NIS2 en de Cyber Resilience Act: wat geldt er voor een Nederlands bedrijf
De Cyberbeveiligingswet, de Nederlandse NIS2-wet, geldt sinds 15 augustus 2026. De meldplicht van de Cyber Resilience Act geldt sinds 11 september 2026. Wie valt eronder, wat moet er gebeuren en waar ik bij help.
Ik ben geen jurist. Dit is een technische lezing van wat de officiële pagina's zeggen, met de bronnen onderaan. Gebruik voor een definitief antwoord over je eigen organisatie de zelftest van het NCSC.
Wie valt eronder
Het NCSC noemt ruim 8.000 organisaties die essentiële of belangrijke diensten leveren in kritieke sectoren. De omvang bepaalt in welke klasse je valt, en voor bepaalde soorten organisaties gelden uitzonderingen op de omvangscriteria.
Aanbieders van beheerde diensten en beheerde beveiligingsdiensten worden genoemd in de vragen en antwoorden van de NCTV: essentieel als ze groot zijn, belangrijk als ze middelgroot zijn. Een leverancier valt niet automatisch zelf onder de wet. Of een heel kleine leverancier eronder valt, hangt af van de omvangscriteria en de sector; gebruik de zelftest van het NCSC en ga er niet van uit.
Wat een organisatie onder de wet moet doen
- Zich registreren in het entiteitenregister van het NCSC.
- Een risicoanalyse doen en passende, evenredige maatregelen nemen voor netwerk- en informatiesystemen (de zorgplicht).
- Incidenten zo snel mogelijk melden aan het CSIRT en de toezichthouder, en in ieder geval binnen 24 uur.
Waarom ook een kleine leverancier het merkt
De wet verplicht organisaties de risico's in hun toeleveringsketen in kaart te brengen en maatregelen te nemen. Ze mogen eisen stellen aan de cyberbeveiliging van hun rechtstreekse leveranciers. In de praktijk komt dat als een contractclausule of een vragenlijst: hoe ga je om met patches, toegang, back-ups en incidenten. Een leverancier die met een document kan antwoorden, wint van een die met een belofte antwoordt.
De Cyber Resilience Act is een tweede spoor
De Cyber Resilience Act, Verordening (EU) 2024/2847, gaat over producten, niet over organisaties. Hij is in werking getreden op 10 december 2024. De meldplicht voor actief uitgebuite kwetsbaarheden geldt sinds 11 september 2026. De hoofdverplichtingen voor fabrikanten van producten met digitale elementen gelden vanaf 11 december 2027. De Europese Commissie publiceerde op 27 juli 2026 praktische richtlijnen voor bedrijven van elke omvang en zegt dat de verordening een bijzondere benadering kent voor vrije en opensourcesoftware. Lever je software die anderen installeren of draaien, lees het dan nu, niet in 2027.
Waar ik bij help
Het technische deel: een gap-analyse tegen NIS2, AVG of DORA, met jouw maatregelen per eis getoetst in een tabel die je aan een auditor of een klant kunt geven, en het herstel in een afgesproken volgorde. Het is technisch werk, geen juridisch advies en geen certificering. Boetes, advocaten en de auditor zelf zitten niet in de offerte.
Compliance Alignment: op offerte per regime, EUR 90 per uur excl. btw. Wil je eerst weten waar je technisch staat, dan is de Security quick scan een vaste prijs van EUR 720 excl. btw (8 uur).
Plan een gesprekLees over Compliance Alignment
De maatregelen zelf zijn grotendeels Hardening-werk. Wil je eerst een overzicht voordat je beslist, dan bevat de Health Check een snelle beveiligingsscan, en het voorbeeldrapport laat zien hoe bevindingen worden opgeschreven.
Bronnen, gelezen op 30 oktober 2026
- NCSC: Cyberbeveiligingswet (NIS2)
- NCTV: vragen en antwoorden over de Cyberbeveiligingswet
- Staatsblad 2026, 189: Cyberbeveiligingsbesluit, artikel 35 (inwerkingtreding 15 augustus 2026)
- Europese Commissie: Cyber Resilience Act
Heeft een klant je erom gevraagd?
Vertel me welke klant welke vraag stelde. Ik reageer binnen één werkdag met een eerste mening, gratis.