Zoekt u de invoeringschecklist rond 15 augustus 2026? Die pagina blijft beschikbaar als historische voorbereidingscontext. Bekijk de 7 acties rond de invoering →
Het korte antwoord
De Cyberbeveiligingswet geldt vanaf 15 augustus 2026. Voor organisaties binnen de reikwijdte worden de wettelijke verplichtingen niet uitgesteld omdat de implementatie nog loopt. Bepaal daarom eerst of de juiste juridische entiteit onder de wet valt en prioriteer vervolgens registratie, risico’s die u niet verantwoord kunt laten voortbestaan, bestuurlijke verantwoordelijkheid, het incidentmeldproces en aantoonbare opvolging. Een verbeterplan kan prioriteiten, tijdelijke beheersmaatregelen en besluiten vastleggen, maar maakt een bestaande tekortkoming niet automatisch compliant.
Niet klaar is geen aparte juridische status. De praktische vraag is vanaf nu: welke verplichtingen gelden voor uw organisatie, welke risico’s zijn vandaag onvoldoende beheerst en hoe maakt u aantoonbaar dat daar gericht op wordt gestuurd?
De deadline is voorbij. Wat verandert er praktisch?
Tot 15 augustus kon een organisatie de Cyberbeveiligingswet vooral benaderen als een voorbereidingsprogramma. Vanaf nu is dat perspectief te vrijblijvend voor entiteiten die binnen de reikwijdte vallen. Registratie, risicobeheersing, incidentmelding en bestuurlijke verantwoordelijkheid zijn geen toekomstige projectonderdelen meer, maar actuele wettelijke verplichtingen.
Dat betekent niet dat ieder openstaand document dezelfde urgentie heeft. De zorgplicht is risicogebaseerd: organisaties moeten risico’s voor hun netwerk- en informatiesystemen beoordelen en passende en evenredige technische, operationele en organisatorische maatregelen nemen. Wie nog niet volledig gereed is, heeft daarom vooral behoefte aan prioritering op risico én aan aantoonbare besluitvorming.
De verkeerde reflex is om in enkele dagen zoveel mogelijk policies af te ronden. Een policy die niet wordt uitgevoerd, gemonitord of getest, bewijst weinig. De betere route verbindt risico, maatregel, eigenaar, uitvoering, bewijs en bestuurlijk besluit.
1. Stel eerst vast of de Cyberbeveiligingswet daadwerkelijk op uw organisatie van toepassing is
Begin bij de juridische entiteit en de feitelijk geleverde dienst. Of de Cyberbeveiligingswet geldt, hangt onder meer af van sector, soort activiteit, omvang, vestigingsplaats, uitzonderingen en eventuele aanwijzing. Een klant die NIS2-eisen stelt of het feit dat u aan een kritieke sector levert, maakt uw organisatie niet automatisch zelf tot essentiële of belangrijke entiteit.
Leg de scopebeslissing zo vast dat later te reconstrueren is waarom u wel of niet binnen de reikwijdte valt. Noteer minimaal de onderzochte rechtspersoon, relevante dienst, sector, omvangscriteria, vestiging, uitzonderingen en de gebruikte officiële bronnen.
Twijfelt u over de reikwijdte? Gebruik de centrale uitleg over NIS2 en de Cyberbeveiligingswet als startpunt. Bij complexe groepsstructuren of juridische uitzonderingen kan aanvullend gespecialiseerd juridisch advies nodig zijn.
2. Valt u eronder? Regel de NCSC-registratie
Voor entiteiten die onder de Cyberbeveiligingswet vallen, is registratie in het nationale entiteitenregister via MijnNCSC vanaf 15 augustus verplicht. Registratie is praktisch, maar vraagt vaak informatie uit meerdere delen van de organisatie: organisatie- en contactgegevens, publieke IP-adressen of IP-reeksen, domeinnamen en waar van toepassing AS-nummers.
Maak registratie daarom een concrete eigenaarstaak. Controleer wie met eHerkenning of SSOnRijk kan inloggen, wie beslissingsbevoegd is, welke technische gegevens nodig zijn en wie wijzigingen in de registratie beheert.
Registratie is niet hetzelfde als compliance. Een geregistreerde organisatie kan nog steeds tekortkomingen hebben in risicobeheersing, incidentmelding, bestuur of leveranciersbeheersing.
3. Zoek eerst de risico’s op die u niet verantwoord kunt laten voortbestaan
Als nog tientallen of honderden acties openstaan, helpt een alfabetische actielijst niet. Rangschik tekortkomingen op potentiële impact op de wettelijke dienst en op de kans dat een incident ontstaat of niet tijdig wordt beheerst.
Directe blootstelling
Bijvoorbeeld onbeveiligde externe toegang, kritieke kwetsbaarheden, zwakke privileged access of ontbrekende logging op kroonjuwelen.
Herstelbaarheid
Back-ups, hersteltests, continuïteit en afhankelijkheden die bepalen of een verstoring beheersbaar blijft.
Detectie en respons
Kan de organisatie een mogelijk significant incident herkennen, escaleren, onderzoeken en tijdig melden?
