NIS2 in Nederland
De Cyberbeveiligingswet geldt sinds 15 augustus 2026
De wet is Stb. 2026, 187 en het besluit dat haar in werking stelt is Stb. 2026, 189, beide gepubliceerd op 10 juli 2026. Hieronder staat wat de wet van een essentiële of belangrijke entiteit vraagt, in haar eigen woorden, met het artikel erbij.
- Sinds
De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026.
Artikel 35 Cyberbeveiligingsbesluit- Wie
entiteiten, genoemd in bijlage 1 van deze wet, niet zijnde een essentiële entiteit, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG
Artikel 12, eerste lid, onderdeel a- Wat
De essentiële entiteit of belangrijke entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen.
Artikel 21, eerste lid- Waar
- Registreren bij NCSC, op MijnNCSC.U hebt eHerkenning of SSOnRijk nodig voordat het portaal iets aanneemt.
Authentieke tekst in het Staatsblad, gelezen op 2 november 2026
De data die de wet zelf zet
Twee hiervan staan nergens als datum. De wet geeft ze als een termijn vanaf haar eigen inwerkingtreding, en artikel 35 van het besluit stelt de hele wet op één dag in werking.
| Wanneer | Wat | Wie |
|---|---|---|
| 15 augustus 2026 | De wet en het besluit treden in werking. Artikel 35 Cyberbeveiligingsbesluit | de minister |
| 15 september 2026 | Het nationale register bestaat, uiterlijk één maand na artikel 43. Artikel 98 | de minister |
| 15 augustus 2028 | Ieder bestuurslid dat op de dag van inwerkingtreding in functie was, voldoet aan de kenniseis. Wie later wordt benoemd, heeft twee jaar vanaf de benoeming. Artikel 24, derde lid | u |
De zorgplicht, en waar de maatregelen staan
Artikel 21, derde lid, somt tien onderwerpen op die de maatregelen ten minste omvatten. Het zijn dezelfde tien als in artikel 21, tweede lid, van de richtlijn, die wij per onderwerp tegen de ISO 27001-maatregel zetten die eraan voldoet.
De tien onderwerpen tegen ISO 27001Het bestuur keurt goed, en moet het kunnen beoordelen
De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur van de essentiële entiteit of belangrijke entiteit.Artikel 24, eerste lid
De kenniseis geldt per bestuurslid, niet per onderneming, en de wet vraagt dat ieder lid die kennis aantoonbaar actueel houdt.
De twee klokken na een incident
Beide termijnen lopen vanaf het moment dat u kennis krijgt van het significante incident, niet vanaf het incident zelf.
Vroegtijdige waarschuwing aan uw CSIRT en uw bevoegde autoriteit, onverwijld of binnen 24 uur.
Dit doet zij onverwijld of, indien dat niet mogelijk is, binnen 24 uur nadat zij kennis heeft gekregen van het significante incident.Artikel 26, eerste lidMelding met een eerste beoordeling, onverwijld of binnen 72 uur.
De essentiële entiteit of belangrijke entiteit dient onverwijld of, indien dat niet mogelijk is, binnen 72 uur nadat zij kennis heeft gekregen van het significante incident een melding in bij haar CSIRT en haar bevoegde autoriteitArtikel 27, eerste lidRegistreren
Een essentiële entiteit, belangrijke entiteit en een entiteit die domeinnaamregistratiediensten verleent verstrekt ten behoeve van de registratie in het nationale register, bedoeld in artikel 43, aan Onze Minister de volgende informatie middels het daarvoor opgezette mechanismeArtikel 44, eerste lid
De registratieplicht staat in artikel 44. Welke toezichthouder u heeft, hangt af van uw sector, en NCSC houdt daar een pagina over bij.
Of u in scope valt, zegt deze pagina niet
Artikel 12 staat hierboven zodat u de toets van de wet kunt lezen. Of uw onderneming eraan voldoet, hangt af van uw sector, uw omvang en de bijlagen bij de wet. De vijf vragen van NIS2 staan op een eigen pagina en eindigen in een bepaling op papier.
De NIS2-bepaling doorlopenDe enige uitgestelde verplichting
Aangewezen instellingen voor hoger onderwijs krijgen 36 maanden na de aanwijzing. Voor een onderneming bestaat zo'n termijn niet.
Het bepaalde bij of krachtens de artikelen 21 en 24 is van toepassing op de op grond van artikel 11 aangewezen essentiële entiteit en de op grond van artikel 13 aangewezen belangrijke entiteit vanaf 36 maanden na de aanwijzing.Artikel 97
Het NIS2 Registration Pack
Een werkblad voor de omvangsvraag, met de autoriteit, het portaal, de inloggegevens en het CSIRT voor Nederland. Daarnaast een draaiboek voor incidenten met beide termijnen, de tien onderwerpen met de ISO 27001-bewijsstukken erbij, en het bewijs van de goedkeuring door het bestuur.
Vragen
- Registreert StandardOS ons?
- Nee. U registreert zelf op MijnNCSC met eHerkenning of SSOnRijk. Wij leveren het werkblad en de bewijsstukken.
- Gold er een overgangstermijn?
- Niet voor ondernemingen. Het besluit voorziet niet in overgangsrecht en stelt wet en besluit op 15 augustus 2026 in werking.
Gelezen op 2 november 2026 in de authentieke tekst: Stb. 2026, 187, de Cyberbeveiligingswet, Stb. 2026, 189, het Cyberbeveiligingsbesluit
Wij zijn geen toezichthouder en geen certificerende instelling. Wat hierboven staat, staat in de wet; wat wij verkopen is het werk eromheen.