De zeven acties in het kort
- Bepaal de wettelijke scope op het niveau van de juiste rechtspersoon en dienst.
- Breng vestigingen, groepsafhankelijkheden en bevoegdheden in kaart.
- Bereid registratie via MijnNCSC voor.
- Leg bestuurlijk eigenaarschap, besluitvorming en rapportage vast.
- Test de meldketen voor 24 uur, 72 uur en het eindverslag.
- Prioriteer kritieke leveranciers en incidentafspraken.
- Maak zichtbaar wat werkt, wat ontbreekt en wie daarover heeft besloten.
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Dit artikel verschijnt op 7 augustus: acht dagen vóór die datum. Voor ruim 8.000 Nederlandse organisaties gaan vanaf de inwerkingtreding nieuwe verplichtingen gelden rond registratie, risicobeheersing, incidentmelding en bestuur.
Deze checklist is primair bedoeld voor bestuurders, CISO’s, complianceverantwoordelijken en andere functionarissen die het bestuur voorbereiden en vóór 15 augustus moeten vaststellen waar de organisatie staat.
De kern: probeer in acht dagen niet een compleet programma opnieuw te ontwerpen. Zorg dat scope, verantwoordelijkheden, urgente risico’s, registratie, meldprocedures en openstaande tekortkomingen bestuurbaar en aantoonbaar zijn.
Een onderbouwd verbeterplan is nuttig, maar vervangt geen wettelijke naleving. Openstaande tekortkomingen kunnen na 15 augustus nog steeds een overtreding of toezichtsvraag opleveren. Het plan moet daarom laten zien welke risico’s direct worden beheerst, welke acties volgen en welk bestuurdersbesluit daarachter zit.
Wat verandert er op 15 augustus 2026?
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Voor entiteiten binnen de reikwijdte bestaat de operationele kern uit registreren, risico’s beoordelen, passende maatregelen nemen en significante incidenten melden. Het bestuur moet de maatregelen goedkeuren en toezicht houden op de uitvoering.
| Onderwerp | Wat moet aantoonbaar zijn? |
|---|---|
| Scope | Welke juridische entiteit, dienst, sector en vestiging onder de beoordeling vallen. |
| Risicobeheersing | Welke risico’s zijn beoordeeld, welke maatregelen passend zijn en hoe de werking wordt gevolgd. |
| Bestuur | Goedkeuring, toezicht, rapportage, middelen, restrisicoacceptatie en kennisopbouw. |
| Meldplicht | Wie significantie beoordeelt en hoe binnen 24 uur, 72 uur en één maand wordt gehandeld. |
| Keten | Welke rechtstreekse leveranciers kritisch zijn en welke beveiligings- en meldafspraken gelden. |
Actie 1: Bepaal of uw organisatie onder de wet valt
Begin niet met templates of tooling voordat duidelijk is welke rechtspersoon welke relevante dienst levert. De beoordeling hangt onder meer af van sector, activiteiten, omvang, vestigingsplaats, uitzonderingen en eventuele aanwijzing.
Leg minimaal vast
- de relevante rechtspersoon en feitelijk geleverde dienst;
- sector, subsector en gebruikte wettelijke bron;
- medewerkers en financiële omvang;
- betrokken locaties en landen;
- onderzochte uitzonderingen;
- de eigenaar en goedkeurder van het scopebesluit.
Actie 2: Breng rechtspersonen, vestigingen en bevoegdheden in kaart
Een concern is niet automatisch één NIS2-entiteit. Tegelijk kan een relevante dienst afhankelijk zijn van systemen, medewerkers en leveranciers in meerdere groepsmaatschappijen of lidstaten.
Start daarom bij de juridische entiteit, haar vestiging en de plaats waar de dienst wordt geleverd. Voor bepaalde grensoverschrijdende digitale dienstverleners gelden specifieke regels rond de hoofdvestiging in de EU. Trek die conclusie niet alleen uit de holdingstructuur: documenteer waar besluiten over cyberbeveiligingsmaatregelen hoofdzakelijk worden genomen en laat grensoverschrijdende situaties zo nodig juridisch toetsen.
- Wie contracteert met klanten en wie levert de dienst feitelijk?
- Waar worden systemen beheerd en beveiligingsbesluiten genomen?
- Welke groepsmaatschappijen leveren kritieke ondersteuning?
- In welke lidstaten bestaan vestigingen, activiteiten en toezichtsrelaties?
