Valt mijn bedrijf onder de Cyberbeveiligingswet? Een zelftoets in vier vragen

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitvoering van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. Volgens de NCTV zijn organisaties "zelf verantwoordelijk om na te gaan of zij onder de Cyberbeveiligingswet vallen", en sinds die datum geldt ook de registratieplicht. De wet onderscheidt essentiële en belangrijke entiteiten. Of u een van beide bent, hangt af van uw sector, het soort organisatie en uw omvang.

Vraag 1 — Valt uw activiteit in een sector uit bijlage 1 of 2?

De wet noemt de sectoren in twee bijlagen. Bijlage 1 bevat onder meer energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart. Bijlage 2 bevat onder meer post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, bepaalde maakindustrie (zoals medische hulpmiddelen, elektronica, machines en voertuigen), digitale aanbieders (onlinemarktplaatsen, zoekmachines, platforms voor sociale netwerken) en onderzoek.

Kijk naar wat u feitelijk doet, niet alleen naar uw SBI-code. Een IT-bedrijf dat voor klanten netwerken en systemen op afstand beheert, valt bijvoorbeeld onder "beheer van ICT-diensten". Staat uw activiteit in geen van beide bijlagen? Dan valt u in de regel niet onder de wet, ongeacht uw omvang.

Vraag 2 — Bent u middelgroot of groter?

Voor de meeste sectoren geldt een omvangsdrempel volgens de Europese mkb-definitie. U bent middelgroot of groter als u 50 of meer werknemers heeft (in fte), of als zowel uw jaaromzet als uw balanstotaal boven €10 miljoen ligt. Kleine en micro-ondernemingen vallen in de meeste sectoren buiten de wet.

Let op bij groepen: volgens de Europese mkb-definitie tellen gegevens van partner- en verbonden ondernemingen mee. Een bv met twintig mensen die onderdeel is van een groep van tweehonderd, kan daardoor toch boven de drempel komen. De NCTV heeft hiervoor een aparte handreiking over complexe bedrijfsmodellen gepubliceerd.

Vraag 3 — Geldt voor u een uitzondering op de omvangsdrempel?

Voor een aantal categorieën doet omvang er niet toe. Volgens de NCTV gelden de omvangscriteria niet voor overheidsinstanties (met uitzondering van onder meer defensie, nationale veiligheid en opsporing). Ook aanbieders van bijvoorbeeld DNS-diensten, registers voor topleveldomeinen, (gekwalificeerde) verleners van vertrouwensdiensten en aanbieders van openbare elektronische communicatienetwerken of -diensten kunnen ook als kleine organisatie onder de wet vallen. Hetzelfde geldt voor organisaties die als kritieke entiteit zijn aangewezen, en voor organisaties die de minister op grond van bijzondere criteria aanwijst, bijvoorbeeld omdat zij in Nederland de enige aanbieder van een essentiële dienst zijn. Herkent u uw organisatie hierin, laat de zelftoets dan los en gebruik de officiële tool en het wettelijke kader.

Vraag 4 — Bent u in Nederland gevestigd?

De Cbw geldt in de regel voor entiteiten die in Nederland gevestigd zijn. Heeft u vestigingen in meerdere EU-landen, dan kan de wetgeving van een ander land (ook) gelden; voor sommige digitale diensten telt de hoofdvestiging. Ook hiervoor verwijst de NCTV naar de handreiking complexe bedrijfsmodellen.

Essentieel of belangrijk?

Valt u onder de wet, dan is de volgende vraag welk label u krijgt. Grofweg: een organisatie uit bijlage 1 die groter is dan middelgroot (250 of meer werknemers, of een jaaromzet boven €50 miljoen én een balanstotaal boven €43 miljoen), is een essentiële entiteit. Middelgrote organisaties uit bijlage 1 en middelgrote en grote organisaties uit bijlage 2 zijn belangrijke entiteiten. Beide moeten zich registreren en voldoen aan de zorgplicht en de meldplicht. Het verschil zit vooral in het toezicht: bij essentiële entiteiten kan de toezichthouder ook vooraf en zonder aanleiding controleren, bij belangrijke entiteiten vooral achteraf, bijvoorbeeld na een incident of signaal.

De uitkomst lezen

• Ja op 1, 2 en 4 (of ja op 3): waarschijnlijk valt u onder de wet. Doe de officiële NIS2-zelfevaluatietool, registreer via MijnNCSC als dat nog niet is gebeurd, en begin met de zorgplicht: tien maatregelgebieden, waaronder risicoanalyse, incidentbehandeling, back-ups, ketenbeveiliging en multifactor-authenticatie. Het bestuur moet de maatregelen goedkeuren.
• Nee op 1 of 2, en nee op 3: u valt waarschijnlijk niet zelf onder de wet. Leg vast hoe u tot die conclusie kwam (welke sector, welke cijfers, op welke datum). Dat is handig als een klant of verzekeraar ernaar vraagt, en u kunt het jaarlijks bijwerken.
• Twijfel: gebruik de zelfevaluatietool, en vraag bij complexe situaties juridisch advies.

"Ik val er niet onder, maar mijn klant wel"

Dit is voor veel mkb-bedrijven de belangrijkste uitkomst. Als u levert aan een organisatie die wel onder de wet valt, moet die organisatie de risico's in haar toeleveringsketen beheersen en mag ze eisen stellen aan haar rechtstreekse leveranciers. De NCTV benadrukt dat een toeleverancier daardoor "niet automatisch" zelf onder de wet valt. In de praktijk krijgt u wel een vragenlijst of contractclausule. Hoe u die aanpakt, leest u in Uw klant stuurt een NIS2-leveranciersvragenlijst: wat vult u in?