Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse uitwerking van NIS2. Sinds die dag is registratie bij het NCSC geen voorbereiding meer, maar een wettelijke plicht. En het beeld vlak voor die datum was niet geruststellend: van de ruim 8.000 organisaties die onder de wet vallen, hadden zich er ongeveer 4.100 geregistreerd. Ruwweg vier op de tien waren er dus niet, op de dag dat het moest.
Wat er sinds 15 augustus geldt
De wet kent drie verplichtingen, en ze gelden nu alle drie tegelijk.
Registratieplicht. Wie onder de wet valt, registreert zich op mijn.ncsc.nl, met eHerkenning, gekoppeld aan het KvK-nummer. Dat duurt met de gegevens bij de hand een kwartier. Wijzigingen (fusie, nieuwe IP-ranges, andere contactpersoon) moeten binnen veertien dagen worden doorgegeven. Niet of onjuist registreren kan een boete of een last onder dwangsom opleveren; de toezichthouder heeft aangegeven dat hier actief op gehandhaafd kan worden.
Zorgplicht. Passende maatregelen voor identiteit en toegang, incidentafhandeling, back-ups, leveranciers en bestuur. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en moet aantoonbaar geschoold zijn. Dat laatste is nieuw en persoonlijk: bestuurders kunnen worden aangesproken, bij essentiële entiteiten tot aan een tijdelijk verbod op het uitoefenen van de functie.
Meldplicht. Een significant incident meld je binnen 24 uur bij het CSIRT en de toezichthouder, gevolgd door een uitgebreidere melding binnen 72 uur. Die 24 uur beginnen bij het signaleren, niet bij het begrijpen. Wie ’s nachts niemand heeft kijken, is de termijn al kwijt voordat het meldformulier open staat.
Waarom de achterstand niet verrast
De wet is jaren uitgesteld, en veel organisaties hebben het wachten vertaald in “het komt wel”. Daarbij is de scope lastiger dan hij lijkt. De sectoren staan vast, maar de omvangsdrempel telt verbonden ondernemingen mee, en de overheid kan een organisatie ook buiten de lijst om aanwijzen als de dienst kritiek is. Wie zichzelf een jaar geleden “te klein” verklaarde, doet er goed aan die conclusie nu opnieuw te toetsen.
Er is nog een groep die zich ten onrechte veilig waant: leveranciers van organisaties die wél onder de wet vallen. Die klanten moeten de beveiliging van hun leveranciers beoordelen, en sturen dus dezelfde vragen door: MFA, beheerrechten, incidentproces, back-ups, bestuurlijke betrokkenheid. Wie daar geen antwoord op heeft, valt niet onder de wet, maar wel van de leverancierslijst.
Wat je deze week nog kunt doen
Registreren is de makkelijkste van de drie plichten en de enige met een harde datum die al verstreken is. Begin daar, vandaag. Daarna, in deze volgorde:
- Bepaal je positie schriftelijk. Val je eronder, als essentiële of belangrijke entiteit, of niet? Leg de redenering vast, ook als het antwoord “nee” is. Klanten, verzekeraars en toezichthouder gaan ernaar vragen.
- Neem de vijf basismaatregelen door. MFA voor iedereen inclusief beheerders, beheerrechten beperkt en tijdelijk, een geoefend incidentproces, back-ups die getest en onveranderlijk zijn, en een bestuur dat heeft goedgekeurd en is getraind. Dit is waar een toezichthouder als eerste naar kijkt, en het is waar aanvallers als eerste op testen.
- Regel de 24 uur. Wie ziet een incident buiten kantoortijd, wie beslist, wie meldt? Als dat antwoord niet in één zin te geven is, is het niet geregeld.
Onze Cyberbeveiligingswet-check loopt de scope en de vijf basismaatregelen in twee minuten met je door en geeft per antwoord aan wat het betekent. Het achtergrondartikel over de registratieplicht bij het NCSC, geschreven vóór de inwerkingtreding, legt de registratie zelf stap voor stap uit.
Zes weken na de invoering is de conclusie simpel: de wet wacht niet meer. Wie nog niet geregistreerd is, heeft geen voorbereidingstijd meer, maar een achterstand.