Kritieke keten
Leveranciers waarvan uitval of compromittering direct invloed heeft op de eigen dienstverlening of meldtermijnen.
Leg bij ieder urgent risico vast welke tijdelijke beheersmaatregel onmiddellijk wordt genomen en welke definitieve oplossing volgt. Een tijdelijke maatregel is alleen bruikbaar als duidelijk is wat zij afdekt, wie eigenaar is en wanneer zij wordt vervangen of herbeoordeeld.
4. Zorg dat uw incidentorganisatie vanaf nu kan functioneren
Voor significante incidenten werkt de Cyberbeveiligingswet met een gefaseerde meldroute. De vroegtijdige waarschuwing moet zo snel mogelijk en uiterlijk binnen 24 uur na kennisname worden gedaan, gevolgd door een incidentmelding binnen 72 uur en in beginsel een eindverslag binnen één maand na de incidentmelding.
Het risico voor een organisatie die nog niet klaar is, zit niet alleen in ontbrekende documenten. Het zit vooral in een meldketen die op vrijdagavond niet werkt: niemand weet wie significantie beoordeelt, de bevoegde melder is afwezig, technische informatie is niet beschikbaar of een leverancier meldt pas nadat uw eigen 24-uursvenster vrijwel verstreken is.
- Wijs primaire en vervangende incidentrollen aan.
- Leg vast wie een incident als mogelijk significant classificeert.
- Zorg dat MijnNCSC-toegang en benodigde bevoegdheden beschikbaar zijn.
- Stem cyber, privacy, legal, communicatie en bestuur op één escalatieroute af.
- Test de keten buiten kantooruren en neem kritieke leveranciers mee.
5. Breng het bestuur formeel in positie
Cyberbeveiliging is onder de Cbw expliciet een bestuurlijke verantwoordelijkheid. Het bestuur moet de maatregelen voor het beheersen van cyberbeveiligingsrisico’s goedkeuren en toezien op de uitvoering. De operationele uitvoering kan bij CISO, IT, risk, compliance of externe specialisten liggen, maar het bestuur moet kunnen uitleggen welke risico’s bestaan, welke maatregelen prioriteit krijgen, welke middelen nodig zijn en welke voortgang wordt gevolgd.
Een bruikbare bestuursvraag voor vandaag: kan het bestuur uitleggen welke cyberrisico’s op dit moment onvoldoende beheerst zijn, wat daar tijdelijk en structureel aan gebeurt, wie eigenaar is en wanneer het bestuur opnieuw over de resterende risico’s besluit?
Voor de specifieke kennis- en vaardigheidseis voor uitvoerende bestuurders geldt een termijn van twee jaar. Dat is geen uitstel van de bestuurlijke goedkeurings- en toezichtstaak. Bekijk de aparte bestuurdersgids over verantwoordelijkheid, training en bewijs.
6. Maak een aantoonbaar herstel- en verbeterplan
Een organisatie die nog niet volledig voldoet, moet voorkomen dat openstaande punten verdwijnen in losse spreadsheets, e-mails en projectplannen. Maak één bestuurbaar overzicht waarin tekortkoming, risico, tijdelijke beheersing, definitieve maatregel en besluitvorming aan elkaar zijn gekoppeld.
| Nu vastleggen | Waarom |
|---|---|
| Gap | Wat ontbreekt of werkt onvoldoende? |
| Risico | Welk scenario of welke impact maakt dit relevant? |
| Tijdelijke beheersmaatregel | Wat beperkt het risico zolang de definitieve oplossing nog niet werkt? |
| Definitieve maatregel | Welke gewenste toestand moet aantoonbaar worden bereikt? |
| Eigenaar | Wie is verantwoordelijk voor uitvoering en terugrapportage? |
| Deadline en mijlpalen | Wanneer moet de maatregel werken en wanneer wordt voortgang beoordeeld? |
| Bestuursbesluit | Welke prioriteit, middelen en restrisico’s zijn expliciet besproken? |
| Bewijs | Hoe toont u uitvoering én werking aan? |
Cruciaal: een verbeterplan schort wettelijke verplichtingen niet op en maakt een tekortkoming niet automatisch compliant. Het helpt wel om te voorkomen dat een organisatie passief achterloopt: risico’s worden geprioriteerd, eigenaren en deadlines zijn zichtbaar en bestuurlijke afwegingen zijn reconstrueerbaar.
7. Laat vervolgens systematisch vaststellen wat nog ontbreekt
Wanneer de eerste brandpunten zijn beheerst, is een compleet beeld nodig. Een goede NIS2-gap-analyse kijkt niet alleen naar policies of een zelftest, maar naar wettelijke scope, zorgplicht, daadwerkelijke werking van maatregelen, incidentmelding, bestuur, leveranciersketen en bewijsvoering.
De uitkomst moet onderscheid maken tussen:
- maatregelen die aantoonbaar werken;
- maatregelen die bestaan maar onvoldoende worden uitgevoerd of getest;
- ontbrekende wettelijke of organisatorische onderdelen;
- urgente risico’s waarvoor directe mitigatie nodig is;
- structurele verbeteringen die in een realistische volgorde kunnen worden uitgevoerd.
