Valt mijn bedrijf onder de Cyberbeveiligingswet?
Twee vragen bepalen het: je sector en je omvang
De Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) geldt sinds 15 augustus 2026. Zo zie je in een paar minuten of je eronder valt.
Door Vincent Barink · bijgewerkt op 4 oktober 2026
Het korte antwoord
Je valt onder de Cyberbeveiligingswet als je organisatie actief is in een van de 18 sectoren uit de wet én minimaal middelgroot is. Middelgroot betekent volgens het NCSC: 50 of meer medewerkers (in fte), of minder dan 50 medewerkers maar een jaaromzet én een balanstotaal van elk meer dan € 10 miljoen. Medewerkers en omzet van partner- en verbonden ondernemingen tellen mee.
Welke sectoren?
De wet noemt 18 (zeer) kritieke sectoren. Voorbeelden zijn energie, vervoer, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, beheer van ICT-diensten, overheid, post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, maakindustrie, digitale aanbieders en onderzoek. Het NCSC heeft de volledige lijst.
Wie valt er altijd onder, ongeacht omvang?
| Soort organisatie | Valt onder de wet |
|---|---|
| Aanbieders van DNS-diensten | Altijd |
| Aanbieders van openbare elektronische communicatienetwerken of -diensten | Altijd |
| Verleners van vertrouwensdiensten | Altijd |
| Registers voor topleveldomeinnamen | Altijd |
| Overheidsorganisaties | Altijd |
Essentieel of belangrijk?
Organisaties die onder de wet vallen zijn essentieel of belangrijk. Welke van de twee hangt af van je sector en omvang. Het verschil zit vooral in de hoogte van de boetes en de manier van toezicht. De verplichtingen zelf (registreren, zorgplicht, meldplicht) gelden voor beide.
Zo controleer je het
Doe onze NIS2 Quick Check
In ongeveer 4 minuten zie je of je waarschijnlijk onder de wet valt en hoe ver je bent met de maatregelen.
Gebruik de officiële zelfevaluatie
De RDI biedt een NIS2-zelfevaluatie die ook aangeeft of je essentieel of belangrijk bent. Je vindt die via de pagina van het NCSC.
Valt je eronder? Registreer je
Registreren doe je bij het NCSC via mijn.ncsc.nl. Lees hoe je je registreert.
Veelgestelde vragen
Meestal wel, tenzij je jaaromzet én balanstotaal allebei boven de € 10 miljoen liggen, of je tot de organisaties hoort die altijd onder de wet vallen, zoals DNS-aanbieders en overheidsorganisaties.
Niet verplicht, maar klanten die wel onder de wet vallen moeten hun toeleveringsketen beveiligen. Ze kunnen jou als leverancier dus om beveiligingsmaatregelen vragen. Lees meer over NIS2 voor leveranciers.
Bronnen
NCSC: Valt mijn organisatie onder de Cyberbeveiligingswet?
Rijksoverheid: Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht
Dit artikel is een praktische uitleg en geen juridisch advies. Laat bij twijfel over je situatie een specialist meekijken.
Weet je nog niet waar je staat?
Doe de gratis NIS2 Quick Check: 19 vragen, ongeveer 4 minuten.
Start de NIS2 Quick Check Of mail direct: contact@cloudliftoff.nl