalueer

Leg beleid, risicoanalyses, besluiten, maatregelen, controles en verbeteracties centraal vast. Beoordeel periodiek of maatregelen nog passend en effectief zijn.

Stap 9: bereid de registratie voor

Verzamel de benodigde organisatie- en contactgegevens en registreer je organisatie via MijnNCSC wanneer de Cyberbeveiligingswet van toepassing is.

De Cyberbeveiligingswet vraagt niet alleen om technische beveiliging. Je moet ook kunnen aantonen welke risico’s zijn beoordeeld, welke maatregelen zijn genomen, wie verantwoordelijk is en hoe de effectiviteit wordt gecontroleerd.

Kwaliteits- en risicomanagementsoftware kan dit proces ondersteunen:

• Met Q Safe leg je cyberrisico’s, risicoscores, beheersmaatregelen en restrisico’s centraal vast.
• Met Q Docs beheer je beleid, procedures en werkinstructies met autorisaties, versiebeheer en revisiedata.
• Met Q Base registreer je onder andere incidenten, auditbevindingen en verbeteracties en volg je deze gestructureerd en aantoonbaar op door de gehele PDCA-cyclus te doorlopen.
• Met Q Perform monitor je KPI’s en beoordeel je of maatregelen het gewenste resultaat opleveren.

Software vervangt technische beveiligingsmaatregelen of deskundig cybersecurityadvies niet. Het helpt je wel om governance, documentatie, opvolging en aantoonbaarheid structureel te organiseren.

De Cyberbeveiligingswet maakt cyberrisicobeheersing, incidentmanagement en bedrijfscontinuïteit aantoonbaar onderdeel van goed bestuur. Begin daarom met het bepalen van je wettelijke positie, voer een risicoanalyse uit en leg maatregelen en verantwoordelijkheden centraal vast.

Wil je meer grip op risicoanalyses, documentatie, incidenten en verbeteracties? Met Qlink ondersteun je de organisatorische borging van de Cbw binnen één centraal kwaliteits- en risicomanagementplatform. Neem contact op en ontdek hoe je jouw organisatie gestructureerd voorbereidt op de Cyberbeveiligingswet.