Actie 3: Bereid de registratie via MijnNCSC voor
Entiteiten die onder de wet vallen, moeten zich vanaf 15 augustus registreren in het nationale entiteitenregister. Registratie via MijnNCSC is al mogelijk. Controleer vóór de deadline:
- welke rechtspersoon wordt geregistreerd;
- of eHerkenning of Single Sign On Rijk beschikbaar is;
- wie inhoudelijk en beslissingsbevoegd contactpersoon is;
- wie als vervanger optreedt bij afwezigheid;
- hoe wijzigingen in gegevens tijdig worden verwerkt.
Registratie is geen compliancebewijs. Zij maakt de entiteit kenbaar en ondersteunt toegang tot relevante dienstverlening, maar bewijst niet dat zorgplicht, meldplicht en bestuurlijke verplichtingen functioneren.
Actie 4: Leg bestuurlijk eigenaarschap en besluitvorming vast
Cyberbeveiliging wordt expliciet een bestuursonderwerp. Het bestuur moet de risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering en kunnen sturen op risico’s, prioriteiten en middelen. Een CISO of externe adviseur kan voorbereiden en uitvoeren, maar neemt deze verantwoordelijkheid niet over.
Wat moet vóór 15 augustus duidelijk zijn?
- welk bestuurslid portefeuillehouder is en hoe het voltallige bestuur betrokken blijft;
- welke rapportage het bestuur ontvangt en hoe vaak;
- wie maatregelen en restrisico’s ter besluitvorming voorlegt;
- hoe middelen, deadlines en escalaties worden vastgesteld;
- hoe besluiten en opvolging aantoonbaar worden vastgelegd.
Weet u niet zeker welke verplichtingen al aantoonbaar zijn ingericht? Bekijk de NIS2 Quickscan & Gereedheidsanalyse.
Actie 5: Test de incidentmeldprocedure
Voor significante incidenten geldt een gefaseerde meldketen: een vroegtijdige waarschuwing onverwijld of uiterlijk binnen 24 uur, een uitgebreidere melding uiterlijk binnen 72 uur en in beginsel een eindverslag binnen één maand. De klok begint te lopen zodra de organisatie kennis heeft van een incident waarvan redelijkerwijs moet worden aangenomen dat het significant is.
Vroegtijdige waarschuwing
Eerste beeld van incident, vermoede oorzaak, grensoverschrijdende impact en mogelijke kwaadwilligheid.
Incidentmelding
Geactualiseerde beoordeling van ernst, impact, indicatoren en genomen of geplande maatregelen.
Oefen buiten kantooruren
Simuleer op zaterdagavond uitval of compromittering van een kritieke cloudomgeving. Controleer wie significantie beoordeelt, wie mag melden, welke informatie beschikbaar is en hoe bestuur, legal, privacy, communicatie en leveranciers aansluiten.
Lees de volledige uitleg over de NIS2-meldplicht van 24 uur, 72 uur en één maand.
Actie 6: Prioriteer leveranciers- en ketenrisico’s
De zorgplicht stopt niet bij systemen die de organisatie zelf beheert. Breng eerst de leveranciers in beeld die de grootste impact kunnen hebben op de wettelijke dienst, zoals cloud-, hosting-, managed-service-, software- en herstelpartners.
- Welke dienst, systemen en gegevens ondersteunt de leverancier?
- Hoe groot zijn afhankelijkheid, uitwijkmogelijkheid en herstelimpact?
- Welke beveiligings- en assurance-eisen zijn afgesproken?
- Welke incidentinformatie moet binnen welke termijn worden verstrekt?
- Wie is buiten kantooruren bereikbaar en hoe wordt aan onderzoek meegewerkt?
Actie 7: Maak werking en tekortkomingen aantoonbaar
Beleid is pas overtuigend wanneer zichtbaar is dat de maatregel wordt uitgevoerd, gecontroleerd en verbeterd. Maak één bestuurbare bewijsmatrix.
| Kolom | Bestuurlijke vraag |
|---|---|
| Risico en eis | Waarom is deze maatregel nodig? |
| Maatregel en eigenaar | Wie zorgt dat zij wordt uitgevoerd? |
| Bewijs en resultaat | Hoe weten we dat zij werkelijk werkt? |
| Status en tekortkoming | Wat ontbreekt of functioneert onvoldoende? |
| Actie, deadline en besluit | Wat gebeurt wanneer en wie heeft prioriteit en restrisico goedgekeurd? |
Voorbeelden van bruikbaar bewijs zijn actuele risicoanalyses, configuraties, toegangsreviews, logging, hersteltests, incidentdossiers, leveranciersbeoordelingen, audits, managementrapportages en aantoonbare opvolging.