Wat u nu beter niet doet
Alles even belangrijk maken
Een vlakke lijst van honderd acties verbergt welke risico’s vandaag bestuurlijk onaanvaardbaar zijn.
Registratie als eindpunt zien
MijnNCSC-registratie is noodzakelijk voor in-scope entiteiten, maar vervangt de overige verplichtingen niet.
Alleen documenten produceren
Beleid zonder uitvoering, testen, monitoring en bewijs levert geen aantoonbare beheersing op.
Wachten op perfectie
Urgente risico’s, incidentrespons en bestuurlijke sturing kunnen niet wachten tot ieder werkpakket volledig is afgerond.
Gebruik dit artikel als route door het NIS2-dossier
Veelgestelde vragen
Is de Cyberbeveiligingswet nu van kracht?
Ja. De Cyberbeveiligingswet geldt vanaf 15 augustus 2026. Voor entiteiten binnen het toepassingsbereik gelden vanaf die datum de wettelijke verplichtingen.
Vanaf wanneer moet mijn organisatie aan de Cyberbeveiligingswet voldoen?
Voor organisaties die binnen het toepassingsbereik vallen, gelden de verplichtingen vanaf 15 augustus 2026. Er is geen algemene uitstelperiode voor de zorgplicht, registratieplicht, meldplicht of bestuurlijke verantwoordelijkheid.
Wat als mijn organisatie op 15 augustus 2026 nog niet aan alle eisen voldoet?
Breng eerst scope en urgente risico’s in beeld, regel verplichte registratie, zorg dat de incidentmeldketen werkt, positioneer het bestuur en leg een geprioriteerd verbeterplan met eigenaren, deadlines, tijdelijke beheersmaatregelen en bewijs vast. Een verbeterplan maakt een bestaande tekortkoming niet automatisch compliant.
Is er een overgangstermijn voor de Cyberbeveiligingswet?
Niet als algemene vrijstelling voor de hoofdverplichtingen. Voor de specifieke kennis- en vaardigheidseis voor uitvoerende bestuurders geldt wel een termijn van twee jaar om aan de trainingsvereisten te voldoen. De bestuurlijke taak om maatregelen goed te keuren en toezicht te houden geldt vanaf de inwerkingtreding.
Moet ik mij direct bij het NCSC registreren?
Valt uw organisatie onder de Cyberbeveiligingswet, dan is registratie in het nationale entiteitenregister via MijnNCSC vanaf 15 augustus 2026 verplicht. Bekijk wat u voor de registratie nodig heeft.
Ben ik na NCSC-registratie compliant met NIS2?
Nee. Registratie is één wettelijke verplichting. Daarnaast gelden onder meer de zorgplicht, meldplicht en bestuurlijke verplichtingen.
Wat moet mijn bestuur vanaf 15 augustus doen?
Het bestuur moet cyberbeveiligingsmaatregelen goedkeuren en toezien op de uitvoering. Het moet aantoonbaar kunnen sturen op risico’s, prioriteiten, middelen, incidenten en opvolging.
Welke NIS2-maatregelen moet ik als eerste nemen?
Prioriteer op risico en mogelijke impact. Begin met tekortkomingen die ernstige verstoring, compromise of niet-tijdige incidentrespons kunnen veroorzaken. Die prioritering is geen vrijstelling van overige wettelijke verplichtingen.
Wat als ik niet weet of de Cyberbeveiligingswet voor mijn organisatie geldt?
Bepaal eerst de toepasselijkheid op basis van de relevante juridische entiteit, sector, activiteit, omvang, vestiging en eventuele uitzonderingen of aanwijzing. Leg de onderbouwing vast en laat complexe juridische situaties zo nodig gespecialiseerd toetsen.
Is ISO 27001 voldoende voor de Cyberbeveiligingswet?
Nee, niet automatisch. ISO 27001 kan een sterke basis bieden voor risicomanagement en aantoonbare beheersing, maar vervangt geen beoordeling van wettelijke scope, registratie, meldtermijnen, bestuurlijke verplichtingen en sectorspecifieke eisen. Bekijk de belangrijkste verschillen.
Officiële bronnen
- NCSC: Cyberbeveiligingswet (NIS2) - toepassingsbereik en hoofdverplichtingen
- NCSC: registratie in het nationale entiteitenregister via MijnNCSC
- NCSC: meldplicht - 24 uur, 72 uur en eindverslag
- NCSC: zorgplicht en risicogebaseerde maatregelen
- NCTV: bestuurlijke verantwoordelijkheid en trainingsplicht
- Rijksoverheid: Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
Weet u niet welke Cbw-eisen al aantoonbaar zijn ingericht?
De NIS2 Gap Analyse verbindt wettelijke scope, zorgplicht, bestuur, meldplicht, leveranciersketen en bewijsvoering. U krijgt zicht op wat al werkt, welke gaps urgent zijn en welke 90-dagenroute bestuurlijk uitvoerbaar is.
Laatst inhoudelijk gecontroleerd op 15 augustus 2026. Deze pagina bevat algemene informatie en is geen juridisch oordeel over een specifieke organisatie.