Valt uw organisatie onder de Cyberbeveiligingswet?

De toets in drie vragen

De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Waar de Wbni zich richtte op een beperkte groep aanbieders van essentiële diensten, kijkt de Cbw naar hele sectoren. Om te bepalen of uw organisatie eronder valt, beantwoordt u drie vragen:

1. Valt een activiteit van uw organisatie onder een sector in bijlage 1 of bijlage 2 van de Cbw? Het gaat om wat u feitelijk doet, niet om de omschrijving in het Handelsregister.
2. Bent u minstens een middelgrote onderneming? De Cbw gebruikt daarvoor de definities uit Aanbeveling 2003/361/EG.
3. Geldt er een regel die de omvang niet laat meetellen? Voor sommige aanbieders en voor overheden is de grootte niet van belang.

Is het antwoord op de eerste vraag nee en geldt er geen bijzondere regel, dan valt u niet rechtstreeks onder de wet. Dat betekent nog niet dat de wet u niet raakt: klanten die wel onder de Cbw vallen, moeten hun toeleveringsketen beveiligen (art. 21 lid 3 onder d Cbw) en geven die eisen door aan hun leveranciers.

Welke sectoren in de bijlagen staan

Bijlage 1 bevat de sectoren die de wet als zeer kritiek beschouwt. Bijlage 2 bevat de overige kritieke sectoren. In de praktijk ziet de verdeling er zo uit:

Kijk bij twijfel naar de precieze omschrijving van het type entiteit in de bijlage. Een maakbedrijf valt bijvoorbeeld niet onder ‘vervaardiging’ omdat het iets produceert, maar alleen als het product in een van de genoemde categorieën valt.

De omvangsgrens

Voor de meeste sectoren geldt de wet pas vanaf een middelgrote onderneming. Volgens Aanbeveling 2003/361/EG is dat een onderneming met minstens 50 werkzame personen, of met een jaaromzet én een balanstotaal van elk meer dan € 10 miljoen. Een grote onderneming heeft 250 werkzame personen of meer, of een omzet van meer dan € 50 miljoen en een balanstotaal van meer dan € 43 miljoen.

Daarbij tellen gegevens van partner- en verbonden ondernemingen mee volgens de regels van de aanbeveling. Een dochter met 30 medewerkers kan dus toch middelgroot zijn als het concern groter is. Een bijzonderheid van de Cbw: de regel uit artikel 3, vierde lid, van de bijlage bij de aanbeveling is niet van toepassing (art. 8 lid 2 en art. 12 lid 2 Cbw). Een onderneming waarin overheden 25% of meer zeggenschap hebben, telt daardoor niet automatisch als groot; ook dan beslissen de werkelijke aantallen.

Essentieel of belangrijk

De Cbw kent twee categorieën. Het verschil zit vooral in het toezicht en de hoogte van de boetes; de zorgplicht en de meldplicht gelden voor beide.

Essentiële entiteiten van rechtswege (art. 8 Cbw) zijn onder meer:

• grote ondernemingen in een sector uit bijlage 1;
• gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, ongeacht hun omvang;
• aanbieders van openbare elektronische communicatienetwerken of -diensten vanaf middelgroot;
• ministeries, zelfstandige bestuursorganen die als overheidsinstantie kwalificeren, provincies, gemeenten, waterschappen en gemeenschappelijke regelingen;
• kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (Wwke).

Daarnaast kan een minister een entiteit als essentieel aanwijzen, bijvoorbeeld als zij in Nederland de enige aanbieder van een essentiële dienst is (art. 9 Cbw), of als zij onder de Wbni al aanbieder van een essentiële dienst was (art. 10 Cbw).

Belangrijke entiteiten van rechtswege (art. 12 Cbw) zijn middelgrote ondernemingen in een sector uit bijlage 1, middelgrote en grote ondernemingen in een sector uit bijlage 2, en kleine aanbieders van openbare elektronische communicatie en van vertrouwensdiensten die niet al essentieel zijn.

Uitzonderingen en bijzondere gevallen

• Veiligheid en rechtshandhaving: de wet geldt niet voor het Ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het openbaar ministerie, de politie en de veiligheidsregio’s (art. 5 Cbw). Ook beheerders van rootnaamservers zijn uitgezonderd (art. 6 Cbw).
• Hoger onderwijs: universiteiten en hogescholen vallen er alleen onder als de minister van OCW ze aanwijst (art. 11 en 13 Cbw). Zorgplicht en bestuursplichten gelden dan pas 36 maanden na de aanwijzing (art. 97 Cbw).
• Financiële sector: waar Europese sectorregels minstens gelijkwaardige eisen stellen, zoals DORA, gaan die voor op de zorgplicht en de meldplicht van de Cbw (art. 22 en 31 Cbw).
• Nevenactiviteiten: beoordeel per activiteit. Een organisatie die naast haar hoofdactiviteit een datacenterdienst voor derden levert, moet nagaan of die dienst haar onder de wet brengt.

Zelf toetsen en vastleggen

Het NCSC beschrijft op de pagina ‘Valt mijn organisatie onder de Cyberbeveiligingswet?’ hoe u de toets uitvoert. De RDI biedt daarnaast de NIS2 Zelfevaluatie NL aan; die stond bij het bijwerken van deze pagina nog op de stand van de richtlijn en is volgens de eigen toelichting nog aan te passen. Gebruik hem dus als hulpmiddel en controleer de uitkomst aan de wettekst in het Staatsblad 2026, 187.

Leg de uitkomst schriftelijk vast: welke activiteiten u heeft beoordeeld, welke bijlage en welk type entiteit u heeft gebruikt, welke cijfers u voor de omvang heeft gehanteerd en wie de conclusie heeft getrokken. Als een toezichthouder later vraagt waarom u zich wel of niet heeft geregistreerd, is dat uw onderbouwing. Valt u eronder, dan is de registratie in MijnNCSC de eerste stap.

Een eerste indeling krijgt u ook met de NIS2-scan: u geeft sector, aantal medewerkers, omzet en balanstotaal op en ziet direct of u waarschijnlijk essentieel of belangrijk bent.