Belangrijk: een gapregister of verbeterplan is geen vrijstelling. Het maakt wel zichtbaar dat urgente risico’s worden beheerst, dat openstaande acties een eigenaar hebben en dat het bestuur bewust stuurt op de resterende tekortkomingen.
Een praktische acht-dagenaanpak
Dag 1–2: scope en registratie
Bevestig rechtspersonen, diensten, vestigingen, eHerkenning, contactpersonen en vervanging.
Dag 3–4: bestuur en meldketen
Bespreek risico’s en prioriteiten en test een incident van detectie tot 24- en 72-uursmelding.
Dag 5–6: leveranciers en bewijs
Identificeer de kritieke ketenpartners en verzamel bestaand bewijs van maatregelen en tests.
Dag 7–8: gaps en besluitvorming
Prioriteer tekortkomingen en laat het bestuur middelen, eigenaren, deadlines en restrisico’s vastleggen.
Checklist voor 15 augustus
- De toepasselijkheid en betrokken juridische entiteiten zijn vastgesteld.
- Registratie is voorbereid of uitgevoerd en minimaal twee bevoegde personen zijn beschikbaar.
- Het bestuur heeft risico’s, maatregelen, middelen en rapportage besproken.
- De meldketen is ook buiten kantooruren getest.
- Kritieke leveranciers en hun incidentafspraken zijn beoordeeld.
- Werkende maatregelen en openstaande gaps zijn in één overzicht verbonden.
- Besluiten, eigenaren en deadlines zijn aantoonbaar vastgelegd.
Veelgestelde vragen
Wanneer treedt de Cyberbeveiligingswet in werking?
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Vanaf die datum gelden de verplichtingen voor in Nederland gevestigde entiteiten die binnen het toepassingsbereik vallen.
Moet iedere organisatie zich registreren?
Alleen entiteiten die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister. Registratie via MijnNCSC is al mogelijk.
Moeten bestuurders vóór 15 augustus hun training afronden?
Nee. De wet geeft zittende bestuursleden twee jaar om aan de kennis- en vaardigheidseis te voldoen. De verantwoordelijkheid om maatregelen goed te keuren en toezicht te houden geldt wel vanaf de inwerkingtreding.
Moet ieder cyberincident binnen 24 uur worden gemeld?
Nee. De meldplicht geldt voor significante incidenten. De organisatie moet wel vooraf kunnen beoordelen wanneer een incident mogelijk significant is en wie daarover beslist.
Is ISO 27001 voldoende voor de Cyberbeveiligingswet?
ISO 27001 biedt een sterke basis voor risicomanagement en aantoonbare beheersing, maar een certificaat bewijst niet automatisch dat wettelijke scope, registratie, meldtermijnen en bestuursverplichtingen juist zijn ingevuld.
Is een verbeterplan voldoende als nog niet alles gereed is?
Nee. Een verbeterplan schort wettelijke verplichtingen niet op en maakt een tekortkoming niet automatisch compliant. Het plan helpt wel om risico’s, eigenaren, besluiten en voortgang aantoonbaar te beheersen.
Officiële bronnen
- Rijksoverheid: Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
- Staatsblad 2026, 187: tekst van de Cyberbeveiligingswet
- Staatsblad 2026, 189: Cyberbeveiligingsbesluit en inwerkingtreding
- NCSC: Cyberbeveiligingswet, registratie en voorbereiding
Van deadline naar aantoonbare beheersing
De sterkste voorbereiding bestaat niet uit zo veel mogelijk documenten. Zij verbindt toepasselijkheid, risico, maatregel, uitvoering, bewijs en bestuurlijk besluit. Daarmee ontstaat een route die ook na 15 augustus bruikbaar blijft.
Weet u nog niet zeker wat de wet voor uw organisatie betekent?
Breng toepasselijkheid, bestuurlijke verantwoordelijkheid, meldgereedheid en de belangrijkste tekortkomingen in kaart, inclusief concrete prioriteiten voor de komende 90 dagen.
Laatst inhoudelijk gecontroleerd op 7 augustus 2026. Deze pagina bevat algemene informatie en is geen juridisch oordeel over een specifieke organisatie.