Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht en daarmee ook de registratieplicht: organisaties die onder de wet vallen, moeten zich inschrijven in het entiteitenregister bij het Nationaal Cyber Security Centrum. Dat klinkt als een formaliteit, en dat is het deels ook. Maar het is wel de eerste verplichting waarop de toezichthouder eenvoudig kan controleren: sta je erin of niet. Wie niet of onjuist registreert, kan een boete of een last onder dwangsom verwachten.
Waarom deze plicht bestaat
Het register geeft Nederland en de Europese Unie zicht op wie de vitale en belangrijke diensten leveren. Voor jou heeft registratie ook een praktische kant: na inschrijving word je aangesloten op het CSIRT van je sector, zoals Z-CERT voor de zorg. Je krijgt dreigingsinformatie die specifiek voor jouw sector relevant is en ondersteuning als je een incident hebt. Zonder registratie sta je bij een incident alleen.
Wat je nodig hebt
De registratie zelf duurt zo'n tien minuten, als je alles bij de hand hebt. Dat laatste is het werk. Je logt in op mijn.ncsc.nl met eHerkenning op niveau EH2+, gekoppeld aan het KvK-nummer van je organisatie en met een machtiging om namens de organisatie te handelen. Rijksorganisaties gebruiken Single Sign On Rijk. Vervolgens doorloop je vijf schermen:
- Organisatiegegevens: naam, KvK-nummer, adres, en de sector en subsector waaronder je valt volgens de bijlagen van de wet.
- Classificatie: of je een essentiële of een belangrijke entiteit bent. Dat bepaalt de zwaarte van het toezicht, dus leg de onderbouwing vast.
- Contactpersonen: wie het NCSC en de toezichthouder mogen benaderen, ook buiten kantooruren.
- Netwerkgegevens: je IP-ranges en domeinnamen. Dit is waar het meestal vastloopt, omdat deze informatie bij de netwerkbeheerder of de hostingpartij ligt en niet bij degene die de registratie invult.
- Andere lidstaten: ben je ook in andere EU-landen actief, dan registreer je in het land van je hoofdvestiging, en soms aanvullend elders.
Waar het misgaat
Niemand is eigenaar. De registratie vraagt bestuurlijke gegevens én technische gegevens. In veel organisaties ligt dat bij drie verschillende mensen, en dus bij niemand. Wijs één persoon aan met beslissingsbevoegdheid, bij voorkeur de CISO of de IT-verantwoordelijke.
De classificatie is een gok. Of je essentieel of belangrijk bent, volgt uit sector, omvang en soms uit specifieke aanwijzing. Een verkeerde inschatting corrigeer je later, maar een onderbouwde keuze scheelt discussie met de toezichthouder. Onze Cyberbeveiligingswet-check geeft in twee minuten een eerste indicatie.
Registreren en vergeten. Wijzigingen moet je binnen twee weken doorgeven: een fusie, een nieuw domein, andere IP-ranges, een andere contactpersoon. Dat vraagt een klein proces, bijvoorbeeld een vaste controle bij elke wijziging in je netwerk of organisatiestructuur.
Registratie is de start, niet het bewijs
Ingeschreven staan betekent niet dat je voldoet. De zorgplicht vraagt om passende maatregelen die het bestuur heeft goedgekeurd, de meldplicht om een proces waarmee je een significant incident binnen 24 uur signaleert en binnen 72 uur volledig meldt. Die termijnen haal je niet als niemand 's nachts kijkt en niemand weet wie mag melden. Registreer dus deze week, en gebruik de rust die dat geeft om het echte werk te plannen: weten waar je staat, en zorgen dat iemand kijkt.
Wil je weten of de wet voor jouw organisatie geldt en wat de eerste stappen zijn? Doe de Cyberbeveiligingswet-check of plan een gesprek.